Was HTTP-Security-Header sind und warum sie in einem SEO-Check auftauchen #
Wichtig zur Einordnung: HTTP-Security-Header wie HSTS oder Content-Security-Policy sind, anders als HTTPS selbst, kein von Google offiziell bestätigter direkter Rankingfaktor. Sie tauchen in technischen Website-Checks trotzdem zu Recht auf, weil sie Teil einer soliden technischen Grundlage sind: Sie schützen Ihre Website und Ihre Besucher vor konkreten Angriffsarten, signalisieren Professionalität gegenüber Sicherheits-Scannern und Browsern, und ihr Fehlen ist oft ein Hinweis darauf, dass Server-Konfiguration und Hosting allgemein nicht gepflegt werden. Das ist relevant, weil Google Nutzererfahrung und Vertrauenswürdigkeit einer Seite in der Gesamtbewertung berücksichtigt, auch wenn einzelne Security-Header selbst kein direktes Rankingsignal sind.
Die wichtigsten Security-Header erklärt #
HSTS (Strict-Transport-Security)
Dieser Header weist den Browser an, eine Website ausschließlich über HTTPS aufzurufen, selbst wenn ein Nutzer versehentlich http:// eingibt oder einem alten http-Link folgt. Ohne HSTS gibt es ein kurzes Zeitfenster, in dem eine unverschlüsselte Verbindung möglich ist, ein klassischer Angriffspunkt für Man-in-the-Middle-Attacken.
Content-Security-Policy (CSP)
CSP legt fest, von welchen Quellen eine Seite Skripte, Styles oder andere Ressourcen laden darf. Richtig konfiguriert reduziert CSP das Risiko von Cross-Site-Scripting (XSS) erheblich, weil eingeschleuster Fremdcode gar nicht erst ausgeführt werden kann. CSP ist der komplexeste dieser Header und sollte schrittweise eingeführt und getestet werden, da eine zu strenge Policy legitime Skripte blockieren kann.
X-Content-Type-Options
Mit dem Wert nosniff verhindert dieser Header, dass Browser den Dateityp einer Ressource selbst „erraten" (MIME-Sniffing) und dabei versehentlich schädlichen Code als ausführbares Skript interpretieren. Der Header ist einfach zu setzen und hat praktisch kein Risiko, etwas zu beschädigen.
So setzen Sie Security-Header in der Praxis #
Bei den meisten klassisch gehosteten PHP- oder Apache-Websites lassen sich Security-Header zentral über die .htaccess-Datei oder die Server-Konfiguration setzen, zum Beispiel:
<IfModule mod_headers.c>
Header always set Strict-Transport-Security "max-age=31536000; includeSubDomains"
Header always set X-Content-Type-Options "nosniff"
</IfModule>Content-Security-Policy sollte dagegen nicht blind kopiert werden, da sie von den tatsächlich eingebundenen Skripten, Fonts und Drittanbieter-Diensten (z. B. Tracking- oder Chat-Tools) abhängt. Eine zu strenge CSP kann sonst legitime Funktionen der eigenen Seite blockieren. Empfehlenswert ist ein schrittweiser Rollout, zunächst im Report-Only-Modus, um Fehlalarme zu erkennen, bevor die Policy aktiv durchgesetzt wird.
Security-Header sind kein Rankingtrick, sondern Teil sauberer technischer Grundlagenarbeit: Sie schützen Website und Besucher konkret und wirken sich indirekt über Vertrauenswürdigkeit und Nutzererfahrung aus. Mit dem kostenlosen SEO-Quick-Check sehen Sie, welche Security-Header bei Ihnen bereits gesetzt sind.