Nur 1,8 Prozent der Webseitenbetreiber in Deutschland stellen bislang eine security.txt bereit. Das zeigen Messungen des Bundesamt f\u00fcr Sicherheit in der Informationstechnik (BSI) im Rahmen des Cyberdome-Projekts.<\/p>\n\n\n\n
Dabei ist der Aufwand gering, der Nutzen f\u00fcr die IT-Sicherheit eines Unternehmens jedoch erheblich: Die security.txt nach RFC 9116 gibt Sicherheitsforschenden, CERTs und anderen Meldenden einen eindeutig auffindbaren Kontakt, \u00fcber den sie entdeckte Schwachstellen sicher \u00fcbermitteln k\u00f6nnen. Fehlt dieser Kontakt, gehen Hinweise auf Sicherheitsl\u00fccken h\u00e4ufig verz\u00f6gert, an der falschen Stelle oder gar nicht ein.<\/p>\n\n\n\n
Wer die security.txt bereitstellt, unterst\u00fctzt aktiv die Erh\u00f6hung der IT-Sicherheit. So entsteht dadurch im Cyberdome-Kontext ein partizipativer Prozess: Unternehmen stellen eine security.txt zur Verf\u00fcgung, der Cyberdome scannt Webseiten und teilt Erkenntnisse direkt mit dem richtigen Kontakt, damit erkannte M\u00e4ngel zeitnah behoben werden. Am Ende geht es darum, Deutschland als Cybernation resilienter zu machen.<\/p>\n\n\n\n
Entsprechend stellt auch der Cyber Resilience Act (CRA) verbindliche Anforderungen an den Umgang mit Schwachstellen-Meldungen und wird ab Dezember 2027 vollst\u00e4ndig verpflichtend. Zudem gelten bereits ab dem 11. September 2026 Meldepflichten f\u00fcr aktiv ausgenutzte Schwachstellen und schwere Sicherheitsvorf\u00e4lle. Demnach lohnt sich die Umsetzung der security.txt ebenso, um fr\u00fchzeitig auf regulatorische Entwicklungen zu reagieren.<\/p>\n\n\n\n
Die Umsetzung selbst ist denkbar einfach: Webseitenbetreiber m\u00fcssen nur einen konkreten Kontakt sowie das Ablaufdatum verpflichtend angeben. Dar\u00fcber hinaus muss die Datei \u00fcber den Pfad \/.well-known\/security.txt erreichbar sein. Damit sind bereits die wichtigsten Kriterien zu Umsetzung der security.txt erf\u00fcllt. Sie z\u00e4hlt somit zu den niedrigschwelligsten IT-Sicherheitsma\u00dfnahmen \u00fcberhaupt.<\/p>\n\n\n\n
Das BSI und die Allianz f\u00fcr Cyber-Sicherheit rufen Webseitenbetreiber dazu auf, eine security.txt einzurichten, um damit einen einfachen, aber wirksamen Beitrag zur eigenen IT-Sicherheit zu leisten.<\/p>\n\n\n\n