Das hier ist die Belegsammlung. In Die Verschwörung, die keine war habe ich gesagt, unter der Mullvad-Hetzwelle liege genau ein wirklich koordiniertes Netzwerk. Hier ist es, dokumentiert, mit einer Disavow-Datei, die jeder, den es ins Visier genommen hat, ab heute nutzen kann.
↓ Disavow-Datei herunterladen — 125 Domains
Der Betreiber. Zwei Hub-Domains: seo-anomaly-d-1.xyz (registriert am 2026-04-23) und seo-anomaly-beijing.online (2025-10-06). Derselbe Registrar (NameCheap), beide hinter Cloudflare versteckt. Die Links, die er setzt, bewerben das Geschäft im eigenen Ankertext — ein Telegram-Handle, @seo_anomaly, das „SEO backlinks, PBN, black-links, traffic boost, link indexing“ verkauft. Das Produkt ist kein Dienst, der nebenbei Spam produziert. Das Produkt ist der Spam.
Der Mechanismus. Der Betreiber schleust Links in ~125 kompromittierte Drittseiten ein — die Datei oben listet sie alle auf — und richtet sie auf die beiden Hubs, um Autorität zu waschen. Die Hubs betreiben dann Vorlagenseiten nach dem Muster {country}_proxy_vpn_vps_hosting, die Marken mit hoher Autorität breitflächig verstreuen, damit der Spam gecrawlt und indexiert wird. Allein Mullvad hat rund 20.000 dieser Links abbekommen. Es wurde nicht ausgewählt; es war ein großes Ziel, an dem der Rasensprenger vorbeischwenkte. Das Netzwerk ist seit Oktober 2025 aktiv — Monate bevor Mullvad überhaupt in den Nachrichten war.
Die Zulieferseiten sind Opfer. Das ist wichtig, deshalb sage ich es deutlich: Die 125 Domains in dieser Datei sind ganz überwiegend gehackt — legitime Seiten, denen ohne ihr Wissen Links untergeschoben wurden. Auf der Liste stehen kleine Unternehmen aus rund zwanzig Ländern, mehrere Universitäten und mindestens eine staatliche Gesundheitsdomain. Wenn Ihnen eine davon gehört, haben Sie kein Marketing-Problem, sondern einen Einbruch. Sie zu disavowen sagt Google, Links von ihnen zu ignorieren; es ist kein Vorwurf gegen sie.
Wer sie einreichen sollte. Jede Seite, die dieses Netzwerk ins Visier genommen hat — Mullvad oder eine andere —, kann die Datei direkt in der Google Search Console unter „Disavow Links“ hochladen. Es ist reines Google-Disavow-Format, mit Kommentarkopf, nichts zu bearbeiten.
Methode, damit Sie mich überprüfen können. Verweisende Domains und Ankertexte aus Semrush; Registrierungsdaten und Registrar aus WHOIS; Hosting und Nameserver aus Live-Abfragen von DNS/ASN. Jede Zahl hier lässt sich mit diesen drei Werkzeugen und einem Nachmittag reproduzieren.
Noch eine letzte Sache, denn sie ist der ganze Sinn der Trilogie. Dieses Netzwerk ist echt, koordiniert und hässlich — und es hat nichts mit Mullvads Politik oder seiner schlimmen Woche zu tun. Es hätte sie in jeder Woche getroffen, die in einem Suchanstieg endete. Die Empörung hat keine Verschwörung herbeigerufen. Sie hat nur die Essensglocke für eine Maschine geläutet, die ohnehin schon lief.
Nehmen Sie die Datei. Disavowen Sie das Netzwerk. Und wenn die nächste Hetzwelle als Bewegung verkleidet daherkommt, prüfen Sie, ob tatsächlich jemand die Strippen zieht, bevor Sie sich entscheiden, dass es so ist.