HTTP-Header für wien.gv.at

Die sechs wichtigsten Security-Header — gesetzt oder nicht?

Security-Header

HTTP 200

Strict-Transport-Security ✓ gesetzt

max-age=31536000; includeSubDomains; preload

HSTS verhindert SSL-Stripping. Empfohlen: max-age=31536000; includeSubDomains

Content-Security-Policy ✓ gesetzt

default-src 'self' blob: *.cms-wien.magwien.gv.at *.magwien.gv.at *.wien.gv.at *.maptoolkit.net *.youtube.com *.vimeo.com archiv.yourvideo.tv *.buzzsprout.com; script-src 'self' 'unsafe-inline' 'unsafe-eval' *.cms-wien.magwien.gv.at *.magwien.gv.at *.wien.gv.at wien.kavedo.com code.jquery.com cdn.priv.center prod-origin.truendo.com track.adform.net *.adform.net siteimproveanalytics.com *.siteimproveanalytics.io siteimproveanalytics.io *.maptoolkit.net *.webspellchecker.net platform.twitter.com syndication.twitter.com js.stripe.com; connect-src 'self' https://*.cms-wien.magwien.gv.at https://*.magwien.gv.at https://stadtservicebot.wien.gv.at ws://stadtservicebot.wien.gv.at https://clients.wh-i.at https://*.wien.gv.at https://*.maptoolkit.net https://ux.maptoolkit.net https://prod-origin.truendo.com https://*.truendo.com https://*.priv.center https://svc.webspellchecker.net https://*.jsdelivr.net https://wien.kavedo.com; style-src 'self' 'unsafe-inline' *.cms-wien.magwien.gv.at *.magwien.gv.at *.wien.gv.at wien.kavedo.com; style-src-elem 'self' 'unsafe-inline' *.cms-wien.magwien.gv.at * magwien.gv.at *.wien.gv.at scds.dev.handbuch.wien.gv.at wiener-melange-theme.wien.gv.at svc.webspellchecker.net; img-src 'self' data: blob: *.cms-wien.magwien.gv.at *.magwien.gv.at *.wien.gv.at *.seadform.net *.siteimproveanalytics.io siteimproveanalytics.io *.maptoolkit.net *.stripe.com *.blob.core.windows.net wien.kavedo.com; worker-src 'self' blob: *.maptoolkit.net; font-src 'self' data: blob: *.wien.gv.at *.webspellchecker.net wien.kavedo.com; frame-src 'self' *.cms-wien.magwien.gv.at *.magwien.gv.at *.wien.gv.at *.truendo.com *.adform.net cams.its-viennaregion.at platform.twitter.com youtu.be vimeo.com *.youtube.com *.vimeo.com *.yourvideo.tv *.justlive.tv justlive.tv js.stripe.com webtv.feratel.com stp.wien.gv.at *.gemeinderecht.wien.gv.at; frame-ancestors 'self' https://*.magwien.gv.at

CSP — wichtigster Schutz gegen XSS.

X-Frame-Options ✗ fehlt

Schuetzt vor Clickjacking. DENY oder SAMEORIGIN.

X-Content-Type-Options ✓ gesetzt

nosniff

Sollte "nosniff" sein — verhindert MIME-Sniffing.

Referrer-Policy ✓ gesetzt

no-referrer-when-header

strict-origin-when-cross-origin oder strenger.

Permissions-Policy ✓ gesetzt

interest-cohort=()

Schaltet unerwünschte Browser-Features ab (Geolocation, Mikrofon, etc.).

Befunde (1)

→Header fehlt: X-Frame-Options

Was sind HTTP-Security-Header?

HTTP-Security-Header sind kleine Anweisungen, die dein Webserver mit jeder Antwort an den Browser mitschickt. Sie sagen dem Browser, wie er die Webseite behandeln soll — beispielsweise: "Lass keine fremden Skripte zu" (CSP), "Lade mich nie als iframe" (X-Frame-Options) oder "Sprich mit mir nur über HTTPS" (HSTS).

Die sechs hier geprüften Header decken die wichtigsten Angriffsklassen ab: HSTS verhindert SSL-Stripping bei Man-in-the-Middle-Angriffen. CSP ist die wichtigste Verteidigung gegen Cross-Site-Scripting (XSS). X-Frame-Options blockt Clickjacking. X-Content-Type-Options verhindert MIME-Sniffing-Angriffe. Referrer-Policy kontrolliert, welche Informationen beim Klick auf externe Links übertragen werden. Permissions-Policy regelt, welche Browser-Features (Geolocation, Mikrofon, Kamera) auf der Seite erlaubt sind.

Header werden in der Webserver-Konfiguration gesetzt — bei nginx in add_header, bei Apache in Header set, bei Cloudflare über "Transform Rules". Bei Frameworks wie Flask oder Express gibt es Helm-Pakete (z. B. flask-talisman), die alles mit sinnvollen Defaults konfigurieren.

Auch für wien.gv.at prüfen

SSL-Check geprüft

SSL/TLS-Zertifikat, Restlaufzeit, Cipher.

DMARC-Lookup geprüft

SPF, DMARC, DKIM und MX-Records.

DNS-Lookup geprüft

A, AAAA, MX, NS, TXT, CAA, SOA.

Whois/RDAP geprüft

Registrar, Ablaufdatum, Status, Nameserver.

Port-Scan geprüft

20 gängige TCP-Ports, kritische rot markiert.

Cookie-Audit geprüft

Set-Cookie-Header, Flags, Tracking-Erkennung.

Hintergrund im Lexikon

CSP erklärt csp

Die Content-Security-Policy ist der wichtigste Browser-seitige Schutz gegen XSS. Hier erfaehrst du, wie eine CSP aufgebaut ist und wie du si…

HSTS erklärt hsts

HSTS (Strict-Transport-Security) zwingt Browser dauerhaft auf HTTPS. Hier erfaehrst du, wie der Header aufgebaut ist, was includeSubDomains …

X-Frame-Options erklärt x-frame-options

X-Frame-Options verhindert Clickjacking-Angriffe, indem es regelt, ob deine Webseite in einem iframe eingebettet werden darf. Werte DENY, SA…

Referrer-Policy erklärt referrer-policy

Die Referrer-Policy regelt, welche Informationen beim Klick auf externe Links uebertragen werden. Werte, Privacy-Auswirkungen und sichere De…

Permissions-Policy erklärt permissions-policy

Die Permissions-Policy schaltet Browser-Features wie Geolocation, Mikrofon, Kamera und FLoC selektiv ab. Aufbau, alle Direktiven und Default…

MIME-Sniffing & X-Content-Type-Options erklärt mime-sniffing

X-Content-Type-Options: nosniff verhindert, dass Browser den MIME-Type von Dateien selbst raten. Schutz gegen Cross-Site-Scripting und Drive…

Cookie-Flags erklärt cookie-flags

Secure, HttpOnly und SameSite — die drei wichtigsten Cookie-Flags und wozu sie da sind. Wie du Sessions gegen XSS, MITM und CSRF absicherst.

Vollständiger Sicherheits-Audit für wien.gv.at

SSL, Header, DNS, E-Mail, DSGVO, CMS und CVEs in einem Bericht.

Geprüft am 14.05.2026 20:41 Uhr · Aus Cache (24 h-TTL)