WordPress Sicherheits-Header setzen – HSTS, CSP, X-Frame-Options in der Praxis

Stell dir vor, du baust ein wunderschönes Haus – mit viel Liebe zum Detail, stylischem Interieur und einer einladenden Veranda. Aber du vergisst, die Haustür abzuschließen. Klingt absurd? Genau das passiert täglich im Web: Fantastische WordPress-Websites werden gebaut, aber die Sicherheit bleibt auf der Strecke. Und das, obwohl laut Statista WordPress mit über 43% Marktanteil das beliebteste CMS der Welt ist (Quelle). Kein Wunder, dass Hacker sich auf WordPress stürzen wie hungrige Möwen auf Pommes am Strand.

Doch keine Panik! Mit ein paar cleveren Sicherheits-Headern kannst du deine WordPress-Seite so abschotten, dass Angreifer sich lieber ein anderes Ziel suchen. In diesem Artikel tauchen wir tief ein in die Welt von HSTS, CSP und X-Frame-Options – und zeigen dir, wie du diese Schutzschilde in der Praxis einsetzt. Bereit für ein bisschen Web-Security-Magie? Dann schnapp dir einen Kaffee, lehn dich zurück und lass uns loslegen!

Was sind eigentlich HTTP-Sicherheits-Header? Kurz gesagt: Es sind kleine, aber mächtige Anweisungen, die dein Webserver an den Browser schickt. Sie sagen dem Browser, wie er mit deiner Website umgehen soll – und verhindern so viele Angriffsarten, bevor sie überhaupt passieren. Klingt unsichtbar? Ist es auch. Aber die Wirkung ist enorm!

HSTS (HTTP Strict Transport Security): Dieser Header sorgt dafür, dass deine Seite immer über HTTPS geladen wird. Selbst wenn jemand versucht, dich auf eine unsichere HTTP-Verbindung umzuleiten, blockt der Browser das ab. Das schützt vor sogenannten Man-in-the-Middle-Angriffen und ist ein absolutes Must-have für jede moderne Website.
CSP (Content Security Policy): Die CSP ist wie ein Türsteher für deinen Content. Sie legt fest, welche Skripte, Styles oder Bilder geladen werden dürfen – und blockiert alles, was nicht auf der Gästeliste steht. Damit verhinderst du Cross-Site-Scripting (XSS) und viele andere Gemeinheiten.
X-Frame-Options: Dieser Header verhindert, dass deine Seite in einem <iframe> von anderen Websites geladen wird. Das schützt vor Clickjacking – also Angriffen, bei denen Nutzer auf unsichtbare Buttons klicken, ohne es zu merken.

Laut Verizon Data Breach Investigations Report 2023 sind über 60% aller erfolgreichen Angriffe auf Webanwendungen auf fehlende oder falsch konfigurierte Sicherheitsmechanismen zurückzuführen. Und das Schöne: Die meisten dieser Angriffe lassen sich mit ein paar Zeilen Code verhindern!

Warum sind Sicherheits-Header für WordPress so wichtig?

WordPress ist Open Source, flexibel und einfach zu bedienen – aber genau das macht es auch zum beliebten Ziel für Angreifer. Plugins, Themes und veraltete Installationen sind oft Einfallstore. Sicherheits-Header sind wie ein zusätzlicher Schutzwall, der unabhängig vom Code deiner Seite funktioniert. Sie sind:

Siehe auch CDN für WordPress Websites: Cloudflare vs. QUIC.cloud vs. CloudFront [Vergleich]

Unabhängig vom Theme oder Plugin: Egal, wie viele Plugins du nutzt – die Header greifen immer.
Leicht zu implementieren: Einmal richtig gesetzt, laufen sie im Hintergrund und brauchen kaum Wartung.
DSGVO-relevant: Viele Datenschutzbehörden empfehlen oder fordern sogar bestimmte Header, um Nutzerdaten zu schützen (BSI).

Die wichtigsten Sicherheits-Header im Detail

Header	Schutz	Empfohlener Wert
Strict-Transport-Security	Erzwingt HTTPS, schützt vor Downgrade-Angriffen	max-age=31536000; includeSubDomains; preload
Content-Security-Policy	Blockiert unerwünschte Skripte, Styles, Medien	default-src ’self‘; script-src ’self‘ …
X-Frame-Options	Verhindert Einbettung in fremde Seiten (Clickjacking)	SAMEORIGIN

1. HSTS (HTTP Strict Transport Security)

HSTS ist der Türsteher, der nur Gäste mit sicherem Ausweis (HTTPS) reinlässt. Ohne HSTS kann ein Angreifer versuchen, dich auf eine unsichere HTTP-Verbindung umzuleiten – und so sensible Daten abgreifen. Mit HSTS sagt dein Server: „Hier gibt’s nur HTTPS, alles andere wird blockiert!“

