Erhöhe die Sicherheit deiner WordPress-Website mittels HTTP-Sicherheits-Headern mit nur einem Klick!

Einer der wich­tigs­ten Aspek­te der Web­site-Sicher­heit ist die Ver­wen­dung von HTTP-Sicher­heits-Hea­dern (HTTP Secu­ri­ty-Hea­ders). Durch die Ver­wen­dung von HTTP-Sicher­heits-Hea­dern kann eine Web­site vor einer Viel­zahl von Angrif­fen geschützt wer­den. Erfah­re hier, wie du dei­ne Web­sei­te eines ein­zi­gen Word­Press Plug­ins viel siche­rer machst.

Sicherheit von Webseiten im Allgemeinen

Sicher­heit ist für jede Web­site wich­tig. Es gibt vie­le Mög­lich­kei­ten, eine Web­site sicher zu machen, aber eini­ge Grund­la­gen sind die Ver­wen­dung von HTTPS, ein star­kes Pass­wort und die Aktua­li­sie­rung der Soft­ware.

HTTPS ist der grund­le­gends­te und wich­tigs­te Schritt, um die Sicher­heit einer Web­site zu gewähr­leis­ten. Es ver­schlüs­selt den Daten­ver­kehr zwi­schen der Web­site und dem Benut­zer, was es für jeman­den sehr viel schwie­ri­ger macht, den Daten­ver­kehr abzu­hö­ren oder zu stö­ren. Ein star­kes Pass­wort ist eben­falls wich­tig, da es für jeman­den sehr viel schwie­ri­ger ist, sich durch Erra­ten oder Bru­te-Force-Metho­den Zugang zu Ihrer Web­site zu ver­schaf­fen. Schließ­lich ist es wich­tig, die Soft­ware auf dem neu­es­ten Stand zu hal­ten, um sicher­zu­stel­len, dass Sie über die neu­es­ten Sicher­heits­patches und Funk­tio­nen ver­fü­gen. Dies sind nur eini­ge der grund­le­gends­ten und wich­tigs­ten Maß­nah­men für die Sicher­heit Ihrer Web­site, aber es gibt noch vie­le wei­te­re. Einen umfas­sen­de­ren Leit­fa­den fin­den Sie in unse­rem Blog­bei­trag über die Sicher­heit von Web­sites.

Neben HTTPS gibt es eine Rei­he wei­te­rer Sicher­heits­maß­nah­men, die man ergrei­fen kann, um eine Web­site noch bes­ser zu schüt­zen. Eine der wich­tigs­ten Maß­nah­men ist die Imple­men­tie­rung von Sicher­heits-Hea­dern.

Was sind Sicherheitsheader?

HTTP-Sicher­heits-Hea­der sind eine gute Mög­lich­keit, eine Web­site eine zusätz­li­che Sicher­heits­ebe­ne zu ver­lei­hen. Die Sicher­heits­hea­der kön­nen dazu bei­tra­gen, Angrif­fe wie Cross-Site Scrip­ting (XSS) und Click­jack­ing zu ver­hin­dern.

In die­sem Arti­kel wer­den wir einen kur­zen Blick dar­auf wer­fen, was HTTP-Sicher­heits-Hea­der sind und wie sie zum Schutz dei­ner Web­site bei­tra­gen kön­nen.

Welche HTTP-Sicherheits-Header gibt es?

Die wich­tigs­ten HTTP Hea­der sind

• HTTP Strict Trans­port Secu­ri­ty (HSTS)
• X‑Frame-Opti­ons, X‑Con­tent-Type-Opti­ons
• Refer­rer-Poli­cy
• Per­mis­si­ons-Poli­cy
• Con­tent-Secu­ri­ty-Poli­cy (CSP)

Sie hel­fen, Ihre Web­site vor Angrif­fen und Schwach­stel­len zu schüt­zen. HTTP-Sicher­heits­hea­der sind ein wich­ti­ger Bestand­teil der Web­site-Sicher­heit. Sie hel­fen, Ihre Web­site vor Angrif­fen und Schwach­stel­len zu schüt­zen.

