Dein letzter Login ist schon eine Weile her.

Bitte überprüfe, ob alle Angaben in Deinem Profil noch aktuell sind.


26.11.2018
von Jan-Dirk
in IT-Talents

Was sind Security Header?

Und wie kann ich sie nutzen?

Mehr Sicherheit für Deine Webseite! Webseiten-Betreiber betreiben einen großen Aufwand, um das eigene Internetangebot zu schützen. Ein hohes Sicherheitsniveau wird mit einer durchdachten Architektur und regelmäßigen Pentests erreicht. Mit diesen Maßnahmen konzentrierst Du Dich in der Regel aber nur auf die Server-Seite und die Kommunikation. Am anderen Ende, also der Client-Seite, muss der Benutzer in der Regel selbst für seine Sicherheit sorgen. Möchte man die Benutzer seines eigenen Internetangebots trotzdem schützen, kommen die sogenannten Security Header ins Spiel.

Lesezeit: ca. 3 Min.

Bewerten

Was sind Security-Header?

Wird im Browser eine Seite von einem Webserver angefordert, wird der Server jedes Mal mit der Auslieferung der Seite antworten und sendet mit dem Inhalt einen HTTP-Response-Header. Diese Header beinhalten in der Regel Metadaten wie Zeichensätze, Cache-Steuerung und Fehlercodes. Mit den Response-Headern kann man aber auch sicherheitsrelevante Einstellungen senden, welche dem Browser sagen, wie er sich zu verhalten hat. Ein Strict-Transport-Security-Header könnte dem Browser beispielsweise die Anweisung erteilen, nur über HTTPS zu kommunizieren. Es existieren insgesamt sechs verschiedene HTTP Security-Header (dazu später mehr).

Wo werden Security Header verwendet und wie funktionieren sie?

Was genau haben diese Header jetzt mit Sicherheitsfunktionen zu tun? Der moderne Webbrowser ist mit einer Vielzahl von Funktionen ausgestattet, um den Nutzer vor bösartigen Angriffen zu schützen. Einzelne Sicherheitsfunktionen werden schon bei der Erstellung des zugehörigen Webstandards berücksichtigt (beispielsweise die Same-Origin-Policy), dagegen werden andere Schutzfunktionen erst definiert, nachdem aus bisher legitimen Webfunktionen ernst zunehmende Angriffsvektoren entstehen. Eine grundsätzliche praktische Sache sind da beispielsweise iFrames, da sie die gegenseitige Einbettung von Webseiten erlauben. Aber dann wurde leider das sogenannte Clickjacking erfunden. Dieses lässt den Nutzer glauben mit einer anderen Website zu agieren. Die Seite ist dann über ein IFrame in die angreifende Seite eingebettet. Dabei werden Mausklicks oder Tastatureingaben (z.B. beim Online-Banking) in Wahrheit in die Eingabefelder der angreifenden Seite eingegeben. Diese Eingabefelder liegen dann nämlich transparent über der eingebetteten Seite. Hier sind nun die Browser-Hersteller extrem gefordert. Einerseits wollen sie Nutzer vor Clickjacking schützen, andrerseits wissen sie aber nicht, ob ein iFrame legitim oder bösartig ist? Bei bestehenden Webseiten verursacht also eine nachträglich eingeführte Sicherheitstechnik Probleme. Deshalb aktivieren Browserhersteller solche Schutzfunktionen in der Regel nicht standardmäßig. Sie überlassen die Entscheidung dem Nutzer oder der Webseite. Genau hier kommen dann die Security-Header ins Spiel! Sie erlauben nämlich einem Webseitenbetreiber die Aktivierung zusätzlicher Sicherheitsfeatures. Das aber nur, wenn die betreffende Seite auch damit kompatibel ist. Auf diese Weise werden also die sonst im Hintergrund schlummernden Wachhunde im Browser aktiv. In bestimmten Angriffsszenarien bringt das erhebliche Sicherheitsgewinne mit sich.

Security Header in der Praxis

Der X-Frame-Options Header

Der X-Frame-Options Header bewahrt Deine Website davor, in einem Frame ausgeführt zu werden. So können professionelle Content-Diebe die Inhalte nicht von anderen Websites holen. Diese Inhalte werden dann zumeist in einem Frame ausgeführt. Die Website des Content-Diebes sieht danach so aus, als ob die Inhalte von Deiner Seite stammen würden. Der X-Frame-Options Header verhindert diese Praxis sehr effektiv, indem er die Ausführung eines Frames verhindert.
Support folgender Browser: IE 8+, Chrome 4.1+, Firefox 3.6.9+, Opera 10.5+, Safari 4+.

