Interne Suche - Wenn dein Suchfeld zum Risiko wird

Fast jede Website hat eine Suchfunktion. Was kaum jemand auf dem Schirm hat: Dieses harmlose Eingabefeld kann sich in ein Einfallstor für Spam verwandeln. Google-Mitarbeiter John Mueller und Martin Splitt haben erklärt, warum solche Seiten sogar als gehackt eingestuft werden können.

Wie aus einem Suchfeld tausende Spam-Seiten werden

Der Mechanismus ist simpel und genau deshalb so verbreitet. Wenn jemand einen Begriff in deine Website-Suche eingibt, entsteht eine Ergebnisseite, die diesen Begriff enthält. Bei den meisten Systemen bekommt diese Seite eine eigene URL, die sich aufrufen und verlinken lässt. Das ist normales Verhalten, kein Fehler.



Genau das nutzen Spammer aus. Sie schicken automatisiert Anfragen an dein Suchfeld und erzeugen damit tausende Seiten, die eine Spam-Marke, Keywords und eine Kontaktmöglichkeit enthalten. Anschliessend verlinken sie diese URLs von anderen Websites aus, damit Google sie findet.

John Mueller beschreibt das Problem so: Wenn Nutzer nach Dingen suchen können, die überhaupt nichts mit deiner Website zu tun haben, und die Ergebnisseite diese Begriffe anzeigt und indexierbar ist, wird daraus ein Qualitätsproblem. Der entscheidende Punkt in seiner Erklärung: Niemand hat deine Website gehackt. Sie produziert diese Seiten völlig freiwillig, weil sie schlicht jede beliebige Suchanfrage entgegennimmt. Genau das macht sie zum Vektor für fremden Spam.

Warum Google solche Seiten als gehackt einstuft

Der unangenehmste Teil kommt erst. Mueller erklärt, dass Google diese Art von Seiten unter Umständen als gehackt markiert, und zwar auch dann, wenn technisch nichts kompromittiert wurde. In der Search Console kann also plötzlich eine Meldung zu gehackten Inhalten auftauchen, obwohl dein Server sauber ist.

Das passiert im grossen Stil. Laut Mueller identifizieren Angreifer gezielt verbreitete CMS-Systeme (Link: https://www.netpulse.ch/wissen/website-erstellung-leitfaden), deren Suchergebnisseiten nicht blockiert sind, und verlinken dann tausende Websites mit Millionen von Seiten. Der Inhalt folgt einem Muster: ein paar Begriffe aus dem Bereich Pharmazie oder Erotik, dazu eine Telefonnummer oder eine Telegram-Adresse. Das Ziel ist gar nicht, dass jemand deine Website besucht. Es reicht, wenn die Nummer in den Suchergebnissen sichtbar wird.

Für dich bedeutet das: Deine Domain taucht zu Anfragen auf, mit denen du nichts zu tun hast, und Google verbindet dein Projekt mit Inhalten, die du nie erstellt hast.

Verlass dich nicht darauf, dass Google es richtet

Mueller weist darauf hin, dass Google solche Seiten algorithmisch erkennen und aus den Suchergebnissen fernhalten kann. Aus Sicht des Website-Betreibers fühlt sich das nach einem gelösten Problem an. Mueller warnt aber ausdrücklich davor, sich darauf zu verlassen.

Das ist eine wichtige Unterscheidung. Dass Google die Seiten nicht mehr anzeigt, heisst nicht, dass sie nicht mehr existieren, nicht mehr gecrawlt werden und keine Ressourcen verbrauchen. Das eigentliche Problem sitzt weiterhin auf deiner Website.

Der unendliche Crawl-Raum

Martin Splitt bringt einen zweiten Aspekt ins Spiel, der auch ohne Spammer relevant ist. Manche Implementierungen von Suchfeldern erzeugen einen praktisch unendlichen Crawl-Raum. Der Klassiker ist die Funktion "Meintest du", die auf jeder Ergebnisseite weitere Suchvorschläge verlinkt. Der Crawler folgt diesen Links, landet auf neuen Ergebnisseiten, findet dort wieder Vorschläge und so weiter.

