// LINUX-MAGAZIN — LINUX & OPEN SOURCE
BSI: Security.txt kaum verbreitet
Foto © Bernd Lammel - Telef.: +49 (172) 311 4885 - DEU / Berlin / 2023 /
Lediglich 1,8 Prozent der Webseitenbetreiber in Deutschland stellen eine security.txt bereit. Zu diesem Ergebnis kommt das Bundesamt für Sicherheit in der Informationstechnik (BSI) auf Grundlage von Messungen im Cyberdome-Projekt.
Die security.txt nach RFC 9116 definiert einen zentralen Kontakt, über den Sicherheitsforscher, Computer Emergency Response Teams (CERTs) und weitere Hinweisgeber entdeckte Schwachstellen an Webseitenbetreiber melden können. Fehlt diese Kontaktmöglichkeit, erreichen Hinweise Unternehmen häufig verspätet, landen bei der falschen Ansprechperson oder gehen ganz verloren.
Unternehmen, die eine security.txt veröffentlichen, erleichtern den Austausch über Sicherheitslücken. Im Rahmen des Cyberdome-Projekts durchsucht das BSI Webseiten nach Schwachstellen und informiert den in der security.txt hinterlegten Kontakt direkt über erkannte Mängel. So können Unternehmen schneller auf Sicherheitsprobleme reagieren und diese beheben.
Auch regulatorische Vorgaben erhöhen die Bedeutung der security.txt. Der Cyber Resilience Act schreibt ab Dezember 2027 verbindliche Anforderungen für den Umgang mit Schwachstellenmeldungen vor. Bereits ab dem 11. September 2026 gelten Meldepflichten für aktiv ausgenutzte Schwachstellen und schwerwiegende Sicherheitsvorfälle. Unternehmen können sich mit der Einführung einer security.txt frühzeitig auf diese Anforderungen vorbereiten.
Die Umsetzung erfordert nur wenige Angaben. Webseitenbetreiber müssen einen Ansprechpartner sowie ein Ablaufdatum hinterlegen und die Datei unter dem Pfad „/.well-known/security.txt“ bereitstellen. Damit erfüllen sie bereits die wesentlichen Anforderungen des Standards.
Das BSI und die Allianz für Cyber-Sicherheit empfehlen Webseitenbetreibern, eine security.txt einzurichten, um die Kommunikation über Sicherheitslücken zu erleichtern und die eigene IT-Sicherheit zu verbessern.
Wie Forscher von OpenAI nun in einem Vortrag auf der Cybersicherheitskonferenz Black Hat in Las Vegas offenlegten, hatten die später ausgebrochenen KI-Agenten zuvor wochenlang in einem geheimen Forum Tipps gesammelt und ausgetauscht, wie sie interne Sicherheitskontrollen umgehen könnten.
Das uutils-Projekt implementiert die Kernanwendungen eines Linux-Systems in Rust neu. Die jetzt veröffentlichte Version 0.10.0 erhöht die Kompatibilität zu den GNU Coreutils, härtet einige Tools weiter ab und kann OpenSSL für eine flotte Berechnung von Prüfsummen einspannen.
Die Linux Foundation hat den Kreis der Fördermitglieder des Linux Vendor Firmware Service (LVFS) erweitert. Dell Technologies, HP Inc., Lenovo und NVIDIA gehören künftig zu den Premier-Mitgliedern der Initiative.