HTTP Strict Transport Security, kurz HSTS, ist eine Kopfzeile, mit der ein Server dem Browser mitteilt, diese Domain für eine festgelegte Dauer nur noch über HTTPS aufzurufen. Der Browser wandelt unverschlüsselte Aufrufe danach selbst um, bevor überhaupt eine Verbindung entsteht. Damit entfällt nach dem ersten sicheren Besuch der ungeschützte Aufruf, den eine gewöhnliche 301-Weiterleitung von http auf https nicht verhindern kann [1, 2].
Wie HSTS funktioniert
Der Standard heißt RFC 6797 und stammt von November 2012 [1]. Der Server sendet die Kopfzeile Strict-Transport-Security in seinen Antworten. Der Browser merkt sich den Domainnamen und ersetzt künftig bei jedem Link und jeder Eingabe das Schema http durch https, bevor er die Seite lädt; Port 80 wird dabei zu 443 [1]. Erhält der Browser die Kopfzeile über eine unverschlüsselte Verbindung, muss er sie ignorieren. So kann niemand auf dem Übertragungsweg die Regel unterschieben oder vorzeitig ablaufen lassen [1, 2].
Die zweite Folge spürt man erst im Fehlerfall. Meldet der Browser bei einer HSTS-Domain ein Problem mit dem Zertifikat, bricht er die Verbindung ab. Der Standard empfiehlt, dem Besucher keine Möglichkeit zum Fortfahren anzubieten [1]. Ein abgelaufenes SSL-Zertifikat macht die Website damit für alle unerreichbar, die sie schon einmal besucht haben.
Die drei Angaben im Header
- max-age ist Pflicht und gibt in Sekunden an, wie lange der Browser sich die Regel merkt. Jede Antwort setzt die Frist neu, der Wert 0 löscht die Regel wieder [1, 2].
- includeSubDomains dehnt die Regel auf alle Subdomains aus. Dann muss jede davon HTTPS beherrschen, auch eine alte Testumgebung [1].
- preload kennzeichnet die Domain für die Aufnahme in die Preload-Liste [2].
Ein Jahr für die Domain und alle Subdomains schreibt man als "max-age=31536000; includeSubDomains" [2]. Den Header setzt du je nach Server in der Konfiguration oder auf Apache in der .htaccess. Wie Kopfzeilen allgemein arbeiten, erklärt der Eintrag HTTP-Header.
Noch eine Frage offen?
In der gratis Sprechstunde beantworten wir Fragen zu SEO live, jeden ersten Samstag im Monat um 18 Uhr. Oder du rufst einfach an.
Erster Besuch und Preload-Liste
Die Regel wirkt erst, nachdem der Browser einmal eine sichere Antwort mit der Kopfzeile erhalten hat. Der allererste Aufruf über http bleibt angreifbar, der Standard nennt das ausdrücklich [1]. Diese Lücke schließt die Preload-Liste, die Chrome pflegt und auf der laut dem Betreiber der Liste auch Firefox, Safari und Edge aufbauen [3]. Für die Aufnahme verlangt hstspreload.org ein gültiges Zertifikat, eine Weiterleitung von http auf https auf demselben Host, HTTPS auf allen Subdomains und einen Header mit mindestens einem Jahr, includeSubDomains und preload [3].
Der Weg zurück ist lang. Eine Streichung aus der Liste braucht nach Angabe der Seite Monate, bis sie mit einem Chrome-Update bei den Nutzern ankommt, und für andere Browser gibt es keine Zusage [3]. Nach unserer Erfahrung lohnt es sich deshalb, mit einer kurzen Dauer zu beginnen, alle Subdomains durchzugehen und die Dauer erst zu verlängern, wenn nichts mehr hakt. Ob HTTPS beim Ranking zählt, beantwortet die Frage Ist HTTPS ein Rankingfaktor.
Du willst HSTS einschalten und bist unsicher, ob wirklich jede Subdomain ein Zertifikat hat? Darüber sprechen wir in der gratis Sprechstunde, bring die Liste deiner Hosts mit, bevor du die Dauer hochsetzt.
- Gesetz RFC 6797: HTTP Strict Transport Security (HSTS). IETF. Stand November 2012. abgerufen am 31.10.2026
- Organisation Strict-Transport-Security. MDN Web Docs (Mozilla). Stand 31.10.2026. abgerufen am 31.10.2026
- Organisation HSTS Preload List Submission. hstspreload.org (Chromium-Projekt). Stand ohne Datum. abgerufen am 31.10.2026
Häufige Fragen
Ersetzt HSTS die Weiterleitung von http auf https?
Nein, beide gehören zusammen. Die Weiterleitung bringt den ersten Besucher auf die sichere Adresse, dort erhält der Browser die HSTS-Regel. Ab dann ruft er die Domain gar nicht mehr unverschlüsselt auf.
Wie schalte ich HSTS wieder ab?
Mit max-age=0 in der Kopfzeile. Das wirkt aber erst, wenn der Browser die Website wieder über HTTPS aufruft. Steht die Domain auf der Preload-Liste, dauert die Streichung Monate.
Gilt HSTS auch für Subdomains?
Nur mit der Angabe includeSubDomains. Dann muss jede Subdomain HTTPS beherrschen, auch selten genutzte wie eine alte Testumgebung, sonst ist sie im Browser nicht mehr erreichbar.
Was passiert, wenn das Zertifikat abläuft?
Bei einer HSTS-Domain bricht der Browser die Verbindung ab und bietet nach der Empfehlung des Standards keinen Weg zum Fortfahren an. Die Website ist dann für wiederkehrende Besucher nicht erreichbar, bis das Zertifikat erneuert ist.
Noch eine Frage offen?
In der gratis Sprechstunde beantworten wir Fragen zu SEO live, jeden ersten Samstag im Monat um 18 Uhr. Oder du rufst einfach an.
Zuletzt geprüft am 03.11.2026, nächste Prüfung spätestens im November 2027. Fehler entdeckt? Schreib uns.
