SEO Cloaking bedeutet, dass Suchmaschinen eine Version einer Seite sehen und Menschen eine andere. Der Crawler erhält eine saubere, keywordreiche Seite, die rankt; der Besucher, der klickt, bekommt etwas anderes, oft eine Weiterleitung, ein anderes Angebot oder schlicht Spam. Google führt Cloaking in seinen Spam-Richtlinien auf, und eine Website, die dabei erwischt wird, kann Rankings für einzelne Seiten oder die gesamte Domain verlieren.
Die meisten Teams begegnen Cloaking von der defensiven Seite: eine gehackte Website, die für Pharma- oder Casino-Begriffe rankt, die ihr Betreiber nie gesehen hat, oder ein Wettbewerber, dessen rankende Seite nicht zu dem passt, was das Snippet verspricht. In beiden Fällen ist die Suche danach eine Aufgabe des SEO Monitorings: Sie müssen die Seite so sehen, wie jede Art von Besucher sie sieht, und vergleichen.
Was als Cloaking gilt
Googles Definition stellt auf die Absicht ab: Nutzern und Suchmaschinen unterschiedliche Inhalte zu präsentieren, um Rankings zu manipulieren und Nutzer in die Irre zu führen. Zu Googles eigenen Beispielen gehört, dem Crawler eine Seite über Reiseziele auszuliefern, während Besucher eine Seite über günstige Medikamente erhalten, sowie Text oder Keywords nur dann einzufügen, wenn die Anfrage von einer Suchmaschine kommt.
Der Mechanismus ist immer derselbe. Der Server oder ein Skript auf der Seite entscheidet anhand dessen, wer zu fragen scheint, was ausgeliefert wird. Dafür werden diese Signale genutzt:
- User Agent. Die grobe Variante: Alles, was sich als “Googlebot” ausgibt, bekommt die saubere Seite.
- IP-Adresse. Die sorgfältige Variante: Anfragen aus Googles veröffentlichten Crawler-Bereichen, per Reverse DNS verifiziert, bekommen die saubere Seite, sodass ein gefälschter User Agent allein sie nicht freischaltet.
- Referrer. Besucher, die von einer Google-Ergebnisseite kommen, werden weitergeleitet; wer die URL direkt eintippt, einschließlich des Website-Betreibers, sieht eine normale Website.
- Standort und Netzwerk. Besucher aus dem Zielland mit privaten Internetanschlüssen erhalten die Schadversion; Büro-, Cloud- und Rechenzentrumsbereiche erhalten die saubere Version, weil von dort Prüfer und Sicherheitsscanner kommen.
- Gerät. Manche Methoden leiten nur mobile Besucher weiter, weil sich dort Geld verdienen lässt.
Die meisten realen Fälle kombinieren zwei oder drei dieser Signale. Deshalb zeigt eine einzelne Prüfung von Ihrem Schreibtisch aus meist nichts.
Was kein Cloaking ist
Viele legitime Setups liefern unterschiedlichen Besuchern unterschiedliche Antworten. Laut Google ist das in Ordnung, solange der Crawler sieht, was ein vergleichbarer Nutzer sehen würde:
- Personalisierung nach Region und Sprache. Besuchern in Deutschland Preise in Euro anzuzeigen, ist kein Cloaking. Den Googlebot anders zu behandeln als einen Nutzer am selben Ort, wäre es. Unser Leitfaden zu lokalisierten Google-Ergebnissen erklärt, wie der Standort verändert, was Menschen sehen.
- Paywalls und geschützte Inhalte. Google dokumentiert strukturierte Daten für Paywall-Inhalte genau dafür, dass Publisher den Crawler den vollständigen Artikel sehen lassen können, ohne dass dies als Cloaking gilt.
- Gerätespezifische Layouts. Unterschiedliches Markup für Mobilgeräte und Desktop ist in Ordnung, wenn der Hauptinhalt gleichwertig ist.
