Wenn du heute oder an einem ähnlichen Morgen plötzlich mehrere E-Mails von der Google Search Console bekommst, in denen von einem „neuen Inhaber“ oder „new owner“ die Rede ist, zuckt man erst einmal zusammen. Das ist völlig normal. Gerade bei Search-Console-Zugängen hängt oft mehr daran, als man im Alltag bewusst auf dem Schirm hat: Indexierungsdaten, Leistungsberichte, Sitemaps, Sicherheitsmeldungen, Nutzerrechte, manchmal sogar sehr sensible Kundenprojekte.
Die gute Nachricht vorweg: Bei dieser Welle an Benachrichtigungen handelte es sich offenbar nicht um einen echten Angriff und auch nicht darum, dass massenhaft fremde Personen Zugriff auf Websites erhalten hätten. Google hat bestätigt, dass es ein Fehler war. Die Benachrichtigungen wurden also fälschlicherweise verschickt. Viele der angeblich „neuen“ Inhaber waren gar nicht neu. Sie hatten bereits seit langer Zeit Zugriff auf die jeweilige Property, teils seit Jahren.
Trotzdem lohnt es sich, die Sache nicht einfach mit einem Schulterzucken abzutun. Aus meiner Erfahrung sind solche Vorfälle ein guter Anlass, die eigenen Zugriffsrechte einmal sauber zu überprüfen. Nicht panisch, nicht hektisch, aber mit klarem Blick. Denn auch wenn diese konkrete Meldung ein Bug war, zeigt sie ziemlich gut, wie abhängig viele Website-Betreiber, SEOs und Agenturen von Benachrichtigungen großer Plattformen sind. Eine einzelne E-Mail mit dem falschen Betreff reicht, und schon beginnt im Kopf das halbe Sicherheitsdrama.
Und ehrlich gesagt: ganz unberechtigt ist diese erste Reaktion nicht. Eine Nachricht über einen neuen Inhaber in der Google Search Console ist keine Kleinigkeit. Sie klingt nach Kontrolle, nach Zugriff, nach möglicher Manipulation. Wer mehrere Websites betreut oder Kundenprojekte verwaltet, weiß, wie schnell so etwas unangenehm werden kann. Man öffnet morgens das Postfach, sieht zwei, fünf oder zwanzig solcher Mails, und denkt kurz: „Wer hat da was gemacht?“
Was genau passiert ist
Viele Nutzerinnen und Nutzer erhielten E-Mails von der Google Search Console, in denen sie darüber informiert wurden, dass ein neuer Inhaber zu einer Search-Console-Property hinzugefügt worden sei. Die Betreffzeile deutete entsprechend auf einen neuen Eigentümer oder Inhaber hin. Auf den ersten Blick sah das nach einer ganz gewöhnlichen Sicherheitsbenachrichtigung aus, wie Google sie verschickt, wenn sich an den Berechtigungen einer Property etwas ändert.
Der irritierende Teil: Bei genauerem Hinsehen stellte sich heraus, dass die genannten Personen in sehr vielen Fällen gar nicht neu waren. Es handelte sich um Nutzer, die bereits vorher Zugriff hatten. Manche waren schon seit 2021 oder 2025 als Inhaber eingetragen, manche schlicht seit längerer Zeit Teil des bestehenden Setups. Genau das machte die Situation so merkwürdig. Die E-Mail war formal eine neue Warnung, der angebliche Anlass aber alt.
Einige Betroffene berichteten, dass sie gleich mehrere solcher Mails bekommen hätten. In einem Fall war von mehr als zwei Dutzend Benachrichtigungen die Rede. Und jede einzelne davon schien falsch zu sein, weil die darin genannten Personen bereits bestehende Inhaber waren. Andere sahen Hinweise zu bestimmten Seiten oder WordPress-Websites, die sie verwalteten, ohne dass sie an diesem Tag aktiv etwas an den Berechtigungen geändert hatten.
Das ist genau die Art von technischem Zwischenfall, die in der Praxis besonders nervt. Nicht, weil er zwangsläufig gefährlich ist, sondern weil er Unsicherheit erzeugt. Du weißt in diesem Moment nicht sofort, ob du es mit einem echten Sicherheitsproblem, einer massiven Phishing-Kampagne oder einem simplen Systemfehler zu tun hast. Und diese Unklarheit ist oft der unangenehmste Teil.
Ich kenne das aus Projekten mit größeren Kundenkonten ganz gut: Sobald eine Plattform wie Google eine sicherheitsrelevante E-Mail verschickt, laufen sofort interne Fragen los. Wer hat Zugriff? Hat jemand etwas geändert? Gibt es einen neuen Dienstleister? Hat ein ehemaliger Mitarbeiter noch Rechte? Ist das vielleicht ein kompromittiertes Konto? In kleinen Teams lässt sich das schnell klären. In Agenturstrukturen oder bei Unternehmens-Websites ist es manchmal erstaunlich mühsam.
