Ein WordPress Japanese Keyword Hack kann eine Website innerhalb kurzer Zeit mit automatisch erzeugten Spam-Seiten, manipulierten URLs und fremdsprachigen Inhalten überfluten. Besonders problematisch ist, dass die kompromittierten Inhalte nicht immer direkt auf der Website sichtbar sind. Häufig werden sie gezielt für Suchmaschinen erzeugt oder durch Cloaking vor normalen Besuchern verborgen.

Dieser Leitfaden zeigt, wie Sie einen Japanese Keyword Hack in WordPress erkennen, den Umfang der Kompromittierung untersuchen und die betroffenen Dateien, Datenbankeinträge und Benutzerkonten systematisch bereinigen.

Wichtig auf einen Blick

• Der Japanese Keyword Hack ist eine bekannte Form von SEO-Spam, bei der eine kompromittierte Website mit automatisch erzeugten Seiten mit japanischen Suchbegriffen versehen wird.
• Typische Hinweise sind japanische Zeichen oder unbekannte URLs in Google, ungewöhnliche Indexierungszahlen, unerwartete Weiterleitungen und verdächtige Änderungen an WordPress-Dateien oder Benutzerkonten.
• Eine vollständige Bereinigung kann Dateien, Datenbank, WordPress-Benutzer, Plugins, Themes, Konfiguration und Serverzugänge betreffen.
• Bereits indexierte Spam-URLs müssen nach der technischen Bereinigung korrekt behandelt werden. Für dauerhaft entfernte URLs sind insbesondere HTTP-Statuscodes 404 oder 410 geeignet.
• Das Search-Console-Tool zum Entfernen von URLs ist nur eine vorübergehende Maßnahme und ersetzt keine technische Bereinigung.
• Nach der Bereinigung müssen die ursprüngliche Schwachstelle geschlossen und möglicherweise kompromittierte Zugangsdaten ersetzt werden.

Was ist der WordPress Japanese Keyword Hack?

Der Japanese Keyword Hack ist eine bekannte Form von SEO-Spam, bei der Angreifer eine kompromittierte Website mit automatisch erzeugten Seiten mit japanischen Suchbegriffen versehen. Ziel ist es, diese Seiten in Suchmaschinen sichtbar zu machen und darüber beispielsweise Besucher auf manipulierte oder betrügerische Angebote zu lenken.

Google beschreibt den Japanese Keywords Hack als Angriffsmuster, bei dem häufig neue Seiten mit japanischem Text in zufällig wirkenden Verzeichnissen erzeugt werden. Die Seiten können anschließend in der Google-Suche erscheinen und beispielsweise mit gefälschten Markenprodukten verbunden sein. In manchen Fällen werden außerdem unbefugte Konten in der Search Console hinzugefügt.

Bei WordPress kann der Angriff unterschiedliche Bereiche betreffen. Dazu gehören beispielsweise:

• WordPress-Dateien
• Plugins und Themes
• .htaccess
• wp-config.php
• Datenbankeinträge
• WordPress-Benutzerkonten
• Sitemaps
• Server- oder Hosting-Zugänge

Nach dem ersten Zugriff können Angreifer zusätzliche Backdoors hinterlassen. Dadurch kann eine Website auch nach dem Schließen der ursprünglichen Sicherheitslücke erneut kompromittiert werden.

Welche Formen kann der Hack annehmen?

Ein Japanese Keyword Hack muss nicht immer gleich aussehen. Typische Erscheinungsformen sind:

URL Injection:
Angreifer erzeugen neue URLs und Seiten, die auf der ursprünglichen Website vorher nicht existiert haben.

Content Injection:
Spam-Inhalte werden in bereits vorhandene Seiten, Beiträge oder Datenbankeinträge eingefügt.

Cloaking:
Suchmaschinen erhalten andere Inhalte als normale Besucher. Dadurch kann der Hack für Website-Betreiber zunächst schwer erkennbar sein.

Redirects:
Besucher oder bestimmte Nutzergruppen werden von kompromittierten URLs auf fremde Websites weitergeleitet.

Manipulierte Sitemaps:
Zusätzliche oder veränderte Sitemap-Dateien enthalten Spam-URLs und erleichtern deren Entdeckung durch Suchmaschinen.

Kompromittierte Search-Console-Zugänge:
In bestimmten Fällen können Angreifer versuchen, eigene Benutzer oder Inhaber zur Search Console hinzuzufügen.

Woran erkennt man den Japanese Keyword Hack?

Die Diagnose sollte nicht auf einem einzigen Indikator beruhen. Eine Kombination aus Suchergebnissen, Search Console und technischer Untersuchung liefert deutlich zuverlässigere Hinweise.

