HTTP-Header verstehen: Request und Response im Detail

Was sind HTTP-Header?

HTTP-Header sind Schlüssel-Wert-Paare, die bei jeder Kommunikation zwischen Browser und Webserver ausgetauscht werden. Sie transportieren Metadaten, die das Protokoll benötigt, um Anfragen korrekt zu verarbeiten und Antworten richtig zu interpretieren.

Man unterscheidet grundsätzlich zwei Arten:

Request-Header werden vom Browser (oder einer anderen Client-Anwendung) an den Server gesendet. Sie teilen dem Server mit, wer die Anfrage stellt, in welchem Format die Antwort erwartet wird und ob bereits gecachte Daten vorhanden sind.

Response-Header werden vom Server zurückgesendet. Sie beschreiben den Inhalt der Antwort, geben Caching-Anweisungen und übermitteln Sicherheitsrichtlinien.

Wichtige Request-Header

Host Der Host-Header ist bei HTTP/1.1 verpflichtend. Er teilt dem Server mit, für welche Domain die Anfrage gedacht ist, da ein physischer Server viele Domains bedienen kann:

Host: example.com

User-Agent Identifiziert den Client. Browser senden hier eine ausführliche Zeichenkette mit Betriebssystem, Browser-Engine und Version:

User-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36

Monitoring-Tools senden hier oft einen eigenen Identifier, z. B. StatusChecker/1.0.

Accept Der Client teilt mit, welche Inhaltsformate er verarbeiten kann:

Accept: text/html,application/xhtml+xml,application/json;q=0.9

Der q-Parameter gewichtet die Präferenz. Ein Wert nahe 1.0 bedeutet hohe Präferenz.

Accept-Language Bevorzugte Sprache des Nutzers. Websites können diese Information nutzen, um automatisch die korrekte Sprachversion auszuliefern:

Accept-Language: de-DE,de;q=0.9,en;q=0.8

Accept-Encoding Zeigt an, welche Kompressionsverfahren der Client unterstützt:

Accept-Encoding: gzip, deflate, br

Wenn der Server Brotli (br) oder gzip unterstützt und sendet, werden Textdateien erheblich kleiner übertragen.

Authorization Sendet Anmeldedaten an den Server, entweder als Basic Auth oder als Bearer Token:

Authorization: Bearer eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9...

If-Modified-Since und If-None-Match Bedingte Request-Header für effizientes Caching. Der Browser fragt, ob sich eine Ressource seit dem letzten Abruf geändert hat:

If-Modified-Since: Wed, 14 May 2026 12:00:00 GMT
If-None-Match: "abc123"

Antwortet der Server mit 304 Not Modified, muss der Inhalt nicht erneut übertragen werden.

Wichtige Response-Header

Content-Type Beschreibt das Format des Antwortinhalts. Browser nutzen diesen Header, um zu entscheiden, wie der Inhalt dargestellt wird:

Content-Type: text/html; charset=UTF-8
Content-Type: application/json

Content-Length Gibt die Größe des Antwort-Körpers in Bytes an:

Content-Length: 24830

Cache-Control Steuert das Caching-Verhalten von Browsern und Zwischen-Caches:

Cache-Control: max-age=3600, public
Cache-Control: no-cache, no-store

max-age=3600 bedeutet, die Ressource darf 3600 Sekunden aus dem Cache bedient werden. no-store verhindert jegliches Caching.

ETag Ein Fingerabdruck der Ressource. Bei der nächsten Anfrage kann der Browser prüfen, ob sich der ETag geändert hat:

ETag: "33a64df551425fcc55e4d42a148795d9f25f89d4"

Location Bei Weiterleitungen (3xx-Statuscodes) gibt dieser Header das Ziel an:

Location: https://example.com/neue-seite

Strict-Transport-Security (HSTS) Weist Browser an, die Domain nur über HTTPS zu kontaktieren:

Strict-Transport-Security: max-age=31536000; includeSubDomains

Content-Security-Policy Definiert, welche Quellen für Skripte, Styles und andere Ressourcen erlaubt sind:

Content-Security-Policy: default-src 'self'; script-src 'self' 'nonce-...'

X-Frame-Options Verhindert das Einbetten der Seite in iframes fremder Domains:

X-Frame-Options: DENY

Header analysieren: Praxistipps

Im Alltag der Website-Diagnose sind Header oft der erste Anhaltspunkt. Mit curl lassen sich Header ohne Browser einsehen:

curl -I https://example.com

Das -I steht für eine HEAD-Anfrage, die nur Header zurückgibt. Mit -v sieht man sowohl gesendete als auch empfangene Header:

curl -v https://example.com 2>&1 | grep -E "^[<>]"

Beim Einsatz des Tools auf dieser Seite werden ebenfalls HTTP-Statuscodes und Antwortzeiten ausgewertet. Wer tiefer in die Header-Analyse einsteigen möchte, kann die Browser-Entwicklertools nutzen oder einen dedizierten Header-Checker verwenden.

Zusammenfassung: Worauf kommt es an?

HTTP-Header sind kein Randthema, sondern fundamentaler Bestandteil jeder Web-Kommunikation. Für Website-Betreiber sind insbesondere diese Bereiche relevant:

Performance: Cache-Control und ETag richtig konfigurieren, damit Ressourcen nicht unnötig neu geladen werden. Content-Encoding: gzip oder br aktivieren, um Übertragungsgrößen zu reduzieren.

Sicherheit: Die wichtigsten Sicherheits-Header setzen: HSTS, CSP, X-Frame-Options, X-Content-Type-Options.

Debugging: Bei unerwarteten Fehlern immer zuerst die Header prüfen. Ein falscher Content-Type, ein fehlender Location-Header bei einer Weiterleitung oder ein zu aggressives Cache-Control sind häufige Fehlerquellen.