Schutz-Header nosniff und Referrer-Policy richtig setzen

Was sind nosniff und Referrer-Policy?

Ein Header ist eine Zeile, die der Server mit der Seite an den Browser schickt. X-Content-Type-Options: nosniff sagt dem Browser: Behandle jede Datei genau als das, was ich angebe. Ohne diese Zeile rät der Browser manchmal den Dateityp selbst, und ein als Bild getarnter Code könnte als Skript laufen. Die Referrer-Policy regelt, welche Angaben über die besuchte Seite der Browser weitergibt, wenn jemand einem Link zu einer anderen Website folgt. Das betrifft die Adresse der Seite, von der der Besucher kommt.

Warum zählt das für Sicherheit, Google und KI-Assistenten?

Beide Header verringern Risiken, ohne das Aussehen der Seite zu ändern. Nosniff erschwert Angriffe, bei denen Dateien falsch gedeutet werden. Die Referrer-Policy verhindert, dass vollständige Adressen, etwa mit internen Pfaden oder Kennungen, an fremde Anbieter gehen. Für Ranking in Google oder Antworten von KI-Assistenten haben die Header keinen belegten direkten Einfluss. Sie gehören aber zur sauberen Grundausstattung, die Sicherheitsprüfungen von Kunden und Partnern oft abfragen, und sind in wenigen Minuten gesetzt.

So prüfen Sie es selbst

Öffnen Sie die Entwicklerwerkzeuge Ihres Browsers (meist F12), den Reiter «Netzwerk», laden Sie die Seite neu und klicken Sie auf die erste Zeile. Unter den Antwort-Headern suchen Sie «x-content-type-options» und «referrer-policy». Im Terminal erledigt der Befehl unten beides auf einmal. Mit dem Gratis-Check von KI-Sichtradar sehen Sie zusätzlich, welcher der beiden Header fehlt. Er liefert nur Hinweise und ist kein Sicherheitstest. Beide Header sollten auf der Startseite erscheinen, nicht nur auf einzelnen Unterseiten, weil der Check nur die Startseite abruft.

curl -sI https://ihre-firma.ch | grep -iE "x-content-type-options|referrer-policy"

x-content-type-options: nosniff
referrer-policy: strict-origin-when-cross-origin

So beheben Sie es

Beide Header werden auf dem Server gesetzt, bei Apache in der Datei .htaccess, bei nginx in der Server-Konfiguration, oft auch in der Verwaltung des Hosters. Lassen Sie das von der Person erledigen, die Ihre Website betreut, und machen Sie vorher eine Sicherung. Als Wert für die Referrer-Policy hat sich strict-origin-when-cross-origin bewährt: Innerhalb Ihrer Seite wird die volle Adresse weitergegeben, an fremde Seiten nur die Domain. Prüfen Sie danach, ob Statistik und Formulare weiterhin funktionieren.

# Apache (.htaccess)
<IfModule mod_headers.c>
  Header always set X-Content-Type-Options "nosniff"
  Header always set Referrer-Policy "strict-origin-when-cross-origin"
</IfModule>

# nginx
add_header X-Content-Type-Options "nosniff" always;
add_header Referrer-Policy "strict-origin-when-cross-origin" always;

1. Machen Sie eine Sicherung der Website und der Server-Einstellungen.
2. Lassen Sie von Hoster oder Webdesigner den Header X-Content-Type-Options: nosniff setzen.
3. Lassen Sie ebenso die Referrer-Policy setzen, zum Beispiel strict-origin-when-cross-origin.
4. Prüfen Sie im Browser, ob Bilder, Stile und Skripte weiterhin korrekt geladen werden.
5. Kontrollieren Sie die Header erneut mit den Entwicklerwerkzeugen oder dem Befehl curl.