Warum diese E-Mails so schnell Alarm auslösen
Die Google Search Console ist zwar kein CMS-Login und auch kein Serverzugang, aber sie ist trotzdem ein ziemlich wichtiger Teil deiner Website-Infrastruktur. Wer Inhaberrechte in der Search Console hat, kann nicht nur Leistungsdaten sehen. Je nach Setup und Verifizierungsmethode kann diese Person auch eine starke Position innerhalb der Google-Verwaltung deiner Website einnehmen.
Deshalb fühlt sich eine Meldung über einen neuen Inhaber deutlich ernster an als irgendeine allgemeine Systemmail. Es geht nicht um einen Newsletter, nicht um ein kosmetisches Dashboard-Update, sondern um Berechtigungen. Und Berechtigungen sind in jedem digitalen Projekt ein sensibles Thema.
Ein „Inhaber“ in der Search Console ist nicht einfach nur ein Leser. Inhaber können weitere Nutzer hinzufügen, Einstellungen verwalten und je nach Art des Zugangs relativ weitreichende Kontrolle über die Property ausüben. Besonders bei verifizierten Inhabern ist Aufmerksamkeit angebracht, weil deren Zugriff oft über DNS-Einträge, HTML-Dateien, Meta-Tags, Google Analytics, Google Tag Manager oder andere Verifizierungsmethoden zustande kommt.
Wenn du also plötzlich eine Nachricht bekommst, dass ein neuer Inhaber hinzugefügt wurde, ist die erste Frage ganz logisch: Hat jemand Zugriff bekommen, der ihn nicht haben sollte?
Genau deshalb reagierten viele Betroffene zunächst alarmiert. Manche hielten die Mails für mögliche Phishing-Versuche. Andere vermuteten, dass Google intern etwas durcheinandergebracht haben könnte. Wieder andere gingen erst einmal ihre Properties durch, um zu prüfen, ob wirklich neue Nutzer hinzugekommen waren. Diese Reaktion ist gesund. Nicht jede Warnmeldung ist ein Notfall, aber jede Warnmeldung über neue Inhaber sollte ernst genug genommen werden, dass du zumindest kurz nachsiehst.
Manchmal ist es überraschend, wie alt manche Zugriffe in Search-Console-Konten sind. Da findet man ehemalige Agenturen, frühere Freelancer, alte Entwicklerkonten, private Gmail-Adressen von Mitarbeitern, die längst nicht mehr im Unternehmen sind. Solche Altlasten fallen oft erst dann auf, wenn eine Benachrichtigung wie diese ein bisschen Staub aufwirbelt.
Der Unterschied zwischen Panik und sauberer Prüfung
Wichtig ist hier die Balance. Panik hilft dir nicht. Aber blindes Vertrauen auch nicht. Wenn du eine solche E-Mail bekommst, solltest du nicht sofort Passwörter überall ändern, DNS-Einträge löschen oder hektisch Nutzer entfernen, ohne zu verstehen, was tatsächlich passiert ist. Gerade bei verifizierten Inhabern kann ein unüberlegtes Entfernen dazu führen, dass legitime Automatisierungen, Agenturzugänge oder technische Setups gestört werden.
Der bessere Weg ist nüchtern: Du öffnest die Search Console direkt über deinen bekannten Zugang, nicht über irgendeinen Link in der E-Mail. Dann prüfst du die Nutzer- und Berechtigungsverwaltung der betroffenen Property. Dort schaust du, ob tatsächlich neue Personen hinzugefügt wurden oder ob die genannten Nutzer bereits vorher existierten. Wenn alles unverändert ist, spricht viel dafür, dass die E-Mail nur eine fehlerhafte Benachrichtigung war.
Genau das war bei den gemeldeten Fällen der Kern: Die Personen hatten bereits Zugriff. Die Benachrichtigung tat nur so, als wären sie neu hinzugekommen. Das ist zwar unschön, aber eben etwas völlig anderes als ein echter Fremdzugriff.
Was du jetzt praktisch tun solltest
Auch wenn Google den Fehler bestätigt hat und kein Grund zur Panik besteht, würde ich dir empfehlen, diese Gelegenheit für einen kurzen Rechte-Check zu nutzen. Nicht aus Misstrauen gegenüber jeder einzelnen Person, sondern aus professioneller Hygiene. In der SEO- und Webanalyse-Praxis ist Zugriffsmanagement eines dieser Themen, die niemand besonders gern pflegt, bis es irgendwann weh tut.
