Glücksspiel-Spam auf der Website einer Schule, Hochschule oder Behörde: erkennen, bereinigen und melden

Von Mohammad Hilmi Bisri, S.Kom.. Veröffentlicht am 12. Oktober 2026.

In viele Websites von Schulen, Hochschulen und Behörden haben Hacker Seiten oder Links für illegales Online-Glücksspiel eingeschleust. Die Angreifer dringen über eine Sicherheitslücke ein und legen dann neue Seiten an oder fügen Links in bestehende Seiten ein. Diese eingeschleusten Inhalte erscheinen oft nur bei Google, sodass die Verantwortlichen sie nicht sehen, wenn sie die Website selbst öffnen.

Das Ministerium für Kommunikation und Digitales (Kementerian Komunikasi dan Digital, kurz Komdigi) hat von Januar 2022 bis Mai 2026 86.826 Seitenadressen (URLs) auf Websites staatlicher Stellen erfasst, in die Glücksspielinhalte eingeschleust worden waren. 75.136 davon wurden bereits entfernt, am 19. Mai 2026 waren aber noch 767 URLs aktiv.

Anzeichen für eine gehackte Website

• Geben Sie in das Google-Suchfeld site: und direkt dahinter die Adresse Ihrer Website ein (ohne Leerzeichen und ohne https://). Das Ergebnis zeigt die Seiten Ihrer Website, die bei Google erfasst sind, einschließlich der Seiten, die die Angreifer hinzugefügt haben. Ein deutliches Zeichen sind Titel oder Beschreibungen mit Begriffen aus dem Glücksspiel oder Seitenadressen, die Sie nie angelegt haben.
• Eine Seite, die bei Google Glücksspielinhalte zeigt, sieht normal aus oder meldet „nicht gefunden“, wenn Sie sie selbst öffnen. Diese Technik heißt Cloaking (Verschleierung): Google und die Besucher bekommen unterschiedliche Inhalte zu sehen. Die Funktion URL-Prüfung in der Google Search Console (einem kostenlosen Dienst von Google für Website-Betreiber) zeigt die Seite so, wie Google sie sieht.
• Der Bericht zu Sicherheitsproblemen in der Search Console zeigt Befunde wie „Gehackt: Einschleusung von Inhalten“ (Spam-Links oder Spam-Texte wurden Ihren Seiten hinzugefügt) oder „Gehackt: Einschleusung von URLs“ (die Angreifer haben neue Seiten angelegt). Betroffene Seiten können in den Suchergebnissen einen Warnhinweis erhalten.
• In Ihrem CMS (dem System zur Verwaltung der Website-Inhalte, etwa WordPress) gibt es ein Administratorkonto, das Sie nicht kennen. Prüfen Sie in der Search Console auch das Menü Einstellungen und dort Nutzer und Berechtigungen. Angreifer können sich dort als Inhaber eintragen und Einstellungen ändern.
• Betreiber von Regierungswebsites erhalten von Komdigi eine E-Mail über Glücksspielinhalte, die in ihre Website eingeschleust wurden.

Wem Sie den Vorfall melden

Wer eine Website betreibt, ist Betreiber eines elektronischen Systems (penyelenggara sistem elektronik) im Sinne der Regierungsverordnung (Peraturan Pemerintah, PP) Nr. 71/2019 über den Betrieb elektronischer Systeme und Transaktionen. Kommt es durch Handlungen Dritter zu einem Ausfall oder einer Störung des Systems mit schwerwiegenden Folgen, muss der Betreiber seine elektronischen Informationen und Dokumente sichern und den Vorfall bei erster Gelegenheit den Strafverfolgungsbehörden sowie dem zuständigen Ministerium oder der zuständigen Behörde melden (Art. 24 Abs. 3).

