WordPress SEO Spam erkennen und dauerhaft entfernen

Wichtig auf einen Blick

• WordPress SEO Spam zeigt sich meist zuerst in Google, nicht im eigenen Backend – über site:deinedomain.tld werden fremde Seiten mit Spam-Keywords sichtbar.
• Häufigste Variante ist der Japanese Keyword Hack mit massenhaft Seiten in japanischer Sprache, die zu Fake-Shops weiterleiten.
• Die Spuren liegen sowohl im Dateisystem als auch in der Datenbank; eine dauerhafte Entfernung erfordert technische Bereinigung und SEO-seitige Nacharbeit.

WordPress SEO Spam bezeichnet Hacks, bei denen Angreifer über eine Sicherheitslücke Inhalte, Seiten oder Weiterleitungen in eine WordPress-Installation einschleusen, um für eigene Spam-Keywords und Fake-Shops zu ranken. Google behandelt das offiziell als „Hacked content“ und listet es im Security-Issues-Report der Search Console. Dieser Artikel zeigt, wie sich solches SEO-Spam konkret erkennen lässt, warum es entsteht und welche Schritte zu einer dauerhaften Entfernung notwendig sind.

Wie erkennt man SEO-Spam in WordPress?

Die zuverlässigsten Hinweise liefert nicht das WordPress-Backend selbst, sondern Google und der Dateisystem-/Datenbank-Abgleich.

In Google:

• Eine site:deinedomain.tld-Suche zeigt Ergebnisse mit fremden Titeln, fremden Sprachzeichen oder Spam-Keywords (z. B. gefälschte Markenartikel, Pharma-Begriffe).
• Die Search Console meldet plötzlich hunderte oder tausende neue indexierte URLs, die im eigenen Projekt nie angelegt wurden.
• Titel und Meta-Description im Suchergebnis passen nicht zum tatsächlichen Seiteninhalt – ein typisches Zeichen für Cloaking, bei dem Googlebot andere Inhalte sieht als menschliche Besucher.

Im System:

• Neue oder geänderte PHP-Dateien in /wp-content/, auch in uploads, plugins oder themes, oft mit obfuskiertem Code.
• Unerwartete MU-Plugins in wp-content/mu-plugins, die zuvor nicht installiert wurden.
• Unbekannte Admin-Benutzer, die niemand im Team angelegt hat.

Google selbst gibt keine WordPress-spezifischen Prüfschritte vor, verweist aber im Security-Issues-Report auf „Hacked content“ als Kategorie – dieser Hinweis ist meist der erste zuverlässige Alarm.

Warum erscheinen fremde Spam-Seiten in WordPress?

Fremde Spam-Seiten sind fast immer die Folge einer kompromittierten Installation, nicht eines regulären WordPress-Fehlers. Angreifer nutzen Sicherheitslücken – veraltete Plugins oder Themes, schwache Zugangsdaten oder unsichere Hosting-Konfigurationen –, um Code einzuschleusen, der neue Seiten erzeugt oder bestehende Inhalte überschreibt.

Diese Spam-Seiten entstehen auf unterschiedliche Weise:

• direkt als Einträge in wp_posts,
• über zusätzliche Custom Post Types,
• oder vollständig „virtuell“, indem eine Backdoor Anfragen abfängt und Inhalte dynamisch ausliefert, ohne dass ein klassischer Beitrag angelegt wird.

Ein weiterer Grund, warum die Seiten überhaupt in Google auftauchen: Angreifer fördern die Indexierung ihrer Spam-Inhalte teils aktiv, etwa indem sie sich nach dem Hack unautorisiert als Inhaber in der Search Console eintragen. Zusätzlich sorgt Cloaking dafür, dass Googlebot die Spam-Inhalte crawlt und indexiert, während normale Besucher scheinbar nichts Ungewöhnliches sehen – wodurch der Hack lange unentdeckt bleiben kann, obwohl er in den Suchergebnissen längst sichtbar ist.