Öffne also deine Google Search Console und gehe zur betroffenen Property. Prüfe dort die Nutzerliste. Schau dir besonders an, wer als Inhaber eingetragen ist und wer nur eingeschränkte oder vollständige Nutzerrechte besitzt. Der Unterschied ist wichtiger, als viele denken. Ein Nutzer mit Leserechten ist etwas anderes als ein Inhaber, der weitere Berechtigungen verwalten kann.
Wenn du mehrere Properties hast, etwa Domain-Properties und URL-Präfix-Properties, solltest du nicht nur eine davon prüfen. Gerade ältere Setups enthalten oft doppelte Strukturen: einmal die Domain-Property, dazu noch http, https, www und non-www als separate Properties. In manchen Konten sieht das aus wie ein kleiner Dachboden. Vieles liegt noch herum, keiner weiß mehr genau, warum.
Findest du Konten, die eindeutig nicht mehr benötigt werden, kannst du sie entfernen. Aber bitte mit etwas Bedacht. Bei Dienstleistern, Agenturen oder technischen Integrationen solltest du vorher klären, ob der Zugriff noch gebraucht wird. Ich habe schon Fälle gesehen, in denen jemand „aufräumen“ wollte und dabei den einzigen DNS-verifizierten Inhaber entfernt hat, während alle anderen Zugriffe nur abgeleitet oder organisatorisch unklar waren. Das ist dann kein Weltuntergang, aber unnötig lästig.
Wenn du bei einem Nutzer unsicher bist, frage intern nach. Wer kennt diese Adresse? Gehört sie zu einer Agentur? Ist sie mit einem Tool verbunden? Ist es vielleicht ein altes Konto eines Entwicklers? Solche Fragen wirken banal, sparen aber im Ernstfall Zeit.
So erkennst du, ob es wirklich kritisch wäre
Ein echter kritischer Fall sähe anders aus. Wenn du in der Nutzerverwaltung eine Adresse siehst, die dir völlig unbekannt ist und die tatsächlich neu hinzugefügt wurde, dann solltest du genauer hinschauen. Besonders dann, wenn diese Adresse Inhaberrechte hat. In so einem Moment möchtest du prüfen, wie diese Person verifiziert wurde. Wurde eine HTML-Datei auf dem Server abgelegt? Gibt es einen fremden DNS-Eintrag? Wurde ein unbekannter Tag Manager Container genutzt? Genau dort wird es technisch interessant.
Bei der hier beschriebenen E-Mail-Welle lag das Problem aber offenbar nicht in einer echten Rechteänderung, sondern im Versand der Benachrichtigungen selbst. Das bedeutet: Die Search Console meldete neue Inhaber, obwohl keine neuen Inhaber hinzugefügt worden waren. Oder genauer gesagt: Sie behandelte bestehende Inhaber kommunikativ so, als wären sie neu.
Das ist ein klassischer Plattformfehler, wie er bei großen Systemen immer mal passieren kann. Schön ist das nicht. Gerade bei sicherheitsnahen Benachrichtigungen sollte so etwas eigentlich nicht vorkommen, weil Vertrauen in solche Meldungen entscheidend ist. Wenn Warnsysteme falschen Alarm schlagen, stumpfen Nutzer irgendwann ab. Und das ist aus Sicherheitssicht ein echtes Problem.
Man sieht das bei vielen Tools: Wenn ein System zu oft irrelevante oder falsche Warnungen ausgibt, klicken Menschen irgendwann nur noch genervt weiter. Beim nächsten echten Problem reagieren sie dann zu spät. Deshalb sind falsche Sicherheitsmeldungen nicht harmlos im psychologischen Sinn, auch wenn technisch nichts passiert ist.
Warum der Fehler trotzdem lehrreich ist
Die eigentliche Lehre aus dieser Episode ist für mich weniger „Google hatte einen Bug“. Das kommt vor. Die spannendere Frage ist: Weißt du eigentlich genau, wer Zugriff auf deine wichtigsten Website-Systeme hat?
Die meisten Website-Betreiber können diese Frage spontan nicht sauber beantworten. Bei kleinen Projekten vielleicht noch. Aber sobald eine Website über Jahre wächst, mehrere Agenturen beteiligt waren, Tracking-Setups geändert wurden, Relaunches stattgefunden haben und Mitarbeiter kamen und gingen, wird es unübersichtlich. Die Search Console ist da nur ein Baustein. Daneben gibt es Google Analytics, Google Tag Manager, Google Ads, Merchant Center, CMS, Hosting, Domainverwaltung, CDN, Newsletter-Tools und oft noch einige SEO-Suites.
