Es gibt wenige Momente, in denen eine Website so schnell Geld verliert wie in diesem: Deine Besucher sehen statt deiner Startseite eine knallrote Vollbild-Warnung. „Gefährliche Website“, sagt Chrome. Und mal ehrlich, wer klickt sich an so einer Warnung noch vorbei? Praktisch niemand. Ab dieser Sekunde ist deine Website für die allermeisten Menschen faktisch offline.
Steckst du gerade genau da drin? Dann erst mal tief durchatmen. Die Warnung ist kein Urteil für die Ewigkeit, sondern ein Zustand. Und Zustände lassen sich ändern, oft schneller als du gerade befürchtest. Aber, und das ist der wichtigste Satz in diesem ganzen Artikel: nur in der richtigen Reihenfolge. Wer die Schritte abkürzt, verlängert die Sperre.
Hier bekommst du den kompletten Ablauf: welche Warnung du überhaupt vor dir hast, wo du den Status prüfst, wie die Überprüfung bei Google funktioniert, mit welchen Wartezeiten du realistisch rechnen musst und welcher eine Fehler dich Wochen kosten kann.
Das Wichtigste in Kürze:
- Hinter der roten Chrome-Warnung steckt Google Safe Browsing. Den Status deiner URL prüfst du kostenlos im Google-Transparenzbericht.
- Warum es dich erwischt hat, verrät dir die Search Console unter „Sicherheitsprobleme“ — inklusive der betroffenen Beispiel-URLs.
- Die Reihenfolge entscheidet: erst vollständig bereinigen, DANN die Überprüfung beantragen. Nicht andersrum!
- Realistische Dauer laut Google: Phishing-Prüfungen etwa ein Tag, Malware wenige Tage, Spam-Hacks bis zu mehrere Wochen. Nach bestandener Prüfung verschwinden die Warnungen binnen 72 Stunden.
- Ein verfrühter Antrag ohne echte Bereinigung verlängert die Bearbeitung. Also: bereinigen, dokumentieren, dann beantragen.
Welche Warnung siehst du da eigentlich?
Erster Schritt: herausfinden, womit du es überhaupt zu tun hast. Denn Chrome zeigt verschiedene Warnungen, und die bedeuten längst nicht alle dasselbe.
Die rote Vollbild-Warnung „Gefährliche Website“ erscheint, wenn deine Domain auf der Safe-Browsing-Liste gelandet ist — wegen Phishing, Malware, unerwünschter Software oder Social Engineering. Das ist der klassische „Blacklist“-Fall, um den es in diesem Artikel geht. Eine Variante davon ist der Hinweis „Bei der aufgerufenen Website besteht Phishing-Verdacht“, der bei Social-Engineering-Einstufungen auftauchen kann.
Davon musst du zwei andere Meldungen unterscheiden:
- Die „Meinten Sie …?“-Warnung erscheint, wenn deine Domain einer bekannten Website ähnelt (die sogenannte Lookalike-Erkennung) — mit einer Blacklist hat das nichts zu tun.
- „Ihre Verbindung ist nicht privat“ ist ein Zertifikatsproblem, also auch eine ganz andere Baustelle.
Für diese beiden Fälle brauchst du keinen Überprüfungsantrag, sondern je nachdem Geduld oder ein frisches SSL-Zertifikat.
Schritt 1: Status prüfen, an zwei Stellen
Ob und warum deine Website gelistet ist, verrät dir Google an zwei Stellen. Und du solltest wirklich beide nutzen, denn jede zeigt dir nur die halbe Wahrheit.
Die schnelle öffentliche Auskunft bekommst du im Safe-Browsing-Websitestatus im Google-Transparenzbericht. URL eingeben, fertig — du siehst sofort, ob Google deine Seite aktuell als unsicher einstuft. Das Ganze läuft ohne Anmeldung und funktioniert für jede beliebige Website. Praktisch ist das übrigens auch später, wenn du den Fortschritt verfolgen willst.
Die ausführliche Diagnose liefert dir die Google Search Console im Bereich „Sicherheitsprobleme“. Dort steht schwarz auf weiß, WAS Google gefunden hat, samt Beispiel-URLs.
