Wenn jemand eine Sicherheitslücke entdeckt, ist die technische Analyse oft nicht die schwierigste Frage. Häufiger fehlt ein klarer Weg für die Meldung. Genau dafür ist security.txt gedacht: Die Datei nennt eine bevorzugte Kontaktmöglichkeit und macht aus einem zufälligen Hinweis einen nachvollziehbaren Prozess.
Was ist security.txt?
security.txt ist eine standardisierte Textdatei für Sicherheitskontakte einer Website. Sie enthält keine Zugangsdaten und ist kein Programm. Stattdessen hilft sie Sicherheitsforschern, Administratoren und Nutzern dabei, eine gefundene Schwachstelle an die richtige Stelle zu melden.
Die Datei gehört nach /.well-known/security.txt und sollte über HTTPS erreichbar sein. Für Menschen ist sie leicht lesbar, für automatisierte Werkzeuge ebenso einfach auffindbar.
Welche Angaben gehören hinein?
- Contact: eine E-Mail-Adresse oder eine andere Kontaktmöglichkeit für Sicherheitsmeldungen
- Expires: ein Datum, bis zu dem die Angaben gültig sein sollen
- Preferred-Languages: Sprachen, in denen Meldungen angenommen werden
- Policy: ein Link zu Regeln oder Hinweisen für die verantwortungsvolle Meldung
- Acknowledgments: optional ein Hinweis auf eine Seite, auf der sich Meldungen anerkennen lassen
Nicht jedes Feld ist zwingend erforderlich. Entscheidend ist, dass der Kontakt erreichbar ist und die Angaben regelmäßig geprüft werden. Eine veraltete Adresse würde das Ziel der Datei verfehlen.
Warum ich die Datei auf meiner Website nutze
Ich habe mich bei meiner Website bewusst dafür entschieden, einen festen Weg für Sicherheitsmeldungen bereitzustellen. Das ist ein kleiner Baustein, aber ein sinnvoller: Wer auf ein Problem stößt, muss nicht erst ein Kontaktformular durchsuchen oder eine beliebige Adresse ausprobieren.
Für eine persönliche Website muss daraus kein aufwendiges Bug-Bounty-Programm werden. Eine erreichbare Adresse, ein kurzer Hinweis zum gewünschten Ablauf und eine realistische Erwartung an die Antwortzeit sind oft der bessere Anfang.
Was security.txt nicht leistet
Die Datei schützt eine Website nicht automatisch vor Angriffen. Sie scannt keine Systeme, ersetzt keine Updates und bestätigt auch nicht, dass eine Domain sicher ist. Sie verbessert lediglich den Kontaktweg, wenn jemand bereits eine mögliche Schwachstelle entdeckt hat.
Auch sensible Details gehören nicht unverschlüsselt in eine erste Nachricht. Bei größeren Projekten kann zusätzlich ein öffentlicher Verschlüsselungsschlüssel angegeben werden. Für den Anfang ist wichtiger, dass die Adresse funktioniert und Meldungen zuverlässig gelesen werden.
So lässt sich die Datei prüfen
Die Adresse lässt sich direkt im Browser aufrufen. Zusätzlich sollte man kontrollieren, ob die Datei mit dem Statuscode 200 ausgeliefert wird, als Textdatei erreichbar ist und nicht auf eine Login-Seite oder einen Fehler umleitet. Nach Änderungen an Hosting, Domain oder Kontaktadresse gehört diese Prüfung erneut auf die Liste.
Ich ordne security.txt in denselben Bereich ein wie DNSSEC, TLS und die E-Mail-Sicherheitsmechanismen SPF, DKIM und DMARC: Kein einzelner Punkt macht eine Website sicher, aber mehrere saubere Grundlagen ergeben ein deutlich besseres Gesamtbild. Dazu passt auch mein Domain-Sicherheitscheck.
Mein Fazit
security.txt ist klein, unkompliziert und nützlich. Die Datei verhindert keine Sicherheitslücken, sorgt aber dafür, dass ein wichtiger Hinweis nicht an der falschen Stelle landet. Für Websites, die verantwortungsvoll mit solchen Meldungen umgehen möchten, gehört sie deshalb zu den einfachen Maßnahmen mit echtem praktischen Nutzen.
Weiterführend: RFC 9116 – A File Format to Aid in Security Vulnerability Disclosure. Der Beitrag erklärt die Funktion der Datei allgemein und ersetzt keine individuelle Sicherheitsberatung.