- Rendering für Bots. Crawlern vorgerendertes HTML auszuliefern, wurde früher als Notlösung für JavaScript-lastige Seiten empfohlen. Google bezeichnet das heute als Notlösung und nicht als langfristige Lösung, aber es ist kein Cloaking, solange der Inhalt übereinstimmt.
Der Test ist in jedem Fall dieselbe Frage: Würde ein echter Nutzer in der Position des Crawlers denselben Inhalt erhalten?
Warum Sie es nicht von einem Ort aus prüfen können
Eine Cloaking-Seite ist so gebaut, dass sie genau für die Betrachter sauber aussieht, die sie am ehesten prüfen. Daraus ergeben sich drei blinde Flecken:
- Sie sind das ausgeschlossene Publikum. Wenn Sie Ihre eigene Website eingeloggt, aus dem Büro oder durch Eintippen der URL prüfen, zeigt sich ein Referrer-basierter Hack nie. Website-Betreiber erfahren oft über die Search Console oder von Kunden davon.
- Sie können nicht der Googlebot sein. Ein Googlebot User Agent erkennt nur grobes Cloaking. Alles, was die IP des Crawlers verifiziert, behandelt Sie als Nutzer.
- Sie sind im falschen Markt oder Netzwerk. Eine Methode, die nur bei mobilen Besuchern aus einem bestimmten Land mit privatem Internetanschluss greift, ist von einem Cloud-Server in einem anderen Land aus unsichtbar.
Die Erkennung ist also ein Vergleich, durchgeführt von genügend Standpunkten aus, um die Bedingungen abzudecken, nach denen das Cloaking filtert.
Ein Workflow zur Erkennung
Schritt 1: Holen Sie zuerst Googles Sicht ein. In der Search Console ruft der Live-Test des URL Inspection Tools die Seite als Googlebot über Googles eigene Infrastruktur ab und zeigt das gerenderte HTML und einen Screenshot. Der Rich Results Test leistet dasselbe für Seiten, die Ihnen nicht gehören. Nur so sehen Sie die Crawler-Version zuverlässig, weil die Anfrage von einer echten Googlebot IP kommt.
Schritt 2: Sammeln Sie die Nutzersichten. Rufen Sie dieselbe URL als gewöhnlicher Besucher ab und ändern Sie dabei jeweils nur eine Bedingung:
| Variante | User Agent | Referrer | Netzwerk |
|---|---|---|---|
| Basis | Desktop-Browser | keiner | Ihr Büro |
| Aus der Suche | Desktop-Browser | google.com Ergebnisseite | Ihr Büro |
| Mobil aus der Suche | Mobiler Browser | google.com Ergebnisseite | private IP im Zielland |
| Desktop aus der Suche, Zielmarkt | Desktop-Browser | google.com Ergebnisseite | private IP im Zielland |
| Grobe Bot-Prüfung | Googlebot-String | keiner | Ihr Büro |
Für die Zeilen mit privater IP kommt ein Residential Proxy ins Spiel: ein Haushaltsanschluss in dem Land, das Sie testen, sodass die Anfrage wie die Besucher aussieht, auf die die Methode wartet. Halten Sie Locale, Zeitzone und Sprache passend zum Exit-Land, wie in unserem Leitfaden zum Abgleich von Proxy-Standort, Zeitzone und Locale beschrieben, sonst behandelt Sie eine gut gebaute Methode als Ausreißer.
Schritt 3: Vergleichen Sie, was zählt. Rohes HTML unterscheidet sich zwischen zwei beliebigen Anfragen schon wegen Tokens und Zeitstempeln. Vergleichen Sie die Teile, die Rankings oder das Erlebnis des Besuchers verändern:
- die finale URL nach Weiterleitungen und jeden Schritt in der Kette;
- Title, Meta Description, Canonical und Robots-Anweisungen;
- den Haupttext, normalisiert und gehasht;
- die ausgehenden Links, vor allem zu unbekannten Domains.
