Thought Leadership
Das BSI hat im Rahmen seines Cyberdome-Projekts deutsche Webseiten auf eine simple Textdatei hin untersucht, mit ernüchterndem Ergebnis. Dabei kostet die Umsetzung kaum Aufwand.
Wer eine Sicherheitslücke auf einer fremden Webseite entdeckt, steht oft vor einem Problem: Wohin mit dem Hinweis? Eine allgemeine Info-Mailadresse wird selten gelesen und ein Anruf in der Zentrale endet meist in der Warteschleife. Genau dieses Problem soll die sogenannte security.txt lösen, eine von der IETF standardisierte Textdatei nach RFC 9116, die unter einem festen Pfad hinterlegt wird und Sicherheitsforschern einen eindeutigen Kontakt für Meldungen liefert.
Das Bundesamt für Sicherheit in der Informationstechnik (BSI) hat nun im Rahmen seines Cyberdome-Projekts gemessen, wie viele deutsche Webseitenbetreiber diese Datei tatsächlich bereitstellen. Das Ergebnis: gerade einmal 1,8 Prozent.
Ein fester Pfad, zwei Pflichtangaben
Technisch ist die Hürde niedrig. Die Datei muss unter dem Pfad /.well-known/security.txt erreichbar sein. Verpflichtend sind laut BSI nur zwei Angaben: ein konkreter Kontakt für Sicherheitsmeldungen sowie ein Ablaufdatum, ab dem die Angaben als veraltet gelten. Damit ist der Kern der security.txt bereits abgedeckt. RFC 9116 erlaubt darüber hinaus optionale Felder etwa für eine Verschlüsselungs-Policy, eine Klartext-Politik zum Umgang mit Meldungen oder Verweise auf ein Bug-Bounty-Programm.
Für den Cyberdome-Ansatz des BSI ist die Datei mehr als nur ein Kontaktformular: Sie soll einen „partizipativen Prozess“ ermöglichen, wie es in der Mitteilung heißt. Unternehmen stellen die security.txt bereit, der Cyberdome scannt Webseiten automatisiert und leitet Erkenntnisse direkt an den hinterlegten Kontakt weiter. Im Idealfall lassen sich Schwachstellen so deutlich schneller schließen, als wenn erst über Umwege der richtige Ansprechpartner gefunden werden muss.
Wer die security.txt bereitstellt, unterstützt aktiv die Erhöhung der IT-Sicherheit. So entsteht dadurch im Cyberdome-Kontext ein partizipativer Prozess: Unternehmen stellen eine security.txt zur Verfügung, der Cyberdome scannt Webseiten und teilt Erkenntnisse direkt mit dem richtigen Kontakt, damit erkannte Mängel zeitnah behoben werden. Am Ende geht es darum, Deutschland als Cybernation resilienter zu machen.
Regulatorischer Druck kommt ohnehin
Dass sich die Umsetzung schon jetzt lohnt, hat auch regulatorische Gründe. Der Cyber Resilience Act (CRA) macht verbindliche Vorgaben zum Umgang mit Schwachstellenmeldungen und greift ab Dezember 2027 vollständig. Schon früher, nämlich ab dem 11. September 2026, gelten zudem Meldepflichten für aktiv ausgenutzte Schwachstellen und schwere Sicherheitsvorfälle. Wer bereits jetzt einen klar definierten Meldeweg über eine security.txt einrichtet, muss sich um diesen Teil der neuen Pflichten dann nicht mehr kurzfristig kümmern.
Das BSI und die Allianz für Cyber-Sicherheit (ACS) appellieren daher an Webseitenbetreiber, die Datei einzurichten. Als Hilfestellung hat das BSI einen Flyer veröffentlicht, der Zweck, Nutzen und konkrete Umsetzung der security.txt erklärt.
Angesichts des minimalen Aufwands, immerhin nur eine Textdatei mit zwei Pflichtfeldern an einem festen Pfad, dürfte der geringe Verbreitungsgrad von 1,8 Prozent weniger an technischen Hürden liegen als schlicht daran, dass viele Betreiber den Standard einfach nicht kennen.
(red)
