Websites herunterladen, die HSTS nutzen

Über HSTS

Die meisten Sicherheitsmerkmale lassen sich mit wenig Aufwand setzen und ebenso leicht wieder entfernen. Für HSTS gilt beides nicht, und genau dieser Unterschied macht die Spalte lesenswert. Der Header weist Browser an, unverschlüsselte Verbindungen zur Domain für einen festgelegten Zeitraum zu verweigern, und sobald er ausgeliefert und zwischengespeichert wurde, lässt er sich nicht schnell zurücknehmen. Ein Betreiber, der ihn sendet, hat akzeptiert, dass ein Zertifikatsfehler zu einem Ausfall wird statt zu einer Warnung, und eine solche Entscheidung muss sich jemand erst einmal zutrauen.

Der Mechanismus wurde 2012 standardisiert, um Protokoll-Downgrade- und Cookie-Hijacking-Angriffe zu verhindern. Stand Oktober 2026 sehen wir den Header auf 16.509.348 Websites. Die Einordnung in die Kategorie Security sagt nur das Offensichtliche. Aufschlussreicher ist der organisatorische Blick, denn das Vorhandensein belegt, dass jemand in dieser Organisation eine Abwägung verstanden und danach gehandelt hat, und so etwas lässt sich über einen Fremden aus einem öffentlichen Scan nur selten ableiten.

Genau diese Schlussfolgerung kaufen mehrere Zielgruppen. Sicherheitsanbieter und Beratungen wollen die Domains, die die Richtlinie nicht übernommen haben, denn diese Domains sind der Markt, den sie mit ihrem Angebot erreichen können. Compliance- und Versicherungsanalysten wollen die umgekehrte Sicht und nutzen die Verbreitung als einen Faktor in einer Bewertung der Sicherheitslage für eine Branche oder eine Lieferkette, die sie nicht direkt prüfen können. Bedrohungsforscher nutzen das Feld, um ihre Scans einzugrenzen, unter der vernünftigen Annahme, dass eine Domain, die Transportsicherheit erzwingt, etwas über die Reife von allem anderen dahinter aussagt.

Von den Domains, die den Header senden, verorten wir 9.156.474 in den USA, und bei den Endungen liegt der Schwerpunkt auf .com. Die Länderverteilung folgt Hosting-Plattformen und Control Panels, die die Richtlinie für ihre Kunden standardmäßig einschalten, sodass ein hoher nationaler Wert oft eine Anbieterentscheidung misst und keine nationale Sicherheitskultur. Wer einen Branchenvergleich aufbaut, sollte die Hosting-Spalte neben die Länderspalte legen, sonst zieht er am Ende eine Schlussfolgerung über Infrastruktur, die eine Flagge trägt, welche sie sich nie ausgesucht hat.

Eine Prüfung pro Domain ist kostenlos und sofort erledigt, und genau darum geht es. Niemand braucht einen Datensatz, um zu erfahren, ob eine einzelne Website den Header sendet. Die Datei braucht man für Fragen, unter denen ein Nenner steht. Welcher Anteil der Domains unter einer Länderendung die Richtlinie erzwingt. Wie die Lieferantenliste einer Bank im Vergleich zu ihrer gesamten Branche abschneidet. Ob die Verbreitung im Kundenbestand eines Hosting-Anbieters sprunghaft gestiegen ist, nachdem der Anbieter eine Voreinstellung geändert hat, und wann. Für Nenner braucht man den gesamten Bestand in einer Datei, verknüpft mit den anderen Merkmalen in derselben Zeile.

Unser Eintrag ist bewusst schmal gehalten. Wir vermerken, dass der Header in der Antwort enthalten war, die wir erhalten haben, und veröffentlichen weder seine Laufzeit noch, ob er Subdomains einschließt oder ob die Domain auf den Preload-Listen steht, die Browser mitliefern. Eine kurzlebige und eine langfristige Richtlinie sehen hier gleich aus. Die Erkennung setzt außerdem voraus, dass wir die Website erreichen, sodass Sperren, Timeouts und Zwischenseiten Lücken erzeugen, die eine verweigerte Antwort bedeuten und keine verweigerte Absicherung. Ein Fehlen bedeutet nur, dass wir den Header nicht beobachtet haben, und mehr lässt sich daraus nicht ableiten. Hängt eine Frage zur Richtlinie an den Parametern des Headers, braucht sie eine gezielte Prüfung, und diese Datei kann Ihnen nur sagen, worauf Sie diese Prüfung richten sollten.