Google-Blacklist nach Hack entfernen

Die Google-Blacklist ist die Liste von Websites, die Google Safe Browsing als gefährlich einstuft -- wegen Schadcode, Phishing-Inhalten oder unerwünschter Software. Browser wie Chrome, Safari, Firefox und Brave zeigen für gelistete Websites eine ganzseitige rote Warnseite an, noch bevor Besucher Ihre Inhalte überhaupt sehen. Nach eigenen Angaben von Google schützt Safe Browsing täglich über 5 Milliarden Geräte weltweit.

Der Begriff "Blacklist" ist übrigens umgangssprachlich: Google selbst spricht von Safe Browsing und in der Search Console vom Bericht "Sicherheitsprobleme". Die Markierung wird automatisch gesetzt und verschwindet erst nach einer erfolgreichen Überprüfung.

So führen Sie einen Website Blacklist Check durch: Öffnen Sie den Google Transparency Report und geben Sie Ihre URL ein. Das Ergebnis zeigt Ihnen sofort und kostenlos, ob Google Ihre Website als unsicher einstuft. Zusätzlich finden Sie in der Google Search Console unter "Sicherheit & Manuelle Maßnahmen > Sicherheitsprobleme" detaillierte Informationen darüber, welche Seiten betroffen sind und welche Art von Bedrohung erkannt wurde.

Google sperrt Websites aus drei Hauptgründen: Malware, Phishing oder unerwünschte Software. Die mit Abstand häufigste Ursache bei kleinen und mittelständischen Unternehmen ist eingeschleuster Schadcode nach einem Hack -- oft ohne dass der Betreiber es bemerkt.

• Malware: Schadcode auf Ihrer Website, der Besucher infiziert oder auf bösartige Seiten weiterleitet. Typisch nach einem Hack über veraltete Plugins oder schwache Passwörter.
• Phishing: Gefälschte Formulare oder Seiten, die persönliche Daten wie Passwörter oder Kreditkartennummern abgreifen. Angreifer erstellen diese oft versteckt in Unterordnern Ihrer Website.
• Unerwünschte Software: Downloads oder Skripte, die sich als nützliche Programme tarnen, aber ungewollte Änderungen am System des Besuchers vornehmen.

Aus meiner Arbeit als PHP-Entwickler kenne ich das typische Fehlerbild: Die Website sieht im eigenen Browser völlig normal aus, trotzdem schlägt Google Alarm. Der Grund ist meist Cloaking -- der Schadcode liefert die manipulierten Inhalte nur an den Googlebot oder nur an mobile Besucher aus. Typische Verstecke sind verschleierte Code-Blöcke am Anfang legitimer PHP-Dateien, ausführbare PHP-Dateien in Upload-Ordnern und manipulierte .htaccess-Dateien mit bedingten Weiterleitungen. Es reicht deshalb nicht, nur die eine gemeldete Datei zu löschen: Die Hintertür der Angreifer sitzt fast immer an einer zweiten, unauffälligeren Stelle.

Wichtig zu verstehen: Wer seine Website von der Blacklist entfernen will, muss zuerst die Ursache beseitigen. Die Warnung zu entfernen, ohne den Schadcode zu löschen, funktioniert nicht. Google prüft Ihre Website erneut und setzt die Warnung wieder ein, wenn der Schadcode noch vorhanden ist. Deshalb ist der erste Schritt immer die vollständige Bereinigung -- eine detaillierte Anleitung dazu finden Sie in meinem Ratgeber zur Malware-Entfernung.

Die Blacklist-Warnung entfernen Sie in zwei Etappen: Zuerst bereinigen Sie die Website vollständig und schließen die Sicherheitslücke, danach fordern Sie in der Google Search Console unter "Sicherheitsprobleme" eine Überprüfung an. Google prüft die Website erneut und hebt die Markierung auf, wenn kein Schadcode mehr gefunden wird. Falls Sie die Search Console noch nicht eingerichtet haben, zeigt Ihnen mein Ratgeber zur Google Search Console die Einrichtung Schritt für Schritt.

• Schritt 1 -- Website bereinigen: Entfernen Sie die Malware vollständig und schließen Sie die Sicherheitslücke. Aktualisieren Sie Ihr CMS, alle Plugins und Themes. Ändern Sie sämtliche Passwörter (CMS, FTP, Datenbank, Hosting-Panel). Wichtig: Wenn personenbezogene Daten betroffen sein könnten (z. B. Kontaktformulare, Kundendaten), besteht gemäß DSGVO Art. 33 eine Meldepflicht an die zuständige Datenschutzaufsichtsbehörde -- möglichst binnen 72 Stunden. Informieren Sie sich bei Ihrem Datenschutzbeauftragten oder einem spezialisierten Anwalt.
• Schritt 2 -- Search Console öffnen: Melden Sie sich in der Google Search Console an und navigieren Sie zu "Sicherheit & Manuelle Maßnahmen" > "Sicherheitsprobleme". Dort sehen Sie die konkreten Bedrohungen, die Google erkannt hat.
• Schritt 3 -- Betroffene URLs prüfen: Google zeigt Ihnen Beispiel-URLs, auf denen Schadcode gefunden wurde. Überprüfen Sie jede einzelne URL und stellen Sie sicher, dass der Schadcode tatsächlich entfernt ist. Mein Praxistipp gegen Cloaking: Prüfen Sie die betroffenen URLs zusätzlich mit dem URL-Prüftool der Search Console, denn dort sehen Sie die Seite so, wie der Googlebot sie abruft -- nicht so, wie Ihr Browser sie anzeigt.
• Schritt 4 -- Überprüfung anfordern (Review Request): Setzen Sie den Haken bei "Ich habe diese Probleme behoben" und klicken Sie auf "Überprüfung anfordern". Beschreiben Sie konkret, was Sie getan haben -- zum Beispiel: "Malware aus infizierten PHP-Dateien entfernt, veraltetes Plugin aktualisiert, alle Passwörter geändert." Eine detaillierte Anleitung zu Sicherheitsproblemen finden Sie in der offiziellen Google-Dokumentation.
• Schritt 5 -- Warten und Status prüfen: Google bestätigt den Eingang Ihres Antrags per E-Mail und informiert Sie ebenfalls per E-Mail, sobald die Überprüfung abgeschlossen ist. Nach erfolgreicher Prüfung entfernt Google die Warnungen im Browser und in den Suchergebnissen. Senden Sie den Antrag nicht erneut, solange die Entscheidung aussteht.

