Was ist ein Security-Awareness-Leistungsverzeichnis?
Der Mensch ist das häufigste Einfallstor für Cyberangriffe: Ein unbedachter Klick auf eine Phishing-Mail genügt, um Ransomware oder Datenabfluss auszulösen. Security-Awareness-Lösungen begegnen dem mit kontinuierlicher Schulung, die E-Learning-Trainings mit simulierten Phishing-Angriffen verbindet, damit Beschäftigte Angriffe im Alltag zuverlässig erkennen. Für Behörden und Kliniken ist das zunehmend verpflichtend, etwa im Rahmen von ISO 27001 oder der IT-Sicherheitsförderung für Krankenhäuser (KHZG).
Unser Muster-LV für Security-Awareness beschreibt die herstellerneutrale Beschaffung einer Awareness-Lösung: von den Trainingsinhalten und der Plattform über die Phishing-Simulation bis zu Kampagnensteuerung, Reporting und datenschutzkonformem Betrieb. Es ist auf öffentliche Verwaltung, Kliniken und kritische Infrastrukturen ausgerichtet und orientiert sich am BSI IT-Grundschutz (Baustein ORP.3 Sensibilisierung und Schulung) sowie an der DSGVO.
Für wen geeignet?
Leistungsumfang des Muster-LV Security-Awareness
Trainingsinhalte & E-Learning-Plattform
Der erste Abschnitt beschreibt die Lernplattform und ihre Inhalte. Wir fordern eine praxisnahe Kursbibliothek zu den relevanten Themen: Phishing, Passwortsicherheit, Social Engineering, Datenschutz nach DSGVO, sicheres mobiles Arbeiten und der Umgang mit sensiblen Daten. Wichtig ist das Format: kurze, wiederkehrende Micro-Learnings statt einmaliger Frontalschulung, SCORM-Fähigkeit für die Anbindung an ein vorhandenes Lernmanagementsystem, sowie zielgruppen- und rollenspezifische Zuweisung. Weil öffentliche Stellen alle Beschäftigten erreichen müssen, verankern wir zusätzlich deutsche Sprache und barrierefreie Inhalte als verbindliche Anforderung.
Phishing-Simulation
Wissen allein schützt nicht, es muss unter realen Bedingungen geübt werden. Dieser Abschnitt fordert regelmäßige, realistische Phishing-Simulationen mit einer Vorlagenbibliothek und der Möglichkeit eigener Templates, die Messung von Klick- und Melderaten sowie einen unmittelbaren Lernmoment, wenn jemand auf eine simulierte Mail klickt. Ebenso verankern wir die Integration eines Melde-Buttons in Outlook oder Microsoft 365, damit verdächtige Mails leicht gemeldet werden können. Entscheidend und ausdrücklich gefordert: Die Auswertung erfolgt datenschutzkonform ohne Bloßstellung einzelner Personen, was in Ausschreibungen häufig fehlt und später zu Konflikten mit dem Personalrat führt.
Kampagnensteuerung & Reporting
Awareness ist ein fortlaufender Prozess, der gesteuert und nachgewiesen werden muss. Unser Leistungsverzeichnis fordert eine Kampagnenplanung mit Automatisierung, die Zuweisung nach Organisationseinheiten sowie ein aussagekräftiges Reporting mit Awareness-Reifegrad und KPIs. Für die Leitungsebene sind verständliche Management-Berichte und Benchmarks wichtig, für Audits nach ISO 27001 oder im Rahmen des KHZG die belastbaren Nachweise über durchgeführte Schulungen. Reale Ausschreibungsunterlagen zu Security-Awareness-Projekten im öffentlichen Sektor finden Sie als Referenz im Vergabe-Archiv.
Betrieb, Datenschutz & Integration
Als SaaS-Lösung verarbeitet eine Awareness-Plattform personenbezogene Daten aller Beschäftigten, deshalb ist der Datenschutz zentral. Der letzte Abschnitt fordert ein Hosting in Deutschland oder der EU, einen Auftragsverarbeitungsvertrag nach DSGVO, die Anbindung an Verzeichnisdienste (Active Directory, Entra ID) mit Single Sign-on sowie ein sauberes Rollen- und Rechtekonzept. Weil die Auswertung von Lern- und Klickdaten mitbestimmungspflichtig ist, verankern wir Anonymisierung und die Einbindung des Personalrats ausdrücklich. Für die vergaberechtlich saubere Gestaltung des Verfahrens unterstützt Sie bei Bedarf unsere IT-Ausschreibungsunterstützung.
Quellen
- BSI: „IT-Grundschutz-Kompendium", Baustein ORP.3 Sensibilisierung und Schulung, 2023, bsi.bund.de.
- ISO/IEC: „ISO/IEC 27001 Informationssicherheits-Managementsysteme" (Awareness-Anforderungen), iso.org.
Technische Details
| Format | Microsoft Excel (.xlsx) + PDF |
| Umfang | mehr als 40 Leistungspositionen |
| Sprache | Deutsch |
| Vergaberecht | GWB, VgV, UVgO konform |
| Normen | BSI IT-Grundschutz (ORP.3), ISO/IEC 27001 |
| Umfasst | Plattform, Trainings, Phishing-Simulation, Reporting |
| Stand | 2026 (regelmäßige Revision) |
| Lieferung | Innerhalb von 5 Werktagen nach Zahlung |
| Nutzungsrecht | Einfach, für eigene Organisation |
Muster-LV: Security-Awareness
- aus vergangenen Projekten entwickelt
- BSI IT-Grundschutz (ORP.3) orientiert
- Plattform, Trainings & Phishing-Simulation
- datenschutzkonform, Hosting DE/EU
- GWB / VgV / UVgO konform
- Stand 2026 (regelmäßige Revision)
- E-Mail Support inklusive
