Kurz gesagt: Um die Google-Warnung zur gehackten Website zu entfernen, müssen Sie zuerst die Ursache schließen und alle schädlichen Inhalte entfernen. Erst danach beantragen Sie in der Google Search Console die Überprüfung. Wer zu früh beantragt oder nur die sichtbaren Spuren löscht, riskiert eine Ablehnung, weil Hintertüren und versteckte Spam-Seiten meist weiter bestehen.
Welche Warnungen Google anzeigt und warum
Google warnt auf zwei Arten vor kompromittierten Websites. In den Suchergebnissen kann unter Ihrem Eintrag ein Hinweis erscheinen, dass die Website möglicherweise gehackt wurde. Bei schwerwiegenderen Funden, etwa Schadsoftware oder Phishing, zeigen Browser über Google Safe Browsing eine rote Warnseite, bevor die Website überhaupt geladen wird.
Ursache sind fast immer Inhalte, die Angreifer eingeschleust haben: zahlreiche Spam-Seiten für Arzneimittel, Glücksspiel oder Markenfälschungen, Weiterleitungen auf fremde Seiten, Schadcode für Besucher oder gefälschte Anmeldeseiten. Für Ihr Unternehmen bedeutet das weniger Besucher, verunsicherte Kunden und im Shop direkte Umsatzeinbußen.
Welche Probleme Google gefunden hat, steht in der Google Search Console unter Sicherheit und manuelle Maßnahmen, im Bericht Sicherheitsprobleme. Dort sind oft Beispiel-URLs genannt, die einen ersten Anhaltspunkt geben.
Zuerst bereinigen, dann Überprüfung beantragen
Die Reihenfolge ist entscheidend. Die Google-Warnung ist ein Symptom; solange die Lücke offen und eine Hintertür vorhanden ist, kommen die Inhalte zurück, oft schon kurz nach dem Löschen.
Ein CMS-Update allein schließt nicht jede Lücke. Bei PHP2Shell liegt die Schwachstelle in PHP selbst, und ein Patch entfernt keine bereits eingeschleuste Schadsoftware. Prüfen Sie PHP-Version, Patchstand und Dateien, bevor Sie Google um Überprüfung bitten.
Für die Bereinigung ist es sinnvoll, die Website vorübergehend in einen Wartungsmodus zu setzen oder vom Netz zu nehmen. So schützen Sie Besucher, während Sie arbeiten, und verhindern, dass der Angreifer weitere Inhalte nachlegt. Ein Wartungsmodus sollte dabei den Statuscode 503 liefern, damit Suchmaschinen die Unterbrechung als vorübergehend erkennen.
Google-Warnung wegen gehackter Website entfernen: Schritt für Schritt
- Beweise sichern: Logs, eine Kopie der Dateien und der Datenbank sichern, bevor Sie etwas löschen.
- Search Console prüfen: Bericht zu Sicherheitsproblemen lesen, Beispiel-URLs notieren und unter Einstellungen, Nutzer und Berechtigungen nach unbekannten Inhabern suchen.
- Lücke schließen: PHP, CMS, Themes und Erweiterungen aktualisieren, nicht genutzte Erweiterungen entfernen, PHP-Worker nach dem Update neu starten.
- Schadcode entfernen: Kerndateien des CMS aus einer sauberen Quelle ersetzen, Upload- und Cache-Verzeichnisse nach PHP-Dateien durchsuchen,
.htaccessund Serverkonfiguration auf fremde Weiterleitungen prüfen. - Datenbank bereinigen: Spam-Beiträge, eingeschleuste Skripte in Inhalten und Optionen sowie unbekannte Admin-Konten entfernen.
- Zugänge erneuern: Passwörter für CMS, Hosting, Datenbank, FTP und SSH ändern, Sicherheitsschlüssel des CMS neu erzeugen.
- Ergebnis kontrollieren: Beispiel-URLs mit der URL-Prüfung testen und die eigene Website so aufrufen, wie Google sie sieht.
- Überprüfung beantragen: Im Bericht zu Sicherheitsproblemen die Überprüfung anfordern und kurz beschreiben, was gefunden und behoben wurde.
Versteckte Spuren: Spam-Seiten, Cloaking und fremde Inhaber
Viele Hacks sind so gebaut, dass Betreiber sie nicht bemerken. Die Spam-Inhalte erscheinen nur für den Googlebot oder für Besucher, die über die Suche kommen. Angemeldete Admins sehen die normale Website. Die URL-Prüfung in der Search Console zeigt dagegen den Abruf aus Sicht von Google.
Ein weiterer Anhaltspunkt ist eine Suche mit site:ihredomain.de in Kombination mit typischen Spam-Begriffen. Erscheinen dort Seiten, die Sie nie angelegt haben, ist das ein deutliches Zeichen. Prüfen Sie auch eingereichte Sitemaps: Angreifer legen manchmal eigene Sitemaps an, um ihre Spam-Seiten schneller indexieren zu lassen.
