Fehlende Kontaktmöglichkeit: Deutschland verschläft Sicherheit per security.txt

Ein digitaler blinder Fleck

Stellen Sie sich vor, ein Gebäude weist einen kritischen baulichen Mangel auf, doch es gibt keine Klingel, um den Besitzer zu warnen. In der physischen Welt wäre dies ein grobes Versäumnis. Im digitalen Raum ist genau dieses Szenario auf deutschen Webseiten jedoch der Normalzustand. Wenn IT-Sicherheitsforscher oder CERTs (Computer Emergency Response Teams) auf Sicherheitslücken stoßen, stehen sie oft vor verschlossenen Türen. Hinweise landen häufig in allgemeinen Support-Postfächern oder im Spam-Ordner, wo sie wertvolle Zeit verlieren, während Angreifer die Schwachstellen bereits ausnutzen können.

Die alarmierende Datenlage

Das Bundesamt für Sicherheit in der Informationstechnik (BSI) hat im Zuge seines automatisierten Cyber-Schutzschirms systematische Messungen durchgeführt, um die Erreichbarkeit von deutschen Webdomains für Sicherheitsmeldungen zu prüfen. Die Ergebnisse sind ernüchternd: Lediglich 1,8 Prozent der untersuchten Webseitenbetreiber stellen eine standardisierte `security.txt` bereit. Über 98 Prozent der Betreiber verzichten somit auf einen etablierten, direkten Kommunikationskanal für Cybersicherheitsvorfälle.

Was ist eine security.txt?

Die Lösung für dieses Problem ist technisch simpel und bereits seit dem RFC 9116 standardisiert. Es handelt sich um eine einfache Textdatei, die unter dem Pfad `/.well-known/security.txt` auf dem Webserver hinterlegt wird. Sie dient als zentraler Anlaufpunkt für Sicherheitsforscher, um Schwachstellen direkt an die zuständigen Stellen zu melden, ohne den regulären Kundensupport zu belasten.

Die Anforderungen an eine solche Datei sind minimal:

* **Pflichtangaben:** Ein konkreter Kontaktweg sowie ein Ablaufdatum der Informationen.

* **Optionale Angaben:** Verweise auf PGP-Schlüssel zur Verschlüsselung oder weiterführende Sicherheitsrichtlinien.

Organisationen, die diese Datei implementieren, signalisieren damit proaktiv, dass sie IT-Sicherheit als Priorität betrachten.

Der Weg zur Cyber-Resilienz

Das BSI verfolgt mit der Initiative einen partizipativen Ansatz. Wenn Unternehmen flächendeckend auf die `security.txt` setzen, könnten im Rahmen des Cyber-Schutzraums Webseiten automatisiert gescannt und erkannte Mängel direkt an die richtigen Ansprechpartner übermittelt werden. Dies würde die nationale IT-Infrastruktur insgesamt widerstandsfähiger gegen Angriffe machen.

Gesetzlicher Druck nimmt zu

Wer bisher auf eine solche Kontaktmöglichkeit verzichtet hat, wird in naher Zukunft zum Handeln gezwungen sein. Der kommende „Cyber Resilience Act“ (CRA) bringt neue regulatorische Anforderungen mit sich:

* **Ab dem 11. September 2026:** Strikte Meldepflichten für aktiv ausgenutzte Schwachstellen.

* **Ab Dezember 2027:** Umfassende Anforderungen an Administratoren zur Meldung von Sicherheitslücken.

Die Zeit, in der Sicherheitslücken mangels Kontaktmöglichkeit ignoriert werden konnten, läuft damit ab. Die Implementierung einer `security.txt` ist nicht nur ein technischer Standard, sondern wird zunehmend zu einer notwendigen Voraussetzung für ein professionelles Sicherheitsmanagement.