Website bereinigt, aber Google zeigt weiter Spam-Seiten: so entfernen Sie sie aus dem Index

Dieser Leitfaden behandelt spam seiten aus google von der Bestätigung bis zur Bereinigung und Vorbeugung.

Die Website ist bereinigt. Infizierte Dateien wurden ersetzt, die Datenbank geprüft, Passwörter geändert, und die Prüfung zeigt, dass alles in Ordnung ist. Dann geben Sie Ihren Firmennamen bei Google ein und sehen dieselben Ergebnisse wie vor einer Woche: japanische Schriftzeichen, Werbung für Medikamente, Casino-Boni oder Uhrenshops, alles unter Ihrer Domain.

Das ist eine der häufigsten und frustrierendsten Situationen nach einem Hack. Der Inhaber vermutet, dass die Bereinigung gescheitert ist oder der Angreifer wieder eingedrungen ist. Manchmal stimmt das, meist ist der Grund aber viel einfacher: Google hat noch nicht mitbekommen, dass sich etwas geändert hat.

Die gute Nachricht: Dieser Teil der Arbeit lässt sich systematisch erledigen und hat ein klares Ende. Die schlechte: Man macht leicht einen Fehler, der den Prozess um Monate verlängert, und nur wenige Website-Betreiber kennen vorher die Regeln, die Google hier anwendet.

In diesem Artikel erklären wir, warum Google sich auch nach der Bereinigung an den Spam erinnert, wie Sie prüfen, ob das Problem im Index oder auf der Website selbst liegt, und in welcher Reihenfolge Sie die Spam-Ergebnisse entfernen, damit sie möglichst schnell verschwinden, ohne Fehler, die den Prozess um Monate verlängern.

Warum Google nach der Bereinigung weiter Spam zeigt

Bei spam seiten aus google zählt die richtige Reihenfolge mehr als Eile.

Google schaut sich Ihre Website nicht bei jeder Suche live an. Die Ergebnisse kommen aus dem Index, einer riesigen Datenbank mit Seiten, die Google früher besucht und gespeichert hat. Wenn Sie die Website bereinigen, ändert sich der Index nicht sofort. Google muss jede Spam-Adresse erneut besuchen, sehen, dass sie nicht mehr existiert, und sie erst dann entfernen.

Google besucht kleine Websites relativ selten

Große Portale werden mehrmals täglich gecrawlt. Die Website eines kleinen Unternehmens besucht Google vielleicht alle paar Tage, einzelne weniger wichtige Adressen noch seltener. Hat der Angreifer Hunderte oder Tausende Spam-Seiten eingeschleust, braucht Google Zeit, um sie alle erneut aufzurufen.

Spam-Adressen stehen nicht in Ihrer Sitemap

Legitime Seiten findet Google über die Sitemap und interne Links. Die Spam-Seiten hat der Angreifer meist über externe Links von anderen infizierten Websites „angemeldet“. Wenn Sie sie entfernen, gibt es kein natürliches Signal, das Google sagt, sie erneut zu prüfen, und sie bleiben länger in der Warteschlange als Ihnen lieb ist.

Der Server antwortet nicht immer richtig

Das ist der häufigste technische Grund. Nach der Bereinigung liefern Spam-Adressen oft die Startseite oder eine leere Seite mit Status 200 aus, was für Google bedeutet: „Die Seite existiert, alles in Ordnung.“ Google hat dann keinen Grund, sie aus dem Index zu entfernen. Dazu gleich mehr, denn das ist der Kern der Lösung.

Zuerst prüfen: Liegt das Problem im Index oder auf der Website?

Bevor Sie sich um den Index kümmern, müssen Sie sicher sein, dass die Website wirklich sauber ist. Hat der Angreifer noch Zugriff, hilft keine Arbeit am Index.

Live-URL-Test in der Search Console

Nehmen Sie einige Spam-Adressen aus den Google-Ergebnissen und prüfen Sie sie mit der URL-Prüfung in der Search Console. Klicken Sie auf Live-URL testen. Dieser Test schickt den Google-Crawler genau jetzt zu der Adresse, sodass Sie sehen, was Google heute tatsächlich bekommt.

• Zeigt der Test Spam-Inhalte, ist die Website nicht sauber. Irgendwo in Dateien, Datenbank oder Serverregeln ist noch Cloaking-Code aktiv. Kehren Sie zur Bereinigung zurück. Dabei hilft der Artikel Spam-Links in den Google-Ergebnissen meiner Website.
• Zeigt der Test einen Fehler 404 oder 410, ist die Website sauber und das Problem liegt nur im Index.
• Zeigt der Test Ihre Startseite oder eine andere normale Seite, ist die Website wahrscheinlich sauber, aber der Server antwortet falsch auf Spam-Adressen. Das müssen Sie vor allem anderen korrigieren.

