Was sichere Cookies ausmacht

So funktioniert es

Ein Cookie ist ein kleiner Wert, den der Server mit dem Header Set-Cookie im Browser ablegt und den der Browser bei jeder weiteren Anfrage mitschickt. Am wichtigsten ist das Sitzungs-Cookie: Wer es hat, ist für deine Website angemeldet. Deshalb lohnt es sich für Angreifer, Cookies abzugreifen oder für sich arbeiten zu lassen.

Drei Attribute hinter dem Wert schützen davor:

• Secure: Der Browser schickt das Cookie nur über HTTPS, nie über eine unverschlüsselte Verbindung, auf der es jemand mitlesen könnte.
• HttpOnly: Skripte auf der Seite können das Cookie nicht lesen. Ein eingeschleustes Skript kommt so nicht an die Sitzung.
• SameSite: Es regelt, ob das Cookie mitgeht, wenn eine fremde Seite eine Anfrage an deine auslöst. Strict schickt es dann nie mit, Lax nur, wenn der Besucher einem Link zu deiner Seite folgt, None immer.

Worauf es ankommt

• Secure immer. Ohne Secure ist ein Cookie auf jeder unverschlüsselten Verbindung lesbar. Auf einer Seite, die nur über HTTPS läuft, gibt es keinen Grund, darauf zu verzichten.
• SameSite ausdrücklich setzen. Lax passt für die meisten Cookies, Strict für besonders heikle. Ohne Angabe behandelt Chrome Cookies wie Lax, andere Browser nicht durchgehend. SameSite=None funktioniert nur zusammen mit Secure und ist nur für Cookies gedacht, die in eingebetteten Inhalten auf fremden Seiten gebraucht werden.
• HttpOnly, wenn kein Skript das Cookie braucht. Für Sitzungs-Cookies ist es Pflicht. Manche Cookies liest ein Skript bewusst, etwa eine Spracheinstellung; dann ist das Fehlen kein Fehler.
• Was der Bericht sieht. Geprüft werden die Cookies, die deine Startseite per Header setzt. Cookies, die erst ein Skript im Browser anlegt, und Cookies nach dem Anmelden erscheinen dort nicht; prüfe sie in den Entwicklerwerkzeugen des Browsers.

So richtest du es ein

Ein Sitzungs-Cookie sieht so aus:

Set-Cookie: session=…; Path=/; Secure; HttpOnly; SameSite=Lax

Die Attribute setzt die Anwendung, die das Cookie erzeugt: das CMS, der Shop oder das Framework. Für Sitzungen gibt es dort meist eine Einstellung, in PHP zum Beispiel session.cookie_secure, session.cookie_httponly und session.cookie_samesite. Cookies von Plugins oder Drittanbietern lassen sich oft nur über deren Einstellungen ändern. Das erledigst du im Admin-Bereich oder deine Agentur in der Konfiguration.