Backup und Notfallwiederherstellung ausschreiben

Mögliche Elemente einer Leistungsbeschreibung

Kerninhalte der Leistungsbeschreibung

• Zu sichernde Systeme und Mengengerüst: Art und Anzahl der zu sichernden Systeme (physische und virtuelle Server, Datenbanken, Dateidienste, Fachverfahren, Endgeräte, Cloud-Dienste), zu sicherndes Datenvolumen einschließlich jährlicher Zuwachsrate, Standorte sowie unterstützte Plattformen und Anwendungen.
• RPO und RTO je Kritikalität: maximal tolerierbarer Datenverlust (RPO) und maximal tolerierbare Wiederanlaufzeit (RTO), gestaffelt nach Kritikalität der Systeme; Sicherungshäufigkeit und Sicherungszeitfenster, abgeleitet aus einer Business-Impact-Analyse.
• Sicherungsstrategie (3-2-1-Regel): mindestens drei Datenkopien auf zwei unterschiedlichen Medientypen, davon eine Kopie an einem getrennten Standort (offsite); optional eine offline oder unveränderliche Kopie (3-2-1-1-0).
• Unveränderlichkeit gegen Ransomware: unveränderliche (immutable) oder logisch getrennte (air-gapped) Sicherungen, die weder durch Angreifer noch durch administrative Zugriffe innerhalb der Aufbewahrungsfrist gelöscht oder verändert werden können; Schutz der Backup-Infrastruktur selbst.
• Aufbewahrung (Retention) und Versionierung: Aufbewahrungsfristen je Datenklasse, Anzahl vorzuhaltender Wiederherstellungspunkte, Trennung von kurzfristigem und Langzeitbestand sowie ein rechtskonformes Löschkonzept.
• Verschlüsselung: Verschlüsselung der Sicherungsdaten bei Übertragung und Speicherung nach anerkanntem Stand der Technik sowie ein Konzept für Schlüsselverwaltung und Zugriffstrennung.
• Georedundanz und Standort: räumlich getrennte Speicherung an mindestens zwei Standorten mit ausreichendem Abstand, Datenhaltung in der EU beziehungsweise in Deutschland, ggf. Orientierung an den BSI-Vorgaben zu georedundanten Rechenzentren.
• Wiederherstellungstests: regelmäßige, dokumentierte Wiederherstellungs- und Notfallübungen (z. B. jährlich oder halbjährlich), Nachweis der Einhaltung von RPO/RTO sowie granulare Wiederherstellung von einzelnen Dateien bis zum kompletten System.
• Monitoring und Reporting: Überwachung der Sicherungsläufe, Alarmierung bei Fehlläufen, revisionssichere Protokolle und regelmäßige Berichte für Leitung, IT-Sicherheit und Datenschutz.
• Service Level (SLA) und Verfügbarkeit: Verfügbarkeit der Backup- und Wiederherstellungsdienste, garantierte Wiederherstellungszeiten je Kritikalität, Reaktions- und Wiederanlaufzeiten im Störfall, Wartungsfenster, Support-Sprache Deutsch und Standort der Leistungserbringung.
• Datenschutz und Sicherheit: Auftragsverarbeitung (Art. 28 DSGVO) mit Auftragsverarbeitungsvertrag, Datenlokalisierung (EU/Deutschland), Zugriffs- und Rollenkonzept, Trennung von Betriebs- und Backup-Administration sowie Löschkonzept, da Sicherungen personenbezogene Daten enthalten.
• Standards und Nachweise: Bezug zum BSI IT-Grundschutz (u. a. Baustein CON.3 Datensicherungskonzept und die Bausteine des Notfallmanagements/BCM) und ggf. zu Anforderungen aus NIS2/KRITIS; Nachweise wie ISO/IEC 27001 stets mit Gleichwertigkeitsklausel.
• Betrieb, Einführung und Exit: Onboarding- und Transitionsphase mit Anbindung der Systeme, Abnahmekriterien, Mitwirkungspflichten des Auftraggebers sowie geordnete Rückgabe der Daten und Löschung beim Auftragnehmer am Vertragsende (Datenrückgabe und Exit).

Zusätzliche Funktionen

• Anomalie- und Ransomware-Erkennung innerhalb der Sicherungsdaten zur frühzeitigen Warnung vor kompromittierten Backups.
• Isolierte Wiederherstellungsumgebung (Clean Room / Isolated Recovery Environment) zur sauberen Wiederherstellung nach einem Angriff.
• Automatisierte Wiederanlauf-Orchestrierung mit definierten Wiederherstellungsreihenfolgen (Runbooks) für Fachverfahren.
• Anbindung an ein Security Information and Event Management (SIEM) und an das Notfallmanagement (BCM).
• Kontinuierliche Replikation für Systeme mit sehr niedrigem RPO sowie Failover-/Failback-Verfahren.

