Welcher Header hat als Erstes den größten Effekt?

Strict-Transport-Security (HSTS), falls er fehlt - er ist der Unterschied zwischen "HTTPS ist verfügbar" und "HTTPS ist erzwungen", und er wird CWE-319 und OWASP A05:2021 zugeordnet, beide häufig für PCI-Compliance vorausgesetzt. Eine Content-Security-Policy ist die nächst wirkungsvollste Ergänzung, braucht aber mehr Feinabstimmung, um sie richtig hinzubekommen.

Woher weiß Scanverra, ob meine Domain tatsächlich HSTS-preloaded ist und es nicht nur behauptet?

Es ruft live die hstspreload.org-API für Ihren Hostnamen auf, statt sich allein auf Ihren Header zu verlassen - enthält Ihr HSTS-Header also die Preload-Direktive, Ihre Domain wurde aber nie tatsächlich eingereicht und in Chromes Preload-Liste akzeptiert, meldet Scanverra genau diese Lücke.

Warum markiert Scanverra X-XSS-Protection als Problem statt als gutes Zeichen?

Es ist veraltet und konnte in manchen älteren Browsern sogar aktiv XSS-Schwachstellen einführen, statt sie zu verhindern - OWASP empfiehlt ausdrücklich, es zugunsten einer echten Content-Security-Policy zu entfernen. Es vorzufinden spricht nicht für Sie; es wird als zu entfernender Befund markiert.

Was bedeuten die CWE- und OWASP-Referenzen in meinem Bericht eigentlich?

CWE (Common Weakness Enumeration) und OWASP-Top-10-Referenzen ordnen jeden Befund einer branchenüblichen Schwachstellen-Klassifikation zu - nützlich, um sie direkt in ein Compliance-Ticket, ein Security-Review oder als Nachweis für ein SOC-2-/PCI-Audit einzufügen, statt nur eine informelle Empfehlung zu sein.

Kann ich eine CSP einfach aus einem Tutorial kopieren und so ausliefern?

Nein - eine generische CSP bricht entweder die tatsächlichen Skripte/Styles Ihrer Website oder ist so permissiv, dass sie nichts bewirkt. Scanverras Prüfung betrachtet Ihre konkreten Direktiven (base-uri, form-action, object-src, frame-ancestors und Wildcard-Quellen), damit Sie genau das nachschärfen können, was fehlt, statt zu raten.

Fehlende Security-Header beheben

Security-Header sind HTTP-Antwort-Header, die den Browser anweisen, in Ihrem Auftrag eine Richtlinie durchzusetzen - Ihre Website nicht in einem iframe zu laden, nach dem ersten HTTPS-Besuch kein einfaches HTTP mehr zu akzeptieren, Skripte nur von Ihrer eigenen Domain zuzulassen. Fehlen sie oder sind sie schwach, machen sie ansonsten sicheren Anwendungscode für ganze Klassen browserseitiger Angriffe angreifbar.

Warum Header fehlen oder schwach bleiben

Standard-Hosting-Konfigurationen liefern keinen davon mit. Die meisten Webserver und Plattformen fügen keine Security-Header hinzu, sofern Sie sie nicht explizit konfigurieren.
Eine CSP wird einmal hinzugefügt und nie wieder angefasst. Fügt eine App neue Third-Party-Skripte, Embeds oder Schriften hinzu, blockiert eine vor einem Jahr geschriebene, statische CSP diese stillschweigend - oder schlimmer, jemand erweitert sie mit einem Wildcard, damit die Fehler aufhören, und macht die Richtlinie damit zunichte.
HSTS wird ohne die Direktiven hinzugefügt, die es wirklich wirksam machen. Ein nackter Strict-Transport-Security-Header mit kurzer max-age und ohne includeSubDomains oder preload bietet weit schwächeren Schutz, als er vorgibt.
Veraltete, aus einem alten Tutorial kopierte Header bleiben bestehen, wie X-XSS-Protection, das moderne Browser ignorieren oder das selbst ein Risiko darstellen kann.

So findet man das Problem

Das ist Scanverras tiefgehendste Security-Fähigkeit. Der Security-Scanner führt eine echte CSP-Direktivenanalyse durch - er prüft gezielt auf base-uri, form-action, object-src und frame-ancestors, zusätzlich erkennt er übermäßig breite Wildcard-Quellen - und eine vollständige HSTS-Tiefenprüfung, die max-age, includeSubDomains und preload abdeckt. Speziell für die Preload-Direktive ruft er live die hstspreload.org-API auf, um zu bestätigen, dass Ihre Domain tatsächlich in Chromes Preload-Liste steht, nicht nur behauptet, es zu sein. Er markiert außerdem veraltete Header wie X-XSS-Protection und ordnet jeden Befund einer CWE- und OWASP-Top-10-Referenz zu - eine fehlende HSTS-Header etwa wird CWE-319 und OWASP A05:2021 zugeordnet -, sodass sich Befunde direkt in Compliance-Dokumentation übersetzen lassen.

So behebt man es

1. HSTS mit dem vollständigen Satz an Direktiven hinzufügen

HTTPS ein volles Jahr lang erzwingen, über Subdomains hinweg, und für Preload registrierentypescript

1Strict-Transport-Security: max-age=31536000; includeSubDomains; preload

Nach dem Hinzufügen von preload reichen Sie Ihre Domain bei hstspreload.org ein - die Direktive allein meldet Sie nicht an, und Scanverras Live-Prüfung wird die Lücke weiterhin melden, bis die Einreichung tatsächlich akzeptiert wurde.

2. Eine Content-Security-Policy schreiben, die zu dem passt, was Ihre Website tatsächlich lädt

Eine Start-CSP mit den Direktiven, die Scanverra explizit prüfttypescript

1Content-Security-Policy: default-src 'self'; script-src 'self'; style-src 'self'; base-uri 'self'; form-action 'self'; object-src 'none'; frame-ancestors 'self'

Fügen Sie script-src/style-src nur bei Bedarf spezifische vertrauenswürdige Origins hinzu - greifen Sie nie zu einem Wildcard (*) oder einer reinen Schema-Quelle (https:), nur um Konsolenfehler zum Schweigen zu bringen, denn das macht den Zweck der Richtlinie vollständig zunichte.

3. Die übrigen Standard-Header hinzufügen

Clickjacking-, MIME-Sniffing- und Referrer-Schutztypescript

1X-Content-Type-Options: nosniff
2X-Frame-Options: DENY
3Referrer-Policy: strict-origin-when-cross-origin

frame-ancestors in Ihrer CSP ist der moderne Ersatz für X-Frame-Options und flexibler - liefern Sie beide aus, denn ältere Browser respektieren nur den Legacy-Header.

4. Veraltete Header entfernen, statt sie stehen zu lassen

X-XSS-Protection ist veraltet, und OWASP empfiehlt ausdrücklich, ihn komplett zu entfernen, statt ihm irgendeinen Wert zu setzen - eine echte CSP ist der moderne Ersatz dafür, nicht dessen Begleiter.

Wie Scanverra dies erkennt

Scanverras Security-Scanner liest Ihre live Antwort-Header und führt eine echte direktivenbasierte Analyse durch, keine einfache Vorhandenseinsprüfung - CSP-Direktivenabdeckung und Wildcard-Erkennung, HSTS-Wertetiefe inklusive eines live hstspreload.org-Lookups sowie Erkennung veralteter Header, jeder Befund zugeordnet zu CWE-, OWASP- und, wo zutreffend, PCI-Referenzen.