Messungen des Bundesamts für Sicherheit in der Informationstechnik (BSI) im Rahmen des Cyberdome-Projekts zeigen, dass lediglich 1,8 Prozent der deutschen Webseiten eine Security.txt bereitstellen. Dabei verursacht die Umsetzung kaum Aufwand, und angesichts kommender Pflichten aus dem Cyber Resilience Act wird ein fester Meldeweg für Schwachstellen zunehmend wichtiger.
Ein fehlender Kontakt kostet Zeit
Die Datei legt fest, wie Sicherheitsforschende, CERTs und andere Hinweisgeber den zuständigen Kontakt für Schwachstellenmeldungen erreichen. Ohne einen solchen Eintrag landen Meldungen mitunter bei ungeeigneten Stellen, was die Bearbeitung verzögern oder sogar dazu führen kann, dass Hinweise gar nicht weiterverfolgt werden. Für dich als Betreiber einer Webseite ist Security.txt deshalb ein einfacher, aber wirksamer Baustein im Vulnerability Management.
Im Cyberdome-Projekt dient die Datei als Bindeglied zwischen automatisierten Prüfungen und den jeweils verantwortlichen Unternehmen. Der Cyberdome scannt Webseiten, erkennt mögliche Sicherheitsmängel und leitet die Ergebnisse an den in Security.txt angegebenen Kontakt weiter. Dadurch können Betreiber schneller reagieren und Schwachstellen beheben.
Geringer Aufwand, klare Anforderungen
Die technische Umsetzung beschränkt sich auf wenige Angaben. Verpflichtend sind ein konkreter Kontakt für Sicherheitsmeldungen, ein Ablaufdatum der Datei sowie die Bereitstellung unter /.well-known/security.txt. Damit erfüllst du die zentralen Anforderungen nach RFC 9116, dem Standard für Security.txt. Er definiert ein maschinenlesbares Textformat, mit dem Webseitenbetreiber und Unternehmen ihre Kontaktdaten für Sicherheitslücken und Schwachstellenmeldungen an einem festen Ort hinterlegen können.
Damit gehört die Maßnahme zu den einfacheren Möglichkeiten, den Umgang mit extern gemeldeten Sicherheitslücken zu verbessern. Entscheidend bleibt allerdings, dass der angegebene Kontakt tatsächlich erreichbar ist und Meldungen intern auch bearbeitet werden. Eine Datei allein beseitigt schließlich keine Schwachstellen, sie verhindert aber, dass wichtige Hinweise an fehlenden oder schwer auffindbaren Kommunikationswegen scheitern.
Regulatorischer Druck steigt
Auch regulatorisch gewinnt ein belastbarer Meldeweg an Bedeutung. Der Cyber Resilience Act (CRA) sieht verbindliche Anforderungen für den Umgang mit Schwachstellenmeldungen vor und wird ab Dezember 2027 vollständig verpflichtend. Bereits ab dem 11. September 2026 gelten Meldepflichten für aktiv ausgenutzte Schwachstellen und schwere Sicherheitsvorfälle. Diese Pflichten ersetzt Security.txt nicht, sie kann aber dabei helfen, Sicherheitsmeldungen frühzeitig zu empfangen und organisatorisch zuzuordnen. Für Unternehmen entsteht damit eine vergleichsweise niedrigschwellige Möglichkeit, sich schon jetzt auf die strengeren Anforderungen vorzubereiten. Das BSI und die Allianz für Cyber-Sicherheit werben deshalb aktiv für die Einrichtung einer Security.txt und stellen dazu Informationsmaterial bereit.