Content-Security-Policy: Schutz vor eingeschleustem Code

Was ist eine Content-Security-Policy?

Eine Content-Security-Policy ist eine Art Hausordnung für Ihre Seite. Der Server schickt sie als Header mit, und der Browser hält sich daran. Sie legt fest, aus welchen Quellen Skripte, Stile, Bilder oder eingebettete Inhalte stammen dürfen. Alles andere blockiert der Browser. Ein Beispiel: Sie erlauben Skripte nur von Ihrer eigenen Domain. Schleust ein Angreifer über eine Lücke fremden Code ein, verweigert der Browser dessen Ausführung. Die CSP ist ein zusätzlicher Schutz, sie ersetzt keine Aktualisierungen der Website-Software.

Warum zählt das für Sicherheit, Google und KI-Assistenten?

Wird eine Website durch eingeschleusten Code verändert, etwa über ein veraltetes Plugin, kann er Besucher umleiten oder Eingaben mitlesen. Eine gut gesetzte CSP verringert dieses Risiko deutlich. Auf Google-Ranking und KI-Antworten hat der Header keinen belegten direkten Einfluss. Mittelbar zählt er aber: Seiten, die manipuliert wurden, können von Suchmaschinen als gefährlich markiert und aus den Ergebnissen genommen werden. Wichtig ist die Qualität. Eine CSP, die Inline-Skripte mit «unsafe-inline» erlaubt, schützt nur begrenzt.

So prüfen Sie es selbst

Öffnen Sie die Entwicklerwerkzeuge (meist F12), den Reiter «Netzwerk», laden Sie die Seite neu und klicken Sie auf die erste Zeile. Unter den Antwort-Headern suchen Sie «content-security-policy». Im Terminal geht es mit dem Befehl unten. Achten Sie in der Skript-Regel (script-src) auf die Begriffe «unsafe-inline» und «unsafe-eval». Der Gratis-Check von KI-Sichtradar nimmt genau das als Massstab. Er liefert nur Hinweise und ersetzt keinen Sicherheitstest. Eine kurze, strenge Regel ist nicht automatisch gut: Sie muss zu den Diensten passen, die Ihre Seite wirklich nutzt.

curl -sI https://ihre-firma.ch | grep -i content-security-policy

content-security-policy: default-src 'self'; script-src 'self'

So beheben Sie es

Eine CSP kann Funktionen blockieren, die Sie benötigen, etwa Karten, Videos oder Statistik-Werkzeuge. Führen Sie sie darum zuerst im Testbetrieb ein: Der Header Content-Security-Policy-Report-Only blockiert nichts, sondern meldet nur im Browser, was geblockt würde. So sehen Sie, was angepasst werden muss. Erst danach schalten Sie auf den echten Header um. Die Einrichtung ist Sache der Person, die Ihre Website betreut, nach einer Sicherung. Beachten Sie: KI-Sichtradar zählt nur den echten Header, nicht den Testbetrieb.

# Testbetrieb (blockiert nichts)
Content-Security-Policy-Report-Only: default-src 'self'; img-src 'self' data:; script-src 'self'

# Apache (.htaccess), nach erfolgreichem Test
Header always set Content-Security-Policy "default-src 'self'; img-src 'self' data:; script-src 'self'"

# nginx
add_header Content-Security-Policy "default-src 'self'; img-src 'self' data:; script-src 'self'" always;

1. Notieren Sie, welche externen Dienste Ihre Seite nutzt, zum Beispiel Karten, Videos oder Statistik.
2. Machen Sie eine Sicherung, und lassen Sie zuerst den Testbetrieb (Report-Only) einrichten.
3. Prüfen Sie in den Entwicklerwerkzeugen, welche Meldungen erscheinen, und ergänzen Sie nötige Quellen.
4. Schalten Sie erst nach einem gründlichen Test auf den echten Header Content-Security-Policy um.
5. Verzichten Sie in der Skript-Regel auf «unsafe-inline» und «unsafe-eval», wo es machbar ist.