Spam-Casino-WordPress: erkennen und bereinigen

So sieht Spam-Casino-WordPress aus

Das Phänomen trägt je nach Land verschiedene Namen: „Japanese Keyword Hack“, „Pharma Hack“, „Casino Hack“. Der Mechanismus ist immer derselbe.

Die Symptome aus Google-Sicht

Alles beginnt mit einer Suche site:votredomaine.fr. Statt deiner üblichen dreißig Seiten listet Google plötzlich dreitausend: „bestes Online-Casino 2026“, „Spielautomaten Bonus ohne Einzahlung“, „slot gacor“, oft auf Japanisch, Indonesisch oder Türkisch. Die Adressen sehen aus wie /casino/, /slot-online/, /?p=xxxx oder wie Unterordner mit zufälligen Namen. Klickt man von Google aus, wird man auf eine Wettseite umgeleitet; gibt man dieselbe Adresse direkt ein, sieht man eine 404-Seite oder die normale Website. Dieser Unterschied im Verhalten ist das Erkennungsmerkmal von Spam-Casino-WordPress: Der eingeschleuste Code liest Referrer und User-Agent aus und zeigt den Spam-Inhalt nur Googlebots und Besuchern, die von einem Suchergebnis kommen. Genau das macht es für den Seitenbetreiber so schwer zu erkennen, da er die Adresse seiner Website immer manuell eingibt. Weitere Anzeichen folgen: Die Search Console meldet Tausende neu indexierte Seiten und „Sicherheitsprobleme“, die Klickzahlen für die echten Keywords brechen ein, Beschwerdemails treffen ein, und manchmal sperrt der Hosting-Anbieter das Konto wegen der Serverlast durch Millionen von Bot-Anfragen auf den fiktiven Seiten.

Was der Angreifer mit Spam-Casino-WordPress gewinnt

Das Ziel ist nicht, dir zu schaden, sondern deinen Ruf zu nutzen. Eine alte Domain mit eingehenden Links und einer sauberen Historie rankt in Google weit leichter als eine erst gestern angelegte Domain. Netzwerke, die Links an Online-Casinos verkaufen – oft in Ländern, in denen deren Werbung verboten ist – haben die Übernahme gewöhnlicher WordPress-Websites daher industrialisiert: Jede gehackte Website wird zu einem Relais, das Wettseiten hostet, auf das Kunden-Casino verweist und einen Teil seiner Autorität weitergibt. Ein einziges Netzwerk kann mehrere Zehntausend Websites kontrollieren, aufgeteilt nach Ländern und Sprachen. Der eingeschleuste Code ist auf Langlebigkeit ausgelegt: Er installiert sich neu, wenn eine Datei gelöscht wird, versteckt sich an mehreren Stellen gleichzeitig und vermeidet sorgfältig jede Änderung an der Startseite. Je unsichtbarer die Infektion bleibt, desto mehr bringt die Website ein. Deshalb kann ein Spam-Casino-WordPress sechs Monate oder ein Jahr lang unbemerkt auf einer Unternehmenswebsite bestehen, bis Google die Domain eines Tages aus den Ergebnissen entfernt oder die Warnung „Diese Website wurde möglicherweise gehackt“ anzeigt. Zu diesem Zeitpunkt ist der Sichtbarkeitsverlust bereits eingetreten, und die Erholung dauert nach der Bereinigung noch mehrere Wochen.

Spam-Casino-WordPress in sieben Schritten bereinigen

Die Bereinigung erfordert Methodik, keine Expertenkenntnisse. Der klassische Fehler besteht darin, nur die sichtbaren Seiten zu löschen und dort aufzuhören.

Den eingeschleusten Code finden

Der Code versteckt sich an mehreren Stellen gleichzeitig, und du musst sie alle finden. Beginne mit den kürzlich geänderten Dateien: Über einen SSH-Zugang listet find . -name "*.php" -mtime -30 alles auf, was sich im letzten Monat verändert hat. Vergleiche den WordPress-Kern mit der offiziellen Version, entweder über ein Integritätsprüfungs-Tool oder indem du dieselbe Version herunterlädst und Ordner für Ordner vergleichst. Prüfe anschließend die typischen Verstecke dieser Art von Infektion, zusammengefasst in der Tabelle unten. Suche in allen Dateien nach den Mustern eval(, base64_decode(, gzinflate(, str_rot13( sowie nach langen, unleserlichen Zeichenketten. Achte auch auf Dateien, die eigentlich nicht existieren sollten: eine .php in uploads, eine wp-conf.php, eine index2.php, eine Datei mit zufälligem Namen im Stammverzeichnis. Und schließlich die Datenbank: Die Tabelle wp_posts enthält oft Tausende Spam-Artikel, manchmal mit einem speziellen Status, der sie vor der Administration verbirgt, und die Tabelle wp_options kann ein Skript in den Theme-Optionen beherbergen. Ein unbekannter Administrator in wp_users ist fast immer vorhanden.