Google-Suche und Search Console

Ein schneller erster Test ist eine Google-Suche mit:

site:ihredomain.de

Achten Sie dabei auf:

• japanische Zeichen oder fremdsprachige Inhalte
• unbekannte URLs
• ungewöhnliche Seitentitel
• Spam-artige Meta Descriptions
• stark erhöhte Mengen indexierter Seiten
• URLs mit zufällig wirkenden Verzeichnisnamen

In der Google Search Console sollten Sie insbesondere die Bereiche Sicherheitsprobleme, Indexierung und Sitemaps überprüfen.

Auch Manuelle Maßnahmen sollten kontrolliert werden. Dabei handelt es sich jedoch um einen anderen Bericht als „Sicherheitsprobleme“: Sicherheitsprobleme beziehen sich auf mögliche Hacks oder gefährliches Verhalten, während manuelle Maßnahmen Verstöße gegen die Google-Spamrichtlinien betreffen.

Sicherheitshinweis bei verdächtigen URLs

Öffnen Sie kompromittierte oder verdächtige URLs nicht unbedacht direkt im normalen Browser. Eine gehackte Seite kann Weiterleitungen oder andere unerwünschte Inhalte ausliefern.

Für die erste Untersuchung sind Suchmaschinenabfragen, die Google Search Console, Server-Logs oder eine isolierte Analyseumgebung besser geeignet.

Sichtbare Symptome

Betroffene WordPress-Websites können unter anderem folgende Anzeichen zeigen:

• Japanische oder andere fremdsprachige Inhalte in Suchergebnissen
• Spam-artige Titles und Meta Descriptions
• unbekannte Seiten oder Beiträge
• unerklärliche Weiterleitungen
• Warnmeldungen von Browsern oder Sicherheitstools
• plötzliche Veränderungen der organischen Sichtbarkeit
• unerwartete Sitemap-Dateien

Ein Traffic-Verlust allein beweist allerdings keinen Hack. Er sollte zusammen mit anderen technischen oder Suchmaschinen-Signalen bewertet werden.

Technische Indikatoren in WordPress

Bei einer technischen Untersuchung können unter anderem folgende Auffälligkeiten auftreten:

• unerwartete PHP-Dateien in wp-content/uploads/ oder anderen Verzeichnissen, in denen solche Dateien nicht benötigt werden
• Dateien mit ungewöhnlichen oder zufällig wirkenden Namen
• nicht autorisierte Administrator- oder Benutzerkonten
• unerwartete Dateiänderungen
• manipulierte .htaccess
• verdächtige Änderungen an wp-config.php
• ungewöhnliche Einträge in wp_posts, wp_postmeta oder wp_options
• manipulierte Sitemaps
• unerwartete Redirect-Regeln
• verdächtige Server-Logeinträge

Nicht jedes einzelne dieser Merkmale bedeutet automatisch eine Infektion. Entscheidend ist die Kombination der Befunde und deren Zusammenhang mit dem beobachteten Verhalten.

Wie entsteht der Japanese Keyword Hack?

Eine WordPress-Website kann auf unterschiedliche Weise kompromittiert werden. Häufige Ursachen sind:

Veraltete Software

Nicht aktualisierte WordPress-Versionen, Plugins oder Themes können bekannte Sicherheitslücken enthalten. WordPress empfiehlt ausdrücklich, WordPress selbst sowie installierte Plugins und Themes aktuell zu halten.

Schwache oder kompromittierte Zugangsdaten

Angreifer können versuchen, sich über gestohlene oder wiederverwendete Zugangsdaten Zugang zu WordPress, Hosting, SFTP oder anderen Systemen zu verschaffen.

Deshalb sollten für alle relevanten Zugänge starke und einzigartige Zugangsdaten verwendet werden. Für WordPress empfiehlt sich zusätzlich eine Zwei-Faktor-Authentifizierung, sofern sie mit der verwendeten Umgebung kompatibel ist.

Ungenutzte Plugins und Themes

Nicht benötigte Plugins und Themes vergrößern die Angriffsfläche. WordPress empfiehlt, nicht verwendete Plugins zu löschen und nur Plugins und Themes aus vertrauenswürdigen Quellen zu verwenden.

Unsichere Drittanbieter-Komponenten

Plugins oder Themes aus nicht vertrauenswürdigen Quellen können manipulierten Code enthalten. Besonders problematisch sind sogenannte „nulled“ oder illegal kopierte Premium-Komponenten.