Japanischer SEO-Spam als häufigste Erscheinungsform

Der Japanese Keyword Hack ist die dokumentiert häufigste Ausprägung von WordPress SEO Spam. Er lässt sich an mehreren Merkmalen erkennen, die über allgemeine SEO-Spam-Anzeichen hinausgehen:

• In den Suchergebnissen erscheinen Titel und Beschreibungen mit japanischen Zeichen, häufig mit Begriffen wie 激安 (sehr günstig), コピー/偽物 (Kopie/Fälschung), スーパーコピー (Super-Fake), ブランド (Marke) oder 時計 (Uhren).
• Die betroffenen URLs wirken zufällig generiert, etwa in Form kryptischer Verzeichnisnamen (z. B. /ltjmnjp/341.html), die nicht der üblichen WordPress-Struktur entsprechen.
• Für menschliche Besucher wirkt die Website meist unauffällig, während Googlebot – etwa über „Abruf wie Googlebot“ – japanischen Spam-Content oder Weiterleitungen zu Fake-Shops erhält. Google dokumentiert diesen Mechanismus explizit als Cloaking.
• In der Datenbank finden sich entsprechend viele neue wp_posts-Einträge mit japanischen Zeichen in Titel oder Inhalt, oft begleitet von ungewöhnlich großen Loader-Einträgen in wp_options.

Ein wichtiger Hinweis aus der Praxis: Der Page-Indexing-Report der Search Console zeigt gehackte URLs teils weiter an, obwohl sie technisch längst entfernt wurden. Der Report spiegelt einen verarbeiteten Status wider, nicht zwingend den aktuellen Live-Zustand der Website.

Wie findet man Spam-Einträge in der WordPress-Datenbank?

Die Suche nach Spam-Einträgen erfolgt über das Datenbank-Tool des Hosters, üblicherweise phpMyAdmin. Konkrete Befehle unterscheiden sich je nach Tabellenpräfix der Installation; die folgenden Prüfpunkte sind branchenübliche Vorgehensweisen, keine fertigen SQL-Befehle:

• wp_posts: nach Beiträgen oder Seiten mit japanischen Zeichen, Marken- oder Medikamentennamen suchen, die nicht zum eigenen Content passen. Spam-Einträge können als regulärer Post-Typ oder als Custom Post Type vorliegen.
• wp_options: nach Einträgen mit autoload = 'yes' und ungewöhnlich großem option_value suchen. Solche Werte fungieren häufig als versteckter Loader, der bei jedem Seitenaufruf zusätzlichen Code nachlädt.
• wp_postmeta / wp_commentmeta: auf Metadaten mit unbekannten Schlüsseln, langen kodiert wirkenden Werten oder versteckten Redirect-URLs prüfen.
• wp_users / wp_usermeta: auf Admin-Konten prüfen, die nicht selbst angelegt wurden, sowie auf ungewöhnlich erweiterte Rollen oder Rechte.

Google gibt hierzu keine WordPress-spezifischen Anweisungen, fordert aber allgemein das Entfernen injizierter Inhalte, Skripte und unbekannter Admin-Nutzer als Bestandteil der Bereinigung. Wichtig: Vor jeder Löschung sollte ein Backup vorhanden sein, da einzelne Tabelleneinträge auch mit legitimen Plugins verknüpft sein können und ein unüberlegtes Entfernen die Website beschädigen kann.

Wie kann man WordPress SEO-Spam dauerhaft entfernen?

Eine dauerhafte Entfernung besteht aus drei Ebenen: technische Bereinigung, Datenbank-Cleanup und SEO-seitige Nacharbeit. Wird nur eine Ebene bearbeitet, kehrt der Spam häufig zurück oder bleibt in Google sichtbar.

Technische Bereinigung:

• WordPress-Core durch eine saubere Version ersetzen oder über eine Neuinstallation prüfen.
• Alle Plugins und Themes aktualisieren; nicht benötigte oder verdächtige Erweiterungen vollständig löschen statt nur zu deaktivieren.
• /wp-content/uploads/ und andere Verzeichnisse manuell auf unbekannte PHP-Dateien prüfen, da Angreifer diese Ordner häufig für Backdoors nutzen.
• wp-content/mu-plugins auf nicht selbst installierte Dateien kontrollieren.
• Unbekannte Admin-Konten löschen und alle Zugangsdaten (WordPress, FTP/SSH, Datenbank, Hosting) ändern.

Datenbank-Bereinigung:

• Spam-Posts inklusive zugehöriger Metadaten entfernen.
• Versteckte Loader-Payloads in wp_options löschen.
• Manipulierte Redirect- oder SEO-Meta-Einträge in wp_postmeta bereinigen.

