Nur 1,8 Prozent der Websites nutzen security.txt – BSI und ACS raten zur Umsetzung
Die security.txt soll Sicherheitsforschenden einen schnellen und eindeutigen Kontakt zur Meldung von Schwachstellen bieten. Doch aktuelle Messungen des Bundesamts für Sicherheit in der Informationstechnik (BSI) zeigen: Nur 1,8 Prozent der Webseitenbetreibenden in Deutschland nutzen sie bislang.
Entdecken Sicherheitsforschende eine Schwachstelle auf einer Website oder in einem IT-System, müssen sie zunächst herausfinden, an wen sie sich mit ihrem Hinweis wenden können. Abhilfe schaffen kann die security.txt: Die standardisierte Datei nach RFC 9116 hinterlegt liefert einen eindeutig auffindbaren Kontakt, über den Sicherheitslücken gemeldet werden können.
Dabei ist die Umsetzung simpel. Webseitenbetreibende müssen lediglich einen konkreten Kontakt sowie ein Ablaufdatum angeben und die Datei über den Pfad /.well-known/security.txt erreichbar machen. Damit zählt die security.txt zu den niedrigschwelligsten Maßnahmen, um den Umgang mit Schwachstellen zu verbessern.
Auch mit Blick auf den Cyber Resilience Act (CRA) gewinnt ein strukturierter Umgang mit Schwachstellenmeldungen an Bedeutung. Ab dem 11. September 2026 gelten Meldepflichten für aktiv ausgenutzte Schwachstellen und schwere Sicherheitsvorfälle.
Ab Dezember 2027 wird der CRA vollständig verpflichtend. Das BSI und die Allianz für Cyber-Sicherheit (ACS) rufen Webseitenbetreibende daher dazu auf, eine security.txt einzurichten.
Die Gesellschaft für Informatik e.V. (GI) ist Partnerin der Allianz für Cyber-Sicherheit und unterstützt den Aufruf. Einen kompakten Überblick über Zweck, Nutzen und Umsetzung bietet ein neuer Flyer des BSI.
