Glossar Web-Technik und Sicherheit

HTTP, Verschlüsselung, Weiterleitungen und Absicherung.

Passende Aufgabe: Webhosting auswählen · Alle Themen im Glossar

Begriffe

ACME

Auch: Automatic Certificate Management Environment

Standardisiertes Verfahren (RFC 8555), mit dem ein Server TLS-Zertifikate automatisch beantragt und verlängert. Bekannteste kostenlose Zertifizierungsstelle, die ACME nutzt, ist Let's Encrypt; deren Zertifikate gelten standardmäßig 90 Tage.¹,²

Verwandt: TLS-Zertifikat, Let's Encrypt, Zertifizierungsstelle (CA) · Mehr dazu

Barrierefreiheit (WCAG)

Auch: WCAG, Accessibility, a11y

Gestaltung, die eine Website auch für Menschen mit Behinderungen nutzbar macht. Maßstab sind die Web Content Accessibility Guidelines des W3C (aktuell WCAG 2.2) mit Erfolgskriterien der Stufen A, AA und AAA.³

Verwandt: Barrierefreiheitsstärkungsgesetz (BFSG)

Content Security Policy (CSP)

Auch: CSP

Sicherheitsrichtlinie, die eine Website meist per HTTP-Header mitschickt und die festlegt, aus welchen Quellen der Browser Skripte, Bilder, Schriften und andere Bestandteile laden darf. Laut der W3C-Spezifikation (Level 3) mindert sie vor allem das Risiko von Cross-Site-Scripting; sie ist als zusätzliche Schutzschicht gedacht und ersetzt sichere Programmierung nicht.⁴

Verwandt: Cross-Site-Scripting (XSS), HSTS, Gemischte Inhalte (Mixed Content)

Cookie

Auch: HTTP-Cookie

Kleiner Datensatz, den ein Server mit dem Header Set-Cookie im Browser ablegt und den der Browser bei späteren Anfragen mitschickt; so kann das an sich zustandslose HTTP etwa eine Anmeldung wiedererkennen (RFC 6265). Ob dafür eine Einwilligung nötig ist, regelt in Deutschland § 25 TDDDG.⁵,⁶

Verwandt: Cookie-Einwilligung, HTTP und HTTPS, Einwilligung

Cross-Site-Scripting (XSS)

Auch: XSS

Angriff, bei dem Schadcode, meist JavaScript, über Eingaben in eine an sich vertrauenswürdige Website gelangt und im Browser anderer Besucher ausgeführt wird. Möglich wird das, wenn eine Anwendung Eingaben ungeprüft und unkodiert wieder ausgibt (OWASP).⁷

Verwandt: Content Security Policy (CSP), Web Application Firewall (WAF), OWASP Top 10, SQL-Injection

DDoS-Angriff

Auch: Distributed Denial of Service, DoS

Angriff, bei dem sehr viele Systeme koordiniert einen Server mit Anfragen überhäufen, bis er nicht mehr antwortet; beim einfachen DoS geht der Angriff von einem einzelnen System aus (BSI). Abwehren lässt sich das meist nur vor dem eigenen Server, beim Hoster, Netzbetreiber oder einem vorgeschalteten Dienst.⁸

Verwandt: Verfügbarkeit, Content Delivery Network (CDN), Web Application Firewall (WAF)

Gemischte Inhalte (Mixed Content)

Auch: Mixed Content

Bestandteile wie Bilder oder Skripte, die eine per HTTPS geladene Seite über unverschlüsseltes HTTP nachlädt. Browser laden solche Inhalte nach der W3C-Spezifikation je nach Art über HTTPS nach oder blockieren sie. Typischer Rest nach der Umstellung einer Website auf HTTPS: fest eingetragene http://-Adressen in Inhalten und Vorlagen.⁹

Verwandt: HTTP und HTTPS, TLS-Zertifikat, Content Security Policy (CSP)

HSTS

Auch: HTTP Strict Transport Security

Anweisung eines Servers an den Browser, die Website für eine festgelegte Zeit nur noch über HTTPS aufzurufen (RFC 6797). Schützt vor dem Herabstufen auf unverschlüsseltes HTTP; vor dem Einschalten muss HTTPS überall zuverlässig funktionieren.¹⁰

Verwandt: HTTP und HTTPS, TLS-Zertifikat

HTTP und HTTPS

Auch: Hypertext Transfer Protocol

Das Protokoll, mit dem Browser Seiten von Webservern abrufen; die Bedeutung von Anfragen und Antworten beschreibt RFC 9110. HTTPS ist HTTP über eine mit TLS verschlüsselte Verbindung und heute der Normalfall.¹¹

Verwandt: TLS-Zertifikat, HTTP-Statuscode, HSTS, HTTP/2, HTTP/3, TLS (Transport Layer Security)