Kompromittierte Zugänge außerhalb von WordPress

Die Ursache muss nicht zwingend in WordPress selbst liegen. Auch kompromittierte Hosting-, SFTP-, SSH- oder Datenbankzugänge können zu einer Übernahme führen.

Nach erfolgreichem Zugriff können Angreifer zusätzliche Backdoors einrichten. Deshalb reicht es nicht aus, nur die sichtbaren Spam-Seiten zu löschen oder lediglich die ursprüngliche Schwachstelle zu schließen.

Japanese Keyword Hack Schritt für Schritt beheben

Die Bereinigung einer kompromittierten Website sollte kontrolliert und systematisch erfolgen. Überstürztes Löschen kann wichtige Beweise zerstören oder dazu führen, dass Backdoors übersehen werden.

1. Sicherung und Analyse vorbereiten

Erstellen Sie vor größeren Änderungen eine vollständige Sicherung der Website und Datenbank.

Bei einer ernsthaften Kompromittierung sollte diese Sicherung außerdem außerhalb des Webservers aufbewahrt werden.

Eine solche Kopie kann später als Referenz dienen, falls während der Untersuchung Dateien oder Datenbankeinträge verändert werden.

Wichtig: Eine Sicherung einer bereits kompromittierten Website ist nicht automatisch für eine spätere Wiederherstellung geeignet. Vor einer Wiederherstellung muss geprüft werden, ob sie selbst kompromittierte Dateien oder Datenbankinhalte enthält.

2. Ausmaß des Befalls bestimmen

Ermitteln Sie zunächst, wie weit sich die Kompromittierung ausgebreitet hat.

Prüfen Sie beispielsweise:

• Google-Suchergebnisse mit site:ihredomain.de
• unterschiedliche verdächtige URL-Muster
• Indexierungsdaten in der Google Search Console
• eingereichte Sitemaps
• WordPress-Benutzerkonten
• Dateiänderungen
• Server-Logs
• Datenbankeinträge
• unerwartete Weiterleitungen

Dokumentieren Sie die gefundenen URLs, Dateien und Benutzerkonten, bevor Sie sie entfernen.

3. Unbefugte Benutzerkonten entfernen

Überprüfen Sie alle WordPress-Benutzer im Administrationsbereich.

Achten Sie insbesondere auf:

• unbekannte Administratoren
• unerwartete Benutzer mit erweiterten Berechtigungen
• Konten, die Sie nicht selbst angelegt haben
• Benutzer, deren Erstellungszeitpunkt oder Nutzung nicht nachvollziehbar ist

Entscheidend ist nicht allein der Benutzername. Auch ein scheinbar normaler Benutzername kann kompromittiert sein.

Entfernen Sie nicht autorisierte Konten kontrolliert und dokumentieren Sie die Änderungen.

4. Zugangsdaten kontrollieren und rotieren

Bei einer möglichen Kompromittierung sollten alle möglicherweise betroffenen Zugangsdaten überprüft und gegebenenfalls ersetzt werden.

Dazu können gehören:

• WordPress-Benutzerkonten
• Hosting-Control-Panel
• SFTP-Zugänge
• FTP-Zugänge, sofern noch verwendet
• SSH-Zugang und gegebenenfalls kompromittierte SSH-Schlüssel
• Datenbankzugang
• E-Mail-Konten mit Bezug zur Website
• API-Schlüssel und Anwendungspasswörter
• Zugangsdaten zu externen Diensten

Verwenden Sie für jeden Dienst einzigartige Zugangsdaten.

Wenn möglich, aktivieren Sie Zwei-Faktor-Authentifizierung für privilegierte Konten.

5. WordPress-Dateisystem untersuchen

Untersuchen Sie das Dateisystem systematisch auf Manipulationen.

WordPress Core überprüfen

Vergleichen Sie kritische WordPress-Core-Dateien mit einer sauberen Version aus der offiziellen WordPress-Quelle.

Besondere Aufmerksamkeit verdienen unter anderem:

• wp-config.php
• index.php
• Dateien unter /wp-admin/
• Dateien unter /wp-includes/

Wenn Core-Dateien manipuliert wurden oder ihre Integrität nicht zuverlässig festgestellt werden kann, sollten die betroffenen Core-Dateien durch saubere Dateien einer vertrauenswürdigen WordPress-Version ersetzt werden.

