Ihre Website sieht gut aus. Die Seiten laden, das Design stimmt, in wp-admin ist nichts Auffälliges zu sehen. Dann erwähnt ein Kunde, dass in Ihren Google-Ergebnissen Apothekenwerbung auftaucht, oder Ihr Traffic bricht ohne erkennbaren Grund ein, oder Chrome beginnt, Besucher zu warnen.
Genau so funktioniert eine zunehmend verbreitete Art von WordPress-Infektion: Sie ist darauf ausgelegt, sich vor dem Website-Betreiber zu verstecken. Sicherheitsforscher haben Kampagnen beobachtet, die gefälschte Plugins installieren, Spam nur dann einschleusen, wenn eine Suchmaschine die Seite besucht, und nur einen Teil der Besucher auf Betrugsseiten umleiten. Dieser Leitfaden zeigt Ihnen, wie Sie Ihre Website prüfen, gründlich bereinigen und dauerhaft sauber halten.
Das Wichtigste
- Versteckter SEO-Spam zeigt Apotheken- oder Casino-Inhalte nur Suchmaschinen, sodass die Website für Sie ganz normal aussieht.
- Ein häufiger Trick ist ein gefälschtes Plugin, das nach Ihrer eigenen Domain benannt ist, etwa example-com/example-com.php.
- Prüfen Sie Google mit site:yourdomain.com plus Spam-Begriffen und suchen Sie in der Search Console nach Seiten, die Sie nicht erstellt haben.
- Zur Bereinigung gehört, Dateien zu ersetzen, alle Passwörter zurückzusetzen und versteckte Admin-Benutzer zu entfernen – nicht nur eine einzelne Datei zu löschen.
- Ist die Website sauber, beantragen Sie bei Google eine Überprüfung, damit Warnungen und Spam-Ergebnisse verschwinden.
So funktioniert versteckter SEO-Spam
Die Malware prüft jede Anfrage, bevor sie entscheidet, was angezeigt wird:
- Suchmaschinen-Crawlern zeigt sie Spam: Links, Seiten oder Texte über Medikamente, Casinos, Kredite oder gefälschte Markenware. Google indexiert diese Inhalte unter Ihrer Domain, wodurch der Spam vom guten Ruf Ihrer Website profitiert.
- Ihnen und Ihrem angemeldeten Team zeigt sie die echte Website, sodass alles normal aussieht.
- Einen Teil der Besucher, oft nur diejenigen, die auf dem Smartphone über Google kommen, leitet sie auf eine Betrugsseite um und pausiert dann eine Weile, damit sich das Problem schwer nachvollziehen lässt.
Ein beliebtes Versteck ist ein Plugin, das nach Ihrer eigenen Website benannt ist. Auf example.com könnten Ordner und Datei beispielsweise example-com/example-com.php heißen – das wirkt, als hätte Ihr Entwickler es angelegt. Andere Kampagnen geben sich als Sicherheits- oder SEO-Plugins aus, verwenden stark verschleierten, schwer lesbaren Code oder blenden sich in der Plugin-Übersicht komplett aus.
Anzeichen, dass Ihre Website betroffen sein könnte Spam-Begriffe oder fremdsprachige Seiten in den Google-Ergebnissen für Ihre Domain; eine Warnung wie „Achtung, betrügerische Website“ oder „Diese Website wurde möglicherweise gehackt“; Kunden, die von Weiterleitungen berichten, die Sie nicht nachvollziehen können; ein plötzlicher Einbruch des Suchmaschinen-Traffics; oder neue Admin-Benutzer, die niemand angelegt hat.
Schritt 1: Prüfen Sie, was Google sieht
Suchen Sie bei Google nach Ihrer Domain zusammen mit typischen Spam-Begriffen. Erscheinen Ergebnisse für Seiten, die Sie nie geschrieben haben, hat Google Spam auf Ihrer Website indexiert.
site:yourdomain.com viagra
site:yourdomain.com casino
site:yourdomain.com replica
site:yourdomain.com "buy" "online" "cheap"Öffnen Sie anschließend die Google Search Console für Ihre Website. Prüfen Sie unter Sicherheit & manuelle Maßnahmen › Sicherheitsprobleme, ob Warnungen vorliegen, und im Bericht Seiten, ob URLs auftauchen, die Sie nicht kennen. Das Tool URL-Prüfung zeigt eine Seite so, wie der Googlebot sie sieht – der schnellste Weg, Inhalte aufzuspüren, die nur Crawlern angezeigt werden.
Schritt 2: Suchen Sie den Eindringling
Prüfen Sie in wp-admin die Bereiche Plugins und Benutzer. Da sich manche Malware jedoch vor wp-admin versteckt, sollten Sie die Dateien auch direkt ansehen, im Dateimanager von cPanel oder per SSH:
# Plugin folders on disk (compare with the Plugins screen)
ls -la wp-content/plugins/
# Must-use plugins load automatically and don't need activating
ls -la wp-content/mu-plugins/
# PHP files don't belong in uploads
find wp-content/uploads -name "*.php"
# Core files that differ from the official release
wp core verify-checksums
# Plugins whose files differ from the wordpress.org versions
wp plugin verify-checksums --all
# Every administrator account
wp user list --role=administratorAchten Sie auf einen Plugin-Ordner, der nach Ihrer Domain benannt ist, auf alles in mu-plugins, das Sie nicht selbst hinzugefügt haben, auf PHP-Dateien im Ordner uploads und auf Admin-Benutzer, die Sie nicht kennen. Beim cPanel-Hosting von WebGee sollten Sie zusätzlich einen Scan mit dem Malware-Scanner von cPanel durchführen und den Bericht „CMS Threats“ von cPGuard prüfen, der auch infizierte Dateien und Datenbankinhalte in jeder WordPress-Installation meldet.
