Hallo Simon,
wie schon von Götz erwähnt gibt es nie eine 100%ige Sicherheit.
Ich würde es evtl. versuchen indem ich alle Zeichen in html-Code umwandeln würde. Aber die Spider werden auch so schlau sein und HTML-Code wandeln können!
Beispiel:
<a href="mailto:ich@meinname.de">ich@meinname.de</a>
Das funktioniert natürlich auch in deinem Beispiel. Du wandelst einfach die beiden variablen in Html-Code. Nicht vergessen das @ nach @ zu wandeln.
Fertig