Cloaking

Auch: User-Agent-Cloaking, IP-Cloaking, Content Cloaking

Beim Cloaking entscheidet der Server, wer anfragt, bevor er antwortet. Kommt die Anfrage von einem Suchmaschinen-Crawler, liefert er eine Fassung, kommt sie von einem Menschen, eine andere. Der Name stammt vom englischen „cloak“, Umhang: Die eigentliche Seite wird vor der Suchmaschine verhüllt oder umgekehrt.

Google zählt Cloaking zu den Spamtechniken, die zu einem niedrigeren Ranking oder zum Ausschluss aus den Suchergebnissen führen können. Dieser Eintrag erklärt die Technik, Googles Wortlaut, die erlaubten Ausnahmen und die Formen, die im Linkbuilding vorkommen.

Wie Cloaking technisch funktioniert

Jede Anfrage an einen Server bringt Merkmale mit, an denen sich der Absender grob erkennen lässt. Cloaking wertet eines oder mehrere davon aus und schaltet je nach Ergebnis auf eine andere Fassung der Seite um:

Merkmal	Was der Server prüft	Typischer Missbrauch
User-Agent	die Kennung des abrufenden Programms, etwa „Googlebot“	Keyword-Text nur für Crawler
IP-Adresse	ob die Anfrage aus einem Adressbereich von Google stammt	Prüfer mit gefälschtem User-Agent sehen die normale Seite
Referrer	ob der Besucher von einer Google-Ergebnisseite kommt	nur Suchbesucher auf eine Spamseite umleiten
Gerät und Sprache	Mobilgerät, Browser, Spracheinstellung	Mobilnutzer auf eine fremde Domain schicken

Weil jedes Programm seinen User-Agent frei setzen kann, prüfen ernsthafte Cloaking-Skripte meist die IP-Adresse. Dieselbe Erkennung nutzen seriöse Websites in umgekehrter Absicht: Google beschreibt, wie man echte Google-Crawler per DNS-Abfrage von Fälschungen unterscheidet, etwa um einen Bot-Schutz richtig einzustellen (Google: Anfragen von Google-Crawlern bestätigen). Das Erkennen ist also nicht das Problem, sondern was der Server danach ausliefert.

Was Googles Spamrichtlinien wörtlich sagen

Google definiert: „Mit Cloaking bezeichnet man ein Verfahren, bei dem für menschliche Nutzer andere Inhalte als für Suchmaschinen zur Verfügung gestellt werden. Dadurch sollen Suchrankings manipuliert und Nutzer getäuscht werden.“ (Google: Spamrichtlinien, Abschnitt Cloaking). Als Beispiele nennt die Richtlinie:

• „Suchmaschinen wird eine Seite mit Reisezielen präsentiert, während Nutzern eine Seite mit Informationen zu vergünstigten Arzneimitteln angezeigt wird.“
• „In eine Seite werden nur dann Text oder Keywords eingefügt, wenn es sich bei dem User-Agent, der die Seite anfordert, um eine Suchmaschine und nicht um einen Besucher handelt.“

Zwei weitere Sätze aus demselben Abschnitt sind für die Praxis wichtig. Hacker setzen Cloaking häufig ein, „damit der Websiteinhaber den Angriff nicht sofort bemerkt“. Und eine Paywall gilt nicht als Cloaking, „solange Google den gesamten Inhalt hinter der Paywall sehen kann“; dazu kommen die Regeln für flexible Probeinhalte.

Eng verwandt ist die Richtlinie zu irreführenden Weiterleitungen, die Nutzern und Suchmaschinen über eine Umleitung unterschiedliche Inhalte zeigen. Im Search-Console-Bericht „Manuelle Maßnahmen“ führt Google beides unter einer Überschrift: „Cloaking und/oder irreführende Weiterleitungen“, dazu gesondert „Bilder-Cloaking“ (Search-Console-Hilfe: Bericht zu manuellen Maßnahmen). Was eine solche manuelle Maßnahme bedeutet, erklärt ein eigener Eintrag. Von Doorway Pages unterscheidet sich Cloaking im Ansatz: Dort entstehen viele Seiten für Suchanfragen, hier zwei Fassungen derselben Seite.

Wo Cloaking nicht anfängt: erlaubte Unterschiede

Nicht jede Abweichung zwischen Bot- und Nutzeransicht ist Cloaking. Entscheidend ist, ob beide im Kern denselben Inhalt bekommen. Google nennt selbst mehrere Fälle:

• Dynamisches Rendering: Ein Server liefert Crawlern eine fertig gerenderte Fassung, Nutzern die JavaScript-Version. Laut Google betrachtet der Googlebot das „normalerweise nicht als Cloaking“, solange ähnliche Inhalte entstehen. Empfohlen wird das Verfahren aber nicht mehr, Google nennt es eine Behelfslösung (Google: Dynamisches Rendering als Behelfslösung).
• Paywall und Registrierung: zulässig, wenn Google den vollen Inhalt sehen kann und die Seite mit strukturierten Daten für Paywall-Inhalte ausgezeichnet ist.
• Akkordeons, Tabs, Schieberegler: Inhalte, die erst auf Klick erscheinen, verstoßen laut Google nicht gegen die Richtlinie zu verborgenem Text. Cloaking sind sie ebenfalls nicht, weil Bot und Mensch denselben Code erhalten.
• A/B-Tests: zulässig, solange der Googlebot keine Sonderbehandlung bekommt. Google schreibt in seiner Anleitung zu Website-Tests ausdrücklich: kein Cloaking auf Testseiten.
• Anpassung nach Land oder Sprache: Maßstab ist auch hier die Gleichbehandlung. Der Crawler sollte bekommen, was ein Nutzer aus demselben Land bekäme. Sauberer als automatische Weiterleitungen sind getrennte Sprachfassungen mit hreflang.

