Welche Sicherheitsprüfung die Ausschreibung verlangt: CHECK, ITHC und PTaaS

CHECK, ITHC, PTaaS, CREST und Cyber Essentials sind nicht fünf Stufen derselben Arbeit, sondern fünf verschiedene Gegenstände. Wie Sie erkennen, welchen davon die Unterlagen wirklich verlangen und ob das überhaupt Sie betrifft.

Sie öffnen die Vergabeunterlagen, finden in der Leistungsbeschreibung den Abschnitt zur Sicherheit und lesen dort fünf Namen: CHECK, ITHC, PTaaS, CREST und Cyber Essentials Plus. Daneben stehen die Wörter „Sicherheitsaudit“ und „Penetrationstest“, und das Ganze ist so geschrieben, als wären das Stufen derselben Arbeit — von der billigsten zur teuersten.

Das sind keine Stufen, sondern fünf verschiedene Gegenstände, die fünf verschiedene Fragen beantworten: wer testen darf, was mit einem bestimmten Netz geschieht, wie der Test abgerechnet wird, ob der Lieferant selbst seine Infrastruktur in Ordnung gebracht hat, und ob das System einer Norm entspricht. Ein Angebot, das zwei davon vermischt, verspricht entweder, was es nicht versprechen darf, oder bezahlt für etwas, das nicht verlangt war.

Dieser Artikel verkauft CHECK nicht, und das gehört gleich gesagt: wir gehören dem CHECK-Schema nicht an, und dieser Text behauptet das nicht. Der Artikel erklärt, was die Unterlagen tatsächlich verlangen, damit Sie erkennen, ob das überhaupt Sie betrifft — und nur in dem Fall, in dem sich die Anforderung als gewöhnliche Sicherheitsprüfung einer Website erweist, verweist er auf unser Website-Sicherheitsaudit.

Der Preis unterscheidet sich hier nicht um Prozente, sondern um ein Mehrfaches, weil ein Angebot, das auf Cyber Essentials antwortet, und ein Angebot, das auf einen vollständigen Penetrationstest eines Systems mit vielen Rollen antwortet, zwei verschiedene Budgets sind, und ein Auftraggeber, der sie in eine Tabelle setzt, Unvergleichbares vergleicht. Ebenso verliert ein Bieter, der die Anforderung eine Stufe höher liest, als sie geschrieben ist, die Vergabe mit einem völlig korrekten, nur unnötig teuren Angebot.

Fünf Namen, die nicht fünf Stufen derselben Arbeit sind

• CHECK — ein Schema des britischen National Cyber Security Centre (NCSC) für Unternehmen. Es legt fest, wer Systeme des öffentlichen Sektors und der kritischen Infrastruktur testen darf und in welcher Form der Bericht erstellt wird.
• ITHC — eine konkrete Prüfungsarbeit mit einem konkreten Umfang, die der Anschluss an das britische Verwaltungsnetz verlangt. Das ist eine Aufgabe, kein Schema.
• CREST — ein internationaler Branchenverband mit Mitgliedschaft und Prüfungen. Er ist kein Synonym für CHECK, und genau diese Vermischung kommt in Angeboten am häufigsten vor.
• PTaaS — penetration testing as a service, also ein Liefer- und Abrechnungsmodell: Plattform, Abonnement, häufigere Befunde. Es sagt nichts darüber, wer testet und nach welcher Norm.
• Cyber Essentials und Cyber Essentials Plus — eine Zertifizierung über fünf Basiskontrollen des Lieferanten selbst, nicht über das System, das geliefert wird.

Alle fünf sind britische oder internationale Instrumente, und keines davon steht im deutschen Recht, und das ist das Erste, was festzuhalten ist, wenn in deutschen Vergabeunterlagen eines davon auftaucht.

