Google stuft „Back-Button-Hijacking“ als Spam ein

• Damit sind Praktiken gemeint, bei denen Nutzer beim Drücken des Zurück-Buttons im Browser nicht zur ursprünglichen Seite zurückkehren können oder auf unerwünschte Werbe- bzw. Empfehlungsseiten weitergeleitet werden
• Solches „Back-Button-Hijacking“ wurde als neuer Verstoß gegen die Spam-Richtlinien aufgenommen und ausdrücklich verboten
• Die Richtlinie soll am 15. Juni 2026 in Kraft treten; bei Verstößen können manuelle Spam-Maßnahmen oder automatische Ranking-Herabstufungen erfolgen
• Google sieht darin eine Praxis, die die Nutzererfahrung verschlechtert und den Navigationsfluss stört, und stuft sie als ausdrücklichen Verstoß gegen die Richtlinie zu bösartigen Praktiken ein
• Website-Betreiber sollen Code oder externe Skripte entfernen, die den Browser-Verlauf manipulieren; falls nötig ist eine Wiederherstellung über einen Antrag auf erneute Überprüfung in der Search Console möglich

---

Das Konzept des Back-Button-Hijackings

• Eine Praxis, die den Versuch des Nutzers stört, mit dem „Zurück“-Button des Browsers zur ursprünglichen Seite zurückzukehren
  • Die Website manipuliert die Browser-Navigation so, dass Nutzer nicht sofort zur vorherigen Seite zurückkehren können
  • Stattdessen werden sie auf Seiten weitergeleitet, die sie nicht besucht haben, es werden unerwünschte Empfehlungs- oder Werbeseiten angezeigt oder eine normale Navigation wird blockiert

Hintergrund der verschärften Richtlinie und Maßnahmen für Betreiber

• Der Schutz der Nutzererfahrung hat höchste Priorität
  • Back-Button-Hijacking stört Browser-Funktionen, unterbricht den erwarteten Navigationsfluss und vermittelt Nutzern ein Gefühl von Frustration und Manipulation
  • Solche Praktiken tragen dazu bei, dass Nutzer den Besuch unbekannter Websites eher meiden
• Google hatte bereits bisher täuschende oder manipulative Seiteneinfügungen als Verstoß gegen die Search-Essentials-Richtlinien bezeichnet;
  da solche Praktiken zuletzt zugenommen haben, werden sie nun als ausdrücklicher Verstoß gegen die Richtlinie zu „malicious practices“ eingestuft
• Website-Betreiber müssen Code oder Skripte entfernen, die den Browser-Verlauf der Nutzer manipulieren
  • Da dies auch durch externe Bibliotheken oder Werbeplattformen verursacht werden kann, sollten relevante Codes, Imports und Einstellungen überprüft und entfernt werden
• Wenn die Sichtbarkeit in der Suche durch eine manuelle Maßnahme eingeschränkt wurde, ist nach Behebung des Problems eine Wiederherstellung über einen reconsideration request in der Search Console möglich
• Weitere Fragen oder Feedback sind über die Google Search Central-Seite auf LinkedIn oder die Support-Community möglich

[xguru]

Ach, endlich!!! Alle Medienhäuser, die so etwas gemacht haben, sollten dafür richtig hart bestraft werden.

[lazydonkey456]

Sollte Google nicht zuerst etwas gegen seine NSFW-Anzeigen unternehmen -_-?

[crawler]

Auch auf der Microsoft-QnA-Seite passiert das: Wenn man sie besucht und dann auf „Zurück“ klickt, landet man in einer Endlosschleife. Ich wünschte wirklich, solche Seiten würden das endlich beheben.

Ob es nun Redirects gibt oder nicht, aus Sicht der Nutzer sollte man die Seite verlassen können, wenn man auf „Zurück“ klickt.
Bei solchen Seiten muss man die Zurück-Taste immer gedrückt halten, um mehr als 2 Ebenen zurückzugehen.

[eoeoe]

Endlich wieder normal!!

