Anmelden

Security.txt

Security.txt ist ein standardisiertes Textformat (RFC 9116), das Sicherheitsforschern den Kontaktweg für die Meldung von Schwachstellen angibt. Die Datei wird unter /.well-known/security.txt abgelegt und enthält mindestens eine Kontaktadresse und ein Ablaufdatum. Einfach. Wirkungsvoll. In fünf Minuten eingerichtet.

Warum security.txt wichtig ist

Stellen Sie sich vor, ein Sicherheitsforscher findet eine Schwachstelle auf Ihrer Website. Er will sie Ihnen melden — bevor ein Angreifer sie ausnutzt. Aber an wen? Das Impressum zeigt die Geschäftsführung. Der Support antwortet mit Textbausteinen. Die info@-Adresse geht ins Nirwana.

Das ist keine hypothetische Situation. Sicherheitsforscher berichten regelmäßig, dass sie Schwachstellen nicht melden können, weil der richtige Ansprechpartner nicht auffindbar ist. Die Folge: Die Schwachstelle bleibt offen — oder wird öffentlich gemacht, bevor sie behoben ist.

Security.txt löst dieses Problem mit einer einzigen Datei: Ein standardisierter Ort, den jeder Sicherheitsforscher kennt, mit einer klaren Kontaktadresse und einem definierten Prozess.

Pflichtfelder nach RFC 9116

Optionale Felder

Beispiel: security.txt einrichten

Schritt 1: Erstellen Sie die Datei /.well-known/security.txt auf Ihrem Webserver:

# /.well-known/security.txt
Contact: mailto:security@example.de
Expires: 2027-01-01T00:00:00.000Z
Preferred-Languages: de, en
Canonical: https://example.de/.well-known/security.txt

Schritt 2: Stellen Sie sicher, dass die Datei über HTTPS erreichbar ist. Testen Sie: https://example.de/.well-known/security.txt

Schritt 3: Tragen Sie das Ablaufdatum in Ihren Kalender ein. Wenn die Datei abläuft, ist sie ungültig — Sicherheitsforscher werden sie ignorieren.

Wer setzt security.txt ein?

Die Liste ist beeindruckend: Google, Facebook, GitHub, das BSI, die Bundesregierung, die Europäische Kommission. Auch viele deutsche Unternehmen und Behörden setzen security.txt mittlerweile ein. Das BSI empfiehlt die Einrichtung ausdrücklich als Bestandteil einer professionellen Sicherheitskultur.

Häufige Fehler

Ist security.txt verpflichtend?

Nein — aber die Frage ist falsch gestellt.

Es gibt keine gesetzliche Pflicht. Aber DSGVO Art. 32 verlangt „geeignete technische und organisatorische Maßnahmen" zum Schutz personenbezogener Daten. Ein klarer Kontaktweg für Sicherheitsmeldungen ist eine organisatorische Maßnahme, die fast keinen Aufwand erfordert. Wenn eine Schwachstelle ungemeldet bleibt, weil kein Kontaktweg existiert, und dadurch Daten abfließen — dann war die fehlende security.txt im Nachhinein eine vermeidbare Lücke.

Verwandte Begriffe

Weiterführende Ratgeber:

Häufige Fragen zu Security.txt

Ist security.txt verpflichtend?

Nein, es gibt keine gesetzliche Pflicht. Das BSI empfiehlt die Einrichtung jedoch ausdrücklich. Für Websites, die personenbezogene Daten verarbeiten, ist security.txt ein Zeichen professioneller Sicherheitskultur — und eine organisatorische Maßnahme im Sinne von DSGVO Art. 32.

Wo genau muss die Datei liegen?

Nach RFC 9116 unter /.well-known/security.txt. Alternativ wird auch /security.txt im Wurzelverzeichnis akzeptiert. Die Datei muss über HTTPS erreichbar sein.

Wie oft muss ich die security.txt erneuern?

Das Expires-Feld bestimmt die Gültigkeit. Empfehlung: Ablaufdatum maximal 1 Jahr in die Zukunft setzen und rechtzeitig erneuern. Eine abgelaufene security.txt wird von Sicherheitsforschern ignoriert.