M365-Security als Managed Service ausschreiben: Was ins Leistungsverzeichnis gehört

Ein typischer Ausschreibungsgegenstand: Mail-Filter, Mail-Archiv, Verschlüsselung ein- und ausgehender Mails und Datensicherung für Exchange Online, Teams und OneDrive, betrieben als Managed Service rund um die Uhr. Die Lizenzen, etwa für Hornetsecurity 365 Total Protection, stellt der Auftraggeber bei. Gesucht wird ein Dienstleister für Einrichtung, Betrieb und Support.

So ein Auftrag ist überschaubar und trotzdem anspruchsvoll, weil sich der Dienst über Exchange Online, ein Drittprodukt, die interne IT und den Hersteller verteilt. Ob er funktioniert, entscheidet sich in der Leistungsbeschreibung. Hinweis vorab: Wir sind keine Vergaberechtler. Rechtliche Einordnungen in diesem Artikel ersetzen keine Beratung durch Ihre Vergabestelle.

Rahmen: Verfahren, Auftragswert, Vertragsmuster

• Schwellenwert: Seit dem 1. Januar 2026 liegt der EU-Schwellenwert für Liefer- und Dienstleistungsaufträge der meisten öffentlichen Auftraggeber bei 216 000 Euro netto. Darüber gelten GWB und VgV, darunter je nach Bundesland die UVgO oder Landesrecht.
• Auftragswert: Massgeblich ist die geschätzte Gesamtvergütung über die Laufzeit einschliesslich Optionen. Bei unbestimmter Laufzeit oder mehr als 48 Monaten rechnet § 3 Abs. 11 VgV mit dem 48-fachen Monatswert. Ein dreijähriger 24/7-Betrieb überschreitet die Schwelle schneller als gedacht.
• Produktbezug: Nach § 31 Abs. 6 VgV darf die Leistungsbeschreibung grundsätzlich nicht auf bestimmte Produkte verweisen. Sind die Lizenzen bereits vorhanden und wird nur deren Betrieb ausgeschrieben, kann der Produktbezug durch den Auftragsgegenstand gerechtfertigt sein. Die Begründung gehört in die Vergabeakte.
• Vertragsmuster: Viele öffentliche Auftraggeber nutzen die EVB-IT. Für Betriebs- und Supportleistungen kommt der EVB-IT Service in Betracht, für Cloud-Leistungen einschliesslich Managed Cloud Services gibt es seit 2022 die EVB-IT Cloud. Welches Muster passt und ob es für Ihr Haus verbindlich ist, klärt die Vergabestelle. Wichtig ist, dass Leistungsbeschreibung und Vertragsmuster dieselben Begriffe verwenden.

Aufbau eines Leistungsverzeichnisses

Ein Leistungsverzeichnis für einen Security-Betrieb braucht mehr als eine Featureliste. Diese Gliederung hat sich bewährt:

1. Ausgangslage und Mengengerüst: Anzahl Postfächer nach Typ (Benutzer, freigegeben, Ressource, Archiv), Domains, Mailvolumen pro Tag, Datenvolumen in OneDrive, SharePoint und Teams, Standorte, bestehende Systeme und deren Ablösetermine.
2. Leistungsgegenstand: Transition (Einrichtung, Migration, Abnahme), laufender Betrieb, Changes, optionale Projektleistungen.
3. Betriebsaufgaben je Modul mit Häufigkeit und erwartetem Ergebnis.
4. Servicezeiten und SLA mit Prioritätsdefinitionen.
5. Verantwortungsmatrix zwischen Auftraggeber, Auftragnehmer und Hersteller.
6. Berichtswesen mit Kennzahlen.
7. Informationssicherheit und Datenschutz.
8. Exit und Übergabe an einen Nachfolger.
9. Vergütung: Pauschale für den Betrieb, Abrufkontingent für Changes, Festpreise für die Transition.

Das Mengengerüst ist der am häufigsten unterschätzte Teil. Ohne Zahlen kalkulieren Bieter mit Annahmen, und die Angebote unterscheiden sich vor allem in diesen Annahmen.