SEO-seitige Nacharbeit:

• Entfernte Spam-URLs sollten nach der Bereinigung mit dem passenden HTTP-Statuscode antworten. Branchenpraxis empfiehlt 410 Gone, da dies Google eindeutig signalisiert, dass die Inhalte dauerhaft entfernt wurden; alternativ ist 404 möglich, wirkt aber teils langsamer.
• Das Removals-Tool der Search Console kann für besonders kritische Spam-URLs zur temporären Entfernung genutzt werden.
• Eine aktualisierte, saubere Sitemap sollte erneut eingereicht werden.
• Liegt ein Security Issue vor, ist nach vollständiger Bereinigung und geschlossener Sicherheitslücke ein Request a Review über den Security-Issues-Report notwendig – Google verlangt hier eine Erklärung der Ursache und der ergriffenen Maßnahmen.

Da diese Schritte tief in Dateisystem, Datenbank und Suchmaschinenkommunikation eingreifen, ist bei umfangreichem Befall oder Unsicherheit über den vollen Umfang des Hacks professionelle Unterstützung sinnvoll, insbesondere um Backdoors zu identifizieren, die bei rein oberflächlicher Bereinigung übersehen werden.

Häufige Fragen zu WordPress SEO Spam

Wie erkennt man SEO-Spam in WordPress?

Am zuverlässigsten über eine site:deinedomain.tld-Suche in Google, die fremde Titel, Sprachen oder Spam-Keywords zeigt, sowie über plötzlich stark angestiegene indexierte URLs in der Search Console. Zusätzlich weisen unbekannte PHP-Dateien in /wp-content/, unerwartete MU-Plugins und ungewöhnlich große wp_options-Einträge auf eine Kompromittierung hin.

Warum erscheinen fremde Spam-Seiten in WordPress?

Weil die Installation über eine Sicherheitslücke – etwa veraltete Plugins, schwache Zugangsdaten oder unsichere Hosting-Einstellungen – kompromittiert wurde. Angreifer schleusen darüber Code ein, der Spam-Seiten erzeugt und diese teils per Cloaking nur für Googlebot sichtbar macht.

Wie findet man Spam-Einträge in der WordPress-Datenbank?

Über das Datenbank-Tool des Hosters lassen sich in wp_posts verdächtige Titel oder fremdsprachige Inhalte, in wp_options überdimensionierte Autoload-Einträge und in wp_users unbekannte Admin-Konten aufspüren. Auch wp_postmeta sollte auf versteckte Redirect-URLs oder manipulierte SEO-Meta-Felder geprüft werden.

Wie erkennt man japanischen SEO-Spam in WordPress?

Typisch sind Suchergebnisse mit japanischen Schriftzeichen wie 激安, コピー oder ブランド sowie zufällig wirkende URL-Verzeichnisse, die nicht der WordPress-Struktur entsprechen. Für Besucher bleibt die Seite oft unauffällig, während Googlebot über Cloaking japanischen Spam-Content oder Weiterleitungen zu Fake-Shops erhält.

Wie kann man WordPress SEO-Spam dauerhaft entfernen?

Notwendig ist eine Kombination aus technischer Bereinigung (Core, Plugins, Dateien, Benutzerkonten), Datenbank-Cleanup (Posts, Options, Metadaten) und SEO-seitiger Nacharbeit mit passenden HTTP-Statuscodes, aktualisierter Sitemap und gegebenenfalls einem Review-Antrag in der Search Console. Ohne geschlossene Sicherheitslücke kehrt der Spam in der Regel zurück.

Fazit

WordPress SEO Spam zeigt sich zuverlässig zuerst in Google und in der Search Console, nicht im gewohnten Backend-Blick. Die eigentliche Ursache liegt jedoch tiefer – in Dateisystem und Datenbank – und erfordert eine Bereinigung auf beiden Ebenen, ergänzt durch die SEO-seitige Deindexierung der Spam-URLs. Wird nur ein Teil dieser Schritte umgesetzt, bleiben Spam-Seiten in Google sichtbar oder der Hack kehrt zurück.

Quellen

• Google Search Console – Security Issues (Hacked content)
• Google Web.dev – Use Search Console
• Google Web.dev – Fix the Japanese keyword hack
• Google Web.dev – Request a review
• Google Search Blog – How we fought search spam 2020
• Google Search Console Hilfeforum – Page Indexing Report
• Google Search Console Hilfeforum – Spam Indexing nach Malware-Cleanup
• Patrick Stox – Security Issues Report
• GuardianGaze – WordPress Japanese SEO Spam
• LamaPixel – Japanese Keyword Hack
• ComodoSSLStore – How to fix a Japanese keyword hack in WordPress
• Webvise – WordPress SEO Spam Injection
• RankMath – Fix Japanese keyword hack
• WPRepublic – Identify & remove Japanese keyword hack