Phishing-Seiten im Google-Index: WordPress bereinigen und absichern

Werden unter Ihrer Domain fremde Login-, Zahlungs- oder Gewinnspielseiten in Google angezeigt, handelt es sich häufig nicht um ein normales SEO-Problem. Angreifer können WordPress-Dateien, Datenbankinhalte oder Weiterleitungen manipulieren und so Phishing-Seiten einschleusen. Auch wenn die Seiten im WordPress-Backend nicht sichtbar sind, können sie über manipulierte PHP-Dateien oder gefälschte Datenbankeinträge ausgeliefert werden.

Woran erkennen Sie eingeschleuste Phishing-Seiten?

• fremde Login- oder Zahlungsbegriffe in Google
• unbekannte URLs mit vielen zufälligen Parametern
• Seiten erscheinen nur für Suchmaschinen oder bestimmte User-Agents
• unerwartete Weiterleitungen auf fremde Domains
• neue Administratoren oder unbekannte Redakteure
• veränderte PHP-Dateien oder JavaScript-Dateien
• Google Search Console meldet Sicherheitsprobleme

Schritt 1: Fundstellen dokumentieren

Sichern Sie zunächst die betroffenen URLs, Zeitpunkte, Screenshots und Suchergebnisse. Rufen Sie verdächtige Seiten nicht wiederholt auf und geben Sie auf unbekannten Formularen keine Daten ein. Prüfen Sie die Darstellung in einem isolierten Browserfenster und vergleichen Sie die Auslieferung mit einem normalen Besucheraufruf.

Schritt 2: WordPress-Zugänge und Hosting sichern

Ändern Sie Passwörter erst nach Möglichkeit von einem sauberen Gerät aus. Beginnen Sie mit Hosting-, SFTP-, SSH-, Datenbank- und WordPress-Administrator-Zugängen. Aktivieren Sie Zwei-Faktor-Authentifizierung, entfernen Sie unbekannte Benutzer und prüfen Sie, ob API-Schlüssel oder Zahlungszugänge ebenfalls betroffen sein können.

• Hosting-Passwort ändern
• SFTP- und SSH-Zugänge prüfen
• Datenbankzugang sichern
• WordPress-Administratoren prüfen
• Application Passwords widerrufen
• API- und Zahlungszugänge prüfen
• Zwei-Faktor-Authentifizierung aktivieren

Schritt 3: Dateien und Datenbank untersuchen

Eine vollständige Bereinigung umfasst WordPress-Core, Plugins, Themes, Uploads, Konfigurationsdateien und Datenbankinhalte. Prüfsummen können bei Core-Dateien helfen, schließen aber keine Backdoor in wp-content oder der Datenbank aus. Achten Sie auf kürzlich geänderte Dateien, unbekannte PHP-Dateien in Upload-Verzeichnissen, verschleierten Code und verdächtige Admin- oder Options-Einträge.

wp core verify-checksums
wp user list
wp plugin list
wp option get siteurl

Schritt 4: Phishing-Inhalte kontrolliert entfernen

Entfernen Sie identifizierte Seiten, Beiträge, Dateien und Datenbankeinträge erst nach einer Sicherung. Prüfen Sie anschließend, ob Rewrite-Regeln, Indexdateien, Cronjobs oder versteckte Administratoren die Inhalte erneut erzeugen. Falls ein sauberes, zeitlich passendes Backup vorhanden ist, sollte es nur nach einer Prüfung und mit geschlossenen Zugangslücken eingespielt werden.

Google Search Console und erneute Prüfung

Nach der technischen Bereinigung sollten Sie die betroffenen URLs mit dem URL-Prüftool kontrollieren und eine erneute Sicherheitsüberprüfung anstoßen, sofern Search Console einen Sicherheitsverstoß meldet. Entfernen Sie keine legitimen Seiten aus dem Index, nur weil sie ähnliche Suchbegriffe enthalten. Entscheidend ist, dass die schädliche Ausgabe serverseitig nicht mehr erreichbar ist.

Nach der Bereinigung dauerhaft absichern

• WordPress und Erweiterungen aktualisieren
• ungenutzte Plugins und Themes entfernen
• Dateirechte und Schreibrechte prüfen
• regelmäßige Offsite-Backups einrichten
• Admin-Zugänge minimieren
• Login-Schutz und 2FA aktivieren
• Server- und PHP-Logs überwachen
• Google Search Console weiter beobachten

Phishing-Seiten im Google-Index sind ein Hinweis auf einen möglichen Sicherheitsvorfall, nicht nur auf ein einzelnes fehlerhaftes Dokument. Bei wiederkehrenden Manipulationen, unbekannten Backdoors oder geschäftskritischen Websites sollte die Bereinigung professionell und nachvollziehbar durchgeführt werden. WordPress Malware erkennen und entfernen erklärt die grundlegenden Prüfschritte.