Verdächtige Dateien identifizieren

Achten Sie insbesondere auf:

• unerwartete PHP-Dateien in wp-content/uploads/
• Dateien mit kryptischen oder zufällig wirkenden Namen
• kürzlich geänderte Dateien ohne nachvollziehbaren Grund
• unerwartete Dateien in Plugin- oder Theme-Verzeichnissen
• stark verschleierten Code
• unerwartete include– oder require-Anweisungen
• verdächtige dynamische Funktionsaufrufe
• Dateien, deren Inhalt nicht zur vorgesehenen Funktion des jeweiligen Plugins oder Themes passt

Eine Datei mit ungewöhnlichem Code ist nicht automatisch Malware. Verdächtige Befunde sollten im Kontext der jeweiligen Anwendung untersucht werden.

.htaccess prüfen

Untersuchen Sie die .htaccess-Datei auf:

• unerwartete Weiterleitungen
• unbekannte Rewrite-Regeln
• fremde Domains
• ungewöhnliche Bedingungen
• eingeschleuste Codebestandteile

Bei einer manipulierten .htaccess sollte die Datei kontrolliert durch eine saubere, für die konkrete WordPress-Installation passende Konfiguration ersetzt werden.

6. Datenbank bereinigen

Auch die WordPress-Datenbank kann kompromittierte Inhalte oder Persistenzmechanismen enthalten.

wp_posts überprüfen

Suchen Sie nach:

• unerwarteten Posts oder Pages
• japanischen oder anderen fremdsprachigen Spam-Inhalten
• massenhaft erzeugten Einträgen
• Einträgen mit ähnlichen oder ungewöhnlichen Zeitstempeln
• unbekannten veröffentlichten, geplanten oder Entwurfs-Inhalten

wp_postmeta überprüfen

Untersuchen Sie Metadaten zu verdächtigen Beiträgen und Seiten auf:

• unerwartete URLs
• fremde Domains
• eingefügte Skripte
• verdächtige oder stark verschleierte Inhalte

wp_options überprüfen

Kontrollieren Sie insbesondere, ob wichtige Werte unerwartet verändert wurden.

Dazu gehören beispielsweise:

• siteurl
• home
• template
• stylesheet

Diese Optionen sind grundsätzlich legitime Bestandteile von WordPress. Relevant ist eine unerwartete Änderung, beispielsweise wenn home oder siteurl plötzlich auf eine unbekannte Domain zeigen.

Achten Sie außerdem auf unbekannte oder verdächtig große Optionen und Inhalte, die offensichtlich nicht zur Installation gehören.

Weitere Tabellen

Je nach verwendeten Plugins und Themes können auch andere Tabellen relevant sein.

Prüfen Sie unter anderem:

• wp_usermeta
• wp_postmeta
• plugin-spezifische Tabellen

Verdächtig verschleierte oder kodierte Daten sollten immer im jeweiligen Kontext bewertet werden. Base64 oder eine andere Kodierung allein beweist noch keine Malware.

7. Plugins und Themes ersetzen oder aktualisieren

Überprüfen Sie alle installierten Plugins und Themes.

Empfehlenswert ist:

• WordPress-Komponenten auf aktuelle unterstützte Versionen bringen
• nicht benötigte Plugins vollständig entfernen
• nicht benötigte Themes entfernen
• Plugins und Themes nur aus vertrauenswürdigen Quellen beziehen
• bei verdächtigen Komponenten eine Neuinstallation aus einer sauberen Quelle durchführen
• bei unbekannter Herkunft eines Plugins oder Themes besonders vorsichtig sein

Bei einer kompromittierten Installation ist eine saubere Neuinstallation eines betroffenen Plugins häufig sinnvoller als der Versuch, einzelne verdächtige Dateien manuell zu reparieren.

8. WordPress Core durch saubere Dateien ersetzen

Bei kompromittierten Core-Dateien sollte nicht allein ein normales Update als Bereinigung betrachtet werden.

Ersetzen Sie die betroffenen Core-Dateien durch eine saubere Version aus der offiziellen WordPress-Quelle.

Dabei müssen individuelle Dateien wie wp-config.php und die Inhalte von wp-content entsprechend berücksichtigt werden.

WordPress stellt offizielle Versionen über WordPress.org bereit und empfiehlt, WordPress aktuell zu halten.

9. Sitemaps prüfen und bereinigen

Angreifer können zusätzliche Sitemap-Dateien erzeugen oder bestehende Sitemaps manipulieren.

Prüfen Sie:

• Sitemap-Dateien im Webroot
• weitere Sitemap-Dateien in Unterverzeichnissen
• in Search Console eingereichte Sitemaps
• enthaltene URLs
• unbekannte Sitemap-Quellen

Entfernen Sie manipulierte Sitemaps und stellen Sie anschließend eine saubere Sitemap für die legitimen Inhalte bereit.

10. Website auf Funktionalität testen

Nach der technischen Bereinigung sollte die Website vollständig getestet werden.

