{
    "slug": "coordinated-vulnerability-disclosure-security-txt",
    "titre": "security.txt nach RFC 9116 und Coordinated Vulnerability Disclosure – Pflichtangaben, Fundort und rechtlicher Rahmen",
    "domaine": "datenschutz",
    "statut_juridique": "in_force",
    "niveau_autorite": "A",
    "description": "Eine security.txt ist eine reine Textdatei, die den Sicherheitskontakt einer Organisation maschinenlesbar hinterlegt. Nach RFC 9116 muss sie bei webbasierten…",
    "resume_court": "Eine **security.txt** ist eine reine Textdatei, die den Sicherheitskontakt einer Organisation maschinenlesbar hinterlegt. Nach **RFC 9116** muss sie bei webbasierten Diensten unter dem Pfad **`/.well-known/security.txt`** liegen (RFC 9116, Abschnitt 3), und genau **zwei Felder sind zwingend**: `Contact` (RFC 9116, Abschnitt 2.5.3) und `Expires` (RFC 9116, Abschnitt 2.5.5). Für gewöhnliche Webseitenbetreiber in Deutschland besteht **keine gesetzliche Pflicht**, eine security.txt bereitzustellen – BSI und Allianz für Cyber-Sicherheit **empfehlen** sie; nach BSI-Messungen im Cyberdome-Projekt stellen bislang nur **1,8 Prozent** der Webseitenbetreiber in Deutschland eine security.txt bereit (BSI-Pressemitteilung vom 06.08.2026). Gesetzlich verankert ist dagegen der Rahmen der koordinierten Schwachstellenoffenlegung: Nach **§ 5 Absatz 1 Satz 2 BSIG** ist das Bundesamt für Sicherheit in der Informationstechnik „der nationale Koordinator für die Zwecke einer koordinierten Offenlegung von Schwachstellen nach Artikel 12 Absatz 1 der NIS-2-Richtlinie\u0022. Für **Hersteller von Produkten mit digitalen Elementen** verlangt die Technische Richtlinie **BSI TR-03183-3** eine security.txt nach RFC 9116 („MUST\u0022, Abschnitt 4.2); die Richtlinie selbst begründet allerdings keine Rechtspflicht – verbindlich sind die Anforderungen des Cyber Resilience Act.",
    "faits": [
        {
            "point": "Technische Spezifikation",
            "valeur": "RFC 9116, „A File Format to Aid in Security Vulnerability Disclosure\u0022 [RFC Editor, RFC 9116]",
            "autorite": "A"
        },
        {
            "point": "Vorgeschriebener Ablageort",
            "valeur": "/.well-known/security.txt – „organizations MUST place the ‚security.txt\u0027 file under the ‚/.well-known/\u0027 path\u0022 [RFC 9116, Abschn. 3]",
            "autorite": "A"
        },
        {
            "point": "Übertragung",
            "valeur": "Abruf zwingend über das Schema https, HTTP 1.0 oder höher, Content-Type: text/plain mit Charset utf-8 [RFC 9116, Abschn. 3]",
            "autorite": "A"
        },
        {
            "point": "Pflichtfeld 1",
            "valeur": "Contact – „This field MUST always be present in a ‚security.txt\u0027 file\u0022; als URI, also z. B. mailto:, tel: oder https:// [RFC 9116, Abschn. 2.5.3]",
            "autorite": "A"
        },
        {
            "point": "Pflichtfeld 2",
            "valeur": "Expires – „This field MUST always be present and MUST NOT appear more than once\u0022; Format nach RFC 3339, empfohlen weniger als ein Jahr in der Zukunft [RFC 9116, Abschn. 2.5.5]",
            "autorite": "A"
        },
        {
            "point": "Optionale Kernfelder",
            "valeur": "Policy (Link zur Vulnerability-Disclosure-Richtlinie), Encryption, Acknowledgments, Preferred-Languages, Canonical, Hiring [RFC 9116, Abschn. 2.5.1–2.5.8]",
            "autorite": "A"
        },
        {
            "point": "Reihenfolge mehrerer Kontakte",
            "valeur": "mehrere Contact-Zeilen „SHOULD be listed in order of preference\u0022; der erste Eintrag ist der bevorzugte Kontaktweg [RFC 9116, Abschn. 2.5.3]",
            "autorite": "A"
        },
        {
            "point": "Pflicht für Webseitenbetreiber allgemein",
            "valeur": "keine gesetzliche Pflicht in Deutschland; BSI und Allianz für Cyber-Sicherheit sprechen einen Aufruf aus [BSI-PM vom 06.08.2026]",
            "autorite": "A"
        },
        {
            "point": "Verbreitung in Deutschland",
            "valeur": "1,8 Prozent der Webseitenbetreiber stellen eine security.txt bereit (Messungen des BSI im Cyberdome-Projekt) [BSI-PM vom 06.08.2026]",
            "autorite": "A"
        },
        {
            "point": "Mindestumsetzung laut BSI",
            "valeur": "„Webseitenbetreiber müssen nur einen konkreten Kontakt sowie das Ablaufdatum verpflichtend angeben. Darüber hinaus muss die Datei über den Pfad /.well-known/security.txt erreichbar sein.\u0022 [BSI-PM vom 06.08.2026]",
            "autorite": "A"
        },
        {
            "point": "Nationaler CVD-Koordinator",
            "valeur": "das BSI; „Das Bundesamt ist dabei der nationale Koordinator für die Zwecke einer koordinierten Offenlegung von Schwachstellen nach Artikel 12 Absatz 1 der NIS-2-Richtlinie\u0022 [§ 5 Abs. 1 Satz 2 BSIG]",
