Eines Morgens meldet die Search Console Tausende japanische Seiten, die du nie geschrieben hast, oder deine Klicks brechen ohne erkennbaren Grund ein. Möglicherweise wurde deine WordPress-Website gehackt, um SEO-Spam auszuliefern, der in deinem eigenen Browser oft unsichtbar bleibt. Dieser Beitrag erklärt, wie solche Angriffe dein Ranking ausnutzen, wie du sie mit den Werkzeugen von Google aufspürst und wie du nach der Bereinigung die erneute Überprüfung erreichst.
Warum sich ein Angreifer für dein Ranking interessiert
Eine alte, gut indexierte und von anderen Websites verlinkte Domain hat einen Wert, den der Angreifer allein nicht aufbauen kann: das Vertrauen der Suchmaschinen. Indem er eigene Seiten auf deiner Domain platziert, nutzt er dieses Vertrauen, um Links zu verkaufen, Shops mit gefälschter Ware zu pushen oder auf Glücksspielseiten weiterzuleiten. Dein Traffic dient als Treibstoff, dein Domainname als Fassade.
Google ordnet diese Praktiken in seinen Spamrichtlinien der Kategorie „gehackte Inhalte“ zu und definiert sie als alle Inhalte, die aufgrund von Sicherheitslücken ohne Genehmigung auf einer Website platziert werden. Die Richtlinien unterscheiden vier Formen:
- Code-Einschleusung: schädliche Skripte, die bestehenden Seiten hinzugefügt werden, manchmal in iframes.
- Seiten-Einschleusung: komplett neue Seiten voller Spam oder schädlicher Inhalte.
- Inhalt-Einschleusung: versteckter Text oder versteckte Links in deinen Seiten, für Suchmaschinen sichtbar, für Besucher nicht.
- Weiterleitungen: Code, der einen Teil der Besucher je nach Herkunft, Browser oder Gerät auf Spam-Seiten schickt.
Die häufigsten Arten von SEO-Spam
Google dokumentiert auf web.dev mehrere Varianten, die man auf kompromittierten WordPress-Websites sehr häufig findet. Sucuri wiederum gibt an, dass 2022 über 40 % der SEO-Spam-Funde seines Scanners SiteCheck auf eingeschleusten Pharma-Spam entfielen. Mit Kommentar-Spam hat dieser SEO-Spam nichts zu tun: Ein Anti-Spam-Plugin für WordPress filtert Kommentare, aber keine Seiten, die ein Angreifer eingeschleust hat.
| Variante | Was der Angreifer erzeugt | Typisches Anzeichen | Wo du suchst |
|---|---|---|---|
| Japanese Keyword Hack | Automatisch erzeugte japanische Seiten in Verzeichnissen mit Zufallsnamen, mit Affiliate-Links zu gefälschter Ware | Japanische Treffer bei einer site:-Suche, unbekannter Inhaber in der Search Console | Hinzugefügte PHP-Dateien, .htaccess, unbekannte Sitemaps |
| Gibberish Hack | Seiten mit unzusammenhängenden Sätzen voller Keywords | Besucher werden auf themenfremde Websites weitergeleitet | .htaccess, unbekannte PHP-Dateien |
| Getarnte Keywords und Links | Seiten, die deine Seitenvorlage übernehmen, mit Spam-Text und Spam-Links | Der Link scheint auf einen 404-Fehler zu führen, während Google etwas anderes sieht | Theme, veränderte Core-Dateien, Datenbank |
| Pharma-Spam | Seiten oder Links rund um Medikamente, die an Bots ausgeliefert werden | Titel und Snippets zu Medikamenten in den Google-Ergebnissen | Core-Dateien, Theme, unbekannte Tabellen in der Datenbank |
Warum du nichts siehst: Cloaking
Gemeinsam ist diesen Angriffen das Cloaking, das Google als das Präsentieren unterschiedlicher Inhalte für Nutzer und Suchmaschinen definiert. Der eingeschleuste Code prüft jeden Besuch: Erkennt er einen Suchmaschinen-Crawler oder einen Besucher, der von Google kommt, liefert er den Spam aus. Andernfalls zeigt er die normale Seite oder sogar einen gefälschten 404-Fehler. Die Anleitungen von Google sagen es ohne Umschweife: Angreifer versuchen dir vorzutäuschen, die Seite sei verschwunden oder repariert, obwohl sie noch gehackt ist.
Ein von Sucuri im Januar 2026 analysierter Fall zeigt den Mechanismus gut: Code am Ende einer legitimen PHP-Datei verglich den User-Agent mit einer Liste von Bots (Googlebot, Bingbot, Baiduspider), holte den Spam von einem entfernten Server und zeigte ihn ausschließlich diesen Bots. Normale Besucher sahen eine völlig unauffällige Website, ohne Pop-up und ohne Weiterleitung. Erst als der Inhaber seine eigene Website bei Google suchte, entdeckte er Ergebnisse voller Spam.