Prüfen Sie:

• Startseite
• wichtige Unterseiten
• Login
• Formulare
• Kontaktfunktionen
• Suchfunktion
• Medien
• interne Links
• Weiterleitungen
• E-Commerce-Funktionen, sofern vorhanden
• mobile Darstellung
• HTTPS
• Serverantworten

Achten Sie insbesondere darauf, dass legitime Seiten nicht versehentlich auf fremde Domains weiterleiten.

Was Sie bei einem WordPress Japanese Keyword Hack nicht tun sollten

Einige scheinbar naheliegende Maßnahmen können die Untersuchung erschweren oder das Problem nicht dauerhaft lösen.

Nur die sichtbaren Spam-Seiten löschen

Damit entfernen Sie möglicherweise nur die Symptome. Eine vorhandene Backdoor kann anschließend neue Seiten erzeugen.

Nur das Search-Console-Removals-Tool verwenden

Das Tool kann URLs vorübergehend aus den Suchergebnissen entfernen. Es beseitigt jedoch keine Malware und schließt keine Sicherheitslücke. Google weist ausdrücklich darauf hin, dass das Removals-Tool nur vorübergehend wirkt.

Spam-URLs einfach auf die Startseite weiterleiten

Google warnt davor, nicht vorhandene URLs künstlich mit normalen Inhalten zu beantworten oder pauschal auf die Startseite weiterzuleiten. Solche Konstruktionen können als Soft-404 interpretiert werden und erschweren die korrekte Verarbeitung der Website.

robots.txt zur dauerhaften Entfernung verwenden

robots.txt ist nicht das geeignete Werkzeug, um bereits indexierte Spam-URLs dauerhaft aus Google zu entfernen. Google empfiehlt für dauerhaft entfernte Seiten stattdessen unter anderem 404 oder 410.

Verdächtige Dateien blind löschen

Erstellen Sie zunächst eine Sicherung und dokumentieren Sie die Befunde. Blindes Löschen kann die forensische Analyse erschweren oder funktionierende Bestandteile der Website beschädigen.

Nur einen Malware-Scanner verwenden

Automatisierte Scanner sind hilfreich, aber kein einzelner Scan beweist zuverlässig, dass eine komplexe Kompromittierung vollständig beseitigt wurde.

Nur WordPress aktualisieren

Ein Update kann eine Sicherheitslücke schließen, entfernt aber nicht zwangsläufig bereits installierte Backdoors, manipulierte Dateien oder kompromittierte Datenbankinhalte.

Google-Suchergebnisse nach dem Hack bereinigen

Die technische Bereinigung der WordPress-Installation ist der wichtigste Schritt. Anschließend muss auch die Situation in den Google-Suchergebnissen überprüft werden.

404 oder 410 für entfernte Spam-URLs?

Für dauerhaft entfernte Spam-URLs sind grundsätzlich sowohl 404 (Not Found) als auch 410 (Gone) geeignete HTTP-Statuscodes.

Entscheidend ist, dass die kompromittierten Inhalte tatsächlich entfernt wurden und die betroffenen URLs keinen normalen Inhalt mehr ausliefern.

Google nennt sowohl 404 als auch 410 als geeignete Statuscodes für dauerhaft entfernte Inhalte. Einen generellen Vorteil von 410 gegenüber 404 sollten Sie daher nicht voraussetzen.

URL-Entfernung in der Search Console

Das Tool „Entfernen“ in der Google Search Console kann verwendet werden, um bestimmte Inhalte oder URLs vorübergehend aus den Suchergebnissen auszublenden.

Diese Maßnahme ist jedoch nur temporär und gilt ungefähr sechs Monate.

Für eine dauerhafte Entfernung müssen die Inhalte auf der Website tatsächlich entfernt werden und beispielsweise einen 404- oder 410-Status zurückgeben.

Bereinigte Sitemap einreichen

Nachdem die Spam-Inhalte entfernt wurden:

1. Erstellen Sie eine saubere Sitemap.
2. Stellen Sie sicher, dass nur legitime URLs enthalten sind.
3. Entfernen Sie unbekannte oder manipulierte Sitemap-Dateien.
4. Überprüfen Sie die in Search Console eingereichten Sitemaps.
5. Reichen Sie die bereinigte Sitemap erneut ein.

Sicherheitsprobleme und manuelle Maßnahmen getrennt prüfen

Öffnen Sie in der Google Search Console die Bereiche:

• Sicherheitsprobleme
• Manuelle Maßnahmen

Diese Berichte sollten nicht miteinander verwechselt werden.

