Prüfpunkt software-server_signaturVersionen bleiben verborgen
Was verraten Server-Header über die Software Ihrer Website?
Server-Header können Namen und Versionsnummern der Software nennen, die Ihre Website ausliefert — zum Beispiel des Webservers oder der eingesetzten Programmierumgebung. Diese Kopfzeilen schickt Ihr Server unsichtbar mit jeder Antwort mit; jeder kann sie abfragen, ohne dass Sie es bemerken. Der Prüfbereich Software-Stand meldet, wenn darin Versionsnummern stehen, denn sie erleichtern Angreifern die Zuordnung.
Jede Server-Antwort trägt unsichtbare Kopfzeilen
Wenn ein Browser eine Seite Ihrer Website abruft, antwortet der Server mit dem Inhalt — und mit einer Reihe von Kopfzeilen, die der Besucher nie zu Gesicht bekommt. Sie regeln technische Dinge wie Zwischenspeicherung oder Zeichensatz. Einige davon sind reine Selbstauskunft: Die Kopfzeile „Server“ nennt oft die Webserver-Software, „X-Powered-By“ die Programmierumgebung — in der Standardeinstellung häufig samt Versionsnummer. Der Prüfbereich liest die Kopfzeilen der ohnehin abgerufenen Seite und meldet jede, die eine Versionsnummer enthält, mit der genauen Zeile als Beleg. Ein zusätzlicher Zugriff auf Ihren Server findet dafür nicht statt.
Versionsnummern im Header sind reine Aufklärungshilfe für Angreifer
Wer eine Website angreifen will, klärt zuerst, welche Software dort läuft. Nennen die Kopfzeilen die Versionen frei Haus, entfällt dieser Aufwand — die Zuordnung zu bekannten Schwachstellen wird zur einfachen Recherche. Auch hier trennt die Prüfung sauber: Ein sichtbarer Versions-Header belegt Sichtbarkeit, keine Verwundbarkeit. Ob die genannte Software-Version tatsächlich eine ausnutzbare Lücke hat, sagt der Befund nicht, und die Prüfung untersucht das auch nicht. In der Bewertung zählt die verborgene Server-Signatur 20 von 100 Punkten — ein kleiner, aber leicht einzusammelnder Baustein, denn das Abschalten kostet in der Regel nichts an Funktion.
Der Hoster oder die Agentur schaltet die Signatur ab
Die Selbstauskunft der Kopfzeilen lässt sich in der Server-Konfiguration unterdrücken oder auf den bloßen Produktnamen ohne Version kürzen. Bei gemietetem Webspace erledigt das der Hoster — eine kurze Anfrage an den Support genügt oft. Betreibt Ihre Agentur den Server, gehört der Handgriff in deren Wartungsroutine. Websites bei Baukasten-Anbietern liegen außerhalb Ihres Einflusses; dort verantwortet der Anbieter die Serverpflege insgesamt. Wichtig bleibt die Einordnung: Das Verbergen der Signatur ist Hygiene, kein Schutzschild. Die eigentliche Sicherheitsarbeit ist die laufende Aktualisierung der Server-Software — sie passiert nur unsichtbar, während die Signatur das Sichtbarste ist, was ein Server preisgibt.
So gehen Sie es an
- Bitten Sie Ihren Hoster oder Ihre Agentur, Versionsangaben in den Antwort-Kopfzeilen abzuschalten.
- Fragen Sie nach, welche Server-Software Ihre Website ausliefert und wer deren Aktualisierung verantwortet.
- Lassen Sie nach jedem Server-Umzug oder größeren Update prüfen, ob die Kopfzeilen wieder Versionen nennen — Standardeinstellungen kehren gern zurück.
- Halten Sie die Zuständigkeit schriftlich fest: Serverpflege gehört in einen Wartungsvertrag, nicht in den Zuruf.
Weiter im Prüfbereich Software-Stand
- Warum sollte das HTML Ihrer Website die W3C-Validierung bestehen?Der W3C-Validator prüft, ob das HTML einer Seite den Regeln des Standards folgt. Was ein Fehler bedeutet, wie die Prüfung abläuft und wer ihn behebt.
- Warum ist eine Bibliothek ohne Herstellerpflege ein Risiko für Ihre Website?Eine Bibliothek ohne Herstellerpflege erhält keine Sicherheitskorrekturen mehr. Was das Wartungsende bedeutet und wie Sie den Wechsel anstoßen.
- Warum sollte Ihre Website ihre CMS-Version verbergen?Eine sichtbare CMS-Version macht Ihre Website für versionsgezielte Angriffe sortierbar. Die Angabe lässt sich meist ohne Funktionsverlust entfernen.
- Was verraten Plugin-Versionen im Quelltext Ihrer Website?Plugins und Themes schreiben ihre Version oft in Dateipfade. So erkennt jeder veraltete Erweiterungen von außen — und so begrenzen Sie die Preisgabe.
Dieser Prüfpunkt gehört zum Prüfbereich Software-Stand; dort stehen alle Prüfpunkte im Überblick. Was die Prüfung insgesamt leistet, zeigt die Leistungsseite; wie ein Ergebnis zustande kommt, erklärt das Prüfverfahren. Alle Prüfbereiche im Überblick: Wissensbasis.
Foto: Kelly Sikkema, CC0
.jpg){kind=link}