Ein defekter Server ist für eine Verwaltung selten nur ein technisches Problem. Fällt die Plattform für Anmeldungen, Bewilligungen oder interne Kommunikation aus, geraten Abläufe ins Stocken, die Bürgerinnen und Bürger unmittelbar betreffen. Deshalb beginnt IT-Sicherheit nicht erst bei der Auswahl einer Firewall. Sie beginnt bei der Frage, wie eine Behörde ihre digitalen Leistungen beschafft, bewertet und dauerhaft betreibt.
Wer sich einen Überblick über geeignete Anbieter, Lösungen und Ausschreibungsfelder verschafft, kann Anforderungen früher und genauer formulieren. Eine Recherche zur sicherheitsdirektion kanton zürich zeigt beispielhaft, wie öffentliche Stellen technische Leistungen in einen organisatorischen Kontext einordnen können. Der interessante Punkt liegt dabei nicht im einzelnen Produkt. Entscheidend ist, ob die Beschaffung auch dann trägt, wenn ein Dienstleister ausfällt, ein Angriff erkannt wird oder sich gesetzliche Vorgaben ändern.
Der unterschätzte Zusammenhang zwischen Dienstleistung und Sicherheit
Verwaltungen kaufen heute viele digitale Leistungen als Paket ein: Hosting, Support, Identitätsverwaltung, Fachanwendungen, Druckdienste und mobile Arbeitsplätze können bei unterschiedlichen Unternehmen liegen. Jede Schnittstelle erweitert den Kreis der Beteiligten. Damit wachsen auch die Fragen, die eine Ausschreibung beantworten muss. Wer darf auf welche Daten zugreifen? Wie werden Administratorenkonten geschützt? Wo liegen Sicherungskopien? Wie schnell muss ein Anbieter einen Vorfall melden?
Eine Leistungsbeschreibung, die nur Verfügbarkeit und Preis nennt, greift zu kurz. Sie sollte das konkrete Schutzbedürfnis der betroffenen Informationen abbilden. Personendaten, Akten aus laufenden Verfahren oder interne Lageinformationen benötigen andere Kontrollen als öffentlich zugängliche Inhalte. Die Behörde muss deshalb vor der Marktrecherche klären, welche Daten verarbeitet werden, welche Folgen ein Ausfall hätte und welche Arbeitsabläufe besonders zeitkritisch sind.
Das hilft auch bei der späteren Bewertung. Ein günstiges Angebot kann hohe Folgekosten verursachen, wenn die Verwaltung bei einem Wechsel Daten mühsam migrieren muss oder der Anbieter keine verwertbaren Protokolle liefert. Ein etwas höherer Preis kann dagegen sinnvoll sein, wenn er getestete Wiederanlaufverfahren, nachvollziehbare Rollenmodelle und verlässliche Unterstützung im Krisenfall einschließt.
Vier Prüfsteine für belastbare Ausschreibungen
Öffentliche Auftraggeber müssen technische Details nicht selbst bis ins letzte Protokollformat vorgeben. Sie sollten aber die Ergebnisse verlangen, die für einen sicheren Betrieb zählen. Dazu gehören klare Nachweise, prüfbare Fristen und Regelungen für den Fall, dass die Zusammenarbeit endet. Die folgenden Punkte lassen sich auf viele IT-Leistungen übertragen:
- Zugriffsrechte: Der Anbieter beschreibt, wie Konten eingerichtet, freigegeben, überprüft und bei einem Rollenwechsel entfernt werden.
- Protokollierung: Die Lösung erfasst relevante Zugriffe und Änderungen so, dass die Verwaltung Vorgänge zeitnah nachvollziehen kann.
- Wiederanlauf: Das Angebot nennt Sicherungsintervalle, Wiederherstellungsziele und den Ablauf eines praktischen Tests.
- Vorfallmanagement: Meldewege, Ansprechpartner und Reaktionszeiten stehen vor Vertragsbeginn fest.
- Datenübergabe: Der Vertrag regelt, in welchem Format die Verwaltung ihre Daten bei einem Anbieterwechsel erhält und wann Kopien gelöscht werden.
Diese Anforderungen sind wirksamer, wenn die Verwaltung sie mit einem Szenario verbindet. Ein Beispiel: Am Montagmorgen ist die zentrale Fachanwendung nicht erreichbar, während ein Teil der Beschäftigten im Homeoffice arbeitet. Welche Ersatzprozesse greifen? Wer entscheidet über die Kommunikation? Wie erhält der Support die nötigen Logdaten? Solche Fragen machen sichtbar, ob ein Konzept im Alltag funktioniert oder nur auf dem Papier vollständig wirkt.