Betriebsaufgaben konkret beschreiben

«Betrieb der Lösung» ist keine Leistungsbeschreibung. Beschreiben Sie Aufgaben, die man prüfen kann:

SLA: «24/7» ist keine Zahl

Rund um die Uhr kann vieles bedeuten: Erreichbarkeit einer Hotline, Reaktion durch eine qualifizierte Person oder Wiederherstellung des Dienstes. Definieren Sie Prioritäten und für jede Priorität drei Werte. Die folgenden Zahlen sind nur ein Beispiel für den Aufbau, keine Empfehlung für Ihren Fall:

Legen Sie fest, wer die Priorität setzt, wie gemessen wird (Ticketzeitstempel), welche Zeiten nicht zählen (Herstellerstörung, Wartung nach Ankündigung) und welche Folgen eine Verfehlung hat. Malusregelungen sollten zum Auftragswert passen. Unrealistisch hohe Vertragsstrafen führen zu Risikoaufschlägen oder zu weniger Angeboten.

Verantwortungsmatrix: wer macht was

Die meisten Betriebsprobleme entstehen an Schnittstellen. Eine RACI-Matrix (verantwortlich, rechenschaftspflichtig, konsultiert, informiert) gehört deshalb in die Vergabeunterlagen, nicht erst ins Kickoff:

Bei beigestellten Lizenzen ist die Abgrenzung besonders wichtig. Wer beim Hersteller den Support-Fall eröffnet, wer Zugang zur Herstellerkonsole hat und wer bei Mengenänderungen nachbestellt, muss vorher feststehen.

Informationssicherheit, Datenschutz, Datenstandort

• Auftragsverarbeitung: Der Dienstleister verarbeitet Mailinhalte und Sicherungen. Der Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO gehört mit allen Unterauftragsverarbeitern einschliesslich Hersteller in die Unterlagen, nicht in die Zeit nach dem Zuschlag.
• Datenstandort: Fordern Sie Angaben, wo Archiv- und Sicherungsdaten liegen, und ob Daten die EU verlassen können, auch für Support-Zugriffe.
• Nachweise: ISO/IEC 27001 des Dienstleisters und des Herstellers, im Gesundheitswesen für Cloud-Dienste mit Gesundheitsdaten ein C5-Testat Typ 2 oder gleichwertig nach § 393 SGB V.
• Berufsgeheimnis: Bei Kliniken und anderen Berufsgeheimnisträgern sind Dienstleister als mitwirkende Personen zur Verschwiegenheit nach § 203 StGB zu verpflichten.
• Administrative Zugänge: Persönliche Konten, MFA, keine geteilten Administratorkonten, Protokollierung, Zugriff nur aus definierten Umgebungen.

Exit: das Vertragsende mitdenken

Archiv und Datensicherung sind die Teile eines Security-Betriebs, die am längsten nachwirken. Eine Exit-Regelung sollte mindestens enthalten: vollständige Herausgabe der Archivdaten in einem herstellerunabhängigen Format, Übergabe der Konfiguration und Dokumentation, Unterstützung eines Nachfolgers über einen festgelegten Zeitraum zu vereinbarten Sätzen und eine nachweisliche Löschung beim Dienstleister. Bei beigestellten Lizenzen bleiben die Lizenzen beim Auftraggeber. Klären Sie, ob Konsolenzugänge und Herstellerverträge auf den Auftraggeber laufen, sonst ist der Wechsel des Dienstleisters faktisch ein Produktwechsel.

Eignungs- und Zuschlagskriterien

Bei der Eignung fragen Sie, ob ein Bieter den Auftrag grundsätzlich ausführen kann. Nach § 46 Abs. 3 Nr. 1 VgV können Referenzen aus den letzten höchstens drei Jahren verlangt werden. Formulieren Sie diese so, dass sie das Risiko abbilden, aber den Wettbewerb nicht unnötig verengen. «Drei Referenzen mit genau diesem Produkt in Kliniken mit mehr als 3000 Postfächern» schliesst geeignete Bieter aus. «Referenzen zum Betrieb von Mail-Security für Exchange Online mit vergleichbarem Umfang» trifft den Kern.

