noopener und noreferrer
Auch: rel=noopener, rel=noreferrer
noopener und noreferrer sind Werte im rel-Attribut eines Links, die sich an den Browser richten: noopener trennt die geöffnete Seite vom Ursprungsfenster, noreferrer verschweigt zusätzlich die Herkunft des Klicks. Auf das Ranking wirken beide nicht.
Wer einen Link in einem neuen Tab öffnen lässt, findet im Quelltext oft rel="noopener" oder rel="noopener noreferrer", ohne die Werte selbst eingetragen zu haben. Der WordPress-Editor etwa ergänzt noopener, sobald die Option „In neuem Tab öffnen“ aktiv ist. Bei Linkkäufen und Abnahmen führt das regelmäßig zur Frage, ob der Link dadurch entwertet ist.
Die kurze Antwort: nein. Beide Werte gehören zur Browser-Familie der rel-Werte, die der Eintrag Linkattribut im Überblick zeigt. Diese Seite geht tiefer: welches Sicherheitsproblem sie lösen, was der HTML-Standard seit 2019 daran geändert hat und warum noreferrer für Linkbuilder trotzdem nicht egal ist.
Woher die Werte kommen: das Problem mit window.opener
Öffnet ein Link mit target="_blank" einen neuen Tab, entsteht im Browser ein neuer Fensterkontext. Lange Zeit bekam die geöffnete Seite dabei eine Rückverbindung zum Tab, aus dem sie kam: die JavaScript-Eigenschaft window.opener. Über sie konnte die neue Seite das ursprüngliche Fenster ansprechen und zum Beispiel dessen Adresse ändern.
noopener kappt diese Verbindung. Laut MDN navigiert der Browser dann zum Ziel, ohne dem neuen Fenster Zugriff auf das öffnende Dokument zu geben; window.opener ist dort schlicht null. Der Referrer, also die Angabe der Herkunftsseite, wird weiterhin übermittelt.
noreferrer geht einen Schritt weiter. Der Browser lässt beim Abruf des Ziels den Referer-Header weg und gibt auch sonst keine Herkunftsinformation preis. Zusätzlich verhält er sich so, als stünde noopener am Link. Wer noreferrer setzt, hat den Fensterschutz also automatisch dabei.
<a href="https://beispiel.de/" target="_blank" rel="noopener">Quelle</a>
Wann ein externer Link überhaupt in einem neuen Tab öffnen sollte und welche Werte bei Quellen, Werbung und Nutzerinhalten passen, beschreibt der Eintrag Externer Link. Hier geht es um die Technik hinter den beiden Browserwerten.
Tabnabbing: der Angriff hinter noopener
Die Rückverbindung über window.opener ermöglichte einen Angriff, der als Tabnabbing oder Reverse Tabnabbing bekannt wurde. Schematisch läuft er in vier Schritten ab:
- Eine Nutzerin klickt in einem Forum auf einen Link, der in einem neuen Tab öffnet.
- Die Zielseite gehört einem Angreifer. Ein Skript setzt über
window.opener.locationdie Adresse des ursprünglichen Tabs auf eine Kopie der Forum-Anmeldeseite. - Die Nutzerin schließt den neuen Tab und kehrt zurück. Statt des Forums sieht sie scheinbar den Hinweis, ihre Sitzung sei abgelaufen.
- Sie meldet sich erneut an und gibt ihr Passwort auf der gefälschten Seite ein.
Der Angriff setzt voraus, dass jemand die Zielseite kontrolliert. Gefährdet waren deshalb vor allem Websites, auf denen Fremde Links setzen können: Foren, Kommentarbereiche, Bewertungsportale. Das sind genau die Bereiche, in denen Links ohnehin als UGC-Link ausgezeichnet werden sollten. Bei einer redaktionell geprüften Quelle war das Risiko gering, aber nie ganz ausgeschlossen, weil auch seriöse Websites gehackt werden können.
Seit 2019 im Standard: target=_blank bringt den Schutz mit
2019 hat die WHATWG, die den HTML-Standard pflegt, die Regel umgedreht: Ein Link mit target="_blank" verhält sich seitdem so, als stünde noopener daran. Im HTML-Standard steht das als Prüfschritt: Enthält der Link noopener oder noreferrer, oder ist das Ziel _blank ohne den Gegenwert opener, entfällt die Rückverbindung. Wer sie ausnahmsweise braucht, setzt ausdrücklich rel="opener".
Die Browser haben das in folgenden Versionen umgesetzt (Kompatibilitätsdaten von MDN):
| Browser | Automatisches noopener bei target=_blank ab | Engine |
|---|---|---|
| Safari | Version 12.1 | WebKit |
| Firefox | Version 79 | Gecko |
| Chrome | Version 88 | Chromium |
| Edge | Version 88 | Chromium |
Für die Praxis heißt das: In aktuellen Browsern ist rel="noopener" an einem target="_blank"-Link überflüssig, schadet aber nicht und schützt Nutzer veralteter Browser. Die Automatik gilt für Links, Bildbereiche und Formulare. Öffnet eine Website Fenster per JavaScript mit window.open(), muss sie den Schutz dort weiterhin selbst anfordern.
noreferrer: was die Zielseite nicht mehr erfährt
Der Referer-Header (die falsche Schreibweise mit einem r stammt aus der ursprünglichen HTTP-Spezifikation) verrät dem Ziel, von welcher Seite ein Besuch kommt. Wie viel davon ankommt, regelt die Referrer-Policy des Browsers. Ist auf der verlinkenden Website nichts eingestellt, gilt laut MDN seit 2020 der Standardwert strict-origin-when-cross-origin.