HTTP-Statuscode

Auch: Statuscode, 404, 410, 500

Dreistellige Zahl, mit der ein Server das Ergebnis einer Anfrage meldet, z. B. 200 (in Ordnung), 301 (dauerhaft umgezogen), 404 (nicht gefunden), 410 (dauerhaft entfernt) oder 500 (Serverfehler). Festgelegt in RFC 9110.¹¹

Verwandt: Weiterleitung (301/302), HTTP und HTTPS · Mehr dazu

HTTP/2

Auch: h2

Version von HTTP, die mehrere Anfragen gleichzeitig über eine einzige Verbindung abwickelt und Kopfzeilen komprimiert; das spart Netzlast und Wartezeit. Festgelegt ist sie in RFC 9113, das RFC 7540 ablöst. Über TLS verlangt HTTP/2 TLS 1.2 oder neuer.¹²

Verwandt: HTTP und HTTPS, HTTP/3, TLS (Transport Layer Security) · Mehr dazu

HTTP/3

Auch: h3

Version von HTTP, die statt TCP das Transportprotokoll QUIC nutzt (RFC 9114). Ist UDP unterwegs gesperrt, sollen Clients laut RFC auf eine TCP-basierte HTTP-Version ausweichen; eine Website bleibt also auch ohne HTTP/3 erreichbar.¹³

Verwandt: HTTP und HTTPS, HTTP/2, QUIC · Mehr dazu

IP-Adresse

Auch: IPv4, IPv6

Numerische Adresse eines Geräts im Internet. IPv4 (RFC 791) nutzt 32 Bit und ist knapp geworden; IPv6 (RFC 8200) nutzt 128 Bit. Ein Server sollte heute über beide erreichbar sein.¹⁴,¹⁵

Verwandt: A- und AAAA-Eintrag, DNS

Let's Encrypt

Auch: ISRG

Kostenlose, automatisierte und offene Zertifizierungsstelle, betrieben von der gemeinnützigen Internet Security Research Group (ISRG). Zertifikate werden über das ACME-Verfahren ohne Handarbeit ausgestellt und verlängert und gelten standardmäßig 90 Tage. Viele Hoster binden Let's Encrypt direkt in ihr Control Panel ein.¹⁶,²,¹

Verwandt: ACME, TLS-Zertifikat, Zertifizierungsstelle (CA), CAA-Eintrag · Mehr dazu

OWASP Top 10

Auch: OWASP

Liste der kritischsten Sicherheitsrisiken für Webanwendungen, herausgegeben vom Open Worldwide Application Security Project (OWASP) und als Bewusstseins- und Einstiegsdokument für Entwickler gedacht, als erster Schritt zu sichererem Code. In der Fassung 2025 steht fehlerhafte Zugriffskontrolle (Broken Access Control) auf Platz 1, Injection auf Platz 5.¹⁷,¹⁸

Verwandt: Cross-Site-Scripting (XSS), SQL-Injection, Web Application Firewall (WAF)

Passkey

Auch: FIDO2, WebAuthn

Anmeldung ohne Passwort auf Basis der FIDO-Standards: Für jedes Konto entsteht ein Schlüsselpaar, die Website kennt nur den öffentlichen Schlüssel. Entsperrt wird wie beim Gerät selbst, etwa per Fingerabdruck oder PIN. Laut FIDO Alliance sind Passkeys phishingresistent; die Schnittstelle im Browser beschreibt die W3C-Empfehlung Web Authentication (WebAuthn).¹⁹,²⁰

Verwandt: Zwei-Faktor-Authentisierung (2FA), TLS (Transport Layer Security) · Mehr dazu

QUIC

Transportprotokoll auf Basis von UDP mit fest eingebauter Verschlüsselung über TLS, mehreren voneinander unabhängigen Datenströmen je Verbindung, schnellem Verbindungsaufbau und der Möglichkeit, den Netzwerkpfad zu wechseln, etwa vom WLAN ins Mobilfunknetz (RFC 9000). Grundlage von HTTP/3.²¹

Verwandt: HTTP/3, TLS (Transport Layer Security)

security.txt

Textdatei unter /.well-known/security.txt, in der eine Website angibt, wie Sicherheitslücken gemeldet werden sollen (RFC 9116). Pflicht sind die Felder Contact (Meldeweg) und Expires (Ablaufdatum der Angaben); ausgeliefert wird die Datei über HTTPS.²²

Verwandt: HTTP und HTTPS, OWASP Top 10

SNI (Server Name Indication)

Auch: Server Name Indication

TLS-Erweiterung, mit der der Browser schon beim Verbindungsaufbau den gewünschten Hostnamen nennt. So kann ein Server unter einer einzigen IP-Adresse viele Websites mit jeweils eigenem Zertifikat ausliefern (RFC 6066) – Voraussetzung für HTTPS im Shared Hosting.²³

