# security.txt

Kategorie: [Technisches SEO](https://seo-geo-glossary.com/de/glossar/kategorie/technisches-seo/) › [CMS, Betrieb & Spezialdateien](https://seo-geo-glossary.com/de/glossar/kategorie/technisches-seo/cms-betrieb-spezialdateien/) · Auch genannt: security.txt-Datei

Die **security.txt** ist eine Textdatei, mit der eine Organisation angibt, wie Sicherheitslücken auf ihrer Website gemeldet werden sollen. Das Format beschreibt RFC 9116. Sicherheitsforschende finden dort in maschinenlesbarer Form einen Ansprechpartner.

## Wie ist die security.txt aufgebaut?

Die Datei liegt unter `https://domain/.well-known/security.txt`. Ein Ablageort im Wurzelverzeichnis (`/security.txt`) ist als Rückfall erlaubt. Sie wird über HTTPS als `text/plain` in UTF-8 ausgeliefert und gilt nur für die Domain, auf der sie liegt, nicht für Subdomains.

Zwei Felder sind Pflicht. `Contact` nennt den Weg für Meldungen (E-Mail, Telefon oder Formular), `Expires` das Datum, ab dem die Datei als veraltet gilt. Empfohlen wird eine Laufzeit von unter einem Jahr. Optionale Felder sind `Encryption`, `Acknowledgments`, `Preferred-Languages`, `Canonical`, `Policy` und `Hiring`. Eine OpenPGP-Signatur kann die Echtheit absichern.

Das BSI empfiehlt die Datei und nennt eine Verbreitung von 1,8 Prozent unter deutschen Websites (Messungen im Projekt Cyberdome, Mitteilung vom 6. August 2026).

## Beispiel

```txt
Contact: mailto:security@example.com
Expires: 2027-06-30T23:59:00.000Z
Preferred-Languages: de, en
Canonical: https://example.com/.well-known/security.txt
```

## Häufige Fehler

- **`Expires` abgelaufen.** Die Datei gilt dann als veraltet, die Angabe ist nicht mehr verlässlich.
- **`Contact` oder `Expires` fehlt.** Beide Felder sind laut RFC verpflichtend.
- **Datei nur über HTTP erreichbar.** Der RFC verlangt HTTPS.
- **Nur auf der Hauptdomain gepflegt.** Subdomains sind nicht abgedeckt und brauchen eine eigene Datei.

## Häufige Fragen

**Ist die security.txt Pflicht?**
BSI und DIHK empfehlen sie. RFC 9116 beschreibt das Format der Datei und schreibt sie nicht vor. Der Cyber Resilience Act (Verordnung (EU) 2024/2847) verlangt von Herstellern von Produkten mit digitalen Elementen unter anderem, eine Kontaktadresse für die Meldung von Schwachstellen anzugeben (Anhang I Teil II Nr. 6). Ein bestimmtes Dateiformat wie die security.txt nennt die Verordnung nicht. Sie gilt überwiegend ab dem 11. Dezember 2027 (Art. 71). Keine Rechtsberatung.

**Wer nutzt die Datei?**
Sicherheitsforschende, CERTs und andere Meldende, die eine Schwachstelle an die richtige Stelle schicken wollen.

## Auf einen Blick

- **Art:** Textdatei für Sicherheitskontakte
- **Status:** RFC 9116 (informativ, April 2022)
- **Speicherort:** /.well-known/security.txt
- **Werte:** Pflichtfelder Contact und Expires
- **Doku:** [RFC 9116](https://www.rfc-editor.org/rfc/rfc9116)