Ein falscher Alarm wie diese Inhaber-Mail ist dann fast wie ein Rauchmelder, der wegen Wasserdampf losgeht. Es brennt nicht, aber du erinnerst dich daran, dass du vielleicht doch mal prüfen solltest, ob die Batterien funktionieren und wo eigentlich der Feuerlöscher steht.
In der Praxis würde ich mindestens einmal pro Quartal oder nach jedem größeren Dienstleisterwechsel einen kurzen Berechtigungscheck machen. Das muss kein riesiges Audit sein. Eine Stunde reicht oft schon, um die schlimmsten Altlasten zu finden. Wichtig ist, dass jemand Verantwortung übernimmt. Nicht „das Team“, nicht „die Agentur“, nicht „Google“, sondern eine konkrete Person, die weiß, wo die Zugänge liegen.
Bei Kundenprojekten empfehle ich außerdem, Zugriffe sauber zu dokumentieren. Nicht jedes Passwort, natürlich nicht, aber Rollen und Zuständigkeiten. Wer ist Inhaber? Wer hat nur Leserechte? Wer verwaltet DNS? Welche E-Mail-Adresse dient als Hauptkonto? Gibt es ein neutrales Unternehmenskonto statt privater Mitarbeiteradressen? Solche Dinge klingen trocken, aber sie retten dir später den Nachmittag.
Was du nicht tun solltest
Du solltest die E-Mail nicht blind ignorieren, nur weil andere ebenfalls betroffen sind. Ja, in diesem Fall war es ein Bug. Trotzdem kann deine einzelne Property theoretisch zusätzlich ein echtes Rechteproblem haben. Die Wahrscheinlichkeit mag gering sein, aber ein kurzer Blick in die Search Console kostet nicht viel.
Du solltest aber auch nicht überreagieren. Es wäre falsch, alle bestehenden Inhaber sofort zu entfernen, nur weil ihr Name in einer fehlerhaften Benachrichtigung auftaucht. Wenn diese Personen tatsächlich legitime Zugriffe hatten, schneidest du dir im Zweifel ins eigene Fleisch. Besonders bei Agenturkonten oder technischen Verifizierungen kann das unnötige Folgeprobleme verursachen.
Und ganz wichtig: Klicke bei sicherheitsrelevanten E-Mails grundsätzlich nicht gedankenlos auf Links. Auch wenn diese konkrete Welle echte Benachrichtigungen betraf, ist die Skepsis gegenüber möglichen Phishing-Mails berechtigt. Geh lieber direkt über die bekannte Adresse zur Search Console oder über dein Google-Konto. Das ist eine kleine Gewohnheit, aber eine gute.
Die kurze Einordnung für deinen Alltag
Unterm Strich war die Sache weniger dramatisch, als sie zunächst aussah. Viele Nutzer erhielten Benachrichtigungen über angeblich neue Inhaber in der Google Search Console. Die genannten Personen waren in zahlreichen Fällen jedoch bereits bestehende Inhaber oder Nutzer. Dadurch entstand Verwirrung, einige vermuteten Phishing oder einen Sicherheitsvorfall, andere hielten es schnell für einen Systemfehler. Am Ende wurde bestätigt: Es war ein Bug.
Für dich heißt das: Wenn du eine solche Mail bekommen hast, musst du nicht in Panik verfallen. Prüfe die betroffene Property, sieh dir die Nutzerrechte an und kontrolliere, ob wirklich jemand Neues hinzugekommen ist. Wenn die genannten Konten bereits vorher Zugriff hatten und keine unbekannte Adresse auftaucht, ist sehr wahrscheinlich nichts weiter zu tun.
Trotzdem ist der Vorfall ein nützlicher Reminder. Die Search Console ist ein zentrales Werkzeug für deine Website, und Inhaberrechte verdienen Aufmerksamkeit. Gerade wenn du verschiedene Kunden, Marken oder Domains betreust, solltest du Berechtigungen nicht nebenbei laufen lassen. Alte Rechte bleiben sonst gern jahrelang bestehen, weil niemand sich zuständig fühlt.
Ich würde es pragmatisch sehen: Google hat falschen Alarm ausgelöst, du nutzt den Anlass für ein bisschen Ordnung. Keine große Aufregung, aber einmal sauber hinschauen. Das ist meistens die beste Reaktion auf solche Plattformpannen. Denn heute war es nur eine fehlerhafte Benachrichtigung. Morgen kann eine ähnliche Mail tatsächlich wichtig sein. Und dann ist es gut, wenn du deine Zugänge kennst.
Kein Grund zur Panik, aber ein guter Moment für Kontrolle. Genau so würde ich diesen Vorfall zusammenfassen.