CHECK ist ein Schema für Unternehmen, keine Testmethode

CHECK ist ein vom NCSC geführtes Schema, in das ein Unternehmen aufgenommen wird, keine Methode, die jeder Auftragnehmer anwenden könnte. Die Käuferhinweise des NCSC sehen vor, dass die Arbeit ein Mitglied des Schemas ausführt, dass ein CHECK Team Leader das Team führt und darin CHECK Team Member arbeiten, dass diese Personen eine britische personelle Sicherheitsüberprüfung haben, und dass der Bericht im Format des Schemas erstellt wird, wobei unterhalb einer bestimmten Geheimhaltungsstufe eine Kopie an das NCSC geht. Das heißt, CHECK ist nichts, das man mit einem Test von hinreichender Qualität „erfüllen“ könnte, weil das Unternehmen entweder im Schema ist oder nicht, und keine Methodenbeschreibung im Angebot ersetzt diese Tatsache. CHECK ist auch kein Gesetz: das NCSC schreibt es als Hinweise des Schemas, und beim Anschluss an das britische Verwaltungsnetz ist es einer der anerkannten Wege, keine Vorschrift eines Paragraphen.

Wichtiger noch als der Inhalt des Schemas selbst ist, für wen CHECK überhaupt gedacht ist, und das NCSC schreibt das ohne Ausweichen: das Schema ist für die zentrale Staatsverwaltung, für Stellen des öffentlichen Sektors und für kritische Infrastruktur gebaut. Für Systeme der zentralen Verwaltung, in denen Daten mit einer bestimmten Kennzeichnung und höher verarbeitet werden, empfiehlt das NCSC, die Bewertung einem Mitglied des Schemas zu übertragen, den übrigen Stellen des öffentlichen Sektors empfiehlt es das nachdrücklich, einer Organisation aber, die weder öffentlicher Sektor noch kritische Infrastruktur ist, verweist das NCSC selbst auf die gewöhnlichen Hinweise zur Beauftragung, nicht auf CHECK. Für ein privates Unternehmen, das einem kommerziellen Auftraggeber anbietet, heißt das, dass CHECK kein Ziel ist, das anzustreben wäre. Es ist die interne Ordnung des öffentlichen Sektors eines anderen Staates, und seine Erwähnung in einem kommerziellen Angebot spricht eher dafür, dass der Name abgeschrieben wurde, als dass die Arbeit besser wäre.

ITHC ist eine Aufgabe für ein bestimmtes Netz

ITHC — IT Health Check — ist das, was eine britische Behörde braucht, um an das Verwaltungsnetz angeschlossen zu werden oder angeschlossen zu bleiben. Die Unterstützungsleitlinien des britischen Cabinet Office von 2022, auf die das Anschlussverfahren sich weiterhin stützt, beschreiben den Mindestumfang: Prüfung von außen und von innen, im inneren Teil mit Scannen und manueller Analyse über die gesamte Umgebung, in großen Umgebungen ist eine Stichprobe zulässig, und dann ist die Stichprobe nicht kleiner als ein Zehntel. Das Anschlussverfahren selbst verlangt außerdem, dass der eingereichte Bericht nicht älter als ein Jahr ist und nicht schon in einem früheren Antrag auf Anschluss verwendet wurde. Im Deutschen gibt es dafür kein eigenes Wort, und eines zu erfinden lohnt nicht, weil eine wörtlich übertragene Gesundheitsmetapher nichts erklärt; genauer ist, ITHC zu behalten und einmal zu sagen, dass es um die Sicherheitsprüfung des Anschlusses eines bestimmten Netzes geht.

Der Umfang selbst ist deutlich genauer beschrieben, als davon gewöhnlich im Angebot ankommt, weil im äußeren Teil die vom Internet erreichbaren Dienste geprüft werden (E-Mail, Web, Firewalls), der Fernzugang und Anschlüsse Dritter. Im inneren Teil ist neben dem Scannen eine manuelle Analyse verlangt, dazu die Konfiguration von Arbeitsplätzen und Servern, der Stand der Patches, Funknetze und das Gateway. In großen Umgebungen ist eine Stichprobe erlaubt, und genau dort erscheint jenes Zehntel, das in Angeboten oft verschwindet. Auch an das Ergebnis sind Anforderungen gestellt: Zahl, Art und Schwere der Befunde in einer verständlichen Zusammenfassung, möglichst mit CVSS-Basiswert. Diese Zahlen sind die ITHC-Anforderung des Cabinet Office an ein bestimmtes Netz — das ist weder eine CHECK-Norm noch eine deutsche Norm, und sie gehören nicht als allgemeiner Qualitätsmaßstab in eine deutsche Ausschreibung.

