HTTP Header Check – Response- und Security-Header prüfen

Die wichtigsten Security-Header sind Strict-Transport-Security (HSTS), Content-Security-Policy (CSP), X-Frame-Options, X-Content-Type-Options, Referrer-Policy und Permissions-Policy. Zusammen schützen sie vor gängigen Angriffen wie Clickjacking, Cross-Site-Scripting (XSS) und MIME-Sniffing.

Fehlen diese Header, ist die Website technisch angreifbarer – auch wenn HTTPS aktiv ist. Unser Tool prüft alle empfohlenen Security-Header und zeigt fehlende oder falsch konfigurierte Einträge direkt an.

HTTPS verschlüsselt die Verbindung, setzt aber keine Security-Header automatisch. Header wie HSTS, CSP oder X-Frame-Options müssen vom Webserver, CMS oder der Anwendung explizit gesetzt werden.

Viele Standard-Installationen von Apache, Nginx oder CMS wie WordPress liefern diese Header nicht von Haus aus mit. Sie müssen in der Serverkonfiguration, der .htaccess oder über ein Plugin ergänzt werden. Ein HTTPS-Zertifikat allein reicht für einen guten Sicherheitsstandard nicht aus.

Diese Header steuern, wie Browser und Zwischenspeicher (Proxies, CDNs) mit den Inhalten umgehen. Cache-Control legt fest, ob und wie lange eine Ressource zwischengespeichert werden darf. Expires gibt ein konkretes Ablaufdatum an.

ETag und Last-Modified ermöglichen bedingte Anfragen: Der Browser fragt den Server, ob sich eine Ressource seit dem letzten Abruf geändert hat – und lädt sie nur bei Änderungen neu. Fehlen diese Header, wird bei jedem Aufruf alles neu übertragen, was die Ladezeit erhöht.

Secure stellt sicher, dass ein Cookie nur über HTTPS übertragen wird. HttpOnly verhindert, dass JavaScript auf das Cookie zugreifen kann – ein wichtiger Schutz gegen XSS-Angriffe. SameSite begrenzt, wann ein Cookie bei Cross-Site-Anfragen mitgesendet wird, und schützt so vor CSRF-Angriffen.

Fehlt eines dieser Attribute, kann das Cookie potenziell abgefangen, ausgelesen oder missbraucht werden. Unser Tool prüft alle gesetzten Cookies auf diese drei Attribute.

CORS-Header (Cross-Origin Resource Sharing) regeln, welche fremden Domains auf Ressourcen Ihrer Website zugreifen dürfen. Ist CORS zu offen konfiguriert (z. B. Access-Control-Allow-Origin: *), können beliebige Websites Daten von Ihrem Server abrufen.

Ist CORS zu restriktiv oder fehlt, werden berechtigte API-Aufrufe oder Schriftarten von externen Quellen blockiert. Das kann dazu führen, dass eingebundene Dienste oder Frontend-Anwendungen nicht mehr korrekt funktionieren.

Für Suchmaschinen sind vor allem X-Robots-Tag, Content-Type, Content-Language und der Canonical-Header relevant. Der X-Robots-Tag kann Seiten von der Indexierung ausschließen, ohne dass ein Meta-Tag im HTML nötig ist.

Content-Type und Content-Language helfen Suchmaschinen, Sprache und Format korrekt einzuordnen. Auch falsche Cache-Header oder fehlende Weiterleitungen können die Indexierung beeinflussen – etwa wenn eine 301-Weiterleitung fehlt und dieselbe Seite unter mehreren URLs erreichbar ist.

HTTP-Header werden pro Antwort gesetzt – und können sich je nach aufgerufener URL, Subdomain oder Weiterleitungskette unterscheiden. Eine Subdomain kann andere Servereinstellungen haben als die Hauptdomain, und Weiterleitungen durchlaufen oft mehrere Stationen mit unterschiedlichen Headern.

Auch CDNs, Load Balancer oder Reverse Proxies können Header hinzufügen, verändern oder entfernen. Prüfen Sie daher gezielt die URL, die Ihre Besucher tatsächlich aufrufen – nicht nur die Startseite.

Nach jeder Änderung an der Serverkonfiguration, dem Webserver, dem CMS, einem CDN oder nach einem Relaunch. Auch nach Plugin-Updates, SSL-Erneuerungen oder Änderungen an der .htaccess ist ein erneuter Check sinnvoll.

Header-Einstellungen können sich durch Updates oder Konfigurationsänderungen unbemerkt verändern. Ein regelmäßiger Check – etwa monatlich oder nach jedem Deployment – stellt sicher, dass keine wichtigen Header verloren gegangen sind.