Back Button Hijacking erkennen: Ein Leitfaden für technische SEO-Audits

Eine Seite, die Besucher einfängt, war früher ein UX-Problem. Nun ist es ein Spam-Verstoss. Google hat Back Button Hijacking in seine Richtlinie für schädliche Praktiken aufgenommen, und das verändert, was ein technisches SEO-Audit prüfen muss. Wenn Ihr Crawl-Prozess das immer noch als Randfall für das Sicherheitsteam behandelt, gehört es auf die Standard-Checkliste.

Dieser Leitfaden erklärt, was die Richtlinie tatsächlich adressiert, warum die meisten Crawler das Problem überhaupt nicht sehen, und wie man es systematisch auf Seiten mit Tausenden von URLs prüft - ohne für eine JS-Rendering-Erweiterung zu bezahlen.

Was Googles Richtlinie zu schädlichen Praktiken jetzt umfasst

Back Button Hijacking ist eine Manipulation der Browser-History. Eine Seite lädt und statt den Nutzer zurück zur Suchergebnis- oder Ausgangsseite zu lassen, greift die Seite in diesen Vorgang ein. Der Nutzer wird erneut nach vorn gedrängt, häufig auf eine Werbung, einen Zwischenbildschirm oder eine minderwertige Seite, die er nie aufrufen wollte.

Google behandelte das früher hauptsächlich als ein Signale für die Nutzererfahrung, das in breiteren Qualitätsbewertungen unterging. Die explizite Aufnahme in die Kategorie schädlicher Praktiken stellt es neben irreführende Weiterleitungen und Cloaking. Das ist ein meaningful shift: Es ist nicht mehr nur „störend”, sondern klassifizierbar - und Klassifizierung bedeutet, dass es allein eine manuelle Aktion oder eine algorithmische Abwertung auslösen kann.

Für Seitenbetreiber heisst das: Die alte Ausrede „Das macht nur das Werbenetzwerk, nicht wir” greift nicht mehr. Wenn das Verhalten auf Ihrem Domain auftritt, ist es Ihr Richtlinienverstoss, den Sie beheben müssen - egal welches Drittanbieter-Skript dafür verantwortlich ist. Ein typisches Beispiel: Ein Nachrichtenportal bindet einen Video-Player eines Drittanbieters ein, und dessen Werbe-Wrapper überschreibt beim Laden die History. Das Portal hat diesen Code nie geschrieben, aber der Verstoss landet trotzdem im Search Console-Bericht des Portals. Werbenetzwerk, fehlerkonfigurierte Single-Page-App-Routen und aggressive Retention-Skripte sind die üblichen Verdächtigen - alle drei liefern dieses Verhalten über clientseitiges JavaScript aus.

Warum die meisten Crawler das Problem komplett übersehen

Der Mechanismus hinter Back Button Hijacking läuft fast immer über die History API des Browsers, konkret über history.pushState() und history.replaceState(). Diese Funktionen erlauben es einer Seite, die Sitzungs-History des Browsers umzuschreiben, ohne ein vollständiges Seitenreload auszulösen. Korrekt eingesetzt ermöglichen sie moderne Single-Page-App-Navigation. Für schädliche Zwecke werden damit gefälschte History-Einträge eingefügt, sodass ein Klick auf Zurück den Nutzer nicht dorthin bringt, wo er erwartet hat.

Das Audit-Problem: Diese Manipulation findet vollständig in JavaScript statt, nachdem das initiale HTML geladen wurde. Ein Crawler, der nur das rohe HTML abruft, führt das Skript nie aus, sieht die pushState-Aufrufe nicht und meldet die Seite als einwandfrei. Ein kompletter Site-Crawl kann null Fehler ergeben, und trotzdem liegt ein Richtlinienverstoss vor, den Googles eigene Systeme erkennen - weil Google Seiten wie ein Browser rendert.

Genau diese Lücke war der Grund, warum JavaScript Rendering in den meisten Crawler-Preismodellen ein Premium-Feature ist. Die Anbieter wissen, dass Rendering im Grossmass aufwendig ist, und rechnen es ab - entweder über eine URL-Obergrenze oder durch Einschluss hinter einem kostenpflichtigen Plan. Dieses Preismodell erzeugt eine blinde Stelle für jeden, der eine grosse Seite im Gratis-Tarif auditiert: Statische HTML-Ergebnisse und ein falsches Sicherheitsgefühl. Für eine Analyse, wie Crawler-Preismodelle diesen Tradeoff handhaben, siehe den Vergleich von Screaming-Frog-Alternativen, der aufschlüsselt, wo JS-Rendering bei gängigen Tools eingeschränkt wird.

Seodisias rendert JavaScript im Gratis-Tarif, ohne URL-Limit - dieses Problem zeigt sich also im Standard-Crawl, ohne einen separaten kostenpflichtigen Audit-Durchlauf.

