Wie diese Prüfung funktioniert
Scanaris schlägt deine URL in Google Safe Browsing nach, der Sperrliste, die Chrome, Firefox, Safari, Android und die Google-Suche selbst nutzen, um vor gefährlichen Seiten zu warnen. Es fragt nach vier Bedrohungstypen: Malware, Social Engineering (Phishing), unerwünschte Software und potenziell schädliche Anwendungen. Liefert Safe Browsing keinen Treffer, gibt es keinen Befund: Die allermeisten Seiten sind sauber, und das zu sagen bringt nichts. Liefert es einen, öffnet es einen Befund mit kritischem Schweregrad, dem schwersten, den es gibt, mit den erkannten Bedrohungstypen. Scheitert die Abfrage, wird nichts erfunden.
Warum das wichtig ist
In Safe Browsing zu stehen heißt praktisch, nicht mehr im Internet zu sein. Jeder Besucher mit Chrome, Firefox oder Safari sieht eine rote Vollbildseite, die sagt, deine Seite sei gefährlich, und ihm rät, nicht weiterzugehen; die meisten gehen nicht weiter. Google ergänzt eine Warnung in den Ergebnissen und deindexiert, wenn es anhält. E-Mails mit Links auf deine Seite landen im Spam. Und was dahintersteckt, ist meist schlimmer als die Markierung selbst: Fast immer bedeutet es, dass jemand in deinen Server eingedrungen ist und Code eingeschleust hat, der auf Betrugsseiten umleitet, Werbung einblendet oder Daten deiner Nutzer stiehlt. Es ist also kein Fehlalarm, den man entfernen lässt, sondern ein Sicherheitsvorfall, den man lösen muss.
So behebst du es
- Bestätige, was Google sieht. In der Search Console zeigt der Abschnitt „Sicherheitsprobleme", welche URLs und welche Art von Problem. Googles Transparenzbericht zeigt es auch ohne Konto.
- Finde den eingeschleusten Code. Such nach kürzlich geänderten Dateien, die du nicht angefasst hast, nach verschleierten Skripten am Ende von JS- oder PHP-Dateien, nach Umleitungen in der
.htaccessoder der Konfiguration, nach Admin-Nutzern, die du nicht kennst, nach Plugins oder Themes, die du nicht installiert hast. Bei WordPress hilft ein Malware-Scanner; bei jedem Stack ist der Vergleich mit deinem sauberen Repository am verlässlichsten. - Säubere und schließ die Tür. Am sichersten ist ein neues Deployment aus sauberem Code, nicht das Flicken des Infizierten. Dann das, was den Angreifer hereingelassen hat: alles aktualisieren (WordPress, Plugins, Abhängigkeiten), alle Passwörter und Schlüssel ändern (Panel, Datenbank, FTP, API, Hosting), die Prüfungen WordPress, veraltete Bibliotheken und sensible Dateien durchgehen und beim Hoster die Zwei-Faktor-Authentifizierung einschalten.
- Beantrage die Überprüfung. In der Search Console unter „Sicherheitsprobleme" der Knopf „Überprüfung anfordern". Erkläre, was du gefunden und was du getan hast. Google antwortet meist innerhalb von ein bis zwei Tagen, und die Markierung verschwindet kurz darauf aus den Browsern.
- Wachsam bleiben. Reinfektionen sind üblich, wenn die Tür offen bleibt. Scanne nach einer Woche und nach einem Monat erneut.
Prüf, ob es behoben ist
Öffne Googles Transparenzbericht und such deine Domain:
https://transparencyreport.google.com/safe-browsing/search?url=deinedomain.deDort muss stehen, dass keine unsicheren Inhalte erkannt wurden. In der Search Console muss „Sicherheitsprobleme" leer sein. Und öffne deine Seite in Chrome in einem Inkognito-Fenster: Es darf keine Warnung erscheinen.
Häufige Fragen
Meine Seite ist sauber, warum bin ich markiert?
Manchmal stammt die Markierung von einer Ressource, die du lädst: ein kompromittiertes Drittanbieter-Skript, eine bösartige Anzeige, ein Plugin, das Umleitungen nur für bestimmte Besucher oder Länder einschleust. Was du in deinem Browser siehst, ist nicht unbedingt, was ein Handynutzer in einem anderen Land sieht. Prüf die Berichte der Search Console, die die genaue URL und den Typ nennen.
Wie lange dauert es, bis die Markierung weg ist?
Nach dem Säubern und der Überprüfungsanfrage meist zwischen 24 und 72 Stunden. Beantragst du die Überprüfung, ohne gesäubert zu haben, wird sie abgelehnt und der nächste Versuch dauert länger.
Erkennt diese Prüfung laufende Angriffe?
Nein: Sie erkennt, dass Google dich bereits markiert hat, was die Folge ist. Live-Einbruchsversuche (Brute Force beim Login, Diebstahl von Zugangsdaten) brauchen einen Agenten in deiner Anwendung; das leistet der Live-Bedrohungsdienst der Pro-Pläne.