Negative SEO: Was wirklich dahintersteckt

Wenn plötzlich das Ranking einbricht, liegt der Verdacht schnell nahe: Jemand hat uns absichtlich geschadet. Negative SEO bezeichnet gezielte Maßnahmen, mit denen jemand versucht, die Sichtbarkeit einer fremden Website in den Suchergebnissen zu schädigen – durch Spam-Links, gestohlenen Content, gefälschte Bewertungen, gehackte Inhalte, missbrauchte Takedown-Verfahren oder manipulierten Bot-Traffic.

Die unbequeme Wahrheit vorweg, weil sie in den meisten Ratgebern zu diesem Thema untergeht: In der überwiegenden Mehrheit der Fälle, in denen ein Ranking-Einbruch als negative SEO gedeutet wird, steckt in Wirklichkeit etwas anderes dahinter – ein Algorithmus-Update, eine technische Regression, ein Wettbewerber, der einfach besser geworden ist, oder eine selbst verursachte Änderung, die niemand mehr auf dem Schirm hatte. Suchmaschinen sind zudem deutlich besser darin geworden, feindselige Linkkampagnen zu erkennen und einfach zu ignorieren, statt die betroffene Seite dafür abzustrafen. Bevor du Zeit in Abwehrmaßnahmen steckst, lohnt sich deshalb eine nüchterne, strukturierte Prüfung.

Was alles unter negative SEO fällt

Der Begriff ist ein Sammelbecken für sehr unterschiedliche Taktiken. Sie haben nur eines gemeinsam: Sie zielen darauf ab, eine fremde Domain zu schädigen, statt die eigene zu stärken.

Jede dieser Taktiken existiert nachweislich, das ist nicht die eigentliche Frage. Die eigentliche Frage lautet: Wie wahrscheinlich ist sie tatsächlich die Ursache für das, was du gerade auf deiner eigenen Seite beobachtest – und nicht bloß die naheliegendste Erklärung, weil sie sich weniger nach eigenem Versäumnis anfühlt?

• Spam-Linkkampagnen: massenhaft Backlinks von offensichtlich minderwertigen, themenfremden oder toxischen Domains, die gezielt auf eine bestimmte Ziel-URL gesetzt werden.
• Content-Scraping und Duplizierung: Inhalte werden vollständig kopiert und auf anderen Domains veröffentlicht, teils mit besserer technischer Ausgangslage, sodass die Kopie die eigentliche Quelle im Ranking überholt.
• Gefälschte oder böswillige Bewertungskampagnen: gehäufte negative Rezensionen auf Google Business Profile oder Branchenportalen, oft von auffällig neuen oder nicht verifizierten Konten.
• Hacking und eingeschleuster Content: Angreifer verschaffen sich Zugriff auf CMS oder Server und platzieren Spam-Seiten, versteckte Links oder Weiterleitungen auf fremde Ziele.
• Missbrauch von Takedown- und DMCA-Verfahren: fingierte Urheberrechtsbeschwerden, mit denen versucht wird, legitime Seiten aus dem Index entfernen zu lassen.
• Aggressiver Bot-Traffic und CTR-Manipulation: künstlich erzeugte Klicks oder Absprünge, die Nutzerverhalten simulieren sollen, um Rankingsignale zu verzerren.

Warum die meisten vermuteten Fälle keine Angriffe sind

Suchmaschinen sind beim Umgang mit unnatürlichen Linkprofilen heute deutlich robuster als noch vor einigen Jahren. Ein Algorithmus, der toxische oder gekaufte Links erkennt, entwertet sie in aller Regel automatisch, statt die Zielseite dafür abzustrafen – die Zielseite hat diese Links schließlich nicht selbst gesetzt. Genau dieses Prinzip macht großangelegte Spam-Linkkampagnen als Waffe stumpf: Der erhoffte Schaden bleibt meist aus, während der Aufwand für den Angreifer hoch ist.

Parallel dazu gibt es weit häufigere, viel banalere Erklärungen für einen Ranking-Einbruch. Ein Core-Update, das Qualitätssignale neu gewichtet. Eine Migration, bei der Canonical-Tags oder Weiterleitungen falsch gesetzt wurden. Ein robots.txt-Eintrag, der versehentlich wichtige Verzeichnisse sperrt. Eine Ladezeit, die sich durch ein neues Plugin spürbar verschlechtert hat. Ein Wettbewerber, der in den letzten Monaten tatsächlich bessere Inhalte, mehr relevante Links und eine sauberere technische Basis aufgebaut hat. All das erzeugt exakt dasselbe sichtbare Symptom wie ein vermuteter Angriff: sinkende Sichtbarkeit.