Die Faustregel daraus: Unterschiede in Darstellung und Technik sind erlaubt, Unterschiede im Inhalt nicht. Wer einem Crawler etwas zeigt, das kein Mensch auf der Seite zu sehen bekommt, ist beim Cloaking angekommen.

Cloaking im Linkbuilding: Links, die nur der Crawler sieht

Im Linkbereich taucht Cloaking in drei Formen auf, die man auseinanderhalten sollte.

Eingeschleuste Links auf gehackten Websites

Angreifer setzen Links zu Glücksspiel-, Arznei- oder Kreditseiten in fremde Websites, oft nur in der Fassung für Crawler. Google nennt bei gehackten Inhalten ausdrücklich verborgene Links und „komplexere Änderungen wie Cloaking“. Für den Betreiber ist das tückisch: Im Browser sieht die Seite normal aus, das Problem fällt erst über fremde Suchanfragen in der Search Console oder eine Meldung von Google auf.

Netzwerke, die sich vor Backlink-Tools verstecken

Manche Linknetzwerke sperren die Crawler von Backlink-Tools per robots.txt oder Server-Regel aus, damit Wettbewerber ihre Links nicht sehen. Cloaking im Sinne Googles ist das nicht, solange Google und Besucher dasselbe sehen. Für sich genommen beweist es auch nichts, viele Websites sperren solche Crawler schlicht aus Lastgründen. Zusammen mit anderen Spuren gehört es aber zu den Mustern, die man Footprint nennt.

„Link-Cloaking“ bei Affiliate-Links

In der Affiliate-Szene meint Link-Cloaking etwas ganz anderes: Lange Partner-URLs werden hinter kurzen eigenen Adressen wie /go/produkt versteckt, die weiterleiten. Das ist kein Cloaking im Sinne der Spamrichtlinien, solange jeder Aufruf gleich weitergeleitet wird. Wie solche Links auszuzeichnen sind, steht im Eintrag Affiliate-Link.

Cloaking auf der eigenen Website aufspüren

Für die manuelle Maßnahme beschreibt Google ein klares Vorgehen: betroffene Seiten im URL-Prüftool der Search Console abrufen, die Google-Fassung mit der Ansicht im Browser vergleichen und nach Weiterleitungen suchen, die nur manche Nutzer treffen, etwa nur Besucher aus der Google-Suche oder von bestimmten IP-Adressen. Ergänzend helfen diese Schritte:

1. Leistungsbericht lesen: Tauchen in der Search Console Suchanfragen auf, die nichts mit Ihrem Angebot zu tun haben, etwa zu Arzneimitteln oder Glücksspiel, ist das ein typisches Zeichen für eingeschleuste Inhalte.
2. Index stichprobenhaft prüfen: Eine Suche nach site:ihredomain.de casino oder mit ähnlichen Begriffen zeigt, ob Google Seiten kennt, die Sie nicht angelegt haben.
3. Fremde Seiten gegenprüfen: Der Test für Rich-Suchergebnisse ruft auch fremde öffentliche URLs ab, wahlweise als Smartphone oder Computer, und zeigt den gerenderten Code. Weicht er deutlich von dem ab, was Sie im Browser sehen, lohnt ein genauerer Blick, etwa bei einem gekauften Beitrag.
4. Weiterleitungen nachverfolgen: Eine URL einmal direkt und einmal per Klick aus der Google-Suche aufrufen; Ketten zeigt der Redirect-Checker.
5. Server und Plugins prüfen: Cloaking steckt meist in Server-Regeln wie der .htaccess, in Plugins oder in eingeschleustem Code. Nach dem Fund Zugangsdaten ändern und die Lücke schließen.

Liegt eine manuelle Maßnahme vor, beantragen Sie nach der Bereinigung im selben Bericht die Überprüfung. Wie ein solcher Antrag aufgebaut ist, zeigt der Ratgeber Manuelle Maßnahme aufheben am Beispiel gekaufter Links.

Beispiel: der Shop mit dem Text nur für Google

Ein konstruiertes Beispiel: Ein Onlineshop für Arbeitsschuhe lässt seine Kategorieseiten von einem Dienstleister „suchmaschinenoptimieren“. Das dabei installierte Plugin prüft den User-Agent und blendet für Crawler unter jeder Kategorie 600 Wörter Text mit Suchbegriffen ein. Besucher sehen nur das Produktraster.

Monate später meldet die Search Console eine manuelle Maßnahme wegen Cloaking. Der Vergleich im URL-Prüftool zeigt den Text, der im Browser fehlt. Die Lösung ist schlicht: Plugin entfernen und die Texte, wo sie Käufern helfen, für alle sichtbar unter das Raster setzen. Danach folgt der Antrag auf Überprüfung mit einer kurzen Beschreibung, was entfernt wurde.

Die Lehre: Wer Dienstleister mit Suchmaschinenoptimierung beauftragt, sollte sich zeigen lassen, was für Crawler ausgeliefert wird. Ein Text, den Sie auf Ihrer eigenen Seite nicht finden, gehört nicht dorthin. Wo die Grenze zwischen erlaubten und unerlaubten Methoden verläuft, ordnet White-Hat- und Black-Hat-SEO ein.

Häufige Fragen

Alle 327 Begriffe im Glossar