Der X-XSS-Protection Header

Der X-XSS-Protection Header spricht die Cross-Site-Scripting (XSS) Schutzfilter in den modernen Browsern an und aktiviert sie. Obwohl der Filter grundsätzlich schon aktiviert sein sollte, wird mit diesem Header die Nutzung aber erzwungen. Deshalb sollte er auch genutzt werden.
Es stehen drei verschiedene Einstellungsmöglichkeiten zur Verfügung:
0 = Filter wird deaktiviert, 1 = zum Aktivieren, wenn der Browser die schadhafte Seite anzeigen will, 1; mode=block die schadhafte Seite wird geblockt.
Support folgender Browser: Internet Explorer 8+, Chrome und Safari

Der X-Content-Type-Options Header

Schützt vor Angriffen mit falschen MIME-Typen. Wird der MIME-Typ als nicht korrekt erkannt, wird das Laden von Styles und Scripten abgelehnt. In diesem Header gibt es nur die Einstellung NOSNIFF. Wenn der Header gesetzt ist, lädt der Browser nur Styles und Scripte mit korrektem MIME-Typ. Folgende MIME-Typen werden als korrekt anerkannt:

  • Styles: text/css
  • Scripte: application/ecmascript, application/javascript, application/x-javascript, text/ecmascript, text/javascript, text/jscript,
    text/x-javascript, text/vbs, text/vbscript.

Support folgender Browser: Internet Explorer und Google Chrome

Der Strict-Transport-Security-Header (nur für HTTPS-Websites)

Der Strict-Transport-Security-Header lässt nur eine sichere HTTPS-Verbindung zu. Also kann keine unsichere, potenziell angreifbare Verbindung hergestellt werden. Der HTTP-Response-Header verhindert auch den Zugriff auf eine Seite, wenn das TLS-Zertifikat des Servers nicht vertrauenswürdig ist.
Einstellungsmöglichkeiten:
max-age = Gibt die Anzahl der Sekunden an, innerhalb dieser der Browser die sichere Verbindung erzwingen soll.
includeSubDomains = Die sichere Verbindung muss auch für Subdomains erzwungen werden.
Support folgender Browser: IE 11+, Chrome 4+, Firefox 4+, Opera 12+, Safari 7+.


Diskutiere zu dem Thema in der Community:

Zum Thread: Was sind Security Header?

Aktuelle Aktionen:

IT-Stipendium Januar 2019

1200€ Förderung für IT-Talente


Sei dabei und sichere Dir beim IT-Stipendium im Januar 2018 bis zu 1200€ Förderung!
Jetzt bewerben!

Dein Blogbeitrag im IT-Talents Blog!

Sei dabei und werde gefördert

Schreibe einen Blogbeitrag über das IT-Thema, das Du liebst.
Jetzt Blog schreiben

IT-Talents ist ein Netzwerk nur für IT'ler. Auf unserer Plattform kannst Du Dich als registriertes Mitglied mit wenigen Klicks auf die Jobs unserer Partnerunternehmen oder auf IT-Projekte für Studierende bewerben. Darüberhinaus führen wir Wettbewerbe durch und vergeben IT-Stipendien.

Jetzt Mitglied werden.

Schnell-Login für unsere Mitglieder

Tipp: Halte Dein Profil aktuell.

Lass' uns wissen, falls sich etwas Neues bei Dir ergibt.

Tipp: Vervollständige Dein Profil für noch bessere Karrierechancen.

Bist Du Schüler, Student oder bereits berufstätig? Teile uns Deinen aktuellen Status mit, damit wir Dir sinnvolle Aufgaben anbieten können.

Jetzt Status angeben

Wann stehst Du der IT-Branche zur Verfügung?

Bitte Monat und Jahr angeben.

{{ perspectiveForm.availableFrom.$error.dynamic }}

Neuer Versuch

Wo möchtest Du durchstarten?

{{ location.geolocation.name }}×
Bitte mindestens ein Ort angeben.

Als {{currentUser.status.title}} bist Du bereit für:


Lade Beschäftigungsarten

Bitte wähle den Zeitpunkt, Ort und min. eine Beschäftigungsart aus.

You have voted!
Schliessen
Vote for:
stars
Vote
You have not rated!