Anlage E5 Los 2 Anforderungskatalog Informationssicherheit und Datenschutz

AS 19/2026 Kommunikationsleistungen und technischer Betrieb der digitalen Medien der Berufsgenossenschaft Handel und Warenlogistik Los 2: Technischer Betrieb und Weiterentwicklung

Gegenstand und Verhältnis zur Leistungsbeschreibung:

Gegenstand dieses Anforderungskatalogs sind die ergänzenden Anforderungen an Informationssicherheit und Datenschutz für Betrieb, Hosting, Wartung und Weiterentwicklung der in der Leistungsbeschreibung (Anlage C Los 2) beschriebenen TYPO3-Systemlandschaft mit sieben Sites einschließlich Medienshop und zugrunde liegender technischer Infrastruktur.

Dieser Anforderungskatalog konkretisiert und ergänzt die Leistungsbeschreibung um Anforderungen der Informationssicherheit und des Datenschutzes. Soweit ein Sachverhalt bereits in der Leistungsbeschreibung konkreter oder mit strengeren Mindestanforderungen geregelt ist, bleiben diese Anforderungen unberührt. Insbesondere werden dort festgelegte Fristen, Servicelevel, Aufbewahrungszeiten, RTO/RPO und Vorgaben zum Ort der Datenverarbeitung durch diesen Anforderungskatalog nicht abgeschwächt.

Allgemeine Anforderung aus Sicht des ISMS

Der AN muss für die von ihm verantworteten Leistungen ein angemessenes Informationssicherheitsniveau nach dem Stand der Technik gewährleisten.
Der AN muss die für die Leistungserbringung relevanten Sicherheitsmaßnahmen und -prozesse dokumentieren und dem AG auf Verlangen geeignete Nachweise zur Verfügung stellen.
Eine Zertifizierung nach ISO/IEC 27001 oder BSI IT-Grundschutz ist nicht zwingend erforderlich. Unberührt bleibt die in der Leistungsbeschreibung geforderte Orientierung des Sicherheitskonzepts und des Informationssicherheits-Managementsystems an ISO/IEC 27001 und BSI IT-Grundschutz in der jeweils geltenden Fassung.

Verweis: Die Benennung von Ansprechpartnern für Informationssicherheit und Datenschutz richtet sich nach Kapitel 6 der Leistungsbeschreibung.

Hosting und Infrastruktur

Für Bereitstellung, Betrieb und laufende Absicherung der Infrastruktur gelten insbesondere Leistungspaket 02, Position 02.01 und 02.04 der Leistungsbeschreibung.

Die eingesetzten Server, Betriebssysteme, Webserver, Datenbanken, Laufzeitumgebungen und sonstigen Komponenten müssen nach dem Stand der Technik sicher konfiguriert und gehärtet werden.
Nicht benötigte Dienste, Schnittstellen, Benutzerkonten und Funktionen müssen deaktiviert bzw. entfernt werden.
Produktivsysteme müssen gegenüber anderen Kunden bzw. Mandanten des AN angemessen logisch oder physisch getrennt sein.
Administrative Schnittstellen dürfen nicht ungeschützt aus dem öffentlichen Internet erreichbar sein. Administrative Zugriffe sind durch geeignete technische Maßnahmen abzusichern.
Der AN muss ein aktuelles Inventar der für den Betrieb wesentlichen Hard- und Softwarekomponenten einschließlich relevanter Versionsstände führen.

TYPO3 und Webanwendungen

Für unterstützte Softwareversionen gilt Kapitel 2.4 „Aktualität der eingesetzten Software“ der Leistungsbeschreibung. Für die Transportverschlüsselung gelten die dort festgelegten Anforderungen zu Datenschutz und Informationssicherheit einschließlich der dort zitierten Normen.

