Software-Stand · Prüfpunkt
Was verraten Server-Header über die Software Ihrer Website?
Server-Header können Namen und Versionsnummern der Software nennen, die Ihre Website ausliefert — zum Beispiel des Webservers oder der eingesetzten Programmierumgebung. Diese Kopfzeilen schickt Ihr Server unsichtbar mit jeder Antwort mit; jeder kann sie abfragen, ohne dass Sie es bemerken. Der Prüfbereich Software-Stand meldet, wenn darin Versionsnummern stehen, denn sie erleichtern Angreifern die Zuordnung.
Jede Server-Antwort trägt unsichtbare Kopfzeilen
Wenn ein Browser eine Seite Ihrer Website abruft, antwortet der Server mit dem Inhalt — und mit einer Reihe von Kopfzeilen, die der Besucher nie zu Gesicht bekommt. Sie regeln technische Dinge wie Zwischenspeicherung oder Zeichensatz. Einige davon sind reine Selbstauskunft: Die Kopfzeile „Server“ nennt oft die Webserver-Software, „X-Powered-By“ die Programmierumgebung — in der Standardeinstellung häufig samt Versionsnummer. Der Prüfbereich liest die Kopfzeilen der ohnehin abgerufenen Seite und meldet jede, die eine Versionsnummer enthält, mit der genauen Zeile als Beleg. Ein zusätzlicher Zugriff auf Ihren Server findet dafür nicht statt.
Versionsnummern im Header sind reine Aufklärungshilfe für Angreifer
Wer eine Website angreifen will, klärt zuerst, welche Software dort läuft. Nennen die Kopfzeilen die Versionen frei Haus, entfällt dieser Aufwand — die Zuordnung zu bekannten Schwachstellen wird zur einfachen Recherche. Auch hier trennt die Prüfung sauber: Ein sichtbarer Versions-Header belegt Sichtbarkeit, keine Verwundbarkeit. Ob die genannte Software-Version tatsächlich eine ausnutzbare Lücke hat, sagt der Befund nicht, und die Prüfung untersucht das auch nicht. In der Bewertung zählt die verborgene Server-Signatur 20 von 100 Punkten — ein kleiner, aber leicht einzusammelnder Baustein, denn das Abschalten kostet in der Regel nichts an Funktion.
Der Hoster oder die Agentur schaltet die Signatur ab
Die Selbstauskunft der Kopfzeilen lässt sich in der Server-Konfiguration unterdrücken oder auf den bloßen Produktnamen ohne Version kürzen. Bei gemietetem Webspace erledigt das der Hoster — eine kurze Anfrage an den Support genügt oft. Betreibt Ihre Agentur den Server, gehört der Handgriff in deren Wartungsroutine. Websites bei Baukasten-Anbietern liegen außerhalb Ihres Einflusses; dort verantwortet der Anbieter die Serverpflege insgesamt. Wichtig bleibt die Einordnung: Das Verbergen der Signatur ist Hygiene, kein Schutzschild. Die eigentliche Sicherheitsarbeit ist die laufende Aktualisierung der Server-Software — sie passiert nur unsichtbar, während die Signatur das Sichtbarste ist, was ein Server preisgibt.
So gehen Sie es an
- Bitten Sie Ihren Hoster oder Ihre Agentur, Versionsangaben in den Antwort-Kopfzeilen abzuschalten.
- Fragen Sie nach, welche Server-Software Ihre Website ausliefert und wer deren Aktualisierung verantwortet.
- Lassen Sie nach jedem Server-Umzug oder größeren Update prüfen, ob die Kopfzeilen wieder Versionen nennen — Standardeinstellungen kehren gern zurück.
- Halten Sie die Zuständigkeit schriftlich fest: Serverpflege gehört in einen Wartungsvertrag, nicht in den Zuruf.
Häufige Fragen
Was ist ein HTTP-Header?
Eine Kopfzeile, die Server und Browser bei jedem Seitenabruf zusätzlich zum Inhalt austauschen. Kopfzeilen regeln technische Abläufe wie Zwischenspeicherung, Umleitungen oder den Zeichensatz. Besucher sehen sie nie, aber jedes Programm kann sie mitlesen. Manche Kopfzeilen enthalten eine Selbstauskunft des Servers — genau dort können Software-Namen und Versionsnummern stehen.
Was bedeutet „X-Powered-By“?
Diese Kopfzeile nennt die Programmierumgebung, mit der eine Website erzeugt wird, in der Standardeinstellung oft samt Versionsnummer. Für den Betrieb der Website ist die Angabe ohne Nutzen — kein Browser braucht sie. Sie lässt sich in der Server-Konfiguration abschalten, ohne dass sich am Verhalten der Website etwas ändert.
Ist ein sichtbarer Server-Header eine Sicherheitslücke?
Nein. Er ist eine Aufklärungshilfe: Angreifer erfahren ohne eigenen Aufwand, welche Software in welcher Version antwortet, und können gezielt nach passenden Schwachstellen recherchieren. Ob eine solche Schwachstelle bei Ihnen tatsächlich besteht, sagt der Header nicht — und die Prüfung bewertet ausschließlich die Sichtbarkeit, nie die Verwundbarkeit Ihrer Installation.
Kann ich Server-Header selbst abschalten?
Das hängt von Ihrem Hosting ab. Bei gemietetem Webspace übernimmt es der Hoster auf Anfrage, bei eigenem Server Ihre Agentur oder Ihr Administrator über die Server-Konfiguration. Bei Baukasten-Anbietern entscheidet der Anbieter allein über die Server-Einstellungen. Der Eingriff ist klein und kostet üblicherweise keine Funktion — er gehört in jede Wartungsroutine.
Weiter im Prüfbereich Software-Stand
- Warum ist eine Bibliothek ohne Herstellerpflege ein Risiko für Ihre Website?Eine Bibliothek ohne Herstellerpflege erhält keine Sicherheitskorrekturen mehr. Was das Wartungsende bedeutet und wie Sie den Wechsel anstoßen.
- Warum sollte Ihre Website ihre CMS-Version verbergen?Eine sichtbare CMS-Version macht Ihre Website für versionsgezielte Angriffe sortierbar. Die Angabe lässt sich meist ohne Funktionsverlust entfernen.
- Was verraten Plugin-Versionen im Quelltext Ihrer Website?Plugins und Themes schreiben ihre Version oft in Dateipfade. So erkennt jeder veraltete Erweiterungen von außen — und so begrenzen Sie die Preisgabe.
Dieser Prüfpunkt gehört zum Prüfbereich Software-Stand — dort stehen alle Prüfpunkte im Überblick. Was die Prüfung insgesamt leistet, zeigt die Leistungsseite; wie ein Ergebnis zustande kommt, erklärt das Prüfverfahren. Alle Prüfbereiche im Überblick: Wissensbasis.