Drei Namen, die mit CHECK am häufigsten verwechselt werden

Die übrigen drei Namen erscheinen in den Unterlagen neben CHECK, als wären sie seine Spielarten, und jeder von ihnen beantwortet tatsächlich eine andere Frage: einer, wer die Person geprüft hat, einer, wie die Arbeit geliefert und bezahlt wird, einer, ob der Lieferant selbst seine Infrastruktur in Ordnung gebracht hat. Genau diese drei erzeugen den größten Teil der fehlerhaft vorbereiteten Angebote.

CREST ist nicht CHECK

Das ist der häufigste Fehler und zugleich der nützlichste Unterschied, den dieser Artikel nennen kann, weil er den Inhalt des Angebots ändert: CREST ist ein Verband mit Mitgliedschaft und Prüfungen, CHECK dagegen ein Schema des NCSC mit eigener Mitgliedschaft und eigenen Rollen. CREST selbst beschreibt das als einen eigenen Weg — sein Zertifikat kann eine der Arten sein, mit denen eine Person Kompetenz nachweist, daraus folgt aber nicht automatisch, dass das Unternehmen CHECK-Mitglied ist. Die praktische Folge beim Vergleich von Angeboten ist einfach: verlangt die Ausschreibung CHECK, erfüllt ein CREST-Zertifikat die Anforderung nicht, und umgekehrt — verlangt sie CREST, ist die CHECK-Mitgliedschaft mehr, als verlangt war, und dafür wurde vermutlich zu viel bezahlt.

PTaaS ist ein Abrechnungsmodell, kein Schema

PTaaS beschreibt, wie die Leistung geliefert und bezahlt wird: eine Plattform mit Dashboard, ein Abonnement, Befunde, die fortlaufend erscheinen, und eine erneute Prüfung nach den Korrekturen. Beschreibungen der Branche fassen es genau als Liefermodell, und dort steht weder eine Qualifikationsanforderung noch eine Stelle, die es bestätigen würde. Deshalb ist die Antwort auf die Frage „erfüllt PTaaS eine CHECK- oder ITHC-Anforderung“ weder „ja“ noch „nein“ — das ist eine Frage nach zwei verschiedenen Gegenständen. Ein Abrechnungsmodell kann eine Anforderung darüber, wer testen darf und nach welcher Methodik, schlicht nicht erfüllen, und stehen in den Unterlagen beide, sind sie getrennt zu lesen: eines nennt die Kompetenz, das andere, wie die Arbeit in der Zeit organisiert wird.

Cyber Essentials prüft den Lieferanten, nicht den Liefergegenstand

Cyber Essentials ist eine Zertifizierung über fünf Basiskontrollen in der Infrastruktur des Lieferanten selbst, und die Plus-Variante fügt ihnen eine Prüfung mit Standardwerkzeugen hinzu. Das Zertifikat wird einmal im Jahr erneuert, und der beschaffungspolitische Hinweis PPN 014 bindet es an die Sicherheit der Lieferkette. Daraus folgt eine Grenze, die Angebote häufig überschreiten: Cyber Essentials Plus ist nicht der Penetrationstest, den die Ausschreibung für das zu liefernde System verlangt hat. Es ist ein Nachweis über Computer und Konten des Lieferanten selbst, deshalb kann ein Unternehmen Cyber Essentials Plus zertifiziert sein und ein System liefern, das nie getestet wurde.

