Fast alle Anbieter beantworten die zentralen Anforderungen an ein Security Operations Center mit denselben Zusagen. Vergleichbar werden die Angebote erst, wenn Mengengerüst, Reaktionszeiten, Eingriffsbefugnis und Exit als eigene Positionen im Leistungsverzeichnis stehen.
Dieser Leitfaden knüpft an unseren Fachbeitrag „SOC-Ausschreibungen: 7 Fragen, die Auftraggeber vorab klären sollten" im Vergabeblog an. Dort geht es um die Fragen, die vor der Veröffentlichung geklärt sein sollten. Hier zeigen wir, wie die Antworten darauf in ein Leistungsverzeichnis wandern, das am Ende vergleichbare Angebote erzeugt.
Der Markt für Security Operations Center ist in Bewegung. Seit dem 6. Dezember 2025 gilt das NIS-2-Umsetzungsgesetz, und Systeme zur Angriffserkennung sind im BSIG ausdrücklich benannt. Betreiber kritischer Anlagen müssen deren Einsatz regelmäßig nachweisen, der Nachweiszyklus liegt seit dem Inkrafttreten bei drei Jahren.
In unserer Auswertung des Vergabe-Archivs schlägt sich das deutlich nieder: Verfahren mit ausdrücklichem Bezug zu Security Operations Center, Angriffserkennung oder Managed Detection and Response sind von 9 Bekanntmachungen im Jahr 2023 auf 105 im Jahr 2025 gestiegen. Für 2026 liegen wir zur Jahresmitte bereits bei 60.
Erfahrungsgemäß entsteht das eigentliche Problem nicht bei der Anbieterauswahl, sondern lange vorher: Die Leistung wird zu grob beschrieben. Wer „ein SOC mit 24/7-Monitoring und schneller Reaktion" ausschreibt, bekommt von jedem Anbieter ein Ja und am Ende Preise, die um den Faktor drei auseinanderliegen, ohne dass die Unterschiede aus den Angeboten hervorgehen. Die Wertung entscheidet dann faktisch der Preis, und den niedrigsten Preis macht selten das passendste Setup.
Kein Anbieter kann seriös kalkulieren, ohne zu wissen, was überwacht werden soll. Trotzdem fehlt das Mengengerüst in vielen Vergabeunterlagen komplett oder steht nur als Schätzung im Fließtext. Als Auftraggeber sollten Sie es zur verbindlichen Grundlage machen und im Leistungsverzeichnis als eigene Positionen führen.
| Angabe | Warum sie in die Unterlagen gehört |
|---|---|
| Log-Quellen nach Typ | Firewalls, Endpoints, Server, Cloud-Dienste und Identitätsdienste erzeugen sehr unterschiedliche Datenmengen und Auswertungsaufwände. |
| Events pro Sekunde (EPS) | Der zentrale Kostentreiber. Ohne EPS-Angabe kalkuliert jeder Anbieter mit eigenen Annahmen, und die Angebote werden unvergleichbar. |
| Anzahl Assets und Standorte | Bestimmt Onboarding-Aufwand und Lizenzmodell, oft auch die Zahl der benötigten Collectors. |
| Aufbewahrungsdauer | Trennen Sie heiße Vorhaltung für die Analyse von der Archivierung. Beides getrennt ausweisen, sonst zahlen Sie Analysepreise für Archivdaten. |
| Use Cases | Benennen Sie die Anwendungsfälle, die abgedeckt sein müssen, statt eine Gesamtzahl zu fordern. Zahlen lassen sich mit trivialen Regeln erfüllen. |
Wenn Sie die Werte nicht kennen, ist das kein Grund, sie wegzulassen. Fordern Sie stattdessen eine Erhebungsphase als eigene Position und lassen Sie den Preis für den Regelbetrieb auf Basis eines Korridors anbieten, den Sie vorgeben. Bei der Erhebung des Mengengerüsts und der Markterkundung im Vorfeld unterstützen wir Sie im Rahmen der IT-Ausschreibungsunterstützung.
Vorlage statt leeres Blatt
Unser Muster-Leistungsverzeichnis SOC enthält das Positionsraster für Mengengerüst, Betriebsmodell, Servicelevel und Exit bereits ausformuliert, als Excel zum direkten Weiterarbeiten. Wenn Sie die Bedarfe zuerst erheben möchten, unterstützen wir Sie bei der Vorbereitung des Verfahrens.
„24/7" bedeutet nicht überall dasselbe. In der Praxis reicht die Spanne von einer dauerhaft besetzten Schicht bis zu einer Rufbereitschaft außerhalb der Bürozeiten. Beides kann tragfähig sein, aber es sind unterschiedliche Leistungen zu unterschiedlichen Preisen. Fragen Sie deshalb nicht ab, ob rund um die Uhr überwacht wird, sondern wie.
Alle vier Punkte sind im Muster-Leistungsverzeichnis SOC bereits als abfragbare Positionen hinterlegt, sodass die Angaben in den Angeboten an derselben Stelle stehen und sich nebeneinanderlegen lassen.