Wie setzt man HSTS? Am einfachsten in der .htaccess (bei Apache) oder nginx.conf (bei Nginx). Beispiel für Apache:
```
Header always set Strict-Transport-Security "max-age=31536000; includeSubDomains; preload"
```
Wichtig: Setze HSTS nur, wenn deine Seite wirklich überall HTTPS nutzt – sonst sperrst du dich selbst aus!
Preload-Option: Mit preload kannst du deine Domain in eine Browser-Liste eintragen lassen, sodass sie immer per HTTPS geladen wird – selbst beim allerersten Besuch. Mehr dazu auf hstspreload.org.

2. CSP (Content Security Policy)

Die CSP ist wie ein Bodyguard, der nur bestimmte Inhalte auf deine Party lässt. Sie verhindert, dass Angreifer eigene Skripte einschleusen – das berühmte Cross-Site-Scripting (XSS). Aber Achtung: Eine zu strenge CSP kann auch legitime Inhalte blockieren. Hier ist Fingerspitzengefühl gefragt!

Wie setzt man CSP? Ebenfalls in der .htaccess oder per Plugin. Beispiel:

Header set Content-Security-Policy "default-src 'self'; script-src 'self' https://trusted.cdn.com; style-src 'self' 'unsafe-inline'; img-src *; font-src 'self';"

Tipp: Teste deine CSP zuerst im Report-Only-Modus, um Fehler zu vermeiden:

Header set Content-Security-Policy-Report-Only "default-src 'self'; ..."

Feinjustierung: Passe die Policy an deine Seite an. Nutzt du Google Fonts, externe Skripte oder Analytics? Dann müssen diese Quellen explizit erlaubt werden.
Reporting: Mit report-uri kannst du Verstöße automatisch melden lassen – super für die Überwachung!

3. X-Frame-Options

Clickjacking klingt wie ein neues TikTok-Phänomen, ist aber leider ziemlich fies: Angreifer betten deine Seite in ein unsichtbares <iframe> ein und tricksen Nutzer aus. Mit X-Frame-Options sagst du: „Nur ich darf mich einbetten – alle anderen bleiben draußen!“

Wie setzt man X-Frame-Options? Wieder in der .htaccess:
```
Header always set X-Frame-Options "SAMEORIGIN"
```
Alternativ gibt es auch DENY (niemand darf einbetten) oder ALLOW-FROM https://deinedomain.de (nur bestimmte Domains).
Moderne Alternative: Die CSP kann das Einbetten noch feiner steuern:
```
Header set Content-Security-Policy "frame-ancestors 'self'"
```

So setzt du Sicherheits-Header in WordPress

Jetzt wird’s praktisch! Es gibt verschiedene Wege, die Header zu setzen:

Direkt auf dem Server: Die sicherste Methode ist die Anpassung der .htaccess (Apache) oder nginx.conf (Nginx). Das geht schnell, ist aber nichts für schwache Nerven – ein kleiner Fehler, und die Seite ist futsch.
Per Plugin: Für alle, die lieber klicken als coden, gibt es Plugins wie HTTP Headers oder Really Simple SSL. Sie bieten eine grafische Oberfläche und sind auch für Einsteiger geeignet. Aber: Plugins können zusätzliche Angriffsflächen bieten – halte sie immer aktuell!
Über den Hoster: Manche Hoster bieten eigene Sicherheitsfeatures oder erlauben die Anpassung der Header im Kundenmenü. Frag einfach mal nach!

Beispiel: .htaccess für WordPress


# Sicherheits-Header für WordPress

  Header always set Strict-Transport-Security "max-age=31536000; includeSubDomains; preload"
  Header set Content-Security-Policy "default-src 'self'; script-src 'self'; style-src 'self' 'unsafe-inline'; img-src *; font-src 'self';"
  Header always set X-Frame-Options "SAMEORIGIN"
  Header set X-Content-Type-Options "nosniff"
  Header set Referrer-Policy "strict-origin-when-cross-origin"

Hinweis: Teste die Seite nach jeder Änderung gründlich! Nutze Tools wie securityheaders.com oder die Browser-Entwicklertools, um die Header zu prüfen.

