Die Content Security Policy, kurz CSP, ist eine Regel, die eine Website dem Browser mitgibt. Sie legt fest, aus welchen Quellen Skripte, Stile, Bilder, Schriften und andere Ressourcen geladen werden dürfen. Was nicht erlaubt ist, blockiert der Browser. MDN beschreibt die CSP als Funktion, die bestimmte Sicherheitsbedrohungen verhindert oder ihr Risiko senkt, vor allem Cross-Site Scripting, kurz XSS, bei dem ein Angreifer schädlichen Code in eine Website einschleust [1]. Gelingt ihm das trotzdem, kann eine enge Richtlinie verhindern, dass das Skript weiteren Code nachlädt oder Daten an eine fremde Adresse schickt. Daneben schützt die CSP vor Clickjacking und hilft, Seiten nur über HTTPS zu laden [1].
Header oder meta-Element
Die Richtlinie sollte im Response-Header Content-Security-Policy übergeben werden, und zwar in allen Antworten, nicht nur im Hauptdokument [1]. Alternativ lässt sie sich mit einem meta-Element und dem Attribut http-equiv im HTML setzen, diese Variante unterstützt aber nicht alle Funktionen der CSP [1]. Seit August 2016 ist die CSP laut MDN browserübergreifend verfügbar [2]. Mehrere Richtlinien gleichzeitig können die Möglichkeiten einer Seite nur weiter einschränken, es gilt also jeweils die strengste Vorgabe [2].
Wichtige Direktiven
Eine Richtlinie besteht aus Direktiven. default-src legt eine Rückfallregel für alle Ressourcen fest, die keine eigene Direktive haben, script-src bestimmt die erlaubten Quellen für JavaScript [1]. Für Skripte im HTML selbst empfiehlt MDN einen Nonce, einen Einmalwert, der bei jeder Antwort anders und nicht vorhersagbar sein muss, oder einen Hash des Skripts [1]. Das Schlüsselwort 'unsafe-inline' hebt die Einschränkung für eingebettete Skripte auf. MDN rät davon ab, weil es den Hauptzweck der CSP zunichtemacht [1]. frame-ancestors steuert, welche fremden Seiten die eigene in einem iframe einbetten dürfen, und ersetzt flexibel den Header X-Frame-Options [1].
Noch eine Frage offen?
In der gratis Sprechstunde beantworten wir Fragen zu SEO live, jeden ersten Samstag im Monat um 18 Uhr. Oder du rufst einfach an.
Gefahrlos testen
Eine zu enge Richtlinie sperrt Teile der eigenen Website aus. Dafür gibt es den Header Content-Security-Policy-Report-Only. Er erzeugt Berichte über Verstöße, setzt die Regel aber nicht durch [1]. Diesen Berichtsmodus kann man nicht über ein meta-Element liefern [1]. Verstöße meldet der Browser an einen Endpunkt, den die Direktive report-to benennt und dessen Adresse im Header Reporting-Endpoints steht [1].
Nach unserer Erfahrung brechen bei einer neuen CSP am häufigsten Dinge, an die niemand gedacht hat: das Statistikskript, ein eingebettetes Video, die Karte auf der Kontaktseite oder ein Schriftdienst. Für die Suche ist das relevant, wenn Tracking ausfällt oder Inhalte nicht mehr erscheinen. Ein Beispiel: Ein Handwerksbetrieb setzt eine strenge Richtlinie und bemerkt erst Wochen später, dass seine Webanalyse keine Besuche mehr zählt. Je weniger fremde Quellen eine Website nutzt, desto kürzer bleibt die Regel und desto seltener bricht sie beim nächsten Umbau.
Verwandte Begriffe sind HSTS, CSRF und technisches SEO. Welche Sicherheitsfunktionen das SEO CMS mitbringt, beschreibt die Seite Sicherheit und Datenschutz im SEO CMS, für WordPress der Ratgeber WordPress Sicherheit und Updates.
Du willst eine CSP einführen und fürchtest, dass danach etwas nicht mehr läuft? Bring die Liste der Dienste, die deine Website einbindet, in die gratis Sprechstunde mit.
- Organisation Content-Security-Policy (CSP). MDN Web Docs (Mozilla). Stand 31.10.2026. abgerufen am 31.10.2026
- Organisation Content-Security-Policy-Header. MDN Web Docs (Mozilla). Stand 31.10.2026. abgerufen am 31.10.2026
Häufige Fragen
Wofür braucht man eine Content Security Policy?
Vor allem zum Schutz vor Cross-Site Scripting. Die Richtlinie erlaubt nur Ressourcen aus festgelegten Quellen, alles andere blockiert der Browser. Sie hilft auch gegen Clickjacking.
Kann man die CSP im HTML setzen?
Ja, über ein meta-Element mit http-equiv. Diese Variante unterstützt aber nicht alle Funktionen, und der Berichtsmodus geht nur per Header. Empfohlen ist der HTTP-Header.
Wie teste ich eine CSP, ohne die Website zu beschädigen?
Mit dem Header Content-Security-Policy-Report-Only. Er meldet Verstöße, blockiert aber nichts. Erst wenn die Berichte sauber sind, wird die Regel scharf geschaltet.
Hat die CSP Einfluss auf SEO?
Die CSP ist eine Sicherheitsfunktion. Nach unserer Erfahrung zählt sie für SEO vor allem dann, wenn eine zu enge Richtlinie Statistik, eingebettete Inhalte oder Schriften blockiert.
Noch eine Frage offen?
In der gratis Sprechstunde beantworten wir Fragen zu SEO live, jeden ersten Samstag im Monat um 18 Uhr. Oder du rufst einfach an.
Zuletzt geprüft am 03.11.2026, nächste Prüfung spätestens im November 2027. Fehler entdeckt? Schreib uns.