Wenn Google ein Sicherheitsproblem aufgrund eines Hacks erkannt hat, sollte die Website zunächst vollständig bereinigt werden. Anschließend kann eine Sicherheitsüberprüfung beantragt werden.

Wenn eine manuelle Maßnahme vorliegt, müssen die dort genannten Probleme behoben und anschließend ein entsprechender Überprüfungsantrag gestellt werden.

URL-Prüfung nach der Bereinigung

Für wichtige legitime Seiten kann die URL-Prüfung verwendet werden, um den aktuellen Indexierungsstatus zu kontrollieren und gegebenenfalls eine erneute Indexierung anzustoßen.

Dies ist jedoch keine Voraussetzung dafür, dass Google die gesamte Website wieder normal crawlt und indexiert.

Wichtiger ist zunächst, dass:

• die Website erreichbar ist
• legitime Inhalte funktionieren
• keine Spam-Seiten mehr erzeugt werden
• die Sitemap sauber ist
• wichtige Seiten nicht versehentlich durch noindex oder andere technische Einstellungen ausgeschlossen werden

robots.txt richtig einordnen

Verwenden Sie robots.txt nicht als Ersatz für die technische Entfernung bereits indexierter Spam-Seiten.

Eine robots.txt-Regel kann das Crawling einer URL verhindern. Wenn Google die URL nicht crawlen kann, kann es unter Umständen auch nicht feststellen, dass die Seite inzwischen entfernt wurde.

Google empfiehlt ausdrücklich, robots.txt nicht als Methode zur dauerhaften Entfernung von URLs aus den Suchergebnissen zu verwenden.

Website nach dem Hack überprüfen

Nach der initialen Bereinigung sollte überprüft werden, ob tatsächlich keine offensichtlichen Spuren der Kompromittierung zurückgeblieben sind.

Unmittelbare Nachkontrollen

Kontrollieren Sie in der ersten Zeit nach der Bereinigung regelmäßig:

• Google-Suchergebnisse
• Google Search Console
• neue Benutzerkonten
• Dateiänderungen
• Server-Logs
• Sitemaps
• Weiterleitungen
• ungewöhnliche Serveraktivitäten

Statt täglicher manueller site:-Suchen ist eine regelmäßige Kombination aus technischen und SEO-bezogenen Kontrollen sinnvoller.

Technische Verifikation

Je nach Website können folgende Methoden eingesetzt werden:

• Malware-Scanner
• Datei-Integritäts-Monitoring
• Vergleich kritischer Dateien mit sauberen Referenzen
• Prüfung von Dateizeitstempeln
• Analyse von Server-Logs
• Überprüfung der Datenbank
• Kontrolle von Benutzerkonten
• Prüfung von Cronjobs und anderen geplanten Aufgaben

Bei einer komplexen Kompromittierung kann eine unabhängige zweite Untersuchung sinnvoll sein.

Woran erkennen Sie, dass die Bereinigung erfolgreich war?

Es gibt keinen einzelnen Test, der eine Website mit absoluter Sicherheit als „sauber“ klassifiziert.

Ein gutes Ergebnis liegt vor, wenn mehrere Indikatoren gleichzeitig unauffällig sind:

• keine neuen Spam-URLs entstehen
• keine unbekannten Benutzerkonten vorhanden sind
• keine verdächtigen Dateien gefunden werden
• keine unerwarteten Weiterleitungen auftreten
• Datenbank und Sitemaps sauber sind
• Server-Logs keine entsprechenden neuen Aktivitäten zeigen
• Malware-Scans keine relevanten Befunde liefern
• Google keine neuen Sicherheitsprobleme meldet
• legitime Seiten normal funktionieren

Japanese Keyword Hack dauerhaft verhindern

Nach der Bereinigung sollte nicht nur die ursprüngliche Schwachstelle geschlossen werden. Die gesamte Angriffsfläche der WordPress-Installation sollte überprüft werden.

Software aktuell halten

WordPress selbst empfiehlt, WordPress, Plugins und Themes aktuell zu halten und nicht benötigte Plugins zu entfernen.

Sinnvoll sind:

• aktuelle unterstützte WordPress-Version
• regelmäßig aktualisierte Plugins
• regelmäßig aktualisierte Themes
• Entfernung nicht benötigter Komponenten
• Verwendung vertrauenswürdiger Quellen

Angriffsfläche reduzieren

Entfernen Sie Komponenten, die nicht benötigt werden.

Vermeiden Sie insbesondere:

• ungenutzte Plugins
• ungenutzte Themes
• Plugins und Themes unbekannter Herkunft
• illegal kopierte Premium-Komponenten
• unnötige Schreibrechte auf Dateien und Verzeichnisse

WordPress empfiehlt ausdrücklich, Plugins und Themes aus vertrauenswürdigen Quellen zu verwenden.

