Admin side sikkerhed

Endnu et lille spørgsmål til mit nyligt fremstillede login system :-D

Det er muligt at komme til admin siden ved at skrive admin_index.php direkte i adresselinien. Jeg har hørt at man kan tjekke om session er startet og hvis ikke lave en redirect. Noget lignende dette:

if (!isset($_SESSION['username']))
{header('location:index.php'); }

Dette virker dog ikke og jeg får en 'headers already sent' fejl. Hvad gør jeg forkert her?