HTTP Strict Transport Security (HSTS)

HTTP Strict Trans­port Secu­ri­ty (HSTS) ist ein Sicher­heits­hea­der, der von Web­ser­vern an Web­cli­ents (z.B. Brow­sern) über­mit­telt wird, um zu ver­hin­dern, dass sen­si­ble Daten wie Coo­kies oder Log­in-Daten bei einem Man-in-the-Midd­le-Angriff abge­fan­gen und mani­pu­liert wer­den kön­nen.

Der HSTS-Hea­der wird vom Web­ser­ver an den Cli­ent über­mit­telt und sagt dem Cli­ent, dass er bei allen wei­te­ren Ver­bin­dun­gen zu die­sem Ser­ver auf HTTPS umstei­gen soll, und zwar unab­hän­gig davon, ob der Cli­ent die ent­spre­chen­de URL ein­ge­ge­ben hat oder nicht. Auf die­se Wei­se wird sicher­ge­stellt, dass alle Kom­mu­ni­ka­ti­on zwi­schen Cli­ent und Ser­ver ver­schlüs­selt statt­fin­det und kein Angrei­fer die Daten abfan­gen oder mani­pu­lie­ren kann.

Der HSTS-Hea­der kann auch ver­wen­det wer­den, um sicher­zu­stel­len, dass ein Cli­ent nur auf Sei­ten zugrei­fen kann, die über ein gül­ti­ges SSL-Zer­ti­fi­kat ver­fü­gen. Dies ver­hin­dert, dass ein Angrei­fer eine gefälsch­te Sei­te mit einem gül­ti­gen SSL-Zer­ti­fi­kat erstellt und den Nut­zer dazu ver­lei­tet, auf die­se Sei­te zuzu­grei­fen und sen­si­ble Daten ein­zu­ge­ben.

Der HSTS-Hea­der ist ein wich­ti­ger Teil der Sicher­heits­stra­te­gie einer Web­site und soll­te daher immer ver­wen­det wer­den, wenn eine Web­site HTTPS ver­wen­det.

Wei­ter­ge­hen­de Infor­ma­tio­nen zu HSTS fin­dest du hier: Was ist HSTS und wie füh­ren Sie es ein? (globalsign.com)

X‑Frame-Options

X‑Frame-Opti­ons ist ein Hea­der, der den Brow­ser anweist, die Web­site nur in einem Frame auf der­sel­ben Web­site anzu­zei­gen. Dies dient dem Schutz vor Click­jack­ing-Angrif­fen.

X‑Content-Type-Options

X‑Con­tent-Type-Opti­ons ist ein Hea­der, der dem Brow­ser mit­teilt, dass er nur den im Hea­der ange­ge­be­nen Inhalts­typ ver­wen­den soll. Dies trägt zum Schutz vor Angrif­fen bei, die Schwach­stel­len in der Hand­ha­bung des Inhalts­typs im Brow­ser aus­nut­zen.

Referrer-Policy

Refer­rer-Poli­cy ist ein Hea­der, der den Brow­ser anweist, die Refer­rer-Infor­ma­tio­nen nur an die im Hea­der ange­ge­be­ne Web­site zu sen­den. Dadurch wird ver­hin­dert, dass Refer­rer-Infor­ma­tio­nen an Web­sites Drit­ter wei­ter­ge­ge­ben wer­den.

Permissions-Policy

Per­mis­si­ons-Poli­cy ist ein Hea­der, der dem Brow­ser mit­teilt, dass die Web­site nur die im Hea­der ange­ge­be­nen Berech­ti­gun­gen ver­wen­den darf. Dies trägt zum Schutz vor dem Fin­ger­prin­ting von Web­sites bei.