Zugriffskontrollen verstärken

Setzen Sie auf:

• starke und einzigartige Passwörter
• Zwei-Faktor-Authentifizierung für privilegierte Konten
• möglichst wenige Administrator-Konten
• das Prinzip der geringsten notwendigen Berechtigungen
• sichere SFTP- oder SSH-Zugänge
• regelmäßige Überprüfung der Benutzerkonten

WordPress-Dateien schützen

WordPress empfiehlt unter anderem, den Zugriff auf bestimmte Systemdateien einzuschränken und die Möglichkeit zur Bearbeitung von Plugin- und Theme-Dateien über das WordPress-Dashboard zu deaktivieren. Je nach Umgebung kann beispielsweise DISALLOW_FILE_EDIT eingesetzt werden.

Solche Maßnahmen sollten jedoch immer auf die konkrete Hosting- und Serverumgebung abgestimmt werden.

Backups und Wiederherstellung

Backups sollten:

• regelmäßig erstellt werden
• außerhalb des Webservers gespeichert werden
• gegen ungewollte Überschreibung geschützt sein
• regelmäßig auf Wiederherstellbarkeit getestet werden

Ein Backup ist nur dann wirklich hilfreich, wenn bekannt ist, wie es im Notfall zuverlässig wiederhergestellt werden kann.

File Integrity Monitoring

Für geschäftlich wichtige Websites kann File Integrity Monitoring sinnvoll sein.

Dabei werden unerwartete Änderungen an wichtigen Dateien erkannt und gemeldet.

Zusätzlich können Server-Logs und andere Sicherheitsprotokolle überwacht werden.

Sicherheits-Monitoring

Die Google Search Console ist ein wichtiger Bestandteil des SEO- und Suchmaschinen-Monitorings, aber kein vollständiger Ersatz für technische Sicherheitsüberwachung.

Kombinieren Sie nach Möglichkeit:

• Google Search Console für Such- und Indexierungssignale
• Malware-Scanner für bekannte Schadcode-Muster
• File Integrity Monitoring für Dateiänderungen
• Server-Logs für verdächtige Zugriffe
• Backups für Wiederherstellung
• gegebenenfalls eine WAF für zusätzliche Schutzmaßnahmen

Wann professionelle Hilfe sinnvoll ist

Eine WordPress-Kompromittierung kann von einer einzelnen manipulierten Datei bis zu einer weitreichenden Übernahme von Website, Datenbank und Server reichen.

Professionelle Unterstützung ist besonders sinnvoll bei:

Hartnäckigen Reinfektionen

Wenn Spam-Seiten nach der Bereinigung erneut entstehen, wurde möglicherweise eine Backdoor oder ein anderer Persistenzmechanismus übersehen.

Geschäftskritischen Websites

Bei Websites, die für Umsatz, Leads oder zentrale Geschäftsprozesse wichtig sind, kann eine professionelle Untersuchung das Risiko einer unvollständigen Bereinigung reduzieren.

Sensiblen Daten

Wenn die Website personenbezogene Daten oder andere vertrauliche Informationen verarbeitet, sollte zusätzlich geprüft werden, welche Systeme und Zugänge betroffen sein könnten.

Fehlender technischer Expertise

Die Untersuchung von PHP-Dateien, Datenbankeinträgen, Server-Logs und WordPress-Komponenten erfordert entsprechende technische Kenntnisse.

Unklarem Eintrittsweg

Wenn nicht nachvollziehbar ist, wie der Angreifer Zugriff erhalten konnte, besteht ein erhöhtes Risiko einer erneuten Kompromittierung.

Bei der Auswahl eines Dienstleisters sollten Sie auf transparente Kommunikation, nachvollziehbare Befunde und eine dokumentierte Bereinigung achten.

Häufige Fragen zum WordPress Japanese Keyword Hack

Was genau ist der WordPress Japanese Keyword Hack?

Der Japanese Keyword Hack ist eine Form von SEO-Spam, bei der Angreifer eine kompromittierte Website mit automatisch erzeugten Seiten mit japanischen Suchbegriffen versehen. Die Seiten können anschließend in Suchmaschinen erscheinen und Besucher auf manipulierte oder betrügerische Angebote lenken. Google beschreibt dieses Angriffsmuster ausdrücklich als „Japanese Keywords Hack“.

Wie erkenne ich, ob meine WordPress-Seite betroffen ist?

