- Der Entwickler von NanoClaw mit 18.000 GitHub-Stars hat öffentlich gemacht, dass bei einer Google-Suche nach dem Projektnamen eine gefälschte Website höher als die offizielle Seite angezeigt wird
- Eine von jemandem aus dem Projekt-README gescrapte und automatisch erzeugte Fake-Seite (nanoclaw[.]net) belegt Platz 2 in den Google-Suchergebnissen, während die tatsächliche offizielle Seite selbst nach Seite 5 nicht auftaucht
- Obwohl alle legitimen Maßnahmen ergriffen wurden – darunter SEO-Optimierung, Einreichungen bei der Google Search Console und Links aus Berichten großer IT-Medien – ändern sich die Google-Suchergebnisse nicht
- Da auf der Fake-Seite Schadcode oder Phishing-Links eingebaut werden könnten, ist bei einem sicherheitsorientiert entwickelten Projekt die größte Sicherheitslücke ausgerechnet die Google-Suche selbst geworden
- Wenn Google selbst dann nicht das richtige Ergebnis anzeigen kann, wenn alle Signale eindeutig auf eine einzige Antwort hindeuten, stellt das die Zuverlässigkeit von Google als Torwächter der Internetinformationen grundsätzlich infrage
Das NanoClaw-Projekt und der Ursprung des Problems mit der Fake-Seite
- NanoClaw ist ein Open-Source-Projekt mit Security-first-Design; alle Agenten laufen in isolierten Containern, im Zentrum steht eine sichere Sandbox-Laufzeitumgebung
- Nach dem Start am 2. Februar wuchs das Projekt schnell und wurde von großen Medien wie CNBC, VentureBeat und The Register aufgegriffen
- In der Frühphase gab es keine separate Website; das GitHub-Repository war praktisch das Projekt selbst, während der Fokus auf Feature-Entwicklung und Community-Aufbau lag
- Um den 8. Februar sicherte sich jemand die Domain nanoclaw[.]net und baute daraus mit aus dem README gescrapten Inhalten eine automatisch generierte Website
- Anfangs wurde das nicht als großes Problem wahrgenommen, weil die Seite den korrekten GitHub-Link enthielt
Ausweitung der Schäden durch die Fake-Seite
- Mit dem Wachstum des Projekts meldeten sich immer mehr Nutzer mit Anfragen wie „Auf deiner Website gibt es einen Fehler“, „Gibt es Werbung auf der Seite?“ oder „Warum sieht sie mobil so aus?“
- Die betreffende Seite veröffentlicht falsche Informationen über das Projekt und fälscht sogar Veröffentlichungsdaten
- Tausende Nutzer hielten die Seite für die offizielle Website, und der erste Eindruck von NanoClaw wurde dadurch zu einer schlampigen, mit Werbung überladenen Seite
- Der Schaden summiert sich täglich weiter, und möglicherweise wurden bereits Hunderttausende Menschen mit falschen Informationen konfrontiert
Aufbau der offiziellen Website und Bemühungen im SEO-Bereich
- Vor zwei Wochen wurde die offizielle Website nanoclaw.dev aufgebaut und es wurden alle denkbaren Maßnahmen ergriffen
- Verlinkung der offiziellen Website aus dem GitHub-Repository
- Einsatz von strukturierten Daten und angemessener SEO-Optimierung
- Etwa 15 Einreichungen bei der Google Search Console
- Links auf die echte Website aus Artikeln von Medien wie The Register, VentureBeat und The New Stack
- Veröffentlichung eines Blogposts, der Platz 1 bei Hacker News erreichte
- Übersetzung der Website in 15 Sprachen
- Verlinkung aller Social-Profile auf nanoclaw.dev
- Einreichung von Löschanträgen (takedown notice) bei Google, Cloudflare und dem Domain-Registrar spaceship.com
