Nur 1,8 Prozent der deutschen Webseiten nutzen Security.txt, obwohl die Umsetzung kaum Aufwand verursacht. Die Datei schafft einen festen Meldeweg für Schwachstellen, der angesichts kommender Pflichten aus dem Cyber Resilience Act immer wichtiger wird.
Security.txt für Webseiten: Sicherheitslücken schneller an die richtige Stelle melden
Messungen des Bundesamts für Sicherheit in der Informationstechnik (BSI) im Rahmen des Cyberdome-Projekts zeigen, dass lediglich 1,8 Prozent der deutschen Webseiten Security.txt bereitstellen. Die Datei legt fest, wie Sicherheitsforschende, CERTs und andere Hinweisgeber den zuständigen Kontakt für Schwachstellen erreichen. Ohne einen solchen Eintrag landen Meldungen mitunter bei ungeeigneten Stellen. Das kann die Bearbeitung verzögern oder dazu führen, dass Hinweise nicht weiterverfolgt werden. Für Betreiber von Webseiten ist Security.txt daher ein einfacher Baustein im Vulnerability Management.
Im Cyberdome-Projekt dient die Datei als Bindeglied zwischen automatisierten Prüfungen und den jeweils verantwortlichen Unternehmen. Der Cyberdome scannt Webseiten, erkennt dabei mögliche Sicherheitsmängel und leitet die Ergebnisse an den in Security.txt angegebenen Kontakt weiter. Dadurch können Betreiber schneller reagieren und Schwachstellen beheben.
Geringer Aufwand, klare Anforderungen
Die technische Umsetzung beschränkt sich auf wenige Angaben. Verpflichtend sind:
- ein konkreter Kontakt für Sicherheitsmeldungen,
- ein Ablaufdatum der Datei,
- und die Bereitstellung unter /.well-known/security.txt.
Damit sind die zentralen Anforderungen nach RFC 9116 erfüllt. Die Maßnahme gehört damit zu den einfacheren Möglichkeiten, den Umgang mit extern gemeldeten Sicherheitslücken zu verbessern. Entscheidend bleibt allerdings, dass der angegebene Kontakt erreichbar ist und Meldungen intern bearbeitet werden. Eine Datei allein beseitigt keine Schwachstellen. Sie verhindert aber, dass wichtige Hinweise an fehlenden oder schwer auffindbaren Kommunikationswegen scheitern.
Was ist RFC 9116?
RFC 9116 definiert den Standard Security.txt. Es ist ein maschinenlesbares Textformat, mit dem Webseitenbetreiber und Unternehmen ihre Kontaktdaten für Sicherheitslücken und Schwachstellenmeldungen (Vulnerability Disclosure) an einem festen Ort hinterlegen können.
Regulatorischer Druck steigt
Auch regulatorisch gewinnt ein belastbarer Meldeweg an Bedeutung. Der Cyber Resilience Act (CRA) sieht verbindliche Anforderungen für den Umgang mit Schwachstellenmeldungen vor und wird ab Dezember 2027 vollständig verpflichtend. Bereits ab dem 11. September 2026 gelten Meldepflichten für aktiv ausgenutzte Schwachstellen und schwere Sicherheitsvorfälle. Diese Pflichten ersetzt Security.txt nicht. Sie kann jedoch dabei helfen, Sicherheitsmeldungen frühzeitig zu empfangen und organisatorisch zuzuordnen. Für Unternehmen entsteht damit eine vergleichsweise niedrigschwellige Möglichkeit, sich auf strengere Anforderungen vorzubereiten.
Das BSI und die Allianz für Cyber-Sicherheit werben deshalb für die Einrichtung einer Security.txt. Ein neuer Flyer der Allianz fasst Zweck, Nutzen und technische Umsetzung der Datei zusammen und kann kostenfrei heruntergeladen werden. Angesichts der niedrigen Verbreitung von nur 1,8 Prozent bleibt hier noch erhebliches Potenzial, die Sicherheitskommunikation deutscher Webseiten signifikant zu verbessern – und das mit minimalem Aufwand.
