Gehackte Inhalte sind alle Inhalte, die ohne Ihre Erlaubnis aufgrund von Sicherheitslücken auf Ihrer Website platziert wurden. Um unsere Nutzer zu schützen und die Integrität unserer Suchergebnisse zu wahren, tut Google sein Bestes, um gehackte Inhalte aus unseren Suchergebnissen fernzuhalten. Gehackte Inhalte führen zu schlechten Suchergebnissen für unsere Nutzer und können potenziell schädliche Inhalte auf deren Computern installieren. Wir empfehlen Ihnen, Ihre Website sicher zu halten und gehackte Inhalte zu bereinigen, sobald Sie sie finden.https://www.youtube.com/embed/_e66dUipkss?origin=https%3A%2F%2Fdevelopers.google.com&video-id=_e66dUipkss&enablejsapi=1&widgetid=1
Injizierte Inhalte Wenn Hacker Zugriff auf Ihre Website erhalten, versuchen sie möglicherweise, schädliche Inhalte in bestehende Seiten Ihrer Website einzuschleusen. Dies geschieht oft in Form von bösartigem JavaScript, das direkt in die Website oder in Iframes injiziert wird.
Hinzugefügte Inhalte Manchmal gelingt es Hackern aufgrund von Sicherheitslücken, neue Seiten zu Ihrer Website hinzuzufügen, die Spam oder schädliche Inhalte enthalten. Diese Seiten sollen oft Suchmaschinen manipulieren. Ihre bestehenden Seiten zeigen möglicherweise keine Anzeichen eines Hacks, aber diese neu erstellten Seiten könnten Ihren Website-Besuchern oder Ihrer Leistung in den Suchergebnissen schaden.
Versteckte Inhalte Hacker versuchen möglicherweise auch, bestehende Seiten auf Ihrer Website subtil zu manipulieren. Ihr Ziel ist es, Inhalte zu Ihrer Website hinzuzufügen, die Suchmaschinen sehen können, die für Sie und Ihre Nutzer jedoch schwerer zu erkennen sind. Dies kann das Hinzufügen von versteckten Links oder verstecktem Text zu einer Seite mithilfe von CSS oder HTML beinhalten, oder es kann komplexere Änderungen wie Cloaking umfassen.
Weiterleitungen Hacker können bösartigen Code in Ihre Website einschleusen, der einige Nutzer auf schädliche oder Spam-Seiten weiterleitet. Die Art der Weiterleitung hängt manchmal vom Referrer, User-Agent oder Gerät ab. Zum Beispiel könnte das Klicken auf eine URL in den Google-Suchergebnissen Sie auf eine verdächtige Seite weiterleiten, aber es gibt keine Weiterleitung, wenn Sie dieselbe URL direkt über einen Browser aufrufen.
Gehackte Websites reparieren
Wenn Sie Search Console-Nutzer sind und Probleme mit anhaltenden oder nicht behebbaren Sicherheitsproblemen auf Ihrer Website haben, können Sie uns dies mitteilen.
Malware und unerwünschte Software
Google überprüft Websites darauf, ob sie Software oder herunterladbare ausführbare Dateien hosten, die sich negativ auf die Nutzererfahrung auswirken. Malware und unerwünschte Software sind entweder herunterladbare Binärdateien oder Anwendungen, die auf einer Website ausgeführt werden und die Website-Besucher beeinträchtigen. Sie können eine Liste aller verdächtigen Dateien, die auf Ihrer Website gehostet werden, im Bericht zu Sicherheitsproblemen sehen.
Was ist Malware?
Malware ist jede Software oder mobile Anwendung, die speziell dazu entwickelt wurde, einem Computer, einem mobilen Gerät, der darauf ausgeführten Software oder deren Nutzern zu schaden. Malware zeigt bösartiges Verhalten, das die Installation von Software ohne Zustimmung des Nutzers und die Installation schädlicher Software wie Viren umfassen kann. Website-Besitzer erkennen manchmal nicht, dass ihre herunterladbaren Dateien als Malware gelten, sodass diese Binärdateien möglicherweise versehentlich gehostet werden.
Weitere Informationen darüber, wie Google hilft, Nutzer vor schädlichen Downloads zu schützen, finden Sie unter „Schutz von Nutzern vor schädlichen Downloads“ in unserem Google Online Security Blog.
Was ist unerwünschte Software?
