Sicherheit

Welche Sicherheits-Header sendet Ihre Website wirklich?

Sicherheits-Header bieten maximalen Schutz bei minimalem Aufwand – wenige Zeilen Serverkonfiguration wehren ganze Angriffsklassen ab. Die meisten Websites nutzen sie kaum. Dieses Tool analysiert Ihre HTTP-Header und bewertet die Sicherheitslage.

Wir senden eine Anfrage und prüfen die Response-Header. Es wird nichts gespeichert.

Die geprüften Header stammen direkt aus der realen HTTP-Antwort Ihres Servers. Die Bewertung folgt den OWASP-Richtlinien für sichere Header. Fehlende oder zu schwach konfigurierte Header werden präzise mit Begründung ausgewiesen.

Der Leitfaden hinter diesem Tool HTTP-Sicherheits-Header: Was die Header wirklich bewirken Sechs Header, die ganze Angriffsklassen abwehren – nach Priorität geordnet: Funktionsweise, Fallstricke und zwei Header, die Sie entfernen sollten. Leitfaden lesen · 3 Min. Lesezeit →

Was dieses Tool prüft

Acht Header aus Ihrer realen HTTP-Antwort, bewertet nach OWASP-Standards – inklusive zwei Header, die Sie entfernen sollten.

  • Strict-Transport-Security

    Ob HTTPS erzwungen wird, für welche Dauer und ob Subdomains einbezogen sind.

  • Content-Security-Policy

    Vorhanden, aktiv oder Report-Only – und ob 'unsafe-inline' den Schutz unbemerkt schwächt.

  • Clickjacking-Schutz

    X-Frame-Options oder CSP frame-ancestors. Ohne Schutz können Seiten unsichtbar überlagert werden.

  • X-Content-Type-Options

    Ein Wert, kein Risiko. Das Fehlen ist die am schnellsten behebbare Lücke.

  • Referrer-Policy

    Ob vollständige URLs inklusive Query-Parametern an verlinkte Drittseiten übermittelt werden.

  • Permissions-Policy

    Welche Browserfunktionen für Skripte auf der Seite freigegeben sind.

  • Preisgabe von Serverversionen

    Server- und X-Powered-By-Header, die Software-Versionen für Angreifer offenlegen.

  • Veraltete Header

    X-XSS-Protection aktivierte einen Filter, der wegen eigener Sicherheitslücken entfernt wurde.

So lesen Sie Ihr Ergebnis

Beginnen Sie mit den drei risikofreien Headern: X-Content-Type-Options, X-Frame-Options und Referrer-Policy. Jeder ist ein Einzeiler, auf jeder Website sicher und heute Nachmittag einsatzbereit.

Entfernen Sie unnötige Header: Das Löschen von X-XSS-Protection und das Unterdrücken von Server-Versionsheadern dauert nur Minuten.

HSTS als Nächstes – mit Sorgfalt: Browser erzwingen diese Direktive verbindlich. Stellen Sie sicher, dass alle Subdomains HTTPS unterstützen, und erhöhen Sie max-age schrittweise statt sofort auf ein volles Jahr.

CSP zuletzt – zunächst im Report-Only-Modus: Dies ist der wirksamste Schutz, kann aber bei Fehlkonfiguration Skripte blockieren. Sammeln Sie zwei bis vier Wochen lang Berichte, erlauben Sie legitime Ressourcen und schalten Sie erst dann scharf.

Hinweis: Keiner dieser Header ist ein direkter Rankingfaktor. Der Grund für die Umsetzung: Eine gehackte Website verliert drastisch an Sichtbarkeit, sobald Google Sicherheitswarnungen ausgibt.

Die Funktion der einzelnen Header

Strict-Transport-Security (HSTS)

Weist den Browser an, für einen definierten Zeitraum ausschließlich über HTTPS mit der Domain zu kommunizieren. Dies schließt Angriffsfenster, bei denen eine unverschlüsselte Verbindung abgefangen werden könnte.

Strict-Transport-Security: max-age=31536000; includeSubDomains

Starten Sie mit einer kurzen max-age, bis sichergestellt ist, dass alle Subdomains über HTTPS erreichbar sind. Nach Aktivierung von einem Jahr mit includeSubDomains blockieren Browser unverschlüsselte Verbindungen konsequent.

