Nur rund 1,8 Prozent der Webseitenbetreiber in Deutschland stellen bislang eine security.txt bereit. Das zeigen Messungen des Bundesamts für Sicherheit in der Informationstechnik (BSI) im Rahmen des Cyberdome-Projekts. Dabei ist der Aufwand denkbar gering, der Nutzen für die Sicherheit der eigenen Website jedoch enorm.
Was ist die security.txt?
Die security.txt nach dem Internetstandard RFC 9116 gibt Sicherheitsforschenden, CERTs und Behörden einen eindeutig auffindbaren Kontakt, über den sie entdeckte Schwachstellen sicher und vertraulich übermitteln können.
Fehlt dieser Kontakt, gehen Hinweise auf Sicherheitslücken häufig an info@-Adressen verloren, landen im Spam-Filter oder werden frustriert öffentlich im Netz diskutiert.
Das Prinzip an der Haustür des Servers
Unter der festen Webadresse /.well-known/security.txt wird auf dem Server eine kleine, maschinenlesbare Textdatei bereitgestellt. Sie enthält auf einen Blick:
1. Den direkten Sicherheitskontakt (Contact:): Eine gesicherte E-Mail-Adresse, Telefonnummer oder ein verschlüsseltes Kontaktformular.
2. Ein Gültigkeitsdatum (Expires:): Gewährleistet, dass alte, verwaiste Kontaktdaten von automatisierten Scannern als ungültig erkannt werden.
3. Ergänzende Angaben: Links zu Datenschutzrichtlinien (Policy:), Sprachpräferenzen (Preferred-Languages:) und Danksagungen (Acknowledgments:).
Warum jetzt handeln?
Entsprechend stellt auch der europäische Cyber Resilience Act (CRA) verbindliche Anforderungen an den strukturierten Umgang mit Schwachstellen-Meldungen. Zudem gelten bereits strenge Meldepflichten für aktiv ausgenutzte Sicherheitsvorfälle.
Die Bereitstellung einer security.txt ist daher eine der wirkungsvollsten und niedrigschwelligsten Maßnahmen, um die technischen und organisatorischen Maßnahmen (TOMs nach Art. 32 DSGVO) praktisch zu belegen.