Deutschland fordert Website-Betreiber zur Veröffentlichung von security.txt-Dateien auf

Die deutsche Bundesbehörde für Cybersicherheit fordert Unternehmen, öffentliche Einrichtungen und Website-Administratoren dazu auf, eine security.txt-Datei auf ihren Websites zu veröffentlichen.

Das Bundesamt für Sicherheit in der Informationstechnik, besser bekannt als BSI, erklärt, dass diese einfache Maßnahme die verantwortungsvolle Meldung von Sicherheitslücken erheblich beschleunigen kann. Dadurch erhalten Organisationen auch mehr Zeit zum Reagieren, bevor Angreifer dieselbe Schwachstelle entdecken und ausnutzen.

Trotz des geringen Aufwands bei der Implementierung stellen laut der Behörde derzeit nur 1,8 % der deutschen Website-Betreiber eine security.txt-Datei bereit.

Was eine security.txt-Datei bewirkt

Eine security.txt-Datei ist ein standardisiertes Dokument, das auf einem Webserver abgelegt wird. Sie gibt Sicherheitsforschern, Incident-Response-Teams und ethischen Hackern klare Anweisungen dazu, wie sie eine Sicherheitslücke melden können.

Forscher haben häufig Schwierigkeiten, nach der Entdeckung eines Sicherheitsproblems die richtige Person oder das zuständige Team zu finden. Sie müssen möglicherweise Unternehmenswebsites, Support-Portale und Social-Media-Konten durchsuchen, bevor sie eine geeignete Kontaktadresse finden.

Diese Verzögerung kann ein reales Risiko darstellen. Eine Schwachstelle kann ungemeldet oder ungelöst bleiben, während Cyberkriminelle nach Möglichkeiten suchen, sie auszunutzen.

Durch die Veröffentlichung einer speziellen Datei lässt sich ein Großteil dieser Unsicherheit beseitigen. Sie kann eine E-Mail-Adresse für Sicherheitskontakte, Richtlinien zur Meldung von Schwachstellen, Angaben zur Verschlüsselung und weitere relevante Informationen enthalten.

Ein einfacher Weg zur Meldung von Sicherheitslücken

Laut BSI müssen Betreiber zunächst lediglich Kontaktdaten und ein Ablaufdatum angeben. Die Datei muss unter folgendem Pfad verfügbar sein:

/.well-known/security.txt

Sobald sie eingerichtet ist, können Forscher schnell den bevorzugten Meldekanal der Organisation finden. Sicherheitsteams können das Problem anschließend untersuchen und schneller eine Lösung implementieren.

Dieser Ansatz hilft Unternehmen, Behörden und anderen Organisationen dabei, Meldungen strukturierter zu bearbeiten. Er unterstützt auch Computer Emergency Response Teams, sogenannte CERTs, wenn sie Kontakt zu einer betroffenen Organisation aufnehmen müssen.

Nach Angaben des BSI kann der geringe erforderliche Arbeitsaufwand erhebliche Sicherheitsvorteile bringen.

Deutschland will eine breitere Nutzung

Das BSI und die Alliance for Cybersecurity fordern Webmaster, Administratoren und Website-Betreiber in ganz Deutschland nun dazu auf, den Standard einzuführen.

Eine breitere Nutzung der security.txt-Datei könnte die nationale Cyberresilienz stärken, indem sie die Zeit zwischen der Entdeckung und Behebung einer Schwachstelle verkürzt. Sie könnte auch die verantwortungsvolle Offenlegung für Forscher erleichtern, die Sicherheitsprobleme auf sichere Weise melden möchten.

Einige EU-Länder verfolgen bereits einen strengeren Ansatz. In den Niederlanden müssen mehrere öffentliche Einrichtungen, darunter Gemeinden, Provinzen und Wasserverbände, security.txt verwenden. Anderen öffentlichen Institutionen wird empfohlen, dies ebenfalls zu tun.

Deutschland hat keine vergleichbare verpflichtende Regelung eingeführt. Der neue Aufruf des BSI signalisiert jedoch, dass die Behörde security.txt als praktische grundlegende Sicherheitsmaßnahme für Organisationen betrachtet, die Websites betreiben.