Stand: 8. Oktober 2026

## Dateien für Maschinen im Vergleich

| Datei | Standard oder Vorschlag? | Ort | Zweck | Wer liest es (belegt) |
|---|---|---|---|---|
| robots.txt | IETF-Standard: RFC 9309 (September 2022) | /robots.txt | regelt, welche URLs Crawler abrufen dürfen; laut RFC keine Zugriffsautorisierung | Crawler; Googles gängige Crawler beachten sie bei automatischen Crawls immer |
| llms.txt | Vorschlag (Jeremy Howard, 2024; Version 2 vom August 2026) | /llms.txt oder in einem Unterpfad | Markdown-Übersicht mit Links zu Markdown-Fassungen der Seiten, für KI-Agenten | laut Vorschlag vor allem Coding-Agenten; Google Suche ignoriert sie laut Google; Lighthouse prüft nur den Abruf |
| llms-full.txt | keine Spezifikation; nicht Teil des llms.txt-Vorschlags, Konvention einzelner Anbieter (z. B. Mintlify) | /llms-full.txt (bei Mintlify auch /.well-known/llms-full.txt) | ganze Dokumentation als Markdown in einer Datei | kein Leser vom Herausgeber belegt; Google Suche nutzt solche Dateien laut Google nicht |
| ai.txt | IETF-Internet-Draft eines Einzelautors (Juni 2026, läuft 14.12.2026 ab), kein Standard; Vorläufer von Spawning (2023) | /.well-known/ai.txt (Draft), /ai.txt (Spawning) | KI-Nutzungspräferenzen (Training, Scraping, Indexierung, Caching), Lizenz, Namensnennung | kein Leser in Primärquellen belegt; Google Suche nutzt „AI text files“ laut Google nicht |
| TDMRep (tdmrep.json) | W3C Community Group Final Report (10.05.2024), kein W3C-Standard | /.well-known/tdmrep.json, HTTP-Header tdm-reservation oder HTML-Meta-Tag | maschinenlesbarer Vorbehalt gegen Text und Data Mining (Art. 4 DSM-Richtlinie) | Akteure, die Text und Data Mining betreiben (laut Spezifikation) |
| security.txt | RFC 9116 (April 2022, informativ, kein Standards-Track) | /.well-known/security.txt | Kontakt für Meldungen von Sicherheitslücken; Pflichtfelder Contact und Expires | Sicherheitsforschende |
| ads.txt | IAB-Tech-Lab-Spezifikation, Version 1.1 (August 2022) | /ads.txt der Root-Domain, bei Bedarf Subdomains | nennt die Firmen, die Werbeinventar der Website verkaufen dürfen | Werbesysteme und Käufer (Crawler der Werbesysteme) |
| humans.txt | Initiative (humanstxt.org), keine formale Spezifikation | /humans.txt neben der robots.txt, optional per rel="author" verlinkt | nennt die Menschen, die an der Website mitgewirkt haben | Menschen, die wissen wollen, wer hinter der Website steht |

Quellen: [RFC 9309: Robots Exclusion Protocol](https://www.rfc-editor.org/rfc/rfc9309.html); [Google: Overview of Google crawlers and fetchers (last updated 2026-06-12)](https://developers.google.com/crawling/docs/crawlers-fetchers/overview-google-crawlers); [The /llms.txt file, v2 (llmstxt.org)](https://llmstxt.org/); [llmstxt.org: Changes (v2, August 2026)](https://llmstxt.org/changes.html); [Google Search Central: Optimizing for generative AI features (last updated 2026-07-10)](https://developers.google.com/search/docs/fundamentals/ai-optimization-guide); [Chrome for Developers: Lighthouse llms.txt audit (2026-05-05)](https://developer.chrome.com/docs/lighthouse/agentic-browsing/llms-txt); [Mintlify: llms.txt and llms-full.txt](https://www.mintlify.com/docs/ai/llmstxt); [IETF Internet-Draft draft-car-ai-txt-wellknown-00 (2026-06-12)](https://www.ietf.org/archive/id/draft-car-ai-txt-wellknown-00.html); [W3C TDMRep Community Group: TDM Reservation Protocol, Final Report 2024-05-10](https://www.w3.org/community/reports/tdmrep/CG-FINAL-tdmrep-20240510/); [RFC 9116: A File Format to Aid in Security Vulnerability Disclosure](https://www.rfc-editor.org/rfc/rfc9116.html); [IAB Tech Lab: ads.txt](https://iabtechlab.com/ads-txt/); [IAB Tech Lab: ads.txt Specification Version 1.1 (GitHub)](https://github.com/InteractiveAdvertisingBureau/Supply-Chain-Validation/blob/main/ads.txt%20v1.1.md); [humanstxt.org](https://humanstxt.org/). Stand: 8. Oktober 2026

## Verwandte Begriffe

- [robots.txt](https://seo-geo-glossary.com/de/glossar/robots-txt/index.md)
- [ads.txt](https://seo-geo-glossary.com/de/glossar/ads-txt/index.md)
- [humans.txt](https://seo-geo-glossary.com/de/glossar/humans-txt/index.md)
- [HTTPS](https://seo-geo-glossary.com/de/glossar/https/index.md)

## Quellen

- [RFC 9116: A File Format to Aid in Security Vulnerability Disclosure](https://www.rfc-editor.org/rfc/rfc9116)
- [security.txt – Pressemitteilung des BSI, 06.08.2026](https://www.bsi.bund.de/DE/Service-Navi/Presse/Pressemitteilungen/Presse2026/260806_security_txt.html)
- [security.txt – DIHK](https://www.dihk.de/de/serviceportal/fuer-gewerbetreibende-unternehmer/security-txt-eine-kleine-textdatei-zum-schutz-ihres-unternehmens--185306)
- [Verordnung (EU) 2024/2847 (Cyber Resilience Act), Anhang I Teil II Nr. 6 und Art. 71 – EUR-Lex, deutsche Fassung, geprüft am 7.10.2026](https://eur-lex.europa.eu/eli/reg/2024/2847/oj/deu)
- [security.txt – Wikipedia](https://de.wikipedia.org/wiki/Security.txt)

---

Stand: 8. Oktober 2026
URL: https://seo-geo-glossary.com/de/glossar/security-txt/