Cloaking erkennen: Googlebot- vs. Besucher-Ansicht prüfen

Cloaking erkennen: Unterschiede zwischen Besuchern und Suchmaschinen

Wenn in den Google-Suchergebnissen plötzlich japanische Titel oder Beschreibungen zu den eigenen URLs auftauchen, die eigene Website beim Aufruf im Browser aber völlig normal aussieht, liegt der Verdacht auf Cloaking nahe. Dieser Artikel zeigt, wie sich dieser Unterschied zwischen Googlebot-Ansicht und Besucher-Ansicht konkret nachweisen lässt.

Wichtig auf einen Blick

• Cloaking bedeutet, dass eine Website Googlebot bewusst andere Inhalte zeigt als menschlichen Besuchern.
• Beim japanischen Keyword-Hack ist Cloaking das zentrale Mittel, damit der Betreiber den Spam oft gar nicht bemerkt.
• Mit dem URL-Inspection-Tool in der Google Search Console lässt sich direkt vergleichen, was Googlebot sieht.
• User-Agent-Tests und die Analyse von .htaccess-Dateien helfen, die technische Ursache zu identifizieren.

Was Cloaking konkret bedeutet

Google definiert Cloaking als die absichtliche Auslieferung unterschiedlicher Inhalte an Nutzer und Suchmaschinen, um Rankings zu manipulieren und Besucher zu täuschen (Google Search Central). Typische von Google genannte Beispiele:

• Eine Seite liefert Suchmaschinen umfangreichen Text mit Keywords, Nutzer sehen dagegen hauptsächlich Bilder.
• Text oder Keywords werden nur dann in die Seite eingefügt, wenn der anfragende User-Agent als Suchmaschinen-Bot erkannt wird.

Nicht jede Abweichung zwischen Bot- und Nutzeransicht ist automatisch Cloaking. Google akzeptiert etwa Dynamic Rendering, bei dem Crawlern eine technisch andere, aber inhaltlich ähnliche Version der Seite ausgeliefert wird – etwa um JavaScript-Probleme zu umgehen (Google Search Central). Problematisch wird es erst, wenn der Inhalt selbst ein anderer ist – im Google-Beispiel: „eine Seite über Katzen für Nutzer, eine Seite über Hunde für Crawler“.

Wie sich Cloaking auf einer Website äußert

Bevor eine technische Untersuchung sinnvoll ist, lohnt sich der Blick auf typische Anzeichen, die in Sicherheits- und SEO-Praxisquellen im Zusammenhang mit Japanese SEO Spam beschrieben werden:

Diese Diskrepanz – Spam-Inhalt im Google-Snippet, saubere Seite im Browser – wird in mehreren Quellen ausdrücklich als typischer Cloaking-Hinweis bei Japanese SEO Spam beschrieben (Malcure; Protego; Astra).

Cloaking mit Bordmitteln prüfen: Google Search Console

Der direkteste Weg, um zu sehen, was Googlebot tatsächlich zu Gesicht bekommt, führt über die Google Search Console.

URL Inspection Tool:

1. Verdächtige URL identifizieren – etwa aus den Suchergebnissen oder aus dem Pages-Bericht der Search Console.
2. Die URL im URL-Inspection-Tool prüfen. Das Tool zeigt den HTML-Code und das gerenderte DOM, das Googlebot für diese URL sieht.
3. Diesen Inhalt mit dem vergleichen, was beim normalen Aufruf im Browser erscheint.

Wenn Googlebot japanischen Spam-Text sieht, während der Browser die reguläre Seite oder eine 404-Fehlerseite anzeigt, gilt das in den einschlägigen Guides als Beleg für Cloaking (Malcure; Protego).

Test Live URL:
Die Funktion „Test Live URL“ (früher „Fetch as Google“) ruft die Seite in Echtzeit aus Sicht von Googlebot ab. Da Angreifer die Auslieferung häufig über den User-Agent steuern, kann ein Live-Test aktuellere oder abweichende Ergebnisse liefern als eine zwischengespeicherte Ansicht (Malcure; Astra).

Manual Actions / Security Issues:
Der Bereich „Security & Manual Actions“ zeigt an, ob Google die Domain bereits wegen Cloaking oder irreführender Weiterleitungen manuell abgestraft hat. Auch allgemeine Sicherheitswarnungen können ein indirekter Hinweis sein, dass die Seite kompromittiert wurde (Google Search Central).

