Website Sicherheit prüfen:
Google-Warnung und Malware erkennen.
Safe Browsing prüfen, Schadcode entfernen, Plugins prüfen und aktualisieren, Passwörter erneuern, Reconsideration-Request bei Google stellen. Typisch zwei bis acht Stunden je nach Schaden, abgerechnet pro halbe Stunde.
Website auf Sicherheit prüfen — was der Check wirklich zeigt
Der Google-Check zeigt, ob Ihre Domain bereits öffentlich als gefährlich markiert ist. Für eine saubere Website reicht dieser eine Wert nicht.
Google-Warnliste
Safe Browsing erkennt Malware, Phishing, schädliche Downloads und unerwünschte Software. Wenn Google warnt, sehen Besucher oft eine rote Sperrseite.
Server-Spuren
Neue PHP-Dateien, fremde Admin-Benutzer, Weiterleitungen, geänderte Plugins und ungewöhnliche Log-Einträge zeigen, ob die Website gehackt wurde.
Wiederfreigabe
Nach dem Cleanup muss Google über die Search Console neu prüfen. Erst wenn der Schadcode weg ist, verschwindet die Warnung.
Google Site Checker: In drei Schritten zur Sicherheitsbewertung
Der Lookup ist Teil von Googles Transparenz-Bericht — öffentlich, ohne Login.
Domain eingeben
Auf der Transparenz-Bericht-Seite die Domain eintragen — mit oder ohne www, mit oder ohne https. Google normalisiert das. Der Check ist sekundenschnell.
Status lesen
Drei mögliche Antworten: „No unsafe content found" (grün — alles gut), „Part of this site is unsafe" (gelb — einzelne Seiten betroffen) oder „The site contains harmful content" (rot — komplett markiert).
Kategorie erkennen
Bei Befund nennt Google die Kategorie: Malware, Social Engineering (Phishing), Unwanted Software oder Harmful Downloads. Die Kategorie bestimmt, was als nächstes zu tun ist.
Website prüfen ob sicher: Die möglichen Ergebnisse
Was hinter den drei Status wirklich steht.
„No unsafe content found"
Ihre Domain ist nicht auf Googles Warnliste. Gut — aber nicht Beweis, dass keine Schadsoftware auf dem Server liegt. Google sieht nur, was es selbst gecrawlt hat, und prüft nicht jede Seite einer großen Website.
„Part of this site is unsafe"
Einzelne URLs sind betroffen — oft nach einem teilweisen Hack. Typischer Fall: ein kompromittiertes Plugin hat Phishing-Unterseiten angelegt, die Startseite selbst ist aber noch sauber. Trotzdem ernst, weil die Warnung Besucher vertreibt.
„Site contains harmful content"
Komplette Warnung für die ganze Domain. Chrome-Nutzer sehen statt Ihrer Seite eine rote Barriere. Traffic bricht innerhalb von Stunden auf nahe Null. Dringende Sofortmaßnahmen nötig.
Die vier Bedrohungskategorien von Safe Browsing
Wenn Google eine Website markiert, wird sie in eine von vier Kategorien einsortiert. Die Kategorie bestimmt, wie das Aufräumen aussieht.
Malware
Die Website lädt im Hintergrund Schadcode auf Besucher-Geräte. Oft per JavaScript-Injection in Theme- oder Plugin-Dateien. Typische Spuren: base64-codierte eval-Aufrufe, fremde Skript-Sources, manipulierte index.php.
Social Engineering / Phishing
Angreifer legen Login-Imitate auf Ihrer Domain ab (oft als Unterordner wie /webmail/ oder /signin/). Die echte Startseite bleibt unauffällig — der Angriff zielt auf E-Mail-Empfänger eines Phishing-Versands.
Unwanted Software
Adware, aggressive Pop-up-Ketten, Browser-Hijacker oder Crypto-Miner. Häufige Ursache: kompromittierte Werbenetzwerke oder ein gehacktes Tag-Management.
Harmful Downloads
Die Website bietet Dateien an, die Antiviren-Engines als Schadsoftware einstufen. Bei legitimen Downloads (z.B. eigene Software) reicht oft ein Code-Signing-Zertifikat plus Reconsideration-Request.
Gehackte WordPress-Seite erkennen — sechs typische Spuren
WordPress ist Hauptangriffsziel im deutschen Mittelstand. Diese Indizien tauchen in fast jedem Hack-Fall auf.
- Fremde Admin-Benutzer. Im WP-Admin unter „Benutzer" plötzlich ein unbekanntes Konto, oft mit kryptischem Namen und Administrator-Rolle.
