security.txt: Der 15-Minuten-Sicherheitscheck für deine Website

Stell dir vor, ein Sicherheitsforscher entdeckt eine offene Datenbank hinter deiner Firmenwebsite. Er will dir Bescheid geben – und findet keine Adresse dafür. Also schreibt er an info@, wo die Meldung zwischen Newslettern versandet. Oder er gibt auf. Genau das ist der Normalfall: Das BSI hat gemessen, dass nur 1,8 Prozent der deutschen Websites eine security.txt bereitstellen – die standardisierte „Klingel" für Sicherheitsmeldungen. Die anderen 98 Prozent sind für gut gemeinte Hinweise schlicht nicht erreichbar, während Angreifer dieselbe Lücke ungestört nutzen. Und es kommt Bewegung ins Thema: Das BSI scannt im Cyberdome-Projekt aktiv nach Schwachstellen und meldet Befunde direkt an den hinterlegten Kontakt – aber nur, wenn es einen gibt. Ab Dezember 2027 verlangt zudem der Cyber Resilience Act verbindliche Meldewege.

Die Technik

Eine Klartext-Datei nach RFC 9116 an einem festen Ort deiner Website – mit genau zwei Pflichtangaben:

deine-domain.de/.well-known/security.txt – Pflichtfelder: Contact (wohin melden?) und Expires (bis wann gilt die Angabe?)

Schritt für Schritt

1. Prüfe den Ist-Stand: Ruf https://deine-domain.de/.well-known/security.txt im Browser auf. Kommt ein 404, gehörst du zu den 98 Prozent – weiter mit Schritt 2.

2. Lege die Kontaktadresse fest: Ein Funktionspostfach wie security@deine-firma.de, das an eine verantwortliche Person weiterleitet und tatsächlich gelesen wird. Keine persönliche Adresse – Zuständigkeiten wechseln, die Datei bleibt.

3. Erstelle die Datei – vier Zeilen reichen:

   Contact: mailto:security@deine-firma.de
   Expires: 2027-06-30T00:00:00.000Z
   Preferred-Languages: de, en
   Canonical: https://deine-firma.de/.well-known/security.txt
   

4. Lade sie hoch in das Verzeichnis /.well-known/ deines Webservers (per HTTPS erreichbar) – dein Webmaster oder deine Agentur braucht dafür keine zehn Minuten. Danach von extern testen: Schritt 1 wiederholen, diesmal muss die Datei erscheinen.

5. Verankere zwei Routinen: einen Kalendereintrag, das Expires-Datum halbjährlich zu erneuern – und eine interne Absprache, wer eingehende Meldungen binnen welcher Frist prüft.

Warum das funktioniert

Sicherheitsforscher, CERTs und inzwischen auch der BSI-Scanner suchen Kontaktdaten genau an diesem einen, standardisierten Ort – deshalb funktioniert die Datei ohne Registrierung, ohne Tool, ohne Budget. Sie verwandelt Zufallsfunde von Fremden aus einem Risiko (Hinweis kommt nie an) in ein Frühwarnsystem (Hinweis landet direkt beim Richtigen).

Stolperfallen

• Abgelaufenes Expires macht alles ungültig: Liegt das Datum in der Vergangenheit, gilt die gesamte Datei als veraltet – daher die Kalender-Routine aus Schritt 5. Der Standard empfiehlt höchstens ein Jahr Laufzeit.
• Die Datei ist nur die Klingel: Wenn niemand öffnet, war der Aufwand umsonst. Der Prozess dahinter – lesen, bewerten, reagieren – ist der eigentliche Sicherheitsgewinn.
• Rechne mit etwas Rauschen: Eine öffentliche Adresse zieht auch automatisierte Massen-Meldungen an. Genau dafür ist das Funktionspostfach da – filtern lässt sich Rauschen, verpassen lässt sich ein echter Hinweis nicht.

Die Zahlen stammen aus der BSI-Messung im Cyberdome-Projekt, lesenswert dazu auch der Bericht bei Heise. Und wenn du IT-Sicherheit und Datensouveränität nicht nur punktuell, sondern als Fundament deiner KI-Infrastruktur denken willst: Genau dafür gibt es unser Angebot Betreiben. Einen neuen Impuls wie diesen bekommst du jede Woche im Newsletter – Anmeldung direkt hier unten.