Nur 1,8 % der Webseitenbetreiber nutzen security.txt – BSI und Allianz für Cyber-Sicherheit raten zur Umsetzung
07.08.2026
Bild: Clipdealer
Nur 1,8 % der Webseitenbetreiber in Deutschland stellen bislang eine security.txt bereit. Das zeigen Messungen des Bundesamt für Sicherheit in der Informationstechnik (BSI) im Rahmen des Cyberdome-Projekts. Dabei sei der Aufwand gering, der Nutzen für die IT-Sicherheit eines Unternehmens jedoch erheblich: Die security.txt nach RFC 9116 gibt Sicherheitsforschenden, CERTs und anderen Meldenden einen eindeutig auffindbaren Kontakt, über den sie entdeckte Schwachstellen sicher übermitteln können. Fehlt dieser Kontakt, gehen Hinweise auf Sicherheitslücken häufig verzögert, an der falschen Stelle oder gar nicht ein.
CRA verschärft Anforderungen
Wer die security.txt bereitstellt, unterstützt laut BSI aktiv die Erhöhung der IT-Sicherheit. So entsteht dadurch im Cyberdome-Kontext ein partizipativer Prozess: Unternehmen stellen eine security.txt zur Verfügung, der Cyberdome scannt Webseiten und teilt Erkenntnisse direkt mit dem richtigen Kontakt, damit erkannte Mängel zeitnah behoben werden. Am Ende geht es darum, Deutschland als Cybernation resilienter zu machen.
Entsprechend stellt auch der Cyber Resilience Act (CRA) verbindliche Anforderungen an den Umgang mit Schwachstellen-Meldungen und wird ab Dezember 2027 vollständig verpflichtend. Zudem gelten bereits ab dem 11. September 2026 Meldepflichten für aktiv ausgenutzte Schwachstellen und schwere Sicherheitsvorfälle. Demnach lohnt sich die Umsetzung der security.txt ebenso, um frühzeitig auf regulatorische Entwicklungen zu reagieren, hießt es vom Bundesamt.
Niedrigschwellige IT-Sicherheitsmaßnahme
Die Umsetzung: Webseitenbetreiber müssen nur einen konkreten Kontakt sowie das Ablaufdatum verpflichtend angeben. Darüber hinaus muss die Datei über den Pfad /.well-known/security.txt erreichbar sein. Damit seien bereits die wichtigsten Kriterien zu Umsetzung der security.txt erfüllt. Sie zählt laut BSI somit zu den niedrigschwelligsten IT-Sicherheitsmaßnahmen überhaupt.
Das BSI und die Allianz für Cyber-Sicherheit rufen Webseitenbetreiber dazu auf, eine security.txt einzurichten, um damit einen einfachen, aber wirksamen Beitrag zur eigenen IT-Sicherheit zu leisten. Einen kompakten Überblick über Zweck, Nutzen und Umsetzung bietet hier der neue Flyer der Allianz für Cyber-Sicherheit.