- Obwohl alle Signale im Internet auf nanoclaw.dev als offizielle Website zeigen, bleiben die Google-Suchergebnisse unverändert
Das strukturelle Problem der Google-Suche
- Im Website-Feld des auf Platz 1 der Google-Suche stehenden NanoClaw-GitHub-Repositories ist nanoclaw.dev ausdrücklich eingetragen
- Trotzdem zeigt Google die Fake-Seite weiterhin höher als die offizielle Website an
- SEO-Experten rieten: „Dann musst du eben SEO gewinnen“ oder „Kaufe Google Ads“, doch dass ein Open-Source-Entwickler überhaupt einen SEO-Krieg um den eigenen Projektnamen führen muss, ist bereits das eigentliche Problem
- Das ist kein SEO-Problem, sondern ein Google-Problem
Sicherheitsrisiken
- NanoClaw ist ein sicherheitsorientiertes Projekt mit Fokus auf Sicherheit und Sandboxing der Agent-Laufzeitumgebung
- Die größte Sicherheitslücke des Projekts ist derzeit die Google-Suche selbst
- Die Betreiber der Fake-Seite könnten jederzeit Krypto-Betrug, Phishing-Seiten oder bösartige Download-Links auf der Seite einbauen
- Sie könnten auch das GitHub-Repository forken, Schadcode einschleusen und dann von der Fake-Seite aus darauf verlinken, die Google als legitime Seite ausspielt
- Google macht diese Situation in Echtzeit zu einem aktiven Sicherheitsrisiko
Grundsätzliche Zweifel an der Zuverlässigkeit von Google
- Selbst bei einer Frage, bei der das Projekt die richtige Antwort klar benennt, alle Signale übereinstimmen und es keinerlei Mehrdeutigkeit gibt, liefert Google nicht das korrekte Ergebnis
- Das wirft grundlegende Fragen auf, ob man Google bei wichtigen Informationen zu Wahlen, Impfstoffen, Medizin oder Finanzen vertrauen kann
- Man sollte aufhören, sich selbst dafür verantwortlich zu machen, ob Meta-Tags oder das Favicon-Format perfekt sind; wenn Google trotz reicher und eindeutiger Signale die falschen Ergebnisse anzeigt, liegt die Verantwortung bei Google
- Wenn Google seine Position als Torwächter der Internetinformationen behalten will, muss es solche grundlegenden Probleme lösen
4 Kommentare
SEO-Spammer sind wirklich unglaublich fleißig.
Im Moment taucht es bei einer Suche zwar nicht auf, aber es ist trotzdem nötig, die eigenen Produkte immer wieder zu suchen und zu überprüfen.
Ich schaue mir auch jedes Mal die Rankings der Suchbegriffe an, über die Zugriffe bei GeekNews kommen. Wenn man eine Website betreibt, ist ein Blick in die Search Console Pflicht.
Wenn man nach nanoclaw sucht, wird nanoclaw.net immer noch unter Git angezeigt.
Strukturierte Daten sind also wichtig.
Hacker-News-Kommentare
Als John Reilly vor ein paar Jahren auf HN einen Beitrag mit dem Titel „How I ruined my SEO“ gepostet hat, habe ich ihm kostenlos geholfen.
Er hat den Prozess in seinem Blog zusammengefasst.
Wenn du willst, wäre ich auch dieses Mal bereit zu helfen.
Die schnellste Lösung wäre, auf der .net-Seite ein Backlink-Mapping zu machen und den Medien, die falsch verlinkt haben, eine E-Mail zu schicken.
Wenn man schreibt: „Dieser Link führt zu einer Fake-Seite, die echte ist hier“, korrigieren es überraschend viele.
Schon das allein könnte die Lage ändern.
Wenn du zusätzlich auf nanoclaw.dev strukturierte Daten und Schema ergänzt, erkennen Suchmaschinen und LLMs die Seite besser.
Um den praktischen Rat zusammenzufassen:
Backlink-Liste als Spreadsheet ansehen
Ich finde, das ist ein wirklich großzügiges Angebot.