Unerwünschte Software ist eine ausführbare Datei oder mobile Anwendung, die ein Verhalten an den Tag legt, das täuschend oder unerwartet ist oder die Browser- oder Computererfahrung des Nutzers negativ beeinflusst. Beispiele hierfür sind Software, die Ihre Startseite oder andere Browsereinstellungen auf solche ändert, die Sie nicht möchten, oder Apps, die private und persönliche Informationen ohne ordnungsgemäße Offenlegung weitergeben.
Weitere Informationen darüber, wie Google hilft, Nutzer vor unerwünschter Software zu schützen, finden Sie unter „Das ist nicht der Download, den Sie suchen…“ in unserem Google Online Security Blog. Im Bericht zu Sicherheitsproblemen bezieht sich „Malware“ auf webbasierte Malware, die ohne explizite Nutzeraktion operiert. „Schädliche Downloads“ bezieht sich auf Malware- oder unerwünschte Software-Downloads, die vom Nutzer explizit heruntergeladen werden müssen.
Das Problem beheben
Stellen Sie sicher, dass Ihre Website oder Anwendung die Richtlinien befolgt, dann können Sie im Bericht zu Sicherheitsproblemen eine Überprüfung anfordern.
Richtlinien
Stellen Sie sicher, dass Sie nicht gegen die Richtlinie für unerwünschte Software verstoßen und befolgen Sie die hier angegebenen Richtlinien. Obwohl diese Liste nicht vollständig ist, können diese Verhaltensweisen dazu führen, dass Apps und Websites beim Herunterladen und Besuchen Warnungen für Nutzer anzeigen. Sie können eine Liste aller verdächtigen Dateien, die auf Ihrer Website gehostet werden, im Bericht zu Sicherheitsproblemen sehen.
Stellen Sie sich nicht falsch dar
Informieren Sie Nutzer genau über den Zweck und die Absicht einer Software. Nutzer müssen in der Lage sein, die Software absichtlich herunterzuladen, mit genauem Wissen darüber, was heruntergeladen wird, indem sie auf eine genaue Anzeige klicken, die den Nutzer klar darüber informiert, was heruntergeladen wird. Anzeigen, die den Nutzer zum Download führen, dürfen nicht täuschend oder ungenau sein, wie zum Beispiel: Eine Anzeige, die nur die Wörter „Download“ oder „Play“ enthält, ohne die Software zu identifizieren, für die sie wirbt.
Eine Anzeige, die das Aussehen und Gefühl der Website des Herausgebers nachahmt und vorgibt, Inhalte (zum Beispiel einen Film) anzubieten, aber stattdessen zu nicht verwandter Software führt.
Verhalten Sie sich wie beworben. Stellen Sie sicher, dass Ihr Programm klar über seine Funktionalität und Absichten ist. Wenn Ihr Programm Nutzerdaten sammelt oder Anzeigen in den Browser eines Nutzers injiziert, verpacken Sie diese Verhaltensweisen in klarer Sprache und stellen Sie sie nicht als unbedeutende Funktionen dar.
Erklären Sie dem Nutzer explizit und klar, welche Browser- und Systemänderungen durch Ihre Software vorgenommen werden. Erlauben Sie Nutzern, alle wesentlichen Installationsoptionen und Änderungen zu überprüfen und zu genehmigen. Die Hauptbenutzeroberfläche Ihres Programms muss die Komponenten der Binärdatei und deren Hauptfunktionalität klar offenlegen. Die Binärdatei muss dem Nutzer eine einfache Möglichkeit bieten, die Installation gebündelter Komponenten zu überspringen. Zum Beispiel ist das Verstecken dieser Optionen oder die Verwendung von kaum sichtbarem Text keine gute Offenlegung.
Verwenden Sie Empfehlungen nur, wenn Sie dazu autorisiert sind. Verwenden Sie die Logos anderer Unternehmen nicht auf unbefugte Weise, um ein Produkt zu legitimieren oder zu empfehlen. Verwenden Sie keine Regierungslogos ohne Genehmigung.
Erschrecken Sie den Nutzer nicht. Software darf den Zustand des Computers des Nutzers nicht falsch darstellen, zum Beispiel durch die Behauptung, das System befinde sich in einem kritischen Sicherheitszustand oder sei mit Viren infiziert. Software darf nicht behaupten, einen Dienst bereitzustellen (zum Beispiel „Beschleunigen Sie Ihren PC“), den sie nicht bereitstellt oder bereitstellen kann. Zum Beispiel dürfen „kostenlose“ Computerreiniger und -optimierer nicht als solche beworben werden, es sei denn, die beworbenen Dienste und Komponenten erfordern keine Zahlung.
