diff --git a/SECURITY.md b/SECURITY.md
new file mode 100644
index 0000000..821dab0
--- /dev/null
+++ b/SECURITY.md
@@ -0,0 +1,22 @@
+# Security Policy
+
+## Schwachstelle melden
+
+Bitte **nicht** als öffentliches Issue melden.
+
+Nutze stattdessen die vertrauliche Meldung über GitHub:
+**Security → Report a vulnerability** (Private Vulnerability Reporting) in diesem Repository.
+
+Hilfreich in der Meldung: betroffene Version bzw. Commit, Schritte zur Reproduktion,
+erwartete Auswirkung.
+
+## Ablauf
+
+Das Projekt wird von einer Einzelperson in der Freizeit gepflegt. Richtwert:
+Rückmeldung innerhalb von 7 Tagen, Fix nach Schweregrad. Verbindliche Fristen
+gibt es nicht.
+
+## Unterstützte Versionen
+
+Nur der aktuelle Stand auf `main` bzw. die zuletzt veröffentlichte Version
+erhält Sicherheitskorrekturen.