Referrer-Policy
Was ist die Referrer-Policy?
Die Referrer-Policy ist eine Sicherheitsrichtlinie für Websites. Sie bestimmt, welche Herkunftsinformationen ein Browser beim Aufruf einer anderen URL im HTTP-Header Referer übermittelt. Abhängig von der gewählten Direktive sendet der Browser die vollständige Ausgangs-URL, nur die Domain oder keine Referrer-Daten.
Die Referrer-Policy, auf Deutsch Referrer-Richtlinie, steuert den Informationsaustausch zwischen einer aufgerufenen Ressource und der zuvor besuchten URL. Sie lässt sich als HTTP-Header, über ein Meta-Element oder für einzelne HTML-Elemente festlegen. Der Name des übertragenen Headers lautet aus historischen Gründen Referer und enthält nur ein „r“ in der Wortmitte.
Wie funktioniert die Referrer-Policy?
Wenn ein Nutzer einem Link folgt oder der Browser eine externe Ressource wie ein Bild, Skript oder Stylesheet anfordert, kann der Referer-Header die Ausgangsadresse enthalten. Die Referrer-Policy entscheidet anhand der Zieladresse, des Protokolls und der eingestellten Direktive, welcher Teil dieser Adresse übertragen wird.
Die heute verbreitete Direktive strict-origin-when-cross-origin unterscheidet drei Fälle. Bei einer Anfrage innerhalb derselben Herkunft übermittelt der Browser grundsätzlich die vollständige URL. Bei einer Anfrage an eine andere Herkunft wird nur der Origin aus Protokoll, Hostname und Port gesendet. Bei einem Wechsel von HTTPS zu HTTP unterdrückt der Browser den Referer vollständig.
https://shop.example/konto/bestellungen zu https://partner.example/angebot übermittelt bei strict-origin-when-cross-origin nur https://shop.example/. Der Pfad /konto/bestellungen bleibt verborgen. Ein interner Aufruf innerhalb von shop.example darf dagegen die vollständige Ausgangs-URL enthalten. Direktiven der Referrer-Policy
Die acht standardisierten Direktiven unterscheiden sich darin, ob sie vollständige URLs, nur den Origin oder gar keine Herkunftsinformation übertragen. strict-origin-when-cross-origin ist in modernen Browsern die übliche Standardregel, wenn eine Website keine eigene Referrer-Policy festlegt.
| Direktive | Übertragene Information | Typischer Einsatz |
|---|---|---|
no-referrer | Kein Referer | Maximale Begrenzung der Herkunftsdaten |
same-origin | Vollständige URL nur innerhalb derselben Herkunft | Interne Analysen ohne externe Weitergabe |
origin | Nur Protokoll, Hostname und Port | Domainbezogene Zuordnung ohne Pfade |
strict-origin | Nur Origin, aber nichts bei HTTPS zu HTTP | Begrenzte externe Herkunftsdaten |
origin-when-cross-origin | Intern vollständige URL, extern nur Origin | Trennung interner und externer Anfragen |
strict-origin-when-cross-origin | Intern vollständige URL, extern Origin, nichts bei Downgrade | Ausgewogene Standardeinstellung |
no-referrer-when-downgrade | Vollständige URL, außer bei HTTPS zu HTTP | Älteres Standardverhalten |
unsafe-url | Vollständige URL bei fast allen Anfragen | Nur nach bewusster Risikoprüfung |
Der Begriff „Origin“ bezeichnet nicht die komplette URL. Der Origin von https://www.example.de/produkte?id=17 lautet nur https://www.example.de. Pfad, Parameter und Fragment gehören nicht dazu. Diese Abgrenzung ist wichtig, weil URLs interne Suchbegriffe, Kampagnenparameter oder andere sensible Informationen enthalten können.
Referrer-Policy im technischen SEO
Die Referrer-Policy ist keine direkte Anweisung für Crawling, Indexierung oder Ranking. Suchmaschinen behandeln sie weder wie eine robots.txt noch wie ein Canonical Tag. Für das Management technischer SEO-Signale bleibt sie trotzdem relevant, weil eine fehlerhafte Konfiguration die Datenbasis für Traffic- und Conversion-Analysen verändern kann.
Eine sehr restriktive Referrer-Policy kann dazu führen, dass externe Zielsysteme keinen konkreten Seitenpfad mehr als Herkunft erkennen. Der Besuch selbst findet weiterhin statt, doch Analyse-, Partner- oder Affiliate-Systeme können die Quelle nur eingeschränkt zuordnen. Prüfe deshalb vor einer Umstellung, welche Reportings und Kooperationen den Referer-Header tatsächlich für die Attribution verwenden.
Für SEA gelten dieselben technischen Bedingungen. Moderne Kampagnenmessung arbeitet meist mit eigenen Parametern, Cookies oder serverseitigen Kennungen, dennoch können ergänzende Herkunftsdaten verloren gehen. GEO, also Generative Engine Optimization, wird nicht unmittelbar durch die Referrer-Policy gesteuert. Die Richtlinie beeinflusst weder die Zitierfähigkeit eines Inhalts noch die Interpretation durch KI-Systeme.
