Das Bundesamt für Sicherheit in der Informationstechnik (BSI) hat alarmierende Zahlen zur Adoption des security.txt-Standards in Deutschland veröffentlicht. Nur etwa 1,8 Prozent der deutschen Websites implementieren diese standardisierte Methode, um eine zentrale Kontaktstelle für Sicherheitsmitteilungen anzubieten.
Security.txt ist ein technischer Standard, der es Sicherheitsforschern und ethischen Hackern erleichtert, Sicherheitslücken auf verantwortungsvolle Weise an Website-Betreiber zu melden. Die Datei wird unter der standardisierten Adresse «/.well-known/security.txt» abgelegt und enthält Kontaktinformationen, häufig eine E-Mail-Adresse oder eine URL zu einem Bug-Bounty-Programm, sowie weitere Sicherheitsinformationen.
Ohne eine solche zentrale Kontaktstelle verlaufen Sicherheitsmeldungen oft ins Leere oder über umständliche Wege. Dies führt dazu, dass entdeckte Sicherheitslücken länger unbehandelt bleiben und möglicherweise von Cyberkriminellen ausgenutzt werden, bevor das betroffene Unternehmen überhaupt von der Anfälligkeit erfährt. Gerade in kritischen Infrastrukturen und bei Website-Betreibern mit hohem Schutzbedarf ist ein klarer Meldeweg essentiell.
Das BSI weist darauf hin, dass kommende Regulierungen wie die NIS2-Richtlinie und nationale Cybersicherheitsgesetze solche standardisierten Meldeprozesse zunehmend verpflichtend machen werden. Unternehmen, die jetzt schon security.txt implementieren, erfüllen nicht nur bewährte Best Practices, sondern positionieren sich auch proaktiv für kommende gesetzliche Anforderungen.
Für KMU-Kunden bedeutet dies: Die Implementierung von security.txt ist ein einfacher, aber wirkungsvoller Schritt zur Verbesserung der Cybersicherheit und zur Einhaltung zukünftiger Compliance-Anforderungen. Es braucht nur wenige Zeilen Konfiguration und zeigt nach aussen ein ernsthaftes Engagement für IT-Sicherheit.