[GN⁺]

Hacker-News-Kommentare

• Es wäre schön, wenn der Browser eine Funktion hätte, mit der sich alle Tastenkürzel einer Website deaktivieren lassen
  Ich habe in Brave Ctrl+E zum Öffnen eines neuen Tabs belegt, aber Websites wie Discord biegen das zum Emoji-Menü um, was ziemlich nervt

  • Ctrl+F ist auch ein Problem. Ich will nicht das eigene Suchfeld der Website öffnen, sondern nach Wörtern auf der Seite suchen
  • Ein anderes Beispiel sind Websites, die Ctrl+Klick so umbiegen, dass es statt in einem neuen Tab einfach im aktuellen Tab öffnet. Das sehe ich besonders oft auf E-Commerce-Websites
  • Ich habe mir ein Bookmarklet gebaut, das alle Key-Input-Listener blockiert, um so etwas zu verhindern. Wenn Interesse besteht, kann ich es teilen
  • Statt es komplett zu blockieren, wäre ein System gut, bei dem eine Website um Erlaubnis für Tastenkürzel bitten muss. Dann könnte man nur vertrauenswürdige Websites zulassen
  • In Firefox nutze ich Vimium, daher richten sich die Standard-Shortcuts nach dem Plugin. Zum Beispiel öffnet t einen neuen Tab, und um Website-Shortcuts zu nutzen, wechsle ich mit i in den Insert-Modus. Konfliktfreie Tasten wie Ctrl+K können Websites dann frei verwenden, was ich gut finde

• Googles Indexierungsrichtlinien sind für mich in letzter Zeit nicht nachvollziehbar
  Meine Website, die jahrelang gut gelistet war, ist plötzlich aus dem Index verschwunden. Es sind einfach Blogposts, ohne Werbung, mit HTTPS, und andere Websites verlinken darauf
  Trotzdem entfernen sich die Google-Suchergebnisse immer mehr von den Informationen, die ich eigentlich suche. Ich hoffe, dass die neue Richtlinie Verbesserungen bringt

  • Vielleicht liegt es daran, dass keine Werbung drauf ist. Google hat kein Interesse daran, werbefreie Seiten sichtbar zu machen
  • Hier geht es um Chrome, nicht um die Suche. Google hat in den letzten Jahren begonnen, Inhalte mit wenig Traffic zu entfernen. Wenn es viele ähnliche Inhalte gibt, werden sie unabhängig von der Seitenautorität nicht indexiert. Die Suche wird inzwischen wie TikTok. AI-Zusammenfassungen, YouTube, News, Maps und Produkte werden bevorzugt. Inhalte sind tot

• In Firefox kann man einstellen, dass eine Seite die Browser-Historie nicht verändern darf
  Laut dieser Methode auf superuser.com muss man in about:config browser.history.allowPushState deaktivieren

  • In den meisten Fällen ist es aber nicht pushState, sondern die Seite hat eine automatische Weiterleitung eingebaut. Deshalb muss man zweimal auf Zurück drücken
  • SPAs verwenden die History API, um interne Navigationseinträge zu verwalten. Wenn man das blockiert, kann es eher zu Datenverlust kommen
  • Zur Info: Seit Firefox 47 ist browser.history.allowPushState deprecated. Heutzutage manipulieren Websites die Historie kaum noch. Umso erstaunlicher ist es, dass in Chrome Back-Button-Hijacking immer noch existiert. Ich habe das in Firefox mit einem UserScript zum Blockieren bestimmter Keycodes gelöst

• Ich dachte zuerst, es ginge um Android
  Android-Apps machen oft solches UX-Hijacking, etwa mit „Zum Beenden zweimal Zurück drücken“. Typische Beispiele sind Feed-Apps wie Reddit, TikTok und Instagram

  • Ich dachte anfangs auch, es gehe um Android, und habe mich im Artikel gefragt, warum ständig von einem „browser“ die Rede ist
  • Ich wünschte wirklich, Google würde so eine Richtlinie auch auf Android anwenden. Am schlimmsten sind die Apps

• Diese Richtlinie sollte zuerst bei LinkedIn angewendet werden
  Wenn man auf einen Link in einer E-Mail oder einem Beitrag klickt, landet man beim Beitrag, aber beim Zurückgehen kommt man zum Feed zurück
  Das geschieht durch Manipulation der Historie per Kombination aus location.replace(...) und history.pushState()

