{"id":15613,"date":"2026-10-31T13:15:00","date_gmt":"2026-10-31T12:15:00","guid":{"rendered":"https:\/\/www.lukaswojcik.com\/blog\/?p=15613"},"modified":"2026-10-26T12:52:23","modified_gmt":"2026-10-26T11:52:23","slug":"was-der-server-beim-seitenaufruf-erhalt","status":"publish","type":"post","link":"https:\/\/www.lukaswojcik.com\/blog\/de\/data-privacy-de\/tutorials-de-data-privacy-de\/was-der-server-beim-seitenaufruf-erhalt\/","title":{"rendered":"Was der Server beim Seitenaufruf erh\u00e4lt"},"content":{"rendered":"

Eine Netzwerkanfrage kann Verbindungsdaten, Header und gespeicherte Cookies \u00fcbertragen, bevor die angeforderte Seite eigenes JavaScript ausf\u00fchrt. Ein Einwilligungsbanner macht eine bereits gesendete Anfrage nicht r\u00fcckg\u00e4ngig. Daraus folgt jedoch weder eine Pflicht f\u00fcr jeden Header noch die Unvermeidbarkeit jeder sp\u00e4teren Datennutzung.<\/p>\n

\"Empfangene
Empfangene Daten und zus\u00e4tzliche Abfragen sind getrennt. Das Werkzeug misst eine sp\u00e4tere API-Anfrage.<\/figcaption><\/figure>\n

Die erste Anfrage ist nicht der gesamte Seitenaufbau<\/h2>\n

Die relevante Grenze liegt zwischen der Dokumentanfrage und dem anschlie\u00dfend durch dieses Dokument ausgef\u00fchrten Code. Eine vorherige Seite, Erweiterung oder ein Service Worker kann bereits Code ausgef\u00fchrt haben. Ein sp\u00e4terer fetch-Aufruf erzeugt eine weitere Anfrage und rekonstruiert nicht die urspr\u00fcngliche Navigation.<\/p>\n

Eine allgemeine Reihenfolge aus Banner, Tag Manager und Statistik existiert nicht. Skripte k\u00f6nnen w\u00e4hrend des Ladens laufen; serverseitige Verarbeitung ben\u00f6tigt kein JavaScript. Fr\u00fchere Einstellungen beeinflussen m\u00f6gliche \u00dcbertragungen. Ein neu eingeblendeter Banner ver\u00e4ndert keine bereits empfangenen Bytes.<\/p>\n

Drei Header sind ein curl-Standard, kein HTTP-Minimum<\/h2>\n

Der bisherige Artikel nennt f\u00fcr September 2026 drei Header bei curl, elf bei einer Navigation und dreizehn bei fetch. Das sind historische Beispielzahlen, keine Browsergrenzen. Die urspr\u00fcnglichen Browseraufzeichnungen lagen f\u00fcr eine unabh\u00e4ngige Kontrolle dieser Pr\u00fcfung nicht vor.<\/p>\n

Ein lokaler HTTP\/1.1-Test best\u00e4tigte die curl-Standardfelder Host, User-Agent und Accept. Ohne User-Agent und Accept gelang weiterhin eine Anfrage mit ausschlie\u00dflich Host. HTTP\/1.1 verlangt Host; die beiden anderen Felder sind nicht f\u00fcr jede g\u00fcltige Anfrage vorgeschrieben. HTTP\/2 und HTTP\/3 besitzen eigene Rahmen- und Pseudoheaderregeln.<\/p>\n

Header beschreiben Kontext, keine best\u00e4tigte Person<\/h2>\n

Accept beschreibt akzeptierte Antwortformate; Accept-Language enth\u00e4lt Sprachpr\u00e4ferenzen. Eine Sprachliste allein best\u00e4tigt keine Identit\u00e4t und beziffert kein Wiedererkennungsrisiko. Einstellungen, Datenschutzfunktionen, Anfrageart und Zwischenstationen beeinflussen die Felder.<\/p>\n

Sec-Fetch-Site, Sec-Fetch-Mode und Sec-Fetch-Dest beschreiben den Kontext. Sec-Fetch-User: ?1 kennzeichnet bei unterst\u00fctzenden Browsern eine Navigation mit Nutzeraktivierung. Das beweist keine menschliche statt automatisierter Bedienung: Andere Programme k\u00f6nnen Header nachbilden, und Skripte k\u00f6nnen an einer aktivierten Navigation beteiligt sein.<\/p>\n

Client Hints h\u00e4ngen von Unterst\u00fctzung und Regeln ab<\/h2>\n

Unterst\u00fctzende Chromium-Browser senden die grundlegenden Browserangaben (UA-Hints) f\u00fcr Marke und Version, Mobilstatus und Plattform \u00fcblicherweise \u00fcber sichere Verbindungen. Das ist keine Zusage f\u00fcr jeden Browser oder jede eingebettete Umgebung.<\/p>\n

