security.txt ist eine Datei, die die Weitergabe sicherheitsrelevanter Informationen betreffend einer Website an dessen Betreiber vereinfachen soll. Das Schema dieser Datei ist im Request for Comments (RFC) 9116 definiert und sieht unter anderem die Angabe relevanter Kontaktinformationen vor. Es handelt sich bei diesem RFC nicht um einen Internetstandard, der den Standardisierungsprozess der Internet Engineering Task Force durchlaufen hat. Vielmehr wird er der Kategorie „Informational“ zugeordnet.
Geschichte Mit dem Schema, das im April 2022 von der Internet Engineering Task Force veröffentlicht wurde, wird eine Datei namens „security.txt“ definiert, die (ähnlich der „robots.txt“) unter einer vorgeschriebenen Internetadresse hinterlegt wird und von Menschen wie Maschinen lesbar sein soll. Dadurch soll die Kontaktaufnahme mit dem Websitebetreiber im Fall ermittelter sicherheitsrelevanter Probleme vereinfacht werden.
security.txt-Dateien wurden beispielsweise bereits von Google, GitHub, LinkedIn und Facebook implementiert. Das Bundesamt für Cybersicherheit in der Schweiz empfiehlt den Unternehmen den Einsatz einer solchen Datei, da beim Entdecken von Schwachstellen häufig spezifische Kontaktangaben kaum auffindbar oder nicht publiziert seien. Es gebe zwar oft nur eine zentrale Telefonnummer oder eine allgemeine E-Mail-Adresse. Als Konsequenz müsse sich die meldende Person bis zur richtigen Ansprechperson durchfragen und das Problem mehrfach erklären, wodurch Zeit verloren gehe. Trotz der behördlichen Empfehlung wurden bei einer Auswertung von watson.ch im Jahr 2022 nur bei rund 40 der 1000 meist aufgesuchten Webadressen in der Schweiz eine solche Datei gefunden.
Implementierung security.txt-Dateien werden im Verzeichnis /.well-known/ (d. h. /.well-known/security.txt) oder im Stammverzeichnis (d. h. /security.txt) einer Website hinterlegt. Die Datei muss über HTTPS als reine Textdatei mit Internet Media Type text/plain vom Webserver zurückgegeben werden.
Die Angaben in der Datei stellen eine Schlüssel-Werte-Datenbank dar mit vorgegebenen und freiwilligen Angaben. Die Direktiven „Contact“ und „Expires“ sind verpflichtende minimale Angaben in einer security.txt-Datei (in der Tabelle mit ✓ gekennzeichnet). Zusätzlich können noch die Direktiven „Encryption“, „Acknowledgements“, „Preferred-Languages“, „Canonical“, „Policy“ und „Hiring“ hinzugefügt werden. +BedeutungBeispielwerte✓ContactKontaktmöglichkeit (zum Beispiel E-Mail, Telefon, Formular)mailto:[email protected]:+1-201-555-0123https://example.com/security-contact.html✓ExpiresGültigkeitsende der Angaben im ISO 8601-Format2025-12-30T23:00:00.000ZEncryptionAdresse oder Fingerabdruck zum Verschlüsselungsschlüsselhttps://example.com/pgp-key.txtopenpgp4fpr:5f2de5521c63a801ab59ccb603d49de44b29100fAcknowledgmentsAdresse mit Würdigungenhttps://example.com/hall-of-fame.htmlPreferred-LanguagesBevorzugte Sprachende, en, es, frCanonicalKanonische URL zur Dateihttps://example.com/.well-known/security.txtPolicyLink zu Sicherheitsrichtliniehttps://example.com/disclosure-policy.htmlHiringLink zu Stellenausschreibungenhttps://example.com/jobs.html Siehe auch robots.txt
Weblinks Website zum Request for Proposal. securitytxt.org Flyer zur security.txt der Allianz für Cyber-Sicherheit Bundesamt für Sicherheit in der Informationstechnik, 6. August 2026 https://de.wikipedia.org/.well-known/security.txt – Beispiel einer security.txt-Datei: deutschsprachige Wikipedia
Einzelnachweise
Kategorie:IT-Sicherheit Kategorie:World Wide Web Kategorie:Offenes Format Kategorie:IT-Standard