So gehen Sie mit Googles /goto-Weiterleitung in Ihrer SERP-Pipeline um

Die Zusammenfassung in 30 Sekunden

Am 26. August 2026 bestätigte Google, dass Links in Suchergebnissen jetzt über google.com/goto?url=[verschlüsseltes Token] laufen, bevor sie ihr Ziel erreichen. Barry Schwartz berichtete darüber in Search Engine Roundtable und Search Engine Land, und ein Google-Sprecher bestätigte, dass es Teil „langfristiger technischer Maßnahmen gegen sich weiterentwickelnde Missbrauchsformen" ist.

Wenn Ihr Team Ziel-URLs aus Googles Suchergebnissen extrahiert (Ranking-Tracking, SERP-Scraping, Datensammlung für KI), ist gerade eine Annahme zerbrochen: Die echte URL ist im Link nicht mehr sichtbar. Sie ist in einem Token verschlüsselt, dem der Browser wie einer normalen Weiterleitung folgt.

Die gute Nachricht: Das ist reparierbar, und die Reparatur ist kleiner, als die meisten denken. Das Token lässt sich nicht entschlüsseln, aber mit einer zusätzlichen HTTP-Anfrage auflösen, und da es deterministisch ist, lässt es sich cachen. Dieser Artikel führt Sie durch eine Reparatur in 30 Minuten: Änderung erkennen, sicher auflösen und sicherstellen, dass Ihre Berichte weiterhin die richtigen Seiten zeigen. Wenn Sie kein SERP scrapen und Rankings nicht mit extrahierten URLs abgleichen, springen Sie zu „Was die Änderung nicht betrifft". Auf Ihrer Website ändert sich nichts.

Was genau sich geändert hat

Jahrelang trug der Link eines Google-Ergebnisses das echte Ziel im Link selbst:

<a href="https://yoursite.com/landing-page?utm_...">...

Jetzt kann dasselbe Ergebnis stattdessen einen Weiterleitungs-Link tragen:

<a href="https://www.google.com/goto?url=TtFp1Lc2026...*">...

Folgt man ihm, liefert Google eine HTTP-Weiterleitung zum Ziel. Zwei wichtige Details zur Funktionsweise:

• Das Token ist verschlüsselt und manipulationssicher. Laut unabhängigem Reverse Engineering (veröffentlicht im August 2026) besteht es aus einem 1-Byte-Marker, einem 4-Byte-Schlüsselbezeichner und Daten im Tink-Format. Ein Zeichen geändert – Google antwortet mit HTTP 400. Ohne Googles Schlüssel können Sie kein Token fälschen und keine URL dekodieren.
• Das Token ist deterministisch. Dieselbe Ziel-URL erzeugt immer dasselbe Token. Allein dadurch wird die ganze Reparatur günstig: einmal auflösen, dann im Cache verwenden.

Derek Perkins von Nozzle beobachtete ein Rollout von nahezu „100%" über mehrere Residential-IP-Anbieter – deshalb ist es diesmal mehr als ein Experiment.

Was die Änderung übersteht

Dass der Parameter ved überlebt, verdient Beachtung: Die Positions- und Klicktyp-Daten, die Ranking-Tools früher aus Ergebnis-Links lasen, sind noch da. Verborgen wird nur die Ziel-URL.

Was die Änderung nicht betrifft

• Rankings und Traffic. Googles Ranking-System hat nichts mit den Links zu tun, die es rendert.
• Daten der Google Search Console. Positionen, Impressionen und Klicks im GSC stammen aus Googles internen Daten und sind nicht betroffen.
• Crawler, die Ihre Seite besuchen. Googlebot, GPTBot und alle Bots, die Ihre Seiten crawlen, berühren google.com/goto nicht. Das erscheint nur in Links, die Google Ihnen anzeigt.
• Bing und andere Suchmaschinen. Das ist eine reine Google-Änderung.

Betroffen sind nur die, die Pipelines betreiben, die Links aus Googles Ergebnistabellen lesen. Wenn Sie dazu gehören, merken Sie es; wenn nicht, ist die Änderung nur Rauschen.

Prüfen Sie, ob Sie betroffen sind

Führen Sie die vier Prüfungen aus. Die ersten beiden dauern fünf Minuten; die letzten beiden sind ein Gespräch mit Ihrem Anbieter.

Wenn alles sauber ist, geht Sie das nichts an: Diese Seite bookmarken und weiter.

Wenn Sie einen Treffer haben, bringen die nächsten vier Schritte die Präzision in die Pipeline zurück. Jeder Schritt sagt, was zu tun ist, wie eine gute Ausgabe aussieht und wie man sich erholt, wenn es nicht klappt.

Schritt 1: Tokens dort erkennen, wo sie auftauchen

Was zu tun ist. Sammeln Sie in Ihrem SERP-Extraktionsskript alle Ergebnis-Links und markieren Sie alles, was mit https://www.google.com/goto?url= beginnt (matchen Sie auch das nackte /goto?url=, das auf manchen Oberflächen auftaucht, und url= gefolgt von einer base64-artigen Nutzlast). Protokollieren Sie die Markierungsrate pro Query – das ist Ihr Rollout-Indikator. Und aus der Beobachtung von Derek Perkins: Das Rollout ist über IP-Bereiche nicht gleichmäßig, also tracken Sie pro Anbieter statt aggregiert.

