Unified Endpoint Management (UEM) ausschreiben

Mögliche Elemente einer Leistungsbeschreibung

Kerninhalte der Leistungsbeschreibung

• Mengengerüst und Geräteklassen: Anzahl und Verteilung der zu verwaltenden Endgeräte nach Betriebssystem (Windows, macOS, iOS, Android), Standorten und Nutzergruppen; Skalierbarkeit sowie Lizenz- und Preismodell (je Gerät, je Nutzer oder als Grundentgelt zuzüglich Staffeln).
• Inventarisierung und Asset-Management: automatische Erfassung von Hardware und Software, Lizenzbestand und Konfigurationsstand; Reporting über den Gerätebestand als Grundlage für Lizenzbilanz und Sicherheitsüberblick.
• Softwareverteilung und Paketierung: automatisierte Verteilung, Aktualisierung und Deinstallation von Anwendungen; Self-Service-Portal für Nutzer, Paketierung von Standard- und Fachanwendungen, Steuerung nach Gerätegruppen und Zeitfenstern.
• Patch-Management und Schwachstellen: Verteilung von Betriebssystem- und Anwendungs-Updates von Dritt-Herstellern, Priorisierung nach Kritikalität, Reporting über den Patch-Stand und Umgang mit nicht patchbaren Geräten.
• Betriebssystem-Deployment (OSD): automatisierte Erst- und Neuinstallation von Clients inklusive Treiber- und Anwendungsintegration, standardisierte Images oder moderne, cloudbasierte Bereitstellungsverfahren.
• MDM, MAM und Container (BYOD): Verwaltung dienstlicher Mobilgeräte sowie Mobile Application Management; Trennung dienstlicher und privater Daten über Container- oder Arbeitsprofile bei Bring Your Own Device (BYOD), Fernsperren und selektives Löschen.
• Compliance- und Konfigurationsrichtlinien: zentrale Durchsetzung von Sicherheits- und Konfigurationsvorgaben (Verschlüsselung, Passwortregeln, Freigaben), Erkennung nicht konformer Geräte und automatische Gegenmaßnahmen.
• Enrollment: Verfahren zur Geräteregistrierung, auch automatisiert über Herstellerprogramme, sowie definierter Ablauf für Ausgabe, Rückgabe und Verlust von Geräten.
• Fernwartung und Remote Support: gesicherter Fernzugriff zur Unterstützung der Nutzer, Protokollierung der Sitzungen und Zustimmungsmechanismen.
• Integration: Anbindung an Verzeichnis- und Identitätsdienste (IAM/Active Directory), an Servicedesk-/Ticketsysteme sowie an ein vorhandenes SIEM zur Auswertung sicherheitsrelevanter Ereignisse; offene Schnittstellen und Exportformate.
• Reporting: Dashboards und revisionssichere Berichte zu Gerätebestand, Patch- und Compliance-Stand, rollenbasierte Sichten für Betrieb, Datenschutz und Leitung.
• Datenschutz und Sicherheit: Auftragsverarbeitung (Art. 28 DSGVO) mit Auftragsverarbeitungsvertrag, Datenlokalisierung (EU/Deutschland), Rollen- und Berechtigungskonzept, Verschlüsselung und Löschkonzept sowie Beteiligung von Datenschutz und Personalvertretung wegen der Verarbeitung personenbeziehbarer Geräte- und Nutzungsdaten.
• Standards und Nachweise: Bezug zum BSI IT-Grundschutz (u. a. Bausteine der Schicht SYS zu Clients und Mobilgeräten sowie die Bausteine der Schicht APP zum Clientmanagement) und zu einschlägigen Sicherheitsanforderungen; Nachweise wie ISO/IEC 27001 stets mit Gleichwertigkeitsklausel.
• Betrieb und Service Level (SLA): Verfügbarkeit der Plattform, Reaktions- und Wiederherstellungszeiten je Kritikalität, Wartungsfenster, Support-Sprache Deutsch und Standort der Leistungserbringung.
• Migration: Übernahme von Geräten, Gruppen, Richtlinien und Paketen aus einer bestehenden Lösung, Parallelbetrieb und Rückfallszenarien.
• Einführung und Exit: Onboarding- und Transitionsphase mit Anbindung der Geräte, Abnahmekriterien, Mitwirkungspflichten des Auftraggebers sowie geordnete Rückgabe von Daten, Richtlinien und Konfigurationen am Vertragsende.

