Server-Header-Check: Wie sicher antwortet eine Webseite?
Geben Sie eine URL ein – das Tool liest die HTTP-Antwort-Header und bewertet die wichtigsten Sicherheits-Header.
Kurzantwort
Jede Webseite sendet bei jedem Aufruf HTTP-Header mit – darunter Sicherheits-Header wie Strict-Transport-Security oder Content-Security-Policy, die vor Angriffen wie Clickjacking und dem Abhören von Verbindungen schützen. Dieses Tool ruft eine URL ab, listet alle Antwort-Header auf und bewertet die sechs wichtigsten Sicherheits-Header mit Bestanden/Nicht bestanden. So sehen Sie auf einen Blick, ob eine Seite ihre Besucher technisch schützt – oder nicht.
Ehrliche Einschränkung: Browser erlauben JavaScript aus Sicherheitsgründen (Same-Origin-Policy) nur den Zugriff auf die Antwort-Header der eigenen Webseite. Bei fremden Domains blockiert der Browser das Auslesen (CORS) – das Tool meldet das ehrlich, statt erfundene Werte zu zeigen. Die Bewertung funktioniert daher vollständig für die eigene Seite; bei fremden Seiten sehen Sie eine entsprechende Erklärung.
Hinweis: Die Prüfung ruft die eingegebene URL direkt von Ihrem Browser aus ab – dabei ist Ihre IP-Adresse für den Betreiber der geprüften Seite sichtbar, wie bei jedem normalen Seitenaufruf. Siehe Datenschutzerklärung.
Die Meldung wird in Ihre Zwischenablage kopiert – senden Sie sie dem Betreiber (Kontaktadresse im Impressum).
So funktioniert’s
Bei jedem Aufruf einer Webseite antwortet der Server nicht nur mit der Seite selbst, sondern auch mit HTTP-Antwort-Headern – unsichtbaren Zusatzinformationen. Einige davon sind reine Sicherheits-Header, mit denen der Betreiber dem Browser sagt: „Behandle meine Seite besonders vorsichtig.“ Die wichtigsten:
Header
Schützt vor
Strict-Transport-Security (HSTS)
Erzwingt HTTPS – verhindert, dass Angreifer die Verbindung auf unverschlüsseltes HTTP herunterstufen.
Verhindert, dass die Seite unsichtbar in fremde Seiten eingebettet wird (Clickjacking).
X-Content-Type-Options
Stoppt das „Uminterpretieren“ von Dateien durch den Browser (MIME-Sniffing).
Referrer-Policy
Begrenzt, welche Informationen beim Klick auf externe Links weitergegeben werden.
Permissions-Policy
Kontrolliert den Zugriff auf Kamera, Mikrofon, Standort & Co.
Dieses Tool holt die Header per JavaScript-fetch ab und prüft, welche der sechs Header vorhanden sind. Fehlt einer, ist das kein Weltuntergang – aber gerade HSTS und eine sinnvolle CSP gehören heute zum Standard jeder seriösen Seite.
Beispiel
Die Prüfung von https://privatcheck.com/ (Beispieldaten) könnte so aussehen:
Header
Bewertung
Strict-Transport-Security
✓ vorhanden
Content-Security-Policy
✗ fehlt
X-Frame-Options
✓ vorhanden
Fazit des Beispiels: Die Verbindung ist per HSTS gegen Downgrade-Angriffe geschützt, aber ohne CSP bleibt die Seite anfälliger für XSS – hier könnte der Betreiber nachbessern. Genau solche Lücken macht das Tool sichtbar.
Quellen: MDN Web Docs (HTTP-Header), OWASP Secure Headers Project. Stand: Oktober 2026. Alle Angaben ohne Gewähr.
Häufige Fragen
Was sind HTTP-Sicherheits-Header?
Zusatzinformationen, die ein Webserver bei jeder Antwort mitsendet und mit denen er dem Browser Sicherheitsregeln vorgibt – z. B. „nutze nur HTTPS“ (HSTS) oder „lade Skripte nur von diesen Quellen“ (CSP). Sie sind unsichtbar, schützen aber vor ganzen Angriffsklassen.
Warum kann das Tool fremde Webseiten nicht immer prüfen?
Weil Browser aus Sicherheitsgründen (Same-Origin-Policy/CORS) verhindern, dass eine Webseite die Antwort-Header fremder Domains ausliest. Das schützt Sie beim Surfen – und gilt auch für dieses Tool. Es meldet die Blockade ehrlich, statt Werte zu erfinden.
Ist eine Seite ohne diese Header unsicher?
Nicht automatisch: Fehlende Header sind ein Hinweis auf nachlässige Konfiguration, aber kein Beweis für eine akute Lücke. Umgekehrt garantieren vorhandene Header keine absolute Sicherheit – sie sind eine wichtige Schicht unter mehreren.
Was bedeuten die Server-Header wie „server“ oder „x-powered-by“?
Sie verraten, welche Software der Server einsetzt (z. B. nginx, PHP-Version). Aus Datenschutzsicht ist das unproblematisch, aus Sicherheitssicht geben sie Angreifern aber unnötige Hinweise – viele Betreiber blenden sie daher aus.
Kann ich die Header meiner eigenen Webseite prüfen?
Ja – genau dafür ist das Tool gedacht: Geben Sie die URL Ihrer Seite ein. Da die Abfrage von Ihrem Browser ausgeht und viele Hoster die Header mitsenden, erhalten Sie eine ehrliche Bestandsaufnahme Ihrer Konfiguration.