Kurz gesagt: SEO-Spam im Google-Index bedeutet fast immer, dass auf Ihrem Server fremder Code läuft, der Spam-Seiten erzeugt oder ausliefert. Finden Sie zuerst heraus, ob die Seiten als Dateien, als Datenbankeinträge oder dynamisch durch eingeschleusten Code entstehen. Nach der Bereinigung muss jede Spam-URL dauerhaft 404 oder 410 liefern; das Entfernen-Tool der Search Console blendet nur vorübergehend aus.
Wenn Ihre Domain plötzlich für Fremdes rankt
Der Fund kommt oft zufällig. Ein Mitarbeiter sucht nach dem eigenen Firmennamen und sieht darunter Einträge in fremder Sprache. Oder in der Search Console tauchen Suchanfragen zu Arzneimitteln, Glücksspiel oder Markenwaren auf, mit Klicks auf Seiten, die niemand angelegt hat.
Für Angreifer ist eine seriöse Firmendomain wertvoll. Suchmaschinen vertrauen ihr, und Spam-Seiten unter dieser Adresse ranken leichter als auf frisch registrierten Domains. Sie als Betreiber tragen die Folgen: Ihr Ruf leidet, Google kann Warnungen anzeigen, und die eigentlichen Inhalte verlieren Sichtbarkeit.
SEO-Spam ist das Symptom eines Einbruchs, kein Marketingproblem. Nach PHP2Shell, den Lücken CVE-2026-109618 und CVE-2026-109619 in PHP selbst, ist das besonders wichtig: Ein Update auf eine behobene PHP-Version schließt die Lücke, entfernt aber keinen eingeschleusten Code. Für den Fall, dass Google bereits eine Warnung anzeigt, beschreibt der Ratgeber Google-Warnung entfernen den Weg zur Überprüfung. Dieser Beitrag konzentriert sich auf die Spam-Seiten selbst.
SEO-Spam erkennen: Was die Search Console zeigt
Die Google Search Console bietet mehrere Berichte, die SEO-Spam sichtbar machen, auch bevor eine Warnung erscheint:
- Leistung: Suchanfragen und Seiten, die nicht zu Ihrem Angebot passen, oft in fremden Sprachen oder Schriftzeichen.
- Seitenindexierung: Ein sprunghafter Anstieg indexierter oder entdeckter Seiten, ohne dass Ihr Team Inhalte veröffentlicht hat.
- Sitemaps: Eingereichte Sitemaps, die niemand im Team kennt.
- Nutzer und Berechtigungen: Zusätzliche Inhaber, über die Angreifer Sitemaps einreichen können.
Notieren Sie Beispiel-URLs und ihr Muster: Liegen sie in einem Unterordner, haben sie eine eigene Endung, enthalten sie zufällig wirkende Zeichenfolgen? Das Muster ist der wichtigste Hinweis darauf, wo die Seiten auf dem Server entstehen.
Woher die Spam-Seiten kommen
Spam-Seiten können auf drei Arten entstehen. Die Art bestimmt, wo Sie suchen und wie Sie bereinigen:
| Entstehung | Typische Spuren | Wo Sie suchen |
|---|---|---|
| Statische Dateien | viele HTML- oder PHP-Dateien in einem neuen Ordner | Dateisystem, nach Änderungsdatum |
| Datenbankeinträge | Spam-Beiträge oder -Produkte im CMS, oft unveröffentlicht oder versteckt | Inhaltstabellen der Datenbank |
| Dynamisch erzeugt | keine Dateien, die URLs existieren nur bei Aufruf | Rewrite-Regeln, Einstiegsdateien, eingebundener Code |
Die dritte Variante ist am schwersten zu finden. Ein kleines Stück Code in einer Einstiegsdatei oder in einer .htaccess fängt Anfragen ab, die einem bestimmten Muster folgen, und erzeugt die Spam-Seite aus einer Vorlage oder lädt sie von einem fremden Server nach. Häufig sehen nur Suchmaschinen die Spam-Inhalte, während normale Besucher eine Fehlerseite oder die Startseite erhalten.
Mit einer lesenden Abfrage prüfen Sie, was der Server tatsächlich ausliefert. Setzen Sie eine Spam-URL aus der Search Console ein:
# Antwort für einen normalen Browser
curl -s -o /dev/null -w '%{http_code}\n' "https://www.ihre-domain.de/spam-url"
# Antwort für eine Anfrage mit Googlebot-Kennung
curl -s -o /dev/null -w '%{http_code}\n' -A "Mozilla/5.0 (compatible; Googlebot/2.1; +http://www.google.com/bot.html)" "https://www.ihre-domain.de/spam-url"
Unterscheiden sich die Statuscodes, wertet der Server die Kennung des Aufrufers aus. Echte Prüfungen durch Google können zusätzlich an der Adresse des Abrufers hängen; die URL-Prüfung in der Search Console zeigt deshalb verlässlicher, was Google sieht. Liegen die Spam-Inhalte in der Datenbank, hilft der Beitrag Die Datenbank auf eingeschleusten Code prüfen.
