Zum Hintergrund
Sicherheits-Header: worum es dabei geht
Was hier genau geprüft wird
Beim Abruf Ihrer Seite schickt der Server neben der Seite selbst eine Reihe von Anweisungen an den Browser mit. Geprüft wird, ob sechs davon gesetzt sind: HSTS, Content-Security-Policy, X-Content-Type-Options, Referrer-Policy, Permissions-Policy und X-Frame-Options. Zusätzlich wird geschaut, ob der Server seine Versionsnummern verrät und ob die Seite überhaupt verschlüsselt ausgeliefert wird.
Was ein Fund bedeutet
Diese Anweisungen sind Schlösser, die niemand sieht. Fehlen sie, ist Ihre Seite nicht automatisch angreifbar — aber ein Angriff, der sonst am Schloss gescheitert wäre, funktioniert dann eben.
Zwei sind besonders lohnend, weil sie fast nichts kosten. X-Content-Type-Options ist eine Zeile ohne jeden Nachteil. HSTS sorgt dafür, dass Ihre Seite künftig gar nicht erst unverschlüsselt aufgerufen wird — das schließt die Lücke beim allerersten Aufruf im fremden WLAN. Die Content-Security-Policy ist der wirksamste Schutz und zugleich der einzige, der Arbeit macht: Sie legt fest, von welchen Servern der Browser überhaupt etwas ausführen darf, und wenn sie zu streng ist, funktioniert die eigene Seite nicht mehr richtig.
Was Sie damit tun
Auf den meisten Hostings genügen ein paar Zeilen in der .htaccess. Fangen Sie mit den unkritischen an — X-Content-Type-Options, Referrer-Policy, X-Frame-Options — und prüfen Sie danach, ob alles noch läuft.
Die Content-Security-Policy hebt man sich für zuletzt auf und baut sie im Probemodus auf, der zunächst nur meldet statt blockiert. Verratene Versionsnummern schaltet man beim Hoster oder in der Server-Konfiguration ab: Sie helfen niemandem außer dem, der nach bekannten Lücken einer bestimmten Version sucht.
Die Grenze dieser Prüfung
Hier wird gezählt, ob etwas da ist, nicht ob es taugt. Eine Content-Security-Policy, die alles erlaubt, zählt als vorhanden und schützt vor nichts. Gegen veraltete Plugins, schwache Passwörter oder eine Lücke in Ihrem Redaktionssystem hilft keine dieser Anweisungen — das sind die Einfallstore, über die in der Praxis die meisten Seiten übernommen werden.