Entfernen, ersetzen, dann überprüfen

Sobald die Infektion vollständig kartiert ist, folge dieser Reihenfolge, ohne einen Schritt zu überspringen.

1. Den infizierten Zustand sichern, Dateien und Datenbank, außerhalb des Servers. Du wirst wahrscheinlich nie darauf zurückgreifen, aber es ist dein Sicherheitsnetz.
2. Alle Passwörter ändern: WordPress, FTP, Datenbank, Hosting. Die Sicherheitsschlüssel in wp-config.php neu generieren.
3. Den Kern ersetzen: wp-admin und wp-includes löschen, dieselbe Version von wordpress.org neu installieren, die Dateien im Stammverzeichnis wiederherstellen, außer wp-config.php.
4. Erweiterungen und Themes neu installieren aus ihren offiziellen Quellen, alles löschen, was nicht mehr genutzt wird oder keine bekannte Quelle hat.
5. Die Datenbank bereinigen: Spam-Artikel stapelweise löschen, unbekannte Administratoren entfernen, wp_options prüfen.
6. Sitemaps und Cache leeren, dann einen externen Scan und eine Suche site: erneut durchführen.
7. Die Entfernung der Spam-Seiten beantragen in der Search Console und die Sicherheitsüberprüfung anfordern.

Die Überprüfung endet nicht am selben Tag: Beobachte die geänderten Dateien mindestens zwei Wochen lang. Eine erneute Infektion in den ersten Tagen bedeutet, dass eine Backdoor überlebt hat oder die ursprüngliche Schwachstelle nicht geschlossen wurde.

Ein Backup wiederherstellen statt bereinigen?

Diese Frage kommt immer wieder auf, und die Antwort hängt von zwei Daten ab: dem Zeitpunkt der Infektion und dem der letzten garantiert sauberen Sicherung. Wenn du über eine Kopie verfügst, die vor dem Erscheinen der ersten Wettseiten in Google liegt, und seitdem wenig Inhalt veröffentlicht wurde, ist die Wiederherstellung der schnellste Weg: eine Stunde statt eines ganzen Tages. Die Falle dabei: Die meisten automatischen Backups laufen über sieben oder dreißig Tage, während Spam-Casino-WordPress oft mehrere Monate unbemerkt bleibt; alle verfügbaren Kopien enthalten dann bereits die Infektion, manchmal in einer schlummernden Form, die sich wenige Tage nach der Wiederherstellung wieder aktiviert. Um zu entscheiden, datiere die Infektion anhand der geänderten Dateien und der Search Console, die anzeigt, wann die Zahl der indexierten Seiten zu steigen begann, und wähle dann ein deutlich früheres Backup. In jedem Fall ersetzt die Wiederherstellung weder das Ändern der Passwörter noch das sofortige Aktualisieren aller installierten Komponenten noch die Überprüfung der Administratoren: Die Schwachstelle, die den Zugang ermöglichte, existiert auch im Backup, und der Bot, der sie ausgenutzt hat, kommt wieder. Eine wiederhergestellte Website ohne diese drei Maßnahmen ist innerhalb einer Woche erneut infiziert, zusätzlich mit dem Verlust der zwischenzeitlich veröffentlichten Inhalte.

Die Seiten aus Google verschwinden lassen

Den Server zu bereinigen reicht nicht aus: Google behält die dreitausend Casino-Seiten noch wochenlang im Index und verknüpft deine Domain weiterhin mit diesen Keywords. Ihre Entfernung muss beschleunigt werden. Stelle zunächst sicher, dass die alten Adressen jetzt einen 404- oder, besser noch, 410-Code zurückgeben, der eine endgültige Löschung signalisiert und die Deindexierung beschleunigt. Nutze anschließend in der Search Console das Entfernungstool für die häufigsten Adresspräfixe, zum Beispiel alles, was mit /casino/ beginnt. Reiche deine legitime Sitemap erneut ein – und nur diese. Zeigt die Search Console ein Sicherheitsproblem an, beantrage die Überprüfung und beschreibe dabei die durchgeführten Maßnahmen; die Antwort kommt in der Regel innerhalb einer Woche. Prüfe auch Bing, dessen Webmaster-Tools die gleichen Funktionen bieten. Rechne mit einer schrittweisen Erholung: Bereinigte Websites erreichen ihr Ranking meist nach vier bis acht Wochen wieder, manchmal später, wenn die Infektion schon lange bestand. Veröffentliche in dieser Zeit wie gewohnt und überwache die Search Console wöchentlich – die Zahl der indexierten Seiten sollte sich regelmäßig deinem tatsächlichen Wert annähern.