Prüfung im Browser, wie ein Besucher aus Google

Öffnen Sie ein privates Fenster, suchen Sie bei Google nach Ihrem Firmennamen und klicken Sie auf ein Spam-Ergebnis. Werden Sie auf eine fremde Website weitergeleitet, ist die Infektion noch aktiv. Mehr zu dieser Angriffsform im Artikel Website leitet auf andere Seite um.

Schritt 1: Spam-Adressen die richtige Antwort liefern lassen

Wenn Google eine Adresse besucht, die nicht mehr existiert, muss der Server klar mitteilen, dass die Seite entfernt wurde. Das geschieht über den HTTP-Status, eine Zahl, die der Server mit jeder Antwort sendet.

404 oder 410

• 404 (Not Found) bedeutet „diese Seite existiert nicht“. Google entfernt sie mit der Zeit aus dem Index.
• 410 (Gone) bedeutet „diese Seite existierte und wurde dauerhaft entfernt“. Google behandelt dieses Signal als etwas endgültiger, daher werden Adressen mit Status 410 meist etwas schneller entfernt.

Für Spam-Adressen nach einem Hack ist 410 die beste Wahl. Der Geschwindigkeitsunterschied ist nicht riesig, aber bei Tausenden Adressen hilft jeder Vorteil.

Ein häufiger Fehler: Spam-Adressen auf die Startseite umleiten

Viele Inhaber und sogar Entwickler richten ein, dass alle nicht existierenden Adressen auf die Startseite umgeleitet werden, damit der Besucher „keinen Fehler sieht“. Für Google ist das ein Problem. Die Umleitung Tausender nicht existierender Adressen auf die Startseite wird meist als sogenannter „Soft 404“ behandelt, Google weiß nicht genau, was damit zu tun ist, und der Prozess dauert länger. Spam-Adressen sollten nicht umgeleitet werden, sondern 410 oder 404 zurückgeben.

Wenn Spam-Adressen Parameter haben

Nach einem Pharma- oder Japanese-Hack sehen Spam-Adressen oft so aus: ihreseite.de/?abc=cialis-kaufen oder ihreseite.de/index.php?page=replica-uhren-123. WordPress zeigt für solche Adressen normalerweise die Startseite mit Status 200, weil es unbekannte Parameter einfach ignoriert. Google sieht also eine „normale Seite“ und entfernt die Adresse nicht.

Die Lösung ist eine Serverregel, die das Muster der Spam-Adressen erkennt und für sie 410 zurückgibt. Das Muster ergibt sich aus den tatsächlichen Spam-Adressen in der Search Console: ein gemeinsamer Parameter, ein gemeinsamer Pfadteil oder typische Wörter. Die Regel kommt in die .htaccess (Apache/LiteSpeed), in die Nginx-Konfiguration oder in ein Weiterleitungs-Plugin, das den Status 410 unterstützt. Sie muss präzise sein, damit sie nicht versehentlich legitime Seiten oder Parameter blockiert, die die Website wirklich nutzt (Suche, Shop-Filter, UTM-Parameter).

Spam-Adressen nicht in der robots.txt sperren

Der erste Impuls ist, Spam-Adressen in der robots.txt zu sperren. Das ist ein Fehler. Wenn Sie Google den Zugriff auf eine Adresse verbieten, kann es nicht sehen, dass sie 410 zurückgibt, und behält sie womöglich monatelang im Index, mit dem Hinweis „Indexiert, obwohl durch robots.txt-Datei blockiert“. Google muss die Spam-Adressen erreichen können, um zu erfahren, dass sie entfernt wurden.

Schritt 2: Die schlimmsten Ergebnisse vorübergehend ausblenden

Während Google die Adressen erneut besucht, schaden die Spam-Ergebnisse weiter Ihrem Ruf. Die Search Console hat ein Tool, das sie vorübergehend ausblendet.

Das Tool „Entfernen“

Öffnen Sie in der Search Console Indexierung → Entfernen und klicken Sie auf Neuer Antrag. Sie können die Entfernung einer genauen Adresse beantragen oder aller Adressen, die mit einem bestimmten Präfix beginnen, zum Beispiel https://ihreseite.de/shop/.

Wichtig ist zu verstehen, was dieses Tool tut:

• Es blendet Adressen vorübergehend aus den Suchergebnissen aus, für etwa sechs Monate.
• Es löscht sie nicht dauerhaft aus dem Index. Liefert die Adresse in dieser Zeit nicht 404 oder 410, taucht sie nach Ablauf des Antrags wieder auf.
• Deshalb wird es zusammen mit Schritt 1 genutzt, niemals stattdessen.

