Was ist Cloaking?
Cloaking (von englisch cloak, Umhang) bezeichnet die Praxis, Suchmaschinen-Crawlern absichtlich andere Inhalte auszuliefern als menschlichen Besuchern. Der Crawler sieht eine für Rankings optimierte Seite, der Nutzer etwas völlig anderes.
Google führt Cloaking ausdrücklich als Spam-Praktik in den eigenen Richtlinien für die Websuche. Der Grund ist naheliegend: Die Suchmaschine bewertet eine Seite, die es für Nutzer nicht gibt. Damit verliert das Ranking seine Grundlage.
Historisch war Cloaking eine der bekannteren Black-Hat-Techniken. Heute ist es überwiegend aus zwei Gründen relevant: als Risiko bei Schadprogramm-Befall oder gekauften Domains — und, weit häufiger, als unabsichtlicher technischer Fehler.
Typische Varianten
User-Agent-Cloaking. Der Server prüft den User-Agent des Aufrufs und liefert Googlebot etwas anderes aus als einem Browser. Die klassische, plumpe Variante.
IP-basiertes Cloaking (IP Delivery). Statt am User-Agent wird an der IP-Adresse erkannt, ob der Zugriff von einem Suchmaschinen-Rechenzentrum kommt. Schwerer zu entdecken, weil ein einfacher User-Agent-Wechsel nichts zeigt.
JavaScript-Cloaking. Der ausgelieferte HTML-Code enthält Inhalte, die per JavaScript nach dem Laden ausgetauscht oder ausgeblendet werden. Der Crawler bewertet im Zweifel den Rohtext, der Nutzer sieht die ersetzte Version.
Versteckter Text. Keywords in weißer Schrift auf weißem Grund, mit display: none ausgeblendet, hinter Bildern positioniert oder auf 0 Pixel skaliert. Formal eine eigene Kategorie, in der Wirkung dasselbe Prinzip: Inhalte für die Maschine, nicht für den Menschen.
Doorway-Konstruktionen. Massenhaft erzeugte Einstiegsseiten, etwa je Stadt oder Keyword, die Nutzer sofort auf eine andere Seite weiterleiten. Auch dies ist in den Google-Richtlinien eigenständig beschrieben, tritt aber häufig gemeinsam mit Cloaking auf.
Was ausdrücklich kein Cloaking ist
Diese Abgrenzung ist der praktisch wichtigste Teil — sehr viele legitime Techniken liefern unterschiedliche Inhalte aus, ohne gegen Richtlinien zu verstoßen:
- Länder- und Sprachversionen. Nutzer aus Österreich eine andere Version zu zeigen als Nutzern aus Deutschland ist zulässig, solange Crawler wie Nutzer aus derselben Region dasselbe sehen und die Varianten korrekt ausgezeichnet sind. Die Mechanik dahinter beschreibt der Beitrag zum Geo-Targeting.
- Personalisierung für eingeloggte Nutzer. Ein Kundenbereich, der individuelle Daten zeigt, ist kein Cloaking. Der Crawler sieht denselben öffentlichen Zustand wie ein nicht eingeloggter Besucher.
- A/B-Tests. Verschiedene Varianten derselben Seite zu testen ist üblich und erlaubt — solange die Varianten inhaltlich gleichwertig sind, der Test zeitlich begrenzt ist und Crawler nicht systematisch anders behandelt werden. Die Grundlagen stehen im Beitrag zum A/B-Testing.
- Paywalls. Bezahlinhalte dürfen für Nutzer eingeschränkt werden, wenn dies mit den vorgesehenen strukturierten Daten korrekt gekennzeichnet ist. Ohne diese Auszeichnung wird daraus schnell ein Problem.
- Dynamic Rendering. Crawlern eine serverseitig gerenderte Fassung derselben Seite auszuliefern ist eine legitime Antwort auf JavaScript-Probleme — Voraussetzung ist, dass der Inhalt identisch ist. Details im Beitrag zu JavaScript-SEO.
Die Trennlinie lautet also nicht “unterschiedliche Auslieferung ja/nein”, sondern: Sehen Crawler und Nutzer im Kern denselben Inhalt — oder wird getäuscht?
