Ein unentdeckter Riss im Schaufenster, aber keine Klingel an der Tür: Was in der physischen Welt fahrlässig wäre, ist auf deutschen Webseiten Alltag. IT-Sicherheitsforscher und CERTs stoßen regelmäßig auf kritische Lücken, finden aber oft keine zuständigen Ansprechpartner. Hinweise versickern im allgemeinen Support oder Spam-Ordner, während wertvolle Zeit verstreicht. Wie alarmierend die Lage ist, zeigen neue Daten des Bundesamts für Sicherheit in der Informationstechnik (BSI).

Im Rahmen des neuen automatisierten Cyber-Schutzschirms hat das BSI systematische Messungen bei deutschen Webdomains durchgeführt, um die Erreichbarkeit für Sicherheitsmeldungen zu erheben. Demnach stellen nur 1,8 Prozent der untersuchten Webseitenbetreiber hierzulande die standardisierte Browserdatei security.txt bereit. Über 98 Prozent verzichten so auf eine etablierte Kontaktmöglichkeit für Cybersicherheitsvorfälle. Fehlt dieser direkte Draht, gehen entscheidende Hinweise auf offene Sicherheitslücken verzögert, an falscher Stelle oder gar nicht ein. Angreifer können derweil Schwachstellen ungestört ausnutzen.

Dabei existiert mit der security.txt nach RFC 9116 eine simple Lösung. Es handelt sich um eine einfache Textdatei, die im standardisierten Verzeichnis auf dem Webserver abgelegt wird. Unter dem Pfad /.well-known/security.txt deponieren Organisationen wichtige Kontaktinformationen wie eine E-Mail-Adresse oder ein Kontaktformular. Die Datei ergänzt bestehende Kommunikationskanäle auf der Website, statt sie zu ersetzen. Der Aufwand ist denkbar gering: Pflichtangaben sind allein ein konkreter Kontakt sowie ein Ablaufdatum. Optional kann auf Verschlüsselungsoptionen wie PGP oder Sicherheitsrichtlinien verwiesen werden. Wer die Datei bereitstellt, signalisiert, IT-Sicherheit ernst zu nehmen.

„Cyber Resilience Act“ fordert bald mehr

Das BSI verfolgt mit der Initiative einen partizipativen Ansatz für die nationale IT-Sicherheit. Wenn Unternehmen flächendeckend eine security.txt implementieren, könnten im Rahmen des Cyberschutzraums Webseiten gescannt und erkannte Mängel direkt an den richtigen Ansprechpartner übermittelt werden. Am Ende dürfte davon die gesamte digitale Infrastruktur profitieren, wirbt das BSI für den Ansatz, da Deutschland als Cybernation resilienter werde.

Wer bisher auf eine solche Kontaktmöglichkeit verzichtete, wird sich aber auch im Rahmen des Cyber Resilience Act (CRA) bald bewegen müssen. Ab Dezember 2027 greifen demnach neue Anforderungen an Administratoren für das Melden von Schwachstellen. Für aktiv ausgenutzte Schwachstellen gelten bereits ab dem 11. September 2026 strikte Meldepflichten.

(kbe)