Incident Response und forensische Dienstleistungen

Techniker Krankenkasse22305 Hamburg, HamburgVeröffentlicht: 17. Juni 2026

Angebotsfrist: 16. Juli 2026

Zusammenfassung

Automatisch erstellt aus den Vergabeunterlagen

Die Techniker Krankenkasse (TK) sucht einen Dienstleister, der sie bei IT-Sicherheitsvorfällen unterstützt. Gebraucht werden Incident Response (schnelle Reaktion auf Cyberangriffe) und digitale Forensik (gerichtsfeste Spurensicherung und Auswertung).

Der Auftrag umfasst eine jährliche Pauschale für Bereitschaft und Vorfallbearbeitung sowie bis zu 60 Personentage als Abrufleistung. Der Dienstleister muss rund um die Uhr (24/7) erreichbar sein, innerhalb von 4 Stunden reagieren und bei Bedarf innerhalb von 24 Stunden vor Ort in Hamburg sein. Erforderlich sind zertifizierte Forensiker (z. B. GCFA, GCIH), eine ISO 27001-Zertifizierung sowie die Listung als APT-Response-Dienstleister beim BSI.

Angebotsfrist: 16. Juli 2026, 12:00 Uhr – Einreichung ausschließlich elektronisch über das Vergabeportal der TK.

Ausschreibung ansehen ↗

Zeitplan & Fristen

Aus den Vergabeunterlagen extrahiert

Angebotsfrist: 16. Juli 2026

Termin / FristJUN2026 SEP DEZ MÄR JUN SEP DEZ MÄR JUN

Veröffentlichungca. 18. Juni 2026

Bieterfragen-Frist10. Juli 2026

Beantwortung Bieterfragen13. Juli 2026

Angebotsfrist16. Juli 2026

Angebotswertungca. 16. Juli – 31. Juli 2026

Bindefrist16. Juli – 30. Aug. 2026

Zuschlagca. 31. Juli 2026

Vertragsbeginnca. 31. Juli 2026

Vertragslaufzeitca. 31. Juli 2026 – 30. Juli 2028

BCP vorlegenca. 31. Juli 2026 – 30. Jan. 2027

Kickoff-Workshopca. 14. Aug. 2026

Protokollversand Kickoffca. 14. Aug. – 19. Aug. 2026

Sicherheitsüberprüfung bisca. 14. Aug. 2026

Benennung Datenschutzbeauftragterca. 14. Aug. 2026

Notfallübungca. 30. Juli 2027

TLS-Abgleichca. 30. Juli 2027

ISMS-Zertifikat nachweisenca. 30. Juli 2027

C5-Testat nachweisenca. 30. Juli 2027

Vertragsendeca. 30. Juli 2028

vor Angebotsabgabenach Angebotsabgabegeschätzt

Zuschlagskriterien

Gewichtung laut Vergabeunterlagen

Preis & Qualität12 Kriterien

Preis 100%Qualität 0%

Preis60%
Bewertung auf Grundlage des Angebotsvergleichspreises gemäß Preisblatt (abzüglich Skonto, soweit angeboten und wertbar). Das günstigste Angebot wird auf 60 normiert, die weiteren auf einen entsprechend geringeren Wert.
Qualität der Leistung40%
Bewertung auf Grundlage des Fragenkataloges/Bewertungsmatrix (Anlage A2). Die B-Kriterien werden nach Erfüllungsgrad und Wichtigkeit (Niedrig=2 Pkt., Mittel=4 Pkt., Hoch=6 Pkt.) bewertet. Das beste Angebot wird auf 40 normiert, die weiteren auf einen entsprechend geringeren Wert.

W = (40 x L / Lmax) + (60 x Pmin / P) — wobei W=Gesamtwertung, 40=Gewichtung Leistung, 60=Gewichtung Preis, L=Leistungspunkte des Angebots, Lmax=höchste Leistungspunktzahl, P=Preis des Angebots, Pmin=Preis des günstigsten Angebots (Angebotsvergleichspreis gemäß Preisblatt abzüglich Skonto).

KI-Hinweis: Die Zuschlagskriterien Preis (60 GP) und Qualität (40 GP) inklusive Bewertungsformel sind vollständig angegeben. Für die 11 B-Unterkriterien fehlen jedoch die konkreten Wichtigkeitsstufen (Niedrig=2, Mittel=4 oder Hoch=6 Punkte) je Kriterium; die konkrete Punktzahl pro B-Kriterium ist im vorliegenden Bewertungsmatrix-Dokument nicht erkennbar hinterlegt (Spalte Punkte zeigt nur '0').