Was zuerst entfernen

Bei vielen Spam-Adressen müssen Sie nicht jede einzeln melden. Konzentrieren Sie sich auf die, die bei Ihrem Firmennamen und Ihren wichtigsten Leistungen erscheinen, denn die sehen Ihre Kunden. Haben die Spam-Adressen ein gemeinsames Präfix, kann ein Antrag Hunderte abdecken.

Geben Sie kein Präfix ein, das auch legitime Seiten umfasst. Ein Antrag für https://ihreseite.de/ würde vorübergehend die gesamte Website ausblenden.

Schritt 3: Google helfen, die Spam-Adressen früher zu besuchen

Google besucht die Spam-Adressen irgendwann von selbst, aber Sie können das beschleunigen.

Sitemap aktualisieren und erneut einreichen

Stellen Sie sicher, dass Ihre Sitemap (sitemap.xml) nur legitime Seiten enthält, und reichen Sie sie in der Search Console erneut ein. So crawlt Google Ihre echten Seiten früher und korrigiert Titel und Beschreibungen, besonders wenn der Angreifer die Titel bestehender Seiten geändert hat.

Eine vorübergehende Sitemap mit Spam-Adressen

Eine bekannte Technik, um viele Adressen schneller entfernen zu lassen, ist eine vorübergehende, separate Sitemap, die nur die Spam-Adressen mit einem aktuellen Änderungsdatum enthält. Google hat dann einen Grund, sie früher zu besuchen, sieht den Status 410 und entfernt sie. Diese Sitemap sollte gelöscht werden, sobald die Zahl der Spam-Adressen im Index deutlich gesunken ist, meist nach einigen Wochen. Dieser Schritt ist optional und nur bei Hunderten oder Tausenden Spam-Adressen sinnvoll.

Indexierung wichtiger Seiten beantragen

Nutzen Sie für einige Ihrer wichtigsten Seiten (Startseite, Hauptleistungen, Kontakt) die Schaltfläche Indexierung beantragen in der URL-Prüfung. So aktualisiert Google Titel und Beschreibung schneller, falls der Angreifer sie geändert hat. Die Zahl dieser Anträge pro Tag ist begrenzt, nutzen Sie sie also nur für die Seiten, die Ihnen am wichtigsten sind.

Schritt 4: Überprüfung beantragen, wenn es eine Warnung gibt

Nutzen Sie diese Prüfung erneut, wenn spam seiten aus google nach einer Teilbereinigung zurückkehrt.

Hat Google die Website wegen gehackter Inhalte markiert, sehen Sie das in der Search Console unter Sicherheit und manuelle Maßnahmen, in den Bereichen „Sicherheitsprobleme“ oder „Manuelle Maßnahmen“. Solange die Warnung aktiv ist, kann die Website weniger sichtbar sein oder eine Browserwarnung haben.

So schreiben Sie einen guten Antrag

Wenn die Website sauber ist und die Spam-Adressen 410 liefern, klicken Sie auf Überprüfung beantragen. Beschreiben Sie im Antrag kurz und konkret:

• was gefunden wurde (zum Beispiel Cloaking-Code in Theme-Dateien und in der Datenbank, Spam-Seiten über Medikamente),
• was entfernt und ersetzt wurde,
• wie der Zugang geschlossen wurde (verwundbares Plugin aktualisiert, Passwörter geändert, Zwei-Faktor-Authentifizierung aktiviert),
• wie eine Wiederholung verhindert wird (Monitoring, regelmäßige Updates).

Google erwartet keinen technischen Aufsatz, aber eine klare und ehrliche Erklärung erhöht die Chance, dass der Antrag beim ersten Mal angenommen wird. Die Prüfung dauert meist einige Tage bis einige Wochen. Mehr dazu im Artikel Webseite von Google Blacklist entfernen.

Den Antrag nicht zu früh senden

Senden Sie den Antrag, solange die Website nicht vollständig sauber ist, lehnt Google ihn ab, und jede weitere Prüfung kann länger dauern. Besser einen oder zwei Tage warten und alles noch einmal prüfen, als zu drängen.

So verfolgen Sie den Fortschritt

Betreiber unterschätzen spam seiten aus google oft, bis Search Console oder Kunden Alarm schlagen.

Das Entfernen von Spam-Adressen geht nicht sofort und nicht geradlinig. Hier sehen Sie, wo Sie schauen sollten und was normal ist.

Der Bericht zur Seitenindexierung

Beobachten Sie im Bericht Seitenindexierung der Search Console zwei Dinge. Die Zahl der indexierten Seiten sollte allmählich auf die reale Seitenzahl Ihrer Website sinken. Die Zahl der Seiten unter „Nicht gefunden (404)“ oder ähnlichen Kategorien für entfernte Seiten sollte steigen. Das ist ein gutes Zeichen: Google besucht die Spam-Adressen und sieht, dass sie weg sind.

