Ihre WordPress-Website hat SEO-Spam. Eine Bereinigung behebt das nicht.

WordPress-SEO-Spam kommt immer wieder zurück, weil die Bereinigung das Symptom entfernt und den Zugang bestehen lässt. Sucuri fand bei 49,21 % der kompromittierten Websites zum Zeitpunkt der Infektion eine Backdoor und bei 55 % der Websites mit Datenbank-Malware mindestens ein bösartiges Administratorkonto.

Sie scannen die Seiten, löschen die eingeschleusten Links, aktualisieren jedes Plugin, und innerhalb eines Monats sind die Apotheken-Links wieder da. Das Konto, das sie erneut installiert, wurde beim ersten Einbruch angelegt und hat die Bereinigung überstanden.

Wer schon einmal eine gehackte WordPress-Installation bereinigt hat, weiß: Die zweite Infektion kommt schneller als die erste. Es folgen der Schaden für Ihre Rankings, ein 20-Minuten-Audit ohne gekauften Scanner, die Gründe für das Scheitern der Entfernung und der Weg, die Lücke dauerhaft zu schließen.

• SEO-Spam gehört zu den häufigsten Infektionen, die Sucuri bereinigt. Er trat bei 20,30 % der infizierten Websites während der Bereinigung auf und bei 42,22 % über Remote-Scans.
• Die Bereinigung entfernt die Nutzlast und lässt den Zugang bestehen. 49,21 % der kompromittierten Websites hatten eine Backdoor, 55 % der Websites mit Datenbank-Malware ein bösartiges Administratorkonto.
• Patchen ist oft unmöglich. Patchstack zählte 2025 insgesamt 11.334 neue WordPress-Schwachstellen, 91 % davon in Plugins, und für 46 % gab es am Tag der Veröffentlichung keinen Fix.
• Der meiste Spam liegt in der Datenbank. 38,3 % der kompromittierten Datenbanken enthielten SEO-Spam. Deshalb meldet ein Datei-Scanner eine saubere Website, während Google Apotheken-Titel anzeigt.
• Ein statischer Neuaufbau beendet den Kreislauf. Ohne Datenbank zur Laufzeit und ohne Plugin-Ebene gibt es auf dem Server nichts, in das sich etwas einschleusen ließe.

Was eine SEO-Spam-Injektion mit einer WordPress-Website macht

Der Angreifer will die Reputation Ihrer Domain. Eine Website, der Google bereits vertraut, gibt dieses Vertrauen an Seiten weiter, die gefälschte Medikamente, Casino-Anmeldungen oder Fake-Sneaker verkaufen. Die Links bleiben vor Ihnen verborgen und werden an Googlebot ausgeliefert. Im Browser wirkt die Website einwandfrei, im Index liest sie sich wie eine Apotheke.

• Versteckte Linkblöcke. Hunderte Anchor-Tags, per CSS aus dem sichtbaren Bereich geschoben, eingeschleust in den Footer, einen Widget-Bereich oder einen alten Beitrag, den niemand öffnet.
• Cloaked Pages. Der Server prüft User-Agent und Referrer, bevor er entscheidet, was er ausliefert. Menschliche Besucher bekommen Ihre Startseite, Googlebot bekommt Spam, und der Betreiber erfährt es zuletzt.
• Der Japanese Keyword Hack. Google Search Central dokumentiert ihn unter diesem Namen: Tausende automatisch erzeugte Seiten mit japanischem Text und Affiliate-Links, dazu ein fremder Inhaber in der Search Console, damit der Angreifer den Zugriff behält, nachdem Sie die Dateien bereinigt haben.
• Bedingte Weiterleitungen. Besucher, die über ein Suchergebnis kommen, landen auf dem Spam-Ziel. Wer die Domain direkt eintippt, sieht eine normale Website. Deshalb glauben Betreiber der ersten Meldung selten.

38,3 % der kompromittierten Datenbanken in Sucuris Datensatz enthielten SEO-Spam, überwiegend versteckte Links zu gefälschten Medikamenten und Glücksspiel. Diese Zahl erklärt den frustrierendsten Teil. Ein Malware-Scanner durchläuft das Dateisystem, meldet alles sauber, und der eingeschleuste Inhalt sitzt in einer Datenbanktabelle, die er nie geöffnet hat.