Aber aus Sicht des Autors dürfte es frustrierend sein, dass er ein von Google verursachtes Problem selbst lösen muss.
Es wirkt unfair, dass ein Milliardenunternehmen nicht einmal einen klar auf GitHub stehenden offiziellen Link unterscheiden kann und am Ende die Einzelperson dafür Zeit aufbringen muss.
Es fühlt sich unerquicklich an, dass man solche unnötigen SEO-Arbeiten machen muss.
Das betrifft nicht nur eine einzelne Seite.
Unzählige Open-Source-Projekte haben dasselbe Problem.
Im Kern ist das ein Problem, das Google beheben müsste.
Ausgezeichneter Rat.
Gutes Feedback.
Aus Sicht eines Dritten scheint die .net-Version deshalb weit oben zu stehen, weil sie Links von sehr autoritativen Medien wie The Register und The New Stack bekommen hat.
Es ist erst eine Woche her, also muss man Google Zeit geben, das korrekt zu erkennen.
Google neigt dazu, Seiten zu bevorzugen, die ein Thema zuerst behandelt haben.
Deshalb ist es gut möglich, dass sich das Ranking mit der Zeit anpasst.
In der Zwischenzeit wäre es besser, statt auf GitHub auf die offizielle Website zu verlinken.
Ich habe es direkt geprüft: Nur The Register hat die falsche Seite zitiert, andere Artikel verwiesen auf GitHub.
The-Register-Archiv
VentureBeat-Archiv
The-New-Stack-Archiv
Das zeigt, dass bei so viel dupliziertem Inhalt im Internet das Kriterium „wer zuerst veröffentlicht hat, ist das Original“ nicht immer zutrifft.
Deshalb stehen bei Suchanfragen immer noch oft die Java-8-Dokumente ganz oben. Das ist ziemlich nervig.
Der Kern des Problems ist, dass es erst eine Woche her ist.
Googles Algorithmus ist mit unzähligen Authority- und Quality-Gewichtungen verwoben, daher lässt sich so etwas kurzfristig nur schwer ändern.
Als Entwickler sollte man für jedes Projekt eine eigene Website-Seite haben.
Wenn möglich, ist es auch sicherer, das Repo selbst zu hosten.
Ich bin zahlender Kagi-Nutzer, aber in letzter Zeit bin ich enttäuscht, weil auch Kagi immer mehr KI-generierte minderwertige Ergebnisse zeigt.
Die Suchergebnisse für nanoclaw waren fast identisch mit denen von Google.
Ich habe ein ähnliches Gefühl.
Die Anpassungsfunktionen von Kagi sind gut, aber das Web selbst ist inzwischen so voll mit minderwertigen Informationen, dass letztlich jede Suchmaschine an Grenzen stößt.
Im Moment gefällt mir eigentlich keine Suchmaschine :(
Ich habe bei Kagi nach nanoclaw gesucht:
Auf Platz 1 stand nanoclaw[dot]net,
auf Platz 2 das GitHub-Repo von qwibitai, das wie eine Fälschung aussieht,
auf Platz 3 ein werbliches Video,
auf Platz 4 das scheinbar echte GitHub von gavrielc,
auf Platz 5 nanoclaw.dev, aber mit dem Titel „Don’t trust AI agents“,
und auf Platz 6 noch ein weiterer Fork.
Ich habe die Ergebnisse mehrerer Suchmaschinen und AIs getestet und zusammengefasst.
Bei Google und Brave kam zuerst das offizielle GitHub und dann die Fake-Domain,
bei DuckDuckGo und Bing zuerst die Fake-Domain und dann das offizielle GitHub,
Mojeek war auf Drittartikel fokussiert, Qwant war am schlechtesten.
Dagegen erkannten KI-Suchmodi wie ChatGPT, Gemini und Grok meist die offizielle Website korrekt, einige zeigten sogar Warnungen zur Fake-Seite an.
Insgesamt war KI deutlich präziser als klassische Suche.
