security.txt: Kleine Datei, großer Beitrag zur Cybersicherheit

Was ist eine security.txt?

Wenn Sicherheitsforschende eine Schwachstelle auf einer Website, in einer Software oder in einem digitalen Produkt entdecken, ist häufig nicht sofort erkennbar, an wen sie ihre Meldung richten sollen. Allgemeine Kontaktadressen führen oft zu Verzögerungen oder die Nachricht erreicht nicht die zuständige Stelle. Eine security.txt dient deshalb als standardisierter Wegweiser zum richtigen Sicherheitskontakt eines Unternehmens.

Die Datei wird auf der Unternehmenswebsite unter einem festgelegten Pfad veröffentlicht:

https: // ihre-domain.de/.well-known/security.txt

Da der Speicherort einheitlich festgelegt ist, können sowohl Menschen als auch automatisierte Systeme die Datei schnell finden und auslesen.

Eine security.txt enthält mindestens eine Kontaktmöglichkeit für Schwachstellenmeldungen und ein Ablaufdatum. Zusätzlich können Unternehmen beispielsweise bevorzugte Sprachen, einen öffentlichen Schlüssel für verschlüsselte Nachrichten oder einen Link zu ihrer Richtlinie für den Umgang mit Schwachstellen angeben. Das Format folgt dem internationalen Standard RFC 9116.

Die Datei enthält keine vertraulichen Sicherheitsinformationen und macht eine Website nicht unsicherer. Sie zeigt lediglich, wie und an wen eine entdeckte Schwachstelle gemeldet werden soll.

Eine security.txt schließt selbst keine Sicherheitslücke und ersetzt keine bestehenden Kommunikationskanäle oder Sicherheitsprozesse. Sie ergänzt diese, indem sie Meldungen schneller an die richtige Stelle leitet. Damit das funktioniert, müssen die angegebenen Kontaktdaten aktuell sein und eingehende Nachrichten regelmäßig bearbeitet werden.

Warum der Cyber Resilience Act die security.txt wichtiger macht

Der Cyber Resilience Act (CRA) ist eine EU-Verordnung, die verbindliche Cybersicherheitsanforderungen für Produkte mit digitalen Elementen festlegt. Dazu gehören viele Hardware- und Softwareprodukte, die direkt oder indirekt mit einem Gerät oder Netzwerk verbunden sind. Hersteller müssen die Cybersicherheit ihrer Produkte über den vorgesehenen Nutzungszeitraum berücksichtigen, Schwachstellen bearbeiten und Sicherheitsupdates bereitstellen.

Die Verordnung gilt grundsätzlich ab dem 11. Dezember 2027. Die Meldepflichten für aktiv ausgenutzte Schwachstellen und schwerwiegende Sicherheitsvorfälle gelten für betroffene Hersteller bereits ab dem 11. September 2026.

Eine security.txt erleichtert es externen Sicherheitsforschenden und anderen Hinweisgebern, entdeckte Schwachstellen schnell an die zuständigen Stellen im Unternehmen zu melden. Dadurch kann sie die internen Prozesse zur Schwachstellenbearbeitung unterstützen. Sie ist jedoch nicht generell durch den CRA vorgeschrieben und ersetzt weder die gesetzlichen Meldewege noch weitere Anforderungen der Verordnung.

Informationen und Unterstützung durch das BSI

Das Bundesamt für Sicherheit in der Informationstechnik (BSI) ist die zentrale Cybersicherheitsbehörde des Bundes. Es informiert Unternehmen, Behörden und Bürger über Risiken der Informationstechnik und gibt Empfehlungen für einen sicheren Umgang mit digitalen Systemen.

Das BSI empfiehlt Unternehmen ausdrücklich, eine security.txt nach RFC 9116 bereitzustellen. Über die vom BSI getragene Allianz für Cyber-Sicherheit (ACS) stellt es zudem einen kompakten Überblick zu Zweck, Nutzen und Umsetzung der Datei zur Verfügung.