Nicht mehr benötigte Extensions, Komponenten und Funktionen sind zu entfernen oder zu deaktivieren.
Die Webanwendungen müssen gegen typische Angriffe auf Webanwendungen nach dem Stand der Technik geschützt werden, insbesondere gegen Injection, Cross-Site-Scripting, Cross-Site-Request-Forgery, unsichere Datei-Uploads, unberechtigte Zugriffe und Session-Angriffe.
HTTP-Aufrufe sind grundsätzlich auf HTTPS umzuleiten.
Sicherheitsrelevante HTTP-Header und Cookie-Eigenschaften sind nach dem Stand der Technik zu konfigurieren.
Technische Fehlermeldungen dürfen gegenüber Nutzern keine Informationen offenlegen, die Angriffe erleichtern können.
Kundenkonten und Anmeldefunktionen des Medienshops müssen insbesondere gegen automatisierte Anmeldeversuche, Credential Stuffing und Enumeration angemessen geschützt werden.

Benutzerkonten und administrative Zugriffe

Für Anlage, Änderung, Löschung und regelmäßige Überprüfung von Redaktionszugängen sowie die Pflege des Rollen- und Rechtekonzepts gilt Position 02.05 der Leistungsbeschreibung.

Benutzer- und Administrationsberechtigungen müssen nach dem Least-Privilege-Prinzip vergeben werden.
Administrative Tätigkeiten müssen grundsätzlich über personenbezogene, eindeutig zuordenbare Konten erfolgen. Gemeinsam genutzte Administratorkonten sind soweit technisch möglich zu vermeiden.
Privilegierte bzw. administrative Zugänge des AN müssen mittels Mehrfaktor-Authentisierung (MFA) abgesichert werden.
Für lokale TYPO3-Konten müssen angemessene Vorgaben zur Authentisierung umgesetzt werden. Passwörter dürfen ausschließlich in einem dem Stand der Technik entsprechenden, nicht reversiblen Verfahren gespeichert werden.
Fehlgeschlagene Authentisierungsversuche müssen angemessen begrenzt bzw. gegen automatisierte Angriffe abgesichert werden.
MFA für die redaktionellen Backend-Konten des AG muss technisch unterstützt werden und während der Vertragslaufzeit aktivierbar sein.

Patch- und Schwachstellenmanagement

Für die Einspielung von Sicherheitspatches gelten ausschließlich die nach CVSS differenzierten Fristen gemäß Kapitel 3.4 der Leistungsbeschreibung. Diese Fristen werden durch diesen Anforderungskatalog nicht verlängert.

Der AN ist für das kontinuierliche Patch- und Schwachstellenmanagement aller von ihm verantworteten Komponenten verantwortlich.
Der AN muss einschlägige Sicherheitsmeldungen der Hersteller und Projekte, insbesondere zu TYPO3 und eingesetzten Extensions, kontinuierlich beobachten und bewerten.
Ist eine fristgerechte Behebung oder Einspielung nach Kapitel 3.4 der Leistungsbeschreibung im Einzelfall nicht möglich, muss der AN das daraus resultierende Risiko unverzüglich bewerten und dokumentieren sowie geeignete kompensierende Maßnahmen ergreifen. Der AG ist bei kritischen Abweichungen unverzüglich zu informieren.
Durchgeführte sicherheitsrelevante Updates und eingesetzte kompensierende Maßnahmen müssen nachvollziehbar dokumentiert werden.

Sichere Weiterentwicklung und Deployment

Für Umgebungstrennung, Versionsverwaltung, Qualitätssicherung, Auslieferung über Integration, Staging und Produktion sowie Rückabwicklung gelten die Anforderungen aus Kapitel 2.4 und Leistungspaket 03 der Leistungsbeschreibung.

Sicherheitsrelevante Änderungen müssen vor der Produktivsetzung einer angemessenen zusätzlichen Sicherheitsprüfung unterzogen werden.
Produktive personenbezogene Daten dürfen grundsätzlich nicht für Entwicklungs- und Testzwecke verwendet werden. Soweit dies ausnahmsweise erforderlich ist, sind geeignete Schutzmaßnahmen vorab mit dem AG abzustimmen.
Zugangsdaten, Passwörter, API-Schlüssel, private Schlüssel und vergleichbare Secrets dürfen nicht ungeschützt im Quellcode oder in öffentlich bzw. unberechtigt zugänglichen Repositories gespeichert werden.
Der AN muss für eingesetzte Drittkomponenten und Abhängigkeiten einen geregelten Umgang mit bekannt gewordenen Schwachstellen gewährleisten.