Cloaking technisch untersuchen: User-Agent, Server und Code

Eine vollständige Google-Anleitung zur Cloaking-Forensik existiert nicht. Die folgenden Methoden stammen aus Sicherheits- und SEO-Praxisquellen und ergänzen die Search-Console-Prüfung um eine technische Ebene.

Vergleich verschiedener User-Agents

Da Cloaking-Skripte häufig anhand des User-Agents entscheiden, welcher Inhalt ausgeliefert wird, lässt sich dieselbe URL einmal mit einem normalen Browser-User-Agent und einmal mit einem Googlebot-User-Agent abrufen (z. B. per Browser-Erweiterung wie einem User-Agent-Switcher). Verglichen werden:

• der HTTP-Statuscode (200, 301/302, 404)
• der Location-Header bei Weiterleitungen
• der eigentliche Seiteninhalt

Zeigt die Seite ausschließlich abhängig vom User-Agent unterschiedliche Inhalte oder Weiterleitungen, ist das ein technischer Cloaking-Verdacht (Malcure; Czar Securities).

.htaccess und Rewrite-Regeln prüfen

Bei Apache-basiertem Hosting nutzen Cloaking-Mechanismen oft Rewrite-Regeln, die je nach User-Agent oder Referer auf Spam-Inhalte umleiten. Relevant ist eine Prüfung der .htaccess-Datei auf Bedingungen wie RewriteCond %{HTTP_USER_AGENT} in Kombination mit Begriffen wie „googlebot“ oder „bingbot“. Solche Regeln können gezielte, nur für Crawler wirksame Weiterleitungen implementieren (Malcure; Protego; Astra).

Das Bearbeiten von Serverkonfigurationsdateien sollte nur erfolgen, wenn die Auswirkungen der Änderung verstanden werden, da fehlerhafte Rewrite-Regeln die gesamte Website unzugänglich machen können.

Code-Ebene bei CMS wie WordPress

In WordPress-Sicherheitsguides zum japanischen Keyword-Hack wird beschrieben, dass Schadcode häufig in Theme-Dateien, Plugins oder Upload-Verzeichnissen platziert wird und dort $_SERVER['HTTP_USER_AGENT'] auswertet, um zwischen Bot und Besucher zu unterscheiden (Malcure; Protego; Astra). Relevante Prüfpunkte sind:

• unerwartete PHP-Dateien in wp-content, wp-includes oder Upload-Ordnern
• obfuskiert wirkender oder base64-kodierter Code
• bedingte Include- oder Require-Anweisungen, die nur unter bestimmten Bedingungen ausgeführt werden

Diese Vorgehensweise ist CMS-spezifisch für WordPress und lässt sich nicht ohne Weiteres auf andere Systeme übertragen.

Server-Logs abgleichen

Ein Abgleich der Server-Logs kann zeigen, ob Anfragen aus bekannten Googlebot-IP-Bereichen andere Pfade oder Weiterleitungen erhalten als reguläre Besucher-IPs. Eine offizielle Google-Dokumentation zu dieser Loganalyse gibt es nicht; das Verfahren entspricht gängiger Sicherheits- und SEO-Praxis (Malcure; noc.org).

Ergebnis richtig einordnen

Sobald eine Abweichung zwischen Googlebot- und Besucheransicht bestätigt ist, sollte das Ergebnis in den Kontext des jeweiligen Falls gestellt werden:

• Bestätigtes Cloaking bei Spam-Inhalten (z. B. japanische Texte, Affiliate-Links) deutet stark auf eine kompromittierte Website hin, nicht auf eine legitime SEO-Technik.
• Keine feststellbare Abweichung, aber trotzdem Spam-Snippets in der Suche, kann auf zwischengespeicherte, bereits veraltete Google-Daten hinweisen – hier hilft der Live-Test in der Search Console weiter.
• Manuelle Maßnahme wegen Cloaking in der Search Console bestätigt, dass Google den Sachverhalt bereits erkannt und bewertet hat.

Da Cloaking im Kontext des japanischen Keyword-Hacks meist Symptom einer tieferliegenden Kompromittierung ist, ersetzt die reine Erkennung nicht die eigentliche Bereinigung der Website. Bei bestätigtem Schadcode auf Server- oder CMS-Ebene ist die Einbindung einer erfahrenen Fachperson oder eines spezialisierten Dienstleisters sinnvoll, insbesondere wenn eigene Kenntnisse in Server-Konfiguration oder CMS-Code begrenzt sind.

Häufige Fragen zum Erkennen von Cloaking

Was ist Cloaking?

