Prüfpunkt software.hsts.schwachVerschlüsselung und Transport
Was leistet HSTS, und welche Einstellung erfüllt die Prüfung?
HSTS ist eine Kopfzeile, die Ihr Server mit jeder Seite mitschickt. Sie heißt Strict-Transport-Security und weist den Browser an, Ihre Domain für eine bestimmte Zeit nur noch über https zu laden. Die Prüfung erfüllt eine Einstellung, die mindestens 180 Tage gilt und alle Unterdomänen einschließt. Steht weniger in der Kopfzeile, nennt der Bericht den gemessenen Wert und die Angabe, die noch offen ist.
Chrome will vor Seiten ohne https nachfragen
Google hat angekündigt, dass Chrome ab Version 154 (Oktober 2026) vor dem ersten Aufruf einer öffentlichen Seite ohne https um Erlaubnis fragt. Das gilt auch für einen vergessenen Shop unter Ihrer Domain. Wer dort abbricht, bestellt nicht. Die Liste der Unterdomänen, die Sie für HSTS ohnehin brauchen, zeigt diese Stellen.
Der Browser merkt sich die Pflicht zu https
Wer Ihre Website aufruft, tippt oft nur den Namen ein, ohne https davor. Der Browser fragt dann zuerst unverschlüsselt an, und erst der Server leitet ihn auf die verschlüsselte Adresse um. In diesem Moment kann jemand im selben WLAN, etwa im Café oder im Hotel, die Antwort abfangen und eine unverschlüsselte Fassung der Seite ausliefern. Eingaben in Formularen, Anmeldedaten und Cookies gehen dann im Klartext über das Netz. Mit HSTS merkt sich der Browser nach dem ersten verschlüsselten Besuch, dass diese Domain nur über https lädt. Bei jedem weiteren Aufruf stellt er die Adresse selbst um, bevor eine Anfrage das Gerät verlässt. Zeigt die Seite ein ungültiges Zertifikat, lässt er den Besucher auch per Klick nicht mehr weiter.
Gemessen wird die Kopfzeile jeder Seite
Die Prüfung liest die Kopfzeile Strict-Transport-Security in der Antwort jeder Seite des Laufs, die über https lädt. Zwei Angaben zählen. max-age nennt die Dauer in Sekunden; der Messkern erwartet mindestens 15552000 Sekunden, das sind 180 Tage. includeSubDomains dehnt die Pflicht auf alle Adressen unter Ihrer Domain aus, etwa shop.ihre-domain.at oder webmail.ihre-domain.at. Ist eine der beiden Angaben noch offen, steht im Bericht die Kopfzeile, wie Ihr Server sie geschickt hat, dazu die Dauer in Tagen und welche Angabe fehlt. Schickt der Server die Kopfzeile auf einer Seite über https gar nicht, ist das ein eigener Befund mit höherer Schwere; der Beleg zeigt die Antwort ohne Strict-Transport-Security.
Unterdomänen brauchen dieselbe Pflicht
Ohne includeSubDomains gilt die Pflicht nur für die Adresse, die die Kopfzeile geschickt hat. Eine Unterdomäne darf der Browser weiter unverschlüsselt laden, und eine Antwort von dort kann Cookies für die ganze Domain setzen. Darüber lässt sich die Anmeldung auf Ihrer Hauptseite unterlaufen, obwohl diese selbst verschlüsselt lädt. Mit includeSubDomains gilt die Pflicht für jede Adresse unter Ihrer Domain.
Die Dauer wird in Stufen angehoben
includeSubDomains wirkt auch auf Unterdomänen, an die niemand mehr denkt: ein internes Werkzeug, eine Testumgebung, ein altes Webmail. Fehlt dort ein gültiges Zertifikat, zeigt der Browser danach eine Fehlerseite. Deshalb empfiehlt hstspreload.org, die Dauer in Stufen anzuheben: max-age=300 (fünf Minuten), dann 604800 (eine Woche), dann 2592000 (ein Monat), jeweils mit includeSubDomains, und dazwischen zu prüfen, ob alle Unterdomänen erreichbar bleiben. Danach folgt ein Jahr (31536000) oder mehr. Wer seine Domain zusätzlich in die Preload-Liste der Browser eintragen lässt, schützt auch den allerersten Besuch. Dafür verlangt die Liste max-age von mindestens einem Jahr, includeSubDomains und den Zusatz preload.
Beispiele
Dauer und Unterdomänen
Strict-Transport-Security: max-age=86400Strict-Transport-Security: max-age=31536000; includeSubDomains86400 Sekunden sind ein Tag, und die Pflicht gilt nur für diese eine Adresse. Die Prüfung erfüllt eine Dauer ab 15552000 Sekunden (180 Tage) mit includeSubDomains; üblich ist ein Jahr.
So gehen Sie es an
- Lassen Sie Ihren Hoster oder Ihre Agentur auflisten, welche Unterdomänen Ihre Domain hat, und prüfen, ob jede über https mit gültigem Zertifikat lädt.
- Bitten Sie darum, die Kopfzeile Strict-Transport-Security mit includeSubDomains zu setzen und die Dauer in Stufen bis auf ein Jahr (max-age=31536000) anzuheben.
- Prüfen Sie nach jeder Stufe, ob Shop, Webmail und interne Werkzeuge erreichbar bleiben.
- Lassen Sie die Website danach neu messen. Der Bericht zeigt die Kopfzeile, wie Ihr Server sie jetzt schickt.
- Halten Sie die Einstellung im Wartungsvertrag fest, damit sie einen Serverumzug übersteht.
Mehr zu diesem Thema
Weiter in der Cybersicherheit
- Was will mein Cyberversicherer von meiner Website sehen?Die Obliegenheiten der GDV-Musterbedingungen, der Risikofragebogen nach Umsatz und was davon an Ihrer Website von außen messbar ist. Mit Quellen.
- Gilt NIS2 für mich, und was ändert der Cyber Resilience Act an meiner Website?NISG 2026 in Österreich, BSI-Gesetz in Deutschland, Cyber Resilience Act: Schwellen, Fristen, Pflichten und was kleine Betriebe über ihre Kunden erreicht.
- Wie prüft der Browser, ob ein fremdes Skript unverändert ist?Mit Subresource Integrity (SRI) vergleicht der Browser eine fremde Datei mit ihrer Prüfsumme und lädt sie nur, wenn sie übereinstimmt.
- Welche Merkmale schützen die Cookies Ihrer Website?Secure, HttpOnly und SameSite legen fest, wann der Browser ein Cookie mitschickt und wer es lesen darf. Die Prüfung erwartet alle drei.
Dieser Prüfpunkt gehört zur Cybersicherheit, Unterthema Verschlüsselung und Transport. Gemessen wird er im Prüfbereich Aktualität. Was die Prüfung insgesamt leistet, zeigt die Leistungsseite; wie ein Ergebnis zustande kommt, erklärt das Prüfverfahren.
