Keine Form-Variablen direkt in SQL-Queries verwenden. Ein paar kosmetische Änderungen...