Content-Security-Policy (CSP)

Con­tent Secu­ri­ty Poli­cy (CSP) ist ein Hea­der, mit dem du fest­le­gen kannst, wel­che Inhalts­quel­len auf dei­ner Web­site gela­den wer­den dür­fen. So kannst du bei­spiels­wei­se mit CSP ver­hin­dern, dass der Brow­ser exter­ne Java­Script-Datei­en lädt, oder nur Java­Script-Datei­en aus bestimm­ten Quel­len zulas­sen. CSP ist eine sehr wirk­sa­me Maß­nah­me gegen Cross-Site-Scrip­ting (XSS)-Angriffe, da es den Brow­ser am Laden bös­ar­ti­ger Inhal­te hin­dern kann.

Sicherheit von WordPress-Webseiten

Wie sicher ist meine eigene Seite?

Soweit die Theo­rie. Doch wie set­ze ich das jetzt auf mei­ner Web­sei­te rich­tig um?

Zunächst mal es es hilf­reich, den Sta­tus Quo der eige­nen Web­sei­te zu ermit­teln, damit man weiß, ob über­haupt Hand­lungs­be­darf besteht.

Nach ver­schie­de­nen Such­ma­schi­nen-Recher­chen und zahl­rei­chen You­tube-Vide­os zu dem The­ma bin ich irgend­wann auf tol­les Tool zum über­prü­fen der Secu­ri­ty Hea­ders gesto­ßen, näm­lich Secu­ri­ty Hea­ders von Pro­be­ly.

Das Tool ist ganz ein­fach zu nut­zen:

1. Web­sei­te https://securityheaders.com auf­ru­fen (Link öff­net sich in neu­em Fens­ter)
2. gewünsch­te Domain in das Ein­ga­be­feld ein­tra­gen
3. Wenn man zum ers­ten mal die eige­ne Web­sei­te über­prüft, emp­fiehlt es sich – mei­ner Mei­nung nach – ein Häk­chen bei ‚Hide results‘ unter­halb des Ein­ga­be­fel­des anzu­kreu­zen, andern­falls ris­kiert man, dass ein ggfs. schlech­tes Ergeb­nis auf der Start­sei­te von dem Tool unter ‚recent scans‘ und ‚Hall of Shame‘ ange­zeigt wird.
4. Den But­ton ‚Scan‘ kli­cken und schon wird das Ergeb­nis ange­zeigt

Bis heu­te dach­te ich, dass mei­ne Web­sei­te gut abge­si­chert sei, denn ich hat­te mich schon vor einem Jahr mal mit dem The­ma beschäf­tigt.

Aller­dings war das Ergeb­nis für mei­ne Sei­te doch ziem­lich erschre­ckend, näm­lich ein ent­täu­schen­des ‚F‘.

Das richtige WordPress Plugin finden

Doch wie fin­det man jetzt eigent­lich das rich­ti­ge Word­Press Plug­in für den rich­ti­gen Zweck. Das ist eigent­lich ganz ein­fach.

WordPress.org bie­tet auf der Web­sei­te ein Plug­in Ver­zeich­nis an, dass du direkt über die­sen Link https://de.wordpress.org/plugins/ errei­chen kannst. (Du kannst die­ses Ver­zeich­nis aber auch direkt über dei­ne Word­Press Instal­la­ti­on errei­chen, wenn du im Admi­nis­tra­ti­ons­be­reich auf ‚Plug­ins‘ klickst)

Im Plug­in Ver­zeich­nis suchst du nun ein­fach nach dem Begriff ‚HTTP Secu­ri­ty-Hea­ders‘ (du kannst auch auf den fol­gen­den Link kli­cken, dann öff­nen sich die Such­ergeb­nis­se in einem neu­en Tab:

Such­ergeb­nis­se für „HTTP Secu­ri­ty-Hea­ders“ | WordPress.org Deutsch

Wie man anhand des Screen­shots unschwer sehen kann, gibt es gar nicht so vie­le Plug­in, die sich spe­zi­ell auf das Such­wort bezie­hen.