Verwandt: TLS (Transport Layer Security), TLS-Zertifikat, Shared Hosting, IP-Adresse

SQL-Injection

Auch: SQLi

Angriff, bei dem über Eingabefelder oder Adressparameter SQL-Befehle in die Datenbankabfragen einer Anwendung eingeschleust werden. Gelingt er, lassen sich laut OWASP vertrauliche Daten auslesen, Daten ändern oder löschen und teils Verwaltungsbefehle auf der Datenbank ausführen.²⁴

Verwandt: Datenbank, Cross-Site-Scripting (XSS), Web Application Firewall (WAF), OWASP Top 10

TLS (Transport Layer Security)

Auch: Transport Layer Security, SSL

Protokoll, das Verbindungen im Internet verschlüsselt und die Gegenstelle anhand eines Zertifikats ausweist; HTTPS ist HTTP über TLS. Die aktuelle Version TLS 1.3 ist seit Juli 2026 in RFC 9846 festgelegt, das RFC 8446 ablöst. „SSL“ heißt der veraltete Vorgänger, der Name hält sich aber im Sprachgebrauch.²⁵

Verwandt: TLS-Zertifikat, HTTP und HTTPS, SNI (Server Name Indication), HSTS · Mehr dazu

TLS-Zertifikat

Auch: SSL-Zertifikat

Digitaler Nachweis, dass ein Server zu einer Domain gehört; Grundlage für verschlüsselte HTTPS-Verbindungen (aktuelles Protokoll: TLS 1.3, seit Juli 2026 festgelegt in RFC 9846, das RFC 8446 ablöst). „SSL“ ist der veraltete Name. Die Höchstlaufzeit öffentlich vertrauenswürdiger Zertifikate sinkt nach einem Beschluss des CA/Browser Forums bis März 2029 schrittweise auf 47 Tage.²⁵,²⁶

Verwandt: ACME, HTTP und HTTPS, HSTS, TLS (Transport Layer Security), Let's Encrypt, CAA-Eintrag, Zertifizierungsstelle (CA) · Mehr dazu

User-Agent

Auch: User-Agent-String

Angabe, mit der sich ein Browser oder Crawler in jeder Anfrage vorstellt (Header User-Agent, RFC 9110). Server nutzen sie für Statistiken oder angepasste Antworten, robots.txt-Regeln richten sich nach ihr. Fälschen lässt sie sich leicht; Common Crawl etwa warnt vor Crawlern, die sich fälschlich als CCBot ausgeben.¹¹,²⁷

Verwandt: HTTP und HTTPS, robots.txt, Googlebot, CCBot (Common Crawl)

Web Application Firewall (WAF)

Auch: WAF

Filter vor einer Webanwendung, der HTTP-Anfragen nach Regeln prüft, typischerweise auf Angriffsmuster wie Cross-Site-Scripting und SQL-Injection; laut OWASP lässt sie sich als Reverse Proxy betrachten. Eine WAF verringert das Risiko, ersetzt aber keine Sicherheitsupdates der Anwendung selbst.²⁸

Verwandt: Cross-Site-Scripting (XSS), SQL-Injection, Reverse Proxy, OWASP Top 10

Weiterleitung (301/302)

Auch: Redirect, Umleitung

Antwort des Servers, die den Browser zu einer anderen Adresse schickt. 301 bedeutet „dauerhaft verschoben“, 302 „vorübergehend anderswo“ (RFC 9110). Google wertet eine dauerhafte Weiterleitung als starkes Signal, dass das Ziel die maßgebliche Adresse ist.¹¹,²⁹

Verwandt: HTTP-Statuscode, Canonical · Mehr dazu

Zertifizierungsstelle (CA)

Auch: Certificate Authority, CA

Stelle, die Zertifikate ausstellt und mit ihrer Signatur bestätigt, dass ein öffentlicher Schlüssel zu einem bestimmten Namen gehört. Den Aufbau der Zertifikate im Internet (X.509) beschreibt RFC 5280. Browser vertrauen nur Zertifikaten von Stellen, deren Wurzelzertifikat sie kennen.³⁰

Verwandt: TLS-Zertifikat, Let's Encrypt, CAA-Eintrag

Zwei-Faktor-Authentisierung (2FA)

Auch: 2FA, Mehr-Faktor-Authentisierung

Anmeldung mit zwei unterschiedlichen Nachweisen, etwa Passwort plus Code aus einer App oder einem Sicherheitsschlüssel. Das BSI empfiehlt, sie zu nutzen, sobald ein Dienst sie anbietet – für Hosting-, Domain- und DNS-Konten besonders wichtig.³¹

Verwandt: Control Panel · Mehr dazu