Schwachstellen richtig melden: So hängen CRA, CVD, RFC 9116 und security.txt zusammen. Und so setzen Sie zentrale Anforderungen praxisnah um.
Ist Ihre security.txt schon vorhanden?
Liegt auf Ihrem Webspace eine Datei mit dem Namen “security.txt”? Haben Sie sich schon mit dem Cyber Resilience Act (CRA) beschäftigt? Falls Sie beide Male innerlich mit “Nein” geantwortet haben, ist jetzt ein guter Zeitpunkt, sich mit beiden Themen zu beschäftigen.
Der CRA trat bereits im Dezember 2024 in Kraft. Seine Vorschriften werden jedoch schrittweise anwendbar. Zum Beispiel gibt es am 11. September eine wichtige Deadline. Ab diesem Tag gelten die Meldepflichten aus Art. 14.
Das bedeutet: Ab dem 11. September 2026 müssen Hersteller von Produkten mit digitalen Elementen bestimmte, ihnen bekannt gewordene und aktiv ausgenutzte Schwachstellen sowie schwerwiegende Sicherheitsvorfälle über die CRA Single Reporting Platform der ENISA melden.
Weshalb ist die security.txt so wichtig?
Wenn User, Sicherheitsforschende, CERTs oder andere eine Schwachstelle entdecken, benötigen sie einen eindeutigen Kontakt zur betroffenen Organisation. Die Infos zur Kontaktaufnahme sind in der security.txt abgelegt, welche unter https://domain.tld/.well-known/security.txt liegen muss.
Interessant: Laut dem BSI nutzen aktuell (Stand: August 2026) nur 1,8 Prozent aller Webseiten-Betreiber die security.txt. Das ist zu wenig! Besonders mit Blick auf die bald geltenden CRA-Meldepflichten lohnt es sich, funktionierende Prozesse für eingehende Schwachstellenmeldungen zu etablieren.
Wie setzt man eine security.txt um?
Die Umsetzung ist recht einfach. Zum einen gibt es dazu einige Informationen im Internet. Zum Beispiel erhalten Sie erste Informationen im Flyer von der Allianz für Cybersicherheit und das BSI bietet einen detaillierten Leitfaden.
Zudem finden Sie auf securitytxt.org ein Onlinetool, mit dem Sie eine individuelle security.txt erstellen können.
Neben der reinen Textdatei ist es sinnvoll, auf Ihrer Website noch ein paar Landingpages anlegen. Dazu gehört beispielsweise eine Seite, um Schwachstellen bei Ihnen zu melden, und eine für die CVD-Richtlinie (Coordinated Vulnerability Disclosure).
Wir wir mit den Meldepflichten umgehen
Als Entwickler und Anbieter von Hardening-Tools wie dem AuditTAP und dem Enforce Administrator fällt die FB Pro GmbH unter den Cyber Resilience Act. Einen wichtigen Baustein bildet dabei unser Prozess für den Umgang mit Schwachstellen. Diesen Teil der Anforderungen haben wir unter anderem folgendermaßen umgesetzt:
➡ Die security.txt liegt unter https://www.fb-pro.com/.well-known/security.txt
➡ Die Schwachstellen-Meldung findet man unter https://www.fb-pro.com/security/report/
➡ Unsere CVD-Richtlinie liegt unter https://www.fb-pro.com/policy/
Wichtig: Der zentrale Pfad für die security.txt ist – wie erwähnt – nicht frei gewählt. Die Datei folgt dem internationalen Standard RFC 9116, der unter anderem ihren Speicherort sowie Aufbau und Inhalte definiert. Das BSI empfiehlt diesen Standard ausdrücklich auch im Zusammenhang mit Coordinated Vulnerability Disclosure und dem Cyberdome-Projekt.
Die weiteren URLs orientieren sich funktional an internationalen Vorgaben und Empfehlungen für Vulnerability Disclosure und Coordinated Vulnerability Disclosure.
Sie möchten uns eine Schwachstelle melden?
Dann haben Sie zwei Möglichkeiten: Melden Sie sich entweder direkt über unser Online-Formular – gerne auch anonym – oder schicken Sie uns eine verschlüsselte E-Mail.
Haben Sie andere Anregungen oder Wünsche? Suchen Sie beispielsweise eine Lösung, um Ihre IT-Landschaft zu härten? Kontaktieren Sie uns ganz unverbindlich.
______
Hinweis: Die in diesem Blogbeitrag bereitgestellten Informationen dienen ausschließlich allgemeinen Informationszwecken und stellen keine rechtliche oder steuerliche Beratung dar. Falls Sie rechtliche oder steuerliche Beratung benötigen, wenden Sie sich bitte an eine Steuer- oder Rechtsanwaltskanzlei.
Bilder: Magnific AI, BSI