„Unverzüglich" und „schnellstmöglich" sind keine Servicelevel, sie sind unstreitbar und damit wertlos. Eine Reaktionszeit ist erst dann belastbar, wenn drei Dinge feststehen: ab wann gemessen wird, was als Reaktion gilt und wie berichtet wird.
| Statt | Besser im Leistungsverzeichnis |
|---|---|
| „Reaktion unverzüglich" | Zeit von der Alarmierung im System bis zur qualifizierten Rückmeldung an eine benannte Stelle, getrennt nach Kritikalität. |
| „hohe Erkennungsrate" | Anteil der Alarme, die innerhalb der vereinbarten Zeit qualifiziert wurden, monatlich berichtet. |
| „regelmäßige Berichte" | Berichtsturnus, Empfänger, Inhalt und Format, sowie ein jährlicher Bericht zur Wirksamkeit. |
Legen Sie die Kritikalitätsstufen selbst fest und ordnen Sie ihnen Zeiten zu. Überlassen Sie das dem Anbieter, definiert er die Stufen so, dass seine Zeiten eingehalten werden. Ob die zugesagten Servicelevel im laufenden Betrieb dann auch eingehalten werden, prüfen wir auf Wunsch als unabhängiges Projektmanagement für Sie mit.
Die Frage mit der größten Wirkung auf Preis und Risiko ist selten sauber beantwortet: Soll der Dienstleister im Ernstfall nur melden oder auch handeln? Ein Host isolieren, ein Konto sperren, eine Verbindung kappen: Das sind Eingriffe in Ihren Betrieb, und sie brauchen eine ausdrückliche Befugnis mit klaren Grenzen.
Regeln Sie im Leistungsverzeichnis, welche Maßnahmen der Dienstleister selbstständig ergreifen darf, welche eine Freigabe brauchen, wer diese Freigabe außerhalb der Bürozeiten erteilt und wie die Maßnahmen dokumentiert werden. Ohne diese Festlegung entsteht im Vorfall genau die Verzögerung, die das SOC verhindern sollte.
Klären Sie im selben Zug die Schnittstelle zum Incident-Response-Team: Ist es Teil der Leistung, ein separater Rahmenvertrag oder gar nicht vorhanden? Für einen Retainer haben wir ein eigenes Muster-Leistungsverzeichnis.
Beide Phasen werden regelmäßig vergessen und tauchen später als Nachtrag auf. Das Onboarding entscheidet darüber, wann die Leistung überhaupt wirksam wird, der Exit darüber, ob Sie den Anbieter wechseln können, ohne bei null anzufangen.
Ein Exit ohne Datenherausgabe ist eine faktische Bindung an den Anbieter. Bei einer Laufzeit von vier Jahren ist das eine Entscheidung, die Sie bewusst treffen sollten und nicht versehentlich.
Wenn die Leistung sauber beschrieben ist, lässt sich auch differenziert werten. Eine reine Preiswertung führt bei Sicherheitsdienstleistungen erfahrungsgemäß zum günstigsten Mengengerüst, nicht zum passendsten. Gewichten Sie deshalb die Kriterien, die den Unterschied ausmachen, und machen Sie sie an nachprüfbaren Angaben fest.
| Kriterium | Woran es sich nachprüfen lässt |
|---|---|
| Betriebsmodell | Schichtplan, Erbringungsorte, Sprachen, Vertretungsregelung |
| Reaktionsfähigkeit | zugesagte Zeiten je Kritikalität, Messpunkt, Berichtsformat |
| Erfahrung im Umfeld | Referenzen vergleichbarer Größe und Branche mit demselben Setup |
| Handlungsbefugnis | Katalog der Maßnahmen, Freigabewege, Dokumentation |
| Wechselfähigkeit | Exit-Leistungen, Datenformate, Fristen |
Liegen die Angebote vor, ist die strukturierte Auswertung der nächste Schritt. Wir vergleichen eingehende Angebote kriterienbasiert und dokumentieren die Wertung nachvollziehbar: IT-Angebotsvergleiche.
Die sieben Fragen, die Sie vor der Veröffentlichung intern klären sollten, haben wir im Vergabeblog ausführlich beschrieben, inklusive der typischen Antworten aus der Anbieterseite und woran man ausweichende Zusagen erkennt: zum Fachbeitrag im Vergabeblog.
Für die Umsetzung stellen wir ein vollständiges Muster bereit, das die hier beschriebenen Positionen bereits enthält: Muster-Leistungsverzeichnis SOC. Wenn die Angriffserkennung im Vordergrund steht, passt häufig zusätzlich das Muster-Leistungsverzeichnis SIEM. Wenn es enger um das technische System zur Angriffserkennung geht, hilft unser Leitfaden Systeme zur Angriffserkennung ausschreiben. Wie andere Auftraggeber vergleichbare Verfahren aufgebaut haben, sehen Sie im Vergabe-Archiv mit über 100.000 realen Vergabeunterlagen.
Sie möchten das Verfahren nicht allein aufsetzen? Wir begleiten öffentliche Auftraggeber von der Markterkundung über Leistungsverzeichnis und Wertungsmatrix bis zur Angebotsauswertung: IT-Ausschreibungsunterstützung.
Quellen
Vom Mengengerüst bis zur Wertungsmatrix: Wir begleiten öffentliche Auftraggeber durch das gesamte Verfahren.
Sie haben eine konkrete Beschaffung vor sich und wollen wissen, wie andere sie aufgesetzt haben? Melden Sie sich, ein Erstgespräch kostet nichts.