Security-Header

Security-Header sind zusätzliche HTTP-Response-Header, die einer Website vorschreiben, wie streng der Browser mit Inhalten, eingebetteten Frames und Verbindungsdetails umgeht. EverAudit prüft sie bei jeder gecrawlten Seite und ordnet Befunde in dieser Kategorie durchweg der höchsten Priorität zu.

Was prüft EverAudit in dieser Kategorie?#

EverAudit prüft bei jeder Seite acht konkrete Security-Aspekte: sechs fehlende Schutz-Header (CSP, HSTS, X-Frame-Options, X-Content-Type-Options, Referrer-Policy, Permissions-Policy), Mixed Content auf https-Seiten sowie Formulare mit unsicherer action-Adresse. Zusätzlich wertet EverAudit den X-Robots-Tag-Header aus, der die Indexierung einzelner Seiten steuert.

Alle Checks laufen direkt an den tatsächlichen HTTP-Response-Headern der gecrawlten Seiten an — unabhängig vom CMS, da sie serverseitig gesetzt werden und nicht im sichtbaren HTML stecken.

Warum ist diese Kategorie prio1?#

Fehlende Security-Header sind meist mit geringem Aufwand behebbar, schließen aber gut dokumentierte, seit Jahren bekannte Angriffswege — von Cross-Site-Scripting über Clickjacking bis zu abgefangenen Formular- oder Verbindungsdaten. Weil ein einzelner fehlender Header oft die gesamte Domain betrifft und die Behebung meist eine zentrale Server-Konfiguration ist, stuft EverAudit diese Kategorie konsequent als „must-do" ein.

Die wichtigsten Fehlerarten im Überblick#

• Content-Security-Policy — legt fest, aus welchen Quellen Skripte und andere aktive Inhalte geladen werden dürfen, und ist die wirksamste Verteidigung gegen eingeschleusten Code.
• HSTS — erzwingt, dass eine Domain ausschließlich über https erreichbar ist, und schließt damit den ungeschützten ersten http-Kontakt.
• Clickjacking-Schutz — verhindert, dass eine Seite unsichtbar in eine fremde Website eingebettet und für Täuschungsklicks missbraucht wird.
• X-Content-Type-Options — unterbindet, dass der Browser Dateitypen selbst errät und harmlose Uploads als Code interpretiert.
• Referrer-Policy — begrenzt, wie viel der aktuellen URL beim Wechsel zu einer fremden Website weitergegeben wird.
• Permissions-Policy — sperrt sensible Browser-Funktionen wie Kamera oder Standort, die die Seite gar nicht benötigt.
• Mixed Content — deckt einzelne, noch über http geladene Ressourcen auf einer sonst verschlüsselten Seite auf.
• Formular ohne HTTPS — findet Formulare, deren action-Ziel auf eine unsichere http-Adresse zeigt.

Daneben prüft EverAudit den X-Robots-Tag-Header auf noindex, nofollow und noimageindex — technische Indexierungsanweisungen, die eine Seite oder ihre Bilder unbeabsichtigt aus der Google-Suche ausschließen können. Diese Befunde behandelt EverAudit direkt auf diesem Pfeiler-Artikel, da sie meist einzelne, punktuelle Konfigurationsfehler statt eines strukturellen Sicherheitsproblems sind.

Welche Auswirkung hat eine schwache Header-Konfiguration insgesamt?#

Jeder einzelne Header schließt eine spezifische Lücke — gemeinsam ergeben sie ein Grundschutzniveau, das über die reine https-Verschlüsselung hinausgeht. Fehlen mehrere Header gleichzeitig, verstärken sich die Risiken: Ohne CSP kann eingeschleuster Code ungehindert laufen, ohne Referrer-Policy verbreitet sich mehr URL-Information als nötig, ohne Clickjacking-Schutz lässt sich die Seite für Täuschungsangriffe missbrauchen. Für Besucher ist das Fehlen dieser Header unsichtbar — sie wirkt sich erst im Ernstfall eines Angriffs aus.

Wie gehen Sie die Behebung an?#

Da alle Header serverseitig gesetzt werden, lassen sie sich meist an einer zentralen Stelle ergänzen — direkt am Webserver, im Anwendungscode oder am CDN. Beginnen Sie mit den risikoärmsten, am einfachsten zu setzenden Headern (X-Content-Type-Options, X-Frame-Options, Referrer-Policy) und arbeiten Sie sich zur aufwendigeren Content-Security-Policy vor, die vorab eine Bestandsaufnahme der genutzten Ressourcen-Quellen verlangt. Die verlinkten Einzelartikel enthalten für jeden Header konkrete, CMS-unabhängige Konfigurationsbeispiele.

Fazit#

Security-Header sind eine der Maßnahmen mit dem besten Verhältnis von Aufwand zu Wirkung: wenige Zeilen Server-Konfiguration schließen seit Langem bekannte, gut dokumentierte Angriffswege. Wer https bereits nutzt, aber die Header vernachlässigt, hat nur die halbe Absicherung umgesetzt.