Prüfpunkt software.methoden.offenOffene Türen und Abwehr
Welche HTTP-Methoden braucht Ihre Website?
Jede Anfrage an einen Webserver hat eine Methode: GET holt eine Seite, POST schickt ein Formular ab. Daneben gibt es Methoden zum Ablegen, Ändern und Löschen von Dateien und eine zur Fehlersuche. Eine gewöhnliche Website braucht davon nur wenige. Die Prüfung fragt den Server mit OPTIONS, welche Methoden er für Ihre Startseite annimmt, und nennt im Bericht jede von TRACE, PUT, DELETE, PATCH und CONNECT, die er ankündigt.
Die Norm verlangt von einem Webserver nur GET und HEAD
Die HTTP-Norm RFC 9110 schreibt jedem allgemeinen Webserver nur die Methoden GET und HEAD vor, alle anderen sind wahlweise. Dass trotzdem mehr offen ist, liegt auch an Grundeinstellungen: Apache lässt TRACE von Haus aus zu, bis jemand TraceEnable off setzt. Die Kopfzeile Allow ist dabei eine Ankündigung. Welche Methoden tatsächlich gelten, legt der Server laut Norm bei jeder einzelnen Anfrage fest.
Formulare senden ohnehin nur mit GET oder POST
Ein HTML-Formular kennt als Versandart nur GET und POST. Kontaktformular und Suche laufen deshalb nach der Begrenzung weiter, solange sie gewöhnliche Formulare sind. Anders ist es bei Schnittstellen: WordPress löscht Beiträge über seine Schnittstelle mit DELETE und bietet für Server, die das ablehnen, einen Umweg über POST an. Ihre Agentur testet deshalb auch das Speichern und Löschen im Redaktionssystem.
Über PUT kann fremder Programmcode auf den Server gelangen
Das Prüfhandbuch der Sicherheitsgemeinschaft OWASP beschreibt die Folge: Nimmt der Server Dateien per PUT an, kann ein Angreifer eigene Inhalte ablegen. Das kann zum Ausführen von fremdem Programmcode führen, zu einer entstellten Website oder zum Ausfall. Bei TRACE ist die Lage entschärft: Der Web-Standard Fetch verbietet Skripten im Browser die Methoden CONNECT, TRACE und TRACK, und der Cookie-Diebstahl über TRACE gelingt laut OWASP in aktuellen Browsern nur noch mit Zusatztechnik wie Flash.
Jede angenommene Methode ist ein weiterer Zugang
PUT und DELETE erlauben, Dateien auf dem Server abzulegen oder zu löschen. Sind sie für das Webverzeichnis eingeschaltet, etwa durch eine vergessene WebDAV-Einstellung, kann im ungünstigen Fall jeder Dateien hochladen. TRACE schickt die Anfrage samt Kopfzeilen zurück; zusammen mit eingeschleustem Code ließen sich darüber früher Cookies auslesen, die eigentlich vor Skripten geschützt sind. CONNECT macht den Server zum Vermittler für Verbindungen zu anderen Rechnern. Eine Website, die nur Seiten zeigt und Formulare annimmt, braucht keine dieser Methoden.
Gemessen wird, was der Server ankündigt
Die Prüfung schickt eine Anfrage mit der Methode OPTIONS an Ihre Startseite und liest die Kopfzeile Allow der Antwort. Darin nennt der Server die Methoden, die er für diese Adresse annimmt. Stehen darin TRACE, PUT, DELETE, PATCH oder CONNECT, nennt der Bericht sie. Ob eine Anfrage mit dieser Methode tatsächlich etwas bewirkt, probiert die Prüfung nicht aus; eine Datei abzulegen oder zu löschen wäre ein Eingriff in Ihre Website. Ob TRACE die Anfrage tatsächlich zurückschickt, misst die Tiefenprüfung als eigenen Prüfpunkt: sie schickt eine TRACE-Anfrage an die Startseite und meldet, wenn die Antwort mit Status 200 die Anfrage wiederholt. TRACE ändert nichts an Ihrer Website.
Am Webserver auf das Nötige begrenzen
Ihr Hoster oder Ihre Agentur begrenzt die Methoden in der Konfiguration des Webservers auf GET, HEAD, POST und OPTIONS. Bei Apache schaltet TraceEnable off die Methode TRACE ab; WebDAV-Module bleiben aus, wenn niemand Dateien über den Browser ablegt. Braucht eine Schnittstelle der Website PUT oder DELETE, etwa eine Programmierschnittstelle unter /api, bleiben die Methoden nur dort erlaubt und nur nach Anmeldung.
Beispiele
nginx: nur die nötigen Methoden
location / {
try_files $uri $uri/ /index.php?$args;
}location / {
limit_except GET HEAD POST OPTIONS { deny all; }
try_files $uri $uri/ /index.php?$args;
}limit_except sperrt alle anderen Methoden für diesen Bereich. Schnittstellen, die PUT oder DELETE brauchen, bekommen einen eigenen Block mit Anmeldung.
So gehen Sie es an
- Lassen Sie Ihre Agentur die Methoden aus dem Bericht ansehen: braucht ein Teil der Website eine davon?
- Ihr Hoster begrenzt die Methoden am Webserver auf GET, HEAD, POST und OPTIONS und schaltet TRACE ab.
- Braucht eine Schnittstelle PUT oder DELETE, bleiben sie nur für deren Adressen erlaubt und nur nach Anmeldung.
- Prüfen Sie Formulare, Suche und Warenkorb danach einmal von Hand.
- Lassen Sie die Website neu messen. Der Bericht zeigt, welche Methoden der Server jetzt ankündigt.
Tipps aus der Praxis
- Bei Apache erfasst eine Sperre mit Limit oder LimitExcept die Methode TRACE nicht. Dafür braucht es die eigene Einstellung TraceEnable off.
- Manche Anwendungen lesen die gewünschte Methode aus einer Kopfzeile wie X-HTTP-Method-Override. Eine Sperre am Webserver sieht dann nur POST; fragen Sie Ihre Agentur, ob das ohne Anmeldung möglich ist.
- Die Kopfzeile Allow gilt nur für die abgefragte Adresse. Lassen Sie auch Upload-Ordner und Schnittstellen abfragen.
Weiter in der Cybersicherheit
- Was will mein Cyberversicherer von meiner Website sehen?Die Obliegenheiten der GDV-Musterbedingungen, der Risikofragebogen nach Umsatz und was davon an Ihrer Website von außen messbar ist. Mit Quellen.
- Gilt NIS2 für mich, und was ändert der Cyber Resilience Act an meiner Website?NISG 2026 in Österreich, BSI-Gesetz in Deutschland, Cyber Resilience Act: Schwellen, Fristen, Pflichten und was kleine Betriebe über ihre Kunden erreicht.
- Warum braucht eine Live-Verbindung auf einer https-Seite wss://?Chat, Live-Daten und Benachrichtigungen laufen oft über WebSockets. Auf einer verschlüsselten Seite gehört die Verbindung zu wss://, nicht zu ws://.
- Warum muss der Server den Dateityp von Skripten richtig angeben?Der Server nennt zu jeder Datei ihren Typ. Stimmt er bei Skripten, Stylesheets oder Bildern nicht, blockiert der Browser sie oder muss raten.
Dieser Prüfpunkt gehört zur Cybersicherheit, Unterthema Offene Türen und Abwehr. Gemessen wird er im Prüfbereich Aktualität. Was die Prüfung insgesamt leistet, zeigt die Leistungsseite; wie ein Ergebnis zustande kommt, erklärt das Prüfverfahren.