Sicherheitsprüfungen

Die öffentlich erreichbaren Webanwendungen müssen regelmäßig sowie anlassbezogen auf relevante Schwachstellen überprüft werden.
Nach wesentlichen sicherheitsrelevanten Änderungen müssen angemessene Sicherheitsprüfungen durchgeführt werden.
Festgestellte Schwachstellen müssen bewertet, priorisiert und dokumentiert werden. Für ihre Behebung gelten, soweit einschlägig, die Fristen aus Kapitel 3.4 der Leistungsbeschreibung.
Der AN muss dem AG auf Verlangen geeignete Nachweise über erfolgte Sicherheitsprüfungen und die Bearbeitung wesentlicher Feststellungen zur Verfügung stellen.
Der AG ist berechtigt, nach angemessener Abstimmung selbst oder durch einen beauftragten Dritten Sicherheitsprüfungen durchführen zu lassen. Der AN muss diese im erforderlichen Umfang unterstützen.
Ein unabhängiger Penetrationstest der wesentlichen öffentlich erreichbaren Webanwendungen ist mindestens einmal jährlich sowie nach wesentlichen Architekturänderungen durchzuführen. Der vollständige Prüfbericht bzw. ein geeigneter Nachweis einschließlich der wesentlichen Feststellungen und ihres Bearbeitungsstands ist dem AG zur Verfügung zu stellen.

Logging und Monitoring

Für Umfang, Aufbewahrung und Bereitstellung der Protokollierung sowie das laufende Monitoring gelten Kapitel 3.6 und Position 02.03 der Leistungsbeschreibung.

Zu protokollieren sind insbesondere administrative Anmeldungen und Tätigkeiten, fehlgeschlagene Authentisierungsversuche, sicherheitsrelevante Konfigurationsänderungen sowie erkannte sicherheitsrelevante Fehler und Ereignisse, soweit technisch möglich und datenschutzrechtlich zulässig.
Protokolldaten müssen gegen unberechtigten Zugriff und unberechtigte Veränderung geschützt werden.
Die Systemzeiten der beteiligten Systeme müssen synchronisiert werden, damit Ereignisse zeitlich nachvollziehbar korreliert werden können.
Nach Ablauf der gemäß Leistungsbeschreibung einzuhaltenden Mindestaufbewahrungsdauer sind Protokolldaten zu löschen, sobald keine gesetzlichen, vertraglichen oder zweckbezogenen Gründe eine weitere Aufbewahrung erfordern bzw. zulassen.
Erkannte sicherheitsrelevante Auffälligkeiten sind zu bewerten und erforderlichenfalls nach den Vorgaben zu Sicherheitsvorfällen zu behandeln.

Informationssicherheitsvorfällen

Für die Meldefrist gilt Kapitel 3.4 der Leistungsbeschreibung: Informationssicherheitsvorfälle, die Systeme oder Daten der BGHW betreffen, sind den benannten Ansprechpartnern unverzüglich nach Kenntnis zu melden; bei einem schwerwiegenden Vorfall erfolgt eine erste Meldung spätestens innerhalb von zwei Stunden, bei sonstigen Vorfällen spätestens innerhalb von 24 Stunden nach Kenntnis.