Verhindern, dass es wiederkommt

Ein bereinigtes Spam-Casino-WordPress ohne Behebung der Ursache kehrt innerhalb weniger Tage zurück.

Spam-Casino-WordPress: die üblichen Einfallstore

In fast allen dokumentierten Fällen gelangt die Infektion über eine nicht aktualisierte Erweiterung oder ein Theme, dessen Schwachstelle öffentlich bekannt ist und automatisch von Bots ausgenutzt wird, die das Web kontinuierlich scannen. Formular-, Galerie-, Page-Builder- und Backup-Plugins sind die häufigsten Ziele, einfach weil sie auf Millionen von Websites installiert sind. Danach folgen schwache oder wiederverwendete Passwörter: Ein „admin“-Konto mit einem Passwort aus einem Datenleck wird innerhalb einer Stunde getestet. An dritter Stelle stehen kostenpflichtige Themes und Erweiterungen, die kostenlos von Raubkopie-Websites heruntergeladen wurden: Sie werden mit eingebauter Backdoor ausgeliefert, und die Spam-Installation folgt einige Wochen später. Schließlich kann bei schlecht abgeschotteten Shared-Hosting-Umgebungen eine verlassene Website im selben Konto ihre Nachbarn infizieren. Was Spam-Casino-WordPress fast nie ausnutzt, ist eine Schwachstelle im WordPress-Kern selbst: Diese sind selten und werden innerhalb weniger Stunden behoben. Mit anderen Worten: Die Ursache ist fast immer ein verspätetes Update oder ein schwaches Passwort – zwei Dinge, die man ohne besondere technische Kenntnisse beheben kann, vorausgesetzt, man tut es regelmäßig.

Spam-Casino-WordPress: die Überwachung, die es in einer Stunde stoppt

Der Unterschied zwischen einer in einer Stunde entdeckten Infektion und einer erst sechs Monate später von Google entdeckten liegt an einem einzigen Element: Jemand oder etwas überwacht die Website täglich. Eine wirksame Überwachung vergleicht täglich die Dateien der Website mit einem bekannten Referenzzustand und schlägt bei jeder neuen oder geänderten PHP-Datei Alarm, insbesondere in uploads und mu-plugins. Sie listet die Administratoren auf und meldet jedes unerwartete Konto. Sie prüft, ob wp-config.php, .htaccess und die Sitemap unverändert geblieben sind. Sie kontrolliert, ob die Website einem normalen Besucher und Googlebot denselben Inhalt liefert, wodurch das für diesen Angriff typische Cloaking erkannt wird. Neben der Überwachung verringern drei Maßnahmen die Angriffsfläche erheblich: wöchentliche Updates aller installierten Komponenten, das Verbot der PHP-Ausführung im Ordner uploads, und das Deaktivieren des Dateieditors in der Administration. Für eine Agentur, die zwanzig oder fünfzig Websites verwaltet, ist das manuell unmöglich; genau das automatisiert ein Tool zur Verwaltung mehrerer Websites, indem es täglich die Websites meldet, bei denen sich eine Datei verändert hat oder eine Erweiterung im Versions-Rückstand ist.

Häufig gestellte Fragen

Meine Website sieht normal aus, bin ich wirklich infiziert? Ja, wenn site:votredomaine.fr Wettseiten anzeigt. Der Code zeigt sie nur Google und Besuchern, die von einem Suchergebnis kommen.

Reicht es, die Spam-Seiten zu löschen? Nein. Sie werden vom eingeschleusten Code neu erzeugt, der aus den Dateien und der Datenbank entfernt werden muss.

Wie lange dauert es, bis mein Ranking wieder da ist? Vier bis acht Wochen nach einer vollständigen Bereinigung und einer akzeptierten Überprüfung.

Hätte eine Firewall gereicht? Sie hätte Anmeldeversuche blockiert, nicht aber die Ausnutzung einer veralteten Erweiterung. Das Update bleibt der erste Schutz.