Die Folgen für Indexierung und Traffic
Die Folgen summieren sich und beschränken sich nicht auf die Spam-Seiten:
- Tausende indexierte Fremd-URLs unter deiner Domain, die das Crawling deiner echten Seiten verwässern.
- Der Hinweis „Diese Website wurde möglicherweise gehackt“ unter deinem Ergebnis bei Google. Die Hilfe der Google Suche rät Nutzern, die Website nicht zu besuchen, solange dieser Hinweis nicht verschwunden ist, und erklärt, dass er angezeigt bleibt, bis der Inhaber handelt.
- Verlust von Rankings: Laut den Richtlinien von Google können Websites, die gegen sie verstoßen, schlechter ranken oder gar nicht mehr erscheinen.
- Eine Browserwarnung, wenn der Hack auch Malware oder Phishing installiert. Dafür ist Google Safe Browsing zuständig (siehe unseren Beitrag zur Warnung vor einer „gefährlichen Website“).
- Eine mögliche manuelle Maßnahme, unabhängig vom Sicherheitsbericht, zum Beispiel „Cloaking und/oder irreführende Weiterleitungen“.
Spam mit der Search Console aufspüren
Die Search Console ist das Werkzeug, das deine Website so sieht, wie Googlebot sie sieht. Bestätige deine Property, falls noch nicht geschehen, und geh dann diese Berichte durch:
- Sicherheitsprobleme: Der Bericht listet die erkannten Kategorien auf (gehackte Inhalte durch Einschleusung von Inhalten, URLs oder Code, Malware, betrügerische Seiten usw.) und nennt Beispiel-URLs.
- Manuelle Maßnahmen: Hier erscheint eine von Menschen verhängte Maßnahme, mit einem eigenen Verfahren zur erneuten Überprüfung.
- Nutzer und Berechtigungen: Laut der Google-Anleitung zum Japanese Keyword Hack ist ein bestätigter Inhaber, den du nicht kennst, ein starkes Anzeichen für einen Hack. Der Angreifer fügt sich selbst hinzu, um Sitemaps oder die geografische Ausrichtung zu ändern.
- Sitemaps: Eine Sitemap, die du nicht eingereicht hast und die voller Spam-URLs ist, muss entfernt werden.
- URL-Prüfung: Teste eine verdächtige URL live. Du siehst, was Googlebot erhält, einschließlich der per Cloaking versteckten Inhalte.
- Leistung: Suchanfragen in einer fremden Sprache oder zu Themen, die nichts mit deinem Angebot zu tun haben, verraten oft eingeschleuste Seiten.
Ergänze das mit einer Suche nach site:deinedomain.de bei Google und in einer zweiten Suchmaschine: Blättere durch einige Ergebnisseiten und achte auf ungewöhnliche URLs oder Titel. Weitere Symptome einer Kompromittierung (unbekannte Konten, veränderte Dateien) findest du in unserer Liste der Anzeichen einer gehackten WordPress-Website.
Bereinigen und dabei an das Ranking denken
Die technische Bereinigung (Backup der infizierten Website, Neuinstallation von Core, Plugins und Themes, Prüfung der Datenbank, neue Passwörter) beschreibt unsere Schritt-für-Schritt-Anleitung zur Bereinigung. Die Anleitungen von Google betonen die .htaccess-Dateien, die oft für Weiterleitungen oder zum Erzeugen der Spam-Seiten genutzt werden, sowie neue, große oder verschleierte PHP-Dateien (base64_decode, eval). Für das Ranking zählen vier Entscheidungen:
- Lass die Spam-URLs mit 404 oder 410 antworten. Google entfernt bereits indexierte URLs aus dem Index, wenn sie einen 4xx-Code zurückgeben. Leite sie nicht auf die Startseite weiter: Du würdest Tausende Adressen ohne Grund am Leben halten.
- Sperre sie nicht in der robots.txt. Google könnte sie dann nicht mehr crawlen und würde ihr Verschwinden nicht bemerken. Die Google-Dokumentation zum Entfernen von Inhalten rät ausdrücklich davon ab, robots.txt als Sperrmittel zu verwenden.
- Setze das Tool zum Entfernen von URLs mit Bedacht ein. Es blendet eine URL für etwa sechs Monate aus, ohne sie endgültig aus dem Index zu entfernen: ein Pflaster für die sichtbarsten Ergebnisse, keine Lösung.
- Entferne unbekannte Sitemaps und Inhaber sowie deren Bestätigungstoken (HTML-Datei oder die Rewrite-Regel, die sie erzeugt).
