security.txt erstellen

Wozu die Datei dient

Laut RFC 9116 hilft die Datei Organisationen, ihren Umgang mit gemeldeten Schwachstellen zu beschreiben. Wer eine Lücke findet, weiß dann, an wen er sich wenden kann.

Die Datei schützt deine Website nicht. Sie ersetzt auch keine Prüfung. Sie zeigt nur den Meldeweg.

Wo die Datei liegen muss

Der Standard verlangt den Pfad /.well-known/security.txt. Für ältere Systeme darf unter /security.txt im Hauptverzeichnis zusätzlich eine Kopie liegen oder eine Weiterleitung auf /.well-known/security.txt eingerichtet sein. Liegt die Datei an beiden Orten, gilt die unter /.well-known/. Für deine Adresse heißt das: https://deine-domain.de/.well-known/security.txt.

Die Datei muss über HTTPS erreichbar sein. Sie wird als text/plain mit der Zeichenkodierung UTF-8 ausgeliefert.

Pflichtfelder und wichtige optionale Felder

Contact ist Pflicht. Hier steht, wie man dich erreicht. Vor einer E-Mail-Adresse steht mailto:, zum Beispiel mailto:kontakt@deine-domain.de. Ein Link zu einem Formular beginnt mit https://.

Expires ist ebenfalls Pflicht und darf nur einmal vorkommen. Das Datum steht als Zeitstempel mit Uhrzeit und Zeitzone, wie im Beispiel unten. Der Standard empfiehlt ein Datum weniger als ein Jahr in der Zukunft, damit die Angaben nicht veralten.

Alle anderen Felder sind optional. Nützlich sind vor allem diese Felder. Preferred-Languages nennt die Sprachen, in denen du Meldungen liest. Fehlt das Feld, gehen Finder von Englisch aus. Canonical nennt die Adresse der Datei. Policy verlinkt deine Regeln für Meldungen. Acknowledgments verlinkt eine Dankesseite. Encryption verlinkt einen Schlüssel für verschlüsselte Nachrichten, den Schlüsseltext selbst schreibst du nie hinein.

Der Standard empfiehlt außerdem, die Datei digital zu signieren, mit einer OpenPGP-Klartextsignatur. So können Meldende ihre Echtheit prüfen. Für eine kleine Website ist das ein zusätzlicher Schritt, den du später ergänzen kannst.

Typische Fehler

Abgelaufenes Expires. Der Standard empfiehlt ein Datum in der näheren Zukunft, damit die Angaben nicht veralten. Trage dir einen Termin ein, an dem du die Datei erneuerst.

Falscher Ort. Liegt die Datei nur unter einem anderen Pfad, finden Suchende sie nicht. Prüfe die Adresse im Browser.

Kein HTTPS oder falscher Inhaltstyp. Der Standard verlangt HTTPS und text/plain mit UTF-8. Lade die Datei nach dem Anlegen über die echte Adresse und kontrolliere beides.

Eine Adresse, die niemand liest. Nutze ein Postfach, das jemand regelmäßig prüft, und lege fest, wer Meldungen beantwortet.

Beispiel: unsere eigene Datei

So sieht die Datei auf unserer Website aus. Ersetze die Adressen und das Ablaufdatum durch deine eigenen Angaben.

/.well-known/security.txt

Contact: mailto:kontakt@webriegel.de
Expires: 2027-10-31T23:00:00.000Z
Preferred-Languages: de, en
Canonical: https://webriegel.de/.well-known/security.txt

Lass die Datei von deiner Betreuung oder deinem Hoster anlegen, wenn du keinen Zugriff auf das Verzeichnis hast.

Quellen und Stand

Stand: 3. November 2026. Die Anleitung stützt sich auf diese Quellen.

• RFC 9116: A File Format to Aid in Security Vulnerability Disclosure

So läuft dein Check ab

Du fragst mit der Adresse deiner Website an. Dann bestätigst du den Auftrag und zeigst, dass du die Prüfung beauftragen darfst. Wir prüfen von außen, ohne Angriffe und ohne Lasttests. Du bekommst einen Bericht mit Prioritäten und einer Empfehlung zu jedem Befund.

Eine Garantie für vollständige Sicherheit kann keine Prüfung geben. Die Umsetzung kannst du nach dem Bericht gesondert anfragen.