HTTP-Sicherheits-Header: Der vollständige Leitfaden 2026

HTTP-Sicherheitsheader sind einzeilige Serverkonfigurationen, die Browser anweisen, wie der Inhalt Ihrer Website behandelt werden soll. Sie verhindern eine Vielzahl von Angriffen — von Clickjacking bis Cross-Site-Scripting — ohne Änderungen am Anwendungscode.

Die sechs kritischen Header

1. Content-Security-Policy (CSP)

CSP ist der leistungsfähigste Header zur Verhinderung von XSS-Angriffen. Er definiert eine Whitelist von Quellen, aus denen Skripte, Stile und andere Ressourcen geladen werden können.

Beginnen Sie mit einer Report-Only-Richtlinie, um Verstöße zu überwachen, bevor Sie sie durchsetzen:

Content-Security-Policy-Report-Only: default-src 'self'; script-src 'self' https://cdn.example.com; report-uri /csp-violations

2. Strict-Transport-Security (HSTS)

HSTS zwingt Browser, HTTPS für alle zukünftigen Anfragen zu verwenden, auch wenn der Nutzer http:// eingibt.

Strict-Transport-Security: max-age=31536000; includeSubDomains; preload

3. X-Frame-Options / frame-ancestors

Verhindert, dass Ihre Seiten in iframes auf anderen Websites eingebettet werden (Clickjacking). Die moderne CSP-Direktive frame-ancestors ersetzt den älteren X-Frame-Options-Header.

4. X-Content-Type-Options

Stoppt MIME-Sniffing durch den Browser. Eine Zeile, maximaler Schutz:

X-Content-Type-Options: nosniff

5. Referrer-Policy

Steuert, wie viele Referrer-Informationen in ausgehende Anfragen einbezogen werden. strict-origin-when-cross-origin ist die empfohlene Standardeinstellung.

6. Permissions-Policy

Schränkt den Zugriff auf Browser-APIs (Kamera, Mikrofon, Geolocation) ein. Selbst wenn Sie diese APIs nicht verwenden, verhindert die Einschränkung deren Missbrauch durch Drittanbieter-Skripte.

Wie AISeen Ihre Header prüft

AISeen Security Score prüft alle sechs kritischen Header sowie HTTPS-Konfiguration, Cookie-Flags und Informationslecks (z.B. Server-Versionspreisgabe in Antwort-Headern).