Die erneute Überprüfung bei Google beantragen
Sobald die Website sauber und die Lücke geschlossen ist, stellst du den Antrag im Bericht „Sicherheitsprobleme“ über die Schaltfläche „Überprüfung anfordern“. Google verlangt, das Problem auf allen betroffenen Seiten zu beheben, nicht nur auf den Beispielen, und das Problem, die ergriffenen Maßnahmen und das Ergebnis genau zu beschreiben. Prüfe vor dem Absenden mit der URL-Prüfung, ob Googlebot die Startseite und einige alte Spam-URLs crawlen kann, ohne Sperre und ohne versehentliches noindex.
| Schritt | Von Google genannte Dauer | Quelle |
|---|---|---|
| Überprüfung eines Sicherheitsproblems | Einige Tage bis mehrere Wochen | Search Console-Hilfe, Bericht „Sicherheitsprobleme“ |
| Überprüfung einer gehackten Website mit Spam | Bis zu mehreren Wochen | web.dev, „Request a review“ |
| Entfernen der Warnungen, sobald die Website als sauber gilt | Innerhalb von 72 Stunden | web.dev, „Request a review“ |
| Erneute Überprüfung einer manuellen Maßnahme | Mehrere Tage oder Wochen | Search Console-Hilfe, Bericht „Manuelle Maßnahmen“ |
Sende keinen neuen Antrag, solange über den vorherigen nicht entschieden wurde. Wird er abgelehnt, ist noch Spam vorhanden, eine Datei erzeugt ihn neu oder eine Hintertür steht offen: Beginne die Analyse von vorn, statt den Antrag umzuformulieren. Bleib außerdem realistisch: Die Aufhebung der Markierung bringt verlorene Rankings nicht sofort zurück. Die legitimen Seiten müssen erneut gecrawlt werden, und die Rückkehr des Traffics hängt von Google ab, nicht von einer vertraglichen Frist.
Eine erneute Infektion vermeiden
Die Google-Anleitung zum Japanese Keyword Hack erinnert daran, dass 20 % der gehackten Websites noch am selben Tag erneut gehackt werden. Die Ursache ist fast immer dieselbe: Die Eintrittspforte wurde nicht geschlossen, oder eine vergessene Datei erzeugt die Spam-Seiten bei jedem Aufruf neu. Konkret:
- Finde die Lücke (verwundbares Plugin, wiederverwendetes Passwort, kompromittierter FTP-Zugang), bevor du die Website wieder online stellst.
- Aktualisiere Core, Themes und Plugins und entferne alles, was nicht mehr gepflegt wird.
- Aktiviere die Zwei-Faktor-Authentifizierung für die Administratorkonten.
- Vergleiche die Core-Dateien regelmäßig mit den Originalen von WordPress.org und behalte neue Konten und Plugins im Blick.
- Führe einmal im Monat eine
site:-Suche durch und öffne den Bericht „Sicherheitsprobleme“.
Das folgende Video auf Französisch zeigt, wie ein solcher Angriff aus Sicht eines Website-Inhabers aussieht.
Was WP Masquerade beitragen kann
WP Masquerade ist weder ein Virenscanner noch ein Bereinigungswerkzeug: Es entfernt keinen bereits eingeschleusten Spam. Es wirkt vor und nach dem Vorfall. Vorher, indem es die Hinweise auf WordPress reduziert und gängige Eintrittspforten schließt (eigene Login-Adresse, gesperrtes XML-RPC). Nachher hilft die Pro-Version, eine Kompromittierung früher zu erkennen: Integritätsprüfung der Core-Dateien, Aktivitätsprotokoll der Administratoren, um ein hinzugefügtes Konto oder Plugin zu sehen, Warnungen zu verwundbaren Plugins und E-Mail-Benachrichtigungen. Keine dieser Funktionen garantiert, dass es keinen Hack gibt, aber jede verkürzt die Zeit, in der Spam unbemerkt gedeihen kann.
Ist die Website bereinigt, hilft dir unser Leitfaden zur SEO-Optimierung von WordPress, deine Sichtbarkeit wieder aufzubauen.
Das Wichtigste in Kürze
- SEO-Spam nutzt das Vertrauen in deine Domain aus und versteckt sich oft per Cloaking.
- Prüfe mit der URL-Prüfung und einer
site:-Suche, nicht nur in deinem Browser. - Lass Spam-URLs mit 404 oder 410 antworten, ohne Weiterleitung und ohne Sperre in der robots.txt.
- Fordere die Überprüfung nur einmal an, nachdem die Lücke geschlossen ist: einige Tage bis mehrere Wochen.
- Die Rückkehr des Traffics ist weder garantiert noch sofort: Vorrang hat, nicht erneut infiziert zu werden.
Quellen
- Google Search Central, Spamrichtlinien (Aktualisierung vom 28. August 2026) (öffnet in neuem Tab)
- Search Console-Hilfe, Bericht „Sicherheitsprobleme“ (öffnet in neuem Tab)
- Search Console-Hilfe, Bericht „Manuelle Maßnahmen“ (öffnet in neuem Tab)
- web.dev, Fix the Japanese keyword hack (öffnet in neuem Tab)
Weitere herangezogene Quellen: offizielle Dokumentation und Veröffentlichungen von Sicherheitsforschern.