Häufige Stolperfallen und Best Practices

Zu strenge CSP blockiert legitime Inhalte: Viele WordPress-Themes und Plugins laden externe Skripte oder Styles. Passe die Policy individuell an – und nutze report-only zum Testen.
HSTS ohne vollständiges HTTPS: Setze HSTS nur, wenn wirklich alle Seiten und Subdomains per HTTPS erreichbar sind. Sonst sperrst du dich (und deine Nutzer) aus!
Header werden nicht gesetzt: Prüfe, ob dein Server mod_headers aktiviert hat (bei Apache) oder ob andere Plugins/Serverregeln die Header überschreiben.
Regelmäßige Kontrolle: Sicherheits-Header sind kein „Set & Forget“. Prüfe sie regelmäßig, vor allem nach Plugin- oder Theme-Updates.

Fazit: Kleine Header, große Wirkung!

Sicherheits-Header sind wie die unsichtbaren Bodyguards deiner WordPress-Seite. Sie schützen vor einer Vielzahl von Angriffen, sind schnell implementiert und werden von allen großen Datenschutzbehörden empfohlen. Klar, sie sind kein Allheilmittel – aber ein unverzichtbarer Baustein für jede professionelle Website.

Du willst dich nicht selbst mit .htaccess, CSP und HSTS herumschlagen? Kein Problem! Bei Nakaryu kümmern wir uns um die komplette Absicherung deiner Website – von der ersten Zeile Code bis zum letzten Pixel. Mit unserer Webdesign-Flatrate bekommst du nicht nur ein stylisches Design, sondern auch modernste Sicherheit, regelmäßige Updates und persönlichen Support. So kannst du dich entspannt zurücklehnen – und die Hacker dürfen draußen bleiben.

Quellen

Fragen zum Thema

Was sind HTTP-Sicherheits-Header und warum sind sie für WordPress so wichtig?

HTTP-Sicherheits-Header sind spezielle Anweisungen, die dein Webserver an den Browser sendet. Sie bestimmen, wie der Browser mit deiner Website umgeht und schützen vor vielen Angriffen wie Man-in-the-Middle, Cross-Site-Scripting (XSS) oder Clickjacking. Für WordPress sind sie besonders wichtig, weil das System durch seine weite Verbreitung und viele Plugins/Themes ein beliebtes Ziel für Angreifer ist. Sicherheits-Header bieten einen zusätzlichen Schutzwall, unabhängig vom eigentlichen Code deiner Seite.

Welche Sicherheits-Header sind für WordPress besonders empfehlenswert?

Die wichtigsten Sicherheits-Header für WordPress sind:

HSTS (Strict-Transport-Security): Erzwingt die Nutzung von HTTPS und schützt vor Downgrade-Angriffen.
CSP (Content Security Policy): Kontrolliert, welche Inhalte geladen werden dürfen und verhindert so z.B. XSS-Angriffe.
X-Frame-Options: Verhindert das Einbetten deiner Seite in fremde <iframe>s und schützt vor Clickjacking.
Weitere sinnvolle Header: X-Content-Type-Options, Referrer-Policy.

Wie kann ich Sicherheits-Header in WordPress umsetzen?

Es gibt drei gängige Wege, Sicherheits-Header in WordPress zu setzen:

Direkt auf dem Server: Über die .htaccess (Apache) oder nginx.conf (Nginx) lassen sich Header dauerhaft und performant setzen.
Per Plugin: Plugins wie HTTP Headers oder Really Simple SSL bieten eine einfache Oberfläche, um Header zu konfigurieren – ideal für Einsteiger.
Über den Hoster: Viele Hoster bieten eigene Sicherheitsfeatures oder erlauben die Anpassung der Header im Kundenmenü.

Wichtig: Nach jeder Änderung solltest du die Seite mit Tools wie securityheaders.com testen.

Was sind typische Fehlerquellen bei der Einrichtung von Sicherheits-Headern?

Häufige Stolperfallen sind:

Zu strenge CSP: Blockiert legitime Inhalte, wenn externe Skripte oder Fonts nicht explizit erlaubt werden.
HSTS ohne vollständiges HTTPS: Führt dazu, dass Teile der Seite nicht mehr erreichbar sind.
Header werden nicht gesetzt: Oft fehlt das Apache-Modul mod_headers oder andere Plugins/Regeln überschreiben die Header.
Keine regelmäßige Kontrolle: Nach Plugin- oder Theme-Updates können sich Header-Einstellungen ändern oder verloren gehen.

Wie unterstützt Nakaryu bei WordPress-Sicherheit und Sicherheits-Headern?

Nakaryu ist eine erfahrene Digitalagentur aus Nürnberg und bietet umfassende WordPress-Sicherheit als Teil der Webdesign-Flatrate an. Wir kümmern uns um die korrekte Einrichtung aller relevanten Sicherheits-Header, regelmäßige Updates, Backups und persönlichen Support. So bleibt deine Website nicht nur stylisch, sondern auch DSGVO-konform und bestens geschützt – ohne dass du dich selbst um technische Details kümmern musst.