Technik · Prüfpunkt
Welche Sicherheits-Header sollte ein Webserver senden?
Kopfzeilen, die dem Browser Schutzregeln mitgeben — die wichtigsten: Strict-Transport-Security (erzwingt die verschlüsselte Verbindung), Content-Security-Policy (begrenzt, woher Skripte laden dürfen), X-Content-Type-Options (verhindert das Umdeuten von Dateitypen), X-Frame-Options bzw. frame-ancestors (verhindert das Einbetten in fremde Seiten) und Referrer-Policy (begrenzt, was beim Verlassen der Seite übertragen wird). Unsere Prüfung liest die Antwort-Kopfzeilen Ihrer Website und benennt, welche dieser Schutzregeln fehlen.
Schutzregeln, die der Browser durchsetzt
Sicherheits-Header sind Anweisungen des Servers an den Browser: Verbinde dich nur verschlüsselt. Führe nur Skripte von diesen Quellen aus. Interpretiere Dateien nicht um. Lass diese Seite nicht in fremde Rahmen einbetten. Der Browser setzt diese Regeln beim Besucher durch — sie wirken damit auch dann, wenn an anderer Stelle etwas schiefgeht, etwa ein fremdes Skript eingeschleust wird. Das Nachrüsten geschieht in der Serverkonfiguration und verändert die Website selbst nicht.
Warum das auch ein Auffindbarkeits-Thema ist
Suchmaschinen bewerten Websites zunehmend nach Vertrauens-Signalen, und Sicherheitspraxis gehört dazu. Wichtiger noch ist die indirekte Wirkung: Eine Website, in die über eine fehlende Schutzregel fremder Code gelangt, kann von Suchmaschinen als gefährlich eingestuft und mit Warnhinweisen versehen werden — der größtmögliche Sichtbarkeits-Schaden. Die Kopfzeilen sind die günstigste Versicherung dagegen.
Was die Prüfung genau misst
Die Prüfung liest die HTTP-Antwort-Kopfzeilen der gemessenen Seiten und gleicht sie mit der Liste der Schutz-Header ab. Der Bericht nennt die fehlenden namentlich — als konkrete Arbeitsliste für die Serverkonfiguration. Bewertet wird das Vorhandensein; die Feinabstimmung einer Content-Security-Policy auf die konkrete Website bleibt Aufgabe der technischen Betreuung, weil eine zu strenge Regel Funktionen brechen kann.
So gehen Sie es an
- Ergänzen Sie die fehlenden Kopfzeilen in der Webserver-Konfiguration (nginx, Apache) oder im Verwaltungs-Panel des Hosters.
- Beginnen Sie mit den unkritischen Headern: X-Content-Type-Options, Referrer-Policy und X-Frame-Options brechen praktisch nie etwas.
- Führen Sie eine Content-Security-Policy zuerst im Beobachtungs-Modus (Report-Only) ein und schalten Sie erst dann scharf.
- Setzen Sie Strict-Transport-Security erst, wenn die gesamte Website dauerhaft verschlüsselt erreichbar ist.
Häufige Fragen
Können Sicherheits-Header die Website kaputt machen?
Die meisten sind gefahrlos. Zwei verdienen Sorgfalt: Eine zu strenge Content-Security-Policy kann eingebundene Skripte blockieren, und Strict-Transport-Security legt Besucher lange auf die verschlüsselte Verbindung fest. Beide führt man deshalb schrittweise ein.
Wir haben doch ein SSL-Zertifikat — reicht das nicht?
Das Zertifikat verschlüsselt die Verbindung, sobald sie zustande kommt. Die Schutz-Kopfzeilen regeln darüber hinaus, was der Browser mit der Seite tun darf — sie ergänzen die Verschlüsselung, ersetzen sie aber nicht und werden von ihr nicht ersetzt.
Wer setzt diese Kopfzeilen — die Agentur oder der Hoster?
Beides kommt vor: Bei eigenem Server gehört es in die Serverkonfiguration (typisch: Agentur oder Administration), bei Baukasten- und Verwaltungs-Hosting bieten viele Anbieter die Header als Einstellung an. Der Bericht mit den fehlenden Namen ist die passende Arbeitsgrundlage für beide.
Weiter im Prüfbereich Technik
- Warum soll die Sitemap die endgültige Adresse nennen?Sitemap-Einträge, die weiterleiten, kosten bei jedem Abruf einen zusätzlichen Schritt. Die Liste soll die finale Adresse jeder Seite nennen.
- Warum braucht jede Seite einen eigenen Titel?Tragen mehrere Seiten denselben Titel und verschiedene Canonicals, konkurrieren sie im Suchindex gegeneinander. Eindeutige Titel lösen die Konkurrenz auf.
- Warum sollen öffentliche Seiten zwischenspeicherbar sein?Ein Cache-Control „no-store" auf öffentlichen Seiten verhindert jede Zwischenspeicherung — jeder Abruf trifft den Server, Crawling und Ladezeit leiden.
- Warum müssen die Sprachangaben einer Seite übereinstimmen?Widersprechen sich html-lang und der Content-Language-Header, verwirrt das Sprach- und Länder-Zuordnung. Beide Angaben sollen dieselbe Sprache nennen.
Dieser Prüfpunkt gehört zum Prüfbereich Technik — dort stehen alle Prüfpunkte im Überblick. Was die Prüfung insgesamt leistet, zeigt die Leistungsseite; wie ein Ergebnis zustande kommt, erklärt das Prüfverfahren. Alle Prüfbereiche im Überblick: Wissensbasis.