Wertungskriterien

Für Backup und Disaster Recovery empfiehlt sich eine Wertung nach dem besten Preis-Leistungs-Verhältnis (§ 127 GWB) mit nachvollziehbarer Gewichtung. Die UfAB-Methodik (einfache oder erweiterte Richtwertmethode) bietet dafür einen bewährten Rahmen. Ein Preisanteil deutlich unter 30 % oder über 70 % sollte begründet werden. Zu beachten ist, dass das Preismodell (nach Datenvolumen, nach Anzahl der Systeme oder als Grundentgelt zuzüglich Speicherstufen) die Gesamtkosten über die Laufzeit stark beeinflusst; eine Wertung nur des Einstiegspreises greift zu kurz.

Fachliche Wertungskriterien

• Zuverlässige Einhaltung der geforderten RPO- und RTO-Werte, nachgewiesen über Konzept und ggf. Teststellung.
• Schutz gegen Ransomware durch Unveränderlichkeit (Immutability) und logische Trennung der Sicherungen.
• Georedundanz, Datenlokalisierung (EU/Deutschland) und Verschlüsselungskonzept.
• Umfang und Granularität der Wiederherstellung (einzelne Datei bis vollständiges System) sowie Wiederherstellungsgeschwindigkeit.
• Qualität von Monitoring, Reporting und dokumentierten Wiederherstellungstests.
• Einführungs- und Transitionskonzept sowie Betriebs- und Zusammenarbeitsmodell; ggf. Bewertung anhand einer Teststellung (Proof of Concept) oder eines Fachgesprächs zu realistischen Wiederanlaufszenarien.

Nichtfachliche Wertungskriterien

• Preis über die Gesamtlaufzeit (Grund- und Speicherentgelte, Betriebskosten, Preis je zusätzlichem System oder je Datenvolumen-Stufe, Kosten für Wiederherstellungen und Optionen).
• ggf. Kriterien der digitalen Souveränität (Interoperabilität, offene Schnittstellen und Exportformate, Datenlokalisierung), seit 01.07.2026 ausdrücklich zulässig (§ 127 GWB).

Eignungskriterien (Referenzen, Zertifikate, wirtschaftliche Leistungsfähigkeit) gehören in die Eignungsprüfung (§ 122 GWB), nicht in die Angebotswertung. Referenzen sollten KMU-freundlich gestaltet sein (z. B. drei vergleichbare Backup-/DR-Referenzen aus 36 Monaten); Mindestumsatzforderungen höchstens das Zweifache des Auftragswerts (§ 45 VgV).

Größte Unterschiede bei den durchgeführten Vergaben

• Betriebsmodell: On-Premises-Lösung in Eigenbetrieb vs. Rechenzentrums-Dienst vs. Managed Service (Backup-as-a-Service).
• Leistungstiefe: reine Backup-Software vs. Backup inklusive Betrieb vs. vollständiges Backup- und Wiederanlaufkonzept mit garantierten RTO.
• RPO/RTO-Anforderungen: stark unterschiedliche Vorgaben je nach Kritikalität, von täglicher Sicherung bis zu nahezu verlustfreier Replikation.
• Ransomware-Schutz: unterschiedliche Anforderungen an Unveränderlichkeit, Air-Gap und isolierte Wiederherstellung.
• Datenhaltung: Anforderungen an Georedundanz, Datenlokalisierung (EU/Deutschland) und Aufbewahrungsfristen.

Fazit und Best Practices

• Gegenstand, zu sichernde Systeme und Mengengerüst (Datenvolumen, Zuwachs) präzise und produktneutral beschreiben.
• RPO und RTO je Kritikalität aus einer Business-Impact-Analyse ableiten und verbindlich festschreiben.
• 3-2-1-Regel und Unveränderlichkeit (Immutability) gegen Ransomware fordern und die Backup-Infrastruktur selbst schützen.
• Georedundanz, Verschlüsselung und Datenlokalisierung (EU/Deutschland) klar festlegen.
• Regelmäßige, dokumentierte Wiederherstellungstests als Nachweispflicht verankern.
• Datenschutz (AVV, Löschkonzept) und die Anforderungen aus BSI IT-Grundschutz (CON.3) und Notfallmanagement (BCM) berücksichtigen.
• Preis über die Gesamtlaufzeit werten, nicht nur den Einstiegspreis; Teststellung oder Fachgespräch erwägen.
• Eignung KMU-freundlich gestalten; Nachweise mit Gleichwertigkeitsklausel; EVB-IT als Vertragsgrundlage nutzen.
• Einführungs- und Exit-Phase inklusive Datenrückgabe und Löschung vertraglich absichern.