Ein Plug­in sticht bei der Suche aber deut­lich her­vor, weil es auch mit der aktu­eslls­ten Ver­si­on näm­lich Word­Press 6.01 getes­tet wur­de, näm­lich der ers­te Tref­fer, das Plug­in ‚Hea­ders Secu­ri­ty Advan­ced & HSTS WP‘.

Das WordPress Plugin: Headers Security Advanced & HSTS WP

Das Plug­in Hea­ders Secu­ri­ty Advan­ced & HSTS WP ist ein Sicher­heits-Plug­in für Word­Press, das Web­si­ten vor einer Rei­he von Angrif­fen schützt. Das Plug­in bie­tet eine Rei­he von Sicher­heits­funk­tio­nen, wel­che die Web­site siche­rer machen. Zu den Sicher­heits­funk­tio­nen des Plug­ins gehö­ren Sicher­heits­hea­der, HSTS (HTTP Strict Trans­port Secu­ri­ty) und ein Word­Press-spe­zi­fi­scher Sicher­heits­mo­dus.

Hea­ders Secu­ri­ty Advan­ced & HSTS WP

Und das Bes­te ist, dass du die Sicher­heits­hea­der mit nur einem Klick mit dem Word­Press HTTP Secu­ri­ty Hea­der Plug­in ein­rich­ten kannst!

Ich habe das Plug­in also instal­liert und danach mei­ne Web­sei­te noch ein­mal über­prüft.

Und voi­là: Ich habe ein fan­tas­ti­sches Ergeb­nis von A+

Sobald man ein sol­ches Ergeb­nis erzielt, macht es natür­lich Sinn die Abfra­ge auch noch­mal ohne ‚Hide results‘ zu machen, damit man in der Hall of Fame lan­det (ob das tat­säch­lich irgend­wel­che SEO-Vor­tei­le bringt, kann ich nicht sagen. Es sieht aber zumin­dest schön aus :-))

Fazit: Mit dem Plugin ‚Headers Security Advanced & HSTS WP‘ die Webseitensicherheit erhöhen

‚Headers Security Advanced & HSTS WP‘ lohnt sich

Als Fazit kann ich fest­hal­ten, dass ein Word­Press Plug­in wie ‚Hea­ders Secu­ri­ty Advan­ced & HSTS WP‘ in kei­ner Word­Press Instal­la­ti­on feh­len soll­te. Die Instal­la­ti­on dau­ert nur weni­ge Minu­ten und das Ergeb­nis kann sich sehen las­sen:

Die Sicher­heit mei­ner Web­sei­te https://andreas.galatas.de wird jetzt jeden­falls mit A+ bewer­tet, wovon du dich durch Klick auf die­sen Link

https://securityheaders.com/?q=andreas.galatas.de&followRedirects=on (Link öff­net in neu­em Tab) hier live über­zeu­gen kannst.

Und natür­lich hab

Funktioniert auch in einer WordPress Multisite

Noch eine kur­ze (erfreu­li­che) Ergän­zung für Leu­te, die ein Word­Press Mul­ti­si­te-Netz­werk betrei­ben. Das Plug­in funk­tio­niert (zumin­dest bei mir) auch in einer Mul­ti­si­te-Umge­bung. Und das Tol­le: Wenn du das Plug­in in einer Mul­ti­si­te-Umge­bung instal­lierst und netz­werk­weit frei­schal­test, gel­ten die Ein­stel­lun­gen sofort für sämt­li­che Web­sei­ten dei­ner Mul­ti­si­te. So konn­te ich durch die Instal­la­ti­on die­ses Plug­ins mit nur einem ein­zi­gen Klick über 30 Web­sei­ten von einer Bewer­tung von ‚F‘ auf eine Bewer­tung von ‚A+‘ auf­wer­ten.

Ich bin jeden­falls begeis­tert von die­sem Word­Press Plug­in 🙂