Drei Behauptungen, denen Sie nicht glauben sollten

Um diese Namen hat sich eine Schicht von Behauptungen gelegt, die von einer Leistungsbeschreibung in die nächste abgeschrieben werden, und die drei verbreitetsten sind entweder unwahr oder überholt, deshalb lohnt es, sie neben das zu legen, was die jeweilige Quelle tatsächlich sagt.

„CHECK verlangt das britische Gesetz.“ Kein Gesetz nennt CHECK, und das NCSC verwendet in seinen Hinweisen die Wörter „sollte“ und „wir empfehlen nachdrücklich“, und auch das britische Service Manual für digitale Dienste lässt ein gleichwertiges Niveau zu. Die einzige Stelle, an der die Anforderung hart ist, sind die Anschlussbedingungen eines bestimmten Netzes, und auch dort ist das Schema einer von mehreren anerkannten Wegen.

„Um CHECK-Mitglied zu werden, muss das Unternehmen zuerst CREST-akkreditiert sein.“ Das war für einen älteren Aufnahmeweg wahr und wird in Texten von Anbietern noch wiederholt, im jüngeren Standard des Schemas ist auf der Ebene des Unternehmens aber etwas anderes verlangt. Teilweise wahr bleibt es für die Menschen, weil eine CREST-Prüfung einer der Kompetenznachweise unter der jeweiligen Berufsbezeichnung sein kann. Genau dieser Unterschied zwischen Unternehmens- und Personenebene ist der, den die Werbung verschweigt.

„Ohne CHECK darf man britische staatliche Systeme nicht testen.“ Die rechtliche Grenze zieht nicht das Schema, sondern die Erlaubnis: unbefugter Zugang zu Daten ist nach § 202a des Strafgesetzbuches strafbar, unabhängig davon, ob der Tester im Schema ist. CHECK ist die Politik des Auftraggebers darüber, wem er die Arbeit anvertraut, kein Ersatz für die Erlaubnis, und diese zwei Fragen gehören getrennt gehalten. Die praktische Folge ist, dass eine schriftliche Erlaubnis immer nötig ist, auch dann, wenn kein Schema und keine Vorschrift sie ausdrücklich verlangt.

Was deutsche Vergabeunterlagen tatsächlich verlangen

In Deutschland lohnt zuerst die Frage, wo eine solche Anforderung überhaupt herkommt, weil die Antwort nicht dort liegt, wo man sie gewöhnlich sucht: das Gesetz gegen Wettbewerbsbeschränkungen legt das Verfahren, die Transparenz, die Gleichbehandlung und den Inhalt der Leistungsbeschreibung fest, aber es nennt nicht den Penetrationstest, nicht CHECK, nicht ITHC und nicht PTaaS. Auch die Vergabeverordnung, die beschreibt, wie die Leistungsbeschreibung zu fassen ist, schreibt keine bestimmte Art der Sicherheitsprüfung vor. Das heißt, die Sicherheitsanforderung steht in den Unterlagen, weil der Auftraggeber sie selbst geschrieben hat — meist weil ihn selbst eine Pflicht trifft, die woanders herkommt. Die richtige Frage ist deshalb nicht „was verlangt das Vergaberecht“, sondern „welche Pflicht hat der Auftraggeber selbst und wird sie mit diesem Vertrag auf mich übertragen“.

In Deutschland entsteht diese Pflicht durch das BSI-Gesetz. Das Gesetz selbst nennt den Penetrationstest in keinem Paragraphen. § 30 verpflichtet besonders wichtige und wichtige Einrichtungen zu geeigneten Maßnahmen, darunter Verfahren zur Bewertung der Wirksamkeit der Risikomanagementmaßnahmen; § 39 verlangt von Betreibern kritischer Anlagen den Nachweis durch Sicherheitsaudits, Prüfungen oder Zertifizierungen, erstmals nach drei Jahren und danach alle drei Jahre; § 61 erlaubt dem Bundesamt, gegenüber besonders wichtigen Einrichtungen Audits, Prüfungen oder Zertifizierungen durch unabhängige Stellen anzuordnen. Was die Arbeit selbst ist und wo ihre Grenzen liegen, steht in einem eigenen Artikel darüber, was ein Penetrationstest ist.

