Einbettungsschutz: frame-ancestors gegen Clickjacking

Was ist Einbettungsschutz?

Mit einem iframe kann eine Website eine andere Seite wie ein Fenster in sich anzeigen. Das ist praktisch für Karten oder Videos, kann aber missbraucht werden. Beim Clickjacking legt ein Angreifer Ihre Seite durchsichtig über einen harmlosen Knopf. Wer klickt, löst unbemerkt eine Aktion auf Ihrer Seite aus. Der Einbettungsschutz sagt dem Browser, wer Ihre Seite einbetten darf. Dafür gibt es die Anweisung frame-ancestors, Teil der Content-Security-Policy, und den älteren Header X-Frame-Options.

Warum zählt das für Sicherheit, Google und KI-Assistenten?

Der Schutz verringert das Risiko, dass Besucher durch eine fremde Seite getäuscht werden und auf Ihrer Seite ungewollt Aktionen auslösen, etwa in einem Kundenbereich oder bei Formularen. Auf Ranking oder KI-Antworten hat er keinen belegten direkten Einfluss. Er gehört aber zur Grundausstattung, die Sicherheitsprüfungen erwarten, und schützt Ihren Ruf: Missbrauch Ihrer Seite fällt auf Sie zurück. Beachten Sie nur eines: Der Schutz blockiert auch erlaubte Einbettungen, etwa wenn ein Partner Ihre Seite bewusst einbinden soll.

So prüfen Sie es selbst

Öffnen Sie die Entwicklerwerkzeuge (meist F12), den Reiter «Netzwerk», laden Sie die Seite neu und klicken Sie auf die erste Zeile. Suchen Sie bei den Antwort-Headern nach «content-security-policy» mit der Anweisung frame-ancestors oder nach «x-frame-options». Im Terminal zeigt der Befehl unten beides. Ein Hinweis aus dem Gratis-Check von KI-Sichtradar ersetzt keinen Sicherheitstest, hilft aber, den Punkt rasch zu finden. Welche der beiden Varianten gesetzt ist, spielt für die Bewertung keine Rolle. Wichtig ist, dass mindestens eine davon auf der Startseite vorhanden ist und Ihren Wünschen entspricht.

curl -sI https://ihre-firma.ch | grep -iE "frame-ancestors|x-frame-options"

content-security-policy: frame-ancestors 'self'
x-frame-options: SAMEORIGIN

So beheben Sie es

Für die meisten Firmenseiten genügt es, die Einbettung nur auf der eigenen Domain zu erlauben. Setzen Sie dazu frame-ancestors in die Content-Security-Policy. Besteht dort schon eine, ergänzen Sie die Anweisung darin. Zusätzlich kann X-Frame-Options für ältere Browser gesetzt werden. Soll ein Partner Ihre Seite einbetten, muss dessen Domain in die Liste. Die Umsetzung gehört in die Hand der Person, die Ihre Website betreut, nach einer Sicherung. Prüfen Sie danach, ob eingebundene Dienste noch funktionieren.

# Apache (.htaccess)
Header always set Content-Security-Policy "frame-ancestors 'self'"
Header always set X-Frame-Options "SAMEORIGIN"

# nginx
add_header Content-Security-Policy "frame-ancestors 'self'" always;
add_header X-Frame-Options "SAMEORIGIN" always;

1. Klären Sie, ob Ihre Seite absichtlich in fremden Seiten erscheinen soll, zum Beispiel bei Partnern.
2. Machen Sie eine Sicherung, und lassen Sie die Header vom Hoster oder Webdesigner setzen.
3. Ergänzen Sie frame-ancestors in einer bestehenden Content-Security-Policy, statt eine zweite anzulegen.
4. Setzen Sie zusätzlich X-Frame-Options: SAMEORIGIN für ältere Browser.
5. Testen Sie danach Formulare, Kundenbereiche und eingebundene Dienste auf Ihrer Website.