Software-Richtlinien
Verwenden Sie die Google Settings API, wenn Ihr Programm Chrome-Einstellungen ändert. Alle Änderungen an den Standard-Sucheinstellungen, der Startseite oder der Seite für neue Tabs des Nutzers müssen über die Chrome Settings Override API vorgenommen werden, was die Verwendung einer Chrome-Erweiterung sowie einen konformen Installationsablauf für Erweiterungen erfordert.
Erlauben Sie Browser- und Betriebssystemdialogen, den Nutzer wie beabsichtigt zu warnen. Unterdrücken Sie keine Warnungen an den Nutzer vom Browser oder vom Betriebssystem, insbesondere solche, die den Nutzer über Änderungen an seinem Browser oder Betriebssystem informieren.
Wir empfehlen Ihnen, Ihren Code zu signieren. Obwohl eine unsignierte Binärdatei kein Grund ist, Ihre Binärdatei als unerwünschte Software zu kennzeichnen, empfehlen wir, dass Programme eine gültige und verifizierte Codesignatur haben, die von einer Codesignatur-Autorität ausgestellt wurde und verifizierbare Herausgeberinformationen präsentiert.
Beeinträchtigen Sie nicht die Sicherheits- und Schutzmaßnahmen, die durch TLS/SSL-Verbindungen bereitgestellt werden. Eine Anwendung darf kein Root-Zertifizierungsstellen-Zertifikat installieren. Sie darf SSL/TLS-Verbindungen nicht abfangen, es sei denn, sie ist für Experten zum Debuggen oder Untersuchen von Software konzipiert. Weitere Details finden Sie im entsprechenden Google Security Blog-Beitrag.
Schützen Sie Nutzerdaten. Software, einschließlich mobiler Apps, darf private Nutzerdaten nur dann an Server übertragen, wenn dies für die Funktionalität der App relevant ist, und diese Übertragungen müssen sowohl dem Nutzer offengelegt als auch verschlüsselt werden.
Schaden Sie nicht. Ihre Binärdatei muss die Browsererfahrung des Nutzers respektieren und darf ihr nicht schaden. Stellen Sie sicher, dass Ihre herunterladbaren Binärdateien die folgenden allgemeinen Richtlinien einhalten: Unterbrechen Sie nicht die Zurücksetzungsfunktionalität des Browsers. Lesen Sie über die Schaltfläche zum Zurücksetzen der Browsereinstellungen in Chrome.
Umgehen oder unterdrücken Sie nicht die Steuerung der Benutzeroberfläche des Browsers oder Betriebssystems für Einstellungsänderungen. Ihr Programm muss Nutzern angemessene Benachrichtigungen und Kontrolle über Einstellungsänderungen geben, die im Browser auftreten. Verwenden Sie die Settings API, um Chrome-Einstellungen zu ändern (siehe diesen Chromium Blog-Beitrag).
Verwenden Sie eine Erweiterung, um die Funktionalität von Google Chrome zu ändern, anstatt das Browserverhalten durch andere programmatische Mittel zu ändern. Zum Beispiel darf Ihr Programm keine DLLs (dynamisch verknüpfte Bibliotheken) verwenden, um Anzeigen in den Browser zu injizieren, darf keine Proxys bereitstellen, die Datenverkehr abfangen, darf keinen Layered Service Provider verwenden, um Nutzeraktionen abzufangen, oder neue Benutzeroberflächen in jede Webseite durch Patchen der Chrome-Binärdatei einfügen.
Ihre Produkt- und Komponentenbeschreibungen dürfen den Nutzer nicht erschrecken und/oder falsche, irreführende Behauptungen aufstellen. Zum Beispiel darf Ihr Produkt keine falschen Behauptungen darüber aufstellen, wie sich das System in einem kritischen Sicherheitszustand befindet oder mit Viren infiziert ist. Programme wie Registry-Reiniger dürfen keine alarmierenden Nachrichten über den Zustand des Computers oder Geräts eines Nutzers anzeigen und behaupten, sie könnten den PC des Nutzers optimieren.
Gestalten Sie den Deinstallationsprozess auffindbar, einfach und nicht bedrohlich. Ihr Programm muss klar gekennzeichnete Anweisungen zur Rückkehr des Browsers und/oder Systems zu seinen vorherigen Einstellungen haben. Das Deinstallationsprogramm muss alle Komponenten entfernen und den Nutzer nicht davon abhalten, den Deinstallationsprozess fortzusetzen, zum Beispiel durch die Behauptung potenzieller negativer Auswirkungen auf das System oder die Privatsphäre des Nutzers, wenn die Software deinstalliert wird.
Suchen Sie sich gute Partner. Wenn Ihre Software andere Softwarekomponenten bündelt, sind Sie dafür verantwortlich, sicherzustellen, dass keine dieser Komponenten gegen eine der Empfehlungen verstößt.
