Data Poisoning in der KI-Suche: alter SEO-Mechanismus statt KI-Defekt

Wer schnell eine Antwort will, fragt heute oft zuerst die KI-Suche und vertraut, was oben steht. Wie leicht sich das ausnutzen lässt, zeigt eine Geschichte, die Rose Tremlett kürzlich für DIE ZEIT erzählte: Ein Mann erklärte sich per LinkedIn-Post zum „weltweit bekanntesten KI-Sichtbarkeitsexperten“ und reichte kurz darauf einen passenden Screenshot der Google-KI-Schnellsuche nach, der die Behauptung zu bestätigen schien. Ein Forschungsprojekt der Cornell University searchengineland.com ↗ liefert die Erklärung dazu: Rund 15 Wörter genügen, um die Antwort der KI-Suche in eine gewünschte Richtung zu lenken. Offen bleibt, ob hier eine neue Schwäche der KI sichtbar wird oder ein Werkzeug, das die Suchmaschinenoptimierung seit zwanzig Jahren benutzt.

Der »angebliche Experte« war sechs Jahre lang Googles Webspam-Analyst#

Der Artikel nennt Pedro Dias einen „angeblichen Experten für Suchmaschinenoptimierung“. Das lässt sich prüfen. Dias arbeitete ab März 2006 fast sechs Jahre im Search-Quality-Team von Google als Webspam-Analyst, definierte dort Spam-Richtlinien mit und bearbeitete Einspruchsanträge abgestrafter Seiten. Danach verantwortete er SEO- und Wachstumsfunktionen bei eBay, Reach plc und Autovia, heute berät er selbstständig (Profil¹). Sein Post, er sei der „weltweit bekannteste KI-Sichtbarkeitsexperte“, trägt ein Emoji, das ihn als Scherz kennzeichnet (X²): ein ehemaliger Google-Spamjäger, der vorführt, womit er sich zwei Jahrzehnte beruflich beschäftigt hat.

Die KI-Suche zeigt nur, was das Ranking längst über den Namen wusste#

15 Wörter genügen, weil sie keine umkämpfte Suche treffen, sondern eine seltene Wortkombination mit kaum Konkurrenz. In der Suchmaschinenoptimierung heißt das Long-Tail: Je spezifischer die Anfrage, desto leichter lässt sich das Ergebnis bestimmen. Wer über viele Seiten hinweg denselben Namen mit demselben Ankertext verknüpft, baut die Assoziation auf, die die KI-Schnellsuche später als Antwort ausspielt. Sie zieht dabei die stärkste Autorität, die im Index bereits liegt. Der Screenshot zeigt damit das Echo eines Rankings.

Das dokumentierte Einfallstor heißt Parasite SEO, und Google bekämpft es seit 2024#

Der Hebel, mit dem ein einzelner LinkedIn-Beitrag die Autorität einer großen Domain erben kann, hat einen Namen: Site Reputation Abuse, in der Branche Parasite SEO. Google beschreibt die Praxis als Versuch, sich das gute Ranking eines Publishers zu leihen und Suchende auf minderwertige Inhalte zu locken, und verbietet sie seit März 2024 (Google³). Seit dem 19. November 2024 gilt das Verbot unabhängig davon, ob der Betreiber der Gastseite an dem fremden Inhalt beteiligt ist oder ihn beaufsichtigt (Google Search Central⁴). Über Dienste nach dem Muster von Help a Reporter Out lässt sich der Handel formalisieren: ein Expertenzitat gegen einen Rücklink. Der Dienst wurde zu Connectively umbenannt, Ende 2024 eingestellt und im April 2025 als HARO neu gestartet (Stan Ventures⁵). Seit dem 12. November 2025 prüft die EU-Kommission unter dem Digital Markets Act, ob Google Publisher mit werblichen Inhalten unrechtmäßig herabstuft (Search Engine Land searchengineland.com ↗).

Google repariert keine Einzeltreffer, sondern rollt globale Regeln aus#

Dass sich der Screenshot nicht mehr reproduzieren lässt, belegt nicht, dass Google den peinlichen Einzelfall still und heimlich behoben hätte. KI-Antworten hängen wie klassische Suchergebnisse von vorherigen Suchen und Signalen ab, sie sind personalisiert und schwanken. Google greift dort, wo es greift, über globale Systeme: Seit dem 15. Mai 2026 zählt der Versuch, „generative KI-Antworten in der Google-Suche zu manipulieren“, ausdrücklich zur Spam-Definition (Google Search Central⁶); Ende Juni 2026 folgte ein weltweites Spam-Update (Search Engine Land searchengineland.com ↗). Der vom Artikel vermisste Kontrollmechanismus existiert also, zumindest auf dem Papier, seit zwei Monaten vor Erscheinen des Textes. Er erfasst koordinierte Verlinkung und Themenübernahme, unabhängig davon, ob am Ende ein Insiderwitz wie bei Dias steht.

