Kann man die Website-Sicherheit über Google prüfen, ohne Geld für Scans auszugeben?

Google ist nicht die Polizei, sondern die Feuerwehr: Google warnt dich nicht vor der Brandgefahr im Haus, sondern ruft erst an, wenn der Dachstuhl lichterloh brennt und die Nachbarn den Rauch sehen. Für präventive Sicherheit taugt Google allein nicht.

Wir sind letztes Jahr auf so eine Panikmache nicht reingefallen, haben dann aber auch zu spät in die Google Search Console geschaut. In unsere Seite wurde ein versteckter Redirect-Code eingeschleust. Bis Google das gecheckt und die rote Warnseite vorgeschaltet hat, vergingen 4 Tage – und in der Woche sind unsere Bestellungen von 5.000 Dollar auf 800 Dollar eingebrochen.

90 Prozent dieser Agenturen, die einen da anrufen, lassen im Hintergrund bloß kostenlose Open-Source-Scanner aus dem Netz drüberlaufen und klatschen das in ein schickes PDF mit Logo. Statt 1.800 Dollar im Jahr für solche automatischen Reports zu verpulvern, holt euch lieber einmalig jemanden mit Plan von Server-Administration für ein ordentliches Security-Hardening.

Um die kostenlosen Google-Meldungen abzusichern, solltet ihr diese drei Schritte auf keinen Fall schleifen lassen: 1) Admin-Login-URL ändern und den Admin-Account zwingend per 2FA (SMS oder App) absichern. 2) Alle ungenutzten Themes und Plugins restlos löschen. 3) Auf DNS-Ebene eine kostenlose Firewall samt Caching vorschalten, um Bot-Traffic direkt auszusperren.

Der Googlebot rendert die Seite von außen wie ein ganz normaler Besucher. Er kann also weder offene Ports hinter euren PHP-Dateien noch Backdoors oder Rechteprobleme in der Datenbank aufspüren. Der schlägt erst an, wenn im Quelltext Schadcode, versteckte Iframes oder Phishing-Formulare auftauchen.

macht um Agenturen, die mit Angst verkaufen wollen, immer einen großen Bogen. leitet die E-Mail-Benachrichtigungen der Serch Console aufs Handy von eurem Admin weiter und macht täglich automatisierte Backups von Datenbank und Dateien. selbst wenn mal was schiefgeht, ist das Backup in einer halben Stunde wieder eingespielt.

Geht morgen früh einfach mal in die Suchmaschine, gebt euren Seitennamen ein und checkt die Seitentitel in den Treffern. Wenn da kein Casino-Kram keine rezeptpflichtigen Pillen oder komische Schriftzeichen auftauchen und eure Search Console sauber ist lasst euch von der Agentur keine Panik einreden und spart euch das Geld.

Es gab drei verschiedene Ansichten, die sich alle ergänzen. Der meiste Zeitverlust entsteht durch Arbeiten, die auf Freigaben warten.

An deiner Stelle würde ich so vorgehen.

meine Frage klingt vielleicht etwas naiv, entschuldigt bitte. ein automatisierter Scan-Report ist kein Penetrationstest.

fehler auf der website sicherheitscheck google-Seite sind meist rückgängig zu machen aber teuer aber übrigens wenn ihr das Ergebnis hier postet hilft es auch anderen.

Ich schreibe mal meine Erfahrung auf. Jeder nicht schriftlich festgehaltene Punkt ist einer, an den sich beide Parteien später unterschiedlich erinnern.

das habe ich auch erlebt dann kein Prozess ohne Dokumentation verbessert sich weil man nicht weiß was man verbeessern soll.

schreibt mir wenn ihr Fragen habt, ich antwotre so gut ich kann.

Ich stimme voll und ganz zu. Dass das Backup im gleichen Netzwerk und mit derselben Identität erreichbar ist macht es zum Teil des Ziels.

Ich habe mich lange damit beschäftigt. naja wenn der Benachrichtigungsweg lang ist kommen keine Benachrichtigungen; keine Benachrichtigung bedeutet spät erkannte Vorfälle.

Viel Erfolg.

Ich habe keinerlei Erfahrung mit website sicherheitscheck google, deshalb frage ich. Sicherheit ist nicht absolut; es bedeutet, den Angriff so aufwendig zu machen, dass er sich nicht lohnt.

Viel Erfolg.

Es gab drei verschiedene Ansichten die sich alle ergänzen. naja ein automatisierter Scan-Report ist kein Penetrationstest.

Viel Erfolg.

Ich werde das Gegenteil vertreten, bitte nicht böse sein. Wer bei website sicherheitscheck google hetzt, stolpert alle an derselben Stelle.

Schreibt mir, wenn ihr Fragen habt, ich antworte so gut ich kann.

Teilweise stimme ich zu, teilweise nicht. Wenn man Fehlalarme anschreit, meldet sich danach niemand mehr.

Nur als Notiz, könnte nützlich sein.

Hier ist etwas zu beachten. Die Antwort hängt stark von der Branche ab, es gibt keine allgemeine Regel.

Aus Erfahrung weiß ich das.