• Das Pusat Kontak Siber (Kontaktzentrum für Cybervorfälle) der BSSN (Badan Siber dan Sandi Negara, die nationale Behörde für Cybersicherheit und Kryptografie) nimmt Meldungen über Cybervorfälle von Bürgern, staatlichen Stellen und Unternehmen entgegen, auch über gehackte Websites. Die Meldewege sind die E-Mail-Adresse bantuan70@bssn.go.id, WhatsApp oder Telefon unter 0811-1065-2018, die Sondernummer 183 und das Portal aduansiber.bssn.go.id. Halten Sie ein Foto Ihres Ausweises, das Dienstleistungsformular und eine Beschreibung des betroffenen Systems bereit. Die BSSN prüft die Voraussetzungen spätestens 24 Stunden nach Eingang der Unterlagen und liefert spätestens 72 Stunden, nachdem die Meldung als gültig bestätigt wurde, ein erstes Analyseergebnis.
• Behörden der Regionalverwaltung sollten außerdem das CSIRT (Notfallteam für Cybervorfälle) ihrer Regionalverwaltung informieren. Im Regierungsbezirk Jombang zum Beispiel leitet der Leiter der Dienststelle für Kommunikation und Informatik das JombangKab-CSIRT. Bei Vorfällen, die es nicht selbst bewältigen kann, kann es sich mit dem CSIRT der Provinz Ostjava und dem Gov-CSIRT der BSSN abstimmen. Das Gov-CSIRT ist das Notfallteam der BSSN für staatliche Stellen und unterstützt die CSIRTs der Zentralregierung und der Regionen.
• Websites mit der Domain .go.id: Informieren Sie die Verwaltung der Behörden-Domains bei Komdigi über helpdeskdomain@mail.komdigi.go.id.
• Glücksspielseiten, auf die die eingeschleusten Links verweisen, können Sie über aduankonten.id (externe Website) melden, die Meldestelle von Komdigi.

Hatten die Angreifer Zugriff auf personenbezogene Daten, etwa Daten von Schülern oder Bürgern, gelten zusätzlich die Benachrichtigungspflichten des Datenschutzgesetzes (UU Pelindungan Data Pribadi, kurz UU PDP). Mehr dazu im Artikel UU PDP für Dörfer, Schulen und Behörden.

So bereinigen Sie die Website

1. Sichern Sie den Zugang. Nehmen Sie die Website vorübergehend vom Netz, indem Sie zum Beispiel Ihren Hosting-Anbieter bitten, eine Wartungsseite außerhalb des infizierten Ordners anzuzeigen. Laut Google wirkt sich eine vorübergehende Abschaltung während der Wiederherstellung kaum auf das Ranking in den Suchergebnissen aus. Notieren und löschen Sie fremde Konten, und ändern Sie die Passwörter aller Konten der Website.
2. Erstellen Sie eine Kopie des aktuellen Zustands der Website und kennzeichnen Sie sie als „infiziert“. Diese Kopie dient nur zur Absicherung, falls beim Bereinigen Inhalte mitgelöscht werden.
3. Suchen Sie die Quelle der eingeschleusten Inhalte. Prüfen Sie die Datei .htaccess (eine Konfigurationsdatei des Servers). Die Anleitung von Google beschreibt eine Art von Hack, der mit dieser Datei automatisch Spam-Seiten erzeugt, indem er auf PHP-Dateien mit zufälligen Namen verweist. Prüfen Sie auch den Inhalt der Datenbank, die Plugins und Themes sowie die Zugriffsprotokolle des Servers (Logs), um festzustellen, wann die Angreifer zum ersten Mal eingedrungen sind. Scannen Sie die Computer der Administratoren mit einem Virenschutzprogramm, denn Spähsoftware auf diesen Computern kann Passwörter aufzeichnen.
4. Stellen Sie die Website aus einer sauberen Sicherung wieder her, also aus einer Sicherung, die vor dem Angriff erstellt wurde. Das Datum des ersten Eindringens aus Schritt 3 hilft bei der Auswahl.
5. Aktualisieren Sie CMS, Plugins und Themes auf die neueste Version. Google empfiehlt eine saubere Neuinstallation, weil bei einer normalen Aktualisierung alte infizierte Dateien zurückbleiben können. Löschen Sie alle Dateien von Plugins oder Themes, die Sie nicht nutzen. Es reicht nicht, sie nur zu deaktivieren.
6. Schließen Sie die Lücke, über die die Angreifer eingedrungen sind, und ändern Sie danach noch einmal alle Passwörter: CMS-Administrator, Hosting-Panel, FTP (der Zugang zum Hochladen von Dateien) und Datenbank.
7. Richten Sie die von den Angreifern angelegten Seiten so ein, dass sie den Code 404 (Seite nicht gefunden) liefern. Diese Seiten verschwinden mit der Zeit aus Google. Um das zu beschleunigen, nutzen Sie das Tool zum Entfernen von URLs in der Search Console, aber nur für Seiten, die Sie wirklich nicht mehr verwenden werden.

