Website gehackt erkennen: Anzeichen & schnelle Checkliste

Website gehackt erkennen: Anzeichen & Checkliste

• Ein Hack zeigt sich nicht immer sichtbar auf der Seite – oft verrät ihn erst Google, z. B. über die Meldung „Diese Website wurde möglicherweise gehackt“ oder auffällige Suchergebnisse.
• SEO-Spam und der Japanese Keyword Hack laufen häufig unbemerkt im Hintergrund: Betroffene sehen ihre Website normal, während Google ganz andere, spamlastige Inhalte indexiert (Cloaking).
• Google Search Console liefert die wichtigsten Hinweise: Security Issues, Indexierungsstatus, Performance-Daten und Nutzerrechte.
• Eine systematische Prüfung kombiniert Sichtkontrolle, Google-Suche, Search Console und einen Blick ins CMS – erst dieses Zusammenspiel deckt versteckte Hacks zuverlässig auf.

Wer vermutet, dass die eigene Website gehackt wurde, steht meist vor einem diffusen Anfangsverdacht: eine Warnung im Browser, eine Google-Meldung oder ein Kunde, der von seltsamen Inhalten berichtet. Dieser Artikel zeigt, an welchen konkreten Anzeichen sich ein Hack erkennen lässt und wie eine strukturierte Prüfung abläuft – mit besonderem Fokus auf SEO-Spam und den Japanese Keyword Hack, bei denen die Symptome oft nur in Google sichtbar sind, nicht im eigenen Browser.

Woran erkennt man einen Hack – die wichtigsten Anzeichen

Ein Hack äußert sich auf unterschiedlichen Ebenen. Nicht jedes Anzeichen tritt gleichzeitig auf, daher lohnt sich eine Prüfung mehrerer Bereiche.

Sichtbare Veränderungen am Frontend
Dazu zählen fremde Werbebanner, Spam-Texte, Pop-ups oder Weiterleitungen auf andere Domains. Im Extremfall wird die komplette Startseite durch eine „Hacked by …“-Meldung ersetzt (Defacement).

Warnungen von Google und anderen Instanzen
Google kann Websites in den Suchergebnissen mit dem Hinweis „Diese Website wurde möglicherweise gehackt“ kennzeichnen. Auch Blacklisting durch Sicherheitsdienste, Antivirus-Warnungen bei Besuchern oder eine Sperrung durch den Hosting-Provider sind klare Signale.

Auffälligkeiten im Backend
Unerwartete neue Benutzerkonten, insbesondere mit Admin-Rechten, sind ein starkes Indiz. Auch unbekannte Plugins oder Themes, die niemand im Team installiert hat, gehören dazu. In der Google Search Console können zudem unbekannte „Verified Owners“ auftauchen – Nutzer mit Eigentümerrechten, die sich selbst verifiziert haben.

Ungewöhnliches technisches Verhalten
Weiterleitungen, die nur bei bestimmten Endgeräten, Browsern oder User Agents auftreten, deuten auf Cloaking hin. Auch unbekannte Dateien im Webroot oder eine plötzlich hohe Serverauslastung ohne erklärbaren Traffic-Anstieg sind typische Symptome.

Signale in der Google Search Console
Der Bericht „Security Issues“ meldet explizit „Hacked content“, Malware oder „Spammy content“. Ergänzend können Manual Actions wegen Spam oder Hack vorliegen, sowie auffällige Sprünge in der Anzahl indexierter Seiten.

Typische Symptome im Überblick

Diese Symptome treten je nach Art des Hacks unterschiedlich stark auf. Ein klassischer Defacement-Angriff ist sofort sichtbar, ein SEO-Hack mit Cloaking bleibt für den Betreiber dagegen oft unsichtbar, solange er nicht gezielt in Google und Search Console nachschaut.

SEO-Spam erkennen: Wenn der Hack nur in Google sichtbar ist

SEO-Spam bedeutet, dass eine Website zur Manipulation von Rankings missbraucht wird – meist durch zusätzliche Spam-Seiten, versteckte Links oder Keyword-Stuffing. Charakteristisch sind:

• Seiten mit thematisch fremden Inhalten (z. B. Glücksspiel, Pharma, gefälschte Markenprodukte) auf einer eigentlich seriösen Website.
• Ein großer Anteil neuer Seiten unter zufälligen Verzeichnissen oder Pfaden, oft mit niedriger inhaltlicher Qualität und starkem Keyword-Stuffing.
• Cloaking: Suchmaschinen sehen andere Inhalte als reguläre Besucher, sodass der Spam für den Websitebetreiber im normalen Browsing unsichtbar bleibt.