Wenn in Ihren Suchergebnissen bereits Spam-Seiten auftauchen, zählt der Weg zum Neuaufbau mehr als der nächste Scan. Der WordPress-Migrationsservice von webvise deckt den Umzug auf ein statisches Next.js-Frontend ab, inklusive der Redirect-Map, die Ihre bestehenden Rankings mitnimmt.

Die Infektion in 20 Minuten bestätigen

Führen Sie diese vier Prüfungen durch, bevor Sie jemanden für eine Bereinigung bezahlen. Jede dauert wenige Minuten, braucht kein Plugin und findet etwas, das der Scanner in Ihrem Dashboard übersieht.

1. Fragen Sie Google, was indexiert ist

Suchen Sie Ihre eigene Domain mit dem site-Operator und lesen Sie die Trefferzahl, bevor Sie die Treffer lesen.

• site:ihredomain.de viagra und site:ihredomain.de casino liefern Seiten, die Sie nie geschrieben haben. Ein Treffer genügt.
• site:ihredomain.de allein liefert weit mehr Seiten, als Ihre Website überhaupt hat. Eine 40-seitige Broschüren-Website mit 6.000 indexierten URLs ist bereits die vollständige Diagnose.
• Ergebnistitel erscheinen in japanischen, kyrillischen oder chinesischen Zeichen auf einer Website, die auf Deutsch oder Englisch publiziert.

2. Rufen Sie Ihre Website als Googlebot ab

Cloaked Spam erscheint nur, wenn der Server glaubt, Googlebot frage an. Vergleichen Sie direkt im Terminal, was die beiden Besucher erhalten.

Gleiche Zahlen sprechen die Website nicht frei. Viele Injektionen betreffen gezielt einzelne URLs statt der Startseite. Wiederholen Sie den Vergleich deshalb an zwei oder drei tieferen Seiten, bevor Sie dem Ergebnis trauen.

3. Lesen Sie die Search Console, dann prüfen Sie, wer sie sonst noch liest

Öffnen Sie zuerst die Bereiche Manuelle Maßnahmen und Sicherheitsprobleme. Eine manuelle Maßnahme wegen Hacking-Spam, ein plötzlicher Anstieg der Impressionen für Suchanfragen ohne Bezug zu Ihrem Geschäft oder ein unbekannter bestätigter Inhaber unter Einstellungen weisen alle in dieselbe Richtung. Der letzte Punkt wird fast immer übersehen, und genau er erlaubt einem Angreifer, die Property erneut zu bestätigen, lange nachdem die Website neu gebaut wurde.

4. Durchsuchen Sie die Datenbank, nicht die Dateien

Hier hat der Datei-Scanner aufgehört zu suchen. Drei Abfragen fördern das meiste zutage, woran er vorbeigelaufen ist.

• SELECT ID, post_title FROM wp_posts WHERE post_content LIKE '%display:none%' OR post_content LIKE '%position:absolute;left:-%'; findet versteckte Linkblöcke in Ihren Inhalten.
• SELECT user_login, user_registered FROM wp_users ORDER BY user_registered DESC LIMIT 10; listet die neuesten Konten. Hinterfragen Sie jedes, dem Sie kein Gesicht zuordnen können.
• SELECT option_name FROM wp_options WHERE autoload='yes' AND LENGTH(option_value) > 100000; findet überdimensionierte eingeschleuste Nutzlasten, die bei jedem einzelnen Request geladen werden.

Warum die Bereinigung immer wieder scheitert

Eine Bereinigung zielt auf die sichtbare Nutzlast. Der Zugangsweg ist etwas völlig anderes, und er übersteht den Scan, das Plugin-Update und das Zurückspielen des Backups, das die meisten Agenturen als ersten Schritt fahren.

Sucuris Bereinigungsdaten weisen bei 49,21 % der kompromittierten Websites zum Zeitpunkt der Infektion eine Backdoor aus. Bei Websites mit Datenbank-Malware kam in 55 % der Fälle mindestens ein bösartiges Administratorkonto hinzu. Der Angreifer meldet sich beim zweiten Mal also durch die Vordertür an und spart sich den Exploit. Spam-Links von einer Website zu löschen, die beides noch hat, ist Hausputz, und die Neuinfektion ist eher terminiert als überraschend.

WP Automatic macht das Muster greifbar. Patchstack veröffentlichte CVE-2024-27956 am 13. März 2024, eine nicht authentifizierte SQL-Injection mit Score 9,8, und die folgenden Angriffe legten damit neue Administratorkonten an. Sicherheitsforscher registrierten mehr als 5,5 Millionen Versuche, sie auszunutzen. Jede Website, die getroffen und anschließend bereinigt wurde, ohne dass jemand die Benutzertabelle prüfte, überließ dem Angreifer einen funktionierenden Zugang.