Schritt 4: Wiederholen Sie. Hacks und Methoden von Wettbewerbern greifen oft nur bei einem Teil der Besuche oder nur zu bestimmten Uhrzeiten. Ein einzelnes sauberes Ergebnis ist ein schwacher Beleg. Führen Sie die Matrix mehrmals mit verschiedenen Exits und zu verschiedenen Tageszeiten aus, bevor Sie eine Seite für sauber erklären.
Hier ist ein minimales Vergleichsskript. Setzen Sie PROXY_URL auf ein Residential Gateway mit Länder-Targeting und ergänzen Sie weitere Varianten für jeden Markt, der für Sie relevant ist:
import hashlib, os, re
import requests
URL = "https://example.com/some-page"
DESKTOP = "Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/130.0 Safari/537.36"
MOBILE = "Mozilla/5.0 (iPhone; CPU iPhone OS 18_0 like Mac OS X) AppleWebKit/605.1.15 (KHTML, like Gecko) Version/18.0 Mobile/15E148 Safari/604.1"
GOOGLEBOT = "Mozilla/5.0 (compatible; Googlebot/2.1; +http://www.google.com/bot.html)"
SERP = "https://www.google.com/"
RESI = {"http": os.environ["PROXY_URL"], "https": os.environ["PROXY_URL"]}
VARIANTS = {
"baseline": dict(ua=DESKTOP, ref=None, proxies=None),
"from_search": dict(ua=DESKTOP, ref=SERP, proxies=None),
"mobile_market": dict(ua=MOBILE, ref=SERP, proxies=RESI),
"desktop_market": dict(ua=DESKTOP, ref=SERP, proxies=RESI),
"googlebot_ua": dict(ua=GOOGLEBOT, ref=None, proxies=None),
}
def tag(html, pattern):
m = re.search(pattern, html, re.I | re.S)
return m.group(1).strip() if m else ""
def fingerprint(ua, ref, proxies):
headers = {"User-Agent": ua, "Accept-Language": "en-US,en;q=0.9"}
if ref:
headers["Referer"] = ref
r = requests.get(URL, headers=headers, proxies=proxies, timeout=30)
html = r.text
text = re.sub(r"<script.*?</script>|<style.*?</style>|<[^>]+>", " ", html, flags=re.S)
text = re.sub(r"\s+", " ", text).strip().lower()
return {
"final_url": r.url,
"hops": [h.headers.get("Location", "") for h in r.history],
"title": tag(html, r"<title[^>]*>(.*?)</title>"),
"canonical": tag(html, r'<link[^>]+rel=["\']canonical["\'][^>]+href=["\']([^"\']+)'),
"robots": tag(html, r'<meta[^>]+name=["\']robots["\'][^>]+content=["\']([^"\']+)'),
"text_hash": hashlib.sha256(text.encode()).hexdigest()[:12],
}
results = {name: fingerprint(**v) for name, v in VARIANTS.items()}
base = results["baseline"]
for name, res in results.items():
diffs = [k for k in res if res[k] != base[k]]
print(f"{name:15} {'SAME' if not diffs else 'DIFFERS: ' + ', '.join(diffs)}")Ein Unterschied allein bei text_hash kann harmlose Personalisierung sein. Eine abweichende final_url, ein neuer Weiterleitungsschritt oder ein Title, der nur für Besucher aus der Suche erscheint, ist das Muster, dem Sie nachgehen sollten. Vergleichen Sie danach die Nutzersichten mit dem HTML aus dem Live-Test der URL Inspection.