Praktische Erkennungswege:

1. Eine site:domain.de-Suche in Google zeigt, welche Seiten tatsächlich indexiert sind. Unbekannte Titel oder Snippets sind ein starkes Warnsignal.
2. Der Indexierungsbericht in der Search Console zeigt, ob die Anzahl indexierter Seiten unerwartet stark gestiegen ist.
3. Das URL Inspection Tool in der Search Console zeigt, was Googlebot tatsächlich für eine bestimmte URL rendert – entscheidend, um Cloaking von einer sauberen Seite zu unterscheiden.

Besonderheit Japanese Keyword Hack

Beim Japanese Keyword Hack zeigen sich die genannten Muster in einer sprachlich sehr spezifischen Form: Eine site:domain.de-Suche fördert plötzlich Seiten mit japanischen Titeln und Snippets zutage, häufig mit Begriffen wie „激安“, „コピー“ oder „偽物“ sowie Produktlisten mit Preisen und Markennamen. Auch hier gilt: Der reguläre Besucher der Website sieht in der Regel nichts davon, da die Spam-Inhalte meist nur für Googlebot oder bestimmte Suchanfragen ausgeliefert werden. Eine kleine, thematisch eng gefasste Website kann durch diesen Hack innerhalb kurzer Zeit hunderte oder tausende zusätzliche, spamlastige Unterseiten im Google-Index bekommen.

Die Rolle von Google-Suchergebnissen und Search Console

Google-Suchergebnisse sind meist der erste externe Hinweis auf einen Hack, noch bevor technische Details bekannt sind. Eine Kennzeichnung wie „Diese Website wurde möglicherweise gehackt“ signalisiert, dass Google bereits Hacked Content identifiziert hat.

Die Google Search Console liefert die eigentliche Diagnosegrundlage:

• Security Issues: listet konkrete erkannte Probleme wie Hacked Content, Malware oder Spam, inklusive Beispiel-URLs.
• Indexierung/Pages: zeigt alle indexierten und nicht indexierten Seiten – auffällige Sprünge oder unbekannte Pfade deuten auf automatisch generierte Spamseiten hin.
• Performance-Report: zeigt Suchanfragen und Seiten mit Impressionen/Klicks. Ungewöhnliche Queries, etwa in fremder Sprache oder mit Pharma-/Glücksspiel-Bezug, sind ein deutliches Warnsignal.
• URL Inspection Tool: zeigt den von Googlebot gerenderten Inhalt einer URL – der zentrale Weg, um Cloaking aufzudecken, wenn der Betreiber im eigenen Browser eine unauffällige Seite sieht.
• Users and Permissions: Hier sollten alle „Verified Owners“ regelmäßig kontrolliert werden. Google weist darauf hin, dass unerlaubte Eigentümer entfernt werden sollten – allerdings ist dies nur ein temporärer Schritt, solange der eigentliche Hack nicht bereinigt ist.

Ohne Zugriff auf die Search Console bleiben viele dieser Symptome verborgen, insbesondere bei Cloaking-basiertem SEO-Spam, da der Betreiber beim normalen Aufruf der Seite keine Auffälligkeiten bemerkt.

Systematische Prüfung: So gehen Sie vor

Eine strukturierte Prüfung kombiniert mehrere Ebenen, statt sich auf ein einzelnes Symptom zu verlassen.

1. Google Search Console registrieren und prüfen
Falls noch nicht vorhanden, Website in der Search Console verifizieren. Anschließend Security Issues, Indexierung/Pages, Performance-Report und Users and Permissions durchgehen.

2. Sichtprüfung im Browser
Zentrale Seiten wie Startseite, Login und Kontaktseite öffnen und auf sichtbare Veränderungen, Weiterleitungen oder Defacement prüfen.

3. Google-Suche durchführen
Eine site:domain.de-Suche zeigt, welche Seiten tatsächlich indexiert sind. Bei Verdacht auf Japanese Keyword Hack zusätzlich mit typischen japanischen Begriffen kombinieren, um versteckte Spamseiten aufzudecken.

4. CMS-Ebene prüfen
Bei WordPress-Websites: alle Admin-Benutzer auf Unbekannte prüfen, installierte Plugins und Themes auf unautorisierte Ergänzungen kontrollieren und – falls möglich – die Inhaltstabellen auf massenhaft neue, unbekannte Beiträge durchsehen. Diese Schritte sind CMS-spezifisch und können sich je nach eingesetztem System unterscheiden.

5. Dateisystem und Konfiguration sichten
Der Webroot sollte auf unbekannte Dateien und veränderte Kerndateien geprüft werden. Auch die .htaccess-Datei kann zusätzliche Rewrite-Regeln oder Weiterleitungen enthalten, die auf Cloaking oder Spam-Domains hindeuten. Solche Änderungen sollten nicht ohne genaue Analyse entfernt werden, da eine unvollständige Bereinigung den Hack nicht beseitigt und weitere Schäden verursachen kann.