- Neue PHP-Dateien im Upload-Ordner.
/wp-content/uploads/darf nur Bilder und Dokumente enthalten. PHP-Dateien dort sind ein deutliches Alarmzeichen. - Geänderte .htaccess oder wp-config.php. Änderungsdatum jünger als die letzte bewusste Bearbeitung — verdächtig.
- Ungewollte Weiterleitungen. Inkognito-Fenster nutzen: Lädt die Startseite eine fremde URL? Oft nur für mobile User-Agents oder bestimmte Länder, deshalb im Eigentest oft unsichtbar.
- Spam-Einträge in der Datenbank. Suchmaschinen indexieren plötzlich Seiten mit „cheap viagra" oder ähnlichem auf Ihrer Domain — typisch für SEO-Spam-Injection.
- Veraltete Plugins mit bekannten Lücken. Plugin-Versionen mit dokumentierten CVEs (z.B. ältere File-Manager- oder Slider-Plugins) sind das häufigste Einfallstor.
Was im Ernstfall zu tun ist
- Sofort: Website vom Netz nehmen oder Maintenance-Seite schalten. Weitere Besucher-Infektionen verhindern. Bei kritischen Shops: mit Hoster absprechen.
- Spuren sichern. Log-Dateien (access und error) für die letzten 30 Tage herunterladen. Dateien mit aktuellem Änderungsdatum identifizieren. Das hilft bei der Ursachensuche.
- Schadcode entfernen. Bei WordPress oft ein frisches Core-Replacement plus Plugin-Neuinstallation aus verifizierter Quelle. Datenbank auf injizierte Skripte prüfen.
- Alle Passwörter ändern. FTP, SSH, Datenbank, WordPress-Admin, Hoster-Panel. Falls Admin-E-Mail kompromittiert: auch dort.
- Reconsideration-Request stellen. Über Google Search Console (vorher verifizieren, falls noch nicht passiert). Google prüft und entfernt meist innerhalb von 24 bis 72 Stunden die Warnung.
- Monitoring einrichten. File-Integrity-Monitor, regelmäßige Safe-Browsing-Checks, automatische Plugin-Updates. Damit das nicht wieder passiert.
Webseiten-Sicherheitscheck: Online-Tools im Vergleich
Wer Internetseiten auf Sicherheit prüfen will, hat mehrere öffentliche Dienste zur Auswahl. Jeder zeigt einen anderen Blickwinkel — die Kombination ergibt ein belastbares Bild.
- Google Safe Browsing Transparenz-Bericht. Der wichtigste Wert für deutsche Websites, weil Chrome, Firefox und Safari dieselbe Liste abfragen. Ohne Anmeldung, Ergebnis in Sekunden. Nachteil: zeigt nur, was Google bereits markiert hat — keine eigene Tiefenprüfung.
- VirusTotal URL-Check. Mehr als 70 Antiviren-Engines geben parallel ein Urteil ab. Sehr breit, dafür gelegentlich falsch-positive Treffer bei kleinen Engines. Praktisch für Zweitmeinung neben Safe Browsing.
- URLVoid. Aggregiert Blocklisten mehrerer Anbieter (Spamhaus, OpenPhish, weitere). Ergänzt das Bild, wenn eine Domain knapp unter Googles Schwelle liegt, in anderen Listen aber bereits auftaucht.
- Mozilla Observatory. Kein Malware-Check, sondern Bewertung der HTTP-Sicherheits-Header, TLS-Konfiguration und Cookie-Einstellungen. Sinnvoll als Härtungs-Check für die eigene Domain.
- Sucuri SiteCheck. Scannt Frontend-HTML auf bekannte Schadcode-Muster, prüft Blocklisten und Veraltung gängiger CMS-Versionen. Gut für einen ersten Indikator bei einer fremden Domain.
- Google Search Console. Nur für die eigene verifizierte Domain — zeigt unter „Sicherheitsprobleme" detailliert, welche URLs Google beanstandet und welche Kategorie der Befund hat.
Praxis-Tipp: Für die schnelle Einstufung einer fremden Website reicht Safe Browsing plus VirusTotal. Für die eigene Domain sind Search Console und ein Mozilla-Observatory-Lauf die zwei wichtigsten Schritte.
Weitere Sicherheits-Werkzeuge
Ein Sicherheits-Check besteht aus mehreren Bausteinen. Diese Werkzeuge gehören in jede Prüfung.