            "autorite": "A"
        },
        {
            "point": "Gesetzliche Grundlage der Meldestelle",
            "valeur": "§ 5 BSIG (Allgemeine Meldestelle für die Sicherheit in der Informationstechnik), BSIG vom 02.12.2025, in Kraft seit 06.12.2025 [BGBl. 2025 I Nr. 301; gesetze-im-internet.de]",
            "autorite": "A"
        },
        {
            "point": "Anonyme Meldung möglich",
            "valeur": "ja – „Die Meldungen können anonym erfolgen.\u0022 [§ 5 Abs. 2 Satz 3 BSIG]",
            "autorite": "A"
        },
        {
            "point": "Weitergabe an den Hersteller",
            "valeur": "das BSI gibt gemeldete Schwachstellen unverzüglich an den verantwortlichen Hersteller oder Produktverantwortlichen weiter, sofern sie nicht bereits öffentlich bekannt sind [§ 5 Abs. 3 Satz 1 BSIG]",
            "autorite": "A"
        },
        {
            "point": "Angekündigte Verfahrensbeschreibung",
            "valeur": "„Das Bundesamt veröffentlicht am 6. Dezember 2026 eine Verfahrensbeschreibung zur Durchführung der Absätze 1 bis 3.\u0022 [§ 5 Abs. 6 BSIG]",
            "autorite": "A"
        },
        {
            "point": "Erwartete Reaktionszeit des Herstellers",
            "valeur": "Eingangsbestätigung innerhalb von drei Werktagen nach dem ersten Kontaktversuch des BSI [BSI, CVD-Leitlinie v1.0, Abschn. 3.3]",
            "autorite": "A"
        },
        {
            "point": "Frist zur Schließung der Schwachstelle",
            "valeur": "„international üblich\u0022 45 bis 90 Tage, in Absprache mit den Sicherheitsforschenden; abweichbar je nach Kritikalität und Komplexität [BSI, CVD-Leitlinie v1.0, Abschn. 3.3]",
            "autorite": "A"
        },
        {
            "point": "Pflicht zur security.txt für Hersteller",
            "valeur": "„a security.txt in accordance with RFC 9116 MUST be created and made available on the manufacturer\u0027s website\u0022 [BSI TR-03183-3 v1.0.0, Abschn. 4.2]",
            "autorite": "A"
        },
        {
            "point": "Prüfrhythmus laut TR-03183-3",
            "valeur": "Hersteller MÜSSEN die Angaben in der security.txt mindestens vierteljährlich prüfen und korrigieren [BSI TR-03183-3 v1.0.0, Abschn. 4.2.9 c]",
            "autorite": "A"
        },
        {
            "point": "CVD-Richtlinie: Überprüfung",
            "valeur": "Hersteller MÜSSEN ihre CVD-Policy mindestens jährlich auf Aktualität prüfen [BSI TR-03183-3 v1.0.0, Abschn. 4.4.1 c]",
            "autorite": "A"
        }
    ],
    "sources": [],
    "faq": [
        {
            "question": "Was regelt security.txt nach RFC 9116 und Coordinated Vulnerability Disclosure – Pflichtangaben, Fundort und rechtlicher Rahmen?",
            "reponse": "Eine security.txt ist eine reine Textdatei, die den Sicherheitskontakt einer Organisation maschinenlesbar hinterlegt. Nach RFC 9116 muss sie bei webbasierten Diensten unter dem Pfad `/.well-known/security.txt` liegen (RFC 9116, Abschnitt 3), und genau zwei Felder sind zwingend: `Contact` (RFC 9116, Abschnitt 2.5.3) und `Expires` (RFC 9116, Abschnitt 2.5.5)."
        },
        {
            "question": "Für wen gilt security.txt nach RFC 9116 und Coordinated Vulnerability Disclosure?",
            "reponse": "Zu unterscheiden sind drei Ebenen: 1. Webseitenbetreiber allgemein (Unternehmen, Vereine, Behörden mit eigener Website): Für sie ist die security.txt eine freiwillige Maßnahme. BSI und Allianz für Cyber-Sicherheit rufen zur Umsetzung auf, weil Hinweise auf Sicherheitslücken ohne auffindbaren Kontakt „häufig verzögert, an der falschen Stelle oder gar nicht\u0022 eingehen (BSI-Pressemitteilung vom 06.08.2026). 2."
        },
        {
            "question": "Wie sieht ein Praxisbeispiel für security.txt nach RFC 9116 und Coordinated Vulnerability Disclosure aus?",
            "reponse": "Eine minimale, RFC-9116-konforme Datei unter `https://example.com/.well-known/security.txt` besteht aus den beiden Pflichtfeldern: ``` Contact: mailto:security@example.com Expires: 2027-06-30T23:59:59Z ``` Ergänzt um die praxisüblichen optionalen Felder: ``` # Our security addresses Contact: mailto:security@example.com Contact: https://example.com/sicherheit # Our security policy Policy…"
        }
    ],
    "wikidata": [
        "Q65057155",
        "Q106312126",
        "Q631425",
        "Q257906",
        "Q3510521"
    ],
    "valid_from": "2025-12-06",
    "valid_to": null,
    "derniere_revision": "2026-08-20",
    "derniere_verification": "2026-08-20",
    "statut_factcheck": "ok",
    "url": "https://nexvyra.de/fakten/coordinated-vulnerability-disclosure-security-txt"
}