Achten Sie auf mehrere Signale gleichzeitig:

• japanische oder unbekannte URLs in Google
• ungewöhnliche Indexierungszahlen
• Sicherheitsprobleme in Search Console
• unerwartete Weiterleitungen
• unbekannte Benutzerkonten
• verdächtige PHP-Dateien
• manipulierte Sitemaps
• ungewöhnliche Datenbankeinträge

Eine einzelne Auffälligkeit reicht nicht zwangsläufig aus, um einen Hack zu bestätigen.

Warum leitet meine WordPress-Seite zu japanischem Spam um?

Eine unerwartete Weiterleitung kann auf Redirect-Malware oder manipulierte Server- bzw. WordPress-Konfigurationen hinweisen.

Mögliche Fundstellen sind unter anderem:

• .htaccess
• Theme-Dateien
• Plugin-Dateien
• wp-config.php
• Datenbankeinträge
• Serverkonfiguration

Auch Cloaking kann dazu führen, dass unterschiedliche Besucher unterschiedliche Inhalte erhalten.

Wie scanne ich WordPress auf versteckten Malware-Code?

Kombinieren Sie automatisierte Scanner mit manueller Untersuchung.

Prüfen Sie insbesondere:

• WordPress-Core-Dateien
• Plugins und Themes
• wp-content/uploads/
• .htaccess
• wp-config.php
• Benutzerkonten
• wp_posts
• wp_postmeta
• wp_options
• Sitemaps
• Server-Logs

Vergleichen Sie verdächtige Dateien möglichst mit einer sauberen Referenzversion.

Wie entferne ich die japanischen Spam-URLs aus Google?

Zuerst müssen die kompromittierten Inhalte technisch entfernt werden.

Für dauerhaft entfernte URLs können 404 oder 410 verwendet werden. Google nennt beide Statuscodes als geeignete Optionen.

Das Search-Console-Tool „Entfernen“ kann zusätzlich für eine vorübergehende Entfernung aus den Suchergebnissen eingesetzt werden. Es ersetzt jedoch nicht die technische Bereinigung.

Sollte ich die Spam-URLs in der robots.txt blockieren?

Nein, nicht als Methode zur dauerhaften Entfernung aus Google.

Google weist ausdrücklich darauf hin, dass robots.txt nicht für die dauerhafte Entfernung bereits indexierter Inhalte verwendet werden sollte.

Stattdessen sollten die betroffenen Inhalte tatsächlich entfernt werden und beispielsweise 404 oder 410 zurückgeben.

Welche Dateien werden beim Japanese Keyword Hack typischerweise befallen?

Je nach Angriff können unterschiedliche Bereiche betroffen sein.

Besonders untersucht werden sollten:

• unerwartete PHP-Dateien in Upload-Verzeichnissen
• WordPress-Core-Dateien
• Theme-Dateien
• Plugin-Dateien
• .htaccess
• wp-config.php

Auch die Datenbank kann kompromittierte Inhalte enthalten.

Es gibt jedoch keine feste Liste von Dateien, die bei jedem Japanese Keyword Hack betroffen sind.

Wie lange dauert die vollständige Bereinigung?

Die technische Bereinigung hängt stark vom Umfang der Kompromittierung ab.

Eine einfache Infektion lässt sich häufig in etwa 2–4 Stunden bereinigen. Bei einem umfangreicheren Japanese Keyword Hack mit mehreren Backdoors, Datenbank-Spam oder zahlreichen manipulierten Dateien sollten Sie eher mit 1–3 Tagen rechnen.

Wie verhindere ich eine erneute Infektion?

Die wichtigsten Maßnahmen sind:

• WordPress und Komponenten aktuell halten
• nicht benötigte Plugins und Themes entfernen
• nur vertrauenswürdige Komponenten verwenden
• starke und einzigartige Zugangsdaten einsetzen
• Zwei-Faktor-Authentifizierung verwenden
• Administratorrechte beschränken
• Backups außerhalb des Webservers speichern
• Wiederherstellung regelmäßig testen
• Dateiänderungen überwachen
• Server-Logs kontrollieren
• Search Console auf neue Auffälligkeiten überwachen

WordPress bezeichnet aktuelle Software, begrenzte Zugriffsrechte, Backups und Monitoring als wichtige Bestandteile einer sicheren Installation.

Quellen

• Google Search Central: #NoHacked 3.0 – Fixing common hack cases
• Google Search Console: Tool zum Entfernen und für SafeSearch-Meldungen
• Google Search Console: 404-Fehler
• Google Search Console: robots.txt-Bericht
• WordPress Developer Resources: Hardening WordPress
• WordPress Developer Resources: Security