Wer den Namen nennt, verstärkt ihn#

Indem der Artikel den Namen Pedro Dias mit der Formel „Experte für Suchmaschinenoptimierung und die Sichtbarkeit in KI-Systemen“ verbindet, fügt er der Assoziation eine weitere, besonders hochwertige Erwähnung hinzu: eine von zeit.de. Für ein Rankingsystem ist das ein starkes Signal, und das Wort „angeblich“ trägt darin kein Gewicht; ein Algorithmus gewichtet die Nähe zweier Begriffe, nicht den Zweifel dazwischen. Der Platz auf der Ergebnisseite wächst dabei nicht mit: um dieselben Zeilen konkurrieren immer mehr Anbieter⁷. Der Text über die Manipulierbarkeit der KI-Suche wird so selbst zu einem Knoten in dem Netz, das er beschreibt. Dass die Plattformen gegensteuern, ist bereits zu sehen: Reddit, die im Artikel zitierte Quelle, sperrte 2026 den anonymen Zugang zu großen Teilen seiner Seite und begründete das mit missbräuchlichem Scraping und automatisiertem Traffic (Digital Trends⁸). Zugleich trocknet die KI-Suche die Foren aus⁹, aus denen sie ihre Antworten zieht: Genau die offenen Quellen, die sie manipulierbar machen, schotten sich gerade ab. Das Ökosystem ist also nicht wehrlos.

Der Kampf verschiebt sich damit von der einzelnen Manipulation zum Zugang, und wer die Trainingsdaten offen hält, entscheidet inzwischen eine Zeile in einer Textdatei. Cloudflare veröffentlichte am 24. September 2025 eine Content-Signals-Politik, die in der robots.txt drei Zwecke auseinanderzieht: Suchindex, ausdrücklich ohne KI-generierte Zusammenfassungen; Einspeisen in ein Modell während der laufenden Anfrage; Training (Cloudflare¹⁰). Für über 3,8 Millionen Domains, deren robots.txt das Unternehmen selbst verwaltet, steht dort seither die Vorgabe Suche ja, Training nein. Durchgesetzt wird die Vorgabe nicht; sie steht in einer Datei, die der Abrufende lesen kann und nicht muss. Ob hinter einem Abruf überhaupt ein Mensch steht, ist selbst nur ein Schätzwert zwischen 1 und 99. Crawler, die Suche, Agenten-Abruf und Training in einem einzigen Zugriff bündeln, machen über 36 Prozent der Crawler-Aktivität aus. Gezählt hat das Cloudflare selbst (Cloudflare blog.cloudflare.com ↗). Für sie gilt vom 15. September 2026 an auf werbefinanzierten Seiten eine Voreinstellung: blockiert. Neu angelegte Seiten und Gratiskonten bekommen sie ohne eigenes Zutun, zahlende Bestandskunden können sie überschreiben (TechCrunch techcrunch.com ↗).

Anlass war Rose Tremletts Artikel „Manipulierte KI-Suchergebnisse: Wie man international renommierter Experte wird, ohne Experte zu sein“, DIE ZEIT, 04.07.2026. Das Zitat der Selbstbeschreibung stammt aus diesem Artikel; die Cornell-Studie (WARP, „Deep-Research Agents Can Be Poisoned via User-Generated Content“) und die Zahl von rund 15 Wörtern sind an ihrer eigenen Quelle searchengineland.com ↗ belegt. Die übrigen Belege sind eigene Recherche: Pedro Dias‘ beruflicher Werdegang (pedro.dias.social pedro.dias.social ↗, X x.com ↗), Googles Parasite-SEO-Politik (Google blog.google ↗, Google Search Central developers.google.com ↗ vom 19.11.2024) und die EU-Untersuchung (Search Engine Land searchengineland.com ↗), die Geschichte von HARO/Connectively (Stan Ventures stanventures.com ↗), die Spam-Richtlinie vom 15.05.2026 (Google Search Central developers.google.com ↗) und das Spam-Update vom Juni 2026 (Search Engine Land searchengineland.com ↗), Reddits Sperre des anonymen Zugangs (Digital Trends digitaltrends.com ↗) sowie die Zugangspolitik der Netzbetreiber: Cloudflare, Content Signals Policy blog.cloudflare.com ↗ vom 24.09.2025 (drei Zwecke, 3,8 Millionen Domains), Cloudflare, Bot-Report blog.cloudflare.com ↗ (über 36 Prozent Mixed-use-Crawler) und TechCrunch techcrunch.com ↗ vom 01.07.2026 (Voreinstellung ab 15.09.2026).