Richtlinien für Chrome-Erweiterungen
Alle Erweiterungen müssen offengelegt und in Chrome installiert werden, um richtlinienkonform zu sein. Erweiterungen müssen im Chrome Web Store gehostet, standardmäßig deaktiviert und konform mit den Richtlinien des Chrome Web Store (einschließlich der Single-Purpose-Richtlinie) sein. Erweiterungen, die von einem Programm installiert werden, müssen den autorisierten Installationsablauf für Chrome-Erweiterungen verwenden, der den Nutzer auffordert, sie innerhalb von Chrome zu aktivieren. Erweiterungen dürfen keine Chrome-Dialoge unterdrücken, die den Nutzer auf Einstellungsänderungen hinweisen.
Weisen Sie Nutzer an, wie eine Chrome-Erweiterung entfernt wird. Eine gute Nutzererfahrung ist, wenn ein Nutzer ein Programm deinstalliert und alles, was damit installiert wurde, ebenfalls entfernt wird. Der Deinstallationsablauf enthält Anweisungen für den Nutzer, die Erweiterung selbst zu deaktivieren und zu löschen.
Wenn Ihre Binärdatei ein Browser-Add-on installiert oder Standard-Browsereinstellungen ändert, muss sie den vom Browser unterstützten Installationsablauf und die API befolgen. Wenn die Binärdatei beispielsweise eine Chrome-Erweiterung installiert, muss sie im Chrome Web Store gehostet werden und die Richtlinien des Chrome Developer-Programms einhalten. Ihre Binärdatei wird als Malware identifiziert, wenn sie eine Chrome-Erweiterung unter Verletzung der Richtlinie für alternative Installationsoptionen für Chrome-Erweiterungen installiert. Lesen Sie über stille Installationen im Chromium Blog und in unserem Online Security Blog.
Richtlinien für mobile Anwendungen
Informieren Sie Nutzer über Ihre Absicht, deren Daten zu sammeln. Geben Sie Nutzern die Möglichkeit, der Sammlung ihrer Daten zuzustimmen, bevor Sie mit dem Sammeln und Senden vom Gerät beginnen, einschließlich Daten über Konten von Drittanbietern, E-Mail, Telefonnummer, installierte Apps und Dateien auf dem mobilen Gerät. Stellen Sie sicher, dass Sie alle persönlichen oder sensiblen Nutzerdaten, die Sie sammeln, sicher handhaben, einschließlich der Übertragung mittels moderner Kryptografie (zum Beispiel über HTTPS). Für Nicht-Play-Apps müssen Sie Ihre Datensammlung dem Nutzer in der App offenlegen. Für Google Play-Apps muss die Offenlegung der Play-Richtlinie entsprechen. Sammeln Sie keine Daten, die über die veröffentlichte Nutzung Ihrer Anwendung hinausgehen.
Geben Sie sich nicht als eine andere Marke oder App aus. Verwenden Sie keine unangemessenen oder unbefugten Bilder oder Designs, die einer anderen Marke oder App ähneln, auf eine Weise, die den Nutzer wahrscheinlich verwirrt.
Halten Sie alle Inhalte im Kontext der App. Apps dürfen andere Apps und die Nutzbarkeit des Geräts nicht beeinträchtigen. Apps dürfen dem Nutzer keine Anzeigen oder zusätzlichen Inhalte außerhalb des Kontexts oder der Funktion der App selbst anzeigen, ohne eine informierte Zustimmung des Nutzers einzuholen und eine klare Zuordnung der Quelle der Anzeigen einzuschließen, wo immer diese Anzeigen erscheinen.
Die App muss die dem Nutzer gemachten Versprechen einhalten. Alle beworbenen Funktionen müssen dem Nutzer in der App zur Verfügung stehen. Apps können App-Inhalte aktualisieren, dürfen jedoch keine zusätzlichen Apps herunterladen, ohne eine informierte Zustimmung des Nutzers einzuholen.
Halten Sie das Verhalten transparent. Apps dürfen keine anderen Apps oder deren Verknüpfungen deinstallieren oder ersetzen, es sei denn, dies ist der erklärte Zweck der App. Die Deinstallation muss klar und vollständig sein. Apps dürfen keine Eingabeaufforderungen des Geräte-Betriebssystems oder anderer Apps nachahmen.
Apps, die über Google Play vertrieben werden, müssen die Richtlinien des Developer-Programms und die Developer-Vertriebsvereinbarung einhalten, die zusätzliche Anforderungen enthalten.