Die Kategorien sprechen für sich:
- „Gehackt: Malware“
- „Gehackt: Code-Einschleusung“
- „Gehackt: URL-Einschleusung“
- „Betrügerische Seiten“ und „Betrügerische eingebettete Ressourcen“ im Social-Engineering-Bereich
- Spezialfälle wie Cloaking, bei dem der GoogleBot andere Inhalte sieht als deine Besucher
Du hast die Search Console noch nie eingerichtet? Dann ist jetzt der Moment gekommen, denn ohne sie kannst du später keine Überprüfung beantragen.
Und wirf gleich noch einen Blick auf die site:-Abfrage deiner Domain in der Google-Suche: Tauchen dort fremde Spam-Seiten auf, ist das ein ziemlich deutliches Hack-Indiz.
Schritt 2: Die Ursache beheben, und zwar vollständig
Jetzt kommt der Teil, den viele am liebsten überspringen würden — und genau deshalb hängen sie wochenlang in der Warteschleife: die echte Bereinigung. Google prüft nach deinem Antrag nach, und zwar gründlich. Ist das Problem noch da, war der Antrag für die Katz, und die nächste Runde dauert länger.
Was zu tun ist, hängt vom Befund ab. Bei den „Gehackt“-Kategorien heißt das:
- Schadcode restlos entfernen, auch aus den versteckten Ecken wie der .htaccess und den Upload-Ordnern
- Kern, Plugins und Theme frisch aufsetzen
- Alle FTP- und WordPress-Passwörter erneuern und die Gelegenheit gleich für Zwei-Faktor-Authentifizierung nutzen
Und vor allem: das Einfallstor schließen, sonst stehst du in zwei Wochen wieder genau hier.
Die komplette Anleitung dafür findest du in meinem Guide zur WordPress-Sicherheit. Und wenn du das lieber abgibst: Bei unserer Soforthilfe für gehackte Websites gehört genau dieses Paket zusammen — Bereinigung, Ursachen-Analyse und der komplette Google-Prozess bis zur verschwundenen Warnung.
Bei „Betrügerische eingebettete Ressourcen“ sieht die Aufgabe anders aus: Da musst du die problematische Drittquelle finden und rauswerfen — das unseriöse Werbenetzwerk zum Beispiel oder das eingebettete Widget. Und egal, was du machst: Dokumentier es! Die Liste deiner Maßnahmen brauchst du gleich im nächsten Schritt.
Schritt 3: Überprüfung beantragen
Ist deine Website nachweislich sauber, geht es zurück in die Search Console. Im Bericht „Sicherheitsprobleme“ wartet der Button „Überprüfung anfordern“ auf dich.
Laut Googles eigener Anleitung gehören in einen guten Antrag drei Punkte:
- das genaue Problem
- die Schritte, mit denen du es behoben hast
- das Ergebnis deiner Bemühungen
Also bitte kein „ist wieder sauber, bitte freischalten“, sondern zwei, drei konkrete Sätze: was gefunden wurde, wie du bereinigt hast und wie du verhinderst, dass es wieder passiert.
Und dann? Warten. Ohne parallel weitere Anträge hinterherzuschicken. Google sagt ausdrücklich, dass du keinen zweiten Antrag stellen sollst, solange der erste noch läuft.
Wie lange dauert das Ganze?
Die Frage aller Fragen! Und ausnahmsweise gibt es darauf sogar offizielle Zahlen von Google:
| Vorgang | Offizielle Dauer laut Google |
|---|---|
| Überprüfung bei Phishing-Einstufung | etwa ein Tag |
| Überprüfung bei Malware | einige Tage |
| Überprüfung bei Spam-Hack | bis zu mehrere Wochen |
| Entfernung der Warnungen nach bestandener Prüfung | innerhalb von 72 Stunden |
| Entfernung von der Safe-Browsing-Liste nach bestätigtem sauberem Scan | normalerweise innerhalb von 24 Stunden |
Die Zahlen stammen aus Googles offizieller Anleitung zum Überprüfungsantrag und den Safe-Browsing-FAQ.
Rechne also je nach Fall mit einem Tag bis mehreren Wochen, plus bis zu 72 Stunden, bis die Warnungen nach bestandener Prüfung wirklich überall verschwunden sind.
Und noch eine kleine Beruhigung zum Anfang der Geschichte: So schnell, wie die Listung gekommen ist — Google scannt den Webindex täglich und listet unsichere Seiten binnen Minuten —, so systematisch verschwindet sie auch wieder, sobald deine Website sauber ist.