Eine praktische Audit-Checkliste für Back Button Hijacking

Manuell die Dev-Tools zu öffnen und den History-Stack zu beobachten, funktioniert für eine Seite. Nicht aber für eine Seite mit Zehntausend URLs. Hier ist, was ein Audit prüfen muss und warum jeder Punkt relevant ist.

window.history.length beim Laden prüfen. Ein legitimer Seitenaufruf fügt typischerweise einen Eintrag zur History hinzu. Wenn eine Seite beim Laden - noch vor jeder Nutzerinteraktion - mehrere Einträge schiebt, ist das ein starkes Indiz für vorab geladene gefälschte History-Einträge, die einen späteren Zurück-Klick abfangen sollen.

Weiterleitungsskripte ohne Nutzerinteraktion markieren. Legitime pushState-Nutzung reagiert auf einen Klick, einen Tabwechsel, eine Formularübermittlung. Schädliche Nutzung löst oft einen Timer aus oder feuert sofort beim Laden. Ein gerendertes Crawl kann die Abfolge von History-Ereignissen erfassen, die mit einem Seitenaufruf zusammenhängen, gegenüber Ereignissen durch Nutzerinteraktion - der Unterschied ist das Erkennungsmerkmal.

Gerenderten DOM und Skriptquellen auf bekannte Pop-under- und Redirect-Muster durchsuchen. Werbenetzwerke, die dieses Verhalten einsetzen, nutzen oft wiedererkennbare Code-Muster über viele Seiten hinweg. Gerendertes Rendering erlaubt es, diese Muster in der tatsächlich ausgeführten Seite zu suchen - nicht nur in der statischen Quelle, da das problematische Skript häufig dynamisch injiziert wird.

Gegen Seiten mit hoher Werbedichte abgleichen. Back Button Hijacking korreliert stark mit aggressiven Monetarisierungs-Setups. Wenn ein Crawl-Ausschnitt zeigt, dass sich dieses Verhalten auf die Seiten eines bestimmten Werbenetzwerks oder eine bestimmte Vorlage konzentriert, ist das Ihre Behebungspriorität - kein Site-weiter Umbau.

Der Grund, warum das als Crawl und nicht als manuelle Stichprobe laufen muss, ist die Grösse. Ein Verleger oder E-Commerce-Anbieter mit Tausenden von Schablonenseiten kann das Problem in einer einzigen Werbeflächen-Variante haben, während der Rest sauber ist. Das finden Sie nicht, indem Sie zehn Seiten im Browser öffnen. Sie finden es, indem Sie die gesamte Seite rendern und das History-Verhalten über URL-Muster hinweg vergleichen.

Integration in den regelmässigen technischen SEO-Workflow

Dieser Check sollte keine einmalige Reaktion auf einen Richtlinien-Update-Zyklus sein. Er gehört in denselben wiederkehrenden Audit-Prozess, in dem Sie bereits defekte Weiterleitungen, fehlende Meta-Tags und Core-Web-Vitals-Rückschritte prüfen. Wenn Sie diesen regelmässigen Prozess formalisieren, ist die AI-SEO-Audit-Checkliste ein guter Ort, um Back Button Hijacking als festen Prüfpunkt aufzunehmen - neben den anderen strukturellen Checks, die nach jedem grossen Deploy erneut durchlaufen werden.

Es gibt auch ein datenschutztechnisches Argument, diesen Check lokal zu halten. Seiten mit sensiblen Werbevereinbarungen oder Vor-Release-Redesigns geben nicht immer crawldata ab der eigenen Maschine preis. Da Seodisias den Crawl lokal auf Windows, macOS oder Linux ausführt, bleiben die gerenderten Ergebnisse und markierten Skripte auf dem eigenen Rechner des Auditors und werden nicht über einen Drittanbieter-Cloud-Dienst geleitet. Für Agenturen, die Kundenseiten unter NDA prüfen, ist das kein Marginaldetail.

Alles das erfordert kein neues Tooling-Budget. Es erfordert, einen bestehenden Crawl auf das richtige Signal auszurichten: History-Stack-Verhalten beim Laden, korreliert mit Ihrem Werbe- und Skriptinventar, geprüft mit einem Renderer, der JavaScript tatsächlich ausführt, anstatt es zu überspringen.

Abschluss

Google hat hier keine neue technische Herausforderung erfunden, sondern eine alte umgestuft. Back Button Hijacking war möglich, seit die History API existiert; was sich geändert hat, ist, dass es nun ein direktes Richtlinienrisiko trägt und nicht nur Nutzerfrustration verursacht. Die Audit-Arbeit ist unkompliziert, sobald Sie einen Crawler haben, der JavaScript rendert, ohne diese Fähigkeit hinter einem kostenpflichtigen Tarif oder einer URL-Obergrenze zu verstecken.

Starten Sie einen kompletten Crawl Ihrer Seite mit aktiviertem JavaScript Rendering und prüfen Sie als Erstes das History-Verhalten auf Ihren werbeintensiven Schablonenseiten. Laden Sie Seodisias herunter und starten Sie noch heute dieses Audit - gratis, lokal, ohne URL-Limit.