Die security.txt ist eine Textdatei, mit der eine Organisation angibt, wie Sicherheitslücken auf ihrer Website gemeldet werden sollen. Das Format beschreibt RFC 9116. Sicherheitsforschende finden dort in maschinenlesbarer Form einen Ansprechpartner.
Auf einen Blick
- Art
- Textdatei für Sicherheitskontakte
- Status
- RFC 9116 (informativ, April 2022)
- Speicherort
/.well-known/security.txt- Werte
- Pflichtfelder
ContactundExpires - Doku
- RFC 9116
Stand:
Wie ist die security.txt aufgebaut?
Die Datei liegt unter https://domain/.well-known/security.txt. Ein Ablageort im Wurzelverzeichnis (/security.txt) ist als Rückfall erlaubt. Sie wird über HTTPS als text/plain in UTF-8 ausgeliefert und gilt nur für die Domain, auf der sie liegt, nicht für Subdomains.
Zwei Felder sind Pflicht. Contact nennt den Weg für Meldungen (E-Mail, Telefon oder Formular), Expires das Datum, ab dem die Datei als veraltet gilt. Empfohlen wird eine Laufzeit von unter einem Jahr. Optionale Felder sind Encryption, Acknowledgments, Preferred-Languages, Canonical, Policy und Hiring. Eine OpenPGP-Signatur kann die Echtheit absichern.
Das BSI empfiehlt die Datei und nennt eine Verbreitung von 1,8 Prozent unter deutschen Websites (Messungen im Projekt Cyberdome, Mitteilung vom 6. August 2026).
| Datei | Standard oder Vorschlag? | Ort | Zweck | Wer liest es (belegt) |
|---|---|---|---|---|
| robots.txt | IETF-Standard: RFC 9309 (September 2022) | / | regelt, welche URLs Crawler abrufen dürfen; laut RFC keine Zugriffsautorisierung | Crawler; Googles gängige Crawler beachten sie bei automatischen Crawls immer |
| llms.txt | Vorschlag (Jeremy Howard, 2024; Version 2 vom August 2026) | / oder in einem Unterpfad | Markdown-Übersicht mit Links zu Markdown-Fassungen der Seiten, für KI-Agenten | laut Vorschlag vor allem Coding-Agenten; Google Suche ignoriert sie laut Google; Lighthouse prüft nur den Abruf |
| llms-full.txt | keine Spezifikation; nicht Teil des llms.txt-Vorschlags, Konvention einzelner Anbieter (z. B. Mintlify) | / (bei Mintlify auch /.) | ganze Dokumentation als Markdown in einer Datei | kein Leser vom Herausgeber belegt; Google Suche nutzt solche Dateien laut Google nicht |
| ai.txt | IETF-Internet-Draft eines Einzelautors (Juni 2026, läuft 14.12.2026 ab), kein Standard; Vorläufer von Spawning (2023) | /. (Draft), / (Spawning) | KI-Nutzungspräferenzen (Training, Scraping, Indexierung, Caching), Lizenz, Namensnennung | kein Leser in Primärquellen belegt; Google Suche nutzt „AI text files“ laut Google nicht |
TDMRep (tdmrep.) | W3C Community Group Final Report (10.05.2024), kein W3C-Standard | /., HTTP-Header tdm-reservation oder HTML-Meta-Tag | maschinenlesbarer Vorbehalt gegen Text und Data Mining (Art. 4 DSM-Richtlinie) | Akteure, die Text und Data Mining betreiben (laut Spezifikation) |
| security.txt (dieser Begriff) | RFC 9116 (April 2022, informativ, kein Standards-Track) | /. | Kontakt für Meldungen von Sicherheitslücken; Pflichtfelder Contact und Expires | Sicherheitsforschende |
| ads.txt | IAB-Tech-Lab-Spezifikation, Version 1.1 (August 2022) | / der Root-Domain, bei Bedarf Subdomains | nennt die Firmen, die Werbeinventar der Website verkaufen dürfen | Werbesysteme und Käufer (Crawler der Werbesysteme) |
| humans.txt | Initiative (humanstxt.org), keine formale Spezifikation | / neben der robots.txt, optional per rel="author" verlinkt | nennt die Menschen, die an der Website mitgewirkt haben | Menschen, die wissen wollen, wer hinter der Website steht |
Nur robots.txt, security.txt und ads.txt beruhen auf einer verabschiedeten Spezifikation (IETF bzw. IAB Tech Lab). Google schreibt, dass die Google Suche keine neuen maschinenlesbaren Dateien oder „AI text files“ nutzt und llms.txt-Dateien ignoriert; schaden würden sie der Sichtbarkeit in der Suche nicht. TDMRep setzt den Nutzungsvorbehalt nach Art. 4 der Richtlinie (EU) 2019/790 technisch um. Keine Rechtsberatung. Quellen: RFC 9309: Robots Exclusion Protocol; Google: Overview of Google crawlers and fetchers (last updated 2026-06-12); The /llms.txt file, v2 (llmstxt.org); llmstxt.org: Changes (v2, August 2026); Google Search Central: Optimizing for generative AI features (last updated 2026-07-10); Chrome for Developers: Lighthouse llms.txt audit (2026-05-05); Mintlify: llms.txt and llms-full.txt; IETF Internet-Draft draft-car-ai-txt-wellknown-00 (2026-06-12); W3C TDMRep Community Group: TDM Reservation Protocol, Final Report 2024-05-10; RFC 9116: A File Format to Aid in Security Vulnerability Disclosure; IAB Tech Lab: ads.txt; IAB Tech Lab: ads.txt Specification Version 1.1 (GitHub); humanstxt.org. Stand: .
Beispiel
Contact: mailto:security@example.com
Expires: 2027-06-30T23:59:00.000Z
Preferred-Languages: de, en
Canonical: https://example.com/.well-known/security.txt
Häufige Fehler
Expiresabgelaufen. Die Datei gilt dann als veraltet, die Angabe ist nicht mehr verlässlich.ContactoderExpiresfehlt. Beide Felder sind laut RFC verpflichtend.- Datei nur über HTTP erreichbar. Der RFC verlangt HTTPS.
- Nur auf der Hauptdomain gepflegt. Subdomains sind nicht abgedeckt und brauchen eine eigene Datei.
Häufige Fragen
Ist die security.txt Pflicht? BSI und DIHK empfehlen sie. RFC 9116 beschreibt das Format der Datei und schreibt sie nicht vor. Der Cyber Resilience Act (Verordnung (EU) 2024/2847) verlangt von Herstellern von Produkten mit digitalen Elementen unter anderem, eine Kontaktadresse für die Meldung von Schwachstellen anzugeben (Anhang I Teil II Nr. 6). Ein bestimmtes Dateiformat wie die security.txt nennt die Verordnung nicht. Sie gilt überwiegend ab dem 11. Dezember 2027 (Art. 71). Keine Rechtsberatung.
Wer nutzt die Datei? Sicherheitsforschende, CERTs und andere Meldende, die eine Schwachstelle an die richtige Stelle schicken wollen.
Quellen
- RFC 9116: A File Format to Aid in Security Vulnerability Disclosurerfc-editor.org
- security.txt – Pressemitteilung des BSI, 06.08.2026bsi.bund.de
- security.txt – DIHKdihk.de
- Verordnung (EU) 2024/2847 (Cyber Resilience Act), Anhang I Teil II Nr. 6 und Art. 71 – EUR-Lex, deutsche Fassung, geprüft am 7.10.2026eur-lex.europa.eu
- security.txt – Wikipediade.wikipedia.org
Stand: