rel="noopener noreferrer" erklärt: Wann du welches Link-Attribut wirklich brauchst

Fast jeder, der schon mal einen Link in WordPress oder einer HTML/PHP-Seite gesetzt hat, ist ihm begegnet: rel="noopener noreferrer". WordPress klatscht es automatisch an jeden Link, der in einem neuen Tab öffnet - und kaum jemand weiß, was es eigentlich tut. In unseren Shop-Audits sehen wir ständig das gleiche Bild: Links werden gesetzt, ohne dass irgendwer versteht, welche rel-Attribute wann sinnvoll sind. Mal fehlt die Kennzeichnung eines bezahlten Links (Google mag das gar nicht), mal wird das Affiliate-Tracking versehentlich lahmgelegt.

Dieser Artikel räumt damit auf. Ehrlich, ohne Fachchinesisch, und mit dem klaren Fokus darauf, was du im Shop-Alltag wirklich brauchst. Am Ende weißt du für jeden Link, welche Attribute dranmüssen - und warum.

Der Ausgangspunkt: target="_blank" und seine Nebenwirkung

Fast alles beginnt mit einem harmlosen Wunsch: Ein externer Link soll sich in einem neuen Tab öffnen, damit deine Besucher deine Seite nicht verlassen. Der Befehl dafür ist target="_blank":

<a href="https://andere-seite.at" target="_blank">Zur anderen Seite</a>

Klingt unproblematisch - hatte aber historisch eine fiese Nebenwirkung. Die neu geöffnete Seite bekam über eine JavaScript-Funktion namens window.opener einen Draht zurück zu deiner Seite. Eine bösartige Zielseite konnte darüber deinen ursprünglichen Tab heimlich auf eine gefälschte Seite umleiten - etwa eine täuschend echte Login-Maske. Dieser Angriff hat einen Namen: Tabnabbing (auch „reverse tabnabbing").

noopener: der Schutz gegen Tabnabbing

Genau hier kommt rel="noopener" ins Spiel. Es kappt diese Rückverbindung: Die geöffnete Seite bekommt keinen Zugriff mehr auf deinen Tab.

<a href="https://andere-seite.at" target="_blank" rel="noopener">Zur anderen Seite</a>

Heißt das, du kannst es weglassen? Technisch in modernen Browsern: ja. Trotzdem lautet die ehrliche Empfehlung, es drin zu lassen - aus zwei Gründen: Erstens surfen nicht alle Menschen mit topaktuellen Browsern (Firmengeräte, alte Systeme). Zweitens ist es ein Prinzip guter Absicherung, sich nicht allein auf den Browser-Standard zu verlassen. Es schadet nie, kostet nichts - aber es ist heute Absicherung nach dem Gürtel-plus-Hosenträger-Prinzip, kein Notfall mehr.

noreferrer: Privatsphäre - mit einem Haken fürs Tracking

Das zweite Attribut, rel="noreferrer", macht zwei Dinge auf einmal. Es enthält den noopener-Schutz bereits - und geht einen Schritt weiter: Es verhindert, dass der sogenannte Referrer übermittelt wird. Der Referrer ist die Information „Dieser Besucher kam von Seite X". Mit noreferrer sieht die Zielseite nur noch: „Jemand kam - aber ich weiß nicht, woher."

<a href="https://andere-seite.at" target="_blank" rel="noreferrer">Zur anderen Seite</a>

Das ist gut für die Privatsphäre - aber hier lauert der Fehler, den wir am häufigsten sehen:

Die Regel ist also einfach: Affiliate- und Partnerlinks in der Regel ohne noreferrer. Für ganz normale externe Links, bei denen dir Datenschutz wichtig ist und kein Tracking dranhängt, kannst du es dagegen bedenkenlos nutzen.

Jetzt die andere Baustelle: die SEO-Attribute

Bis hierhin ging es um Sicherheit und Privatsphäre. noopener und noreferrer haben mit SEO nichts zu tun - sie beeinflussen dein Google-Ranking nicht. Jetzt kommen aber drei Attribute, die genau das tun. Und die werden am häufigsten falsch (oder gar nicht) gesetzt.

Der Hintergrund: Ein Link ist für Google wie eine Empfehlung. Verlinkst du auf eine Seite, sagst du Google damit sinngemäß „dieser Seite vertraue ich". Diese Empfehlung vererbt einen Teil deiner eigenen Autorität weiter (im Fachjargon „Linkjuice"). Manchmal willst du das aber gar nicht - und genau dafür gibt es diese drei Attribute.

nofollow: der Klassiker

rel="nofollow" ist das älteste der drei. Es signalisiert Google, dem Link nicht zu folgen und keine Autorität weiterzugeben. Früher war das eine strikte Anweisung - seit 2020 behandelt Google es als Hinweis, dem es folgen kann, aber nicht muss. Du nutzt es für alle Links, für die du nicht mit deiner SEO-Reputation geradestehen willst.

sponsored: der wichtigste für Shop-Betreiber

Das ist der Punkt, an dem es für dich als Händler oder Affiliate ernst wird. Seit 2019 verlangt Google, dass bezahlte Links und Affiliate-Links gekennzeichnet werden - dafür gibt es rel="sponsored". Wer das ignoriert und massenhaft unmarkierte Affiliate-Links setzt, riskiert im schlimmsten Fall eine manuelle Abstrafung durch Googles Spam-Team oder zumindest einen Vertrauensverlust im Algorithmus.

<a href="https://partner.at/ref=123" target="_blank" rel="sponsored noopener">Zum Produkt</a>

ugc: für alles, was andere schreiben

rel="ugc" (user-generated content) kennzeichnet Links, die nicht von dir stammen: Kommentare unter Blogartikeln, Forenbeiträge, Produktbewertungen. Damit sagst du Google, dass du für diese Links nicht die redaktionelle Verantwortung trägst. Praktisch, weil du sonst für jeden Spam-Link in deinen Kommentaren mit deiner eigenen Reputation haften würdest.

Interne vs. externe Links - ein häufiges Missverständnis

Ein Punkt, der viel Verwirrung stiftet: Diese Attribute gehören an externe Links - also Links, die von deiner Seite wegführen. Für interne Links (von einer deiner Seiten zu einer anderen deiner Seiten) brauchst du weder die Sicherheits- noch die SEO-Attribute. Es gibt keine Fremdseite, vor der man sich schützen müsste, und deine eigene Autorität willst du intern ja gerade weitergeben. nofollow auf internen Links ist fast immer ein Fehler.

Die Kombinationen, die du wirklich brauchst

Das klingt jetzt nach viel - ist es aber nicht. In der Praxis gibt es nur eine Handvoll sinnvoller Kombinationen. Hier die Übersicht für den Alltag:

Du musst dir das nicht merken. Wir haben genau dafür ein kleines Werkzeug gebaut: Du gibst deine URL ein, beantwortest zwei, drei Fragen (Neuer Tab? Affiliate? SEO-Vertrauen?) und bekommst den fertigen, optimalen Link-Code zum Kopieren.

Unsere ehrliche Einordnung

Die Wahrheit ist: Die reine Sicherheits-Panik um noopener ist heute übertrieben - moderne Browser erledigen das automatisch. Wer dir 2026 noch erzählt, ohne noopener sei deine Seite akut gehackt, verkauft dir Angst. Trotzdem gehören die Attribute sauber gesetzt, und zwar aus einem ganz anderen Grund als Sicherheit: Der eigentliche Stolperstein ist SEO. Unmarkierte Affiliate-Links, zerschossenes Provisions-Tracking durch falsches noreferrer, verschenkte Autorität durch überflüssiges nofollow auf internen Links - das kostet dich echtes Geld und Ranking.

Wer seine Links einmal sauber aufsetzt, hat Ruhe. Es ist kein Hexenwerk, sobald man die zwei Baustellen (Sicherheit vs. SEO) auseinanderhält. Und genau das war das Ziel dieses Artikels.

Häufige Fragen zu rel-Attributen

Was bedeutet rel="noopener noreferrer" einfach erklärt?
noopener verhindert, dass eine in neuem Tab geöffnete Seite auf deinen ursprünglichen Tab zugreift (Schutz vor Tabnabbing). noreferrer unterdrückt zusätzlich die Info, von welcher Seite der Besucher kam. WordPress setzt die Kombination automatisch bei Links mit target="_blank".

Brauche ich rel="noopener" heute noch?
In modernen Browsern ist der Schutz bei target="_blank" seit 2020/2021 automatisch aktiv. Es explizit zu setzen schadet aber nicht und sichert ältere Browser ab - daher empfehlenswert, aber kein Notfall mehr.

Schadet rel="noopener" oder "noreferrer" meinem SEO?
Nein. Beide sind reine Sicherheits- bzw. Privatsphäre-Attribute und haben keinen Einfluss auf dein Google-Ranking. SEO-relevant sind nur nofollow, sponsored und ugc.

Warum soll ich noreferrer bei Affiliate-Links weglassen?
Weil Affiliate-Programme den Referrer brauchen, um Verkäufe deiner Seite zuzuordnen. Mit noreferrer kann dein Provisions-Tracking ausfallen. Nutze bei Affiliate-Links stattdessen rel="sponsored" für die Google-Kennzeichnung.

Was ist der Unterschied zwischen nofollow und sponsored?
nofollow ist der allgemeine Catch-all („kein SEO-Vertrauen"). sponsored ist spezifischer und sagt Google, dass der Link bezahlt oder ein Affiliate-Link ist. Für bezahlte Links bevorzugt Google inzwischen sponsored.

Muss ich diese Attribute auf interne Links setzen?
Nein. Sicherheits- und SEO-Attribute gehören an externe Links. Bei internen Links willst du deine Autorität normalerweise weitergeben - nofollow wäre hier kontraproduktiv.