Lieferantenrisiken gehören in die laufende Steuerung
Mit der Vertragsunterzeichnung endet die Beschaffungsarbeit nicht. Anbieter wechseln Personal, lagern Teilaufgaben aus oder stellen Produkte um. Auch Sicherheitsstandards entwickeln sich weiter. Eine Verwaltung braucht deshalb einen festen Rhythmus für die Überprüfung ihrer wichtigsten IT-Partner. Dabei geht es nicht darum, jede Woche neue Zertifikate anzufordern. Sinnvoller ist eine risikobasierte Kontrolle.
Für besonders schützenswerte Systeme kann die Behörde jährliche Nachweise, Wiederherstellungstests und Gespräche zu offenen Maßnahmen verlangen. Bei weniger kritischen Leistungen reichen unter Umständen eine aktualisierte Kontaktliste und eine Prüfung der vereinbarten Servicewerte. Die Einstufung sollte dokumentiert werden. Sonst behandelt die Organisation den langjährigen Druckerlieferanten am Ende genauso wie den Betreiber eines zentralen Identitätsdienstes.
Auch die Vertragslaufzeit beeinflusst das Risiko. Eine lange Bindung kann Planungssicherheit bringen, erschwert aber den Wechsel, wenn ein Anbieter dauerhaft schwache Leistungen liefert. Ausstiegsrechte, Übergangsunterstützung und exportierbare Daten senken diese Abhängigkeit. Wer diese Punkte erst während einer Krise verhandeln will, hat meist eine schlechte Ausgangslage.
Der Mensch entscheidet über den Betrieb
Technische Schutzmaßnahmen verlieren an Wirkung, wenn Beschäftigte ihre Zuständigkeiten nicht kennen. Mitarbeitende müssen wissen, wohin sie eine verdächtige E-Mail, einen verlorenen Zugang oder eine ungewöhnliche Systemmeldung melden. Führungskräfte brauchen klare Schwellen für die Eskalation. Der externe Dienstleister muss erkennen können, ob eine Anfrage aus einem normalen Supportfall oder aus einem Sicherheitsvorfall entsteht.
Kurze, wiederkehrende Übungen helfen dabei mehr als ein einmalig verschicktes Merkblatt. Eine Verwaltung kann zum Beispiel einen simulierten Ausfall der Fachanwendung durchspielen und dabei beobachten, wie schnell die richtigen Personen zusammenfinden. Danach werden Rollen, Rufnummern und Ersatzverfahren angepasst. Die Übung muss keinen spektakulären Angriff nachstellen. Ein falsch konfiguriertes Update oder ein ausgefallener Cloud-Dienst reicht, um Schwachstellen im Ablauf sichtbar zu machen.
Bei der Beschaffung sollten Auftraggeber deshalb auch Leistungen für Einweisung, Dokumentation und Wissenstransfer berücksichtigen. Eine Lösung, die nur von einer einzelnen Person beim Anbieter verstanden wird, schafft ein zusätzliches Betriebsrisiko. Gute Unterlagen erklären nicht jede technische Einzelheit, sondern zeigen, welche Entscheidung in welcher Situation zu treffen ist.
Von der Einzelbestellung zur widerstandsfähigen Beschaffung
Eine sichere IT-Beschaffung entsteht aus mehreren kleinen Entscheidungen. Die Verwaltung definiert Schutzbedarf und Abhängigkeiten, formuliert überprüfbare Anforderungen, bewertet Anbieter nach dem erwarteten Betriebsrisiko und plant den späteren Wechsel gleich mit. Danach kontrolliert sie, ob die vereinbarten Leistungen tatsächlich erbracht werden. Dieser Ablauf lässt sich auf neue Projekte übertragen, ohne jedes Mal ein vollständig neues Verfahren zu erfinden.
Besonders hilfreich ist ein zentrales Register für Verträge, Systeme, Datenarten, Verantwortliche und Fristen. Dort kann die Behörde festhalten, wann ein Wiederherstellungstest stattgefunden hat, welche offenen Maßnahmen ein Anbieter bearbeitet und wann eine Vertragsprüfung ansteht. Ein solches Register ersetzt keine Sicherheitsarchitektur. Es verhindert aber, dass wichtige Informationen zwischen Fachamt, IT-Abteilung, Einkauf und externem Dienstleister verloren gehen.
Damit wird IT-Sicherheit zu einem festen Teil der Verwaltungssteuerung. Die Frage lautet dann nicht nur, welche Software angeschafft werden soll. Sie lautet auch, wie die Organisation ihren Service bei Störungen aufrechterhält, Verantwortlichkeiten sichtbar macht und Abhängigkeiten begrenzt. Genau diese Perspektive macht aus einer kurzfristigen Bestellung eine Beschaffung, die den Alltag einer Behörde über Jahre hinweg zuverlässig unterstützt.