Websicherheit: die wichtigsten Schutzmaßnahmen einer Website verstehen

Websicherheit entsteht aus mehreren Schutzschichten, die unterschiedliche Risiken begrenzen: verschlüsselter Transport, Browser-Richtlinien, Integrität externer Ressourcen, sichere Authentifizierung und konsequente Autorisierung. Keine einzelne Einstellung deckt all diese Aufgaben ab.

In Schichten statt in Einzelmaßnahmen denken

HTTPS schützt Daten auf dem Transportweg, behebt aber weder XSS noch fehlerhafte Zugriffskontrollen. Eine Content Security Policy kann die Auswirkungen bestimmter Injektionen begrenzen, ersetzt jedoch kein sicheres Rendering. Ein starkes Passwort wiederum hilft nicht gegen eine fehlerhafte Autorisierungsprüfung.

Eine belastbare Basis kombiniert HTTPS, sinnvolle Security-Header, CSP, SRI für geeignete Drittressourcen sowie eine saubere Authentifizierungs- und Sitzungsarchitektur.

Mit einem einfachen Bedrohungsmodell beginnen

Frage zuerst, welche Daten und Aktionen geschützt werden müssen, wer darauf zugreifen darf und welche Oberflächen erreichbar sind. Eine statische Website, eine Anwendung mit Benutzerkonten und ein Administrationsbereich haben unterschiedliche Risiken. Prüfe besonders privilegierte Aktionen, Drittanbieter-Skripte, einbettbare Seiten und Browser-APIs.

HTTPS ist die Grundlage, nicht die gesamte Lösung

TLS schützt die Verbindung zwischen Browser und Server. HSTS kann Browser anschließend anweisen, HTTPS weiter zu erzwingen. Der Leitfaden zu HTTP-Sicherheitsheadern erklärt HSTS und weitere Browser-Richtlinien.

Angriffsfläche im Browser begrenzen

Entferne unnötige Abhängigkeiten, veröffentliche keine Geheimnisse im Client-Code und beschränke externe Ressourcen auf das tatsächlich Nötige. Eine Content Security Policy kontrolliert zulässige Quellen; Subresource Integrity kann die erwarteten Bytes ausgewählter statischer Ressourcen festschreiben.

Authentifizierung, Autorisierung und Sitzungen trennen

Authentifizierung beantwortet, wer ein Nutzer ist. Autorisierung entscheidet, was er tun darf. Eine Sitzung transportiert Identität zwischen Requests. JWT kann Teil dieser Architektur sein, ersetzt aber keine Autorisierungsprüfung. Vertiefend helfen der JWT-Leitfaden und der Passwort-Leitfaden.

Für moderne OAuth-Flows und öffentliche Schlüssel siehe OAuth 2.0, PKCE, JWT, JWK und JWKS. Die Unterschiede zwischen Vertraulichkeit, Integrität und Authentizität erklärt Verschlüsselung, Hashing und HMAC.

Verhalten in Produktion prüfen

Kontrolliere die tatsächlich ausgelieferten Header, CSP-Verstöße, externe Requests, nicht authentifizierte Routen und abgelaufene Sitzungen. Eine Schutzmaßnahme in einer Konfigurationsdatei bringt nichts, wenn sie die reale HTTP-Antwort nicht erreicht.