Security-Header 2026: 3 von 4 Websites haben keine Content-Security-Policy
Security-Header 2026: 3 von 4 Websites haben keine Content-Security-Policy
Security-Header sind ein paar Zeilen in der Serverantwort, die dem Browser sagen, wie streng er mit einer Seite umgehen soll. Sie kosten nichts, schützen Besucher vor Clickjacking, gemischten Inhalten und eingeschleusten Skripten und sind Teil der Sicherheitsbewertung in jedem Audit von LANGR SEO. In unseren Daten sind sie außerdem das Modul mit der niedrigsten Punktzahl: im Median 40 von 100.
Die Zahlen stammen aus dem neuesten Audit von 94.853 Websites, die unserem Scanner zwischen April und Oktober 2026 geantwortet haben.
Wie viele Websites welchen Header senden
| Header | Websites, die ihn senden |
|---|---|
| X-Content-Type-Options | 47,6 % |
| X-Frame-Options | 44,8 % |
| Strict-Transport-Security (HSTS) | 41,9 % |
| Referrer-Policy | 25,6 % |
| Content-Security-Policy | 23,5 % |
| Permissions-Policy | 8,4 % |
Kein einziger Header erreicht die Hälfte der Websites. HSTS fehlt bei 58,1 %, das heißt, der erste Besuch kann noch auf einfaches HTTP herabgestuft werden. Hinzu kommt, dass 17,7 % der Websites HTTP überhaupt nicht auf HTTPS weiterleiten.
Ihre Plattform entscheidet das meiste
| Plattform | Websites | Keine Content-Security-Policy |
|---|---|---|
| Shopify | 4.411 | 2,6 % |
| Squarespace | 348 | 85,3 % |
| WordPress | 25.703 | 83,3 % |
| PrestaShop | 1.205 | 90,4 % |
| OpenCart | 455 | 94,3 % |
| Wix | 119 | 97,5 % |
| Kein CMS erkannt | 60.583 | 77,3 % |
Shopify sendet für jeden Shop eine CSP, deshalb fehlt sie fast keiner Shopify-Website. Bei WordPress und den meisten selbst gehosteten Shopsystemen hängen die Header vom Hoster oder von einem Plugin ab, und die meisten Websites bekommen sie nie. Wer WordPress nutzt, für den zählt hier das Hosting-Setup mehr als das Theme.
Die fünf Zeilen, die den Großteil der Lücke schließen
Diese Header sind für fast jede Website unbedenklich und lassen sich im Webserver, in einem CDN wie Cloudflare oder über ein Sicherheits-Plugin hinzufügen:
Strict-Transport-Security: max-age=31536000; includeSubDomains
X-Content-Type-Options: nosniff
X-Frame-Options: SAMEORIGIN
Referrer-Policy: strict-origin-when-cross-origin
Permissions-Policy: camera=(), microphone=(), geolocation=()Eine Content-Security-Policy erfordert mehr Sorgfalt, weil eine strenge Richtlinie Ihre eigenen Skripte blockieren kann. Beginnen Sie mit Content-Security-Policy-Report-Only, sehen Sie sich an, was blockiert würde, und wechseln Sie zum echten Header, sobald die Berichte sauber sind.
Beeinflussen Security-Header das Ranking?
Nicht direkt. Google hat HTTPS als Rankingsignal bestätigt, die einzelnen Header aber nicht. Für SEO zählen sie in der Praxis trotzdem: Eine gehackte Website mit eingeschleusten Spam-Links verliert schnell an Rankings, und Browser warnen Besucher vor Seiten, die unsichere Inhalte laden.
Starten Sie ein kostenloses SEO-Audit und sehen Sie genau, welche Header Ihre Website sendet, mit einer fertigen Lösung für jeden fehlenden. Die Begriffe werden im SEO-Lexikon von A bis Z erklärt.
Methode: neuestes vollständiges Audit pro Domain, 94.853 Websites mit Header-Ergebnis, erhoben von April bis Oktober 2026, überwiegend neu registrierte Domains und Domains kleiner Unternehmen in 15 Ländermärkten. Plattformen mit weniger als 100 Websites sind ausgelassen, und keine einzelne Domain wird genannt.