Sicherheit: BSI warnt – nur 1,8% der deutschen Webseiten mit security.txt
Veröffentlicht am: 06.08.2026 um 19:30 Uhr | Redaktion boerse-global.de
Das Bundesamt für Sicherheit in der Informationstechnik (BSI) hat auf eine signifikante Schwachstelle in der deutschen Web-Infrastruktur hingewiesen. Wie aus einer aktuellen Untersuchung der Behörde vom 6. August 2026 hervorgeht, ist die Verbreitung von standardisierten Kontaktinformationen für Sicherheitsfragen auf deutschen Webseiten bisher minimal. Lediglich 1,8 Prozent der untersuchten Präsenzen stellen demnach eine sogenannte „security.txt“-Datei bereit, um IT-Sicherheitsexperten und Forschern die Meldung von Schwachstellen zu erleichtern.
Fehlende Kommunikationsstandards bei Sicherheitsrisiken
Laut den Analysen des BSI verfügen über 98 Prozent der deutschen Webseiten über keine standardisierte Kontaktmöglichkeit, über die Cybersicherheitsvorfälle oder entdeckte Sicherheitslücken direkt an die zuständigen Stellen gemeldet werden könnten. Ohne eine solche hinterlegte Information stehen Sicherheitsforscher oft vor der Herausforderung, im Falle einer entdeckten Bedrohung keinen direkten Ansprechpartner im Unternehmen identifizieren zu können. Dies verzögere notwendige Reaktionszeiten und erhöhe das Risiko für erfolgreiche Cyberangriffe.
Die Studie belege die geringe Verbreitung dieses Standards im nationalen Vergleich. Vor diesem Hintergrund hat das BSI die Betreiber von Webseiten dazu aufgerufen, die Implementierung der „security.txt“ umgehend vorzunehmen. Bei diesem Format handelt es sich um eine einfache Textdatei, die unter einem definierten Pfad auf dem Webserver abgelegt wird und Informationen wie E-Mail-Adressen, Verschlüsselungs-Keys oder Richtlinien für die Meldung von Fehlern enthält.
Internationaler Vergleich und europäische Regulierung
Im internationalen Vergleich schneidet Deutschland bei der Einführung dieses Sicherheitsstandards deutlich schlechter ab als Nachbarstaaten. Daten von SIDN Labs zeigen beispielsweise, dass in den Niederlanden bereits 14 Prozent der Webseiten mit der Endung „.nl“ eine solche Sicherheitsdatei integriert haben. Damit liegt die Adoptionsrate dort fast achtmal höher als im deutschen Webraum.
Wer sich mit der Absicherung der digitalen Infrastruktur befasst, muss heute auch die rechtlichen Rahmenbedingungen für neue Technologien im Blick behalten. Dieser kostenlose Ratgeber bietet einen kompakten Überblick über die kommenden Anforderungen und Fristen der EU-KI-Verordnung. EU AI Act in 5 Schritten verstehen
Die Forderung nach einer verbesserten Erreichbarkeit und transparenten Meldewegen steht im engen Zusammenhang mit neuen regulatorischen Anforderungen auf europäischer Ebene. Insbesondere der Cyber Resilience Act (CRA) der Europäischen Union sieht verschärfte Pflichten für die Sicherheit digitaler Produkte und Dienste vor. Die Standardisierung von Kontaktmöglichkeiten wird hierbei als ein wesentlicher Baustein betrachtet, um die Resilienz der digitalen Wirtschaft zu stärken.
Kommende Fristen für Unternehmen
Für Unternehmen und Webseitenbetreiber ergeben sich aus der aktuellen Gesetzeslage konkrete Zeitpläne. Bereits ab dem 11. September 2026 greift eine neue Meldepflicht für aktiv ausgenutzte Schwachstellen. Diese Verpflichtung zwingt Anbieter dazu, bekannte Sicherheitslücken, die bereits für Angriffe genutzt werden, zeitnah an die zuständigen Behörden zu kommunizieren.
Da immer mehr Unternehmen zur Zielgruppe von Cyberangriffen werden, ist ein proaktiver Schutz der gesamten IT-Landschaft unumgänglich. Erfahren Sie im kostenlosen E-Book, wie Sie Sicherheitslücken effektiv schließen und gleichzeitig neue gesetzliche Anforderungen erfüllen. Gratis-Ratgeber zur IT-Sicherheit herunterladen
Weitere Anforderungen des Cyber Resilience Act treten schrittweise in Kraft. Ab Dezember 2027 werden neue CRA-Anforderungen verbindlich, die voraussichtlich auch technische Vorgaben zur Erreichbarkeit und zum Schwachstellenmanagement umfassen. Experten werten die Implementierung der „security.txt“ als eine vergleichsweise einfache, aber effektive Maßnahme, um sich frühzeitig auf diese strengeren Compliance-Vorgaben vorzubereiten und die allgemeine Sicherheit der deutschen IT-Landschaft zu verbessern.
