VPN und Zero-Trust-Zugang (ZTNA) ausschreiben

Mögliche Elemente einer Leistungsbeschreibung

Kerninhalte der Leistungsbeschreibung

• Nutzer- und Standort-Mengengerüst: Zahl der benannten und der gleichzeitig aktiven Nutzer, Anzahl der Standorte und Außenstellen, anzubindende Anwendungen und Fachverfahren, Menge verwalteter und privater Endgeräte (BYOD) sowie erwartetes Wachstum über die Laufzeit.
• Authentifizierung und MFA: verpflichtende Multi-Faktor-Authentifizierung, Anbindung an vorhandene Verzeichnisdienste und Identity Provider (z. B. Active Directory, LDAP, SAML, OIDC), unterstützte zweite Faktoren (Hardware-Token, App, Smartcard) sowie Single Sign-on.
• Geräte- und identitätsbasierte Zugriffskontrolle: Prüfung von Nutzeridentität und Gerätezustand (Device Posture: Patchstand, Verschlüsselung, Virenschutz) vor jedem Zugriff, kontextabhängige Richtlinien (Rolle, Standort, Uhrzeit) und anwendungsbezogene statt netzweiter Freigabe nach dem Least-Privilege-Prinzip.
• Mikrosegmentierung und Netztrennung: feingranulare Segmentierung interner Netze, Beschränkung der Ost-West-Kommunikation, Trennung von Verwaltungs- und Fachnetzen sowie Verhinderung lateraler Bewegung im Schadensfall.
• Unterstützte Clients und Protokolle: Betriebssysteme der Clients (Windows, macOS, Linux, iOS, Android), agentenbasierter und agentenloser (browserbasierter) Zugriff, unterstützte Protokolle wie IPsec, TLS und WireGuard sowie Split- und Full-Tunnel-Betrieb.
• Verschlüsselung und Kryptografie: zeitgemäße Verschlüsselungs- und Schlüsselaustauschverfahren, Orientierung an den Technischen Richtlinien des BSI (u. a. TR-02102), Perfect Forward Secrecy sowie Umgang mit Zertifikaten und deren Lebenszyklus.
• Verfügbarkeit und Service Level (SLA): Verfügbarkeit der Gateways und des Dienstes, Redundanz und Ausfallsicherheit, maximale Anmelde- und Verbindungszeiten, Reaktions- und Wiederherstellungszeiten je Kritikalität, Wartungsfenster, Support-Sprache Deutsch und Standort der Leistungserbringung.
• Logging, Datenschutz und AVV: revisionssichere Protokollierung der Zugriffe, Auftragsverarbeitung (Art. 28 DSGVO) mit Auftragsverarbeitungsvertrag, Datenlokalisierung (EU/Deutschland), Rollen- und Berechtigungskonzept, Löschkonzept sowie Beteiligung von Datenschutz und Personalvertretung wegen der Verarbeitung personenbeziehbarer Verbindungsdaten.
• Standards und Nachweise: Bezug zum BSI IT-Grundschutz (insbesondere Baustein NET.3.3 VPN sowie die Bausteine zur Identitäts- und Berechtigungsverwaltung) und zu den Anforderungen aus NIS2/KRITIS; Nachweise wie ISO/IEC 27001 stets mit Gleichwertigkeitsklausel.
• Betrieb, Einführung und Exit: Onboarding- und Transitionsphase mit Anbindung der Anwendungen und Rollout der Clients, Abnahmekriterien, Mitwirkungspflichten des Auftraggebers, Betriebs- und Zusammenarbeitsmodell sowie geordnete Rückgabe von Konfigurationen, Richtlinien und Daten am Vertragsende.

Zusätzliche Funktionen

• Erweiterung zu einem Secure Service Edge (SSE) mit Secure Web Gateway und Cloud-Access-Kontrolle.
• Kontinuierliche Bewertung von Vertrauen und Risiko (Continuous Adaptive Trust) während der Sitzung.
• Integration in ein SIEM oder SOC zur zentralen Auswertung der Zugriffs- und Sicherheitsereignisse.
• Absicherung privilegierter Zugänge (Privileged Access) und des Fernzugriffs externer Dienstleister.
• Anbindung an ein Mobile-Device- und Endpoint-Management zur Durchsetzung der Geräteanforderungen.