Sicherheits-Header prüfen
HSTS, Content-Security-Policy, X-Frame-Options und andere HTTP-Header prüfen. Zeigt, wie gut der Server gegen typische Angriffsklassen abgesichert ist.
SSL-Zertifikat prüfen
Aussteller, Gültigkeit, Schwachstellen-freie Cipher-Suites und Kettenvollständigkeit. Ein abgelaufenes Zertifikat ist ein klares Browser-Warnsignal.
Datei oder Link auf Viren prüfen
VirusTotal-basierter Check für verdächtige Downloads oder URLs aus E-Mails. Über 70 Antiviren-Engines parallel.
E-Mail-Leak prüfen
Prüfung, ob Ihre Domain in bekannten Datenlecks auftaucht. Wichtig, weil geleakte Admin-Passwörter ein typischer Einstiegspunkt für Hacks sind.
Warnung ist da — wir übernehmen den Cleanup.
Wir säubern den Server, prüfen jeden Plugin- und Theme-Ordner, tauschen alle Passwörter, stellen den Reconsideration-Request bei Google und richten Monitoring ein, damit das nicht wieder vorkommt. Typisch zwei bis acht Stunden je nach Schaden, abgerechnet pro halbe Stunde.
Aufräumen lassenBeschreiben Sie Ihr Anliegen
Schreiben Sie uns kurz, worum es geht. Wir prüfen die Anfrage und melden uns per E-Mail mit dem nächsten Schritt.
Häufig gestellte Fragen
Wie kann ich eine Website auf Sicherheit prüfen?
Drei Ebenen. Erstens öffentliche Check-Dienste: Google Safe Browsing Transparenz-Bericht (zeigt, ob die Domain auf der Warnliste steht), Sicherheits-Header prüfen, SSL-Zertifikat prüfen. Zweitens die Search Console: Bereich „Sicherheitsprobleme" zeigt, was Google selbst bemängelt. Drittens Server-Ebene: neue PHP-Dateien, fremde Admin-Benutzer, geänderte .htaccess, ungewöhnliche Cronjobs, Plugin-Updates, Datenbank auf injizierte Skripte. Der Safe-Browsing-Check ist nur der Einstieg, kein vollständiger Server-Scan.
Was ist Google Safe Browsing genau?
Ein Dienst von Google, der eine ständig aktualisierte Liste schädlicher Websites pflegt. Chrome, Firefox, Safari und viele andere Browser fragen diese Liste ab. Wenn Ihre Domain darauf steht, sehen Besucher eine rote Warnseite vor Ihrer eigentlichen Website — egal welchen Browser sie nutzen.
Wie funktioniert der Google Site Checker für die eigene Domain?
Der öffentliche Google Site Checker ist der Safe Browsing Lookup im Transparenz-Bericht. Sie geben die Domain ein (mit oder ohne www, mit oder ohne https), Google normalisiert das und zeigt sekundenschnell drei mögliche Status: „No unsafe content found", „Part of this site is unsafe" oder „Site contains harmful content". Kein Login nötig, keine Anmeldung. Für die eigene Domain bietet die Google Search Console zusätzlich detaillierte Sicherheitsprobleme.
Wie kommt meine Website in die Warnliste?
Vier typische Wege. Erstens: die Website wurde gehackt und liefert Schadcode aus (meist über veraltete WordPress-Plugins). Zweitens: sie verteilt Malware zum Download. Drittens: sie wird für Phishing genutzt (oft ohne Wissen des Eigentümers — Angreifer legen nur Unterseiten an). Viertens: „Unwanted Software" — Adware, Crypto-Miner, aggressive Redirects.
Ich sehe auf meiner eigenen Seite keine Warnung. Trotzdem markiert?
Möglich. Die Warnung erscheint nur in Browsern mit Safe Browsing (Chrome, Firefox, Safari). Wenn Sie mit einem kundeneigenen Browser oder einem Unternehmensgerät ohne Safe Browsing arbeiten, sehen Sie nichts. Der Lookup im Transparenz-Bericht ist der unabhängige Check, der unabhängig vom Browser funktioniert.
Meine Website ist als schädlich markiert. Was tue ich zuerst?
Nicht panisch löschen, erst Spurensicherung. Anzahl betroffener Dateien prüfen, Änderungsdaten notieren, Log-Dateien sichern. Dann aufräumen: Schadcode entfernen, alle Passwörter (FTP, Datenbank, Admin, Hoster-Account) ändern, Plugins aktualisieren, Server-Software patchen. Erst wenn alles sauber ist: in der Google Search Console einen Reconsideration-Request stellen.
Wie lange dauert es, bis Google die Warnung wieder entfernt?