Wenn Sie Search Console-Nutzer sind und Probleme mit anhaltenden oder nicht behebbaren Sicherheitsproblemen auf Ihrer Website haben, können Sie uns dies mitteilen.
Verhinderung von Malware-Infektionen
Der Preis für die Freiheit von Malware ist ewige Wachsamkeit. Dieser Artikel enthält Tipps und Hinweise zur Verhinderung von Malware-Infektionen. Er ist jedoch keineswegs erschöpfend und Google ermutigt Website-Besitzer, auch gründlichere Recherchen durchzuführen.
Überwachung Ihrer Website-Gesundheit
Versuchen Sie eine Suche bei Google mit dem Suchoperator site:, um zu sehen, welche Seiten Google auf Ihrer Website gefunden hat. Es ist immer eine gute Idee, dies regelmäßig zu tun, um zu sehen, ob jemand unerwartete Seiten oder Inhalte auf Ihre Website geschmuggelt hat. Wenn Sie unbekannte Seiten auf Ihrer Website sehen oder Themen, die Sie nicht geschrieben haben, wurden Sie möglicherweise gehackt. Wenn Sie mit dem Suchoperator site: noch nicht vertraut sind, ist dies eine Möglichkeit für Sie, Ihre Suche auf eine bestimmte Website zu beschränken. Zum Beispiel liefert die Suche site:developers.google.com nur Ergebnisse von der Google Developers-Website.
Der Bericht zu Sicherheitsproblemen zeigt alle gehackten Seiten, die Google auf Ihrer Website identifiziert hat, sowie Anweisungen zur Behebung des Problems.
Wenn Google Malware auf Ihrer Website erkennt, sehen Sie eine Benachrichtigung im Nachrichtenbereich der Search Console. Um sicherzustellen, dass Sie schnell benachrichtigt werden, können Sie Ihre Nachrichten an Ihr E-Mail-Konto weiterleiten lassen.
Sicherheits-Checkliste
Alle Website-Besitzer
Wählen Sie Drittanbieter von Inhalten sehr sorgfältig aus. Stellen Sie sicher, dass Apps und Anzeigen von Drittanbietern auf Ihrer Website aus vertrauenswürdigen und legitimen Quellen stammen. Eine vertrauenswürdige und legitime Quelle bietet Support– und Kontaktinformationen auf ihrer Website.
Kontaktieren Sie Ihr Hosting-Unternehmen oder Ihre Publishing-Plattform für Support. Die meisten Unternehmen haben hilfreiche und reaktionsschnelle Support-Gruppen und/oder Sicherheitsseiten. Wenn eine Sicherheitsseite oder Website einen RSS-Feed hat, abonnieren Sie ihn, um sicherzustellen, dass Sie auf dem Laufenden bleiben.
Halten Sie alle Ihre Computer sicher. Stellen Sie insbesondere bei der Arbeit an einer Website sicher, dass Ihre lokale Workstation über aktuelle Software verfügt, frei von Viren, Trojanern oder ähnlicher Malware ist und über eine kürzlich aktualisierte Antivirensoftware verfügt.
Website-Besitzer mit Serverzugriff
Überprüfen Sie Ihre Serverkonfiguration. Apache hat einige Sicherheitskonfigurationstipps auf seiner Website und Microsoft hat einige Tech-Center-Ressourcen für IIS auf seiner. Einige dieser Tipps enthalten Informationen zu Verzeichnisberechtigungen, serverseitigen Includes, Authentifizierung und Verschlüsselung.
Erstellen Sie eine Sicherungskopie Ihrer .htaccess-Datei (oder anderer Zugriffskontrollmechanismen je nach Website-Plattform). Verwenden Sie Ihre Sicherungsdatei zur Wiederherstellung, falls Folgendes fehlschlägt. Stellen Sie sicher, dass Sie die Sicherungsdatei löschen, sobald Sie fertig sind.
Bleiben Sie mit den neuesten Software-Updates und Patches auf dem Laufenden. Es gibt viele Tools, die das Erstellen einer Website einfach machen, aber jedes birgt ein gewisses Risiko, ausgenutzt zu werden. Eine häufige Falle für viele Website-Besitzer ist es, ein Forum oder einen Blog auf ihrer Website zu installieren und dann zu vergessen. Ähnlich wie bei der Inspektion Ihres Autos ist es wichtig sicherzustellen, dass Sie alle neuesten Updates für jedes installierte Softwareprogramm haben. Erstellen Sie eine Liste aller für Ihre Website verwendeten Software und Plug-ins und verfolgen Sie die Versionsnummern und Updates. Selbst wenn Sie sorgfältig sind und alle Ihre Website-Komponenten aktualisiert halten, können Sie immer noch anfällig sein, wenn Ihr Webhoster nicht die neuesten Betriebssystem-Patches installiert hat. Dieses Problem betrifft nicht nur kleine Websites; es gab Warnungen auf den Websites von Banken, Sportteams sowie Unternehmens- und Regierungswebsites.