6. Befunde dokumentieren
Alle betroffenen URLs, Dateien, Benutzer und Search-Console-Hinweise sollten festgehalten werden. Diese Dokumentation ist die Grundlage für eine spätere Bereinigung und für die Beantragung einer Google-Überprüfung nach der Behebung.

Diese Prüfung dient der Erkennung und ersten Einordnung des Problems. Die vollständige technische Bereinigung sowie die anschließende SEO-Wiederherstellung sind eigenständige, teils komplexe Prozesse, die insbesondere bei manipulierten Kerndateien, Datenbankeinträgen oder serverseitigen Einstellungen fundiertes technisches Wissen erfordern. Wenn unklare Befunde bestehen bleiben oder Kerndateien sowie serverseitige Konfigurationen betroffen sind, kann professionelle Unterstützung sinnvoll sein.

Häufige Fragen zur Erkennung eines Website-Hacks

Woran erkennt man, dass eine Website gehackt wurde?

Ein Hack zeigt sich durch eine Kombination von Anzeichen: sichtbare Veränderungen auf der Seite, Sicherheitswarnungen von Google oder Browsern, Blacklisting durch Suchmaschinen, unerwartete neue Benutzer oder Search-Console-Owner sowie unbekannte oder massenhaft neue indexierte Seiten. Häufig ist kein einzelnes Symptom eindeutig, sondern erst das Zusammenspiel mehrerer Hinweise bestätigt den Verdacht.

Wie erkennt man SEO-Spam auf einer Website?

SEO-Spam zeigt sich meist durch neue, thematisch fremde Seiten mit Keyword-Stuffing, die in einer site:domain.de-Suche sichtbar werden, sowie durch einen auffälligen Anstieg indexierter Seiten in der Search Console. Bei Cloaking hilft das URL Inspection Tool, da es zeigt, was Googlebot tatsächlich sieht – unabhängig davon, was der Websitebetreiber im eigenen Browser wahrnimmt.

Welche Rolle spielen Google-Suchergebnisse und Search Console bei der Erkennung?

Google-Suchergebnisse liefern oft den ersten externen Hinweis, etwa durch die Meldung „Diese Website wurde möglicherweise gehackt“ oder auffällige Snippets bei einer site:domain.de-Suche. Die Search Console liefert darüber hinaus detaillierte Diagnosedaten über Security Issues, Indexierung, Performance und Nutzerrechte, die für eine fundierte Einschätzung notwendig sind.

Wie kann man eine Website systematisch auf einen Hack prüfen?

Eine systematische Prüfung kombiniert die Registrierung und Auswertung der Google Search Console, eine Sichtprüfung im Browser, eine gezielte Google-Suche über site:domain.de, eine Kontrolle der CMS-Ebene (Benutzer, Plugins, Inhalte) sowie einen Blick in Dateisystem und Konfiguration wie die .htaccess-Datei. Erst die Kombination dieser Schritte deckt sowohl offensichtliche als auch versteckte Hacks wie Cloaking-basierten SEO-Spam zuverlässig auf.

Fazit

Ein Website-Hack lässt sich selten an einem einzigen Symptom festmachen. Während sichtbare Defacements sofort auffallen, bleiben SEO-Spam und der Japanese Keyword Hack oft unbemerkt, solange niemand gezielt in Google sucht oder die Search Console kontrolliert. Wer regelmäßig die Security Issues, den Indexierungsstatus und die Nutzerrechte in der Search Console prüft und diese mit einer einfachen site:domain.de-Suche kombiniert, erkennt verdächtige Muster frühzeitig – bevor sie sich zu einem größeren Problem für Rankings und Nutzervertrauen entwickeln.

Quellen

• https://wordpress.org/documentation/article/faq-my-site-was-hacked/
• https://web.dev/articles/how-do-i-know-if-my-site-was-hacked
• https://support.google.com/websearch/answer/6223687
• https://support.google.com/webmasters/answer/9044101
• https://support.google.com/webmasters/answer/7281924
• https://developers.google.com/search/blog/2008/04/my-sites-been-hacked-now-what
• https://www.guardiangaze.com/blog/wordpress-japanese-seo-spam/
• https://protego.me/blog/japanese-keyword-hack-removal-guide
• https://securityscan.getastra.com/seo-spam
• https://macrosoltech.com/blog/japanese-seo-spam-hack
• https://injected.website/japanese-keyword-hack-wordpress/
• https://blog.czarsecurities.com/blog/japanese-seo-spam-check-causes-fixes/
• https://wordpress.com/support/security/website-hack/