Website-Sicherheit: Wie Malware Rankings zerstört

Eine gehackte Website verliert nicht nur Daten – sie verliert Rankings, Traffic und Vertrauen. Google identifiziert infizierte Websites aktiv und bestraft sie durch Warnungen, Ranking-Einbrüche und Deindexierung. Die Auswirkungen können monatelang anhalten. Website-Sicherheit ist daher auch ein SEO-Thema – dieser Artikel erklärt wie Malware Rankings zerstört und was zu tun ist.

Wie Google mit Malware umgeht

Googles Safe Browsing-System scannt ständig Milliarden von Websites auf Malware, Phishing und schädliche Inhalte. Wenn eine Website als infiziert erkannt wird, passiert folgendes:

Stufe 1: Warnung im Chrome-Browser Besucher sehen eine rote Warnseite „Diese Website enthält Malware” bevor sie die Seite erreichen. Das allein kann den Traffic auf null drücken.

Stufe 2: Warnung in den Google-Suchergebnissen Unter dem Suchergebnis erscheint „Diese Website enthält möglicherweise schädliche Software”. CTR sinkt dramatisch.

Stufe 3: Manuelle Maßnahme in der Search Console Google kann eine manuelle Abstrafung auslösen wenn die Infektion schwerwiegend ist.

Stufe 4: Deindexierung In extremen Fällen oder bei anhaltender Infektion werden Seiten vollständig aus dem Index entfernt.

Websites die mit einer Google Safe Browsing Warnung versehen werden, verlieren im Schnitt 95 % ihres organischen Traffics innerhalb von 24–48 Stunden – die Warnung wirkt als nahezu vollständige Traffic-Sperre.

Häufige Malware-Arten die SEO schaden

SEO Spam (Japanese/Chinese Keyword Hack): Hacker injizieren unsichtbaren Text mit spammigen Keywords (Casino, Pharma, Counterfeit) in Ihre Seiten. Für Besucher unsichtbar (weißer Text auf weißem Hintergrund oder JavaScript-Versteckung), aber für Googlebot sichtbar. Rankings für diese Keywords entstehen auf Ihrer Domain – bis Google es erkennt und abstraft.

Redirects zu Spam-Seiten: Code injiziert der Besucher die von Google kommen auf Spam-Seiten umleitet. Google erkennt diese Redirects beim Crawlen und stuft die Website sofort als gefährlich ein.

Phishing-Seiten: Gefälschte Login-Seiten (Bank, PayPal) auf Ihrer Domain erstellt. Sofortige Safe Browsing-Markierung.

Link-Spam: Versteckte Links zu anderen Websites um deren Rankings zu verbessern. Schadet Ihrem eigenen Linkprofil.

Krypto-Mining-Skripte: JavaScript das Besucherressourcen für Kryptomining nutzt. Verlangsamt die Website erheblich – direkter Core Web Vitals Schaden.

Anzeichen dass Ihre Website infiziert sein könnte

In der Google Search Console:

• Sicherheitsprobleme-Meldung (höchste Priorität)
• Unbekannte Seiten im Index (Sitemap oder Seiten-Report)
• Plötzlicher Traffic-Einbruch ohne anderen erkennbaren Grund

Im Crawl oder manueller Prüfung:

• Unbekannte Dateien auf dem Server (FTP-Prüfung)
• Code der nicht von Ihnen stammt in PHP-Dateien
• Unbekannte Admin-Benutzer in WordPress

In den Analytics-Daten:

• Seltsame Seiten in den Top-Seiten
• Bounces auf unbekannten URLs

Externe Signale:

• Google Safe Browsing-Prüfung zeigt Warnung
• VirusTotal-Scan der Domain zeigt Treffer
• Beschwerden von Nutzern

Diagnose: Ist meine Website infiziert?

Schritt 1: Google Search Console prüfen Sicherheit & manuelle Maßnahmen → Sicherheitsprobleme. Wenn dort etwas steht, ist es bestätigt.

Schritt 2: Safe Browsing Status prüfen Google Safe Browsing Transparenzreport: Eigene Domain dort eingeben.