Behalten Sie Ihre Protokolldateien im Auge. Dies zur Gewohnheit zu machen, hat viele große Vorteile, von denen einer zusätzliche Sicherheit ist. Zum Beispiel können unbekannte URL-Parameter (wie =http: oder =// ) oder Verkehrsspitzen zu Weiterleitungs-URLs auf Ihrer Website darauf hinweisen, dass ein Hacker offene Weiterleitungen ausnutzt. Denken Sie auch daran, dass Hacker oft versuchen, Protokolldateien zu ändern. Ergreifen Sie Maßnahmen, um diese Dateien vor Angriffen zu schützen. Zum Beispiel können Sie diese Dateien von ihrem Standardspeicherort verschieben, was es für Hacker schwieriger macht, sie zu finden.
Überprüfen Sie Ihre Website auf häufige Schwachstellen. Vermeiden Sie Verzeichnisse mit offenen Berechtigungen. Das ist, als würde man die Haustür zum eigenen Zuhause weit offen lassen. Überprüfen Sie auch auf XSS- (Cross-Site Scripting) und SQL-Injection-Schwachstellen.
Verwenden Sie sichere Protokolle. Google empfiehlt die Verwendung von SSH und SFTP für die Datenübertragung anstelle von Klartextprotokollen wie Telnet oder FTP. SSH und SFTP verwenden Verschlüsselung und sind viel sicherer.
Bleiben Sie über die neuesten Sicherheitsnachrichten auf dem Laufenden. Der Google Security Blog bietet nützliche Informationen über Online-Sicherheit und Schutz sowie Hinweise auf andere Ressourcen. Die Regierungsseite US-CERT (United States Computer Emergency Readiness Team) bietet technische Sicherheitswarnungen und Tipps.
Wenn Sie Search Console-Nutzer sind und Probleme mit anhaltenden oder nicht behebbaren Sicherheitsproblemen auf Ihrer Website haben, können Sie uns dies mitteilen.
Social Engineering (Phishing und täuschende Websites)
Social Engineering sind Inhalte, die Besucher dazu verleiten, etwas Gefährliches zu tun, wie zum Beispiel vertrauliche Informationen preiszugeben oder Software herunterzuladen. Wenn Google erkennt, dass Ihre Website Social-Engineering-Inhalte enthält, zeigt der Chrome-Browser möglicherweise eine Warnung „Täuschende Website voraus“ an, wenn Besucher Ihre Website aufrufen. Sie können überprüfen, ob Seiten Ihrer Website im Verdacht stehen, Social-Engineering-Angriffe zu enthalten, indem Sie den Bericht zu Sicherheitsproblemen besuchen.
Was ist Social Engineering?
Ein Social-Engineering-Angriff liegt vor, wenn ein Webnutzer dazu verleitet wird, online etwas Gefährliches zu tun.
Phishing: Die Website verleitet Nutzer dazu, ihre persönlichen Informationen preiszugeben (zum Beispiel Passwörter, Telefonnummern oder Sozialversicherungsnummern). In diesem Fall gibt der Inhalt vor, eine vertrauenswürdige Entität zu sein, oder sieht so aus und fühlt sich so an — zum Beispiel ein Browser, ein Betriebssystem, eine Bank oder eine Regierung.
Täuschender Inhalt: Der Inhalt versucht, Sie dazu zu verleiten, etwas zu tun, das Sie nur für eine vertrauenswürdige Entität tun würden — zum Beispiel ein Passwort teilen, den technischen Support anrufen, Software herunterladen, oder der Inhalt enthält eine Anzeige, die fälschlicherweise behauptet, dass Gerätesoftware veraltet sei, was Nutzer dazu veranlasst, unerwünschte Software zu installieren.
Unzureichend gekennzeichnete Dienste von Drittanbietern: Ein Dienst eines Drittanbieters ist jemand, der eine Website oder einen Dienst im Namen einer anderen Entität betreibt. Wenn Sie (Drittanbieter) eine Website im Namen einer anderen (ersten) Partei betreiben, ohne die Beziehung klar zu machen, könnte dies als Social Engineering gekennzeichnet werden. Wenn Sie (erste Partei) beispielsweise eine Wohltätigkeits-Website betreiben, die eine Spendenverwaltungs-Website (Drittanbieter) verwendet, um Sammlungen für Ihre Website abzuwickeln, muss die Spendenseite klar identifizieren, dass es sich um eine Plattform eines Drittanbieters handelt, die im Namen dieser Wohltätigkeits-Website handelt, andernfalls könnte dies als Social Engineering betrachtet werden.