Der eine Fehler, der alles verlängert
Zum Schluss noch die Warnung vor der Abkürzung, die keine ist: die Überprüfung beantragen, bevor wirklich alles sauber ist. Der Impuls ist absolut verständlich, jeder Tag kostet schließlich Geld!
Aber Google sagt klipp und klar:
- Ein Antrag bei nicht behobenem Problem kann dazu führen, dass der nächste länger bearbeitet wird.
- Websites, die wiederholt zwischen sauber und unsauber pendeln, können als „Wiederholungstäter“ eingestuft werden — dann darfst du 30 Tage lang gar keine Überprüfung mehr anfordern.
Diese harte Regel zielt zwar auf absichtliche Täter und nicht auf Hack-Opfer, aber die Richtung ist eindeutig: Jeder halbgare Antrag arbeitet gegen dich.
Deshalb die eiserne Regel: erst der eigene Beweis — sauberer Scan, geprüfte Dateien, geschlossene Lücke —, dann der Antrag. Einmal gründlich schlägt dreimal hektisch, und hier meine ich das ganz wörtlich.
Fazit
Die rote Google-Warnung ist ein Umsatzkiller, aber ein reparabler. Der Weg raus ist immer derselbe: Status im Transparenzbericht prüfen, Diagnose in der Search Console lesen, Ursache vollständig beheben, Überprüfung mit kurzer Dokumentation beantragen — und dann dem Prozess seine ein bis mehrere Tage lassen, im Spam-Fall eben Wochen. Nach bestandener Prüfung sind die Warnungen binnen 72 Stunden Geschichte.
Und wenn der Spuk vorbei ist? Dann steck die Erleichterung direkt in die Vorbeugung: geschlossene Lücken, aktuelle Updates und ein Monitoring, das dich beim nächsten Problem VOR deinen Besuchern warnt. Denn die unangenehmste Art, von einer Google-Warnung zu erfahren, ist der Anruf eines Kunden. Frag mich nicht, woher ich das weiß.
Häufige Fragen zur Google-Warnung
Wie entferne ich die Warnung „Gefährliche Website“ bei Google?
In drei Schritten: Schau in der Search Console unter „Sicherheitsprobleme“ nach, was die Ursache ist. Bereinige deine Website danach vollständig, inklusive der geschlossenen Sicherheitslücke. Und dann forderst du im selben Bericht die Überprüfung an und beschreibst kurz, was du behoben hast. Nach bestandener Prüfung verschwinden die Warnungen innerhalb von 72 Stunden.
Wie prüfe ich, ob meine Website auf der Google-Blacklist steht?
Am schnellsten geht das über den Safe-Browsing-Websitestatus im Google-Transparenzbericht: URL eingeben, Ergebnis sofort sehen, ganz ohne Anmeldung. Für die Details zum Grund brauchst du dann die Google Search Console. Dort listet dir der Bericht „Sicherheitsprobleme“ die gefundenen Probleme samt Beispiel-URLs auf.
Wie lange dauert es, bis Google die Warnung entfernt?
Laut Googles offiziellen Angaben dauern Phishing-Überprüfungen etwa einen Tag, Malware-Überprüfungen einige Tage und Spam-Hacks bis zu mehrere Wochen. Hast du die Überprüfung bestanden, werden die Warnungen in Browsern und Suchergebnissen innerhalb von 72 Stunden entfernt. Voraussetzung ist aber immer, dass deine Website beim Nach-Scan wirklich sauber ist.
Meine Website wurde gar nicht gehackt. Warum warnt Chrome trotzdem?
Der häufigste Grund sind eingebettete Inhalte von Dritten. Auch Werbebanner, Pop-ups aus Werbenetzwerken oder externe Skripte können eine Social-Engineering-Einstufung der ganzen Seite auslösen. Prüf außerdem, ob es überhaupt eine Safe-Browsing-Warnung ist: „Meinten Sie …?“ ist ein Lookalike-Hinweis und „Ihre Verbindung ist nicht privat“ ein Zertifikatsproblem — beides sind andere Baustellen.
Was passiert, wenn ich die Überprüfung zu früh beantrage?
Findet Google das Problem noch vor, war dein Antrag erfolglos — und die Bearbeitung des nächsten kann länger dauern. Websites, die wiederholt zwischen sauber und unsauber wechseln, riskieren sogar die Einstufung als Wiederholungstäter mit 30 Tagen Antragssperre. Deshalb gilt: erst vollständig bereinigen und selbst verifizieren, dann beantragen.
