„Diese Website wurde möglicherweise gehackt“: Was die Warnung bedeutet und wie du sie loswirst

Was die Warnung bedeutet

Google zeigt den Hinweis, wenn es davon ausgeht, dass Dritte Seiten deiner Website verändert oder neue Spam-Seiten hinzugefügt haben. Besucher könnten dadurch auf Spam oder Schadsoftware umgeleitet werden. Google rät Nutzern sogar, die Seite nicht zu besuchen, solange die Meldung erscheint. Für dich heißt das: weniger Klicks, weniger Vertrauen, weniger Anfragen.

Typische Auslöser sind:

• fremde Unterseiten unter deiner Domain, oft auf Japanisch oder mit Pharma-Begriffen. Mehr dazu: Japanese Keyword Hack entfernen.
• eingeschleuste Links oder Texte in bestehenden Seiten
• Weiterleitungen auf fremde Seiten, häufig nur für Besucher aus der Google-Suche

Nicht verwechseln: Warnungen im Browser

Die Hack-Warnung steht in den Suchergebnissen. Davon zu unterscheiden sind rote Warnseiten im Browser, etwa in Chrome, die beim Aufruf vor einer gefährlichen Website warnen. Sie kommen aus Googles Safe Browsing und betreffen meist Malware oder Phishing. Der Weg zur Entfernung ist ähnlich, er führt ebenfalls über den Bericht „Sicherheitsprobleme“.

Schritt 1: Search Console einrichten oder öffnen

Ohne Google Search Console kommst du an die Details nicht heran. Hast du noch keinen Zugang, richte die Property ein und bestätige, dass dir die Domain gehört. Prüfe dabei gleich unter „Einstellungen“ › „Nutzer und Berechtigungen“, ob dort Inhaber stehen, die du nicht kennst. Angreifer tragen sich gern selbst ein.

Schritt 2: Den Bericht „Sicherheitsprobleme“ lesen

Du findest ihn unter „Sicherheit und manuelle Maßnahmen“ › „Sicherheitsprobleme“. Google ordnet das Problem dort einer Art zu, zum Beispiel:

• Gehackte Inhalte: unterteilt in Code-Einschleusung, Inhalt-Einschleusung, URL-Einschleusung und Malware
• Malware und unerwünschte Software
• Social Engineering, etwa Phishing oder betrügerische Downloads

Zu jedem Problem nennt Google Beispiel-URLs. Sie sind der Startpunkt für die Bereinigung, aber nicht die vollständige Liste. Meist sind mehr Seiten betroffen.

Schritt 3: Die Ursache bereinigen, nicht nur die Symptome

Die Warnung bekämpft man nicht in der Search Console, sondern auf dem Server. Dazu gehört:

• Schadcode, Backdoors und eingeschleuste Inhalte entfernen
• fremde Benutzer im CMS und fremde Inhaber in der Search Console löschen
• das Einfallstor schließen, meist ein veraltetes Plugin oder ein schwaches Passwort
• dafür sorgen, dass die Spam-Seiten „nicht gefunden“ liefern

Wie du dabei in der richtigen Reihenfolge vorgehst, steht im Ratgeber Website gehackt, was tun?. Bei WordPress übernehme ich das als Komplettpaket. Mehr dazu: WordPress-Hack bereinigen lassen.

Schritt 4: Prüfen, ob wirklich alles sauber ist

Bevor du Google Bescheid gibst, kontrollierst du selbst:

• Die Beispiel-URLs aus dem Bericht mit der URL-Prüfung der Search Console testen. So siehst du, was Google sieht, auch wenn dein Browser etwas anderes anzeigt.
• Eine site:deinedomain.de-Suche bei Google: Tauchen noch fremde Seiten auf?
• Die Seite vom Handy über die Google-Suche aufrufen, weil manche Weiterleitungen nur dann greifen.

Mehr Prüfwege: Website gehackt? So überprüfst du es.

Schritt 5: Überprüfung anfordern

Wenn alle Probleme auf allen Seiten behoben sind, klickst du im Bericht „Sicherheitsprobleme“ auf „Überprüfung anfordern“. Google empfiehlt, in der Anfrage drei Dinge zu nennen:

1. welches Problem es genau gab
2. was du unternommen hast
3. woran man sieht, dass es behoben ist

Ein Beispiel, kurz und konkret: „Über ein veraltetes Formular-Plugin wurde Code eingeschleust, der rund 400 Spam-Seiten unter /shop/ erzeugt hat. Plugin entfernt, WordPress und alle Erweiterungen neu installiert, Backdoor in wp-includes gelöscht, fremden Admin und fremden Search-Console-Inhaber entfernt, alle Passwörter geändert. Die Spam-URLs liefern jetzt 404.“ (Beispieltext, Angaben an den eigenen Fall anpassen.)

Wie lange dauert es?

Google nennt für Überprüfungen bei gehackten Inhalten, Malware und Social Engineering einige Tage bis mehrere Wochen. Stelle in dieser Zeit keine zweite Anfrage. Wichtiger noch: Stelle die Anfrage erst, wenn die Seite wirklich sauber ist. Wer zu früh meldet, riskiert laut Google längere Bearbeitungszeiten und kann als Wiederholungsfall eingestuft werden.

Warnung weg heißt nicht Index sauber

Die Warnung und die Spam-Seiten im Index sind zwei verschiedene Baustellen. Die Warnung entfernt Google nach der Überprüfung. Die eingeschleusten Seiten verschwinden dagegen erst, wenn Google jede einzelne Adresse erneut aufruft und dabei 404 oder 410 bekommt. Bei einem großen Befall dauert das deutlich länger als die Überprüfung.

Aus der Praxis

Bei einer kleinen Unternehmens-Website mit eigentlich wenigen Dutzend Seiten zählte die Search Console nach dem Hack über 218.000 indexierte Seiten. Der Schadcode lieferte nur dem Googlebot spanische Fake-Shop-Seiten aus, Besucher sahen die normale Website. Nach der Bereinigung fielen in den ersten drei Wochen rund 45.000 Spam-Seiten aus dem Index. Danach blieb die Zahl wochenlang fast stehen, weil Google die übrigen Adressen noch nicht wieder abgerufen hatte. Wer hier nach ein paar Tagen ein sauberes Ergebnis erwartet, wird enttäuscht.

Was du tun kannst, damit es schneller geht, steht im Ratgeber zum Japanese Keyword Hack, dort unter „Wie lange dauert es, bis der Spam aus dem Index ist?“. Mehr dazu: Japanese Keyword Hack entfernen.

Und die Rankings?

Ist die Warnung weg, kehren Klicks oft spürbar zurück. Ob und wie schnell die alten Positionen wiederkommen, entscheidet Google. Hilfreich ist, wenn die Spam-URLs sauber aus dem Index fallen und keine fremden Links mehr auf der Seite stehen. Garantien gibt es dafür nicht, auch nicht von mir.