Der Denkfehler liegt darin, vom Symptom direkt auf die dramatischste mögliche Ursache zu schließen. Ein Rückgang fühlt sich wie etwas an, das einem angetan wurde – die Vorstellung eines gezielten Angriffs ist psychologisch greifbarer als 'wir haben vor sechs Wochen selbst etwas verändert, das erst jetzt seine Wirkung zeigt'. Genau deshalb lohnt sich eine strukturierte Prüfung, bevor Zeit und Energie in eine Abwehr fließen, die das eigentliche Problem gar nicht löst.

Ein weiterer Grund für die Verwechslung liegt bei den Tools selbst. Viele Backlink-Checker weisen jeder Domain einen automatisierten Toxizitäts- oder Spam-Score zu, der auf groben Heuristiken beruht und nicht auf einer tatsächlichen algorithmischen Bewertung durch die Suchmaschine. Ein plötzlicher Anstieg roter Zahlen im eigenen Dashboard fühlt sich nach Beweis an, ist aber oft nur ein Hinweis auf mehr Crawling-Aktivität des Tools selbst oder auf eine neue, aber harmlose Verzeichnis-Verlinkung. Der Score ersetzt keine eigene Prüfung der einzelnen Domains.

So prüfst du, bevor du 'Angriff' rufst

Bevor die Diagnose 'negative SEO' lautet, sollte sie mehrere naheliegendere Erklärungen bereits ausgeschlossen haben. Eine saubere Prüfung läuft in etwa so ab:

• Zeitachse abgleichen: Fällt der Einbruch mit einem bekannten Suchmaschinen-Update, einem eigenen Deployment, einem CMS- oder Plugin-Update oder einer Domainänderung zusammen?
• Search Console auf manuelle Maßnahmen und Sicherheitsprobleme prüfen: Eine manuelle Maßnahme oder ein Hacking-Hinweis liefert eine harte, überprüfbare Aussage – eine Vermutung liefert keine.
• Server- und Zugriffslogs sichten: Ungewöhnliche Crawling-Spitzen, unbekannte User-Agents oder gehäufte Login-Versuche deuten eher auf ein technisches oder Sicherheitsproblem als auf reinen Linkspam.
• Sichtbarkeit granular betrachten: Betrifft der Rückgang die gesamte Domain, ein Verzeichnis oder nur einzelne Seiten? Ein flächendeckender Einbruch spricht eher für ein Update, ein isolierter Einbruch eher für ein seitenspezifisches Problem.
• Backlink-Profil im Zeitverlauf beobachten, nicht nur den aktuellen Stand: Ein einzelner Import mit vielen neuen, offensichtlich irrelevanten Domains ist ein Hinweis, aber noch kein Beweis – solche Spitzen entstehen auch durch harmlose Ursachen wie automatisierte Verzeichnis-Bots.
• Wettbewerber im gleichen Zeitraum ansehen: Ist der Rückgang branchenweit sichtbar, deutet das eher auf ein gemeinsames Update als auf einen Angriff gegen genau dich.

Erst wenn diese Punkte durchgegangen sind und weiterhin keine plausible eigene Ursache erkennbar ist, während gleichzeitig konkrete, ungewöhnliche Aktivität sichtbar wird, ist die Annahme eines gezielten Angriffs überhaupt begründet. Ein belastbares Indiz wäre zum Beispiel ein plötzlicher, konzentrierter Zustrom von Links aus offensichtlich zusammenhängenden, thematisch fremden Domains innerhalb weniger Tage, kombiniert mit einem isolierten Rückgang genau der betroffenen Seite und ohne jede erkennbare eigene Änderung im gleichen Zeitraum. Ein einzelnes Symptom allein reicht dafür nicht aus.

Was wirklich Handlungsbedarf bedeutet

Nicht jede Form von negative SEO verdient dieselbe Reaktion. Drei Fälle sind tatsächlich real, meist nachweisbar und rechtfertigen zügiges, gezieltes Handeln.

Gehackter oder eingeschleuster Content ist der dringendste Fall von allen. Wenn Angreifer Zugriff auf dein CMS oder deinen Server erlangt haben, geht es längst nicht mehr nur um Rankings, sondern um Sicherheit: Spam-Seiten unter deiner Domain, versteckte Links in bestehenden Seiten oder Weiterleitungen auf fremde Ziele schaden nicht nur der Sichtbarkeit, sie schaden dem Vertrauen der Nutzer und können zu einer Sicherheitswarnung in den Suchergebnissen führen. Hier zählt jede Stunde: Zugänge zurücksetzen, betroffene Dateien bereinigen, die Ursache der Lücke schließen – und erst danach die SEO-Folgen aufräumen.

Content-Scraping, bei dem die Kopie die Originalquelle im Ranking überholt, ist ebenfalls ein legitimes Problem, aber eines, das sich meist technisch lösen lässt. Ein sauber gesetztes Canonical-Tag auf der Originalseite, ein dokumentierter Zeitpunkt der Erstveröffentlichung und im Wiederholungsfall eine Takedown-Beschwerde gegen die kopierende Seite sind die wirksamen Hebel. Wichtig ist vorher zu prüfen, ob die eigene Seite überhaupt korrekt indexiert ist und nicht versehentlich selbst auf noindex oder eine falsche kanonische URL zeigt – ein hausgemachter Fehler sieht von außen identisch aus wie eine erfolgreiche Kopie.