Zus\u00e4tzliche HTTP-Hints ben\u00f6tigen \u00fcblicherweise eine Anforderung \u00fcber Accept-CH und bleiben von Browserregeln abh\u00e4ngig. Daneben existiert mit navigator.userAgentData.getHighEntropyValues() eine eigene JavaScript-Schnittstelle. Ein fehlender Accept-CH-Header beweist daher nicht, dass Skripte keine weiteren Angaben erhalten k\u00f6nnen.<\/p>\n

Verbindungsdaten und zus\u00e4tzliche Abfragen<\/h2>\n

Die empfangende Gegenstelle kennt den Netzwerkpartner. Dessen Adresse kann zu Proxy, VPN oder CDN geh\u00f6ren statt zum Endger\u00e4t. Reverse DNS sucht einen zu einer IP-Adresse hinterlegten Hostnamen. RDAP fragt Registrierungsdaten ab, etwa die f\u00fcr einen Adressbereich zust\u00e4ndige Organisation. Beide sind zus\u00e4tzliche Abfragen. Die Ergebnisse sind keine vom Browser mitgeschickten Felder. Ein Netzinhaber beweist weder einen Privatanschluss noch eine bestimmte Person.<\/p>\n

Bei HTTPS stehen ausgehandelte TLS-Angaben zur Verf\u00fcgung, soweit der Server diese bereitstellt. Unverschl\u00fcsseltes HTTP besitzt kein TLS. Verbindungen k\u00f6nnen wiederverwendet werden; TLS-1.3-Fr\u00fchdaten bilden eine Ausnahme zur Behauptung, jede Anfrage folge einem frisch abgeschlossenen Handshake. Ein TLS-beendendes CDN besitzt eine gesonderte Verbindung zum Ursprung, gegebenenfalls mit anderen Parametern oder ohne TLS.<\/p>\n

Was der Verbindungsspiegel tats\u00e4chlich misst<\/h2>\n

Das verlinkte Werkzeug ruft seine API per fetch auf und zeigt diese API-Anfrage. Die Auswertung beobachtet 38 benannte Header, begrenzt angezeigte Werte auf 500 Zeichen und gibt Cookie- sowie Authorization-Werte nicht roh aus. Cookie-Namen erscheinen gesondert. Die Gesamtzahl kann gr\u00f6\u00dfer als die angezeigte Auswahl sein.<\/p>\n

Der Endpunkt f\u00fchrt f\u00fcr geeignete \u00f6ffentliche Adressen Reverse DNS aus; RDAP folgt erst auf die gesondert angeforderte Netzabfrage. Au\u00dferdem wird ein adressbezogener Anfragez\u00e4hler gef\u00fchrt. Das Werkzeug bildet somit nicht lediglich passiv den ersten Seitenabruf ab. Angaben aus Proxy-Headern ben\u00f6tigen eine vertrauensw\u00fcrdige Proxykonfiguration, bevor daraus eine Clientadresse abgeleitet wird.<\/p>\n

Datenschutzsignale und vorhandene Cookies<\/h2>\n

Sec-GPC: 1 \u00fcbermittelt eine Pr\u00e4ferenz gegen bestimmte Verkaufs-, Weitergabe- und kontext\u00fcbergreifende Werbenutzungen. Das Signal verbietet technisch nicht jede Datenerhebung. Die \u00e4ltere DNT-Spezifikation definiert sowohl 1 als auch 0. DNT bedeutet daher nicht grunds\u00e4tzlich Nein. Ein fehlendes Signal beweist keine Einwilligung.<\/p>\n

Vorhandene Cookies k\u00f6nnen bereits vor dem Seitencode bei passenden Anfragen mitgesendet werden, abh\u00e4ngig von Geltungsbereich und Browserbeschr\u00e4nkungen. Auch der erste Aufruf einer bestimmten URL kann Cookies aus einem anderen passenden Bereich enthalten. localStorage wird nicht automatisch als HTTP-Header \u00fcbertragen; ein Skript kann sp\u00e4ter einen ausgelesenen Wert senden.<\/p>\n

Verbindungsspiegel<\/a><\/p>

Fragen und Antworten<\/h2>\n

Verbirgt abgeschaltetes JavaScript die Verbindung?<\/h3>

Nein. Eine Netzwerkanfrage erreicht weiterhin eine empfangende Gegenstelle. Das Abschalten kann skriptgesteuerte Aktivit\u00e4t verringern, beseitigt aber nicht die f\u00fcr diese Anfrage anfallenden Verbindungsdaten.<\/p>\n

Zeigt der curl-Befehl den tats\u00e4chlichen Serverempfang?<\/h3>

Die ausf\u00fchrliche curl-Ausgabe zeigt die ausgehende Sicht des Clients einschlie\u00dflich Anfragezeile. Daf\u00fcr ist kein Echo-Server erforderlich. Zwischenstationen k\u00f6nnen die Anfrage bis zum Ursprung ver\u00e4ndern. Clientausgabe und serverseitige Aufzeichnung sind deshalb unterschiedliche Beobachtungen.<\/p>\n<\/div>\n

Shell<\/span>