Zusätzliche Funktionen

• Endpoint Detection & Response (EDR) oder Anbindung an vorhandene Sicherheitslösungen zur Angriffserkennung auf den Endgeräten.
• Erweitertes Schwachstellenmanagement mit Bewertung und Nachverfolgung offener Sicherheitslücken.
• Zero-Touch-Bereitstellung neuer Geräte direkt an den Arbeitsplatz ohne manuelle Vorkonfiguration.
• Energie- und Nachhaltigkeitsberichte (z. B. Auslastung, Gerätealter als Grundlage für Ersatzbeschaffung).
• Anbindung an Notfallmanagement (BCM) und bestehende Prozesse des IT-Servicemanagements.

Wertungskriterien

Für ein UEM empfiehlt sich eine Wertung nach dem besten Preis-Leistungs-Verhältnis (§ 127 GWB) mit nachvollziehbarer Gewichtung. Die UfAB-Methodik (einfache oder erweiterte Richtwertmethode) bietet dafür einen bewährten Rahmen. Ein Preisanteil deutlich unter 30 % oder über 70 % sollte begründet werden. Zu beachten ist, dass das Lizenz- und Preismodell (je Gerät oder je Nutzer) die Gesamtkosten über die Laufzeit stark beeinflusst; eine Wertung nur des Einstiegspreises greift zu kurz.

Fachliche Wertungskriterien

• Abdeckung und Reifegrad der Verwaltung über alle geforderten Geräteklassen (Windows, macOS, iOS, Android).
• Leistungsfähigkeit von Softwareverteilung, Patch-Management und Betriebssystem-Deployment sowie Automatisierungsgrad.
• Umfang und Tiefe der Compliance- und Konfigurationsrichtlinien sowie der Trennung dienstlicher und privater Daten (BYOD).
• Integration in vorhandene Systeme (IAM/Active Directory, Servicedesk, SIEM), offene Schnittstellen und Exportformate.
• Datenschutz, Datenlokalisierung, Rollen- und Berechtigungskonzept sowie Reporting- und Nachweisfunktionen.
• Einführungs-, Migrations- und Transitionskonzept sowie Betriebs- und Zusammenarbeitsmodell.
• ggf. Bewertung anhand einer Teststellung (Proof of Concept) oder eines Fachgesprächs zu realistischen Szenarien.

Nichtfachliche Wertungskriterien

• Preis über die Gesamtlaufzeit (Lizenz-/Grundentgelte, Betriebskosten, Preis je zusätzlichem Gerät oder Nutzer, Optionen).
• ggf. Kriterien der digitalen Souveränität (Interoperabilität, offene Schnittstellen und Exportformate, Datenlokalisierung), seit 01.07.2026 ausdrücklich zulässig (§ 127 GWB).

Eignungskriterien (Referenzen, Zertifikate, wirtschaftliche Leistungsfähigkeit) gehören in die Eignungsprüfung (§ 122 GWB), nicht in die Angebotswertung. Referenzen sollten KMU-freundlich gestaltet sein (z. B. drei vergleichbare UEM-Referenzen aus 36 Monaten); Mindestumsatzforderungen höchstens das Zweifache des Auftragswerts (§ 45 VgV).

Größte Unterschiede bei den durchgeführten Vergaben

• Betriebsmodell: On-Premises-Installation in Eigenbetrieb vs. Cloud-Dienst vs. Managed Service.
• Leistungstiefe: reine Plattformbeschaffung vs. Plattform inklusive Paketierung und Betrieb vs. vollständiger Managed Service.
• Geräteumfang: reines Clientmanagement vs. reines MDM vs. echtes UEM über alle Geräteklassen hinweg.
• Preismodell: Lizenzierung je Gerät, je Nutzer oder als Grundentgelt zuzüglich Mengenstaffeln.
• Datenhaltung: Anforderungen an Datenlokalisierung (EU/Deutschland) und an die Beteiligung der Personalvertretung.

Fazit und Best Practices

• Gegenstand, Geräteklassen und Mengengerüst präzise und produktneutral beschreiben.
• Leistungsumfang eindeutig festlegen: reine Plattform, Plattform mit Betrieb oder Managed Service.
• Softwareverteilung, Patch- und Konfigurationsmanagement sowie BYOD-Trennung verbindlich festschreiben.
• Datenschutz (AVV, Datenlokalisierung) und Mitbestimmung der Personalvertretung früh klären.
• Preis über die Gesamtlaufzeit werten, nicht nur den Einstiegspreis; Teststellung oder Fachgespräch erwägen.
• Eignung KMU-freundlich gestalten; Nachweise mit Gleichwertigkeitsklausel; EVB-IT als Vertragsgrundlage nutzen.
• Migrations- und Exit-Phase inklusive Datenrückgabe vertraglich absichern.