Was Sie tun sollten, wenn Sie fündig werden
Auf Ihrer eigenen Website behandeln Sie es zuerst als Sicherheitsvorfall. Referrer- und IP-basiertes Cloaking auf einer Website, die Sie nicht so gebaut haben, bedeutet fast immer eine Kompromittierung: eingeschleuste Serverregeln, ein verändertes Plugin oder Theme oder ein dem Template hinzugefügtes Skript. Entfernen Sie den Code, schließen Sie die Lücke, durch die er hineingelangt ist, und beantragen Sie dann eine Überprüfung in der Search Console, falls Google eine manuelle Maßnahme verhängt hat. Führen Sie die Vergleichsmatrix danach erneut aus denselben Märkten aus, um zu bestätigen, dass das Problem behoben ist.
Auf der Website eines Wettbewerbers dokumentieren Sie, bevor Sie melden. Halten Sie die Crawler-Version aus dem Rich Results Test fest, die Nutzerversionen mit Zeitstempel, Exit-Land und Gerät sowie die vollständige Weiterleitungskette. Google nimmt Spam-Meldungen über sein Formular zur Meldung von Suchqualitätsproblemen entgegen. Für die bezahlte Suche mit demselben Verhalten behandelt unser Leitfaden zum Aufspüren von getarnten und geo-getargeteten Anzeigen die Anzeigenseite.
Überwachen Sie weiter. Hacks kehren zurück, wenn der Einstiegspunkt nicht behoben ist, und sie tauchen meist auf den Seiten wieder auf, die am besten ranken. Ein wöchentlicher Durchlauf der Matrix für Ihre wichtigsten Landingpages, aus den Ländern, die Ihnen organischen Traffic bringen, ist ein günstiges Frühwarnsystem.
FAQ
Ist SEO Cloaking illegal?
Meist ist das keine rechtliche Frage, sondern ein Verstoß gegen die Richtlinien der Suchmaschine. Google führt es in seinen Spam-Richtlinien auf und kann Seiten, die es nutzen, abwerten oder entfernen. Wenn Cloaking Betrug oder Malware verbirgt, können für den Inhalt selbst andere Gesetze gelten.
Ist es Cloaking, je nach Land unterschiedliche Inhalte zu zeigen?
Für sich genommen nicht. Preise, Sprache oder Angebote nach Land zu lokalisieren, ist normal. Zu Cloaking wird es, wenn der Crawler anders behandelt wird als ein Nutzer in derselben Situation.
Kann ich Cloaking prüfen, indem ich meinen User Agent auf Googlebot ändere?
Nur bei grobem Cloaking. Sorgfältige Methoden verifizieren die IP des Crawlers, sodass ein gefälschter User Agent wie ein gewöhnlicher Besucher behandelt wird. Nutzen Sie den Live-Test der URL Inspection in der Search Console oder den Rich Results Test, um Googles tatsächliche Sicht zu sehen.
Warum brauche ich Residential IPs, um Cloaking zu erkennen?
Viele Methoden zeigen ihre Schadversion nur gewöhnlichen Besuchern in einem Zielmarkt und Büro-, Cloud- und Rechenzentrumsadressen eine saubere Seite. Prüfungen über private Internetanschlüsse in diesem Markt sind der Weg, um zu sehen, was diese Besucher bekommen.
Das Fazit
Cloaking versteckt sich vor denen, die am ehesten prüfen, daher beweist ein einzelner Blick von Ihrem Schreibtisch aus wenig. Holen Sie Googles Sicht über dessen eigene Tools ein, sammeln Sie Nutzersichten über verschiedene Referrer, Geräte und private Internetanschlüsse in den relevanten Märkten, vergleichen Sie finale URLs, Titles und Hauptinhalte und wiederholen Sie die Prüfung, bevor Sie eine Seite für sauber erklären. Wenn es Ihre Website ist, behandeln Sie einen Fund als Kompromittierung und beheben Sie den Einstiegspunkt. Wie Sie verfolgen, wie Ihre Seiten an vielen Standorten über die Zeit erscheinen, zeigt unser Leitfaden zum Geo-Grid Rank Tracking.