Cloaking ist laut Google die Praxis, Suchmaschinen und Nutzern absichtlich unterschiedliche Inhalte zu zeigen, um Rankings zu manipulieren und Besucher zu täuschen. Beispiele sind Text nur für Bots oder komplett unterschiedliche Seiteninhalte je nach User-Agent. Reine technische Unterschiede, etwa beim Dynamic Rendering, gelten nur dann als Cloaking, wenn sich der eigentliche Inhalt für Bots und Nutzer unterscheidet.

Wie erkennt man Cloaking auf einer Website?

Ein zuverlässiger Ansatz ist der Vergleich der Google-Suchergebnisse mit dem tatsächlichen Seiteninhalt beim Direktaufruf: Zeigen SERP-Snippets Spam-Inhalte, während die Seite im Browser sauber wirkt, ist das ein klassisches Anzeichen. Zusätzlich helfen das URL-Inspection-Tool in der Search Console sowie User-Agent-Tests, um die Googlebot-Ansicht direkt zu prüfen.

Wie kann man prüfen, ob Googlebot andere Inhalte sieht als Besucher?

Das URL-Inspection-Tool und die Funktion „Test Live URL“ in der Google Search Console zeigen, welchen HTML-Inhalt Googlebot für eine bestimmte URL erhält. Dieser Inhalt lässt sich direkt mit der normalen Browseransicht vergleichen. Ergänzend können HTTP-Anfragen mit unterschiedlichen User-Agents (Standard-Browser vs. Googlebot) gestellt werden, um Statuscode, Weiterleitungen und Seiteninhalt zu vergleichen.

Welche Rolle spielt Cloaking beim japanischen Keyword-Hack?

Beim japanischen Keyword-Hack ist Cloaking das entscheidende Mittel, damit der Angriff möglichst lange unbemerkt bleibt: Die Malware unterscheidet Besucher und Googlebot und liefert normalen Nutzern sowie eingeloggten Admins meist die reguläre Seite oder eine 404-Fehlerseite, während Googlebot die Spam-Inhalte mit japanischem Text erhält. Dadurch erscheinen in der Google-Suche japanische Titel und Snippets, obwohl die Website beim Direktaufruf unauffällig wirkt.

Wie lässt sich Cloaking technisch untersuchen?

Neben der Google Search Console helfen HTTP-Anfragen mit unterschiedlichen User-Agents, die Analyse von .htaccess-Rewrite-Regeln sowie die Prüfung von CMS-Code (etwa bei WordPress) auf User-Agent-Auswertungen. Ergänzend kann ein Abgleich der Server-Logs zeigen, ob Anfragen aus Googlebot-IP-Bereichen andere Inhalte erhalten als reguläre Besucher. Eine vollständige, offizielle Google-Anleitung für diese Forensik existiert nicht; die genannten Methoden stammen aus der Sicherheits- und SEO-Praxis.

Fazit

Cloaking lässt sich am zuverlässigsten durch den direkten Vergleich zwischen Googlebot-Ansicht und Besucher-Ansicht nachweisen – primär über das URL-Inspection-Tool und die Test-Live-URL-Funktion in der Google Search Console, ergänzt durch User-Agent-Tests und eine Prüfung von Serverkonfiguration und CMS-Code. Gerade beim japanischen Keyword-Hack ist diese Diskrepanz meist deutlich sichtbar, sobald man gezielt danach sucht: Spam in den Suchergebnissen, aber eine unauffällige Seite im Browser. Wer eine solche Abweichung bestätigt, sollte davon ausgehen, dass die Website kompromittiert ist, und die Ursache auf Server- oder Code-Ebene weiter eingrenzen.

Quellen

• https://developers.google.com/search/docs/essentials/spam-policies
• https://developers.google.com/search/docs/crawling-indexing/javascript/dynamic-rendering
• https://malcure.com/blog/malware-removal-guides/remove-japanese-keyword-hack-wordpress/
• https://protego.me/blog/japanese-keyword-hack-removal-guide
• https://www.getastra.com/blog/security-audit/japanese-keyword-hack/
• https://noc.org/learn/seo-spam
• https://blog.czarsecurities.com/blog/japanese-seo-spam-check-causes-fixes/
• https://flyrank.zendesk.com/hc/en-us/articles/26282507044242-How-to-Detect-Cloaking-Using-Google-Search-Console
• https://www.siteguarding.com/en/website-spam-scanner
• https://freeseocheck.adbtc.info/cloaking-scanner-seo-spam
• https://www.searchenginejournal.com/google-answers-is-this-cloaking/402823/
• https://www.seobility.net/en/wiki/Cloaking