Erwartetes Ergebnis. Eine goto_rate-Zahl pro Query. 0% bedeutet, die Quelle liefert noch direkte Links; 100% bedeutet vollständige Tokenisierung.

Qualitätsprüfung. Lassen Sie dieselbe Query zweimal von zwei verschiedenen IPs laufen. Wenn eine Seite tokenisiert ist und die andere nicht, liegt eine IP-Bereichsspaltung vor, und beide Seiten brauchen Behandlung.

Wiederherstellung. Wenn die Stichprobe null Treffer zeigt, Sie aber Tokenisierung vermuten, prüfen Sie, ob Ihre Extraktion ein von JavaScript gerendertes DOM statt rohem HTML liest. Die Tokens können im gerenderten Markup auftauchen, auch wenn die rohe Antwort im alten Format bleibt.

Schritt 2: Ein Token mit einer Weiterleitung auflösen

Was zu tun ist. Wenn das Ergebnis ein Token trägt, folgen Sie dem Link serverseitig mit deaktivierter Weiterleitungsverfolgung und lesen Sie den Location-Header:

curl -sI "https://www.google.com/goto?url=TtFp1Lc..." | grep -i location

Die Antwort ist ein HTTP 3xx zum echten Ziel. Bewahren Sie sie auf. Zwei Regeln machen den Schritt günstig und sicher:

• Cache nach Token, nicht nach URL. Weil die Tokenisierung deterministisch ist, reicht eine Auflösung pro Token. Speichern Sie token -> resolved_url und nutzen Sie es dauerhaft.
• Crawlen Sie `google.com/goto` niemals als Seite. Google hat Ende Juli 2026 Disallow: /goto? in sein eigenes robots.txt aufgenommen. Diese Adresse ist ausdrücklich nicht dafür gedacht, von Crawlern abgeholt zu werden; ein korrekter Fetcher folgt dem Token-Link leichtfüßig und liest nur die Weiterleitungskette; ein falscher Fetcher indexiert oder archiviert die goto-URL selbst und verschmutzt Ihre Daten. Bis Ende Juli waren auf google.com fast 3.750 solcher URLs indexiert.

Kostenprüfung vor dem Start: Ein erster Durchlauf über SERPs mit hunderden Ergebnissen bedeutet hunderte zusätzliche Anfragen an google.com – genau die Lastart, die Googles Bot-Erkennung beobachtet. Der deterministische Cache reduziert das auf eine Anfrage pro einzigartigem Token, also sparen Sie nicht am Schritt.

Erwartetes Ergebnis. Eine stabile Zuordnungstabelle zwischen Tokens und Zielen. Prüfen Sie zehn zufällige Tokens im Browser: Jedes sollte auf einer sinnvollen Seite landen.

Qualitätsprüfung. Bestätigen Sie, dass die Tokenlänge zwischen verschiedenen URLs stabil ist und dass identische Ziel-URLs immer dasselbe Token erzeugen. Wenn es nicht mehr übereinstimmt, gab es eine Schlüsselrotation (siehe Schritt 5).

Wiederherstellung. Ein Token, das 400 liefert, ist gefälscht, abgeschnitten oder stammt aus einer abgelaufenen Sitzung; scrapen Sie die SERP neu und versuchen Sie es erneut. Zwei Fehlschläge hintereinander bedeuten meist veraltetes HTML im Archiv, kein kaputtes Token.

Schritt 3: Das Ziel speichern, nicht den Umweg

Was zu tun ist. Der Rest der Pipeline (Keyword-Seite-Zuordnung, Indexprüfungen, Schema-Audit) muss die Ziel-URL sehen. Halten Sie also nach Schritt 2 drei Felder pro Ergebnis: resolved_url, token, accessed_at. Entfernen Sie goto-Links aus der URL-Spalte jeden Berichts; eine google.com-URL in einem Keyword-Bericht ist ein Datenqualitätsfehler in dutzend Facetten.

Wenn Sie den Resolver diese Woche nicht einbauen können, ist der sichere Zwischenschritt, das Ziel ganz wegzulassen statt das Token zu speichern: Positions- und Ranking-Daten bleiben aussagekräftig, nur die URL-Spalte bleibt leer. Ein Tool, das „keine URL" klar ausweist, ist viel leichter zu interpretieren als eines, das eine Token-Kette als echte Adresse meldet.

Erwartetes Ergebnis. Ein Bericht, in dem 100% der Zeilen http(s)-URLs Ihrer Domains sind und null google.com-Zeilen.

Qualitätsprüfung. Vergleichen Sie die URL-Ebene-Daten für zehn Keywords mit der Search Console. Die Zeilen müssen übereinstimmen. Wenn die Search Console einer URL eine Position gibt, die Ihr Bericht „nicht gefunden" nennt, gibt es eine Lücke im Resolver oder im Parser.

