Webserver-Header & HTTP-Informationen – Metadaten nutzen, ohne direkten Angriff

Sep. 12, 2025

—

von

in Cyber Security, Passive Reconissance, Red Teaming

Einleitung

Jede Website, die wir im Browser aufrufen, schickt nicht nur Inhalte zurück, sondern auch eine Vielzahl an HTTP-Headern. Diese Metadaten enthalten oft Hinweise auf verwendete Technologien, Serverkonfigurationen und Sicherheitsmechanismen.
Für die Passive Reconnaissance sind solche Header eine wertvolle Informationsquelle – ganz ohne aktiven Angriff.

Was sind HTTP-Header?

HTTP-Header sind Zusatzinformationen, die beim Austausch zwischen Browser (Client) und Server übertragen werden.
Beispiele:

Server: verrät oft den Typ und die Version der Webserver-Software (z. B. Apache, Nginx, IIS).
X-Powered-By: zeigt Frameworks oder Programmiersprachen (z. B. PHP, ASP.NET).
Set-Cookie: gibt Details zu Sitzungsmanagement und Sicherheitsoptionen (z. B. Secure, HttpOnly, SameSite).
Content-Type: beschreibt, welcher Dateityp ausgeliefert wird (HTML, JSON, XML etc.).

👉 Diese Informationen sind in den meisten Fällen öffentlich und standardmäßig sichtbar.

Welche Erkenntnisse lassen sich gewinnen?

1. Server- und Technologie-Stack

Header verraten, ob ein System Apache, Nginx oder Microsoft IIS nutzt.
„X-Powered-By“ zeigt häufig, ob PHP, Node.js oder ASP.NET im Einsatz ist.
Versionen können Rückschlüsse auf mögliche Schwachstellen geben.

2. Sicherheitskonfigurationen

Fehlen wichtige Sicherheits-Header wie Content-Security-Policy oder Strict-Transport-Security, ist das ein Hinweis auf potenzielle Schwächen.
Set-Cookie-Flags geben Aufschluss darüber, ob Cookies sicher gesetzt werden.

3. Indirekte Informationen

Lastverteilung: Unterschiedliche Antworten bei mehreren Requests können auf Load-Balancer hindeuten.
Interne Systeme: Manche Header enthalten interne IPs, Hostnamen oder Umgebungsinformationen.
Framework-Hinweise: Bestimmte Header-Strukturen verraten CMS oder Webanwendungen (z. B. WordPress, Django).

Passive Analyse in der Praxis

Browser-Entwicklertools (F12 → „Netzwerk“) zeigen Header für jede Anfrage.
Online-Tools und Security-Scanner erfassen Header automatisch.
Analyse ist passiv, solange nur Standard-Requests gesendet werden.

Risiken für Unternehmen

Informationslecks: Offene Header können Angreifern Hinweise auf Technologien geben.
Veraltete Versionen: Sichtbare Versionsnummern verraten potenzielle Angriffspunkte.
Fehlende Sicherheitsheader: erleichtern Angriffe wie Clickjacking, XSS oder Session Hijacking.

Schutzmaßnahmen

Header-Härtung: Sicherheitsrelevante Header konsequent setzen (HSTS, CSP, X-Frame-Options).
Versionsinformationen entfernen: Keine exakten Versionsnummern in Server oder X-Powered-By preisgeben.
Regelmäßige Überprüfung: Header mit Security-Tools oder Scannern kontrollieren.
Best Practices umsetzen: OWASP Secure Headers Guidelines beachten.