HTTP-Sicherheits-Header: Ein praktischer Überblick über die wichtigsten

Eine Handvoll HTTP-Antwort-Header weisen den Browser an, in Ihrem Namen Schutzmaßnahmen zu aktivieren — nahezu kostenlos. Fehlende Header schaffen für sich keine Schwachstelle, entfernen aber Abwehrmechanismen, die sonst die Auswirkung von Angriffen wie XSS und Clickjacking begrenzen würden. Dieser Artikel gibt einen praktischen Überblick über die wichtigsten.

Die wichtigsten

• Strict-Transport-Security (HSTS): Zwingt den Browser, immer HTTPS zu nutzen, und schließt die SSL-Stripping-Lücke. Mit kurzer max-age beginnen, dann verlängern und includeSubDomains/preload ergänzen.
• Content-Security-Policy (CSP): Beschränkt, aus welchen Quellen die Seite laden und Skripte ausführen darf. Der stärkste Header zur Begrenzung der XSS-Auswirkung, und seine Direktive frame-ancestors verhindert auch Clickjacking. CSP muss an Ihre Site angepasst werden, um legitime Ressourcen nicht zu brechen.
• X-Frame-Options: DENY oder SAMEORIGIN — Anti-Clickjacking für ältere Clients; in modernen Browsern durch CSP frame-ancestors ersetzt.
• X-Content-Type-Options: nosniff: Verhindert, dass der Browser den Inhaltstyp “errät” und neu interpretiert, und mindert einige Content-Type-Verwechslungsangriffe.
• Referrer-Policy: Steuert, wie viel Referrer-Information an andere Sites gesendet wird (Datenschutz/Leak-Kontrolle).

Ein Hinweis zu veralteten Ratschlägen

Sicherheitsempfehlungen ändern sich. Der Header X-XSS-Protection etwa ist veraltet und kann sogar Probleme verursachen; moderne Abwehr setzt stattdessen auf CSP und korrekte Ausgabekodierung. Bevorzugen Sie aktuelle Quellen gegenüber alten Blogbeiträgen.

Anwendung und Prüfung

1. Fügen Sie die Header auf Webserver- oder Anwendungsebene hinzu (auf allen Antworten, auch Fehlerseiten).
2. Führen Sie CSP schrittweise ein — erwägen Sie zuerst den Report-Only-Modus —, um legitime Skripte nicht zu brechen.
3. Prüfen Sie mit curl -sI https://ihreseite.de jeden Header.

Zusammenfassung

Ein kleiner Satz Header — HSTS, CSP (mit frame-ancestors), X-Content-Type-Options: nosniff und eine sinnvolle Referrer-Policy — bietet starke, kostengünstige browserseitige Abwehr. Sie ersetzen nicht das Beheben der zugrunde liegenden Fehler, begrenzen aber die Auswirkung deutlich. Wenden Sie sie sorgfältig an (besonders CSP) und prüfen Sie aus echten Antworten.

Quellen: MDN: HTTP headers, OWASP Secure Headers Project.

Der External-Surface-Scan von CyberTestify prüft Ihre Sicherheits-Header deterministisch aus echten Antworten und meldet, was fehlt.