Ein Kunde ruft an oder schreibt Ihnen: „Ich wollte auf Ihrer Website etwas nachschauen, bin aber plötzlich auf einer Werbeseite gelandet.“ Sie öffnen die Seite selbst am Computer – alles normal. Erst als Sie es auf dem eigenen Smartphone versuchen, sehen Sie es auch: Nach ein paar Sekunden werden Sie automatisch auf eine fragwürdige Werbeseite, ein angebliches Gewinnspiel oder eine App-Installation weitergeleitet.
Das ist kein Zufall und auch kein harmloser technischer Fehler. Das ist ein gezielt gebautes Hack-Muster, das genau deshalb nur auf dem Handy auftritt, weil es so am längsten unentdeckt bleibt – die meisten Website-Betreiber prüfen ihre eigene Seite in erster Linie am Desktop.
Werden Sie oder Ihre Kunden auf dem Handy weitergeleitet?
Schicken Sie mir die URL. Ich bestätige den Hack und finde die eingeschleuste Ursache.
Warum das gezielt nur auf dem Handy passiert
Der eingeschleuste Schadcode prüft aktiv, mit welchem Gerät und Browser die Website aufgerufen wird, und leitet nur bei mobilen Geräten weiter. Das hat für die Angreifer mehrere Vorteile: Werbenetzwerke für zwielichtige Anzeigen zahlen bei mobilem Traffic oft besser, die Betreiber der Website merken es seltener selbst (da sie ihre eigene Seite meist am Desktop kontrollieren), und Suchmaschinen-Crawler, die die Seite prüfen, erkennen sich oft nicht als „echtes“ mobiles Gerät und werden deshalb ebenfalls nicht umgeleitet – was die Entdeckung zusätzlich erschwert.
Zusätzlich wird die Weiterleitung häufig nur bei Besuchern ausgelöst, die über eine Google-Suche kommen, nicht bei jedem beliebigen Aufruf. Das erklärt, warum selbst aufmerksame Betreiber es oft erst durch Rückmeldungen von Besuchern oder Kunden bemerken, nicht durch eigene Kontrolle.
Wie Sie das selbst zuverlässig testen können
- Öffnen Sie die Website auf einem echten Smartphone, idealerweise über eine Google-Suche zu Ihrer Domain, nicht durch direkte Eingabe der Adresse – manche Varianten leiten gezielt nur bei diesem Zugriffsweg um.
- Warten Sie ein paar Sekunden, bevor Sie den Verdacht verwerfen. Manche Varianten leiten erst mit Verzögerung weiter, um technische Prüfwerkzeuge zu täuschen.
- Testen Sie mehrere Unterseiten, nicht nur die Startseite – manche Varianten betreffen nur bestimmte Bereiche der Website.
Bestätigt: Die Weiterleitung passiert wirklich?
Dann sollte jetzt zügig gehandelt werden, bevor mehr Besucher und Kunden betroffen sind.
Warum das mehr ist als nur ein lästiges Problem
Neben dem direkten Vertrauensverlust bei betroffenen Besuchern kann diese Art von Hack auch dazu führen, dass Google Ihre Website als potenziell gefährlich einstuft, sobald der Google-Crawler die Weiterleitung ebenfalls erkennt. Das kann zu Warnhinweisen direkt in den Suchergebnissen oder sogar zur Sperrung durch Ihren Hoster führen, wenn dieser den Missbrauch bemerkt. Außerdem ist eine solche Weiterleitung fast nie das einzige Problem – meist wurden zusätzlich versteckte Zugänge (sogenannte Backdoors) eingerichtet, über die sich Angreifer auch nach einer oberflächlichen Bereinigung wieder Zugriff verschaffen können.
Wie eine gründliche Bereinigung normalerweise abläuft
- Sicherheitslücke identifizieren: Meist ein veraltetes Plugin, Theme oder ein kompromittiertes Passwort, über das der ursprüngliche Zugriff erfolgte.
- Eingeschleusten Code finden: Der schädliche Code, der die geräteabhängige Weiterleitung auslöst, versteckt sich häufig in Theme- oder Plugin-Dateien, seltener direkt in der Datenbank.
- Versteckte Zugänge (Backdoors) entfernen: Ohne diesen Schritt kann der Hack trotz sichtbarer Bereinigung zurückkehren.
- Alle Zugangsdaten erneuern: Passwörter für WordPress, Hosting und Datenbank sollten nach einem bestätigten Hack grundsätzlich erneuert werden.
- Nachkontrolle über mehrere Tage: Um sicherzugehen, dass die Weiterleitung nicht doch noch an anderer Stelle aktiv ist.
Allgemeine Grundlagen zum Vorgehen bei einem WordPress-Hack, unabhängig von diesem speziellen Muster, haben wir im Beitrag WordPress gehackt, was tun zusammengefasst. Ein verwandtes, ebenfalls gezielt verstecktes Angriffsmuster ist der Japanese Keyword Hack, bei dem statt einer Weiterleitung fremde Inhalte direkt in den Google-Suchergebnissen erscheinen.
Kurz und ehrlich beantwortet
Warum sehe ich am Desktop nichts Ungewöhnliches?
Weil der Schadcode gezielt danach unterscheidet, mit welchem Gerät zugegriffen wird, und die Weiterleitung bewusst auf mobile Geräte beschränkt, um länger unentdeckt zu bleiben.
Sind meine Kundendaten dadurch in Gefahr?
Direkt betrifft diese Weiterleitung meist nur die Anzeige von Werbung. Da aber fast immer auch versteckte Zugänge eingerichtet wurden, sollte zusätzlich geprüft werden, ob weitergehender Zugriff bestand.
Reicht es, ein Sicherheits-Plugin zu installieren und zu scannen?
Als ersten Hinweis ja, aber gezielt verstecktes Schadcode wird nicht von jedem Scanner zuverlässig erkannt. Eine gründliche manuelle Prüfung ist bei diesem Hack-Typ oft nötig.
Kann das wiederkommen, wenn ich es einmal bereinigt habe?
Ja, wenn die ursprüngliche Sicherheitslücke und eventuelle versteckte Zugänge nicht vollständig entfernt wurden. Beides gehört zwingend zu einer gründlichen Bereinigung dazu.
Wie schnell sollte ich handeln?
Möglichst zeitnah. Je länger die Weiterleitung aktiv bleibt, desto mehr Besucher und potenzielle Kunden sind betroffen, und desto höher das Risiko einer Abwertung durch Google oder einer Sperrung durch den Hoster.
Schicken Sie mir einfach die URL.
Ich bestätige die mobile Weiterleitung, finde die Ursache und bereinige Ihre Website gründlich – inklusive versteckter Zugänge.