Phishing: Fake-Google-Ads bei „my business“-Suche

Phishing über bezahlte Google-Anzeigen ist leider kein Randphänomen mehr. Immer häufiger tauchen Ads auf, die nicht zu legitimen Angeboten führen, sondern Login-Daten für verschiedene Plattformen abgreifen – inklusive des eigenen Google-Kontos. Eine aktuelle Warnung richtet den Blick auf eine besonders riskante Kombination: Wer nach „my business“ sucht, landet nicht selten auf einer gefälschten Anzeige, die genau den Einstieg in das Google Business Profile nachahmt.

Viele Unternehmen nutzen die Suchanfrage „my business“ als Shortcut, um sich in ihr Google Business Profile einzuloggen. Statt der offiziellen Google-Oberfläche klicken Nutzer dann auf eine Ad, die wie ein hilfreicher Direktlink wirkt. Dahinter steckt jedoch oft eine Phishing-Seite, die Benutzername und Passwort abfängt und Angreifern die Übernahme des Kontos ermöglicht.

Warum die Suche „my business“ ein Einfallstor ist

Local-SEO-Teams und Inhaber kleiner Standorte arbeiten täglich im Business Profile: Öffnungszeiten, Bewertungen, Fotos, Posts und Verknüpfungen mit Maps. Der Login-Weg über Google ist bekannt, aber nicht immer als feste Lesezeichen-URL gespeichert. Eine schnelle Google-Suche nach „my business“ erscheint da pragmatisch – und genau diese Gewohnheit nutzen Betrüger aus.

In den Suchergebnissen stehen bezahlte Anzeigen prominent über oder zwischen organischen Treffern. Eine professionell gestaltete Ad mit vertrauenswürdig wirkendem Anzeigentext kann für Laien kaum von einer offiziellen Google-Hilfe zu unterscheiden sein. Klicken Nutzer die Anzeige an, öffnet sich eine Login-Maske, die optisch an Google erinnert, aber unter fremder Domain läuft.

Folgen einer Kontoübernahme

Wer Zugangsdaten preisgibt, riskiert mehr als einen einmaligen Login-Verlust. Angreifer können Unternehmensprofile umleiten, Telefonnummern und Websites austauschen, Bewertungen manipulieren oder Spam-Posts veröffentlichen. Für lokale Sichtbarkeit ist das existenziell: Falsche Kontaktdaten in Maps und der Suche schaden Vertrauen, Umsatz und Markenimage gleichermaßen.

• Änderung von Firmenname, Adresse oder Öffnungszeiten auf betrügerische Angaben
• Umleitung der Website-URL auf Phishing- oder Malware-Seiten
• Sperrung des legitimen Zugriffs durch Passwortwechsel und Recovery-Manipulation
• Missbrauch verknüpfter Google-Ads- oder Analytics-Konten bei gleicher Anmeldung

So erkennen Teams gefälschte Google Ads

Nicht jede Anzeige in der SERP ist automatisch betrügerisch. Dennoch lohnt sich ein festes Prüfraster, bevor jemand Anmeldedaten eingibt. Achten Sie auf die sichtbare Display-URL und die Zielseite nach dem Klick: Google-Anmeldungen für Business Profile laufen über offizielle Google-Domains, nicht über unbekannte Kurzdomains oder Tippfehler-Varianten.

Seriöse Wege zum Profile-Login sind Lesezeichen auf business.google.com, der direkte Aufruf über das Google-Konto-Menü oder Links aus der Search Console bzw. aus dokumentierten internen Playbooks. Wenn eine Ad „sofort einloggen“ verspricht oder Druck mit „Konto gesperrt“ erzeugt, ist Skepsis angebracht.

Schutzmaßnahmen für Agenturen und Standorte

Technische und organisatorische Hürden reduzieren das Risiko deutlich. Zwei-Faktor-Authentifizierung für alle Google-Konten mit Zugriff auf Business Profile sollte Standard sein. Rollen im Profil sollten nach dem Prinzip der geringsten Rechte vergeben werden: Nur wer täglich Änderungen braucht, erhält Owner- oder Manager-Rechte.

Schulungen für Franchise-Partner, Filialleitungen und Marketing-Assistenz sind ebenso wichtig wie für SEO-Teams. Viele Angriffe scheitern erst am menschlichen Klickverhalten. Dokumentieren Sie den offiziellen Login-Pfad in Onboarding-Unterlagen und verbieten Sie in internen Richtlinien die Suche nach generischen Begriffen wie „my business“ ohne vorherige URL-Prüfung.

Nach einem erfolgreichen Phishing-Angriff

Bei Verdacht auf kompromittierte Zugangsdaten müssen Passwörter sofort über einen sicheren Kanal geändert und alle aktiven Sitzungen beendet werden. Prüfen Sie im Business Profile Audit-Logs und kürzliche Änderungen an NAP-Daten, Kategorien und Links. Melden Sie die betrügerische Anzeige über Googles Meldewege für Ads und dokumentieren Sie Screenshots von Anzeigentext, Display-URL und Landingpage für spätere Nachverfolgung.

Relevanz für SEO, Local SEO und Paid Search

Das Thema verbindet Paid Media und organische Local-Search-Präsenz. Wer Google Ads für eigene Marken schaltet, konkurriert in derselben SERP mit Betrügern, die Marken- und Navigationsbegriffe missbrauchen. Für SEO-Verantwortliche bedeutet das: Neben klassischen Ranking-Themen gehört Account-Sicherheit zur Governance von Local SEO.

Suchmaschinenmarketing-Teams sollten mit Local-SEO-Verantwortlichen abstimmen, welche offiziellen URLs kommuniziert werden und ob Marken-Keywords in Ads überwacht werden, um Typosquatting und Phishing-Anzeigen früh zu erkennen. Ein Monitoring auf „my business“ und Markenname plus „login“ kann Alerts auslösen, wenn neue verdächtige Ads erscheinen.

Was Google-Nutzer und Plattform erwarten

Google investiert in Policy-Durchsetzung und Nutzermeldungen, dennoch schaffen es einzelne Anzeigen zeitweise in die Auslieferung. Die Verantwortung zur Absicherung bleibt deshalb geteilt: Plattformfilter plus disziplinierter Umgang der Werbetreibenden und Profil-Inhaber mit Login-Wegen. Wer Business Profile als zentrales Local-SEO-Instrument nutzt, sollte Phishing über Ads wie einen operativen Incident behandeln – nicht wie ein seltenes IT-Risiko.

Festgelegte Notfallkontakte, ein kurzer Recovery-Plan und regelmäßige Rechte-Reviews in der Google-Unternehmensgruppe sparen im Ernstfall Tage bis zur Wiederherstellung der korrekten Unternehmensdaten in Maps und der lokalen Suche. Kombiniert mit 2FA und verbindlichen Login-URLs senken Teams die Wahrscheinlichkeit, dass ein harmloser Suchshortcut zum Einfallstor für Kontoübernahmen wird.

Die Warnung unterstreicht: Bezahlte Sichtbarkeit in Google kann auch von Angreifern genutzt werden, die Vertrauen in die Marke Google ausnutzen. Wer „my business“ in die Suchleiste tippt, sollte wissen, dass die oberste Anzeige nicht automatisch der schnellste Weg zum echten Business Profile ist – sondern potenziell der teuerste Klick des Tages.