Den Index dauerhaft aufräumen
Die Bereinigung des Servers kommt zuerst. Erst wenn der erzeugende Code entfernt und das Einfallstor geschlossen ist, lohnt die Arbeit am Index. Die Google-Hilfe nennt dafür klare Wege:
- Spam-URLs mit 404 oder 410 beantworten: Die Seiten müssen tatsächlich verschwunden sein. Prüfen Sie stichprobenartig mit den Befehlen oben, dass keine Variante mehr Inhalte liefert.
- Nicht auf die Startseite umleiten: Eine pauschale Weiterleitung lässt die URLs weiter existieren und verwässert die Bereinigung.
- Nicht per robots.txt sperren: Laut Google-Hilfe ist das kein geeigneter Weg zur Entfernung, weil Google die gelöschten Seiten dann nicht mehr abrufen kann.
- Fremde Sitemaps und Inhaber entfernen: In der Search Console eingereichte Spam-Sitemaps löschen und unbekannte Inhaber entfernen.
- Bei Bedarf vorübergehend ausblenden: Die temporäre Entfernung blendet besonders schädliche URLs laut Google-Hilfe für etwa sechs Monate aus. Sie ersetzt die dauerhafte Lösung nicht.
Denken Sie auch an andere Suchmaschinen. Die Spam-Seiten waren für alle Crawler erreichbar, nicht nur für Google. Die dauerhaft richtige Antwort mit 404 oder 410 wirkt dort ebenso. Wer die Webmaster-Werkzeuge weiterer Suchmaschinen nutzt, sollte auch dort Sitemaps und Berechtigte kontrollieren. Halten Sie zudem die Liste der bekannten Spam-URLs als Teil der Vorfallsdokumentation fest.
Tauchen nach der Bereinigung neue Spam-URLs auf, ist eine Hintertür übersehen worden. Dann nicht nur die neuen Seiten löschen, sondern die Suche auf dem Server wieder aufnehmen.
Wiederkehr verhindern
SEO-Spam kommt häufig zurück, weil nur die sichtbaren Seiten entfernt wurden. Beobachten Sie die Search Console in den Wochen nach der Bereinigung und lassen Sie die E-Mail-Benachrichtigungen an eine Adresse gehen, die regelmäßig gelesen wird. Eine Dateiüberwachung, die neue PHP-Dateien und Änderungen an .htaccess meldet, ergänzt das auf der Serverseite. Leiten Besucher statt Spam-Seiten auf fremde Angebote weiter, hilft der Beitrag Die Website leitet auf fremde Seiten um.
Wie hilft PHP SOS konkret?
- Wir ermitteln anhand der Search-Console-Daten und der Serverantworten, wie die Spam-Seiten entstehen.
- Wir entfernen den erzeugenden Code, Spam-Inhalte und Hintertüren im Rahmen der Malware-Entfernung und schließen das Einfallstor.
- Wir prüfen, dass alle bekannten Spam-URLs dauerhaft 404 oder 410 liefern, und bereinigen Sitemaps und Inhaber in der Search Console.
- Wir richten eine Überwachung ein, die neue Dateien und ungewöhnliche Indexzahlen früh sichtbar macht.
Häufige Fragen
Warum tauchen fremde Seiten unter meiner Domain bei Google auf?
Meist haben Angreifer Code auf dem Server platziert, der Spam-Seiten erzeugt oder ausliefert. Sie nutzen das Vertrauen, das Suchmaschinen Ihrer Domain entgegenbringen, um eigene Angebote nach oben zu bringen. Das ist ein Zeichen für einen Einbruch, nicht für einen SEO-Fehler.
Reicht es, die Spam-URLs mit dem Entfernen-Tool auszublenden?
Nein. Laut Google-Hilfe blendet eine temporäre Entfernung eine URL nur für etwa sechs Monate aus und verhindert das Crawlen nicht. Dauerhaft verschwinden die Seiten erst, wenn der Server für sie 404 oder 410 liefert.
Soll ich Spam-URLs per robots.txt sperren?
Nein. Die Google-Hilfe rät ausdrücklich davon ab, Seiten zum Entfernen per robots.txt zu blockieren. Gesperrte URLs kann Google nicht mehr abrufen und erkennt deshalb auch nicht, dass sie gelöscht sind.
Wie lange bleiben die Spam-Seiten nach der Bereinigung im Index?
Das hängt davon ab, wann Google die URLs erneut abruft. Ein verlässlicher Zeitraum lässt sich nicht nennen. Wichtig ist, dass jede bekannte Spam-URL dauerhaft 404 oder 410 liefert und keine neuen hinzukommen.