Content-Security-Policy (CSP)

Der mächtigste, aber auch anspruchsvollste Schutz. Er definiert erlaubte Quellen für Skripte, Stylesheets, Bilder und Verbindungen – und neutralisiert Cross-Site-Scripting (XSS) selbst bei erfolgreicher Injection.

Viele Seiten zögern bei der Einführung, weil eine strikte CSP Inline-Skripte blockiert. Der bewährte Ansatz: Zuerst im Report-Only-Modus starten, Meldungen analysieren und anschließend scharfschalten.

X-Frame-Options

Verhindert, dass Ihre Seiten in iFrames fremder Domains eingebettet werden – der Kern von Clickjacking-Angriffen über unsichtbare Overlays.

Obwohl frame-ancestors in der CSP moderner ist, sorgt das parallele Senden beider Header für vollständige Abwärtskompatibilität.

X-Content-Type-Options: nosniff

Ein fixer Wert, kein Konfigurationsaufwand, keine Nachteile. Verhindert MIME-Type-Sniffing im Browser, wodurch manipulierte Uploads nicht als ausführbare Skripte interpretiert werden können.

Referrer-Policy

Steuert, welche URL-Informationen beim Klick auf externe Links übertragen werden. Ohne diesen Header können sensible Parameter in Abfrage-Strings nach außen gelangen. strict-origin-when-cross-origin ist der empfohlene Standard.

Permissions-Policy

Legt fest, auf welche Browserfunktionen (Kamera, Mikrofon, Standort, Zahlungen) Skripte zugreifen dürfen. Das Deaktivieren ungenutzter Schnittstellen minimiert das Risiko durch Drittanbieter-Skripte.

Header, die Sie nicht senden sollten

X-XSS-Protection ist veraltet. Der Filter wurde aus modernen Browsern entfernt, da er eigene Sicherheitslücken verursachte.

Server und X-Powered-By verraten genaue Software- und Versionsnummern – wertvolle Informationen für automatisierte Schwachstellen-Scanner. Deaktivieren Sie diese Header.

Häufig gestellte Fragen

Beeinflussen Sicherheits-Header das SEO?

Nicht unmittelbar. HTTPS ist ein Rankingfaktor und HSTS unterstützt dies, aber Suchmaschinen bewerten die CSP nicht direkt. Der indirekte Einfluss ist jedoch enorm: Eine gehackte Website verliert drastisch an Rankings, sobald Google Malware-Warnungen ausgibt.

Lohnt sich der Aufwand für eine CSP?

Für Websites mit Logins, Zahlungen oder Nutzerdaten: Unbedingt. Bei reinen Informationsseiten ist das Kosten-Nutzen-Verhältnis geringer – hier decken die anderen fünf Header bereits den Großteil des Basis-Schutzes mit Einzeilern ab.

Können diese Header meine Website beschädigen?

Eine fehlerhafte CSP kann Skripte blockieren, weshalb der Report-Only-Modus empfohlen wird. HSTS bindet den Browser für die angegebene Zeit. Alle anderen Header (nosniff, X-Frame-Options, Referrer-Policy, Permissions-Policy) können bedenkenlos sofort aktiviert werden.

Wie richte ich sie auf Shared Hosting ein?

Über die `.htaccess`-Datei bei Apache oder LiteSpeed per `<IfModule mod_headers.c>` und `Header always set`. Bei Nginx erfolgt die Konfiguration über `add_header` im Server-Block.

Weitere kostenlose Tools

SEO & Speed Audit

Echte Core Web Vitals aus Googles API plus Live-On-Page-Prüfungen Ihres tatsächlichen HTML-Codes.

Sagen Sie uns, was Sie voranbringen möchten.

Ein Team. Drei Standorte. Sechsundzwanzig Sprachen. Schildern Sie Ihr Anliegen und Sie erhalten eine fundierte Expertenantwort — kein Vertriebsskript.

Angebot anfordern → Jetzt Nachricht senden

Ein schriftliches Angebot innerhalb eines Werktages in Ihrer Sprache.