Projekt 1026: Defensives Programmieren gegen mikroarchitekturelle Angriffe (MicroScope)

Bundesamt für Sicherheit in der Informationstechnik | Vergabekammer des Bundes beim Bundeskartellamt | Datenservice Öffentlicher Einkauf (in Verantwortung des Beschaffungsamts des BMI)Bonn, Nordrhein-WestfalenVeröffentlicht: 15. September 2026

Angebotsfrist: 14. Oktober 2026

Zusammenfassung

Automatisch erstellt aus den Vergabeunterlagen

Das Bundesamt für Sicherheit in der Informationstechnik (BSI) vergibt im offenen Verfahren einen Forschungs- und Entwicklungsauftrag zum Schutz von Cloud-Anwendungen vor mikroarchitekturellen Angriffen (z. B. Spectre, Meltdown).

Gefordert sind:

ein englischsprachiger Leitfaden für defensives Programmieren,ein Software-Tool, das Schwachstellen automatisch erkennt (und idealerweise Gegenmaßnahmen vorschlägt), sowieein Demonstrator, der die Anwendung des Tools an einer Open-Source-Software zeigt.

Die Ergebnisse sollen öffentlich nutzbar sein.

Fristen: Angebote müssen bis 14.10.2026, 14:00 Uhr MESZ elektronisch über evergabe-online.de vorliegen. Vertragslaufzeit: 12 Monate.

Eignung: Mindestens 1 Referenz zu hardwarebasierten Angriffen/Schwachstellen und zu Open-Source-Softwareentwicklung; nachgewiesenes Qualitätsmanagement; qualifiziertes Personal (Projektleitung + mind. 2 weitere Teammitglieder mit Master/Diplom).

Ausschreibung ansehen ↗

Zeitplan & Fristen

Aus den Vergabeunterlagen extrahiert

Angebotsfrist: 14. Oktober 2026

Termin / FristSEP2026OKTNOVDEZJAN2027

Veröffentlichung15. Sep. 2026

Bieterfragen-Fristca. 2. Okt. 2026

Veröffentlichung beantworteter Bieterfragenca. 8. Okt. 2026

Angebotsfrist14. Okt. 2026

Bindefrist14. Okt. 2026 – 14. Jan. 2027

VertragsbeginnDatum offenVoraussichtlich nach Zuschlag; genauer Zeitpunkt ergibt sich aus Zuschlagserteilung.

VertragslaufzeitDatum offen12 Monate ab Vertragsbeginn.

Auftaktbesprechung (AP 1)Datum offenSpätestens 4 Kalenderwochen nach Auftragserteilung.

Literatursichtung (AP 2)Datum offenProjektstart bis Projektstart + 2 Monate.

Identifikation Gegenmaßnahmen (AP 3)Datum offenNach AP 2; max. 6 Monate nach Projektstart.

Leitfaden (AP 4)Datum offenSchätzwert: ca. 4 Monate bis ca. 7 Monate nach Projektstart.

Entwicklung Tool (AP 5)Datum offenSchätzwert: ca. 6 Monate bis ca. 10 Monate nach Projektstart.

Integration Tool in Leitfaden (AP 6)Datum offenSchätzwert: ca. 8 Monate bis ca. 11 Monate nach Projektstart.

Entwicklung Demonstrator (AP 7)Datum offenSchätzwert: ca. 9 Monate bis ca. 12 Monate nach Projektstart.

Abschlussveranstaltung (AP 8)Datum offen12 Monate nach Projektstart.

Vorlage PräsentationsunterlagenDatum offenMindestens 5 Werktage vor der Abschlusspräsentation.

Aktualisierter MeilensteinplanDatum offenSpätestens 6 Kalenderwochen nach Auftragserteilung.

Abnahme-PrüfungszeitraumDatum offenMindestens 1 Monat nach Bereitstellung der Leistung durch den AG.

Verjährung SachmängelDatum offen3 Jahre ab Abnahme.

Verjährung RechtsmängelDatum offen5 Jahre ab Abnahme, soweit gesetzlich nicht länger.

vor Angebotsabgabenach Angebotsabgabegeschätzt

Zuschlagskriterien

Gewichtung laut Vergabeunterlagen

Richtwertmethode0 Kriterien

Erweiterte Richtwertmethode: Kennzahl = Leistungspunkte (LP) / Bewertungspreis. Schwankungsbereich 10% unterhalb der höchsten Kennzahl. Zuschlag auf das Angebot mit der höchsten LP innerhalb des Schwankungsbereichs; bei identischer LP auf das preislich günstigere Angebot.