Beim Zuschlag geht es um das wirtschaftlichste Angebot. § 58 Abs. 2 VgV erlaubt neben dem Preis qualitative Kriterien, darunter Organisation, Qualifikation und Erfahrung des eingesetzten Personals, wenn diese die Qualität der Ausführung erheblich beeinflussen. Bei einem Security-Betrieb ist das der Fall. Sinnvolle Bewertungskriterien sind:

• Konzept für Transition und Abnahme mit Zeitplan und Risiken
• Betriebskonzept: Überwachung, Eskalation, Vertretung, Erreichbarkeit
• Qualifikation des Kernteams, etwa Zertifizierungen für Exchange Online und Microsoft 365 Security, nachweisbar an benannten Personen
• Vorgehen bei Sicherheitsvorfällen inklusive Unterstützung der Meldepflichten
• Exit-Konzept

Die UfAB 2018 beschreibt Bewertungsmethoden für solche Kombinationen aus Preis und Leistung, unter anderem die einfache und die erweiterte Richtwertmethode. Legen Sie Gewichtung, Punkteskala und Bewertungsmassstab vorab offen. Konzepte ohne Bewertungsmassstab lassen sich weder sauber bewerten noch rechtssicher begründen.

Typische Fehler in Ausschreibungen

• «24/7» ohne Unterscheidung zwischen Erreichbarkeit, Reaktion und Wiederherstellung
• Kein Mengengerüst, oder eines ohne freigegebene Postfächer und Archive
• Lizenzen beigestellt, aber Lizenzverwaltung und Herstellerkontakt ungeregelt
• Exchange-Online-Konfiguration nicht im Leistungsumfang, obwohl der Dienst ohne Connectors nicht funktioniert
• Restore-Tests nicht gefordert, nur «Datensicherung»
• Auftragsverarbeitung, Unterauftragsverarbeiter und Datenstandort erst nach dem Zuschlag
• Kein Exit, keine Datenherausgabe
• Zuschlag allein über den Preis bei einer Leistung, deren Qualität am Personal hängt
• Referenzanforderungen, die nur ein oder zwei Anbieter erfüllen können

Aus Sicht der Bieter

Für Bieter lohnt sich die Bieterfragenphase mehr als jede Kalkulation. Fehlen Mengengerüst, Prioritätsdefinitionen oder RACI, fragen Sie nach. Die Antworten gehen an alle Bieter und verbessern die Vergleichbarkeit. Weitere Punkte:

• Unklarheiten über Bieterfragen klären, nicht über Annahmen im Angebot. Eigene Vorbehalte oder abweichende Bedingungen können als Änderung der Vergabeunterlagen gewertet werden und führen dann zum Ausschluss.
• Nur zusagen, was messbar erfüllbar ist. Eine Reaktionszeit von 15 Minuten nachts setzt eine echte Rufbereitschaft voraus.
• Kooperationen sauber erklären: Bietergemeinschaften, Nachunternehmer und Eignungsleihe nach § 47 VgV sind zulässig, müssen aber mit den geforderten Erklärungen eingereicht werden.
• Konzepte am Bewertungsmassstab ausrichten. Bewertet wird, was gefragt ist, nicht was man gern erzählt.

Fazit

Eine gute Ausschreibung für M365-Security als Managed Service beschreibt nicht das Produkt, sondern den Betrieb: wer was tut, wie schnell, mit welchem Nachweis und was am Ende mit den Daten passiert. Das kostet vorher Zeit und spart sie während der Laufzeit doppelt. Wie wir einen solchen Betrieb aufsetzen, steht auf unserer Seite zum M365-Security Managed Service. Welche Fragen bei der Ablösung bestehender Produkte zu klären sind, beschreibt der Artikel Mail-Gateway und M365-Backup konsolidieren.

Nils Lappenbusch

Founder & Technology Architect, Lappenbusch

Schreibt hier über Probleme, die in echten Projekten auftreten: Microsoft 365, Security, Automatisierung und digitale Systeme. Hängen Sie gerade an genau diesem Thema? Dann lösen wir es gemeinsam, von der Diagnose bis zur Umsetzung. Microsoft-365-Mandate übernehmen wir derzeit nur in Deutschland.

Kontakt aufnehmen