Der Bericht wird mit einigen Tagen Verzögerung aktualisiert, schauen Sie also nicht stündlich hinein.

Die „site:“-Suche

Eine site:ihreseite.de-Suche liefert ein grobes Bild, aber die Ergebniszahl ist ungenau und schwankt von Tag zu Tag. Nutzen Sie sie, um zu sehen, ob bei Ihrem Firmennamen noch Spam erscheint, nicht als genaues Maß für den Fortschritt.

Wie lange es dauert

Es gibt keine feste Frist. Bei kleineren Infektionen mit einigen Dutzend Spam-Adressen verschwinden die meisten Ergebnisse innerhalb von zwei bis vier Wochen. Bei großen Infektionen mit Tausenden Adressen kann es zwei bis drei Monate dauern, und einzelne Adressen tauchen manchmal später wieder auf. Entscheidend ist ein klar fallender Trend.

Sonderfälle

Der Angreifer hat die Titel Ihrer echten Seiten geändert

Bei manchen Infektionen, besonders beim Japanese Keyword Hack, erstellt der Angreifer nicht nur neue Spam-Seiten, sondern ändert auch Titel und Beschreibung bestehender Seiten, sodass Ihre Startseite bei Google einen japanischen oder Pharma-Titel hat. Diese Seiten sollen nicht aus dem Index entfernt werden, Sie brauchen sie. Prüfen Sie sie nach der Bereinigung mit der URL-Prüfung, stellen Sie sicher, dass der Live-Test den richtigen Titel zeigt, und beantragen Sie die erneute Indexierung. Google aktualisiert den Titel meist innerhalb weniger Tage.

Der Spam liegt auf einer Subdomain

Manchmal legt der Angreifer eine Subdomain an, zum Beispiel shop.ihreseite.de oder einen zufälligen Namen, und stellt dort den Spam ein. Prüfen Sie die DNS-Einträge Ihrer Domain und entfernen Sie Subdomains, die Sie nicht kennen. Nutzen Sie in der Search Console eine Domain-Property, sehen Sie auch Ergebnisse der Subdomains und können sie an einem Ort verfolgen.

Bing und andere Suchmaschinen

Derselbe Spam ist meist auch bei Bing indexiert, das auch einige andere Suchmaschinen und KI-Assistenten versorgt. Der Ablauf ist ähnlich: Website in den Bing Webmaster Tools hinzufügen, eine korrekte Sitemap einreichen und das Tool zur Inhaltsentfernung für die schlimmsten Ergebnisse nutzen. Der Status 410 auf dem Server funktioniert auch für Bing.

Fehler, die den Prozess verlängern

Aus der Praxis sind das die häufigsten Gründe, warum Spam viel länger bei Google bleibt als nötig:

• Am Index arbeiten, bevor die Website vollständig sauber ist. Google sieht den Spam erneut und behält die Adresse.
• Alle nicht existierenden Adressen auf die Startseite umleiten. Google bekommt kein klares Signal, dass die Seite entfernt wurde.
• Spam-Adressen in der robots.txt sperren. Google sieht den Status 410 nicht.
• Sich nur auf das Tool „Entfernen“ verlassen. Nach sechs Monaten kommen die Ergebnisse zurück.
• Die Search-Console-Property löschen und neu anlegen. Sie verlieren die Historie und gewinnen nichts.
• Den Überprüfungsantrag zu früh senden. Ein abgelehnter Antrag verlängert den gesamten Prozess.

Rankings nach der Bereinigung zurückgewinnen

Wenn der Spam aus dem Index verschwunden ist, erholen sich die Rankings meist schrittweise, aber nicht immer auf dasselbe Niveau und nicht sofort. Google hat Ihre Website eine Zeit lang als Spam-Quelle gesehen und braucht Zeit, um ihr wieder zu vertrauen.

Die Erholung beschleunigen regelmäßig veröffentlichte nützliche Inhalte, korrekte Titel und Beschreibungen der wichtigsten Seiten und eine technisch saubere Website. Auch natürlich gewonnene Links von seriösen Websites helfen. Nichts davon zählt jedoch, wenn die Infektion zurückkehrt, daher ist das Monitoring nach der Bereinigung genauso wichtig wie die Bereinigung selbst. Warum Infektionen zurückkehren, erklären wir im Artikel Infektion kehrt nach Bereinigung zurück.

Nächster Schritt

Wenn Sie nach einer Bereinigung weiter Spam bei Google sehen, starten Sie den kostenlosen Website-Check, um zu bestätigen, dass aus dem Internet keine Infektion mehr sichtbar ist. Wenn jemand den gesamten Prozess übernehmen soll, von der Bereinigung über korrekte Serverantworten bis zum Überprüfungsantrag in der Search Console, melden Sie sich oder rufen Sie +381 65 402 5000 an.