security.txt: : Kontaktinfos für Sicherheitshinweise fehlen häufig noch
Nur ein sehr geringer Teil der deutschen Websites stellt über die Datei security.txt standardisierte Kontaktinformationen für Hinweise auf Sicherheitsprobleme bereit.
Nach Messungen des Bundesamts für Sicherheit in der Informationstechnik (BSI) im Rahmen des Cyberdome-Projekts haben nur 1,8 % der Websitebetreiber in Deutschland bislang eine security.txt-Datei angelegt. Dabei ist der Aufwand gering, der Nutzen für die IT-Sicherheit eines Unternehmens jedoch erheblich: Die security.txt nach RFC 9116 liefert Sicherheitsforschern, CERTs und anderen Hinweisgebern einen eindeutig auffindbaren Kontakt, über den sie entdeckte Schwachstellen sicher übermitteln können. Fehlt dieser Kontakt, gehen Hinweise auf Sicherheitslücken häufig verzögert, an der falschen Stelle oder gar nicht ein.
Wer die security.txt bereitstellt, unterstützt daher aktiv die Erhöhung der IT-Sicherheit. Im Cyberdome-Kontext entstehe dadurch ein partizipativer Prozess, betont das BSI: Unternehmen stellen eine security.txt zur Verfügung, der Cyberdome scannt Webseiten und teilt Erkenntnisse direkt mit dem richtigen Kontakt, damit erkannte Mängel zeitnah behoben werden. Am Ende gehe es darum, Deutschland als Cybernation resilienter zu machen. Dementsprechend stellt auch der Cyber Resilience Act (CRA) verbindliche Anforderungen an den Umgang mit Schwachstellen-Meldungen und wird ab Dezember 2027 vollständig verpflichtend. Zudem gelten bereits ab dem 11. September 2026 Meldepflichten für aktiv ausgenutzte Schwachstellen und schwere Sicherheitsvorfälle. Auch deswegen lohnt sich die Bereitstellung einer security.txt-Datei, um frühzeitig auf regulatorische Entwicklungen zu reagieren.
Die Umsetzung selbst ist denkbar einfach: Webseitenbetreiber müssen verpflichtend nur einen konkreten Kontakt sowie das Ablaufdatum angeben. Darüber hinaus muss die Datei über den Pfad /.well-known/security.txt erreichbar sein. Damit sind bereits die wichtigsten Kriterien zu Umsetzung der security.txt erfüllt. Sie zählt somit zu den niedrigschwelligsten IT-Sicherheitsmaßnahmen überhaupt.
Das BSI und die Allianz für Cyber-Sicherheit rufen Webseitenbetreiber dazu auf, eine security.txt einzurichten, um damit einen einfachen, aber wirksamen Beitrag zur eigenen IT-Sicherheit zu leisten. Einen kompakten Überblick über Zweck, Nutzen und Umsetzung bietet der neue BSI-Flyer zur security.txt nach RFC 9116.