Google warnt vor Ihrer Website: Warnung entfernen

Meistens erfahren Sie es von anderen. Ein Kunde ruft an und sagt, sein Browser habe ihn vor Ihrer Seite gewarnt. Ein vollflächig roter Bildschirm, darauf in weißer Schrift: Gefährliche Website. Oder in den Google-Suchergebnissen steht unter Ihrem Eintrag plötzlich der Hinweis, die Website sei möglicherweise gehackt worden.

Für ein Unternehmen ist das ein harter Einschnitt. Kaum jemand klickt sich an einer solchen Warnung vorbei, Anfragen über die Website brechen weitgehend weg. Umso wichtiger ist, jetzt in der richtigen Reihenfolge vorzugehen, statt hektisch an der Seite herumzuändern.

Was hinter der Warnung steckt

Google prüft Websites laufend auf gefährliche Inhalte. Das System dahinter heißt Safe Browsing. Findet es auf Ihrer Domain etwas, landet die Domain oder ein Teil davon auf einer Sperrliste. Chrome, aber auch Firefox und Safari, fragen diese Liste ab und zeigen dann vor dem Aufruf eine Warnseite.

Je nach Fund lautet die Warnung unterschiedlich:

• Gefährliche Website / schädliche Programme: Google hat Schadsoftware gefunden, etwa Code, der Besucher auf fremde Seiten umleitet oder Dateien herunterladen lässt.
• Irreführende Website: Auf Ihrer Domain liegen Phishing-Seiten, zum Beispiel ein gefälschtes Bank- oder Paketdienst-Login, das Angreifer in einem Unterordner abgelegt haben.
• Unerwünschte Software: Die Seite verteilt Programme, die sich ohne klare Zustimmung auf Rechnern einnisten.
• Hinweis in den Suchergebnissen: Google hat gehackte Inhalte gefunden, oft massenhaft eingeschleuste Spam-Seiten für Medikamente, Glücksspiel oder Fake-Shops.

Ein reiner Irrtum ist selten. Dass Sie selbst auf Ihrer Seite nichts sehen, spricht nicht dagegen: Schadcode ist häufig so gebaut, dass er nur Besuchern aus der Google-Suche, nur Smartphones oder nur beim ersten Aufruf ausgespielt wird. Wer als Administrator angemeldet ist, bekommt in der Regel die saubere Seite zu sehen.

Microsoft Edge nutzt übrigens nicht Google Safe Browsing, sondern einen eigenen Dienst namens SmartScreen. Warnt nur Edge, ist der Weg ein anderer; die Bereinigung bleibt aber dieselbe.

Schritt 1: Ruhe bewahren und den Befund sichern

Bevor Sie etwas ändern, halten Sie fest, was Sie sehen: Screenshot der Warnung, welcher Browser, welche Adresse, Uhrzeit. Klicken Sie sich auf Ihren Arbeitsrechnern nicht an der Warnung vorbei. Wenn Google Schadsoftware gemeldet hat, kann der Besuch Ihrer eigenen Seite Ihren Rechner gefährden.

Legen Sie dann eine Sicherung des aktuellen Zustands an – Dateien und Datenbank. Das klingt widersinnig, weil die Seite ja befallen ist. Genau deshalb brauchen Sie sie: Sie enthält die Spuren, an denen sich ablesen lässt, wann und wie der Angreifer hereinkam. Spielen Sie dagegen jetzt kein altes Backup ein. War der Befall zum Zeitpunkt der Sicherung schon vorhanden, holen Sie ihn zurück – und die Spuren sind weg.

Schritt 2: In der Search Console nachsehen, was Google gefunden hat

Die genaue Diagnose steht in der Google Search Console. Melden Sie sich an und öffnen Sie im linken Menü Sicherheit & manuelle Maßnahmen › Sicherheitsprobleme. Dort sehen Sie:

• welche Art von Problem Google erkannt hat,
• Beispiel-Adressen, auf denen es gefunden wurde,
• den Status eines früheren Überprüfungsantrags, falls es schon einen gab.

Schauen Sie direkt daneben auch unter Manuelle Maßnahmen nach. Dort stehen Abstrafungen, etwa wegen eingeschleuster Spam-Seiten, die einen eigenen Antrag brauchen.

Sie haben keine Search Console? Dann richten Sie sie jetzt ein. Am besten als Domain-Property, die über einen Eintrag in den DNS-Einstellungen bei Ihrem Domain-Anbieter bestätigt wird. Das geht auch nachträglich: Die Meldungen zu Sicherheitsproblemen sehen Sie, sobald die Inhaberschaft bestätigt ist. Ohne Search Console können Sie keine Überprüfung beantragen.