Die Überprüfung nach einem Antrag dauert laut der offiziellen Google-Dokumentation einige Tage bis mehrere Wochen. Feste Fristen pro Bedrohungstyp nennt Google inzwischen nicht mehr -- ältere Angaben wie "Phishing in einem Tag" stammen aus früheren Versionen der Dokumentation und sind überholt.

Drei Faktoren beeinflussen die Dauer in der Praxis am stärksten:

• Qualität der Bereinigung: Findet Google bei der erneuten Prüfung noch Schadcode, wird der Antrag abgelehnt -- und jeder abgelehnte Antrag verlängert die Bearbeitungszeit des nächsten.
• Qualität des Antrags: Ein guter Antrag beschreibt laut Google das Problem, die durchgeführten Korrekturen und dokumentiert das Ergebnis. Ein Einzeiler wie "ist behoben" hilft niemandem.
• Wiederholungstäter-Status: Websites, die wiederholt zwischen konformem und nicht konformem Verhalten wechseln, können 30 Tage lang keine neue Überprüfung anfordern (Details in der Box unten).

Ihre organischen Rankings erholen sich nach der Freigabe in der Regel schrittweise innerhalb weniger Wochen -- vorausgesetzt, die Warnung war nicht über einen längeren Zeitraum aktiv. Bei Websites, die mehrere Wochen auf der Blacklist standen, kann die vollständige Erholung mehrere Monate dauern.

Neben der Safe-Browsing-Warnung trifft ein Hack häufig auch Ihre Werbekampagnen: Google Ads lehnt Anzeigen ab, deren Zielseite gehackt wurde. Grundlage ist die Richtlinie "Missbrauch des Werbenetzwerks -- Manipulierte Websites". Die Ablehnung wird erst aufgehoben, wenn die Zielseite bereinigt ist und Sie die Entscheidung im Google-Ads-Konto anfechten.

So gehen Sie im Google-Ads-Konto vor:

• Betroffene Anzeigen finden: Filtern Sie Ihre Anzeigen nach den Richtliniendetails "Manipulierte Website". So sehen Sie, welche Kampagnen betroffen sind.
• Zielseite bereinigen: Entfernen Sie den Schadcode wie oben beschrieben und prüfen Sie den Status anschließend über den Google Transparency Report. Solange die Zielseite markiert ist, bleibt auch die Anzeige gesperrt.
• Entscheidung anfechten: Reichen Sie den Einspruch direkt im Richtlinienmanager Ihres Google-Ads-Kontos ein -- über "Entscheidung anfechten" beziehungsweise "Änderungen vorgenommen". Dort verfolgen Sie auch den Status Ihres Einspruchs.

Wichtig für Ihre Planung: Laut der Richtlinie sperrt Google das Werbekonto bei diesem Verstoß nicht ohne Vorwarnung -- eine Warnung erfolgt mindestens 7 Tage vor einer Kontosperrung. Mein Rat: Pausieren Sie die betroffenen Kampagnen während der Bereinigung, denn jeder Klick auf eine abgelehnte oder kompromittierte Zielseite verbrennt Werbebudget ohne Gegenwert.

Die Warnung zu entfernen ist nur die halbe Arbeit. Ohne konsequente Absicherung riskieren Sie, dass Ihre Website erneut gehackt und von Google gesperrt wird. Folgende Maßnahmen schützen Sie langfristig:

• Software aktuell halten: Aktualisieren Sie Ihr CMS, Plugins und Themes zeitnah. Veraltete Software ist das häufigste Einfallstor für Angreifer.
• Starke Passwörter und Zwei-Faktor-Authentifizierung: Verwenden Sie für jeden Zugang ein einzigartiges, langes Passwort und aktivieren Sie 2FA, wo immer es möglich ist.
• Regelmäßige Backups: Erstellen Sie automatische Backups -- mindestens wöchentlich. Im Ernstfall können Sie so schnell eine saubere Version wiederherstellen. Eine ausführliche Anleitung finden Sie in meinem Artikel zum Thema Backups.
• Monitoring einrichten: Nutzen Sie den Google Transparency Report und die Search Console, um Sicherheitsprobleme frühzeitig zu erkennen. Prüfen Sie regelmäßig, ob Ihre Website sauber ist.
• PHP-Version aktualisieren: Nutzen Sie eine aktiv unterstützte PHP-Version -- Stand Juli 2026 sind das 8.4 und 8.5, während 8.2 und 8.3 nur noch Sicherheitsupdates erhalten. Welche Versionen aktuell unterstützt werden, zeigt die offizielle Übersicht auf php.net.

Einen umfassenden Leitfaden zur präventiven Absicherung finden Sie in meinem Ratgeber Website-Sicherheit für Unternehmen.

Zuletzt aktualisiert: 6. Juli 2026  ·  Lesezeit: ca. 9 Minuten