Das Kernproblem: Mangelnde Erreichbarkeit bei Sicherheitslücken
In der deutschen IT-Sicherheit zeigt sich ein massives Defizit: Aktuellen Messungen des Bundesamts für Sicherheit in der Informationstechnik (BSI) zufolge bieten derzeit nur 1,8 Prozent der deutschen Webseiten eine standardisierte security.txt-Datei an. Dies führt dazu, dass IT-Sicherheitsforscher oft keine direkten Ansprechpartner finden, wenn sie kritische Schwachstellen entdecken. Wichtige Hinweise landen im allgemeinen Support oder im Spam-Ordner, wodurch wertvolle Zeit verstreicht und Angreifer Schwachstellen ungestört ausnutzen können.
Die Lösung: Der Standard security.txt
Die security.txt (nach dem Standard RFC 9116) bietet eine einfache Lösung für dieses Problem. Es handelt sich um eine simple Textdatei, die auf dem Webserver im Verzeichnis /.well-known/ abgelegt wird.
- Inhalt:
Die Datei enthält zwingend einen konkreten Kontakt (z. B. eine E-Mail-Adresse oder ein Kontaktformular) sowie ein Ablaufdatum. - Optionale Zusätze:
Verweise auf die Sprache(n), in denen das Sicherheitsteam kontaktiert werden kann, eine PGP-Verschlüsselung, die Sicherheitsrichtlinien und eine Seite mit >Danksagungen an Sicherheitsforscher können ebenfalls ergänzt werden. - Nutzen:
Sie ersetzt keine bestehenden Kanäle, sondern ergänzt diese gezielt für Cybersicherheitsvorfälle und signalisiert, dass eine Organisation IT-Sicherheit ernst nimmt.
Ausblick und kommende Pflichten durch den „Cyber Resilience Act“
Das BSI fördert die flächendeckende Einführung der Datei aktiv. Durch einen neuen, automatisierten „Cyber-Schutzschirm“ sollen erkannte Mängel künftig direkt an die richtigen Ansprechpartner übermittelt werden, um die gesamte digitale Infrastruktur in Deutschland resilienter zu machen.
Zudem erhöht der neue europäische Cyber Resilience Act (CRA) den gesetzlichen Druck auf Betreiber und Administratoren:
- Ab dem 11. September 2026 gelten strikte Meldepflichten für aktiv ausgenutzte Schwachstellen.
- Ab Dezember 2027 greifen neue Anforderungen an Administratoren für das Melden von Schwachstellen.
Um die eigene Sicherheit zu erhöhen und für diese kommenden gesetzlichen Vorgaben gerüstet zu sein, ist die zeitnahe Implementierung einer security.txt dringend zu empfehlen.