  • Reddit kapert die Zurück-Funktion auf dieselbe Weise. Wenn man über Google zu einem Reddit-Post geht und dann zurückgeht, landet man wieder im Reddit-Hauptfeed
  • Gmail hat ein ähnliches UX-Problem. In Einladungs-Mails gibt es im Betreff einen „Akzeptieren“-Button, den man beim Scrollen versehentlich anklicken kann
  • Ich öffne Links auf solchen Websites grundsätzlich in einem neuen Tab. Das Schließen des Tabs ist mein neuer Zurück-Button. Tabs, die mich nicht interessieren, mache ich einfach zu
  • Facebook funktioniert ebenfalls so. Dank der Erklärung verstehe ich jetzt das Prinzip dahinter
  • Unklar ist aber, ob diese Methode gegen die neue Richtlinie verstößt. Hash-basierte Navigation könnte technisch gesehen gültig sein

• Auch Microsoft-Websites haben oft solche Zurück-Probleme

  • Das Azure Portal ist ein typisches Beispiel. Wenn man dort auf Zurück drückt, weiß man nie, was passiert. Es fühlt sich an wie der „Glücksbutton“ auf Android
  • Bei Microsoft ist es allerdings meist weniger bösartig als Werbe-Redirects, sondern eher ein Designproblem bei JS-Weiterleitungen
  • Im Epic Store kann man auf Mobilgeräten von der Checkout-Seite nicht zurück. Ich weiß nicht, ob das Absicht oder einfach ein UX-Fehler ist
  • Ich bin gestern auch auf so eine Website gestoßen. Selbst wenn ich schnell auf Zurück gedrückt habe, ging es nicht, also habe ich den Tab am Ende geschlossen

• Diese Maßnahme ist ein guter erster Schritt, aber noch nicht genug
  Ich möchte nicht, dass irgendeine Website meinen Zurück-Button kapert.
  Besonders hasse ich Pop-ups wie „Möchten Sie die Seite wirklich verlassen? Sie haben den Newsletter noch nicht abonniert!“

  • Bei SPAs ist das ausnahmsweise nötig. Man muss den vom Nutzer innerhalb der App zurückgelegten Weg korrekt nachverfolgen. Das Grundprinzip sollte aber sein: „Es muss so funktionieren, wie Nutzer es erwarten“
  • Warnungen wie „Möchten Sie ohne Speichern fortfahren?“ sind nützlich. Allerdings sollte man dafür site-spezifische Erlaubnisse setzen können
  • Aus Sicht eines SaaS-App-Betreibers nutze ich solche Warnungen, weil Daten verloren gehen, wenn ein Nutzer während des Ausfüllens eines Formulars versehentlich die Seite verlässt. Ich überlege aber weiterhin, welches Verhalten aus Nutzersicht besser ist
  • Das erzwungene Öffnen in neuen Tabs ist ebenfalls eine Art Hijacking. So etwas sollte vollständig verboten werden. Ich finde sogar, dass es rechtliche Sanktionen geben sollte

• „Die Nutzererfahrung steht an erster Stelle“ — wie ironisch
  Dass ausgerechnet Firmen so etwas sagen, die irreführende „Open in app“-Pop-ups zeigen, um Nutzer in ihre App zu drängen
  Verwandter Artikel: Those obnoxious sign-in windows

• Genau jetzt ist ein guter Zeitpunkt, das Post/Redirect/Get-Muster wieder stärker zu verbreiten
  Wie in der Wikipedia-Erklärung beschrieben, wird die UX nach dem Absenden eines Formulars durch einen Redirect deutlich sauberer

  • Als Entwickler der alten Schule mag ich dieses Muster wirklich sehr. Die heutige React-Generation scheint so etwas kaum noch zu kennen
  • Davon habe ich heute zum ersten Mal gehört. Deshalb erscheint also das Pop-up „Möchten Sie das Formular erneut absenden?“, wenn dieses Muster fehlt. Schon den Namen dafür zu kennen, war hilfreich

• Auch Googles SPA-Framework Angular verursacht bei Verwendung von redirect routes Back-Button-Hijacking
  Das wird in der offiziellen Angular-Dokumentation beschrieben

  • Allerdings ist internes Routing in SPAs für die App-UX oft unvermeidbar. In solchen Fällen sollte Hijacking nur erlaubt sein, um interne Navigation natürlich beizubehalten