Der häufigere Fall: unabsichtliches Cloaking
In der Praxis begegnet uns Cloaking fast nie als Manipulationsversuch, sondern als technischer Nebeneffekt. Die typischen Ursachen:
Bot-Schutz und Firewalls. Eine Web Application Firewall oder ein Anti-Bot-Dienst stuft den Googlebot als verdächtig ein und liefert ihm eine Fehlerseite, eine Prüfseite oder eine reduzierte Fassung aus. Nutzer sehen die vollständige Seite. Für Google ist die Seite damit faktisch inhaltsleer.
JavaScript-Rendering-Fehler. Der Hauptinhalt wird erst clientseitig geladen und ist im initialen HTML nicht vorhanden. Schlägt das Rendering fehl oder dauert zu lange, bewertet Google eine leere Seite.
Caching-Schichten. Ein CDN oder Server-Cache liefert veraltete oder für andere Regionen erzeugte Fassungen aus, während Nutzer über einen anderen Pfad die aktuelle Version sehen.
Geo-Weiterleitungen ohne Crawler-Ausnahme. Wenn alle Besucher anhand ihrer IP automatisch umgeleitet werden, landet der Googlebot immer in derselben Version — und kann die übrigen nie indexieren.
Kompromittierte Website. Bei Schadcode-Befall wird häufig genau diese Technik eingesetzt: Nutzer sehen die normale Seite, Crawler bekommen Spam-Inhalte. Ein plötzlicher Einbruch bei gleichzeitig auffälligen Suchergebnissen für die eigene Domain ist ein deutliches Warnsignal.
So prüfst du deine Website
- URL-Prüfung in der Google Search Console. Sie zeigt sowohl das abgerufene HTML als auch den gerenderten Zustand, den Google sieht. Weicht das deutlich vom Browser ab, hast du einen Befund.
- Abruf mit Googlebot-User-Agent. In den Entwicklertools des Browsers lässt sich der User-Agent umschalten. Unterschiede sind ein erster Hinweis — echtes IP-Cloaking bleibt so allerdings unentdeckt.
- Cache und Live-Ansicht vergleichen. Weicht die von Google gespeicherte Fassung stark vom aktuellen Inhalt ab, lohnt die Ursachensuche.
- Serverseitige Regeln durchsehen. Prüfe Weiterleitungsregeln, Firewall-Konfiguration, CDN-Einstellungen und User-Agent-Bedingungen auf unbeabsichtigte Sonderbehandlung von Crawlern.
- Manuelle Maßnahmen prüfen. In der Search Console findest du unter den Sicherheits- und manuellen Maßnahmen, ob Google bereits eingegriffen hat.
Diese Prüfungen gehören für uns zum Standardumfang eines technischen Audits — sie finden nicht nur Cloaking, sondern häufig auch Indexierungsprobleme, die niemandem aufgefallen sind. Was dabei sonst noch geprüft wird, steht im Beitrag zum technischen SEO und auf unserer Seite zum SEO-Audit.
Wenn es passiert ist
Bei einer manuellen Maßnahme ist die Reihenfolge klar: erst die Ursache vollständig beseitigen, dann in der Search Console eine erneute Überprüfung beantragen. Der Antrag sollte offen darlegen, was die Ursache war, was geändert wurde und wie eine Wiederholung verhindert wird. Halbe Korrekturen verlängern das Verfahren nur.
Wichtig für die Erwartungshaltung: Die Bearbeitung dauert typischerweise mehrere Wochen, und selbst nach erfolgreicher Aufhebung stellt sich die alte Position nicht automatisch wieder ein.
Fazit
Cloaking als Strategie ist heute wirtschaftlich unsinnig: Das Risiko — bis zur Deindexierung der gesamten Domain — steht in keinem Verhältnis zu einem kurzfristigen Ranking-Effekt. Praktisch relevant ist Cloaking deshalb vor allem als Diagnose-Kategorie: Immer dann, wenn Google offenkundig etwas anderes sieht als deine Besucher, ist genau das die Frage, die zuerst gestellt werden muss.
Wenn du unsicher bist, ob deine Website betroffen ist — etwa weil Rankings ohne erkennbaren Grund eingebrochen sind —, ist eine technische Prüfung der schnellste Weg zur Klarheit. Wir machen das im Rahmen der SEO-Beratung und der laufenden SEO-Betreuung.