Leistungsumfang

Aus den Vergabeunterlagen

Kernleistungen Incident Response

Der Dienstleister übernimmt im Ernstfall die zentrale Rolle bei der Bewältigung von IT-Sicherheitsvorfällen. Dazu gehören:

Suche nach Indicators of Compromise (IoC): Aufspüren verdächtiger Spuren in Logs und NetzwerkverkehrSchadensbewertung: Ermittlung des Ausmaßes eines AngriffsUrsachenanalyse: Aufklärung, wie der Angreifer eingedrungen istMalware-Analyse: Untersuchung und Klassifikation von SchadsoftwareEindämmung: Sperrung kompromittierter Zugänge, Trennung befallener Systeme vom NetzPrävention: Maßnahmen, damit sich ein Angriff nicht wiederholtBereinigung: Säuberung und Wiederherstellung betroffener SystemeWiederherstellung: Unterstützung beim Neustart des IT-BetriebsDokumentation: Lückenlose, fallbezogene Dokumentation aller Tätigkeiten und ZeitenVerhandlungsunterstützung: Bei Erpressungsvorfällen wird ein geschulter Verhandlungsführer eingebunden

Forensische Leistungen

Gerichtsfeste Sicherung und Auswertung digitaler BeweiseForensische Auswertung soll in Deutschland stattfinden (B-Kriterium)Vorhaltung eines portablen / mobilen Forensik-Labors (B-Kriterium)Umgang mit besonders sensiblen Datenkategorien (Active Directory, Client-Daten, Netzwerk-Logs, ggf. Sozialdaten) ist möglich

Einsatzmodell und Verfügbarkeit

Retainer-Modell mit einer jährlichen Pauschale (2 Pauschalen über Vertragslaufzeit)Zusätzliche Abrufleistung: bis zu 60 Personentage pro Vertragslaufzeit, abrufbar in 8-Stunden-Tagessätzen mit 5 Tagen VorlaufRund um die Uhr erreichbar: 24 Stunden / 7 Tage / 365 TageReaktionszeit: max. 4 Stunden nach MeldungVor-Ort-Einsatz am TK-Standort: innerhalb von 24 Stunden (A-Kriterium); in Hamburg auch innerhalb von 8 Stunden möglich (B-Kriterium)Haupterfüllungsort: Hamburg, Leistung kann remote oder vor Ort erbracht werden

Technologische Expertise und Sprache

Fundierte Expertise in einem breiten Technologiespektrum wird vorausgesetzt:Windows-Clients und -Server, macOS, LinuxMicrosoft Active Directory, Exchange, SharePoint, Microsoft 365Datenbanken (MS SQL, Oracle)Webtechnologien, SAP, Virtualisierung, NetzwerkinfrastrukturKommunikation komplett auf Deutsch (schriftlich und mündlich, C1-Niveau)Threat-Intelligence-Team zur Unterstützung

Kommunikation und Schnittstellen

Verschlüsselte elektronische Schnittstelle (z. B. Ticketsystem) zur Meldung und DatenübertragungTLS gemäß BSI TR-02102-2, jährlicher AbgleichEigene 24/7-Notfallnummer für telefonische Meldungen

Regelmäßige Zusammenarbeit und Übung

Kickoff-Workshop spätestens 2 Wochen nach Vertragsbeginn, vor Ort in Hamburg (ca. 8 Stunden), mit Konzept, Moderation und Protokoll (Protokollversand innerhalb von 3 Werktagen)Jährliche Notfallübung vor Ort in HamburgMindestens 2 Austauschtermine pro Jahr zum Abgleich von Prozessen und Maßnahmen (B-Kriterium)IT-Infrastrukturanalyse zur Ableitung von Maßnahmenempfehlungen (B-Kriterium)

Datenschutz und Datenverarbeitung

Verarbeitung erfolgt ausschließlich in EU/EWRDrittlandübermittlung nur mit vorheriger Zustimmung des Auftraggebers und unter Voraussetzungen der DSGVOBestellung eines Datenschutzbeauftragten innerhalb von 14 Tagen nach VertragsunterschriftSchriftliche Geheimhaltungsverpflichtung der Beschäftigten (inkl. § 203 StGB und Sozialgeheimnis nach § 35 SGB I)Beim Cloud-Einsatz mit Sozialdaten: zusätzlich C5-Testat erforderlich

