Was veraltete Security-Header sind

So funktioniert es

Sicherheits-Header kommen und gehen. Manche wurden durch bessere ersetzt, andere aus den Browsern entfernt, weil sie mehr Probleme machten als lösten. In alten Konfigurationen, Vorlagen und Anleitungen stehen sie trotzdem noch. Die wichtigsten:

• X-XSS-Protection schaltete einen Filter ein, der eingeschleuste Skripte erkennen sollte. Der Filter ließ sich selbst für Angriffe ausnutzen, etwa um gezielt Teile einer Seite abzuschalten oder Inhalte auszuspähen. Alle großen Browser haben ihn entfernt; Firefox hatte nie einen. Den Schutz übernimmt die Content Security Policy.
• Public-Key-Pins und Public-Key-Pins-Report-Only (HPKP) legten fest, welche Schlüssel eine Seite verwenden darf. Ein Fehler, und die Seite war für die eingestellte Dauer für alle Besucher gesperrt. Browser werten den Header nicht mehr aus.
• Expect-CT verlangte, dass Zertifikate in öffentlichen Protokollen (Certificate Transparency) stehen. Das verlangen die großen Browser heute von sich aus; der Header ist überflüssig.

Zwei weitere Altlasten behandeln eigene Artikel: X-Frame-Options: ALLOW-FROM beim Schutz vor Clickjacking und Feature-Policy bei der Permissions-Policy.

Worauf es ankommt

• X-XSS-Protection nicht einschalten. Werte wie 1 oder 1; mode=block sind ein Risiko in alten Browsern, die den Filter noch haben. Unbedenklich ist nur 0 oder gar kein Header.
• Pinning und Expect-CT entfernen. Sie wirken nicht mehr, machen die Konfiguration aber unübersichtlich und täuschen einen Schutz vor, den es nicht gibt.
• Den Ersatz einrichten. Wer X-XSS-Protection entfernt, sollte eine Content Security Policy haben.

So räumst du auf

Suche in der Konfiguration des Webservers, in der .htaccess, in den Einstellungen des CDN und in Sicherheits-Plugins des CMS nach den Header-Namen und lösche die Zeilen. Wer X-XSS-Protection lieber ausdrücklich abschaltet, sendet:

X-XSS-Protection: 0

Bei nginx entfernst du die passenden add_header-Zeilen, bei Apache die Header set-Zeilen. Kommt ein Header von einem Plugin oder vom Hoster, schalte ihn dort ab oder frag deine Agentur.