Die letzte Zeile entscheidet die gesamte Strategie. Patchstack zählte 11.334 neue WordPress-Schwachstellen im Jahr 2025, 42 % mehr als im Vorjahr, davon 91 % in Plugins und 46 % ohne Fix am Tag der Veröffentlichung. Für knapp die Hälfte aller Meldungen des vergangenen Jahres war Patchen schlicht keine verfügbare Option.

Genau das macht aus einer Wartungsfrage eine Plattformfrage. Dieselbe Argumentation zieht sich durch die Sicherheitsrisiken einer veralteten Installation, und die Rechnung wird mit jedem Jahr schlechter, in dem die Zahl der Schwachstellen steigt.

Was der Spam Sie bei Google tatsächlich kostet

Der Ranking-Schaden läuft der Entdeckung weit voraus. Wenn eine Spam-Seite in der site-Suche auftaucht, crawlt und indexiert Google sie bereits seit Wochen, und das Muster, das Google über Ihre Domain gelernt hat, sitzt längst.

Die Wiederherstellung folgt einer festen Reihenfolge, und nichts daran geht schnell. Website bereinigen, fremde Konten und Inhaber entfernen, Antrag auf erneute Überprüfung stellen, dann auf die Aufhebung der manuellen Maßnahme warten. Google nennt keine Bearbeitungszeit für diese Prüfung. Seiten, die als Spam deindexiert wurden, kommen nicht mit ihren alten Positionen zurück.

Eine Website, die zwei Monate lang getarnte Apotheken-Seiten ausgeliefert hat, trägt diese Vorgeschichte in alles hinein, was danach entsteht. Das erhöht den Einsatz beim Neuaufbau selbst. Wie sich Rankings durch einen Relaunch halten lassen, sollten Sie lesen, bevor jemand den DNS anfasst.

Die Angriffsfläche entfernen statt sie zu patchen

WordPress führt PHP auf Ihrem Server aus, liest und schreibt bei jedem Request eine Datenbank und lässt Plugin-Code von Dritten mit nahezu vollem Zugriff auf beides laufen. Genau diese drei Eigenschaften braucht eine SEO-Spam-Injektion. Eine statisch generierte Next.js-Website bietet zur Laufzeit keine davon.

• Keine Datenbank zur Laufzeit. Seiten entstehen beim Deployment und werden als Dateien vom CDN ausgeliefert. Es gibt keine wp_posts-Tabelle, in die jemand versteckte Divs schreiben könnte.
• Keine Plugin-Ebene. 91 % der WordPress-Schwachstellen von 2025 steckten in Plugins. Eine Website ohne Plugin-Ebene erbt nichts davon.
• Nichts Beschreibbares auf dem Server. Nur ein Deployment verändert, was Besucher sehen, und es läuft aus der Versionsverwaltung. Eine eingeschleuste Datei taucht als Diff auf, bevor sie überhaupt ausgeliefert wird.
• Kein Admin-Panel im öffentlichen Internet. Das Problem mit dem bösartigen Administratorkonto entfällt, wenn es kein Login-Formular zu erreichen gibt.

Die Migration selbst ist eine bekannte Größe: vollständiges Audit der bestehenden Website, Neuaufbau in Next.js mit statischer Generierung, ein 301 für jede heute existierende URL, danach Ranking-Monitoring nach dem Umschalten. webvise arbeitet genau in dieser Reihenfolge, mit einem lauffähigen Prototyp früh genug, dass Sie Ihre Inhalte an Ort und Stelle sehen, bevor Sie sich für den Wechsel entscheiden. Ob der Schritt zu Ihrer Website passt, hängt davon ab, wie viel davon wirklich einen Server braucht.

Führen Sie zuerst die vier Prüfungen durch. Liefert eine site-Suche Seiten, die Sie nie geschrieben haben, muss der Zugangsweg geschlossen werden, bevor irgendetwas anderes passiert, und das Bereinigungsangebot in Ihrem Postfach kauft ein paar ruhige Wochen statt einer Lösung. webvise prüft die bestehende Installation, berichtet die Befunde und baut auf einem Fundament neu, in das sich nichts einschleusen lässt: Audit hier buchen.