Sicherheitsheader im Web: Aussagekraft und Grenzen

Was der Scanner beobachtet

AuditLume liest die Header der letzten öffentlichen Antwort. Bei HTTPS prüft es HSTS und sucht nach Content-Security-Policy, X-Content-Type-Options und Referrer-Policy. Diese Header können bestimmte Browserrisiken mindern; sie schließen Schwachstellen nicht aus und ihr Fehlen beweist keinen Angriff.

Die Antwortprüfung umfasst HSTS bei HTTPS, Content-Security-Policy, X-Content-Type-Options mit nosniff und Referrer-Policy. Vorhandene Header sind keine Schwachstellenanalyse.

AuditLume liest nur die letzte öffentliche Antwort und das initiale HTML; der Fund bleibt daher ein Prüfhinweis und keine Aussage über die gesamte Organisation.

Verantwortungsvolle manuelle Prüfung

Ein automatisches Ergebnis ist ein Anlass zur Untersuchung, kein Urteil. Testen Sie repräsentative Seiten, führen Sie die echte Aufgabe aus und beziehen Sie Menschen mit verschiedenen Geräten oder Anforderungen ein. Klären Sie ungewöhnliche Ergebnisse im Kontext, statt blind einen Wert zu optimieren.

• Header auf mehreren repräsentativen Antworten erfassen.
• Richtlinien kontrolliert einführen und Fehler beobachten.
• Eine restriktive CSP an tatsächlich benötigte Ressourcen anpassen.
• Header mit Updates, Zugriffsschutz und professionellen Tests verbinden.

Prioritäten sinnvoll setzen

Prüfen Sie den Beleg auf der konkreten öffentlichen Seite, halten Sie den Ausgangszustand fest, ändern Sie kontrolliert einen Punkt und testen Sie erneut. Screenshots oder Antwortdetails helfen, Entscheidungen im Team nachvollziehbar zu machen.

1. Header auf mehreren repräsentativen Antworten erfassen.
2. Richtlinien kontrolliert einführen und Fehler beobachten.
3. Eine restriktive CSP an tatsächlich benötigte Ressourcen anpassen.
4. Header mit Updates, Zugriffsschutz und professionellen Tests verbinden.

Wichtige Grenzen

Ein positives Signal zertifiziert weder Barrierefreiheit, Datenschutz, Sicherheit, Rechtskonformität noch Suchleistung. Ein fehlendes Signal beweist allein keinen Schaden. AuditLume liest öffentliche Antworten und initiales HTML; fachliche, rechtliche und manuelle Prüfungen bleiben eigenständig.