Meldestelle für Sicherheitslücken (security.txt)

Was wir prüfen

Wir rufen https://beispiel.ch/.well-known/security.txt auf, ersatzweise /security.txt. Die Datei ist in RFC 9116 standardisiert und nennt, wie man dem Betreiber der Website eine Sicherheitslücke meldet.

• Vorhanden? Fehlt sie, geben wir einen Hinweis. Antwortet der Server mit einer normalen HTML-Seite statt mit der Datei, gilt sie ebenfalls als fehlend.
• Contact: Die Kontaktangabe ist Pflicht. Ohne sie ist die Datei wirkungslos. Sie soll eine Adresse mit Schema sein, also mailto:, https:// oder tel:.
• Expires: Das Ablaufdatum ist Pflicht. Fehlt es, ist es unlesbar oder liegt es in der Vergangenheit, warnen wir.
• Ort und Transport: Liegt die Datei nur am alten Ort /security.txt oder wird sie nur über HTTP ausgeliefert, geben wir einen Hinweis.

Im Bericht siehst Du die Kontakte und das Ablaufdatum.

Warum das wichtig ist

Sicherheitslücken werden oft von Aussenstehenden entdeckt: von Forschenden, die systematisch Websites prüfen, von Fachleuten eines Kunden oder von jemandem, der zufällig etwas bemerkt. Diese Menschen wollen den Betreiber meist warnen. Finden sie keine Anlaufstelle, schreiben sie an eine Adresse, die niemand liest, oder lassen es bleiben. Die Lücke bleibt offen.

Die security.txt löst das mit einer kleinen Textdatei an einem festen Ort. Werkzeuge und Forschende schauen dort zuerst nach. Behörden wie das Bundesamt für Cybersicherheit (BACS) und viele Unternehmen setzen sie ein, und öffentliche Ausschreibungen verlangen sie zunehmend.

Das Ablaufdatum sorgt dafür, dass die Angaben gepflegt werden. Eine abgelaufene Datei signalisiert das Gegenteil von dem, was sie soll.

So behebst Du es

Leg eine Textdatei mit diesem Inhalt unter /.well-known/security.txt ab:

Contact: mailto:security@beispiel.ch
Expires: 2027-10-31T00:00:00.000Z
Preferred-Languages: de, en
Canonical: https://www.beispiel.ch/.well-known/security.txt

• Contact: Mindestens eine Adresse, die zuverlässig gelesen wird. Mehrere Zeilen sind erlaubt, die wichtigste zuerst.
• Expires: Datum und Uhrzeit im gezeigten Format, höchstens ein Jahr voraus. Trag Dir eine Erinnerung ein, um es zu verlängern.
• Preferred-Languages: Die Sprachen, in denen Meldungen entgegengenommen werden.
• Canonical: Die vollständige Adresse der Datei, damit Kopien an anderen Orten erkannt werden.

Der Ordner .well-known liegt im Hauptverzeichnis der Website. Auf securitytxt.org gibt es einen Generator, der die Datei erstellt.

WordPress

Leg die Datei per FTP oder Dateimanager des Hosters im Ordner .well-known ab. Alternativ gibt es Plugins wie «Security.txt», die die Datei aus den Einstellungen heraus ausliefern.

Wix, Jimdo, Squarespace

Die Baukästen erlauben meist keine eigenen Dateien an diesem Ort. Prüfe, ob der Anbieter eine Einstellung dafür hat, oder weiche auf eine Seite «Sicherheit» mit der Kontaktadresse aus.

So prüfst Du es selbst

Ruf https://beispiel.ch/.well-known/security.txt im Browser auf. Du solltest den reinen Text der Datei sehen, keine Fehlerseite und keine normale Seite der Website.

Häufige Fragen

Lädt eine security.txt nicht erst Angreifer ein?

Nein. Wer angreifen will, braucht keine Einladung. Die Datei erreicht die anderen: Forschende und Fachleute, die eine Lücke zufällig finden und sie melden möchten, statt sie zu ignorieren.

Wie stark zählt die security.txt in der Note?

Wenig, höchstens 2 von 100 Punkten im Bereich Sicherheit. Sie ist ein Zeichen für einen sorgfältigen Umgang mit Sicherheit, den viele kleinere Websites noch nicht zeigen.

Welche E-Mail-Adresse gehört hinein?

Eine, die zuverlässig gelesen wird, etwa die allgemeine Firmenadresse oder die der IT-Betreuung. Eine eigene Adresse wie security@ ist üblich, aber kein Muss.