statements not prepared ??

[oh2thirteen]

entschuldigen aber das sieht so als als wäre dieses script angreifbar für sql injection oder nicht ? dort steht
$statement = $pdo->prepare("INSERT INTO users (email, passwort) VALUES (:email, :passwort)");
müsste es nicht eher in die richtung gehn ?
$statement = $pdo->prepare("INSERT INTO users ( (email, passwort) VALUES (? , ?)");