Mueller formuliert es zugespitzt: Manche freuen sich über die Vorstellung, unendlich viele Seiten bei Google zu haben. Tatsächlich ist das kein Vorteil, sondern ein Problem, weil Google versuchen wird, sie alle zu crawlen. Wenn plötzlich Millionen neuer URLs auftauchen, wird dein Crawl-Budget zur Frage und dein Server stöhnt.

Damit hängt das Thema direkt mit einer anderen aktuellen Google-Empfehlung zusammen: Kapazität, die in wertlose URLs fliesst, fehlt bei den Seiten, die dir tatsächlich Umsatz bringen.

So sperrst du das Problem aus

Mueller und Splitt nennen zwei Wege, und sie haben eine klare Präferenz.

Der empfohlene Weg ist die robots.txt. Damit verhinderst du, dass Google und andere Suchmaschinen die automatisch erzeugten Suchergebnisseiten überhaupt crawlen. Die beiden nennen vier Gründe dafür:

1. Google braucht deine internen Suchergebnisseiten nicht.
2. Es verhindert unendliches Crawling.
3. Es reduziert die Serverlast.
4. Es verhindert die Verschwendung von Crawl-Budget.

Wichtig ist dabei die Formulierung der Regel. Splitt und Mueller empfehlen, sie so breit und allgemein wie möglich zu halten, damit sie wirklich alle Varianten der automatisch generierten Seiten erwischt. Viele Websites haben mehrere Suchparameter, unterschiedliche Pfade oder Filterkombinationen. Eine zu eng gefasste Regel greift dann nur teilweise.

Der zweite Weg ist die noindex-Anweisung. Sie funktioniert ebenfalls, aber Google bezeichnet die robots.txt als die einfachere und sauberere Lösung. Der Grund liegt auf der Hand: noindex verhindert die Indexierung, nicht aber das Crawling. Die Seiten werden weiterhin abgerufen, die Serverlast bleibt.

Ein weiterer Punkt spricht für die Sperrung: Interne Suchergebnisseiten bringen dir ohnehin praktisch nie Rankings. Sie enthalten keinen eigenständigen Inhalt, sondern nur Verweise auf Seiten, die Google längst kennt. Du verlierst also nichts, wenn du sie aus dem Index nimmst.

Dein Praxis-Check in fünf Minuten

Prüfe drei Dinge auf deiner Website:



1. Suchergebnisseiten in Google: Gib in der Google-Suche eine site-Abfrage kombiniert mit deinem Suchparameter ein, typischerweise etwas wie ?s= oder ?q=. Findest du Treffer, sind deine Suchseiten indexierbar.
2. Robots.txt: Öffne deine Datei unter der Adresse /robots.txt und schau nach, ob dort eine Regel für den Suchpfad steht.
3. Search Console: Wirf einen Blick in den Bereich Sicherheitsprobleme und in den Indexierungsbericht. Auffällig viele fremde URLs sind ein Warnsignal.

Wenn du unsicher bist, welchen Parameter deine Website nutzt, führe einfach selbst eine Suche durch und schau in die Adresszeile. Der Teil nach dem Fragezeichen ist die Antwort.

Was das für dich bedeutet

Die gute Nachricht: Viele moderne Plattformen und Website-Baukästen blockieren interne Suchergebnisseiten von Haus aus. Wenn du auf einem gepflegten System arbeitest, ist die Wahrscheinlichkeit hoch, dass die Sache bereits erledigt ist.

Kritisch wird es bei älteren Installationen, bei individuell entwickelten Suchfunktionen und bei weit verbreiteten CMS-Systemen mit Standardkonfiguration. Genau diese sucht sich der automatisierte Spam gezielt heraus, weil sich der Angriff einmal bauen und danach millionenfach wiederholen lässt.

Der Aufwand für die Absicherung ist minimal, eine einzige Zeile in der robots.txt genügt oft. Der Aufwand für die Bereinigung, wenn deine Domain erst einmal mit Pharma-Spam in Verbindung gebracht wird, ist es nicht. Diese Rechnung geht eindeutig auf.

Quelle: Searchenginejournal.com