„Diese Website kann Ihren Computer schädigen“: Google-Warnung entfernen

Wenn Besucher einen roten Bildschirm „Irreführende Website“ sehen oder Ihr Eintrag in der Suche jetzt den Hinweis „Diese Website wurde möglicherweise gehackt“ trägt, ist die Ursache fast immer dieselbe: Die Website wurde gehackt, und Google hat es vor Ihnen bemerkt. Es gibt keine Schaltfläche, die die Warnung einfach entfernt: Zuerst müssen Sie den Schadcode finden und entfernen, das Einfallstor schließen und erst dann eine Überprüfung anfordern. Unten: was der Hinweis bedeutet, wo Sie die Ursache suchen und wie Sie die Google-Überprüfung richtig durchlaufen, damit die Markierung nicht zurückkommt.

Was dieser Hinweis tatsächlich bedeutet

Es gibt mehrere Warnungen, und das sind unterschiedliche Dinge. Es kommt darauf an, welche Sie haben, denn sie werden unterschiedlich aufgehoben:

• Der rote Bildschirm „Irreführende Website" (Deceptive site ahead) im Browser. Das ist Google Safe Browsing: Das System hat entschieden, dass die Website Phishing enthält oder Besucher täuscht.
• „Diese Website kann Ihren Computer schädigen" in der Suche oder beim Aufruf. Meist bedeutet es Schadcode, der Besucher infiziert.
• „Diese Website wurde möglicherweise gehackt" direkt in den Suchergebnissen, unter dem Link. Google hat fremde Seiten oder Spam gefunden.
• Eine Meldung in der Search Console, Bereich „Sicherheitsprobleme": Malware, Social Engineering oder unerwünschte Software.

In jedem Fall ist die Quelle dieselbe: Auf der Website ist etwas aufgetaucht, das dort nicht sein sollte. Die Markierung ist eine Folge, nicht die Ursache.

Prüfen Sie Ihre Website jetzt sofort

Das Werkzeug öffnet Ihre Website von außen, so wie eine Suchmaschine und ein mobiler Besucher sie sehen. Sehr oft bekommen genau sie die Schadsoftware oder die Weiterleitung, während die Seite für Sie normal aussieht. Defacement, mobile Weiterleitung, Cloaking und ein veraltetes CMS werden sofort sichtbar. Ein Zugang zur Website ist nicht nötig.

Den genauen Status bei Google Safe Browsing sehen Sie im Google Transparency Report: Adresse eingeben und Sie sehen, ob die Website markiert ist.

Warum Google eine Website markiert

Safe Browsing scannt Websites laufend und teilt Bedrohungen in einige Typen ein. Bei einer gehackten Website löst meist einer davon aus:

• Malware. In den Code wurde ein Skript eingeschleust, das Besucher infiziert oder angreift.
• Social Engineering (Phishing). Es sind gefälschte Formulare oder Seiten aufgetaucht, die Daten abgreifen.
• Unerwünschte Software und Weiterleitungen. Besucher werden zu Casinos, Apotheken oder fragwürdigen Downloads geschoben.

Google irrt sich dabei selten: Wenn die Markierung erscheint, hat die Website fast sicher einen Hack. Fehlalarme kommen vor, aber der richtige erste Schritt ist prüfen, nicht streiten.

Der große Fehler: sofort „Überprüfung anfordern" klicken

Der erste Impuls des Betreibers ist, die Search Console zu öffnen und „Überprüfung anfordern" zu klicken. Ist die Schadsoftware noch auf der Website, bestätigt die Überprüfung das, und die Markierung bleibt. Schlimmer noch: Wiederholte Anfragen ohne Korrekturen verlangsamen die Bearbeitung.

Wo sich die Ursache meist versteckt

Die Schadsoftware liegt fast nie sichtbar. Die typischen Stellen zum Prüfen:

• Bedingte Weiterleitung. Der Code läuft nur mobil oder nur für Besucher aus der Suche. Am Computer öffnet die Seite normal, deshalb bemerkt der Betreiber nichts.
• Cloaking für den Googlebot. Dem Bot wird eine Seite ausgeliefert, dem Besucher eine andere. Genau das fängt Safe Browsing ab.
• Injektion im Template oder in der Datenbank. Das Skript steckt in den Dateien des aktiven Themes oder in den Template-Parametern in der Datenbank.
• Regeln in der .htaccess. Weiterleitungen und Bedingungen direkt auf Serverebene, die Dateien selbst sind sauber.

Deshalb sagt der Hosting-Virenscanner oft „alles sauber": Er prüft Dateien nach Signaturen, während der Code in der Datenbank oder in den Serverregeln sitzt. Ein stiller Scanner beweist nicht, dass die Website in Ordnung ist.

Wie Sie bereinigen und die Überprüfung vorbereiten

Die Reihenfolge, die die Ursache wirklich beseitigt, nicht nur das Symptom:

1. Ändern Sie alle Passwörter: Admin, FTP und SSH, Datenbank, Hosting-Panel.
2. Prüfen Sie .htaccess, index.php und die Dateien des aktiven Templates: die Injektion sitzt meist in den ersten Zeilen.
3. Prüfen Sie die Datenbank: bei WordPress sind das wp_options und wp_posts, bei Joomla die Template-Parameter in #__template_styles.
4. Finden und löschen Sie Web-Shells: unbekannte .php-Dateien, oft in den Ordnern uploads oder media.
5. Schließen Sie das Einfallstor: CMS und Erweiterungen aktualisieren, ungenutzte entfernen, Cron-Jobs prüfen.
6. Öffnen Sie in der Search Console „Sicherheitsprobleme" und sehen Sie sich die von Google genannten infizierten Beispiel-URLs an. Das ist ein Hinweis, wo Sie suchen sollten.

Eine Überprüfung bei Google anfordern

Wenn die Website wirklich sauber ist, können Sie eine Überprüfung anfordern:

• Search Console, Bereich „Sicherheit und manuelle Maßnahmen", dann „Sicherheitsprobleme".
• Bestätigen Sie, dass alle Probleme behoben sind, haken Sie es ab und klicken Sie „Überprüfung anfordern".
• Beschreiben Sie kurz, was Sie getan haben: was entfernt wurde, wo das Einfallstor war, was geschlossen wurde. Das beschleunigt die Bearbeitung.
• Dauer: bei Malware meist einige Stunden bis wenige Tage, bei Social Engineering länger. Der rote Browser-Bildschirm verschwindet automatisch nach der Neubewertung.
• Reichen Sie die Überprüfung nicht täglich erneut ein: das beschleunigt nichts, es verlangsamt.

Ist die Website im Moment der Prüfung erneut infiziert, wird die Markierung nicht aufgehoben. Deshalb ist es so wichtig, zuerst das Einfallstor zu schließen.

Wann Sie einen Fachmann rufen

Es lohnt sich, keine Zeit zu verlieren, wenn:

• Sie bereits bereinigt haben und die Markierung zurückkam;
• der Code in der Datenbank oder in der .htaccess steckt und der Hosting-Virenscanner schweigt;
• die Website am Computer normal öffnet, Google sie aber trotzdem markiert (bedingte Weiterleitung oder Cloaking);
• eine Überprüfung bereits abgelehnt wurde;
• kein funktionierendes sauberes Backup vorhanden ist.