HTTP-Sicherheits-Header-Checker
Geben Sie Ihre URL ein und erhalten Sie in Sekunden eine echte Bewertung der HTTP-Sicherheits-Header Ihrer Website. Sehen Sie genau, welche fehlen und warum sie wichtig sind.
HTTP-Sicherheits-Header teilen dem Browser mit, wie er mit Ihrer Website umgehen soll: ob sie in einem Frame auf einer anderen Domain geladen werden darf, ob die Verbindung verschlüsselt bleiben muss, ob Skripte aus nicht genehmigten Quellen überhaupt ausgeführt werden dürfen. Die meisten lassen sich mit einer Zeile ergänzen, und den meisten Websites fehlen mindestens ein paar davon. Dieser Checker ruft Ihre tatsächlichen Antwort-Header ab und bewertet sie sofort.
Was dieser Checker bewertet
Strict-Transport-Security (HSTS)
Zwingt Browser, bei jedem zukünftigen Besuch HTTPS zu verwenden, selbst wenn jemand die einfache http://-Version Ihrer Website eingibt oder verlinkt.
Content-Security-Policy
Beschränkt, von welchen Domains Skripte, Stile und andere Ressourcen geladen werden dürfen, was den Schaden eines eingeschleusten Skripts begrenzt.
X-Frame-Options
Steuert, ob Ihre Seiten in einem Frame auf einer fremden Website geladen werden können, dem Mechanismus hinter Clickjacking-Angriffen.
X-Content-Type-Options
Verhindert, dass Browser den Dateityp erraten, statt dem deklarierten Content-Type zu vertrauen, und schließt damit eine Klasse von MIME-Sniffing-Angriffen.
Referrer-Policy
Legt fest, wie viel von Ihrer Seiten-URL an die Websites gesendet wird, auf die Ihre Links verweisen. Ohne sie können vollständige URLs, teils mit Tokens oder IDs, durchsickern.
Permissions-Policy
Erlaubt es, Browserfunktionen wie Kamera, Mikrofon oder Standort für Ihre eigenen Seiten und eingebettete Inhalte abzuschalten, die sie nicht benötigen.
Cross-Origin-Isolationsheader
Cross-Origin-Opener-Policy, Cross-Origin-Resource-Policy und Cross-Origin-Embedder-Policy, die Ihre Seite im Browser von anderen Ursprüngen isolieren.
Warum HTTP-Header wichtiger sind, als die meisten denken
Header sind der Teil einer Antwort, den niemand sieht, und genau deshalb werden sie oft ausgelassen. Ein Entwickler liefert HTML, CSS und JavaScript aus und macht weiter. Aber die Header sagen dem Browser, wie er die Seite verteidigen soll, sobald sie geladen ist: was eingebettet werden darf, woher Skripte kommen dürfen, ob die Verbindung verschlüsselt bleiben muss. Fehlen sie, geht die Website nicht kaputt. Es bleiben nur ein paar Türen unverschlossen.
Was ein fehlender Header wirklich kostet
Keiner dieser Header behebt für sich genommen einen Fehler. Sie begrenzen, was ein Angreifer tun kann, nachdem an anderer Stelle bereits etwas schiefgelaufen ist, etwa eine XSS-Schwachstelle in einem Formularfeld oder ein kompromittiertes Skript eines Drittanbieters. Eine Website mit einer soliden Content-Security-Policy übersteht ein eingeschleustes Skript, das sonst frei laufen würde. Eine Website ohne X-Frame-Options lässt sich in einen unsichtbaren Frame einbetten und für Clickjacking missbrauchen. Genau diese Prüfungen melden Sicherheitsscanner und Browser-Erweiterungen zuerst, weil sie sich leicht überprüfen und beheben lassen.
- •Die meisten Header sind eine einzige Antwortzeile, ohne Änderungen am Anwendungscode
- •Sie lassen sich meist auf Server- oder CDN-Ebene setzen (nginx, Apache, Cloudflare, Vercel)
- •Ein fehlender Header verursacht selten einen sichtbaren Fehler, weshalb er oft unbemerkt bleibt
Wie Sie diese Header ergänzen
Wo Sie Header setzen, hängt davon ab, wie die Website ausgeliefert wird. Bei Vercel oder Netlify tragen Sie sie in der Plattformkonfiguration ein (vercel.json, netlify.toml oder der headers()-Funktion in next.config). Auf einem selbst verwalteten Server gehören sie in die nginx- oder Apache-Konfiguration des jeweiligen vhosts. Liegt die Website hinter Cloudflare oder einem anderen CDN, lassen sie sich dort häufig ergänzen oder überschreiben, ohne den Ursprungsserver anzufassen.
Häufig gestellte Fragen
Verwandte Compliance-Tools
Website Security Scan
Führen Sie alle 27 Sicherheitsprüfungen durch: SSL/TLS, Cookies, DNS-/E-Mail-Authentifizierung und Serverkonfiguration.
DSGVO Art. 32: Technische Sicherheitsmaßnahmen für Websites
Was die DSGVO tatsächlich an technischen Sicherheitsmaßnahmen für eine Website verlangt.
Checkliste zur Website-Compliance
Eine einzige Checkliste zu DSGVO, EU-KI-Gesetz und Barrierefreiheit für Website-Betreiber.
E-Mail-Sicherheits-Checker
Kostenlose Live-Bewertung für Ihre SPF-, DMARC- und DKIM-E-Mail-Authentifizierung.