Rahmenvertrag über 4 Jahre - Penetrationstests inkl. Beratungsdienstleistung

Beratung zu den Möglichkeiten und Grenzen von IT-Sicherheitsuntersuchungen sowie zu organisatorischen und technischen Rahmenbedingungen und zu erwartendem Aufwand. Identifizierte Schwachstellen werden technisch erläutert und mit Verbesserungs- und Behebungseinschätzungen versehen.

Benennung einer zentralen Ansprechperson für Organisation und Koordination. Erstellung eines Ablauf- und Prüfplans mit Bezügen unter anderem zu ISECOM OSSTMM, OWASP WSTG, MITRE ATT&CK und BSI sowie rechtzeitige Mitteilung aller notwendigen Vorbereitungshandlungen.

Vollumfängliche Prüfungen nach aktuellem Stand von Technik und Forschung. Die Tests erfolgen mehrheitlich als White-Box-Untersuchungen; der Auftragnehmer stellt eigene Hard- und Software einschließlich Lizenzen bereit. Die Durchführung kann abhängig vom Szenario vor Ort oder remote erfolgen, umfasst regelmäßige Jour-fixes und Exploitation nur nach Rücksprache mit dem Auftraggeber.

Mögliche Szenarien sind externe Angriffe mit Scans, OSINT und Tests exponierter Systeme; Assumed Breach von Mitarbeiter- und Admin-Clients; ausgewählte IT-Services, Netzwerke, Clients und Rechenzentren; Code-Reviews eigener Anwendungen; physische Schutzmaßnahmen; Geschäftsanwendungen wie ERP-, Personal- und Fahrkarten-Ticketsysteme sowie lokale oder cloudbasierte Webanwendungen.

Die Prüfungen können Windows- und Linux-Systeme, Active Directory, Exchange und Outlook, Firewalls und Fernzugriff, IPS-, SIEM-, AV-, EDR- und NSM-Systeme, VMware, Microsoft Azure, Infor ERP, Identitäts- und Zwei-Faktor-Lösungen, Web-, Java- und JavaScript-Anwendungen, WebSphere, Tomcat, mobile Technologien sowie Telekommunikations- und Videokonferenztechnik umfassen. Die Aufzählung ist indikativ; Purple Teaming ist nicht vorgesehen.

Erstellung eines deutschen, elektronischen Abschlussberichts mit allen sicherheitsrelevanten Ergebnissen, CVSS-Bewertung einschließlich Base Score und Vektoren, Verweisen auf bekannte Schwachstellen und Einschätzungen zu Minderung oder Behebung. Ergebnisse werden für technisches Personal und Management präsentiert. Ein erster Berichtsentwurf ist fünf, der finale Bericht zehn Arbeitstage nach Abschluss der Durchführungsphase vorzulegen; kritische Schwachstellen werden unabhängig von Arbeitstagen bis 17:00 Uhr MESZ am Folgetag gemeldet.

Der Auftraggeber fordert einzelne Leistungen schriftlich ab. Die jeweiligen Fristen, Leistungsbeschreibungen und Service-Level-Vorgaben ergeben sich aus dem Einzelabruf und dem Rahmenvertrag. Änderungen oder Erweiterungen werden schriftlich abgestimmt.

Vollständige allgemeine Unternehmensangaben einschließlich Rechtsform, Gründungsjahr, Anschrift, Webadresse, Ansprechpartner und Umsätzen in Deutschland sowie weltweit für 2022 bis 2024. Zusätzlich sind Angaben zum Head of Pentest Team, zu Pentest-Umsätzen und zur Anzahl der Pentest-Verträge in Deutschland und weltweit für 2022 bis 2024 erforderlich.

Benennung eines zentralen Ansprechpartners mit technischem Wissen, Kontaktdaten und mindestens C1-Deutschkenntnissen. Die Person übernimmt Kommunikation, Präsentation, Erklärung der Ergebnisse, Handlungsempfehlungen und die Qualitätsprüfung des Ergebnisberichts.

Mindestens drei Mitarbeitende müssen jeweils eine Zertifizierung aus CISSP, OSCP oder OSWE nachweisen. Junior-Pentester benötigen mindestens zwei Jahre Berufserfahrung, Senior-Pentester mindestens fünf Jahre. Junioren und Senioren benötigen B2-Deutsch oder C1-Englisch, eine Informatik-Ausbildung oder einen vergleichbaren Cyber-Security-Schwerpunkt sowie passende Pen-Test-Zertifizierungen; Senioren müssen außerdem Mitglied in einem öffentlichen oder geschlossenen Gremium, Informationsverbund oder Verein sein.

Auftragnehmer und Pentest-Team müssen ihren Sitz innerhalb der EU oder des EWR haben. Die Leistungen werden in 30159 Hannover erbracht. Der Auftragnehmer muss Personal einsetzen, das im Vergabeverfahren vorgelegt wurde; ein Personaltausch bedarf der Einwilligung des Auftraggebers.

Einreichung von bis zu vier Referenzen unterschiedlicher Referenzkunden aus den letzten sechs Jahren ab 2020. Je Referenz sind Ansprechpartner, Projektbeschreibung, eigene Rolle, Prüfgegenstände, durchgeführte Szenarien, Sektor, Hauptstandort, Größe und Projektbeginn anzugeben. Eine Referenz muss mindestens fünf Prüfgegenstände und eine weitere mindestens drei Szenarioarten abdecken; zusammen müssen Infrastruktur beziehungsweise Perimeter, Client- und Server-Systeme sowie Web- und sonstige Anwendungen enthalten sein.

Vorstellung des Testansatzes und der Erfahrung mit Methodik, Team, Werkzeugen, Reporting, Erwartungen an den Auftraggeber und dem Umgang mit Nachunternehmern oder Bietergemeinschaften. Zusätzlich sind zwei reale Fallbeispiele zu einem externen Angriff und zu Privilege Escalation beziehungsweise Assumed Breach sowie ein geschwärzter Musterbericht vorzulegen.

Erklärungen, dass kein Insolvenzverfahren eröffnet oder beantragt wurde, keine Liquidation stattfindet, keine schweren Verfehlungen oder Ausschlussgründe vorliegen, Steuern, Abgaben und Sozialversicherungsbeiträge ordnungsgemäß gezahlt wurden und keine vorsätzlich unzutreffenden Erklärungen abgegeben wurden. Außerdem sind die ordnungsgemäße Berufsgenossenschaftsmitgliedschaft und die Einhaltung der Mindestlohnpflichten zu bestätigen.

Unvollständige allgemeine oder pentestspezifische Unternehmensangaben, ein unvollständiger CV des Leiters Pentest oder eine fehlende Projektbeschreibung bei Referenzen führen zum Ausschluss.

Bei Vertragsschluss ist eine marktübliche Industriehaftpflichtversicherung oder eine vergleichbare Versicherung aus einem EU-Mitgliedstaat nachzuweisen. Eingesetztes Personal ist vor Beginn schriftlich zur Vertraulichkeit zu verpflichten.