Ich habe eine Stunde damit verbracht, die Webseiten der 40 DAX-Konzerne etwas zu fragen. Nicht per E-Mail, sondern per Skript, und die Frage war denkbar einfach: Liegt auf dieser Domain eine carbon.txt?
Die Antwort ist schnell erzählt. Keine einzige.
Was ich gemessen habe
Eine carbon.txt ist eine kleine Textdatei an einer festen Stelle einer Domain. Darin steht maschinenlesbar, wo die Nachhaltigkeitsangaben eines Unternehmens zu finden sind: Berichte, Zertifikate, Richtlinien. Die Green Web Foundation entwickelt das Format seit 2022, Anfang August hat sie beschrieben, wie die .eco-Registry damit Unternehmensprofile automatisch befüllt. Das Prinzip nennt sich verbinden statt sammeln: Die Daten bleiben beim Unternehmen, nur der Weg dorthin wird einheitlich.
Mein Skript hat für jede Domain alle fünf vorgesehenen Wege geprüft, also Wurzelverzeichnis, www-Variante, den Ordner /.well-known/ sowie die Delegation per HTTP-Header und per DNS-Eintrag. Neun Konzerne wiesen das Skript ab oder antworteten gar nicht, meist durch einen Bot-Filter. Die habe ich anschließend von Hand im Browser nachgesehen. Auch dort lag nichts.
Der Unterschied ist nicht die Technik
Genau die security.txt macht das Ergebnis erst interessant. Sie ist ebenfalls eine kleine Textdatei an einer festen Stelle, und in ihr steht, wohin man eine gefundene Sicherheitslücke melden soll. Die haben 31 der 40 Konzerne.
Halte Dir den Vergleich einen Moment vor Augen. Dieselben 40 Unternehmen, dieselbe Art von Datei, dasselbe Wurzelverzeichnis. Einmal 31, einmal null. Beide Dateien wiegen unter einem Kilobyte, meine eigene carbon.txt ist 268 Byte groß, beide sind in einer Viertelstunde angelegt.
Der Unterschied ist also nicht Aufwand, nicht Budget, nicht technisches Können. Der Unterschied ist, dass Sicherheit erwartet wird und Nachhaltigkeitstransparenz nicht. Für den Sicherheitskontakt gibt es seit 2022 einen offiziellen Internetstandard, RFC 9116, dazu Prüfdienste und Auditoren, die danach fragen. Für Nachhaltigkeitsangaben gibt es einen guten Vorschlag einer Stiftung. Mehr nicht.
Damit wird deutlich, woran Transparenz meist scheitert. Nicht an der Technik. Sondern daran, dass niemand sie erwartet.
Ein Detail am Rande
Beim Auslesen der security.txt ist mir etwas aufgefallen, das über den Tag hinaus gilt. RFC 9116 macht ein Verfallsdatum zur Pflicht und empfiehlt eine Frist von weniger als einem Jahr. Von den 27 Dateien, die ich maschinell auslesen konnte, halten sich 17 daran. Zwei sind schlicht abgelaufen, sieben reichen weit darüber hinaus, die Spitzenwerte liegen im Jahr 2099 und zweimal im Jahr 2122. In einer weiteren steht ein Zeichen zu viel im Zeitstempel, wodurch das Datum für keine Software mehr lesbar ist.
Ein Pflichtfeld, das formal erfüllt und dabei entleert wird. Bei carbon.txt ist das Gegenstück, valid_until, bisher nicht einmal Pflicht. Ich halte das für die wichtigste offene Baustelle des Formats, denn eine Angabe ohne Verfallsdatum steht Jahre später noch im Netz und bindet niemanden mehr, wie ich bei Grokipedia beschrieben habe.
Dein erster Schritt heute
Das Schöne an dieser Geschichte: Du kannst sie in einer Viertelstunde für Deine eigene Domain umdrehen. Du brauchst keine Abteilung und kein Projekt, nur die Bereitschaft, Deine vorhandenen Angaben auffindbar zu machen.
Der günstigste Beweis für Transparenz wiegt keine 300 Byte. Dass ihn im DAX niemand liefert, ist deshalb keine Frage der Möglichkeiten, sondern eine der Erwartungen. Nachhaltigkeit steht oft nur auf dem Papier.
Quellen: Green Web Foundation zur .eco-Integration · carbon.txt Builder und Validator · RFC 9116 · eigene Erhebung vom 7. August 2026