Eignungskriterien

Geforderte Nachweise laut Vergabeunterlagen

Persönliche und fachliche Eignung der Mitarbeitenden

Mindestens 5 Jahre Berufserfahrung im Bereich Incident Response und ForensikDeutschkenntnisse auf C1-Niveau in Wort und SchriftEinsatz von fachkundigem und zuverlässigem Personal, das den Anforderungen der Leistungsbeschreibung entsprichtOptional (B-Kriterien, punktewirksam):Mindestens ein Mitarbeiter mit GCFA (GIAC Certified Forensic Analyst)Mindestens ein Mitarbeiter mit GCIH (GIAC Certified Incident Handler)Verhandlungsführer mit 'Vorfall-Experte'-ZertifizierungMindestens 10 Forensiker:innen mit Schwerpunkt IT-Forensik im Team

Unternehmenszertifizierungen (Pflicht)

ISO/IEC 27001-Zertifizierung, gültig zum Zeitpunkt der Leistungserbringung (mindestens jährlich nachzuweisen)Listung als qualifizierter APT-Response-Dienstleister beim BSIBei Cloud-Computing mit Sozialdaten zusätzlich: gültiges C5-Testat (mindestens jährlich)

Wirtschaftliche und finanzielle Leistungsfähigkeit

IT-Haftpflichtversicherung mit einer Deckungssumme von mindestens 1.000.000 € pro Schadensereignis/JahrPauschale Mindestdeckung für Personen- und Sachschäden von 3.000.000 €Versicherungsschutz muss während der gesamten Vertragslaufzeit aufrechterhalten werdenFür Unterauftragnehmer ist ein gleichwertiger Versicherungsschutz sicherzustellenKonkrete Anforderungen (z. B. Mindestumsatz) sind in der Anlage E1 (Eigenerklärung zur Eignung) hinterlegt

Ausschlussgründe und rechtliche Eignung

Keine rechtskräftige Verurteilung in den letzten 5 Jahren nach § 123 GWBKeine Ausschlussgründe nach § 124 GWB in den letzten 3 JahrenKeine schweren Verfehlungen, keine unzutreffenden EigenerklärungenEU-Sanktionskonformität:Keine Beteiligung russischer Staatsangehöriger oder in Russland niedergelassener Organisationen als Bieter, Unterauftragnehmer oder EignungsleihgeberKein Auftragswertanteil über 10 % durch sanktionierte Personen/OrganisationenZusicherung der Einhaltung während der gesamten Vertragslaufzeit

Technische und organisatorische Voraussetzungen

Eigene Systeme zur Angriffserkennung, Patch-Management und SchwachstellenmanagementVerschlüsselungslösungen gemäß BSI-StandardsTLS-Konfiguration gemäß BSI TR-02102-2, jährlicher AbgleichVorhalten eines Threat-Intelligence-Teams mit Expertise über das geforderte TechnologiespektrumKapazität für verschlüsselte Schnittstelle und 24/7-NotfallnummerMindestens 2 Austauschtermine pro Jahr und Möglichkeit zur jährlichen Notfallübung vor Ort in Hamburg

Sonstige Anforderungen

Bietergemeinschaften sind zugelassen (gesamtschuldnerische Haftung)Nebenangebote sind nicht zugelassenEignungsleihe ist möglich, der Eignungsleihgeber muss die Leistung jedoch selbst erbringenEinsatz von Unterauftragnehmern bedarf der vorherigen dokumentierten Zustimmung des AuftraggebersDatenschutzbeauftragter ist innerhalb von 14 Tagen nach Vertragsunterschrift schriftlich zu benennen

Referenzprojekte

nicht beziffert ReferenzenZeitraum: nicht angegebenVolumen: nicht angegeben

Es sind keine konkreten Referenzprojekte in den vorliegenden Vergabeunterlagen definiert. Erwartet wird allgemein der Nachweis vergleichbarer Leistungen im Bereich Incident Response / Forensik.

Detaillierte Anforderungen sind ggf. in Anlage E1 (Eigenerklärung zur Eignung) hinterlegt, die im vorliegenden Auszug nicht vollständig abgedruckt ist.

KI-Hinweis: Alle Eignungskriterien wurden per KI aus den Vergabeunterlagen extrahiert. Mit TendiGo prüfen Sie in wenigen Minuten, ob Ihr Unternehmen die Anforderungen erfüllt.