Anfang August wies das BSI auf ein allgemein noch zu selten genutztes Sicherheits-Feature hin: Eine kleine Text-Datei, mit der Webseiten einen Kontakt bereitstellen, über die „Sicherheitsforschende, CERTs und anderen Meldende“, also wohlmeinende Menschen, entdeckte oder vermutete Sicherheitslücken komfortabel melden können, optional abgesichert durch eine hinterlegte Verschlüsselung nach PGP:
»Nur 1,8 Prozent der Webseitenbetreiber in Deutschland stellen bislang eine security.txt bereit. Das zeigen Messungen des Bundesamt für Sicherheit in der Informationstechnik (BSI) im Rahmen des Cyberdome-Projekts. Dabei ist der Aufwand gering, der Nutzen für die IT-Sicherheit eines Unternehmens jedoch erheblich: Die security.txt nach RFC 9116 gibt Sicherheitsforschenden, CERTs und anderen Meldenden einen eindeutig auffindbaren Kontakt, über den sie entdeckte Schwachstellen sicher übermitteln können. Fehlt dieser Kontakt, gehen Hinweise auf Sicherheitslücken häufig verzögert, an der falschen Stelle oder gar nicht ein. (…) Unternehmen stellen eine security.txt zur Verfügung, der Cyberdome scannt Webseiten und teilt Erkenntnisse direkt mit dem richtigen Kontakt, damit erkannte Mängel zeitnah behoben werden.«
Wir finden, Sicherheits-Berater.de sollte bei solchen Themen eine gewisse Vorbildfunktion haben, darum wurde das Feature hier zeitnah eingebaut:
Der Aufwand für die Bereitstellung ist wirklich überschaubar, bei nennenswertem potenziellen Nutzen. Sicherheitsverantwortliche sollten vielleicht das Gespräch mit dem CI(S)O oder Web-Administrator ihrer Organisation darüber suchen, inwieweit dieser sinnvolle Teil des Schwachstellen-Managements bereits realisiert oder geplant wurde.
Flyer zur security.txt nach RFC 9116 (kostenloser Download)