Das Bundesamt für Sicherheit in der Informationstechnik (BSI) hat eine bemerkenswert niedrige Adoption eines wichtigen Sicherheits-Standards dokumentiert. Die security.txt Datei, ein standardisiertes Format zur Kommunikation von Sicherheitskontakten und Meldewegen für Schwachstellen, wird von lediglich 1,8 Prozent der deutschen Webseiten bereitgestellt.
Security.txt ist eine kleine, aber entscheidende Datei, die unter der URL /.well-known/security.txt erreichbar sein sollte. Sie enthält Kontaktdaten für Sicherheitsforschern und Informationen zur Meldung von Schwachstellen. Dies ist insbesondere für Organisationen wichtig, die eine koordinierte Schwachstellen-Offenlegung praktizieren möchten.
Die Gründe für die schlechte Adoption sind vielfältig: Unkenntnis über den Standard, fehlende Prozesse zur Verwaltung von Sicherheitsmeldungen oder unterschätztes Risiko. Viele Organisationen verstehen nicht, dass externe Sicherheitsforscher ihnen tatsächlich helfen möchten, indem sie Lücken verantwortungsvoll melden statt öffentlich auszunutzen.
Für KMU ist security.txt dennoch relevant und relativ einfach zu implementieren. Die Datei bietet einen strukturierten Weg, Forschern mitzuteilen, wie sie Sicherheitsprobleme berichten sollten. Dies reduziert Chaos und stellt sicher, dass kritische Meldungen die richtigen Personen erreichen. Organisationen sollten in ihre security.txt Policy mindestens folgende Informationen aufnehmen: eine E-Mail-Adresse für Sicherheitsmeldungen, ein PGP-Schlüssel, eine URL mit weiteren Informationen und eine Deadline für Response. Die Implementation ist kostenlos und kann auf Webseiten, wo Inhalts-Management-Systeme zum Einsatz kommen, oft mit wenigen Handgriffen erfolgen.