Wen die deutsche Ausschreibung wirklich qualifiziert

Das ist der Unterschied, der den größten Teil der Missverständnisse um CHECK erklärt, und er steckt in der deutschen Praxis selbst. CHECK ist ein britisches Schema für Unternehmen; Deutschland führt es nicht. Das BSI zertifiziert Unternehmen als IT-Sicherheitsdienstleister im Geltungsbereich IS-Penetrationstests und stellt die Kompetenz benannter Personen nur im Rahmen ihrer Anstellung bei einem solchen Unternehmen fest. Die Personenzertifizierung als IS-Penetrationstester ist eingestellt; die Kompetenz wird über anerkannte externe Nachweise belegt, unter denen OSCP, CREST Registered Penetration Tester (CRT) und CEH Practical als Beispiele stehen, nicht als geschlossene Liste. Daneben nennt eine gewöhnliche Leistungsbeschreibung die BSI-Liste oft gar nicht und verlangt stattdessen die Qualifikation einer benannten Person — ein Zertifikat oder nachgewiesene Erfahrung und die Unabhängigkeit von Entwicklung und Betrieb des geprüften Systems.

Diesen zweiten Weg teilt die Praxis nach dem Auftraggeber. Einem kommerziellen Auftraggeber oder einer öffentlichen Stelle, die kein Betreiber kritischer Anlagen ist, genügen diese Anforderungen in der Regel. Gehört das System einem Betreiber kritischer Anlagen, kommt der Nachweis nach § 39 des BSI-Gesetzes hinzu, und der ist ein Audit, eine Prüfung oder eine Zertifizierung durch eine unabhängige prüfende Stelle, kein Penetrationstest und kein CHECK. Ein eigenes deutsches CHECK, dem man beitreten könnte, gibt es nicht; die BSI-Liste der zertifizierten IT-Sicherheitsdienstleister ist ein anderes Instrument. Deutschland hat kein CHECK, dem man beitreten könnte, und eine Aufzählung von Zertifikaten in den Unterlagen ist eine Beispielsliste, sofern die Eignung nichts anderes schreibt. Für ein Unternehmen, das auf eine deutsche Ausschreibung anbietet, heißt das: zu beweisen ist, was tatsächlich verlangt war — die Qualifikation und Unabhängigkeit benannter Menschen oder der Eintrag des Unternehmens, nicht die Mitgliedschaft in einem britischen Schema.

Was davon ins Angebot gehört

Daraus, dass die Eignung die Person oder den Listeneintrag des Unternehmens nennt, folgt auch, was das Angebot beweisen muss, und eine allgemeine Firmenbeschreibung hilft hier nicht; es hilft das Zertifikat oder der Erfahrungsbericht eines benannten Menschen und die Bestätigung der Unabhängigkeit von Entwicklung und Betrieb dieses Systems in den letzten Jahren. Sitzt im Team mehr als ein Tester, lohnt es, zu nennen, wer welche Bedingung erfüllt, weil der Auftraggeber das prüfen können muss, ohne zwischen den Zeilen zu lesen. Hat die Ausschreibung einen Eintrag auf der BSI-Liste verlangt, setzt ein OSCP eines Mitarbeiters das Unternehmen nicht auf diese Liste.

Ebenso lohnt es, die Beispielsliste nicht als geschlossene Anforderung zu lesen, weil die in den Unterlagen genannten Zertifikate in der Regel genau Beispiele sind, und das heißt, dass ein anderes international anerkanntes Zertifikat für Penetrationstests die Anforderung ebenso erfüllt, und nachgewiesene Berufserfahrung in der Eignung oft ein eigener, gleichwertiger Weg ist. Beim BSI zählen Zertifikat und Berufserfahrung zusammen, nicht als Alternative. Ein Angebot, das das in einem Absatz erklärt, erleichtert dem Auftraggeber die Wertung mehr als ein Stapel von Zertifikatskopien ohne Erklärung.

