Deutschland fordert Admins auf, security.txt auf Websites zu hinterlegen
Security.txt würde die verantwortungsvolle Meldung von Sicherheitslücken fördern und die Cyberresilienz Deutschlands verbessern.
By Shutterstock
- Deutschlands Cybersicherheitsbehörde fordert Websitebetreiber auf, security.txt-Dateien zu veröffentlichen, um die Meldung von Schwachstellen zu verbessern.
- Security.txt liefert Sicherheitsforschern und Incident-Response-Teams klare Kontaktdaten und hilft Unternehmen so, Sicherheitslücken schneller zu beheben.
- Nur 1,8 % der deutschen Website-Betreiber nutzen derzeit security.txt, obwohl das BSI die Umsetzung als einfach und wenig aufwendig bezeichnet.
- Laut BSI würde eine breitere Nutzung die Cyberresilienz stärken und den Angreifern weniger Zeit lassen, Schwachstellen auszunutzen.
Das Wichtigste in Kürze von nexos.ai, geprüft von der Cybernews-Redaktion.
Das Bundesamt für Sicherheit in der Informationstechnik (BSI), die deutsche Cybersicherheitsbehörde, fordert Unternehmen und Organisationen dazu auf, eine security.txt-Datei auf ihrer Website zu veröffentlichen.
Bei security.txt handelt es sich um eine standardisierte Textdatei, die Unternehmen und Organisationen auf ihren Webservern hinterlegen können. Ursprünglich wurde das Format von ethischen Hackern entwickelt, die eine Schwachstelle entdeckt hatten und diese der betroffenen Organisation melden wollten.
Die Suche nach dem richtigen Ansprechpartner erwies sich dabei oft als zeitraubend. Dadurch ging wertvolle Zeit verloren, die Angreifern, Hackern und Cyberkriminellen mehr Möglichkeiten gab, die neu entdeckte Schwachstelle auszunutzen.
Eine security.txt-Datei, die alle relevanten Informationen zur Meldung eines Fehlers oder einer Schwachstelle enthält, könnte die Suche nach den richtigen Kontaktdaten deutlich verkürzen. Zudem würde sie Entwicklerinnen und Entwicklern enorm dabei helfen, schnell zu reagieren und die Sicherheitslücke zu schließen.
Das senkt nicht nur die Wahrscheinlichkeit, dass Nutzer dem Exploit zum Opfer fallen, sondern stärkt auch die digitale Resilienz eines Unternehmens oder einer Organisation. Darüber hinaus bietet es Sicherheitsforschern, Computer Emergency Response Teams (CERTs) und anderen meldenden Stellen die passenden Mittel, um ein Unternehmen bei einer entdeckten Schwachstelle zu kontaktieren.
Es gibt viele gute Gründe für Unternehmen und Organisationen, eine security.txt-Datei auf ihren Servern zu hinterlegen. Laut BSI stellen jedoch aktuell nur 1,8 % der Website-Betreiber und -Inhaber in Deutschland eine security.txt-Datei bereit.
„Dabei ist der Aufwand gering, der Nutzen für die IT-Sicherheit eines Unternehmens jedoch erheblich.“Erklärt das BSI in einer Pressemitteilung.
Websitebetreiber müssen lediglich die Kontaktdaten einer bestimmten Person sowie ein Ablaufdatum angeben. Zudem muss die Datei über den Pfad /.well-known/security.txt erreichbar sein.
„Die Umsetzung selbst ist denkbar einfach“, versichert das BSI.
Die Behörde und die Allianz für Cyber-Sicherheit rufen Webmaster, Administratoren und Website-Inhaber dazu auf, eine security.txt-Datei auf ihren Websites zu veröffentlichen.
In einigen EU-Mitgliedstaaten, etwa den Niederlanden, sind staatliche Stellen wie Gemeinden, Provinzen, Wasserversorgungsunternehmen und Exekutivbehörden bereits dazu verpflichtet, eine security.txt zu hinterlegen.
Anderen öffentlichen Einrichtungen wird empfohlen, den Sicherheitsstandard umzusetzen.
