HTTP-Sicherheits-Header
Die einfachsten Sicherheitsgewinne, die es gibt - Server-Header, die vor XSS, Clickjacking, MIME-Sniffing und SSL-Stripping schützen. Die meisten lassen sich in weniger als einer Stunde konfigurieren.
Ludwig Makhyan · Gründer, WebsiteCoach
Zum Abschnitt springen
Management-Zusammenfassung
HTTP-Sicherheits-Header sind Anweisungen auf Serverebene, die dem Browser mitteilen, wie er Ihre Inhalte sicher verarbeiten soll. Sie gehören zu den wirkungsvollsten Sicherheitsverbesserungen mit dem geringsten Aufwand - normalerweise sind keine Codeänderungen erforderlich, nur eine Server- oder CDN-Konfiguration. Fehlende Header werden regelmäßig in den Top 10 der Webanwendungs-Sicherheitsrisiken von OWASP genannt.
Geschäftliche Auswirkungen
Ein erfolgreicher XSS-Angriff (verhinderbar durch CSP) kann zu Session-Hijacking, dem Diebstahl von Anmeldedaten und zu Datenlecks führen. Unter der DSGVO kann ein Datenleck zu Bußgeldern von bis zu 4 % des weltweiten Jahresumsatzes führen. Fehlt HSTS, ist Ihre Website anfällig für SSL-Stripping - ein Man-in-the-Middle-Angriff, der Daten auf unverschlüsselten Verbindungen abfängt.
Quelle: Analyse der HTTP-Antwort-Header bei jedem WebsiteCoach-Audit.
Sicherheits-Header erklärt
Dieser Header wird auf Vorhandensein und Konfigurationsqualität geprüft, weil schwache Werte Browser-Schutzmechanismen unvollständig lassen.
- Content-Security-Policy (CSP)
- Strict-Transport-Security (HSTS)
- X-Content-Type-Options
- X-Frame-Options
- Referrer-Policy
- Permissions-Policy
- Cross-Origin-Resource-Policy (CORP)
- Cross-Origin-Opener-Policy (COOP)
- Cross-Origin-Embedder-Policy (COEP)
Rollenspezifischer Aktionsplan
- →Implementierung von Sicherheits-Headern als Teil der Compliance-Strategie genehmigen
- →Verstehen, dass fehlende CSP und HSTS häufige Befunde in Sicherheitsaudits und Penetrationstests sind
- →Compliance der Sicherheits-Header in die Sicherheitsbewertungen von Drittanbietern aufnehmen
- →Alle Sicherheits-Header auf Reverse-Proxy- oder CDN-Ebene konfigurieren (nginx, Cloudflare, Vercel)
- →HSTS-Preloading über hstspreload.org aktivieren, nachdem die vollständige HTTPS-Abdeckung bestätigt wurde
- →Cloudflares verwaltete Regeln für Sicherheits-Header hinzufügen (sofern Cloudflare verwendet wird)
- →Eine CSP-Richtlinie entwerfen, beginnend im Report-Only-Modus, um störende Fehler zu vermeiden
- →Mozilla Observatory oder WebsiteCoach verwenden, um die Vollständigkeit der Header zu bewerten
- →Einen CSP-Violation-Reporting-Endpunkt einrichten, um blockierte Ressourcen zu überwachen
- →Die Permissions-Policy überprüfen und verschärfen, um nur erforderliche Browser-APIs zuzulassen
- →Alle Inline-<script>- und <style>-Blöcke entfernen - durch externe Dateien ersetzen (für strikte CSP erforderlich)
- →Alle Skripte von Drittanbietern prüfen und ihre Domains in die CSP-Allowlist aufnehmen
- →Nach dem CSP-Deployment über die Browser-Konsole auf Richtlinienverstöße testen
Häufig gestellte Fragen
Was ist HTTP-Sicherheits-Header?
Die einfachsten Sicherheitsgewinne, die es gibt - Server-Header, die vor XSS, Clickjacking, MIME-Sniffing und SSL-Stripping schützen. Die meisten lassen sich in weniger als einer Stunde konfigurieren.
Warum ist HTTP-Sicherheits-Header wichtig?
Ein erfolgreicher XSS-Angriff (verhinderbar durch CSP) kann zu Session-Hijacking, dem Diebstahl von Anmeldedaten und zu Datenlecks führen. Unter der DSGVO kann ein Datenleck zu Bußgeldern von bis zu 4 % des weltweiten Jahresumsatzes führen. Fehlt HSTS, ist Ihre Website anfällig für SSL-Stripping - ein Man-in-the-Middle-Angriff, der Daten auf unverschlüsselten Verbindungen abfängt.
Offizielle Referenzen
Verwandte Themen
Überprüfen Sie jetzt Ihren Sicherheit-Score
Kostenloses Audit in 60 Sekunden - kein Konto erforderlich.
Kostenloses Audit starten