---
title: "Weiterleitungsseite gehärtet — Ziel-URLs werden jetzt maskiert — qr3.app"
description: "Eine Lücke in der Zwischenseite vor Weiterleitungen ist geschlossen; alle Weiterleitungsantworten tragen jetzt HTTP-Security-Header."
canonical: "https://qr3.app/de/changelog/2026-08-redirect-security-headers-de/"
lang: "de"
---

# Weiterleitungsseite gehärtet — Ziel-URLs werden jetzt maskiert — qr3.app

> Eine Lücke in der Zwischenseite vor Weiterleitungen ist geschlossen; alle Weiterleitungsantworten tragen jetzt HTTP-Security-Header.

Canonical: <https://qr3.app/de/changelog/2026-08-redirect-security-headers-de/>

2026-08 · Security-Header

# Weiterleitungsseite gehärtet — Ziel-URLs werden jetzt maskiert

21. August 2026

security redirect

Beim Scannen eines Codes im Free-Tarif erscheint kurz eine Zwischenseite mit
qr3-Branding, die das Weiterleitungsziel anzeigt. Diese **Ziel-URL wurde bisher
unmaskiert ausgegeben**. Eine URL mit eingebettetem Markup konnte dadurch im
Browser der scannenden Person ausgeführt werden.

Zwei Dinge sind jetzt anders. Erstens maskiert die Anzeige jede Ziel-URL, egal
was darin steht. Zweitens verbietet eine **Content-Security-Policy** auf dieser
Seite jede Skriptausführung — sie trägt selbst kein JavaScript, also kostet die
strikte Regel nichts und fängt jeden künftig übersehenen Pfad ab.

**Wir haben nachgesehen, ob die Lücke genutzt wurde: nein.** Kein einziges
Weiterleitungsziel, kein A/B-Ziel, keine Landingpage-Konfiguration und kein
Dateiname im Bestand enthält Markup. Es gibt für dich nichts zu tun, keine
Codes müssen neu erstellt werden.

### Ebenfalls neu

Alle Antworten der Weiterleitungs-Infrastruktur tragen jetzt HTTP-Security-Header
— Schutz vor Content-Sniffing und Clickjacking, HSTS sowie Referrer- und
Permissions-Policy. Damit sind Dashboard, Dokumentation, Website und
Weiterleitungen durchgängig abgedeckt.

Für **hochgeladene Dateien**, die über die Mini-Landingpage eines Codes
bereitstehen, gilt zusätzlich: Sie werden mit `X-Content-Type-Options: nosniff`
ausgeliefert, damit der Browser den Dateityp nicht mehr erraten kann. Formate
ohne sinnvolle Browser-Ansicht kommen als Download statt als Seiteninhalt. PDFs,
Bilder und Videos zeigt der Browser weiterhin direkt an, und eingebettete
Datenblätter auf deiner eigenen Website funktionieren unverändert.

[Vollständige technische Doku →](https://docs.qr3.app/de/changelog/)

[← Alle Einträge](/de/changelog/)