Web-Sicherheit: den passenden Ratgeber finden

Was die öffentliche Webkonfiguration erkennen lässt

Bei einem Seitenaufruf liefert Ihr Webdienst neben dem Inhalt HTTP-Antwortheader. Einige davon teilen dem Browser Regeln für Verbindungen, Ressourcen oder den Umgang mit Daten mit. Sichtbar ist zunächst, welche Werte die erreichte Antwort enthält. Ob eine Regel zur Anwendung passt und in den betroffenen Abläufen wirkt, braucht zusätzlichen Kontext.

Ein fehlender Header beweist noch keine ausnutzbare Schwachstelle. Umgekehrt belegen vorhandene Header oder eine gute Scanner-Note keine insgesamt sichere Webanwendung. Anmeldungen, Berechtigungen und Geschäftsabläufe benötigen eigene Prüfungen. Auch eine HTML-Seite und eine reine JSON-Antwort haben unterschiedliche Anforderungen. Die MDN-Übersicht zur praktischen Webabsicherung ordnet mehrere Maßnahmen und ihre Einsatzbereiche ein.

HSTS, CSP oder Cookies: Wo gehört Ihre Frage hin?

Die drei Grundlagen betreffen unterschiedliche Aufgaben. Wählen Sie den Einstieg nach dem konkreten Befund.

• Ihre Frage

  Soll der Browser einen bekannten Host nur über HTTPS aufrufen?

  Was der Mechanismus regelt

  HSTS speichert eine HTTPS-Vorgabe für einen Host und gegebenenfalls dessen Unterdomains.

  Passender Einstieg

  HSTS verstehen

  Ein heute gesendeter Header und eine bereits im Browser gespeicherte Vorgabe sind verschiedene Zustände. Der erste Kontakt und ein verteilter Preloadeintrag müssen getrennt betrachtet werden. Ein fehlender Header löscht eine gespeicherte HSTS-Vorgabe nicht sofort. Vor einer weitreichenden Änderung gehören die betroffenen Hosts und ihre HTTPS-Verfügbarkeit geklärt. Vertiefung: HSTS-Preload einordnen. Fachgrundlage: RFC 6797, Abschnitt 8.

• Ihre Frage

  Welche Skripte oder Ressourcen darf eine Seite laden oder ausführen?

  Was der Mechanismus regelt

  CSP begrenzt das Verhalten im Dokument anhand der tatsächlich geltenden Direktiven.

  Passender Einstieg

  Content Security Policy verstehen

  Eine durchgesetzte Policy kann etwa unerwünschte Skriptausführung begrenzen; die genaue Wirkung hängt von ihren Direktiven und der Anwendung ab. Eine Content-Security-Policy-Report-Only-Policy beobachtet Verstöße gegen diese Policy, setzt sie aber nicht durch. Parallel vorhandene durchgesetzte Policies gelten weiter. Für eine geplante Änderung helfen CSP schrittweise einführen und bei dynamischen Skripten CSP-Nonces verstehen. Fachgrundlage: MDN zu CSP und ihrer Erprobung.

• Ihre Frage

  Unter welchen Bedingungen wird ein Cookie gesendet oder für Skripte zugänglich?

  Was der Mechanismus regelt

  Cookieattribute steuern einzelne Eigenschaften des Cookies; die Anwendung verwaltet weiterhin die Sitzung.

  Passender Einstieg

  Cookie-Sicherheit verstehen

  Secure begrenzt den Cookieversand auf sichere Verbindungen, HttpOnly sperrt den Zugriff über JavaScript-Cookie-APIs und SameSite steuert das Mitsenden in bestimmten siteübergreifenden Situationen. Ein beobachteter Set-Cookie-Header belegt weder alle gespeicherten Cookies noch das Verhalten einer vollständigen Anmeldung. Das Cookie-Kapitel erläutert Attribute und Präfixe sowie Prüfpunkte für die Umsetzung. Fachgrundlage: MDN zu Set-Cookie. Technische Cookieattribute beantworten keine rechtliche Einwilligungsfrage.

Vom Befund zur kontrollierten Änderung

1. Befund zuordnen. Notieren Sie die untersuchte URL, den erreichten Host, Antworttyp, Zeitpunkt und die konkrete Beobachtung. „Nicht gefunden“, „nicht geprüft“ und „Prüfung fehlgeschlagen“ sind verschiedene Aussagen. Lesen Sie zuerst den passenden Grundlagenabschnitt.
2. Zuständigkeit und Anleitung wählen. Klären Sie, ob Anwendung, Webserver oder vorgeschalteter Dienst den Wert setzt. Nutzen Sie die passende Fachgrundlage und die Dokumentation Ihrer Umgebung. Eine Beispielkonfiguration braucht Anpassung an Ihre Anwendung, Zugriffsrechte und eingesetzten Versionen.
3. Antwort und Funktion kontrollieren. Prüfen Sie nach der Änderung die ausgelieferte Konfiguration und die betroffenen Funktionen, etwa Anmeldung, eingebettete Inhalte oder Bezahlabläufe. Ein erneuter öffentlicher Check ergänzt diese Kontrolle; er ersetzt keine Browser- oder Anwendungstests. Die CSP-Erprobung mit Report-Only ist kein allgemeines Vorgehen für HSTS oder Cookies.

Gezielte Anleitungen zur Umsetzung

Für einzelne Aufgaben stehen vertiefende Anleitungen bereit. Prüfen Sie jeweils Voraussetzungen und Grenzen, bevor Sie eine Konfiguration übernehmen. Bei mehreren beteiligten Diensten zählt, an welcher Stelle die öffentliche Antwort tatsächlich verändert wird.

• HSTS mit Nginx einrichten und kontrollieren
• CSP schrittweise einführen
• CSP-Nonces in dynamischen Anwendungen einsetzen

Wenn der Befund ein anderes Thema betrifft

Die weiteren Kapitel können Sie nach Bedarf hinzunehmen:

Für eine organisatorische oder regulatorische Frage gibt es zusätzlich die Compliance-Übersicht. Ein Headerbefund oder Report ist keine vollständige Complianceprüfung.

Öffentliche Konfiguration prüfen und Befunde festhalten

Der Web Security Check liefert in der kostenlosen Beta eine begrenzte Momentaufnahme öffentlich erreichbarer Konfigurationsmerkmale. Lesen Sie den Prüfgegenstand, die Einzelbefunde und die Messgrenzen im Ergebnis. Auch A+ gilt nur für den ausgewiesenen Umfang und Zeitpunkt.

Wenn Sie einen Befund an die zuständige Person weitergeben oder einen Änderungsstand dokumentieren möchten, helfen die Erläuterungen zu den Reports. Eine Reportdatei erweitert den Prüfumfang nicht. Halten Sie eigene Funktionsprüfungen und offene Fragen zusätzlich fest; eine erneute Prüfung ist eine neue Momentaufnahme.