Was ist Cloaking?

Cloaking heißt, Suchmaschinen einen anderen Inhalt zu zeigen als dem Besucher — mit der Absicht, Positionen in der SERP zu manipulieren und die Ankommenden zu täuschen. Dieser letzte Teil ist kein Beiwerk: Er steht in der Definition, die Google veröffentlicht, und er trennt eine verbotene Praxis von einem berechtigten Unterschied.

Die Beispiele, die Google nennt, sind eindeutig: der Suchmaschine eine Seite über Reiseziele zeigen, während der Nutzer eine über Medikamente sieht, oder Text und Suchbegriffe nur dann einfügen, wenn ein Crawler die Seite anfordert.

Es zählt zu den Spam-Praktiken, liegt also im Gebiet des Black Hat SEO, und kann Positionen kosten oder die Präsenz in den Ergebnissen ganz.

Der Umfang gehört vorab geklärt, denn der Begriff wird in zwei Richtungen falsch benutzt. Cloaking ist nicht, dass sich eine Seite mit der Zeit ändert, und auch nicht, dass zwei Menschen in verschiedenen Ländern Verschiedenes sehen. Was die Praxis ausmacht, ist das Paar: Suchmaschine auf der einen Seite, Nutzer auf der anderen, und ein absichtlich dazwischengesetzter Unterschied.

Es ist auch keine alte, verschwundene Technik. Sie taucht weiter auf, vor allem auf Websites, die Dritte übernommen haben: Wer über einen Verweis kommt, sieht Werbung für etwas anderes, während der Crawler weiter die richtige Seite bekommt — und der Betreiber merkt es wochenlang nicht, weil in seinem Browser alles normal aussieht.

Hier sitzt die Verwechslung, die grundlos die meiste Angst erzeugt. Viele Websites liefern Verschiedenes aus, je nachdem, wer fragt — und fast keiner dieser Unterschiede ist Cloaking.

Zum dynamischen Rendern sagt Google es unmissverständlich: Es gilt nicht als Cloaking, solange dabei ähnlicher Inhalt herauskommt. Und es fügt das Gegenteil ebenso klar hinzu: Es zu benutzen, um völlig anderen Inhalt auszuliefern, ist Cloaking.

Dasselbe gilt für alltägliche Fälle: eine Fehlerseite, eine an ein anderes Land angepasste Fassung, mit hreflang erklärt, ein Inhalt hinter einer Anmeldung. Keiner davon besteht, um zu täuschen, und deshalb fällt keiner unter die Definition — obwohl der Server in allen dreien etwas anderes ausliefert.

Ein dritter Fall verdient eine Erwähnung, weil er sehr ähnlich aussieht und keiner ist: die Personalisierung. Eine Website, die sich an frühere Käufe erinnert und andere Produkte auf die Startseite stellt, zeigt jedem Besucher etwas anderes — und auch etwas anderes als der Suchmaschine, die ohne Vorgeschichte ankommt. Nichts davon besteht, um zu täuschen.

Die praktische Regel daraus gilt für alle Fälle: Frage, ob das, was die Suchmaschine sieht, eine vernünftige Fassung dessen ist, was ein Mensch sehen wird. Könnte ein Besucher genau das zu sehen bekommen, liegt kein Cloaking vor; ist es eine Seite, die nie ein Mensch erhalten wird, schon. Im Index landet am Ende, was ausgeliefert wurde — deshalb zählt die Frage.

Technisch wird Cloaking auf zwei Arten gebaut: Man sieht sich die Programmkennung an, die die Seite anfordert, oder die IP-Adresse, von der die Anfrage kommt. In beiden Fällen entscheidet der Server vor dem Ausliefern, was er ausliefert.

Von außen zu erkennen ist es einfach und braucht keine teuren Werkzeuge: Fordere dieselbe URL zweimal an, einmal als Browser und einmal als Crawler ausgewiesen, und vergleiche. Ähneln sich die beiden Antworten nicht, hast du die Frage, die zu beantworten ist.

Was Google tatsächlich sieht, zeigt die URL-Prüfung der Search Console mit dem gerenderten HTML von ihrer Seite, und die Logfile-Analyse zeigt, was ihr wann ausgeliefert wurde. Zwischen diesen beiden Quellen bleibt wenig Raum für Zweifel.

Eine Genauigkeit zur Prüfung über die Programmkennung: sich als Crawler auszugeben genügt nicht ganz, denn manche Konfigurationen sehen zusätzlich auf die IP-Adresse. Eine Anfrage aus einem Büro in Spanien, die behauptet, Googlebot zu sein, ist nicht dasselbe wie eine aus Googles Adressbereichen — und es gibt Aufbauten, die genau das unterscheiden.

