Sicherheits-Header, HTTPS und DMARC prüfen

Welche Sicherheits-Header eine Website senden sollte, wie du sie im Browser liest, welche diese Seite sendet und wie SPF, DKIM und DMARC deine E-Mails schützen.

Das Wichtigste

Sicherheits-Header sagen dem Browser, wie er mit deiner Seite umgehen soll, etwa sie nur über HTTPS zu laden. Du kannst sie in jedem Browser lesen.
Eine Content Security Policy ist die wichtigste Abwehr gegen Cross-Site-Scripting, bei dem ein Angreifer eigenen Code in deine Seiten schleust.
SPF, DKIM und DMARC zeigen, dass E-Mails von deiner Domain wirklich von dir kommen. Seit Februar 2024 verlangt Gmail von Massenversendern, ihre E-Mails zu authentifizieren.

So siehst du deine Header

Jeder Webserver schickt mit jeder Seite Header mit. So liest du sie:

Im Browser: Öffne die Entwicklertools (in den meisten Browsern mit F12), geh zum Tab Netzwerk, lade die Seite neu, klicke auf den ersten Eintrag und sieh dir die Antwort-Header an.
Im Terminal: curl -I https://example.com zeigt die Header deiner Startseite.

Die Header dieser Seite

Diese Sicherheits-Header sendet crackthe.net mit jeder Seite:

Header	Was er bewirkt	Wert auf dieser Seite
Strict-Transport-Security	Browser nutzen für die Seite nur HTTPS und machen aus jeder HTTP-Anfrage eine HTTPS-Anfrage; Zertifikatsfehler lassen sich nicht wegklicken	max-age=31536000; includeSubDomains (ein Jahr, Subdomains eingeschlossen)
Content-Security-Policy	legt fest, aus welchen Quellen die Seite Skripte, Stile und Bilder laden darf; wichtigste Abwehr gegen Cross-Site-Scripting, mit frame-ancestors auch gegen Clickjacking	default-src ’none’, danach eine kurze Liste erlaubter Quellen
X-Content-Type-Options	verbietet dem Browser, den Typ einer Datei zu erraten	nosniff
X-Frame-Options	verbietet anderen Seiten, die Seite in einem Rahmen zu zeigen	DENY
Referrer-Policy	steuert, wie viel der Adresse andere Seiten sehen, wenn ein Besucher einem Link folgt	strict-origin-when-cross-origin
Permissions-Policy	schaltet Browserfunktionen ab, die die Seite nicht nutzt, etwa die Kamera	camera=(), microphone=() und mehr

Eine strenge Content Security Policy ist bei WordPress am schwierigsten einzurichten, weil Themes und Plugins oft Skripte von anderen Domains laden. Fang mit den anderen Headern an. Dein Hoster, eine Firewall vor der Seite oder ein Plugin können sie ergänzen.

HTTPS

Jede Seite sollte über HTTPS laden, mit einem gültigen Zertifikat. Strict-Transport-Security sorgt dafür, dass der Browser nicht auf einfaches HTTP zurückfällt. Fang mit einer kurzen Laufzeit (max-age) an: Haben Browser den Header einmal gesehen, nutzen sie HTTPS für die Zeit, die er angibt.

SPF, DKIM und DMARC für deine E-Mails

Deine Seite verschickt wahrscheinlich E-Mails: Kontaktformulare, Bestellungen, Passwort-Links. Drei Einträge im DNS deiner Domain zeigen empfangenden Mailservern, dass die E-Mail wirklich von dir kommt:

Eintrag	Was er angibt
SPF	welche Server E-Mails für deine Domain verschicken dürfen
DKIM	eine Signatur, die zeigt, dass die E-Mail von deiner Domain kommt und unterwegs nicht verändert wurde
DMARC	was Empfänger mit E-Mails tun sollen, die diese Prüfungen nicht bestehen, und wohin sie Berichte schicken

Ohne sie kann jeder leichter E-Mails im Namen deiner Domain verschicken, und deine eigenen E-Mails landen eher im Spam. Seit Februar 2024 verlangt Gmail von allen, die mehr als 5.000 Nachrichten am Tag an Gmail-Adressen schicken, ihre E-Mails zu authentifizieren. Deinen DMARC-Eintrag prüfst du im Terminal mit dig TXT _dmarc.example.com, mit deiner Domain statt example.com.

Was du tun kannst

Lies deine Header im Browser und vergleiche sie mit der Tabelle oben.
Ergänze zuerst die einfachen Header, die fehlen: X-Content-Type-Options, X-Frame-Options oder frame-ancestors, Referrer-Policy und Permissions-Policy.
Schalte Strict-Transport-Security ein, sobald jede Seite und jede Subdomain über HTTPS funktioniert.
Richte SPF, DKIM und DMARC für deine Domain ein. Dein E-Mail-Anbieter zeigt dir, welche Einträge du anlegen musst.
Plane eine Content Security Policy zuletzt, wenn du weißt, welche fremden Quellen dein Theme und deine Plugins laden.

Nächster Schritt

Die Seite Tools für Web-Sicherheit zeigt die Firewalls und Sicherheits-Plugins für WordPress.

Die Zahlen in diesem Ratgeber stammen aus dem Archiv und ändern sich mit jeder Datenaktualisierung. Stand 13. November 2026.