Schritt 3: Externe Scan-Tools nutzen

• Sucuri SiteCheck (kostenlos): Umfassender Malware-Scan
• VirusTotal: Domain-Prüfung gegen 80+ Virenscanner
• Quttera: Verhaltensanalyse und Malware-Erkennung

Schritt 4: Server-Dateien prüfen Über FTP oder Hosting-Panel nach neu geänderten Dateien suchen, besonders .php-Dateien und wp-content/uploads.

Malware entfernen: Schritt für Schritt

Schritt 1: Website in den Wartungsmodus setzen

Verhindern Sie, dass weitere Besucher infizierte Seiten sehen – und schützen Sie Googles Crawl vor weiteren negativen Signalen.

Schritt 2: Vollständiges Backup erstellen

Auch vom infizierten Zustand – für forensische Analyse falls notwendig.

Schritt 3: Infektion identifizieren und entfernen

Für WordPress:

• Alle Plugins und Themes deaktivieren
• Core-Dateien mit frischer WordPress-Installation vergleichen (WordPress Core Checker)
• Verdächtige Einträge in der Datenbank suchen (besonders wp_options auf base64-encodeten Code)
• Plugins mit bekannten Sicherheitslücken durch aktuelle Versionen ersetzen

Empfehlung: Sucuri, Wordfence oder Malcare können die Bereinigung automatisiert unterstützen. Bei schwerwiegenden Infektionen ist professionelle Hilfe sinnvoll.

Schritt 4: Zugang sichern

• Alle Passwörter ändern (Admin, FTP, Datenbank, Hosting)
• Unbekannte Admin-Benutzer entfernen
• Alle Sicherheitslücken schließen (veraltete Plugins, Themes, WordPress-Core)

Schritt 5: Bereinigung bestätigen

Nochmals alle Scan-Tools nutzen. Erst wenn alle clean sind zum nächsten Schritt.

Schritt 6: Review Request in der Search Console

Falls Google Safe Browsing-Meldungen aktiv sind oder eine manuelle Maßnahme vorliegt: „Überprüfung anfordern” in der Search Console einreichen.

Zeitrahmen: Google bearbeitet solche Anfragen typischerweise in 24–72 Stunden. Warnungen werden nach Bestätigung der Bereinigung entfernt.

Rankings nach einem Hack wiederherstellen

Rankings erholen sich nach der Malware-Bereinigung selten sofort. Typischer Zeitrahmen:

• Safe Browsing-Warnung: Entfernung nach 1–3 Tagen nach Bestätigung
• Rankings erholen sich: 2–8 Wochen nach sauberer Seite
• Vollständige Erholung: 4–12 Wochen bei schwerwiegenden Infektionen

Beschleunigungsmöglichkeiten:

• URL-Inspektion in Search Console für wichtige Seiten manuell triggern
• Sitemap neu einreichen nach Bereinigung
• Aktives Crawling anfragen für Hauptseiten

WordPress-Websites, die regelmäßig aktualisiert (Core, Plugins, Themes) werden und ein Sicherheits-Plugin nutzen, haben ein 84 % geringeres Risiko für erfolgreiche Malware-Infektionen als veraltete Installationen ohne Sicherheitsmaßnahmen.

Prävention: Was wirklich hilft

Software aktuell halten: Veraltete WordPress-Versionen, Plugins und Themes sind die häufigste Angriffsfläche.

Sicherheits-Plugin: Wordfence (kostenlos, solider Schutz) oder Sucuri Security bieten Firewall, Login-Schutz und Malware-Scanning.

Starke Passwörter + 2FA: Brute-Force-Angriffe auf den Admin-Login sind häufig. 2-Faktor-Authentifizierung ist Pflicht.

Backups: Täglich automatische Backups auf externen Speicher (nicht auf demselben Server). Im Notfall schnell bereinigten Zustand wiederherstellen.

SFTP statt FTP: FTP überträgt Zugangsdaten unverschlüsselt. SFTP nutzen.