Wurde Ihre Website gehackt? Der Spam-Check

Was tun bei einem Verdacht?

Diese sieben Schritte helfen beim Vorgehen. Sie garantieren keine saubere Website; holen Sie sich bei Unsicherheit früh Hilfe.

1. Löschen Sie nichts überstürzt. Notieren Sie, was Ihnen auffällt, mit Datum und Adresse. Das hilft bei der Suche nach der Ursache.
2. Informieren Sie Ihren Hoster. Er kann oft in den Protokollen des Servers nachsehen und weiß, welche Hilfe Ihr Tarif bietet.
3. Ändern Sie alle Zugänge: beim Hoster, für FTP und für den Verwaltungsbereich Ihrer Website. Schalten Sie die Zwei-Faktor-Anmeldung ein, wo es möglich ist.
4. Aktualisieren Sie Ihr Website-System und alle Erweiterungen.
5. Spielen Sie ein sauberes Backup von vor der Manipulation ein oder beauftragen Sie Fachleute mit der Bereinigung. Ein Backup allein schließt die Lücke nicht; die Schritte 3 und 4 gehören dazu.
6. Sehen Sie in der Google Search Console die Berichte „Sicherheitsprobleme“ und „Manuelle Maßnahmen“ an. Dort nennt Google Probleme, die es auf Ihrer Website gefunden hat.
7. Beantragen Sie nach der Bereinigung eine Überprüfung, wenn einer der beiden Berichte ein Problem nennt. Wann Google die Website wieder normal zeigt, entscheidet Google.

Anleitung auf web.dev (englisch): Fix the Japanese keyword hack

So prüfen wir

Manipulierte Websites zeigen Spam oft nur Suchmaschinen oder Besuchern, die aus der Google-Suche kommen; wer die Adresse selbst eintippt, sieht nichts. Das Werkzeug ruft Ihre Startseite deshalb auf vier Arten ab und vergleicht die Antworten. Es meldet nie „gehackt“, sondern nur Auffälligkeiten, die zu einer Manipulation passen können.

