Was ist die Referrer-Policy?
Klickt jemand auf deiner Seite einen Link, schickt der Browser dem Ziel eine Absenderangabe mit: den Referrer. Daraus sieht die andere Seite, woher der Besuch kommt.
Die Referrer-Policy legt fest, wie viel davon mitgeht. Die ganze Adresse mit Pfad und Parametern? Nur die Domain? Oder gar nichts? Du setzt sie als HTTP-Header, per Meta-Tag im HTML oder einzeln an Links, Bildern und iframes.
Die wichtigsten Werte
Es gibt acht Werte. Für die Praxis reichen diese fünf:
Wert
Was mitgeht
no-referrer
Nichts
origin
Nur die Domain
same-origin
Volle Adresse nur intern, extern nichts
strict-origin-when-cross-origin
Intern volle Adresse, extern nur die Domain
unsafe-url
Immer die volle Adresse
„Domain“ meint hier die Herkunft aus Protokoll, Host und Port, also etwa https://beispiel.de. Die Varianten mit „strict“ schicken beim Wechsel von HTTPS auf unverschlüsseltes HTTP gar nichts.
Was Browser heute von selbst tun
Setzt du nichts, greift der Standard des Browsers. Und der ist seit ein paar Jahren deutlich zurückhaltender:
- Chrome nutzt seit Version 85 (2020) strict-origin-when-cross-origin. Google begründet das damit, stilles Tracking über Websites hinweg einzudämmen.
- Firefox zog 2021 mit Version 87 nach.
- Safari kürzt den Referrer bei fremden Seiten schon seit Ende 2019 auf die Herkunft.
Firefox und Safari ignorieren laut einer Studie der Radboud-Universität die freizügigsten Werte wie unsafe-url sogar ganz. Heißt für dich: Partner sehen heute meist nur noch deine Domain, nicht mehr den Artikel, aus dem der Klick kam.
Wie verbreitet sie ist
Laut Web Almanac des HTTP Archive setzten 2024 rund 17 % der Desktop-Seiten den Header selbst, 2022 waren es 14 %. Die Radboud-Studie (2025, Daten von Anfang 2024, rund 27.500 Websites) fand auf 44 % der Websites eine Policy für das ganze Dokument, wenn man Unterseiten mitzählt. Der häufigste Wert dort: strict-origin-when-cross-origin.
Häufige Fehler
Fehler 1 · no-referrer für alles
Klingt nach maximalem Datenschutz. Dann sehen aber Partner, Affiliate-Netzwerke und Zahlungsanbieter nicht mehr, dass der Besuch von dir kommt. Googles Entwickler-Ratgeber web.dev empfiehlt: global eine schützende Policy, für einzelne Fälle lockerer.
Fehler 2 · Alte Einstellungen stehen lassen
Manche Server schicken noch unsafe-url oder no-referrer-when-downgrade. Dann geht die volle Adresse mit allen Parametern an jedes eingebundene Fremdskript. Steht in deinen URLs eine E-Mail-Adresse oder eine Bestellnummer, wandert sie gleich mit.
Fehler 3 · Tippfehler im Wert
„noreferrer“, „none“ oder „origin-when-crossorigin“ ohne Bindestrich sind keine gültigen Werte. Der Browser ignoriert sie still und nimmt seinen Standard. Laut Radboud-Studie steht die alte Schreibweise noch auf knapp 4 % der Websites.
Fehler 4 · Sich auf die Policy verlassen
Die Policy steuert nur den Referrer-Header. Skripte können die Adresse trotzdem auslesen und selbst verschicken. Genau das fand die Studie auf 77 % der Websites: Die volle URL ging trotz strenger Policy an Dritte, allen voran an Google Analytics.
Was du einstellen solltest
- Setz strict-origin-when-cross-origin ausdrücklich als Header, statt dich auf den Browser zu verlassen.
- Hol persönliche Daten aus deinen URLs. Keine E-Mail-Adressen oder Tokens in Parametern, auch nicht in UTM-Parametern — das verlangt Google für GA4 ohnehin.
- Für Kampagnen-Herkunft nimm UTM-Parameter. Die stehen in der Ziel-URL und kommen unabhängig vom Referrer an.
- Prüf das Ergebnis in den Entwicklertools deines Browsers, Reiter Netzwerk.
Häufige Fragen
Welche Referrer-Policy sollte ich setzen?
Für die meisten Websites strict-origin-when-cross-origin. Intern bleibt die volle Adresse erhalten, nach außen geht nur die Domain. Setz den Wert ausdrücklich, auch wenn moderne Browser ihn schon als Standard nutzen.
Muss ich überhaupt etwas tun, wenn der Browser schon einen Standard hat?
Es schadet nicht und schützt dich vor alten Browsern und vor Servern, die selbst einen freizügigen Wert schicken. Vor allem lohnt der Blick, ob irgendwo noch unsafe-url eingetragen ist.
Warum sehe ich in GA4 weniger Details zu Verweisen?
Weil Browser seit 2020 und 2021 bei fremden Seiten nur noch die Domain übermitteln. Du siehst also, dass ein Besuch von einer Website kam, aber nicht mehr von welcher Unterseite. Für Kampagnen helfen UTM-Parameter.
Schützt eine Referrer-Policy persönliche Daten in der URL?
Nur teilweise. Sie steuert den Referrer-Header, aber Skripte auf deiner Seite können die Adresse trotzdem lesen und weiterschicken. Sicher ist nur: persönliche Daten gar nicht erst in die URL schreiben.
Was ist der Unterschied zu rel="noreferrer"?
rel="noreferrer" gilt nur für einen einzelnen Link und wirkt dort wie no-referrer. Die Referrer-Policy im Header gilt für die ganze Seite und alle Anfragen.
Quellen
- MDN: Referrer-Policy
- Chrome for Developers: Neuer Standard für die Referrer-Policy
- Mozilla Security Blog: Firefox 87 kürzt Referrer
- WebKit: Preventing Tracking Prevention Tracking
- HTTP Archive: Web Almanac 2024, Security
- Zagi, Moti, Acar: Referrer Policy — Implementation and Circumvention (PoPETs 2025)
- web.dev: Referer and Referrer-Policy best practices
- Google Analytics-Hilfe: Keine personenbezogenen Daten senden
