SQL Injection verhindern - Eingaben mit preg_match prüfen

Hallo,

ich möchte zur Verhinderung von SQL Injection in einem PHP Script die Usereingaben mit preg_match prüfen:

PHP:

if(!preg_match("#^[a-zA-Z0-9äöüÄÖÜ@ß \.\+\-\&\,]+$#", $input) AND $input !="") {
 echo 'Error: Nicht zugelassene Eingabe';
 exit;
 } 

Eigentlich müssten damit doch alle Buchstaben und Zahlen und Umlaute,@,ß.+-& und Leerzeichen erlaubt sein - aber die Eingabe "Münsterstr" gilt damit als nicht zugelassene Eingabe. Habe ich seinen Syntaxfehler?

VG