Google Safe Browsing schützt Webnutzer, indem es Nutzer warnt, bevor sie Seiten besuchen, die konsequent Social Engineering betreiben.
Vorgeben, eine vertrauenswürdige Entität zu sein, wie Ihr eigenes Gerät oder Browser, oder die Website selbst, oder
Versuchen, Sie dazu zu verleiten, etwas zu tun, das Sie nur für eine vertrauenswürdige Entität tun würden, wie ein Passwort teilen, oder eine technische Support-Nummer anrufen, oder Software herunterladen.
Social Engineering in eingebetteten Inhalten
Social Engineering kann auch in Inhalten auftreten, die in ansonsten gutartige Websites eingebettet sind, normalerweise in Anzeigen. Eingebettete Social-Engineering-Inhalte sind ein Richtlinienverstoß für die Host-Seite.
Manchmal sind eingebettete Social-Engineering-Inhalte für Nutzer auf der Host-Seite sichtbar, wie in den Beispielen gezeigt. In anderen Fällen enthält die Host-Website keine sichtbaren Anzeigen, führt Nutzer jedoch über Pop-ups, Pop-unders oder andere Arten von Weiterleitungen zu Social-Engineering-Seiten. In beiden Fällen führt diese Art von eingebettetem Social-Engineering-Inhalt zu einem Richtlinienverstoß für die Host-Seite.
Aber ich betreibe kein Social Engineering!
Täuschende Social-Engineering-Inhalte können über Ressourcen eingebettet werden, die in die Seite eingebettet sind, wie Bilder, andere Komponenten von Drittanbietern oder Anzeigen. Solche täuschenden Inhalte können Website-Besucher dazu verleiten, unerwünschte Software herunterzuladen.
Darüber hinaus können Hacker die Kontrolle über unschuldige Websites übernehmen und sie nutzen, um Social-Engineering-Inhalte zu hosten oder zu verbreiten. Der Hacker könnte den Inhalt der Website ändern oder zusätzliche Seiten zur Website hinzufügen, oft mit der Absicht, Besucher dazu zu verleiten, persönliche Informationen wie Kreditkartennummern preiszugeben. Sie können herausfinden, ob Ihre Website als eine Website identifiziert wurde, die Social-Engineering-Inhalte hostet oder verbreitet, indem Sie den Bericht zu Sicherheitsproblemen in der Search Console überprüfen.
Beispiele für Social-Engineering-Verstöße
Beispiele für täuschende Inhalte
Beachten Sie die täuschende URL. Andere Phishing-Websites wie diese könnten Sie dazu verleiten, andere persönliche Informationen wie Kreditkarteninformationen preiszugeben. Phishing-Websites können exakt wie die echte Website aussehen — achten Sie also darauf, in die Adressleiste zu schauen, um zu überprüfen, ob die URL korrekt ist, und überprüfen Sie auch, ob die Website mit https:// beginnt.
Beispiele für täuschende Anzeigen
Hier sind einige Beispiele für täuschende Inhalte innerhalb eingebetteter Anzeigen. Diese Anzeigen scheinen Teil der Seitenoberfläche zu sein, anstatt Anzeigen zu sein.
Das Problem beheben
Wenn Ihre Website als Social-Engineering-Inhalte enthaltend gekennzeichnet ist (täuschender Inhalt), stellen Sie sicher, dass Ihre Seite keine der Praktiken anwendet, und befolgen Sie dann diese Schritte:
Überprüfen Sie die Search Console. Verifizieren Sie, dass Sie der Eigentümer Ihrer Website in der Search Console sind und dass keine neuen, verdächtigen Eigentümer hinzugefügt wurden.
Überprüfen Sie den Bericht zu Sicherheitsproblemen, um zu sehen, ob Ihre Website als täuschende Inhalte enthaltend aufgeführt ist (der Berichterstattungsbegriff für Social Engineering). Besuchen Sie einige der im Bericht aufgeführten Beispiel-URLs, verwenden Sie jedoch einen Computer, der sich nicht innerhalb des Netzwerks befindet, das Ihre Website bereitstellt (clevere Hacker können ihre Angriffe deaktivieren, wenn sie glauben, dass der Besucher ein Website-Besitzer ist).