KI-Hinweis: Die Zuschlagskriterien sind in Kapitel 6.2.1.4 der Leistungsbeschreibung detailliert aufgelistet (KG1: inhaltliche Auseinandersetzung mit der Leistung; KG2: Projektteam und Kalkulation; KG3: Nutzungsrechte), jedoch sind im Auszug keine Gewichtungsfaktoren (GF) für KG2 (Personalprofile) und KG3 (Nutzungsrechte) erkennbar – nur KG1-Unterkriterien haben GF-Werte (30, 10, 10, 30, 50, 30 = 170, Summe aller genannten GF ergibt 245, dokumentierte LPmax-Summe 980). Vollständige GF für KG2 und KG3 fehlen im Auszug.

Leistungsumfang

Aus den Vergabeunterlagen

Überblick: Acht Arbeitspakete (AP 1–AP 8)

Der Auftrag umfasst eine Gesamtleistung aus acht Arbeitspaketen mit einer maximalen Projektdauer von 12 Kalendermonaten ab Auftragserteilung:

AP 1 – Auftaktbesprechung (Kickoff): virtuelles Kick-off, Vorgehensplanung, Festlegung der Kommunikationswege, Bereitstellung einer GIT-Plattform, Besprechungsprotokoll. Festpreis.AP 2 – Literatursichtung: elektronisch durchsuchbare, kategorisierte Liste mikroarchitektureller Angriffe, geordnet nach Ähnlichkeit der Gegenmaßnahmen. Dauer ca. 2 Monate ab Projektstart. Festpreis; nach Aufwand mit Obergrenze.AP 3 – Identifikation von Gegenmaßnahmen: detaillierte Ausarbeitung von Gegenmaßnahmen für mindestens 5 priorisierte Schwachstellen; Abstimmung des Toolumfangs mit dem Auftraggeber. Maximal 6 Monate nach Projektstart. Nach Aufwand mit Obergrenze.AP 4 – Leitfaden: englischsprachiger, praxisnaher Leitfaden zum defensiven Programmieren für mindestens 5 Schwachstellen/Gruppen, als PDF plus LaTeX-Quellcode, barrierefrei nach BITV 2.0. Nach Aufwand mit Obergrenze.AP 5 – Entwicklung Tool: Software-Tool in Rust/C/C++/Python, das mindestens 3 Schwachstellen automatisch erkennt (Quellcode oder Kompilat), Open-Source-lizenzierbar (GPLv3), lokal lauffähig ohne Cloud-KI für Kernfunktionen, mindestens 70 % Testabdeckung, Entwicklung in GIT. Materialkosten max. 10.000 € zzgl. USt. Nach Aufwand mit Obergrenze.AP 6 – Integration Tool in Leitfaden: Leitfaden wird um Tool-Anwendung und Beispiele ergänzt. Nach Aufwand mit Obergrenze.AP 7 – Entwicklung Demonstrator: Analyse einer Open-Source-Software mit dem Tool, Erklärvideo (mindestens 2 Minuten), Nachweis der Mitigation, ggf. Hardwarebeschaffung bis 10.000 € (zusammen mit AP 5). Nach Aufwand mit Obergrenze.AP 8 – Abschlusspräsentation: halbtägige virtuelle Veranstaltung vor BSI-Fachpublikum, Präsentationsunterlagen mindestens 5 Werktage vorher vorlegen. Festpreis.

Zusätzlich geschuldet: individuelle Software mit Quellcode und vollständiger Entwicklungsdokumentation, Übergabe nicht am Markt erhältlicher Tools, soweit für die Nutzung der Arbeitsergebnisse nötig, sowie die Einhaltung des anerkannten Stands von Wissenschaft und Technik.

Ergebnisform und Zielgruppen

Sowohl der Leitfaden als auch das Tool sollen öffentlich zugänglich und nutzbar sein. Zielgruppen sind die öffentliche Verwaltung, die Industrie und die Sicherheitsforschung. Die Ergebnisse sind in englischer Sprache zu verfassen.

Projektrahmen

Vertragslaufzeit: 12 Kalendermonate ab Auftragserteilung. Reisekosten und Nebenkosten werden nicht gesondert vergütet; Materialkosten für AP 5 und AP 7 sind auf insgesamt 10.000 € zzgl. USt. gedeckelt.

Eignungskriterien

Geforderte Nachweise laut Vergabeunterlagen

Gesetzliche Ausschlussgründe

Es dürfen keine Ausschlussgründe nach §§ 123 und 124 GWB vorliegen. Die Bieter geben entsprechende Eigenerklärungen mit dem Angebot ab; eine Selbstreinigung nach § 125 GWB ist möglich. Das BSI kann Unterlagen gemäß § 56 VgV nachfordern.

