security.txt einrichten: Kontakt für Sicherheitsmeldungen

Was ist die Datei security.txt?

Die Datei ist im Standard RFC 9116 beschrieben. Sie ist reiner Text mit Feldern wie «Contact:». Pflicht sind zwei Felder: «Contact» (der Weg für Meldungen, zum Beispiel eine mailto-Adresse oder eine Webseite) und «Expires» (das Ablaufdatum, das weniger als ein Jahr in der Zukunft liegen soll). Optional sind unter anderem «Preferred-Languages» (bevorzugte Sprachen), «Canonical» (die Adresse der Datei selbst), «Policy» (Link auf Ihre Regeln zum Umgang mit Meldungen), «Encryption» und «Acknowledgments». Ein Beispiel mit Platzhaltern:

Contact: mailto:sicherheit@ihre-firma.ch
Expires: 2027-06-30T23:59:59.000Z
Preferred-Languages: de, en
Canonical: https://ihre-firma.ch/.well-known/security.txt

Warum zählt das für Sicherheit, Google und KI-Assistenten?

Wer eine Schwachstelle auf Ihrer Website findet, soll nicht lange nach einer Ansprechperson suchen müssen. Mit security.txt landet der Hinweis direkt bei Ihnen, statt öffentlich oder gar nicht. Das ist ein Beitrag zur Sicherheit, verhindert aber keine Angriffe. Für das Google-Ranking ist kein direkter Einfluss bekannt. KI-Assistenten brauchen die Datei nicht, um Fragen zu Ihrer Firma zu beantworten. Sie zeigt Kunden und Partnern aber, dass Sie Sicherheitsmeldungen ernst nehmen. Voraussetzung ist, dass jemand das angegebene Postfach regelmässig liest.

So prüfen Sie es selbst

Rufen Sie im Browser die Adresse https://ihre-firma.ch/.well-known/security.txt auf. Sie sollten reinen Text sehen, keine Fehlerseite. Prüfen Sie, ob «Contact:» und «Expires:» vorhanden sind und das Ablaufdatum in der Zukunft liegt. Der Gratis-Check von KI-Sichtradar ruft diese Adresse einmal ab und wertet sie als vorhanden, wenn sie erfolgreich antwortet und «Contact:» enthält. Das Ablaufdatum prüft er nicht. Achten Sie darum selbst darauf, dass die Datei nicht veraltet, und ergänzen Sie bei Bedarf die optionalen Felder.

So beheben Sie es

Legen Sie eine Textdatei namens security.txt an und speichern Sie sie im Ordner .well-known im Hauptverzeichnis Ihrer Website, in UTF-8 und ohne Formatierung. Der Server soll sie über https als Text ausliefern. Manche Systeme blockieren Ordner mit einem Punkt am Anfang, dann hilft Ihr Hoster. Wählen Sie eine Adresse, die jemand regelmässig liest, am besten ein eigenes Postfach wie sicherheit@ihre-firma.ch. Planen Sie die Erneuerung des Ablaufdatums ein, zum Beispiel einmal im Jahr. Die Datei legt die Person ab, die Ihre Website betreut.

1. Richten Sie ein Postfach ein, das regelmässig gelesen wird, zum Beispiel sicherheit@ihre-firma.ch.
2. Schreiben Sie die Datei security.txt mit mindestens «Contact:» und «Expires:».
3. Lassen Sie die Datei vom Webdesigner oder Hoster im Ordner .well-known Ihrer Website ablegen, nach einer Sicherung.
4. Rufen Sie die Adresse /.well-known/security.txt im Browser auf und prüfen Sie, dass der Text erscheint.
5. Tragen Sie sich eine Erinnerung ein, das Ablaufdatum vor Ablauf zu erneuern.