Schritt 3: Den Befall finden und vollständig entfernen

Jetzt beginnt die eigentliche Arbeit. Ausgangspunkt sind die Beispiel-Adressen aus der Search Console. Typische Fundstellen bei WordPress-Seiten:

• Fremde PHP-Dateien im Upload-Ordner wp-content/uploads – dort gehören eigentlich nur Bilder und Dokumente hin.
• Veränderte Kerndateien wie index.php, wp-config.php oder Dateien in wp-includes, oft mit langen, unleserlichen Codezeilen am Anfang oder Ende.
• Eingeschleuster Code in der Datenbank, etwa in Beiträgen, Widgets oder Einstellungen, der Skripte von fremden Servern nachlädt.
• Ganze Ordner mit Betrugsseiten, zum Beispiel ein nachgebautes Bank-Login.
• Manipulierte .htaccess-Datei, die Besucher aus der Suche auf fremde Seiten umleitet.
• Unbekannte Administratorkonten unter Benutzer im WordPress-Backend.

Kerndateien von WordPress lassen sich zuverlässig durch frische Originaldateien ersetzen: die Ordner wp-admin und wp-includes aus einer sauberen Kopie derselben WordPress-Version hochladen. Plugins und Themes ebenso – nach Möglichkeit aus der offiziellen Quelle neu installieren statt Dateien einzeln zu reparieren. Plugins, die seit Jahren keine Updates mehr bekommen, gehören bei der Gelegenheit ganz entfernt.

Wie Sie dabei im Detail vorgehen, beschreibt unser Ratgeber Website gehackt – erste Hilfe.

Schritt 4: Die Einstiegsstelle schließen

Die Bereinigung allein reicht nicht. Bleibt die Lücke offen, über die der Angreifer hereinkam, ist der Schadcode oft nach Tagen wieder da – und dann prüft Google gerade die zweite Infektion.

• Alle Passwörter ändern, und zwar von einem sauberen Gerät aus: WordPress-Administratoren, FTP- und SFTP-Zugänge, Datenbank, Kundenmenü des Hosters.
• Die Sicherheitsschlüssel in der wp-config.php erneuern. Dadurch werden alle bestehenden Anmeldungen ungültig.
• WordPress, alle Plugins und Themes aktualisieren und die PHP-Version prüfen.
• Unbekannte Benutzerkonten löschen und die Rechte der übrigen auf das Nötige beschränken.

Schritt 5: Selbst kontrollieren, bevor Google kontrolliert

Prüfen Sie die Beispiel-Adressen aus der Search Console erneut. Weil versteckter Schadcode sich nur bestimmten Besuchern zeigt, nutzen Sie dafür die URL-Prüfung in der Search Console: Adresse oben in das Suchfeld eingeben, dann Live-URL testen und sich die gerenderte Seite ansehen. So sehen Sie die Seite so, wie Google sie sieht. Testen Sie zusätzlich auf einem Smartphone im mobilen Netz, ohne angemeldet zu sein.

Erst wenn alle beanstandeten Adressen sauber sind oder nicht mehr existieren, geht es weiter.

Schritt 6: Überprüfung bei Google beantragen

Zurück in der Search Console unter Sicherheit & manuelle Maßnahmen › Sicherheitsprobleme:

1. Bestätigen Sie, dass Sie die Probleme behoben haben.
2. Klicken Sie auf Überprüfung beantragen.
3. Beschreiben Sie kurz und konkret, was Sie getan haben: welche Dateien entfernt, welche Lücke geschlossen, welche Zugänge geändert wurden. Ein allgemeines „Alles behoben“ hilft Google bei der Prüfung nicht.

Wie lange die Prüfung dauert, hängt von der Art des Problems ab. Das Ergebnis sehen Sie im selben Bericht, zusätzlich kommt eine Nachricht in die Search Console. Wird der Antrag abgelehnt, nennt Google den Grund. Dann nachbessern und erneut beantragen. Stellen Sie aber keine Anträge auf Verdacht: Bei wiederholten Verstößen kann Google eine Wartefrist verhängen, bevor Sie erneut eine Überprüfung beantragen dürfen.

Liegt zusätzlich eine manuelle Maßnahme vor, stellen Sie dafür unter Manuelle Maßnahmen einen eigenen Antrag auf erneute Überprüfung.

Was Sie nicht tun sollten

• Kein Backup einspielen und die Sache für erledigt halten. Ohne geschlossene Lücke kommt der Befall zurück.
• Nicht vorschnell die Überprüfung beantragen. Eine Ablehnung kostet Zeit, und Sie stehen wieder am Anfang.
• Die Domain nicht wechseln. Das löst nichts, weil die befallene Website mit umzieht, und Sie verlieren Ihre Platzierungen in der Suche.
• Den Hinweis nicht ignorieren, weil die Seite bei Ihnen normal aussieht. Ihre Besucher sehen etwas anderes.

