Sicherheits-Header (Security Headers) sind zusätzliche Angaben, die ein Webserver zusammen mit einer Seite an den Browser sendet, um dessen Sicherheitsverhalten zu steuern. Sie legen etwa fest, welche Inhalte geladen werden dürfen oder ob eine Seite nur über eine verschlüsselte Verbindung aufgerufen werden soll. So schützen sie vor verbreiteten Angriffen wie Cross-Site-Scripting.
Wie funktionieren Sicherheits-Header?
Bei jedem Seitenaufruf sendet der Server neben dem Inhalt sogenannte HTTP-Header. Sicherheits-Header sind spezielle Anweisungen darunter, die dem Browser sagen, wie er mit der Seite umgehen soll. Der Browser wertet sie aus und schränkt riskantes Verhalten entsprechend ein, noch bevor Schadcode wirken könnte.
Wichtige Vertreter sind die Content-Security-Policy, die festlegt, aus welchen Quellen Skripte, Bilder und Styles geladen werden dürfen, sowie Strict-Transport-Security, die erzwingt, dass die Seite nur verschlüsselt über HTTPS aufgerufen wird. Weitere Header verhindern etwa, dass die Seite ungewollt in fremde Rahmen eingebettet oder der Inhaltstyp fehlinterpretiert wird.
Warum sind Sicherheits-Header wichtig?
Sicherheits-Header schließen typische Einfallstore für Angriffe. Eine gut konfigurierte Content-Security-Policy erschwert Cross-Site-Scripting, bei dem Angreifer fremden Code in eine Seite einschleusen. Strict-Transport-Security verhindert, dass Nutzer unbemerkt auf eine unverschlüsselte Verbindung umgeleitet werden.
Sie ergänzen andere Schutzmaßnahmen wie Updates, starke Passwörter und Backups zu einem gestaffelten Sicherheitskonzept. Gerade für Websites, die mit sensiblen Kontaktanfragen oder Mandantendaten arbeiten, sind sie ein wichtiger Baustein, der zudem das Vertrauen technisch versierter Besucher stärkt.
Sicherheits-Header in der Praxis
Sicherheits-Header werden in der Server-Konfiguration, über die Einstellungen des Hosters oder mit einem Plugin gesetzt. Der Aufwand hält sich meist in Grenzen, erfordert aber Sorgfalt: Eine zu strenge Content-Security-Policy kann legitime Skripte oder eingebundene Dienste blockieren und Funktionen der Seite stören.
Deshalb wird die Konfiguration schrittweise aufgebaut und getestet, oft zunächst in einem Berichtsmodus, der Verstöße nur meldet, statt sie zu blockieren. Mit kostenlosen Online-Werkzeugen lässt sich prüfen, welche Sicherheits-Header eine Seite bereits sendet und wo Nachbesserung sinnvoll ist. So entsteht ein robuster Schutz, ohne die Funktionalität zu beeinträchtigen.
Sicherheits-Header sind dabei stets nur ein Baustein und kein Ersatz für andere Maßnahmen. Sie ergänzen aktuelle Software, starke Zugangsdaten und regelmäßige Backups, indem sie das Verhalten des Browsers absichern. Bei eingebundenen Diensten wie Schriftarten, Karten oder Analyse-Werkzeugen muss die Content-Security-Policy deren Quellen ausdrücklich erlauben, sonst werden diese blockiert. Eine gepflegte, dokumentierte Header-Konfiguration, die bei Änderungen an der Website mitgezogen wird, sorgt langfristig für Schutz ohne unerwartete Funktionsausfälle.