Wiederherstellung. Wenn ein kleiner Teil der URLs weiterhin nicht aufgelöst wird, protokollieren Sie deren Tokens separat. Die meisten Fehlschläge führen zu den zwei Hauptursachen aus Schritt 2: veraltetes HTML oder eine Bot-Erkennungsmauer bei der Folgeanfrage.

Schritt 4: Prüfen, was Ihr Anbieter tut

Was zu tun ist. Wenn Sie auf ein Ranking-Tool oder eine SERP-API vertrauen (auch solche, die auf gescrapeten Google-Daten aufbauen), läuft das Rollout seit Wochen. Stellen Sie diese fünf Fragen und gleichen Sie jede Änderung in Berichten damit ab:

Erwartetes Ergebnis. Entweder ein bestätigter Fix oder ein klarer Grund zum Wechsel. Innerhalb von 30 Tagen sollten Sie Berichts-URLs mit dem Site-Änderungsprotokoll rauschfrei zusammenführen können.

Rückweg. Keine Verbesserung beim Anbieter innerhalb einer Woche: Ersetzen Sie diesen Datenpunkt durch die Google Search Console API für Rankings – sie kommt direkt aus Googles eigenen Daten und sieht nie ein Token. Der Preis ist weniger Link-Detail; akzeptabel, wenn Ihre Entscheidungen Präzision statt Drittanbieter-Features brauchen.

Schritt 5: Den nächsten Schritt im Blick behalten

Der Mechanismus bleibt nicht stehen. Beobachten Sie monatlich drei Dinge:

1. Schlüsselrotation. Die Reverse-Engineering-Stichprobe fand vier im Umlauf befindliche Schlüsselbezeichner, einer davon dominant („ee47aa4d", rund 62% der Tokens). Wenn ein fünfter Schlüssel auftaucht und der dominante Anteil sich bewegt, erwarten Sie Cache-Invalidierung: Lösen Sie Tokens bei der Rotation neu auf.
2. Ausbreitung auf andere Oberflächen. /goto wurde auch in bezahlten Links und anderen Ergebnisarten gesehen. Wenn Ihr Tool Werbung oder Bilder berührt, weiten Sie die Suche aus Schritt 1 aus.
3. Weitere Härtung. Das steht in einer längeren Serie: erzwungenes JavaScript-Rendering (Anfang 2025), der Start von SearchGuard, die Schließung von &num=100 (September 2025) und die DMCA-Klage nach Section 1201 gegen SerpApi (Dezember 2025). Jedes ist einzeln dokumentiert; der Reverse-Engineering-Artikel bündelt die meisten. Erwarten Sie, dass die finale URL schwerer – nicht leichter – zu bekommen ist.

Endgültiges Ergebnis prüfen

• [ ] Der Detektor aus Schritt 1 läuft in CI oder geplant und logged goto_rate pro Query
• [ ] Alle Stichproben-Tokens lösen zu echten Zielen auf, im Browser geprüft
• [ ] Null google.com/goto-URLs in Ihren Berichten (grep des neuesten Exports)
• [ ] Zehn Keywords stimmen zeilenweise mit der Search Console überein
• [ ] Anbieter bestätigte die Auflösungsstrategie oder Ranking-Daten laufen über die GSC API
• [ ] Im monatlichen Rhythmus gibt es einen eigenen Schlüsselrotation-Check

Häufige Fragen

Betrifft das meine Rankings oder meinen Traffic? Nein. Es ändert sich der Klickweg; das Ranking-System, die Ergebnisse und das, was der Suchende sieht, ändern sich nicht. Ihre organische Leistung ist nur gefährdet, wenn ein Tool, das Sie betreiben, falsche Daten zu melden beginnt.

Kann man ein goto-Token dekodieren? Nicht von außen. Es ist eine verschlüsselte Nutzlast im Tink-Format, und ein geändertes Zeichen liefert HTTP 400 – Fälschen geht also auch nicht. Der gangbare Weg ist, der Weiterleitung zu folgen und den Location-Header zu lesen: genau das, was der Browser tut.

Darf ein Scraper `/goto`-Links verfolgen? Praktisch ist es dasselbe, was ein Browser-Klick tut, aber Google hat /goto? im eigenen robots.txt geblockt, und die Nutzungsbedingungen begrenzen automatisierten Zugriff auf Suchergebnisse. Wenn Sie SERP scrapen, stehen Sie ohnehin auf der falschen Seite dieser Bedingungen; dieses Rollout ändert das nicht, es macht es nur schwerer. Wählen Sie Ihre Compliance-Haltung, bevor Sie den Resolver bauen.

Muss ich etwas an meiner Website ändern? Nein. Die Änderung liegt vollständig in den Links, die Google rendert. Zu prüfen sind alle Tools, die in Ihrem Namen SERP lesen – das ist Schritt 4.

Autorin: Olivia Stone, SERP-Intelligence-Researcherin bei Auspia (analysiert mehr als 25.000 Queries). Schreibt über SERP-Analyse, Ranking-Muster und wie Suchmaschinen-Änderungen Ranking-Daten beeinflussen.