Mobile-Menu

Security.txt für Webseiten Sicherheitslücken schneller an die richtige Stelle melden

Von Ira Zahorsky 2 min Lesedauer

Anbieter zum Thema

Bundesamt für Sicherheit i.d.Informationstechnik
Allianz für Cyber-Sicherheit
Hyland Software Germany GmbH
Cloudgermany.de GmbH
Yorizon GmbH & Co. KG

Nur 1,8 Prozent der deutschen Webseiten nutzen Security.txt, obwohl die Umsetzung kaum Aufwand verursacht. Die Datei schafft einen festen Meldeweg für Schwachstellen, der angesichts kommender Pflichten aus dem Cyber Resilience Act immer wichtiger wird.

Das BSI und die Allianz für Cyber-Sicherheit rufen Webseitenbetreiber dazu auf, eine Security.txt einzurichten. Damit können Hinweise auf Sicherheitslücken direkt an die zuständige Stelle geschickt werden.(Bild: Dall-E / KI-generiert)
Das BSI und die Allianz für Cyber-Sicherheit rufen Webseitenbetreiber dazu auf, eine Security.txt einzurichten. Damit können Hinweise auf Sicherheitslücken direkt an die zuständige Stelle geschickt werden.
(Bild: Dall-E / KI-generiert)

Messungen des Bundesamts für Sicherheit in der Informationstechnik (BSI) im Rahmen des Cyberdome-Projekts zeigen, dass lediglich 1,8 Prozent der deutschen Webseiten Security.txt bereitstellen. Die Datei legt fest, wie Sicherheitsforschende, CERTs und andere Hinweisgeber den zuständigen Kontakt für Schwachstellen erreichen.

Ohne einen solchen Eintrag landen Meldungen mitunter bei ungeeigneten Stellen. Das kann die Bearbeitung verzögern oder dazu führen, dass Hinweise nicht weiterverfolgt werden. Für Betreiber von Webseiten ist Security.txt daher ein einfacher Baustein im Vulnerability Management.

Im Cyberdome-Projekt dient die Datei als Bindeglied zwischen automatisierten Prüfungen und den jeweils verantwortlichen Unternehmen. Der Cyberdome scannt Webseiten, erkennt dabei mögliche Sicherheitsmängel und leitet die Ergebnisse an den in Security.txt angegebenen Kontakt weiter. Dadurch können Betreiber schneller reagieren und Schwachstellen beheben.

Geringer Aufwand, klare Anforderungen

Die technische Umsetzung beschränkt sich auf wenige Angaben. Verpflichtend sind:

  • ein konkreter Kontakt für Sicherheitsmeldungen,
  • ein Ablaufdatum der Datei,
  • und die Bereitstellung unter /.well-known/security.txt.

Damit sind die zentralen Anforderungen nach RFC 9116 erfüllt. Die Maßnahme gehört damit zu den einfacheren Möglichkeiten, den Umgang mit extern gemeldeten Sicherheitslücken zu verbessern. Entscheidend bleibt allerdings, dass der angegebene Kontakt erreichbar ist und Meldungen intern bearbeitet werden.

Eine Datei allein beseitigt keine Schwachstellen. Sie verhindert aber, dass wichtige Hinweise an fehlenden oder schwer auffindbaren Kommunikationswegen scheitern.

Was ist RFC 9116?

RFC 9116 definiert den Standard Security.txt. Es ist ein maschinenlesbares Textformat, mit dem Webseitenbetreiber und Unternehmen ihre Kontaktdaten für Sicherheitslücken und Schwachstellenmeldungen (Vulnerability Disclosure) an einem festen Ort hinterlegen können.

Regulatorischer Druck steigt

Auch regulatorisch gewinnt ein belastbarer Meldeweg an Bedeutung. Der Cyber Resilience Act (CRA) sieht verbindliche Anforderungen für den Umgang mit Schwachstellenmeldungen vor und wird ab Dezember 2027 vollständig verpflichtend. Bereits ab dem 11. September 2026 gelten Meldepflichten für aktiv ausgenutzte Schwachstellen und schwere Sicherheitsvorfälle.

Diese Pflichten ersetzt Security.txt nicht. Sie kann jedoch dabei helfen, Sicherheitsmeldungen frühzeitig zu empfangen und organisatorisch zuzuordnen. Für Unternehmen entsteht damit eine vergleichsweise niedrigschwellige Möglichkeit, sich auf strengere Anforderungen vorzubereiten.

Das BSI und die Allianz für Cyber-Sicherheit werben deshalb für die Einrichtung einer Security.txt. Ein neuer Flyer der Allianz fasst Zweck, Nutzen und technische Umsetzung der Datei zusammen und kann kostenfrei heruntergeladen werden.

(ID:50921357)

Jetzt Newsletter abonnieren

Täglich die wichtigsten Infos zu Cloud Computing

Mit Klick auf „Newsletter abonnieren“ erkläre ich mich mit der Verarbeitung und Nutzung meiner Daten gemäß Einwilligungserklärung (bitte aufklappen für Details) einverstanden und akzeptiere die Nutzungsbedingungen. Weitere Informationen finde ich in unserer Datenschutzerklärung. Die Einwilligungserklärung bezieht sich u. a. auf die Zusendung von redaktionellen Newslettern per E-Mail und auf den Datenabgleich zu Marketingzwecken mit ausgewählten Werbepartnern (z. B. LinkedIn, Google, Meta).

Aufklappen für Details zu Ihrer Einwilligung

Weiterführende Inhalte