Auch in Deutschland ist das Compliance-Audit kein Penetrationstest

Neben dem Penetrationstest steht in den Unterlagen oft ein Compliance-Audit, und das sind zwei verschiedene Arbeiten mit zwei verschiedenen Maßstäben. Der Penetrationstest sucht, wie weit ein Angreifer kommt; das Compliance-Audit prüft, ob System und Prozesse einer Norm entsprechen, und sein Ergebnis ist ein Urteil über die Konformität, keine Liste technischer Schwächen.

Am klarsten zeigen das die Qualifikationsanforderungen, die in beiden Fällen anders geschrieben sind: für den, der den Penetrationstest ausführt, stehen als Beispiele Zertifikate wie CEH und OSCP, also Zertifikate der Angriffstechnik; für das Compliance-Audit ganz andere — Zertifikate für Managementsysteme und Revision. Steht in den Unterlagen ein Satz von Zertifikaten, ist aber der Inhalt der anderen Arbeit beschrieben, ist das ein Widerspruch, den man vor dem Angebot bemerken sollte, weil er meist heißt, dass der Auftraggeber selbst noch nicht entschieden hat, was er kauft.

Andere Länder haben eigene Instrumente

Deutschland hat kein CHECK, mehrere europäische Staaten haben aber eigene Antworten auf dieselbe Frage, und wenn Sie Unterlagen in einer anderen Sprache lesen, wäre CHECK dort ebenso verdächtig wie in einer deutschen. In Frankreich qualifiziert die nationale Agentur für die Sicherheit der Informationssysteme Anbieter von Sicherheitsaudits, und diese Qualifikation umfasst fünf Audittätigkeiten, unter denen Penetrationstests eine eigene Tätigkeit sind, neben Architektur-, Konfigurations-, Quellcode- und Organisationsaudit. Eine französische Ausschreibung nennt deshalb oft eine bestimmte Tätigkeit, nicht die Qualifikation als Ganzes, und der Bieter muss lesen, welche der fünf dort verlangt ist.

In Spanien verlangt das nationale Sicherheitsschema ein Sicherheitsaudit mindestens alle zwei Jahre für Systeme höherer Kategorie, und die methodischen Hinweise trennen darin das technische Audit, in dem das Team wirklich am System arbeitet, vom Compliance-Audit, das auf Interviews und Nachweisen beruht. Das Compliance-Audit darf einen früheren Bericht eines Penetrationstests vorlegen lassen, wird selbst aber keiner. In beiden Fällen ist die Folgerung dieselbe wie in Deutschland: der Name gehört zu einem bestimmten Staat, und in einen anderen Markt übertragen bedeutet er nichts mehr.

Wenn in den Unterlagen trotzdem „CHECK“ steht

Steht in deutschen Vergabeunterlagen CHECK, ITHC oder Cyber Essentials, gibt es zwei glaubhafte Erklärungen, und die sollte man unterscheiden, bevor das Angebot geschrieben wird. Die erste ist, dass der Auftraggeber wirklich ein britischer Käufer ist oder mit einem britischen System arbeitet, und dann ist die Anforderung echt, betrifft ein Mitglied des Schemas und ist für die meisten deutschen Auftragnehmer schlicht nicht erfüllbar. Die zweite — und in der Praxis häufigere — ist, dass die Spezifikation aus einer englischen Vorlage übernommen wurde und ihr Verfasser nicht bemerkt hat, dass er das Instrument eines anderen Staates mitkopiert hat.

Unterscheiden lässt sich das am übrigen Inhalt des Dokuments: stehen daneben Verweise auf das BSI-Gesetz oder auf den Nachweis nach § 39, dann geht es um eine deutsche Pflicht und CHECK ist irrtümlich hineingeraten. Das gehört als Frage an den Auftraggeber in das Verfahren der Bieterfragen, nicht als Vermutung in das Angebot, weil die Antwort den Preis ändert und die Frage, ob Sie überhaupt bieten können.