Referrer-Policy richtig einrichten
Die bevorzugte Umsetzung erfolgt als HTTP-Antwortheader, weil sie zentral für ein Dokument und dessen Anfragen gilt. Eine ausgewogene Konfiguration sieht so aus:
Referrer-Policy: strict-origin-when-cross-origin
Alternativ kann die Richtlinie im Kopfbereich eines HTML-Dokuments stehen:
<meta name='referrer' content='strict-origin-when-cross-origin'>
Für einzelne Links, Bilder, Skripte oder Iframes steht zusätzlich das Attribut referrerpolicy zur Verfügung. Ein Link kann beispielsweise mit referrerpolicy='no-referrer' gezielt ohne Herkunftsinformation aufgerufen werden. Die spezifische Vorgabe am Element erlaubt Ausnahmen, sollte aber nicht zu widersprüchlichen Regeln innerhalb derselben Website führen.
So prüfst du die Referrer-Policy
Messbar ist die Referrer-Policy über die Browser-Werkzeuge: Öffne den Netzwerkbereich, rufe eine interne und eine externe Zieladresse auf und kontrolliere in den Request Headers den Eintrag Referer. Den ausgelieferten Antwortheader kannst du zusätzlich mit curl -I https://example.de prüfen. Entscheidend ist das tatsächlich ausgelieferte Ergebnis, nicht allein die Einstellung im CMS oder in der Serverkonfiguration.
Ein technisches SEO-Audit sollte außerdem prüfen, ob mehrere Ebenen unterschiedliche Vorgaben ausliefern. Ein Server-Header, ein Meta-Element und elementbezogene Attribute können parallel vorhanden sein. Browser wenden dabei die jeweils relevante und spezifischere Regel an, wodurch Testergebnisse zwischen einzelnen Links oder Ressourcen abweichen können.
unsafe-url kann vollständige Pfade und URL-Parameter an externe Ziele weitergeben. Enthalten URLs Suchbegriffe, interne Kennungen oder andere vertrauliche Angaben, werden diese möglicherweise im Referer-Header übertragen. Prüfe vor dem Einsatz deshalb reale URLs und externe Anfragen statt nur den Namen der Direktive. Abgrenzung zu ähnlichen Angaben
Der Unterschied zwischen Referrer-Policy und rel='noreferrer' liegt im Geltungsbereich. Die Referrer-Policy kann zentral für eine Seite oder Website gelten. rel='noreferrer' betrifft dagegen nur den jeweiligen Link und verhindert bei dessen Aufruf die Übertragung des Referers.
Der Unterschied zwischen Referrer-Policy und Content-Security-Policy liegt im Zweck. Die Referrer-Policy begrenzt Herkunftsinformationen. Eine Content-Security-Policy bestimmt dagegen, aus welchen Quellen eine Website Inhalte wie Skripte, Bilder oder Frames laden darf. Beide Richtlinien erhöhen die technische Kontrolle, ersetzen einander aber nicht.
Auch nofollow erfüllt eine andere Aufgabe. Das Linkattribut liefert Suchmaschinen einen Hinweis zum Umgang mit einem Link, während die Referrer-Policy den Datentransfer des Browsers steuert. Ob ein Link verfolgt oder bewertet wird, lässt sich daher nicht über die Referrer-Policy regeln.
Häufige Fragen zur Referrer-Policy
Welche Referrer-Policy sollte ich verwenden?
Für viele Websites ist strict-origin-when-cross-origin ein ausgewogener Ausgangspunkt. Die Einstellung übermittelt intern die vollständige URL, begrenzt externe Angaben auf den Origin und unterdrückt den Referer beim Wechsel von HTTPS zu HTTP.
Ist die Referrer-Policy ein Rankingfaktor?
Die Referrer-Policy ist kein direkter Rankingfaktor. Sie steuert Browserdaten und kann Analyseprozesse beeinflussen, gibt Suchmaschinen aber keine Anweisung zur Indexierung oder Bewertung einer Seite.
Was passiert ohne Referrer-Policy?
Ohne ausdrücklich gesetzte Richtlinie verwendet der Browser sein Standardverhalten. Moderne Browser nutzen üblicherweise strict-origin-when-cross-origin, dennoch schafft ein expliziter HTTP-Header eine nachvollziehbare und kontrollierbare Konfiguration.
Kann die Referrer-Policy Analytics-Daten verändern?
Ja, eine restriktive Richtlinie kann die übermittelten Herkunftsdaten reduzieren. Prüfe nach einer Änderung insbesondere Referral-Traffic, Affiliate-Zuordnungen und externe Conversion-Strecken auf Abweichungen.
Kann ich die Referrer-Policy in WordPress setzen?
Die Referrer-Policy lässt sich in WordPress über die Serverkonfiguration, passende Header-Funktionen oder ein dafür vorgesehenes Plugin setzen. Prüfe anschließend den ausgelieferten HTTP-Header, da eine sichtbare Einstellung im Backend die korrekte Auslieferung nicht belegt.
Ist der Referer-Header ein Schreibfehler?
Die Schreibweise Referer mit nur einem r in der Wortmitte ist historisch entstanden und Teil des HTTP-Standards. Die Richtlinie heißt dagegen Referrer-Policy mit der regulären englischen Schreibweise Referrer.
Wenn du die Richtlinie zusammen mit weiteren Headern, Statuscodes und Indexierungssignalen prüfen lassen möchtest, bietet ein strukturierter SEO-Audit-Leitfaden die passende Grundlage. Für eine individuelle Bewertung deiner Website kannst du einen unverbindlichen Potenzialcheck anfragen.
Sie haben noch Fragen?
