Schutz-Einstellungen für den Browser

Ein Header ist eine kurze Zeile, die Ihr Server vor jeder Seite mitschickt. Besucher sehen sie nicht. Die Schutz-Header sind Hausregeln für den Browser, etwa: keine Skripte aus fremden Quellen ausführen. Fehlen sie, lässt der Browser vieles zu, was ein Angreifer ausnutzen kann. Sie kosten nichts und wirken bei jedem Besuch. Wie Sie sie eintragen, steht in Header setzen nach Plattform. Bei Shopify können Sie keine eigenen Header eintragen, einige setzt Shopify selbst.

Für die Note zählt, ob ein Header da ist. Seinen Wert bewerten wir derzeit nicht. Wie viele Punkte jeder bringt, steht in Wie die Note entsteht.

Schutz gegen eingeschleuste Skripte (Content-Security-Policy)

Bringt jemand fremden Code in Ihre Seite, etwa über ein Kommentarfeld, kann dieser Code mitlesen, was Nutzer eingeben, und in ihrem Namen handeln. Fachleute nennen diesen Angriff Cross-Site-Scripting, kurz XSS. KI-Assistenten erzeugen solche Lücken häufig: Veracode fand bei Aufgaben zu Cross-Site-Scripting in 86 % der Fälle unsicheren Code (Veracode, Juli 2025). Dieser Header ist eine Liste, aus welchen Quellen Ihre Seite Skripte, Bilder und Schriften laden darf. Fremden Code führt der Browser dann nicht aus. Der Header heißt kurz CSP und bringt mit 25 die meisten Punkte, aber nur, wenn er Skripte wirklich einschränkt.

Guter Anfang: object-src 'none'; base-uri 'self'; frame-ancestors 'self'; upgrade-insecure-requests

Dieser Wert macht fast nie etwas kaputt, schränkt Skripte aber noch nicht ein und bringt deshalb erst 10 Punkte. Im nächsten Schritt legen Sie mit script-src die Quellen fest, die Sie nutzen, etwa script-src 'self'. Die vollen 25 Punkte gibt es, wenn die Richtlinie weder 'unsafe-inline' ohne Nonce oder Hash noch Platzhalter wie * oder https: für Skripte erlaubt. So bewerten auch der CSP Evaluator von Google und das Mozilla Observatory. Testen Sie das vorher mit dem Header Content-Security-Policy-Report-Only. Der Browser meldet dann nur, was er blockieren würde. Diese Testfassung zählt bei uns noch nicht als gesetzt. Eine CSP als meta-Tag im HTML zählt, wenn sie script-src oder default-src festlegt. frame-ancestors wirkt dort aber nicht.

Typischer Fehler: default-src 'self' ohne Test. Danach fehlen Statistik, Chat-Fenster oder das Zahlungsformular. Ebenso häufig ist 'unsafe-inline' für Skripte. Damit ist der Schutz vor eingeschleustem Code größtenteils wieder weg.

Nur verschlüsselte Verbindungen (Strict-Transport-Security)

Ohne diesen Header kann jemand im selben WLAN Ihre Besucher auf eine unverschlüsselte Fassung Ihrer Seite umlenken und mitlesen. Mit ihm merkt sich der Browser, Ihre Seite nur noch verschlüsselt aufzurufen. Der Header heißt kurz HSTS und bringt 20 Punkte.

Guter Anfang: max-age=31536000

Die Zahl steht für ein Jahr in Sekunden. Wenn Sie unsicher sind, starten Sie mit max-age=86400, also einem Tag, und erhöhen Sie später.

Typischer Fehler: includeSubDomains oder preload, obwohl eine Subdomain noch kein HTTPS hat. Diese Subdomain können Besucher dann nicht mehr öffnen, bis die Frist abläuft.

Kein Einbetten durch fremde Seiten (X-Frame-Options)

Ohne diesen Header kann eine fremde Seite Ihre unsichtbar über ihre legen. Nutzer klicken dann auf Knöpfe, die sie gar nicht sehen, etwa auf „Bestätigen“ in Ihrem Kundenportal. Das heißt Clickjacking. Der Header bringt 15 Punkte. Steht in Ihrer CSP schon frame-ancestors, zählt das genauso.

Guter Anfang: SAMEORIGIN

Typischer Fehler: ALLOW-FROM. Dieser Wert ist veraltet, Browser ignorieren ihn. Soll ein bestimmter Partner Ihre Seite einbetten dürfen, tragen Sie ihn in der CSP bei frame-ancestors ein.

Kein Raten von Dateitypen (X-Content-Type-Options)

Mit diesem Header glaubt der Browser der Angabe Ihres Servers, was eine Datei ist, statt selbst zu raten. So läuft ein hochgeladenes Bild nicht plötzlich als Skript. Der Header bringt 10 Punkte.

Guter Anfang: nosniff

Typischer Fehler: Der Server liefert Skripte mit falschem Dateityp aus, etwa als Text. Mit dem Header lädt der Browser sie dann nicht mehr. Prüfen Sie nach dem Setzen kurz, ob alles läuft.

Weniger Spuren beim Klick auf Links (Referrer-Policy)

Klickt jemand auf einen Link zu einer fremden Seite, schickt der Browser mit, woher er kommt. Ohne Regel kann das die volle Adresse sein, samt Suchbegriffen oder Kennungen darin. Der Header bringt 10 Punkte.

Guter Anfang: strict-origin-when-cross-origin

Fremde Seiten sehen damit nur Ihre Domain, nicht die einzelne Unterseite.

Typischer Fehler: unsafe-url. Damit geht immer die volle Adresse mit. Das strengere no-referrer ist sicher, kann aber Statistiken und Partnerprogramme stören.

Kamera, Mikrofon und Standort sperren (Permissions-Policy)

Dieser Header legt fest, welche Gerätefunktionen Ihre Seite und eingebettete fremde Inhalte überhaupt anfragen dürfen, etwa Kamera, Mikrofon oder Standort. Er bringt 10 Punkte.

Guter Anfang: camera=(), microphone=(), geolocation=()

Die leeren Klammern bedeuten: niemand.

Typischer Fehler: eine Funktion sperren, die Sie brauchen, zum Beispiel den Standort für eine Filialsuche. Tragen Sie dann geolocation=(self) ein. Auch die Schreibweise des Vorgängers Feature-Policy gilt heute nicht mehr.

Noch Fragen? Schreiben Sie uns.