Was das Wort „gleichwertig“ bedeutet

In vielen Unterlagen steht neben dem Namen des Schemas der Vorbehalt „oder gleichwertig“, und das ist der wichtigste Absatz im ganzen Sicherheitsabschnitt, weil genau er entscheidet, ob Sie bieten können. Das Problem ist, dass das Wort „gleichwertig“ in den Unterlagen selten definiert ist, und deshalb bedeutet es Verschiedenes, je nachdem, wer es liest. Die Vergabeverordnung verlangt bei Bezugnahme auf technische Anforderungen den Zusatz „oder gleichwertig“; bei einem Verweis auf ein bestimmtes Verfahren, das bestimmte Unternehmen begünstigt, ist derselbe Zusatz die Ausnahme, unter der der Verweis überhaupt zulässig ist.

Praktisch heißt das, dass die Beweislast auf den Bieter übergeht: Sie müssen zeigen, in welcher Hinsicht das Angebotene gleichwertig ist. Die Antwort ist deshalb nicht der Name eines Zertifikats, sondern ein Vergleich nach Merkmalen — wer testet und mit welcher Qualifikation, ob gefundene Sicherheitslücken ausgenutzt werden, welcher Umfang, welche Berichtsform und ob nach den Korrekturen erneut geprüft wird. Stimmen diese Merkmale überein, lässt sich die Gleichwertigkeit beschreiben; unterscheidet sich auch nur eines wesentlich, ist es ehrlicher, das zu sagen, als zu hoffen, dass niemand vergleicht. Fehlt der Vorbehalt „oder gleichwertig“, ist das ein ebenso klares Signal in die andere Richtung, weil eine Ausschreibung, die ein bestimmtes ausländisches Schema ohne Alternative verlangt, den Bieterkreis auf wenige Unternehmen verengt, und das ist eine Frage, die man dem Auftraggeber stellen sollte, bevor man annimmt, dass eine Teilnahme unmöglich ist.

Wie lange ein Bericht gilt

Fristen erscheinen in den Unterlagen auf drei Arten, die aus ganz verschiedenen Stellen kommen und deshalb nicht gegeneinander austauschbar sind: beim Anschluss an das britische Verwaltungsnetz darf der Bericht nicht älter als ein Jahr sein und nicht erneut im nächsten Antrag auf Anschluss verwendet werden. In Deutschland knüpft § 39 des BSI-Gesetzes für Betreiber kritischer Anlagen die Frist an den Nachweisrhythmus, erstmals nach drei Jahren und danach alle drei Jahre, in einem kommerziellen Vertrag ist die Frist einfach die, die die Parteien geschrieben haben, und das heißt, dass man sie vereinbaren kann.

In allen drei Fällen reicht die kalendarische Frist allein nicht, weil der Bericht eines Penetrationstests ein bestimmtes System an einem bestimmten Datum beschreibt, und nach einer wesentlichen Änderung — einer neuen Integration, einem neuen Rollenmodell oder dem Umbau eines Zahlungsflusses — veraltet der Bericht schneller, als es die Zeit tut. Genau deshalb nennen neben dem Intervall sowohl Vorschriften als auch Branchenstandards in der Regel auch die Änderung.

Praktisch heißt das zwei Dinge, die im Angebot getrennt stehen sollten. Erstens lohnt es, klar zu sagen, auf welche Version oder welchen Stand des Systems der Bericht sich bezieht, weil genau das später den Streit entscheidet, ob ein Befund neu ist. Zweitens lohnt eine eigene Vereinbarung über die erneute Prüfung nach den Korrekturen, weil ein Befund, der behoben ist, und ein Befund, von dem jemand denkt, er sei behoben, sich unterscheiden.