Schritt 3: Bereinigen Sie die Website gründlich
Der häufigste Fehler ist, nur die eine schädliche Datei zu löschen und es dabei zu belassen. Angreifer hinterlassen fast immer einen zweiten Weg zurück. Gehen Sie deshalb alle Punkte durch:
Bereinigung in dieser Reihenfolge
- Erstellen Sie zuerst ein Snapshot-Backup der infizierten Website, damit Sie vergleichen können und nichts verloren geht
- Installieren Sie die WordPress-Core-Dateien neu (wp core download --force --skip-content) und behalten Sie dabei wp-content und wp-config.php
- Löschen Sie alle Plugins und Themes und installieren Sie frische Kopien aus der offiziellen Quelle; löschen Sie alles, was Sie nicht kennen
- Entfernen Sie PHP-Dateien aus wp-content/uploads sowie alles Unerwartete in mu-plugins
- Löschen Sie unbekannte Admin-Benutzer und prüfen Sie wp-config.php und .htaccess auf hinzugefügten Code oder Weiterleitungen
- Prüfen Sie die Cronjobs in cPanel und die E-Mail-Weiterleitungen auf Einträge, die Sie nicht angelegt haben
- Setzen Sie alle Passwörter zurück: WordPress-Admins, cPanel, Datenbank, FTP/SSH und E-Mail; ändern Sie anschließend die WordPress-Sicherheitsschlüssel in wp-config.php
- Aktualisieren Sie alles, was veraltet war, einschließlich PHP, um die Lücke zu schließen, die der Angreifer genutzt hat
Wenn Sie ein sauberes Backup aus der Zeit vor der Infektion haben, kann eine Wiederherstellung schneller gehen. Stellen Sie Dateien und Datenbank wieder her, setzen Sie aber trotzdem alle Passwörter zurück und führen Sie die Updates durch – sonst kommt der Angreifer einfach auf demselben Weg zurück. Unsere Anleitung zur Malware-Bereinigung beschreibt jeden Schritt ausführlicher.
Schritt 4: Teilen Sie Google mit, dass das Problem behoben ist
Sobald die Website sauber ist, kehren Sie zur Search Console zurück. Wählen Sie unter Sicherheitsprobleme die Option Überprüfung beantragen und beschreiben Sie kurz, was Sie entfernt haben und wie Sie den Zugangsweg geschlossen haben. Mit dem Tool Entfernen können Sie die Spam-URLs aus den Ergebnissen ausblenden, während Google sie erneut crawlt. Wiederholen Sie die site:-Suchen in den folgenden Wochen.
So verhindern Sie, dass die Infektion zurückkehrt Halten Sie Plugins und Themes aktuell, löschen Sie, was Sie nicht nutzen, vergeben Sie Admin-Rechte nur an Personen, die sie wirklich brauchen, verwenden Sie starke, einzigartige Passwörter und erstellen Sie regelmäßig Backups. Die meisten Neuinfektionen erfolgen über dasselbe veraltete Plugin wie beim ersten Mal.
Sicherheit, die nicht darauf wartet, dass Sie etwas bemerken
Versteckter Spam ist so angelegt, dass Sie ihn beim Betrachten Ihrer Website nicht finden. Beim cPanel-Hosting von WebGee scannt cPGuard jede WordPress-Installation in Ihrem Konto auf verwundbare Plugins, schädliche Dateien und infizierte Datenbankinhalte und schickt Ihnen wöchentlich einen Bericht per E-Mail. Malware-Scans, eine Web Application Firewall und Wiederherstellungen mit JetBackup sind inklusive, und unsere Techniker im Live-Chat sehen sich das rund um die Uhr gemeinsam mit Ihnen an, falls etwas auffällt.
Häufige Fragen
Wie kann meine Website Google Spam zeigen, mir aber nicht?
Die Malware prüft, wer die Seite aufruft. Sieht der Besucher wie ein Suchmaschinen-Crawler aus, fügt sie Spam-Inhalte oder -Links ein. Handelt es sich um einen angemeldeten Admin oder einen normalen Browser, zeigt sie die echte Seite – so bleibt die Infektion oft wochenlang unbemerkt.
Wie prüfe ich, ob Google Spam auf meiner Website sieht?
Suchen Sie bei Google nach site:yourdomain.com zusammen mit Begriffen wie viagra, casino oder replica. Prüfen Sie in der Google Search Console den Bericht „Seiten“ auf URLs, die Sie nie erstellt haben, und den Bericht „Sicherheitsprobleme“ auf Warnungen.
Reicht es, das gefälschte Plugin zu löschen?
Meistens nicht. Angreifer hinterlassen Hintertüren: zusätzliche Admin-Benutzer, veränderte Core-Dateien, Cronjobs oder Code in der Datenbank. Führen Sie die vollständige Bereinigung durch, einschließlich Ersetzen der Core-Dateien und Zurücksetzen aller Passwörter – sonst wird die Website oft innerhalb weniger Tage erneut infiziert.
Wie ist der Angreifer hineingekommen?
Meist über ein veraltetes Plugin oder Theme mit einer bekannten Sicherheitslücke oder über ein gestohlenes bzw. schwaches Admin-Passwort. Finden und schließen Sie diesen Zugangsweg, sonst hält die Bereinigung nicht lange.
Wie lange dauert es, bis Google den Spam nicht mehr anzeigt?
Nachdem Sie die Website bereinigt und in der Search Console eine Überprüfung beantragt haben, werden Warnungen oft innerhalb weniger Tage aufgehoben. Spam-Seiten verschwinden aus den Ergebnissen, sobald Google sie erneut crawlt, was länger dauern kann; mit dem Entfernungstool der Search Console lässt sich das beschleunigen.