Entfernen Sie täuschende Inhalte. Stellen Sie sicher, dass keine der Seiten Ihrer Website täuschende Inhalte enthält. Wenn Sie glauben, dass Safe Browsing eine Webseite fälschlicherweise klassifiziert hat, melden Sie dies.
Überprüfen Sie die in Ihrer Website enthaltenen Ressourcen von Drittanbietern. Stellen Sie sicher, dass Anzeigen, Bilder oder andere eingebettete Ressourcen von Drittanbietern auf den Seiten Ihrer Website nicht täuschend sind. Beachten Sie, dass Werbenetzwerke die auf den Seiten Ihrer Website angezeigten Anzeigen rotieren können. Daher müssen Sie eine Seite möglicherweise einige Male aktualisieren, bevor Sie sehen können, ob Social-Engineering-Anzeigen erscheinen.
Einige Anzeigen können auf Mobilgeräten und Desktop-Computern unterschiedlich erscheinen. Sie können das URL-Prüftool verwenden, um Ihre Website sowohl in der Mobil- als auch in der Desktop-Ansicht anzuzeigen.
Befolgen Sie die Richtlinien für Dienste von Drittanbietern für alle Dienste von Drittanbietern, wie Zahlungsdienste, die Sie auf Ihrer Website verwenden.
Überprüfung anfordern. Nachdem Sie alle Social-Engineering-Inhalte von Ihrer Website entfernt haben, können Sie eine Sicherheitsüberprüfung im Bericht zu Sicherheitsproblemen anfordern. Eine Überprüfung kann mehrere Tage in Anspruch nehmen.
Richtlinien für Dienste von Drittanbietern
Wenn Sie einen Dienst eines Drittanbieters in Ihre Website einbinden, empfehlen wir Ihnen, die folgenden Bedingungen zu erfüllen, um nicht als Social Engineering gekennzeichnet zu werden:
Auf jeder Seite enthält die Website des Drittanbieters die Marke des Drittanbieters klar auf eine Weise, die sicherstellt, dass Nutzer verstehen, wer die Website betreibt. Zum Beispiel durch Einbeziehung der Marke des Drittanbieters am oberen Rand der Seite.
Auf jeder Seite, die Branding der ersten Partei enthält, geben Sie explizit die Beziehung zwischen der ersten und der dritten Partei an und stellen Sie einen Link für weitere Informationen bereit. Zum Beispiel eine Aussage wie diese: Dieser Dienst wird von Example.com im Namen von Example.charities.com gehostet. Weitere Informationen.
Eine gute Usability-Richtlinie ist, ob ein Nutzer, der die Seite isoliert betrachtet, jederzeit versteht, auf welcher Website er sich befindet und welche Beziehung zwischen der ersten und der dritten Partei besteht. Best Practice: Wenn Sie einen Drittanbieter benötigen, um einen grundlegenden Support-Dienst für Ihre Website durchzuführen, ist es eine bewährte Methode, einen Industriestandard-Drittanbieter für diesen Dienst zu verwenden. Verwenden Sie beispielsweise OAuth, um die Nutzerauthentifizierung auf Ihrer Website zu verwalten, anstatt die Authentifizierung selbst zu verwalten.
Wenn Sie Search Console-Nutzer sind und Probleme mit anhaltenden oder nicht behebbaren Sicherheitsproblemen auf Ihrer Website haben, können Sie uns dies mitteilen.
Google Safe Browsing-Richtlinie für Wiederholungstäter
Google Safe Browsing hilft beim Schutz von Nutzern, indem es Warnungen auf gefährlichen Websites oder gefährlichen Download-Dateien anzeigt. Safe Browsing benachrichtigt auch Website-Besitzer, wenn ihre Websites von bösartigen Akteuren kompromittiert wurden, und hilft ihnen, das Problem zu diagnostizieren und zu lösen, damit ihre Besucher sicherer bleiben.
Websites, die innerhalb eines kurzen Zeitraums wiederholt zwischen konformem und nicht konformem Verhalten wechseln, werden als Wiederholungstäter eingestuft.
Wenn eine Website als Wiederholungstäter eingestuft wird, wird der Website-Besitzer per E-Mail an seine registrierte Search Console-E-Mail-Adresse benachrichtigt. Sobald Safe Browsing eine Website als Wiederholungstäter eingestuft hat, kann der Website-Besitzer keine weiteren Überprüfungen über die Search Console anfordern. Der Status als Wiederholungstäter besteht für 30 Tage, danach kann der Website-Besitzer eine Überprüfung anfordern.
Passende Leistung: KI-Marketingagentur