Wie Sie die Anforderung lesen, bevor das Angebot entsteht

In der Praxis genügen vier Fragen, in einer bestimmten Reihenfolge gestellt, weil jede nächste erst sinnvoll ist, wenn die vorige beantwortet ist. Die erste ist die, welches System geprüft wird — das zu liefernde oder das des Lieferanten selbst, und diese eine Frage trennt Cyber Essentials vom Rest, deshalb gehört sie an den Anfang. Die zweite ist die, ob die Anforderung den Status des Auftragnehmers nennt oder die Qualifikation eines bestimmten Menschen: der Status zeigt fast immer auf ein ausländisches Schema, die Qualifikation auf eine benannte Person, und das ist die Grenze zwischen einer Anforderung, die ein deutsches Unternehmen erfüllen kann, und einer, die es nicht kann. Die dritte ist die, ob gefundene Sicherheitslücken ausgenutzt werden sollen, denn wenn ja, ist von einem Penetrationstest die Rede, reicht eine Liste von Befunden, ist es ein Scan, der ganz anderes Geld kostet. Die vierte ist die, auf welche Norm der Auftraggeber sich beruft, und wenn auf keine, ist die Anforderung seine eigene Wahl, und über den Umfang lässt sich sprechen.

Wie das in der Praxis aussieht, sieht man am besten an einer ganz typischen Formulierung, wie sie in den Unterlagen stehen kann: „Der Bieter hat ein Sicherheitsaudit des Systems gemäß CHECK oder einer gleichwertigen Methodik sicherzustellen.“ Die erste Frage antwortet sofort — geprüft wird das zu liefernde System, Cyber Essentials fällt also aus. Die zweite zeigt, dass der Status des Auftragnehmers genannt ist, und das ist ein ausländisches Schema. Die dritte bleibt unbeantwortet, weil das Wort „Audit“ nicht sagt, ob Sicherheitslücken ausgenutzt werden. Die vierte ist die entscheidende: steht weiter im Dokument kein Verweis auf eine Norm, ist die Anforderung die Wahl des Auftraggebers, der Vorbehalt „oder gleichwertig“ lässt die Tür offen, und die Frage, die zu stellen ist, ist nur eine — ob gefundene Sicherheitslücken ausgenutzt werden sollen. Stehen die Antworten auf diese Fragen in den Unterlagen nicht, gehören sie schriftlich verlangt, und das ist keine Formsache: Unterlagen, die ein Schema nennen, aber den Umfang nicht, erzeugen völlig unvergleichbare Angebote, und das ist der Verlust des Auftraggebers, nicht des Bieters.

Wenn es sich um eine gewöhnliche Website-Sicherheitsprüfung handelt

In einem Teil der Fälle, besonders in kleineren Vergaben, steht hinter all diesen Namen eine viel einfachere Bedarfslage: der Auftraggeber will wissen, ob seine Website oder Anwendung vor der Inbetriebnahme sicher ist. Dort gibt es weder eine kritische Anlage noch ein Verwaltungsnetz noch eine Anforderung an die Lieferkette — nur den Wunsch, nichts in Betrieb zu nehmen, das im ersten Monat gehackt wird.

Diese Grenze sollte man ehrlich auch von der Seite des Auftragnehmers erkennen, nicht nur von der des Auftraggebers. Verlangt die Ausschreibung wirklich die Mitgliedschaft in einem ausländischen Schema, ist die richtige Antwort, nicht teilzunehmen oder in Partnerschaft mit demjenigen teilzunehmen, der die Mitgliedschaft hat — nicht die eigene Methodik so zu beschreiben, dass sie ähnlich klingt. Die Wertungskommission merkt das, und der Preis für die Reputation ist höher als der einer verlorenen Vergabe.

Genau in diesem Fall ist unser Website-Sicherheitsaudit am Platz, in dem auch Raum für eine manuelle Prüfung mit schriftlicher Erlaubnis ist. Das ist nicht CHECK, nicht ITHC und wird nicht als solches ausgegeben; das ist die Arbeit, die auf die Frage antwortet, die tatsächlich gestellt wurde. Liegen Ihnen die Unterlagen auf dem Tisch und ist unklar, in welche dieser Kategorien sie fallen, schicken Sie uns den Sicherheitsabschnitt der Leistungsbeschreibung, und wir sagen, welches Instrument dort genannt ist — auch dann, wenn die Antwort lautet, dass das nicht unsere Arbeit ist.