BSI ruft Unternehmen zur Bereitstellung von security.txt auf

Die Datei security.txt ist ein einfaches, aber wirkungsvolles Werkzeug, um die Meldung von Sicherheitslücken bei Webanwendungen zu erleichtern. Die Datei gibt klare Anweisungen, wie und an wen solche Sicherheitslücken gemeldet werden können. Der Aufwand ist gering, der Nutzen jedoch groß.

security.txt ist eine standardisierte Textdatei (RFC 9116 – Request For Comments), die unter .well-known/security.txt abgelegt wird. Sie dient als zentrale Anlaufstelle für Sicherheitsforscher, die Schwachstellen in einer Webanwendung oder einem System entdecken.

Laut Bundesamt für Sicherheit und Informationstechnik (BSI) nutzen lediglich 1,8 Prozent aller deutschen Webseitenbetreiber diese einfache Möglichkeit, über Sicherheitslücken zu informieren (Quelle: BSI, August 2026). Die Bereitstellung dieser Daten wird jedoch jetzt noch wichtiger: Ab dem 11. September 2026 gelten die ersten strengen Vorgaben des Cyber Resilience Act (CRA) der EU. Artikel 14 des CRA verpflichtet Software-Hersteller, aktiv ausgenutzte Sicherheitslücken und schwere Sicherheitsvorfälle innerhalb von 24 Stunden zu melden, sobald sie davon erfahren. Ab Dezember 2027 gilt der CRA dann vollständig. Die Frist knüpft explizit an das Bekanntwerden an – ohne Kenntnis entsteht keine Pflichtverletzung.

Das bedeutet: Wer Software herstellt oder eigene Software-Produkte vertreibt, muss zwingend reagieren können – dafür muss die Information aber erst einmal ankommen. Genau hier hilft die security.txt: Sie sorgt dafür, dass Hinweise direkt beim richtigen Ansprechpartner landen.

Wichtig zur Abgrenzung: Diese rechtliche CRA-Meldepflicht gilt für die Hersteller von Software, nicht für den reinen Anwender oder Betreiber einer normalen Website. Dennoch ist eine security.txt auch für Webseiten-Betreiber sinnvoll: Eine funktionierende security.txt stellt sicher, dass Warnungen über einen stillen, kontrollierten Kanal eintreffen – bevor ein Problem öffentlich diskutiert wird oder ein Schaden entsteht.

Auch das BSI setzt auf diesen Standard und beschreibt das Ziel als einen partizipativen Prozess: Im Rahmen des derzeit in Arbeit befindlichen Cyberdome-Projekts scannt das BSI Webseiten und gibt gefundene Mängel direkt an den hinterlegten Kontakt weiter – mit dem erklärten Ziel, Deutschland als „Cybernation“ resilienter zu machen (Quelle: BSI, August 2026).

Fazit: Die security.txt schafft mit wenig Aufwand einen verlässlichen Meldeweg – und wird durch den CRA von einer freiwilligen Geste zu einem praktischen Baustein der Compliance für Entwickler und Betreiber.

Dieser Artikel hat keinen Anspruch auf Vollständigkeit und keine juristische Relevanz.

Firmenkontakt und Herausgeber der Meldung:

Zentralverband Oberflächentechnik e.V.
Giesenheide 15
40724 Hilden
Telefon: +49 (2103) 2556-21
http://www.zvo.org

Ansprechpartner:

Birgit Spickermann
PR
Telefon: +49 (2103) 255621
E-Mail: b.spickermann@zvo.org

Weiterführende Links

Für die oben stehende Story ist allein der jeweils angegebene Herausgeber (siehe Firmenkontakt oben) verantwortlich. Dieser ist in der Regel auch Urheber des Pressetextes, sowie der angehängten Bild-, Ton-, Video-, Medien- und Informationsmaterialien. Die United News Network GmbH übernimmt keine Haftung für die Korrektheit oder Vollständigkeit der dargestellten Meldung. Auch bei Übertragungsfehlern oder anderen Störungen haftet sie nur im Fall von Vorsatz oder grober Fahrlässigkeit. Die Nutzung von hier archivierten Informationen zur Eigeninformation und redaktionellen Weiterverarbeitung ist in der Regel kostenfrei. Bitte klären Sie vor einer Weiterverwendung urheberrechtliche Fragen mit dem angegebenen Herausgeber. Eine systematische Speicherung dieser Daten sowie die Verwendung auch von Teilen dieses Datenbankwerks sind nur mit schriftlicher Genehmigung durch die United News Network GmbH gestattet.