Security-Header: Mehr Schutz für Ihre Website
HTTP-Security-Header sind kleine Anweisungen, die Ihr Server an den Browser sendet und die Ihre Website spürbar sicherer machen. Sie schützen vor gängigen Angriffen und zählen heute zu den üblichen technischen Schutzmaßnahmen. Der Aufwand ist gering, der Sicherheitsgewinn erheblich.
Worum geht es?
Security-Header sind zusätzliche Angaben im HTTP-Antwortkopf, die Ihr Webserver an den Browser Ihrer Besucher übermittelt. Sie legen fest, wie der Browser mit Ihrer Seite umgehen soll – etwa welche Inhalte er laden darf und ob eine Verbindung zwingend verschlüsselt sein muss.
Für den Besucher bleiben diese Header unsichtbar, doch sie erschweren Angreifern die Arbeit erheblich. Zu den wichtigsten gehören:
- HSTS (Strict-Transport-Security) – erzwingt verschlüsselte HTTPS-Verbindungen
- Content-Security-Policy (CSP) – kontrolliert, welche Skripte und Ressourcen geladen werden dürfen
- X-Content-Type-Options: nosniff – verhindert, dass der Browser Dateitypen falsch interpretiert
- Referrer-Policy – steuert, welche Herkunftsinformationen weitergegeben werden
- Permissions-Policy – schränkt den Zugriff auf Funktionen wie Kamera oder Standort ein
Gemeinsam bilden sie einen wirksamen Schutzwall gegen typische Web-Angriffe.
Ist Ihre Website DSGVO-konform?
Kostenloser Schnelltest – die ersten 10 Seiten, ohne Anmeldung, Ergebnis in rund 60 Sekunden.
Die Rechtslage
Nach Art. 32 DSGVO müssen Sie angemessene technische Maßnahmen ergreifen, um personenbezogene Daten zu schützen – und dabei den Stand der Technik berücksichtigen.
Security-Header gehören inzwischen zu den üblichen und leicht umsetzbaren Schutzmaßnahmen. Sie erschweren unter anderem Cross-Site-Scripting (XSS), bei dem Angreifer fremden Code einschleusen, Clickjacking, bei dem Nutzer zu unbeabsichtigten Klicks verleitet werden, und Protokoll-Downgrades, bei denen eine verschlüsselte Verbindung heimlich auf eine unverschlüsselte herabgestuft wird.
Da sich alle diese Angriffe potenziell gegen die Daten Ihrer Besucher richten, tragen richtig gesetzte Header dazu bei, Ihrer Pflicht aus Art. 32 DSGVO nachzukommen.
So wird es DSGVO-konform
So statten Sie Ihre Website mit Security-Headern aus:
- Verschaffen Sie sich einen Überblick über die wichtigsten Header: HSTS, CSP, X-Content-Type-Options, Referrer-Policy und Permissions-Policy.
- Ergänzen Sie die Header in Ihrer Serverkonfiguration – je nach System in der nginx- oder Apache-Konfiguration oder in der .htaccess-Datei.
- Führen Sie die Content-Security-Policy schrittweise ein und beginnen Sie im Zweifel mit einem beobachtenden Modus, um Ihre Website nicht zu beeinträchtigen.
- Stellen Sie sicher, dass Ihre Seite durchgängig über HTTPS erreichbar ist, bevor Sie HSTS aktivieren.
- Prüfen Sie das Ergebnis mit geeigneten Tools und passen Sie die Header bei Änderungen an Ihrer Website an.
Gehen Sie behutsam vor: Eine zu strenge CSP kann eigene Inhalte blockieren, daher lohnt sich schrittweises Testen.
Prüfen Sie Ihre Website
Ob Ihre Website die wichtigsten Security-Header bereits sendet, lässt sich nicht mit bloßem Auge erkennen – hier hilft eine automatische Analyse.
Der kostenlose Scan von easy-DSGVO.de prüft, welche Security-Header Ihre Website ausliefert, und zeigt Ihnen, wo noch Lücken bestehen. So erhalten Sie ohne technisches Spezialwissen einen klaren Überblick und können gezielt nachrüsten.