Sichere Cookies: Der vollständige Leitfaden für Ihre Website

Cookies speichern Session-Informationen, Authentifizierungstoken und Benutzereinstellungen. Ein falsch konfiguriertes Cookie kann Session-Hijacking, CSRF-Angriffe und Datenschutzverstöße ermöglichen. Dieser Leitfaden zeigt, wie Sie Cookies korrekt absichern.

Cookie-Sicherheitsattribute im Überblick

Die 5 sicherheitsrelevanten Attribute

Set-Cookie: session_id=abc123; HttpOnly; Secure; SameSite=Lax; Path=/; Max-Age=3600

HttpOnly: Schutz gegen XSS

Was HttpOnly verhindert

Ohne HttpOnly kann JavaScript Cookies auslesen:

// Ohne HttpOnly: Angreifer kann Cookies stehlen
// document.cookie gibt alle nicht-HttpOnly Cookies zurück

Mit HttpOnly ist das Cookie für JavaScript unsichtbar. Selbst bei einer XSS-Schwachstelle kann der Angreifer das Session-Cookie nicht direkt stehlen.

Wann HttpOnly verwenden

Secure: Nur HTTPS

Warum Secure wichtig ist

Ohne das Secure-Attribut wird das Cookie auch über unverschlüsselte HTTP-Verbindungen gesendet. In einem offenen WLAN (Café, Flughafen) kann ein Angreifer das Cookie mitlesen.

Set-Cookie: session_id=abc123; Secure

Regel: Jede Website sollte ausschließlich HTTPS verwenden. In diesem Fall ist Secure ein Sicherheitsnetz für den Fall, dass ein HTTP-Zugriff dennoch stattfindet.

SameSite: Schutz gegen CSRF

Das SameSite-Attribut kontrolliert, ob Cookies bei Cross-Site-Requests gesendet werden.

Die drei Modi

Wann welchen Modus verwenden

CSRF-Angriff ohne SameSite

Ohne SameSite kann ein Angreifer von einer fremden Website einen Request auslösen, der das Session-Cookie des Opfers enthält:

<!-- Auf evil.com: Löst einen Request an bank.de aus -->
<form action="https://bank.de/ueberweisung" method="POST">
  <input type="hidden" name="empfaenger" value="angreifer" />
  <input type="hidden" name="betrag" value="10000" />
</form>
<script>document.forms[0].submit()</script>

Mit SameSite=Lax oder Strict wird das Session-Cookie bei diesem Request nicht gesendet — der Angriff schlägt fehl.

Cookie-Lebensdauer

Session-Cookie vs. Persistent Cookie

Empfohlene Lebensdauern

Cookie-Prefix: Zusätzliche Absicherung

Moderne Browser unterstützen Cookie-Prefixes für zusätzliche Garantien:

__Secure- Prefix

Set-Cookie: __Secure-session=abc123; Secure; Path=/

Der Browser akzeptiert das Cookie nur, wenn es über HTTPS gesetzt wird und das Secure-Attribut hat.

__Host- Prefix (strengster Schutz)

Set-Cookie: __Host-session=abc123; Secure; Path=/; SameSite=Lax

Der Browser akzeptiert das Cookie nur, wenn:

• Über HTTPS gesetzt
• Secure-Attribut vorhanden
• Path=/ gesetzt
• Kein Domain-Attribut (nur für exakte Domain)

Empfehlung: Verwenden Sie __Host- für Session-Cookies — es ist der stärkste verfügbare Schutz.

Praxisbeispiele

Node.js (Express)

app.use(session({
  cookie: {
    httpOnly: true,
    secure: true,
    sameSite: 'lax',
    maxAge: 3600000, // 1 Stunde
    path: '/',
  },
  name: '__Host-session',
}))

Next.js (Server Action)

import { cookies } from 'next/headers'

cookies().set('session', token, {
  httpOnly: true,
  secure: true,
  sameSite: 'lax',
  maxAge: 3600,
  path: '/',
})

Nginx (Header-Level)

# Vorhandene Cookies nachhärten
proxy_cookie_flags ~ httponly secure samesite=lax;

Cookie-Audit: So prüfen Sie Ihre Cookies

Browser DevTools

1. Chrome: F12 → Application → Cookies
2. Prüfen Sie für jedes Cookie: HttpOnly, Secure, SameSite, Ablaufzeit
3. Markieren Sie unsichere Cookies (fehlende Attribute)

Automatisiert prüfen

Häufige Fehler

Checkliste: Cookie-Sicherheit

1. ☐ Session-Cookies: HttpOnly, Secure, SameSite=Lax
2. ☐ Keine sensitiven Daten direkt im Cookie-Wert
3. ☐ Angemessene Lebensdauer (Max-Age)
4. ☐ Cookie-Prefixes verwendet (__Host- oder __Secure-)
5. ☐ CSRF-Token zusätzlich implementiert (bei SameSite=Lax)
6. ☐ Session-Invalidierung bei Logout serverseitig
7. ☐ Regelmäßiger Cookie-Audit (quartalsweise)

Fazit

Cookie-Sicherheit erfordert nur wenige Konfigurationszeilen — aber die Auswirkungen fehlender Attribute sind gravierend. HttpOnly, Secure und SameSite sollten für jedes sicherheitsrelevante Cookie Standard sein. Prüfen Sie Ihre Cookies regelmäßig mit Browser DevTools oder automatisierten Scannern.

Scannen Sie Ihre Website kostenlos mit WarDek — OWASP, NIS2, DSGVO, AI Act Compliance in einem Scan.