Auf dem Server helfen einfache, nur lesende Prüfungen bei der Suche nach veränderten Dateien:
# PHP- und HTML-Dateien, die in den letzten 14 Tagen geändert wurden
find /var/www/ihre-website -type f \( -name '*.php' -o -name '*.html' \) -mtime -14 | sort
# PHP-Dateien in Upload-Verzeichnissen (sollte es normalerweise nicht geben)
find /var/www/ihre-website -path '*uploads*' -name '*.php'
# Weiterleitungsregeln in .htaccess-Dateien
grep -rn --include='.htaccess' -iE 'RewriteCond.*(HTTP_REFERER|HTTP_USER_AGENT)' /var/www/ihre-website
Regeln, die je nach Referer oder User-Agent unterschiedlich weiterleiten, sind ein typisches Merkmal von Cloaking. Gehen Sie bei WordPress zusätzlich gezielt nach den Hinweisen im Ratgeber Backdoors in WordPress finden vor.
Was nach dem Antrag passiert
Google prüft die Website erneut und teilt das Ergebnis in der Search Console mit. Wird der Antrag angenommen, verschwinden die Warnungen. Wird er abgelehnt, nennt Google meist weitere Beispiel-URLs. Dann suchen Sie gezielt nach den verbliebenen Inhalten und beantragen erst nach der Bereinigung erneut.
Spam-URLs, die Google bereits kennt, sollten nach der Bereinigung einen Status 404 oder 410 liefern, damit sie aus dem Index fallen. Leiten Sie sie nicht pauschal auf die Startseite um. Beobachten Sie die Search Console in den Wochen danach weiter, denn ein erneutes Auftauchen von Spam deutet auf eine übersehene Hintertür. Eine vollständige Nachbereitung beschreibt unsere Checkliste nach einem Hack.
Damit sich die Warnung nicht wiederholt, sollten nach der Bereinigung einige Dinge dauerhaft geregelt sein:
- Updates für PHP, CMS, Themes und Erweiterungen werden zeitnah eingespielt, und jemand ist dafür verantwortlich.
- Nicht genutzte Erweiterungen, alte Testinstallationen und vergessene Unterverzeichnisse sind entfernt.
- Admin-Zugänge sind persönlich und mit zweitem Faktor geschützt.
- Eine Dateiüberwachung meldet neue PHP-Dateien in Upload- und Cache-Verzeichnissen.
- Die E-Mail-Benachrichtigungen der Search Console erreichen eine Adresse, die regelmäßig gelesen wird.
Informieren Sie bei längeren Ausfällen oder betroffenen Kundendaten auch Ihre Kunden sachlich über den Stand. Eine offene, ruhige Kommunikation schützt das Vertrauen meist besser als Schweigen.
Wie hilft PHP SOS konkret?
- Wir sichern zuerst die Spuren und klären, über welche Lücke der Angreifer hereinkam.
- Wir bereinigen Dateien, Datenbank und Serverkonfiguration im Rahmen der Malware-Entfernung und schließen die Ursache.
- Wir prüfen die Website aus Sicht von Google, entfernen fremde Search-Console-Inhaber und bereiten den Antrag auf Überprüfung mit Ihnen vor.
- Bei akutem Befall übernimmt unsere Notfallhilfe bei gehackten Websites die Eindämmung, bis der Vorfall abgeschlossen und dokumentiert ist.
Häufige Fragen
Wie lange dauert es, bis Google die Warnung entfernt?
Das lässt sich nicht verlässlich vorhersagen. Die Überprüfung beginnt erst, wenn Sie sie in der Search Console beantragen, und hängt von Art und Umfang des Problems ab. Den Stand sehen Sie im Bericht zu Sicherheitsproblemen.
Was passiert, wenn ich die Überprüfung zu früh beantrage?
Findet Google bei der Prüfung weiterhin schädliche Inhalte, wird der Antrag abgelehnt und die Warnung bleibt. Wiederholte Ablehnungen können die nächste Prüfung verzögern. Beantragen Sie die Überprüfung deshalb erst nach vollständiger Bereinigung.
Warum sehe ich die Spam-Seiten selbst nicht?
Viele Hacks zeigen Spam nur Suchmaschinen oder Besuchern, die über Google kommen, und angemeldeten Admins die normale Seite. Diese Technik heißt Cloaking. Mit der URL-Prüfung in der Search Console sehen Sie, was Google tatsächlich abruft.
Muss ich nach der Bereinigung meine Rankings neu aufbauen?
Nach dem Entfernen der Warnung erholt sich die Sichtbarkeit oft wieder, aber nicht zwingend auf den alten Stand. Entscheidend ist, dass Spam-URLs aus dem Index verschwinden und die eigentlichen Inhalte unverändert erreichbar sind.