Deshalb wiegt der Abgleich zweier eigener Quellen mehr als jede Einzelprobe: Das Serverprotokoll sagt, was jeder Anfrage tatsächlich ausgeliefert wurde, und eine Durchsicht im technischen SEO, die diese Zeilen mit der URL-Prüfung vergleicht, schließt den Kreis. Was nichts taugt, ist der Blick in den eigenen Browser.

Der erste und häufigste sind bezahlte Inhalte. Der Suchmaschine den ganzen Artikel zu zeigen und dem Leser einen Ausschnitt klingt nach Cloaking und ist keines, wenn es mit der dafür vorgesehenen Auszeichnung erklärt wird; unzulässig ist, es stillschweigend zu tun.

Der zweite ist die Anpassung nach Region. Preise in anderer Währung oder eine andere Sprache je nach Land auszuliefern, der Normalfall im internationalen SEO, ist üblich — solange es mit den dafür gedachten Mitteln angezeigt wird und der Suchmaschine keine Fassung vorgesetzt wird, die kein Nutzer je zu sehen bekommt.

Und der dritte entsteht aus Versehen: eine alte Konfiguration, die statt einer 301-Weiterleitung nach einer Migration bestimmten Programmkennungen weiter die alte Seite zurückgibt. Niemand tat es in Täuschungsabsicht, und von außen ist die Wirkung nicht zu unterscheiden — man sieht besser selbst nach, bevor ein anderer nachsieht.

Ein vierter Grenzfall entsteht aus guter Absicht: A/B-Tests. Besucher auf zwei Fassungen zu verteilen ist üblich und kein Cloaking — solange die Verteilung nicht davon abhängt, ob eine Suchmaschine anfragt, und die Varianten Fassungen derselben Sache sind. Den Crawler stets auf dieselbe Variante zu schicken ist ebenfalls unproblematisch; ihn auf eine Seite zu schicken, die kein Teilnehmer bekommt, nicht.

Und noch einer, der häufiger wird: Maßnahmen gegen Bots. Eine Schutzschicht, oft die des CDN, die allem Unbekannten eine Prüfaufgabe vorsetzt, kann dem Crawler am Ende eine Verifikationsseite statt des Inhalts ausliefern. Täuschungsabsicht besteht keine, und die Wirkung ist, dass sich der Index mit Seiten füllt, die niemand geschrieben hat; erkennbar daran, welchen Antwortcode Google bekam — nicht daran, was am Bildschirm steht.

Der erste ist die pauschale Angst: zu glauben, jeder Unterschied zwischen dem, was ein Crawler bekommt, und dem, was ein Nutzer sieht, sei Cloaking. Das ist er nicht, und dieser Glaube führt dazu, auf völlig zulässige Verfahren des White Hat SEO wie das Prerendering zu verzichten.

Der zweite ist das Gegenteil: zu meinen, es genüge, keine schlechte Absicht zu haben. Die Absicht steht in der Definition, aber niemand kann sie von außen lesen; ähneln sich die ausgelieferten Inhalte nicht, ist die Wirkung dieselbe, so unschuldig der Grund auch war.

Und der dritte ist, es nicht mehr zu prüfen. Eine Änderung an der Serverkonfiguration genügt, damit es entsteht, ohne dass jemand es entschieden hätte — und eine Abstrafung für etwas, das niemand mit Absicht tat, kostet genau so viel wie eine verdiente.

Ein vierter Fehler ist, es für etwas zu halten, das nur andere tun. Die häufigsten Fälle sind heute keine absichtlichen Manöver, sondern Reste: eine Serverregel, die eine Migration überlebt hat, eine Zwischenspeicherschicht, die nach Programmkennung statt nach GET-Parameter ablegt, ein Sicherheitsmodul, das eigenmächtig entscheidet. Keiner davon meldet sich.

Und der letzte: die berechtigten Unterschiede nicht festzuhalten. Liefert deine Website aus gutem Grund Verschiedenes aus — Bezahlschranke, Länderfassung, Bot-Schutz —, gehört das irgendwo im eigenen Team aufgeschrieben. Wenn in zwei Jahren jemand diese Zeilen ansieht, entscheidet der Unterschied zwischen einer dokumentierten Entscheidung und einer unerklärten Auffälligkeit darüber, wie viel Zeit verloren geht — wie bei jeder geerbten Regel in der robots.txt.