BSI: Webseitenbetreiber sollen "security.txt" einrichten
Nur knapp 2 Prozent der Webseitenbetreiber in Deutschland stellen bislang eine “security.txt” bereit. Das zeigen Messungen des Bundesamt für Sicherheit in der Informationstechnik (BSI) im Rahmen des Cyberdome-Projekts. Das BSI und die Allianz für Cyber-Sicherheit rufen Webseitenbetreiber dazu auf, eine security.txt einzurichten, um damit einen einfachen, aber wirksamen Beitrag zur eigenen IT-Sicherheit zu leisten.
Laut Aussagen des BSI ist der Aufwand gering, der Nutzen für die IT-Sicherheit eines Unternehmens jedoch erheblich: Die security.txt nach RFC 9116 (BSI-Flyer) gibt Sicherheitsforschenden, CERTs und anderen Meldenden einen eindeutig auffindbaren Kontakt, über den sie entdeckte Schwachstellen sicher übermitteln können. Fehlt dieser Kontakt, gehen Hinweise auf Sicherheitslücken häufig verzögert, an der falschen Stelle oder gar nicht ein.
Wer als Webseitenbetreiber die security.txt bereitstellt, unterstützt aktiv die Erhöhung der IT-Sicherheit. Der Cyberdome scannt die Webseite und teilt Erkenntnisse direkt mit dem richtigen Kontakt, damit erkannte Mängel zeitnah behoben werden. Insgesamt ist das Ziel, Deutschland als Cybernation resilienter zu machen.
Auch der Cyber Resilience Act (CRA) stellt verbindliche Anforderungen an den Umgang mit Schwachstellen-Meldungen und wird ab Dezember 2027 vollständig verpflichtend. Zudem gelten bereits ab dem 11. September 2026 Meldepflichten für aktiv ausgenutzte Schwachstellen und schwere Sicherheitsvorfälle. Die Umsetzung der security.txt lohne sich also auch, um frühzeitig auf regulatorische Entwicklungen zu reagieren.
Was ist zu tun?
Webseitenbetreiber müssen einen konkreten Kontakt sowie das Ablaufdatum verpflichtend angeben. Darüber hinaus muss die Datei über den Pfad "/.well-known/security.txt" erreichbar sein. Damit sind bereits die wichtigsten Kriterien zu Umsetzung der security.txt erfüllt. Sie zählt somit zu den niedrigschwelligsten IT-Sicherheitsmaßnahmen überhaupt.
(Quelle BSI)