Vorhaben besprechen

TOOLBOX · DOWNLOAD

Security-Headerauf einenBlick.

Security-Header sind Anweisungen Ihres Webservers an den Browser. Sie kosten nichts und schließen ganze Angriffsklassen aus: Mitlesen über unverschlüsseltes HTTP, Clickjacking, eingeschleuste Skripte. Dieser Spickzettel nennt für jeden Header den empfohlenen Startwert, erklärt seinen Zweck und liefert die fertige Konfiguration für nginx, Apache, IIS und Next.js. Die Werte entsprechen den Empfehlungen des kostenlosen Security-Header-Checks von TOMORIS.

PDF herunterladen (7 Seiten)Was drinsteht

Kostenloses PDF

Security-Header-Spickzettel: empfohlene Werte und fertige Konfiguration

Format
PDF, A4
Umfang
7 Seiten
Größe
285 KB
Stand
22.10.2026
Quellen
25
Als Webseite lesen

FÜR WEN

Für wen
das gedacht ist.

HTTP-Sicherheits-Header mit Zweck, empfohlenem Wert und Konfiguration für nginx, Apache, IIS und Next.js.

  • Wer Webserver mit nginx, Apache oder IIS betreibt
  • Wer Websites und Webanwendungen entwickelt, etwa mit Next.js
  • IT-Verantwortliche, die Befunde aus Prüfberichten oder Pentests umsetzen lassen

7 ABSCHNITTE

Was drin
steht.

Jede fachliche Aussage im Dokument nennt ihre Quelle. Das Stand-Datum steht auf jeder Seite.

  • 01

    Die Header im Überblick

    Neun Header mit empfohlenem Startwert, Zweck und Hinweis zur Einführung, dazu die strengeren Werte von OWASP.

  • 02

    In vier Schritten einführen

    Bestand messen, unkritische Header setzen, CSP im Beobachtungsmodus testen, dann durchsetzen.

  • 03

    Was weg sollte: Versionsangaben

    Server-Versionen und X-Powered-By verraten Angreifern, nach welchen bekannten Lücken sie suchen müssen.

  • 04

    Konfiguration für nginx

    add_header mit always und die Falle bei der Vererbung in location-Blöcken.

  • 05

    Konfiguration für Apache

    Header always set mit mod_headers, Versionsangaben und Umleitung auf HTTPS.

  • 06

    Konfiguration für IIS

    customHeaders in der web.config, Server-Header entfernen und natives HSTS ab IIS 10.0 Version 1709.

  • 07

    Konfiguration für Next.js

    headers() in der next.config, x-powered-by abschalten und was eine strenge CSP mit Nonces kostet.

AUSZUG

Die Header im Überblick

Empfohlene Security-Header (Startwerte wie im Security-Header-Check von TOMORIS)
HeaderEmpfohlener WertWofürHinweis
Strict-Transport-Securitymax-age=31536000; includeSubDomainsDer Browser ruft die Website für die Dauer von max-age (hier ein Jahr) nur noch über HTTPS auf.Nur über HTTPS senden, über HTTP ignoriert der Browser den Header. includeSubDomains erst setzen, wenn alle Subdomains HTTPS können. OWASP schlägt zwei Jahre vor.
Content-Security-Policydefault-src 'self'; script-src 'self'; object-src 'none'; base-uri 'self'; frame-ancestors 'self'; form-action 'self'; upgrade-insecure-requestsLegt fest, woher Skripte und andere Inhalte laden dürfen. Der wichtigste Schutz gegen Cross-Site-Scripting.Zuerst als Content-Security-Policy-Report-Only einführen: meldet Verstöße, blockiert nichts. Inline-Skripte über Nonces oder Hashes freigeben statt 'unsafe-inline'.
X-Frame-OptionsSAMEORIGINSchutz vor Clickjacking für ältere Browser: Nur die eigene Website darf die Seite einbetten.Moderner ist frame-ancestors in der CSP; ist es gesetzt, wird X-Frame-Options laut CSP-Standard des W3C ignoriert. ALLOW-FROM ist veraltet und wird ignoriert. Streng: DENY bzw. frame-ancestors 'none' (OWASP).
X-Content-Type-OptionsnosniffDer Browser errät keine Dateitypen und blockiert Skripte und Stylesheets mit falschem MIME-Typ.Dateien müssen mit korrektem Content-Type ausgeliefert werden, sonst blockiert der Browser sie.
Referrer-Policystrict-origin-when-cross-originFremde Websites erfahren höchstens Ihre Domain, nicht die aufgerufene Adresse samt Parametern.Ist der Standard aktueller Browser, wenn keine Policy gesetzt ist; der Header macht ihn verbindlich. Streng: no-referrer (OWASP).
Permissions-Policycamera=(), microphone=(), geolocation=(), payment=(), usb=(), browsing-topics=()Sperrt Browserfunktionen, die die Website nicht braucht, auch für eingebettete Inhalte.Nur sperren, was die Website nicht nutzt. OWASP sperrt weitere Funktionen. browsing-topics ist laut MDN veraltet und kann entfallen.
Cross-Origin-Opener-Policysame-origin-allow-popupsFremde Fenster, die Ihre Seite öffnen, erhalten keinen Zugriff auf sie.Streng: same-origin (OWASP). same-origin-allow-popups passt, wenn Anmelde- oder Zahlungsfenster fremder Anbieter geöffnet werden.
Cross-Origin-Resource-Policysame-siteFremde Websites können Ihre Ressourcen nicht einbinden.Streng: same-origin (OWASP). Für Inhalte, die bewusst überall eingebunden werden sollen: cross-origin.
X-XSS-Protectionweglassen oder 0Veralteter Filter älterer Browser, der in manchen Fällen selbst Lücken öffnete.Den Schutz übernimmt die Content-Security-Policy (MDN, OWASP).