Der Weg zum Ergebnis

1. Aus Ihrer Eingabe wird der reine Domainname. Wir prüfen nur Websites, die öffentlich im Internet stehen; zeigt die Domain oder eine Weiterleitung auf eine interne Adresse, brechen wir ab.
2. Unser Server ruft die Startseite zuerst wie im Website-Check auf, über https:// und http://. So wissen wir, ob und wo sie antwortet.
3. Dann ruft er sie viermal gleichzeitig ab: zweimal als Browser ohne Herkunftsangabe (A1 und A2), einmal mit der Kennung von Googlebot (G) und einmal als Browser, der von https://www.google.com/ kommt (R). Zwei Browser-Abrufe zeigen, was sich von selbst ändert, etwa ein wechselnder Hinweis.
4. Jeder Abruf folgt höchstens 10 Weiterleitungen, auch per meta refresh. Führt eine Weiterleitung auf eine andere Website, rufen wir sie nicht ab, sondern merken uns nur das Ziel. Eine Prüfung umfasst höchstens 40 Abrufe. Alle zusammen dürfen höchstens 18 Sekunden dauern, jeder einzelne höchstens 8 Sekunden und 2 MB.
5. Antwortet ein Abruf mit Status 403 oder 429 oder mit der Prüfseite eines Schutzdienstes, gilt er als abgewiesen. Der betroffene Vergleich heißt dann „Vergleich nicht möglich: Abruf wurde abgewiesen“ und bleibt „Nicht geprüft“, nie „In Ordnung“.
6. Eigene oder fremde Domain: Ob eine Adresse zu Ihrer Website gehört, entscheiden wir in allen Punkten nach der Domain, nicht nach dem einzelnen Host. Die geprüfte Domain mit und ohne „www.“ und ihre Subdomains, etwa shop.ihre-firma.de, zählen als eigene; alles andere ist eine fremde Domain.
7. Weiterleitung: Endet G oder R auf einer anderen Domain als A1, ist das ein Fehler. Endet er auf einer anderen Adresse derselben Domain, etwa einer Zustimmungsseite auf einer Subdomain, ist das ein Hinweis.
8. Fremde Links nur für Google: Wir sammeln die Links auf fremde Domains und zählen ihre Hosts. Kommen Hosts in G oder R vor, aber weder in A1 noch in A2, sind 5 oder mehr ein Fehler, einer bis 4 eine Warnung; wir zeigen höchstens 10. Links auf Ihre eigene Domain und ihre Subdomains zählen nicht. Wechseln die Links schon zwischen A1 und A2 um mindestens so viele Hosts, ist der Unterschied nur ein Hinweis.
9. Abweichender Inhalt: Unterscheidet sich der Titel zwischen A1 und G, ohne Groß- und Kleinschreibung und Leerzeichen, ist das eine Warnung; wechselt er schon zwischen A1 und A2, vergleichen wir ihn nicht. Ist der sichtbare Text in G oder R mehr als doppelt so lang wie im längeren Browser-Abruf und mehr als 1.000 Zeichen länger, ist das ebenfalls eine Warnung. Als sichtbarer Text zählt der Text im body ohne script, style, noscript und template.
10. Enthalten beide Browser-Abrufe weniger als 300 Zeichen sichtbaren Text, G oder R aber mindestens so viel, baut meist ein Skript die Seite erst im Browser auf, und Google erhält eine fertige Fassung. Links, Titel und Text dieser Fassung vergleichen wir dann nicht; der Punkt bleibt „Nicht geprüft“, und ihre fremden Hosts stehen nur zum Prüfen da. Die Grenze von 300 Zeichen nutzt auch der KI-Crawler-Check.
11. Versteckte externe Links: Links auf andere Websites in Elementen, die ein style-Attribut versteckt – font-size:0, left oder top bei -999 Pixeln oder weiter außen, Höhe oder Breite 0 mit overflow:hidden, display:none oder visibility:hidden. Mit display:none und visibility:hidden verstecken viele Websites auch Menüs, Hinweise oder App-Banner, bis ein Skript sie zeigt. Solche Links zählen deshalb nur, wenn der versteckte Bereich auf mindestens 3 andere Websites verlinkt und auf keine Seite Ihrer eigenen. Wir prüfen jeden der vier Abrufe; ein Fund ist eine Warnung mit Anzahl, Hosts und Fundort. „Für alle“ heißt: auch in A1 oder A2; „nur für Google“ heißt: nur in G oder R.
12. Spam-Begriffe: Wir suchen „viagra“, „cialis“, „kamagra“, „levitra“, „payday loan“, „online casino“, „slot gacor“, „togel“, „replica watches“, „buy followers“, „hacked by“, „defaced by“ als ganze Wörter im sichtbaren Text und im Titel. Ein Treffer ist eine Warnung mit der Fundstelle und je 60 Zeichen davor und danach. Treffer sind kein Beweis; eine Apotheke darf Viagra nennen.
13. Fremde Schriftzeichen: Stehen mehr als 100 japanische, chinesische oder koreanische Zeichen im sichtbaren Text oder in den Linktexten, obwohl die Seite im lang-Attribut weder Japanisch noch Chinesisch noch Koreanisch angibt, ist das eine Warnung. Das ist typisch für den „Japanese Keyword Hack“.
14. Verdächtiger Code: ein iframe mit fremder Quelle, das höchstens 1 Pixel breit oder hoch ist oder mit eigenem hidden- oder style-Attribut versteckt ist, oder „eval(atob(“, „eval(unescape(“ oder „document.write(unescape(“ in einem Skript direkt im HTML. Jeder Fund ist eine Warnung. iframes in noscript zählen nicht, denn Browser mit JavaScript laden sie nicht; ebenso iframes in einem versteckten Fenster, etwa mit einem Video.
15. Sitemap: Wir lesen bis zu 500 Adressen aus /sitemap.xml oder, wenn es die nicht gibt, aus der Sitemap, die die robots.txt nennt. Liegen 5 oder mehr davon außerhalb Ihrer Domain, oder enthalten mehr als 10 Prozent Spam-Begriffe oder solche Schriftzeichen im Pfad, ist das eine Warnung.
16. Gesamtaussage: Ein Fehler ergibt „Deutliche Hinweise auf eine Manipulation“, nur Warnungen ergeben „Auffälligkeiten gefunden“, sonst steht dort „Keine Auffälligkeiten gefunden (das ist keine Entwarnung)“.
17. Das Ergebnis einer Domain bewahren wir 10 Minuten auf. Wird sie in dieser Zeit noch einmal geprüft, zeigen wir es mit der Uhrzeit der ursprünglichen Prüfung.

Annahmen und Grenzen

• Bei drei der vier Abrufe gibt sich unser Server als Browser aus, bei einem als Googlebot. Anders lässt sich nicht erkennen, ob eine Website Google etwas anderes zeigt.
• Alle Schwellen sind Richtwerte. Sie sollen deutliche Fälle finden und seriöse Websites nicht verdächtigen.
• Das Ergebnis speichern wir mit Domain und Prüfzeit 10 Minuten lang, ohne Bezug zu Ihnen. Zum Schutz vor Missbrauch sind je Besucher 20 Prüfungen in der Stunde möglich und je Domain 30 Prüfungen in der Stunde über alle Besucher.

• Werkzeug: Security-Header prüfen
• Werkzeug: Indexierung prüfen
• Alle 44 Prüfpunkte im Website-Check