Prüfpunkt software.cors.spiegelungKopfzeilen und Einbettung
Warum meldet der Browser einen CORS-Fehler, und wie wird er sicher behoben?
Ein CORS-Fehler heißt: Ein Skript Ihrer Seite wollte die Antwort eines anderen Servers lesen, und dieser Server hat dafür keine passende Freigabe geschickt. Der Browser hält die Antwort deshalb zurück. Ihre Besucher sehen davon nur, dass eine Landkarte leer bleibt, ein Formular hängt oder eine Anzeige nicht lädt. Behoben wird es meist am angefragten Server, mit einer Freigabe für genau Ihre Herkunft.
Die Sperre sitzt im Browser, den Grund nennt nur die Konsole
Der Browser verweigert dem Skript das Lesen der Antwort. Aus Sicherheitsgründen erfährt das Skript nicht einmal den Grund, es weiß nur, dass ein Fehler aufgetreten ist. Den Grund nennt allein die Konsole in den Entwicklerwerkzeugen des Browsers, die sich in Chrome, Edge und Firefox mit der Taste F12 öffnen. Dort steht etwa „Cross-Origin Request Blocked“, dazu die abgefragte Adresse und in Klammern der Grund. Genau diesen Wortlaut braucht Ihre Agentur. Ein Satz wie „die Karte geht nicht“ lässt sie raten.
Eine neue Domain oder ein Stern lösen den Fehler typischerweise aus
Für den Browser besteht eine Herkunft aus Protokoll, Domain und Port. https://ihre-domain.at und https://www.ihre-domain.at sind also zwei verschiedene Herkünfte. Nach einem Umzug auf www, auf eine neue Domain oder auf eine eigene Domain für die App fehlt die neue Herkunft oft auf der Liste des Servers. Ein anderer typischer Fall: Die Anfrage schickt Cookies mit, und der Server antwortet mit dem Stern. Browser blockieren diese Kombination und melden einen CORS-Fehler, obwohl der Stern auf den ersten Blick alles erlaubt. Die Antwort muss dann eine Herkunft ausdrücklich nennen.
Gehört der Server einem Anbieter, kann die Sperre Absicht sein
MDN weist darauf hin, dass ein fremder Dienst den Zugriff auch bewusst verweigern kann. Die meisten CORS-Fehler lassen sich nur am Server beheben, und über den fremden Server verfügen Sie nicht. Bietet der Anbieter keine Freigabe an, holt Ihr eigener Server die Daten dort ab, soweit der Anbieter das erlaubt, und gibt sie an Ihre Seite weiter. Ein Zugangsschlüssel für den Dienst bleibt dabei auf Ihrem Server.
Die schnelle Reparatur kann Kundenkonten öffnen
Die verlockende Lösung schreibt die Herkunft jeder Anfrage einfach in die Antwort zurück. Die Meldung verschwindet sofort, und alles läuft. Zusammen mit der Freigabe für Cookies darf dann aber jede beliebige Website im Browser eines angemeldeten Kunden die Antworten Ihres Servers lesen, sofern die Einstellung seines Cookies das zulässt. Das Sicherheitsunternehmen PortSwigger nennt das Zurückschreiben ohne Prüfung leicht ausnutzbar und rät davon ab. Fragen Sie nach jeder CORS-Reparatur, welche Herkünfte jetzt freigegeben sind. Die Antwort sollte eine kurze Liste von Domains sein.
So gehen Sie es an
- Lassen Sie sich den genauen Wortlaut aus der Konsole geben: Er nennt die abgefragte Adresse und den Grund.
- Klären Sie, wem der angefragte Server gehört. Ist es Ihrer, ergänzt Ihre Agentur dort die fehlende Herkunft. Bei einem fremden Dienst fragt sie den Anbieter oder lässt Ihren eigenen Server die Daten holen.
- Schickt die Anfrage Cookies, nennt die Antwort Ihre Herkunft ausdrücklich und dazu Vary: Origin.
- Testen Sie danach unter der echten Domain, in einem Browser ohne Erweiterungen.
Mehr zu diesem Thema
Weiter in der Cybersicherheit
- Was kann ein Angriff auf meiner Website anrichten?Kartendaten aus dem Bestellformular, Besucher auf Betrugsseiten, 20 Millionen Pfund Bußgeld: echte Fälle mit Quelle und dem Merkmal, das den Weg zeigt.
- Verändert KI die Angriffe auf meine Website?Was Behörden und Lageberichte 2025 und 2026 über KI bei Angriffen messen, was Umfragen nur vermuten, und was sich an der Abwehr einer kleinen Website ändert.
- Was verraten Debug-Werkzeuge und Statusseiten über Ihre Website?Debug-Leisten und Statusseiten zeigen Datenbankabfragen, Versionen und Servernamen. Die Prüfung ruft sieben bekannte Adressen ab und meldet nur echte Interna.
- Was verraten öffentliche Source Maps über den Code Ihrer Website?Eine Source Map führt verkleinerten Code auf die Originaldateien zurück, je nach Einstellung samt Quelltext. Die Prüfung sucht den Verweis in den Skripten.
Dieser Prüfpunkt gehört zur Cybersicherheit, Unterthema Kopfzeilen und Einbettung. Gemessen wird er im Prüfbereich Aktualität. Was die Prüfung insgesamt leistet, zeigt die Leistungsseite; wie ein Ergebnis zustande kommt, erklärt das Prüfverfahren.