Die empfohlenen Werte sind die Startwerte des Security-Header-Checks von TOMORIS. Wo OWASP strengere Werte empfiehlt, steht das in der Spalte Hinweis. Testen Sie jede Änderung zuerst auf einer Testumgebung.

Komplett als PDF

QUELLEN

Belegt,
nicht behauptet.

  1. OWASP Secure Headers Project: Best Practices und Liste empfohlener Header (öffnet in neuem Tab)Werte aus ci/headers_add.json, Stand 18.10.2026
  2. OWASP Secure Headers Project: zu entfernende Header (headers_remove.json) (öffnet in neuem Tab)
  3. MDN: Strict-Transport-Security (öffnet in neuem Tab)
  4. MDN: Content-Security-Policy und Content-Security-Policy-Report-Only (öffnet in neuem Tab)
  5. MDN: X-Frame-Options (öffnet in neuem Tab)
  6. W3C Content Security Policy Level 3, Abschnitt 6.4.2.2 (frame-ancestors und X-Frame-Options) (öffnet in neuem Tab)
  7. MDN: X-Content-Type-Options (öffnet in neuem Tab)
  8. MDN: Referrer-Policy (öffnet in neuem Tab)
  9. MDN: Permissions-Policy (und browsing-topics, veraltet) (öffnet in neuem Tab)
  10. MDN: Cross-Origin-Opener-Policy (öffnet in neuem Tab)
  11. MDN: Cross-Origin-Resource-Policy (öffnet in neuem Tab)
  12. MDN: X-XSS-Protection (öffnet in neuem Tab)
  13. nginx: Modul ngx_http_headers_module (add_header, always, add_header_inherit) (öffnet in neuem Tab)
  14. nginx: server_tokens (öffnet in neuem Tab)
  15. Apache httpd 2.4: mod_headers (öffnet in neuem Tab)
  16. Apache httpd 2.4: ServerTokens und ServerSignature (öffnet in neuem Tab)
  17. Apache httpd 2.4: mod_alias (Redirect permanent) (öffnet in neuem Tab)
  18. PHP-Handbuch: expose_php (öffnet in neuem Tab)
  19. Microsoft Learn: IIS customHeaders (öffnet in neuem Tab)
  20. Microsoft Learn: IIS requestFiltering (removeServerHeader) (öffnet in neuem Tab)
  21. Microsoft Learn: IIS HSTS je Site (öffnet in neuem Tab)
  22. hstspreload.org: Voraussetzungen und schrittweise Einführung von HSTS (öffnet in neuem Tab)
  23. Next.js: headers in der next.config (öffnet in neuem Tab)
  24. Next.js: poweredByHeader (öffnet in neuem Tab)
  25. Next.js: Leitfaden Content Security Policy (Nonces, Proxy, Without Nonces) (öffnet in neuem Tab)

Dieser Spickzettel ersetzt keine Prüfung Ihrer Anwendung. Testen Sie Änderungen an Headern zuerst auf einer Testumgebung: Eine zu strenge Content-Security-Policy kann Funktionen Ihrer Website blockieren.

TOOLBOX

Passend
dazu.

IHR NÄCHSTER SCHRITT

Vom Papier
in die Praxis.

Wir prüfen mit Ihnen, was davon in Ihrer Umgebung schon umgesetzt ist, und setzen den Rest um: einmalig mit EXPERTS oder laufend im Betrieb mit GRID.

Umsetzung besprechenAlle Downloads