Allerdings unterscheiden sich die Ergebnisse je nach Nutzer.
Bei meinem Google steht .net auf Platz 1 und GitHub auf Platz 2.
Der Modus ChatGPT 5.2 Auto hielt .net immer noch fälschlich für die offizielle Seite, aber der Thinking-Modus und Claude zeigten korrekt zuerst .dev.
Auch AltPower Search zeigte dasselbe Problem.
nanoclaw.dev scheint noch eine neue Domain zu sein und deshalb noch nicht vollständig indexiert.
Siehe AltPower, Archive, Cloudflare Radar.
Mich würde interessieren, mit welchem Prompt die KI getestet wurde.
Der Hinweis zu strukturierten Daten im obersten Kommentar ist der Kernpunkt.
Ich habe selbst Organization- und SoftwareApplication-Schema ergänzt, und danach begann Google, die Seite völlig anders zu verstehen.
Das Problem ist, dass Google trotz aller bereits vorhandenen Signale immer noch Domain-Alter und Zahl der Backlinks stärker gewichtet.
Letztlich belohnt das System also eher diejenigen, die sich eine Domain früh sichern, als die tatsächlichen Ersteller.
Ich frage mich, ob man irgendwie prüfen kann, wer wirklich ein Mensch ist.
Als ich heute nach nanoclaw gesucht habe, habe ich noch eine weitere Fake-Seite nanoclawS.io entdeckt.
Sie sammelt E-Mail-Adressen und ist daher gefährlich.
In so einem Fall wäre es besser, nicht nur über das Google-Ranking zu sprechen, sondern die Seite auf Hosting-Ebene sperren zu lassen.
Falls es urheberrechtlich relevante Elemente für einen DMCA-Antrag gibt, wäre das einen Versuch wert.
Mein Rat an alle Open-Source-Entwickler: Wenn ihr ein Projekt veröffentlicht, solltet ihr immer im Blick haben, dass es missbraucht werden kann.
So funktioniert die Welt nun einmal.
Open Source ist großartig, aber zuerst ist es wichtig, sich selbst zu schützen.
Gerade bei einer MIT-Lizenz kann es passieren, dass ein Großunternehmen wie Amazon einen Fork erstellt und Geld damit verdient, während du keinen einzigen Cent bekommst.
Das ist ein Problem anderer Größenordnung als bloßes Coding aus Wohltätigkeit.
Ein dazu passendes Gesetz ist Hyrum’s Law.
Gemeint ist: „Wenn es genügend Nutzer einer API gibt, wird jedes beobachtbare Verhalten des Systems für irgendjemanden zur Abhängigkeit.“
Bei SEO zu verlieren ist ähnlich, wie an der Börse Geld zu verlieren.
Das System ist so effizient und unbarmherzig, dass es auf individuellen Frust überhaupt nicht reagiert.
Am Ende muss man die Strategie neu aufstellen und versuchen, den Markt zu verstehen.
Mein Vorschlag an @Gavriel: Man könnte überlegen, NanoClaw als Marke eintragen zu lassen.
Schon eine Eintragung oder Anmeldung erhöht die rechtliche Durchsetzungskraft gegenüber Domain-Inhabern, Cloudflare und Google.
In einem UDRP-Streit lässt sich damit bösgläubige Registrierung leichter nachweisen.
Es war wohl im Trend, auf die Claw-Welle aufzuspringen, und jetzt springt jemand mit deinem Namen auf diese Welle auf.
Wenn man bedenkt, dass das ursprüngliche Claw-Projekt selbst erst auf der Popularität eines anderen Produkts mitgeritten ist und dann den Namen geändert hat, ist das schon ironisch.
Das dachte ich auch.
Es wirkt weniger wie „eine ehrliche Seite wurde von Betrügern geschädigt“, sondern eher wie ein Fall, in dem jemand im endlosen Spiel um Aufmerksamkeit die Orientierung verloren hat.