HanzCodes übernimmt die Bereinigung von eingeschleustem Glücksspiel-Spam. Einzelheiten finden Sie auf der Seite Website-Reparatur.

Erneute Überprüfung bei Google beantragen

Beantragen Sie die Überprüfung erst, wenn Ihre Inhaberschaft der Website in der Search Console bestätigt ist, die eingeschleusten Inhalte entfernt sind, die Lücke geschlossen ist und die Website wieder online ist. Achten Sie darauf, dass die Seiten nicht für Google gesperrt sind, etwa durch robots.txt oder ein noindex-Tag.

1. Öffnen Sie den Bericht zu Sicherheitsproblemen in der Search Console.
2. Vergewissern Sie sich, dass alle aufgeführten Probleme auf der gesamten Website behoben sind. Es reicht nicht, nur einen Teil der Seiten zu reparieren.
3. Wählen Sie Überprüfung beantragen. Beschreiben Sie das Problem, die Schritte, die Sie zur Behebung unternommen haben, und das Ergebnis. Ein Beispiel aus der Anleitung von Google: Bei URLs mit eingeschleusten Inhalten wurde der Spam entfernt und die Lücke durch die Aktualisierung eines veralteten Plugins geschlossen.

Laut Google dauern die meisten Überprüfungen einige Tage bis einige Wochen. Bei Websites, die mit Spam gehackt wurden, kann eine manuelle Prüfung dazugehören. Senden Sie keinen neuen Antrag, bevor die endgültige Entscheidung vorliegt. Ein Antrag, der gestellt wird, bevor das Problem wirklich behoben ist, kann die nächste Überprüfung verlängern oder dazu führen, dass die Website als Wiederholungstäter eingestuft wird.

So verhindern Sie eine Wiederholung

• Erstellen Sie regelmäßig automatische Sicherungen von Dateien, Datenbank und Bildern.
• Aktualisieren Sie CMS, Plugins und Themes regelmäßig. Installieren Sie keine kostenlosen Versionen kostenpflichtiger Plugins oder Themes, die von zweifelhaften Websites stammen. Laut Google ist das ein häufiger Weg, um Schadcode einzuschleusen.
• Verwenden Sie für jedes Konto ein starkes, eigenes Passwort, und aktivieren Sie die Bestätigung in zwei Schritten (ein zusätzlicher Code bei der Anmeldung, etwa per Smartphone).
• Geben Sie Administratorrechte nur den Mitarbeitenden, die sie brauchen, mit einem eigenen Konto für jede Person. Löschen Sie die Konten von Mitarbeitenden, die eine andere Aufgabe übernommen haben.
• Halten Sie Betriebssystem und Browser auf den Computern, mit denen die Website verwaltet wird, immer auf dem neuesten Stand.
• Prüfen Sie regelmäßig die Suchergebnisse für site: und den Bericht zu Sicherheitsproblemen. Achten Sie darauf, dass die E-Mail-Adressen der Verantwortlichen in der Search Console und bei der Domainregistrierung noch aktiv sind, damit Benachrichtigungen von Google oder Komdigi gelesen werden.
• Staatliche Stellen können bei der BSSN kostenlos und im Rahmen des verfügbaren Kontingents eine Sicherheitsprüfung ITSA (Information Technology Security Assessment) anfordern. Dabei sucht die BSSN nach Lücken und gibt Empfehlungen zur Behebung. Der Antrag geht an itsa@bssn.go.id.

Dieser Artikel ist eine Zusammenfassung und keine Rechtsberatung. Für konkrete Entscheidungen ziehen Sie bitte den Text der PP 71/2019 in der Rechtsdatenbank JDIH des BPK (externe Website) heran und wenden Sie sich an die zuständigen Stellen, etwa die Dienststelle für Kommunikation und Informatik, das regionale CSIRT oder die BSSN.