| Situation | Was die Zielseite erfährt |
|---|---|
| Link ohne rel, innerhalb derselben Website | vollständige Adresse der Herkunftsseite |
| Link ohne rel, von HTTPS auf eine fremde HTTPS-Seite | nur die Domain, etwa https://ihr-magazin.de/ |
| Link ohne rel, von HTTPS auf eine HTTP-Seite | keine Herkunft |
| Link mit rel=“noreferrer“ | keine Herkunft, unabhängig vom Protokoll |
Die zweite Zeile ist die wichtigste: Den genauen Pfad, also welcher Artikel verlinkt hat, sieht eine fremde Website im Standardfall ohnehin nicht mehr. Der Datenschutzgewinn von noreferrer ist deshalb kleiner, als viele annehmen. Der Preis dafür ist hoch, denn die Zielseite verliert auch die Information, von welcher Domain der Besuch stammt.
Keine SEO-Wirkung, aber Folgen für die Webanalyse
Für Suchmaschinen nennt Google drei rel-Werte, die die Bewertung eines ausgehenden Links beeinflussen: sponsored, ugc und nofollow (Google Search Central: Ausgehende Links qualifizieren). noopener und noreferrer kommen dort nicht vor. Ein Link mit rel="noopener noreferrer" bleibt für Google ein normaler Link, im Jargon ein Dofollow-Link.
Die Nebenwirkung liegt woanders: in der Statistik der Zielseite. Kommt ein Besuch ohne Referrer und ohne Kampagnenparameter an, kann die Webanalyse ihn keiner Quelle zuordnen. In Google Analytics 4 landet er in der Regel im Kanal „Direct“ mit der Quelle (direct) und dem Medium (none), als hätte jemand die Adresse eingetippt.
- Für Linkkäufer: Eine bezahlte Platzierung scheint keinen einzigen Besucher zu bringen, obwohl Leser klicken. Der Link wirkt im Bericht wertlos.
- Für Publisher: Sie können Werbekunden nicht belegen, wie viel Verkehr sie liefern. Das schwächt jede Verlängerung.
- Für die Bewertung von Linkquellen: Wer Quellen nach Referral-Traffic sortiert, unterschätzt systematisch alle Websites, die pauschal
noreferrersetzen.
Die Lösung ist unabhängig vom Attribut: UTM-Parameter in der Ziel-URL übermitteln die Quelle im Link selbst, nicht im Header. Sie überstehen noreferrer, den Wechsel von HTTPS auf HTTP und strenge Referrer-Policies. Passende Links erzeugen Sie mit dem UTM-Generator.
Beispiel: eine Platzierung abnehmen und messbar machen
Ein angenommener Online-Shop für Gartenmöbel hat in einem Wohnmagazin einen gekennzeichneten Sponsored Post gebucht. Bei der Abnahme steht am Link target="_blank" rel="sponsored noopener noreferrer". So ordnet der Shop die drei Werte ein:
- sponsored ist der einzige Wert, der die Bewertung durch Google betrifft. Er ist bei bezahlten Links Pflicht und hier korrekt gesetzt. Hintergründe dazu im Beitrag Nofollow, Sponsored, UGC.
- noopener ist harmlos. Er schützt Leser älterer Browser und ändert an der Linkwirkung nichts.
- noreferrer stört nur die Messung. Der Shop bittet das Magazin, den Wert zu entfernen. Weil das Redaktionssystem ihn global setzt, vereinbaren beide stattdessen eine Ziel-URL mit UTM-Parametern.
Vor der Freigabe prüft der Shop mit dem Link-Checker, ob Zieladresse, Parameter und Attribut stimmen. Drei Wochen später erscheint das Magazin in Google Analytics als eigene Kampagnenquelle statt als Teil des direkten Verkehrs. Für die eigene Website zieht der Shop die gleiche Lehre: noopener darf bleiben, noreferrer setzt er nur noch dort, wo die Herkunft eines Besuchs das Ziel tatsächlich nichts angeht.
Häufige Fragen
Ist ein Link mit noopener noreferrer ein Dofollow-Link?
Ja, solange kein nofollow, sponsored oder ugc dabeisteht. noopener und noreferrer richten sich an den Browser. Google führt sie nicht unter den Werten, die die Linkbewertung beeinflussen.
Muss ich rel=“noopener“ heute noch setzen?
Für Links mit target="_blank" nicht mehr zwingend: Safari ab 12.1, Firefox ab 79 sowie Chrome und Edge ab 88 verhalten sich automatisch so. Das Attribut schadet aber nicht und schützt Nutzer älterer Browser. Für Fenster, die per window.open() geöffnet werden, gilt die Automatik nicht.
Warum taucht mein Backlink in Google Analytics nicht als Verweis auf?
Häufige Ursachen sind ein noreferrer am Link oder ein Wechsel von HTTPS auf HTTP. In beiden Fällen kommt keine Herkunft an, und der Besuch landet meist im Kanal „Direct“. UTM-Parameter in der Ziel-URL machen die Quelle trotzdem sichtbar.
Schadet noreferrer meinem Ranking?
Nein. Der Wert ändert nichts daran, wie Google den Link bewertet. Er verhindert nur, dass die Zielseite erfährt, woher ein Besuch kommt, und verzerrt damit deren Statistik.