Verfahrensspezifische Eignungskriterien (Mindestanforderungen)

Alle Punkte müssen mit 'Ja' beantwortet bzw. nachgewiesen werden:

1. Eigenerklärung zu Artikel 5k VO (EU) 833/2014 (Russland-Sanktionen)

2. Ausschluss von Interessenskonflikten – auch für das eingesetzte Personal und ohne Verpflichtungen gegenüber CPU-Herstellern; bei 'Nein' sind Darlegung und Lösungsansatz erforderlich

3. Referenzen – mindestens 1 geeignete Referenz; alle geforderten Erfahrungsbereiche (hardwarebasierte Angriffe/Schwachstellen/Gegenmaßnahmen sowie Open-Source-Softwareentwicklung) müssen abgedeckt sein

4. Qualitätsmanagement – etabliert, dokumentiert und nachweisbar

Personelle Mindestanforderungen

Projektleitung (PL): Master/Diplom in Informatik, Mathematik, Physik o. ä.; Englisch C1; nachweisbare Projektleitungserfahrung in verwandter Fachrichtung; maßgebliche Mitwirkung an mindestens 2 Projekten.Mindestens 2 weitere Teammitglieder: Master/Diplom in Informatik, Mathematik, Physik o. ä.; Erfahrung in Erkennung/Analyse mikroarchitektureller Schwachstellen (mind. 1 Projekt); Erfahrung in hardwarenaher Softwareentwicklung (mind. 2 Projekte); Veröffentlichung eines Whitepapers oder einer wissenschaftlichen Arbeit mit Themenbezug innerhalb der letzten 5 Jahre.Mindestbesetzung gesamt: 3 Personen inklusive PL und QM-Verantwortlichem.

Verfahrens- und Formanforderungen

Einreichung elektronisch über die E-Vergabe-Plattform des Bundes (Angebotsassistent AnA), maximale Größe 250 MB.Angebotsunterlagen und Korrespondenz sind in deutscher Sprache zu verfassen; Ergebnisse (Leitfaden, Tool, Demonstrator) in englischer Sprache.Keine Änderungen oder Ergänzungen an den Vergabeunterlagen – diese führen zum Ausschluss.Das Verfahren ist ausdrücklich auch für KMU geeignet.

Referenzprojekte

mindestens 1 geeignete Referenz (kann mehrere Bereiche abdecken) ReferenzenZeitraum: nicht spezifiziert; max. 2 DIN-A4-Seiten pro ReferenzVolumen: nicht spezifiziert

Referenzen zu hardwarebasierten Angriffen/Schwachstellen/Gegenmaßnahmen (z. B. Side Channel Analysis, Laser Fault, mikroarchitekturelle Angriffe, Cache-/Bus-Angriffe) UND systematischer Open-Source-Softwareentwicklung; alle Erfahrungsbereiche müssen abgedeckt sein

Auftraggeber inkl. Fachbereich, detaillierte Darstellung des Auftragsgegenstands, Umfang/betroffener Erfahrungsbereich, Dauer, Auftragsvolumen

KI-Hinweis: Alle Eignungskriterien wurden per KI aus den Vergabeunterlagen extrahiert. Mit TendiGo prüfen Sie in wenigen Minuten, ob Ihr Unternehmen die Anforderungen erfüllt.

Wettbewerb & Angebotsprognose

Erwartete Konkurrenz auf Basis vergleichbarer Vergaben

1–3Angebote erwartet

Median vergleichbarer Vergaben: rund 2 Angebote

Geringe Konkurrenz

Wahrscheinliche Bieterzahl

1–3 · 59%4–10 · 35%11+ · 6%

Checkliste zur AngebotsabgabeKonkrete Schritte laut Vergabeunterlagen0 von 29 erledigt

Vorbereitung & Plattformzugang

Eignungsnachweise

Zuschlagskriterien – Qualitatives Konzept

Preisblätter & Projektplanung

Formale Anlagen & Vertrag

Mit TendiGo

Finden Sie weitere passende Ausschreibungen und prüfen Sie mit KI, ob Ihr Unternehmen die Anforderungen erfüllt.

Diese Ausschreibung mit KI prüfen

Zur Original-Ausschreibung ↗

Auf einen Blick

Auftraggeber

Bundesamt für Sicherheit in der Informationstechnik | Vergabekammer des Bundes beim Bundeskartellamt | Datenservice Öffentlicher Einkauf (in Verantwortung des Beschaffungsamts des BMI)

Anschrift

53133 Bonn

Ort

53133 Bonn

Kategorie

Nordrhein-Westfalen

Veröffentlicht

15. September 2026

Angebotsfrist

14. Oktober 2026

Auftraggeber-Website

www.bsi.bund.de ↗