Ein unentdeckter Riss im Schaufenster, aber keine Klingel an der Tür: Was in der physischen Welt fahrlässig wäre, ist auf deutschen Webseiten Alltag. IT-Sicherheitsforscher und CERTs stoßen regelmäßig auf kritische Lücken, finden aber oft keine zuständigen Ansprechpartner. Hinweise versickern im allgemeinen Support oder Spam-Ordner, während wertvolle Zeit verstreicht. Wie alarmierend die Lage ist, zeigen neue Daten des Bundesamts für Sicherheit in der Informationstechnik (BSI).
Im Rahmen des neuen automatisierten Cyber-Schutzschirms hat das BSI systematische Messungen bei deutschen Webdomains durchgeführt, um die Erreichbarkeit für Sicherheitsmeldungen zu erheben. Demnach stellen nur 1,8 Prozent der untersuchten Webseitenbetreiber hierzulande die standardisierte Browserdatei security.txt bereit. Über 98 Prozent verzichten so auf eine etablierte Kontaktmöglichkeit für Cybersicherheitsvorfälle. Fehlt dieser direkte Draht, gehen entscheidende Hinweise auf offene Sicherheitslücken verzögert, an falscher Stelle oder gar nicht ein. Angreifer können derweil Schwachstellen ungestört ausnutzen.
Dabei existiert mit der security.txt nach RFC 9116 eine simple Lösung. Es handelt sich um eine einfache Textdatei, die im standardisierten Verzeichnis auf dem Webserver abgelegt wird. Unter dem Pfad /.well-known/security.txt deponieren Organisationen wichtige Kontaktinformationen wie eine E-Mail-Adresse oder ein Kontaktformular. Die Datei ergänzt bestehende Kommunikationskanäle auf der Website, statt sie zu ersetzen. Der Aufwand ist denkbar gering: Pflichtangaben sind allein ein konkreter Kontakt sowie ein Ablaufdatum. Optional kann auf Verschlüsselungsoptionen wie PGP oder Sicherheitsrichtlinien verwiesen werden. Wer die Datei bereitstellt, signalisiert, IT-Sicherheit ernst zu nehmen.