Wertungskriterien

Für VPN- und ZTNA-Lösungen empfiehlt sich eine Wertung nach dem besten Preis-Leistungs-Verhältnis (§ 127 GWB) mit nachvollziehbarer Gewichtung. Die UfAB-Methodik (einfache oder erweiterte Richtwertmethode) bietet dafür einen bewährten Rahmen. Ein Preisanteil deutlich unter 30 % oder über 70 % sollte begründet werden. Zu beachten ist, dass das Lizenzmodell (nach benannten oder gleichzeitigen Nutzern, nach Anwendungen oder nach Datenvolumen) die Gesamtkosten über die Laufzeit stark beeinflusst; eine Wertung nur des Einstiegspreises greift zu kurz.

Fachliche Wertungskriterien

• Umsetzungstiefe des Zero-Trust-Prinzips (identitäts- und gerätebasierte Zugriffskontrolle, Least Privilege, Mikrosegmentierung).
• Stärke und Flexibilität der Authentifizierung (MFA-Verfahren, Anbindung vorhandener Identity Provider, Single Sign-on).
• Umfang der unterstützten Clients, Protokolle und Anwendungen sowie Aufwand für die Anbindung eigener Fachverfahren.
• Nutzerfreundlichkeit und Performance des Zugriffs (Verbindungsaufbau, Latenz, agentenloser Zugang).
• Datenschutz, Datenlokalisierung, Protokollierung sowie Rollen- und Berechtigungskonzept.
• Einführungs- und Migrationskonzept für die Ablösung des bestehenden VPN sowie Betriebs- und Zusammenarbeitsmodell.
• ggf. Bewertung anhand einer Teststellung (Proof of Concept) oder eines Fachgesprächs zu realistischen Zugriffsszenarien.

Nichtfachliche Wertungskriterien

• Preis über die Gesamtlaufzeit (Lizenz-/Grundentgelte, Betriebskosten, Preis je zusätzlichem Nutzer oder je angebundener Anwendung, Optionen).
• ggf. Kriterien der digitalen Souveränität (Interoperabilität, offene Schnittstellen und Exportformate, Datenlokalisierung), seit 01.07.2026 ausdrücklich zulässig (§ 127 GWB).

Eignungskriterien (Referenzen, Zertifikate, wirtschaftliche Leistungsfähigkeit) gehören in die Eignungsprüfung (§ 122 GWB), nicht in die Angebotswertung. Referenzen sollten KMU-freundlich gestaltet sein (z. B. drei vergleichbare VPN- oder ZTNA-Referenzen aus 36 Monaten); Mindestumsatzforderungen höchstens das Zweifache des Auftragswerts (§ 45 VgV).

Größte Unterschiede bei den durchgeführten Vergaben

• Zugangsmodell: klassisches VPN mit Netzzugang vs. anwendungsbezogener Zero-Trust-Zugang (ZTNA) vs. Mischbetrieb während der Migration.
• Betriebsmodell: On-Premises-Gateway in Eigenbetrieb vs. Cloud-Dienst vs. Managed Service.
• Client-Ansatz: agentenbasierter Zugriff mit installierter Software vs. agentenloser, browserbasierter Zugang.
• Lizenzmodell: Abrechnung nach benannten Nutzern, nach gleichzeitigen Nutzern, nach Anwendungen oder nach Datenvolumen.
• Datenhaltung: Anforderungen an Datenlokalisierung (EU/Deutschland) und an die Protokollierung der Verbindungsdaten.

Fazit und Best Practices

• Gegenstand, Nutzer- und Standort-Mengengerüst sowie anzubindende Anwendungen präzise und produktneutral beschreiben.
• VPN und ZTNA klar unterscheiden und festlegen, ob abgelöst, ergänzt oder migriert wird.
• MFA und geräte- sowie identitätsbasierte Zugriffskontrolle verbindlich verlangen; Verschlüsselung an BSI-Vorgaben orientieren.
• BSI IT-Grundschutz (u. a. NET.3.3 VPN) und NIS2/KRITIS als Anforderungsrahmen verankern.
• Datenschutz (AVV, Datenlokalisierung, Protokollierung) und Beteiligung der Personalvertretung früh klären.
• Preis über die Gesamtlaufzeit werten, nicht nur den Einstiegspreis; Teststellung oder Fachgespräch erwägen.
• Eignung KMU-freundlich gestalten; Nachweise mit Gleichwertigkeitsklausel; EVB-IT als Vertragsgrundlage nutzen.
• Einführungs-, Migrations- und Exit-Phase inklusive Datenrückgabe vertraglich absichern.