Bewertungsmanipulation – eine Welle offensichtlich gefälschter negativer Rezensionen, oft in kurzer Zeit und mit auffällig ähnlichem Wortlaut – lässt sich über die Meldefunktionen der jeweiligen Plattform ansprechen. Die Erfolgsquote schwankt und die Bearbeitung dauert, aber es ist der richtige Kanal, weil nur der Plattformbetreiber die Kontoaktivität einsehen kann, die eine Fälschung tatsächlich belegt.

Was diese drei Fälle verbindet: Sie lassen sich unabhängig prüfen. Eine Sicherheitswarnung, ein Indexierungsproblem oder eine auffällige Kontoaktivität sind konkrete, nachprüfbare Tatsachen – kein Bauchgefühl. Das unterscheidet sie von einem bloß vermuteten Linkangriff, bei dem die Beweislage fast immer dünn bleibt.

Die Disavow-Datei: letztes Mittel, kein Reflex

Die Disavow-Datei ist ein Werkzeug, mit dem du Suchmaschinen mitteilst, bestimmte eingehende Links bei der Bewertung deiner Seite zu ignorieren. Sie wurde ursprünglich für Fälle geschaffen, in denen eine Seite tatsächlich von einer manuellen Maßnahme wegen unnatürlicher Links betroffen ist oder in der Vergangenheit selbst an fragwürdigem Linkaufbau beteiligt war und das aktiv korrigieren muss.

Sie ist nicht dafür gedacht, jeden verdächtig aussehenden Link präventiv einzureichen – aus zwei Gründen. Erstens bewerten moderne Algorithmen offensichtlich toxische Links ohnehin meist automatisch ab, sodass die Datei in vielen Fällen schlicht nichts bewirkt, was nicht ohnehin schon passiert wäre. Zweitens ist eine Disavow-Datei eine explizite Anweisung, und eine fehlerhafte Anweisung, die versehentlich auch legitime, wertvolle Links einschließt, kann der eigenen Sichtbarkeit mehr schaden, als das ursprüngliche Linkprofil je hätte schaden können. Die Datei unterscheidet nicht zwischen 'vorsichtshalber eingereicht' und 'mit Bedacht geprüft' – sie wird schlicht ausgeführt.

Ein sinnvoller Einsatz setzt daher zwei Dinge voraus: ein konkretes Signal aus der Search Console, etwa eine manuelle Maßnahme, und eine Link-für-Link-Prüfung statt eines pauschalen Exports aus einem beliebigen Backlink-Tool. Wer Domains allein nach einem automatisierten Toxizitäts-Score einreicht, ohne sie einzeln anzusehen, entfernt mit hoher Wahrscheinlichkeit auch Links, die dem eigenen Ranking tatsächlich helfen.

Grundlegende Absicherung, die sich immer lohnt

Unabhängig davon, wie wahrscheinlich ein gezielter Angriff im Einzelfall ist, zahlen sich ein paar Grundmaßnahmen unabhängig von der tatsächlichen Ursache aus – sie verkürzen die Zeit bis zur richtigen Diagnose und begrenzen den Schaden, falls doch einmal etwas passiert.

Diese Maßnahmen sind kein Sonderprogramm gegen negative SEO. Es ist im Kern solide technische und organisatorische Hygiene, die zufällig auch die seltenen echten Angriffe schneller sichtbar macht – während sie im Alltag vor allem dabei hilft, die deutlich häufigeren hausgemachten Probleme früher zu erkennen.

• Regelmäßiges Monitoring von Sichtbarkeit und Rankings auf Seiten- statt nur auf Domainebene, damit ein isolierter Einbruch früh auffällt.
• CMS, Plugins, Themes und Server-Software konsequent aktuell halten – die meisten erfolgreichen Hacks nutzen bekannte, ungepatchte Lücken und keine raffinierten neuen Angriffe.
• Alerts für Content-Diebstahl einrichten, etwa über eine Duplicate-Content-Erkennung, damit eine Kopie auffällt, bevor sie im Ranking Fahrt aufnimmt.
• Markenerwähnungen im Web beobachten, um gefälschte Bewertungswellen oder ungewöhnliche Linkaktivität rund um den eigenen Markennamen frühzeitig zu bemerken.
• Zugänge zu CMS, Hosting und Domain-Verwaltung mit Zwei-Faktor-Authentifizierung absichern und Nutzerrechte regelmäßig aufräumen.
• Einen klaren internen Ablauf für den Ernstfall festlegen: wer im Team informiert wird, wer Zugänge sperrt und wer die Kommunikation übernimmt, falls sich ein Hack tatsächlich bestätigt.