Nach einem erfolgreichen Reconsideration-Request meist 24 bis 72 Stunden. Wichtig: Google prüft, ob der Schadcode tatsächlich weg ist. Wenn noch Reste im System sind, wird der Request abgelehnt und die Warnung bleibt. Einen halbherzigen Cleanup erkennt Google zuverlässig.
Wie prüfe ich, ob eine fremde Website sicher ist?
Vor dem Klick auf einen verdächtigen Link: die URL im Safe Browsing Transparenz-Bericht eingeben. Zusätzlich Domain-Alter prüfen (frisch registrierte Domains sind oft verdächtig), SSL-Zertifikat ansehen (Aussteller, Gültigkeit), und im Browser nicht auf Pop-ups oder Downloads klicken. Für Datei-Downloads aus unbekannten Quellen unseren Datei-Link-Viren-Check nutzen.
Wie vermeide ich, wieder auf die Warnliste zu kommen?
Drei Dinge. WordPress, Shopware oder Contao regelmäßig aktualisieren, inklusive aller Plugins und Themes. Nur Plugins aus offiziellen Repos nutzen, keine Nulled-Versionen. Admin-Passwörter mit Passwort-Manager erzeugen und Zwei-Faktor-Authentisierung aktivieren. Wenn die Seite geschäftskritisch ist: monatlicher Wartungsvertrag mit File-Integrity-Monitor und Update-Plan.
Kann ich die Warnung mit einem Hoster-Wechsel loswerden?
Nein — die Warnung hängt an der Domain, nicht am Server. Ein Hosterwechsel ohne Cleanup bringt den Schadcode nur in ein neues Zuhause. Und Google merkt sich die Domain. Erst sauber machen, dann ggf. umziehen.
Ist Safe Browsing ein vollständiger Virenscan für meine Website?
Nein. Safe Browsing zeigt, ob Google Ihre Domain bereits als gefährlich eingestuft hat. Eine Website kann trotzdem kompromittiert sein, bevor Google sie markiert. Für einen echten Sicherheits-Check müssen Dateien, Datenbank, Weiterleitungen, Benutzer und Server-Logs geprüft werden.
Welche Sicherheits-Header sollte eine Website setzen?
Mindestens fünf: Strict-Transport-Security (HSTS) für erzwungenes HTTPS, Content-Security-Policy gegen Skript-Injection, X-Content-Type-Options gegen MIME-Sniffing, Referrer-Policy für Datenschutz und X-Frame-Options gegen Clickjacking. Fehlende Header sind kein Hack-Beweis, aber ein Indiz für nachlässige Konfiguration. Mit unserem Sicherheits-Header-Check sehen Sie den Stand binnen Sekunden.
Welche öffentlichen Online-Tools gibt es für einen Webseiten-Sicherheitscheck?
Vier sind etabliert und ohne Anmeldung nutzbar. Google Safe Browsing Transparenz-Bericht (zeigt Googles eigene Einstufung — der relevanteste Wert, weil er Chrome, Firefox und Safari steuert). VirusTotal URL-Check (über 70 Antiviren-Engines parallel). URLVoid (Reputation aus mehreren Blocklisten). Mozilla Observatory für HTTP-Header und TLS-Konfiguration. Jeder Dienst zeigt einen anderen Blickwinkel — kein einzelner Wert ersetzt einen vollständigen Server-Check.
Google URL Check und Safe Browsing — wo ist der Unterschied?
Beides sind Sichten auf denselben Datenbestand. Der Google URL Check (im Transparenz-Bericht) ist die manuelle Web-Oberfläche. Die Safe Browsing API ist die maschinelle Schnittstelle, die Browser nutzen. Das Ergebnis ist identisch: Steht die URL auf Googles Liste, sehen Sie in beiden Fällen denselben Status. Praktisch heißt das: Einer von beiden reicht für die Einstufung.
Wie prüfe ich Webseiten regelmäßig, ohne ständig manuell zu klicken?
Drei Wege. Erstens: Google Search Console mit verifizierter Property — Sie bekommen automatisch eine E-Mail, wenn Google ein Sicherheitsproblem findet. Zweitens: Uptime-Monitoring-Dienste wie UptimeRobot oder Better Stack haben optionale Safe-Browsing-Checks. Drittens: ein eigener Cronjob, der wöchentlich die Safe-Browsing-API abfragt und bei Treffer eine Warn-Mail schickt. Für geschäftskritische Seiten lohnt sich der dritte Weg plus File-Integrity-Monitor auf dem Server.