Umsetzungsplan

Sofort

1. Warnung dokumentieren: Screenshot, Browser, betroffene Adresse.
2. Sicherung des aktuellen Zustands anlegen – Dateien und Datenbank. Kein altes Backup einspielen.
3. In der Search Console Sicherheit & manuelle Maßnahmen › Sicherheitsprobleme und Manuelle Maßnahmen öffnen; ohne Zugang die Search Console jetzt einrichten.

Danach

4. Befall anhand der Beispiel-Adressen suchen und vollständig entfernen: fremde Dateien, veränderter Code, Datenbank-Einträge, unbekannte Benutzer.
5. Kerndateien, Plugins und Themes aus sauberen Quellen neu einspielen.
6. Alle Passwörter von einem sauberen Gerät aus ändern, Sicherheitsschlüssel erneuern, alles aktualisieren.
7. Beanstandete Adressen mit Live-URL testen und auf dem Smartphone kontrollieren.
8. Überprüfung beantragen und genau beschreiben, was getan wurde.

Vorbeugen

9. Updates für WordPress, Plugins, Themes und PHP regelmäßig einspielen.
10. Nicht genutzte Plugins, Themes und Benutzerkonten löschen.
11. Tägliche, extern gelagerte Sicherungen einrichten.
12. Die Search Console dauerhaft mit einer E-Mail-Adresse verknüpfen, die tatsächlich gelesen wird – dann erfahren Sie von der nächsten Warnung, bevor Ihre Kunden anrufen.

Was bei einem Hackerangriff sonst noch zu beachten ist, finden Sie auf der Seite Website gehackt.

Wir entfernen die Warnung für Sie

Ein Befall ist selten nur eine Datei. Wer eine Stelle übersieht, bekommt den Überprüfungsantrag abgelehnt und verliert weitere Tage ohne Anfragen. Wir bereinigen die Website, schließen die Lücke und stellen den Antrag bei Google.

Die WordPress-Notfall-Diagnose kostet 99 €: Wir sichern den aktuellen Zustand, lesen die Fehlerprotokolle aus und machen Ihnen ein Festpreis-Angebot für die Reparatur – bei Beauftragung werden die 99 € angerechnet. Oder rufen Sie direkt an: 0 33 41 - 35 66 146.

Häufige Fragen

Warum zeigt Chrome vor meiner Website „Gefährliche Website“ an?

Die Warnung kommt von Google Safe Browsing. Google durchsucht Websites laufend nach Schadsoftware, Phishing-Seiten und anderen gefährlichen Inhalten. Findet Google so etwas auf Ihrer Domain, wird sie auf eine Sperrliste gesetzt, und Chrome zeigt Besuchern vor dem Aufruf eine rote Warnseite. Auch Firefox und Safari greifen auf diese Liste zurück. In fast allen Fällen wurde die Website gehackt und Fremde haben dort Schadcode oder Betrugsseiten abgelegt.

Ich sehe auf meiner Seite nichts Verdächtiges. Kann die Warnung ein Irrtum sein?

Das ist selten. Schadcode ist oft so gebaut, dass er sich vor dem Seitenbetreiber versteckt: Er wird nur Besuchern gezeigt, die über die Google-Suche kommen, nur auf Smartphones oder nur beim ersten Besuch. Angemeldete Administratoren sehen meist gar nichts. Welche Adressen Google beanstandet, steht in der Google Search Console unter Sicherheit & manuelle Maßnahmen › Sicherheitsprobleme. Diese Beispiel-Adressen sind der Ausgangspunkt für die Suche.

Kann ich die Warnung entfernen lassen, ohne die Website zu reparieren?

Nein. Google prüft die Website nach Ihrem Antrag erneut. Ist der Schadcode noch da oder kommt er über die offene Lücke zurück, wird der Antrag abgelehnt und die Warnung bleibt. Erst bereinigen, dann die Einstiegsstelle schließen, dann die Überprüfung beantragen – diese Reihenfolge ist entscheidend.

Wie lange dauert es, bis die Warnung verschwindet?

Das hängt von der Art des Problems ab und davon, ob die Bereinigung beim ersten Antrag vollständig war. Den Stand der Prüfung sehen Sie in der Search Console im Bericht Sicherheitsprobleme. Ist das Problem dort als behoben markiert, verschwindet auch die Warnung in Chrome. Wird ein Antrag abgelehnt, nennt Google den Grund, und Sie können nach der Nachbesserung erneut beantragen.

Was kostet es, wenn Sie das für mich übernehmen?

Bei nova.02:media kostet die Notfall-Diagnose 99 € als Endpreis. Darin enthalten sind die Sicherung des aktuellen Zustands, das Auslesen der Protokolle, die Eingrenzung des Befalls und ein verbindliches Festpreis-Angebot für Bereinigung und Überprüfungsantrag. Beauftragen Sie die Reparatur, werden die 99 € voll angerechnet.