Der AN muss über einen dokumentierten Prozess zur Erkennung, Bewertung und Behandlung von Informationssicherheitsvorfällen verfügen.
Die Erstmeldung muss mindestens bekannte Auswirkungen, betroffene Systeme und Daten, Zeitpunkt bzw. Zeitraum, bereits eingeleitete Maßnahmen und einen Ansprechpartner enthalten, soweit diese Informationen zum Zeitpunkt der Meldung vorliegen.
Der AN muss den AG während der Bearbeitung über wesentliche neue Erkenntnisse informieren.
Nach Abschluss eines wesentlichen Informationssicherheitsvorfällen ist dem AG eine dokumentierte Ursachenanalyse einschließlich getroffener und geplanter Abstellmaßnahmen zur Verfügung zu stellen.
Informationssicherheitsvorfällen bei Unterauftragnehmern, die Systeme oder Daten des AG betreffen können, unterliegen denselben Meldepflichten.
Der AN muss den AG bei der Erfüllung gesetzlicher Melde- und Informationspflichten angemessen unterstützen.

Backup, Wiederherstellung und Notfallvorsorge

Für Sicherungsintervalle, Aufbewahrungsdauer, RPO, RTO, physisch getrennte Sicherungskopien und Wiederherstellungstests gelten die Anforderungen aus Kapitel 3.5 der Leistungsbeschreibung.

Der AN muss ein dokumentiertes Sicherungs- und Wiederherstellungskonzept für die TYPO3-Systemlandschaft und die für deren Wiederherstellung erforderlichen Daten und Konfigurationen vorhalten und aktuell halten.
Backups müssen gegen unberechtigten Zugriff sowie gegen Verlust und Manipulation angemessen geschützt werden.
Ergebnisse der nach Leistungsbeschreibung geforderten Wiederherstellungstests müssen dokumentiert und dem AG auf Verlangen nachgewiesen werden.
Der AN muss angemessene Vorsorge für wesentliche Betriebsstörungen und Ausfälle treffen und die hierfür erforderlichen Wiederherstellungsverfahren dokumentieren.

Medienshop und Schnittstellen zu nachgelagerten Drittsystemen

Die Leistungsbeschreibung ordnet Betrieb, Pflege und Weiterentwicklung externer und interner Anbindungen dem Leistungsumfang zu und nennt insbesondere die Anbindung des Medienshops an das Warenwirtschaftssystem der BGHW über einen Drittdienstleister.

Personenbezogene Daten der Kundenkonten und Bestellungen müssen gegen unberechtigte Kenntnisnahme, Veränderung und Verlust geschützt werden.
Die Übertragung von Bestell- und sonstigen personenbezogenen Daten an nachgelagerte Drittsysteme muss über angemessen abgesicherte Schnittstellen bzw. sichere Übertragungswege erfolgen.
Schnittstellen müssen angemessen authentisiert und gegen unberechtigte Nutzung geschützt werden.
Es dürfen nur die für den jeweiligen Zweck erforderlichen personenbezogenen Daten an nachgelagerte Dienstleister bzw. Drittsysteme übertragen werden.
Fehler bei der Datenübermittlung müssen erkannt und nachvollziehbar behandelt werden können. Dabei ist eine unnötige Speicherung personenbezogener Daten in technischen Fehlerprotokollen zu vermeiden.

Rechenzentrum und Ort der Datenverarbeitung

Für den Ort der Datenverarbeitung gilt Kapitel 2.4 der Leistungsbeschreibung: Verarbeitung und Speicherung der Daten des Auftraggebers erfolgen ausschließlich in Rechenzentren innerhalb der Europäischen Union bzw. des Europäischen Wirtschaftsraums.

Der AN muss die Standorte der für die Leistungserbringung eingesetzten Rechenzentren benennen.
Die Rechenzentren müssen über angemessene physische und infrastrukturelle Sicherheitsmaßnahmen verfügen, insbesondere Zutrittskontrolle, Schutz vor relevanten Umwelteinflüssen sowie angemessene Strom-, Brand- und Betriebssicherheit.
Die angemessene Absicherung der Rechenzentren muss durch geeignete Nachweise belegbar sein. Eine bestimmte Zertifizierung wird nicht zwingend vorausgesetzt.

Prüf- und Nachweisrechte

Die nachfolgenden Anforderungen ergänzen die Prüfungsrechte des AG nach Kapitel 6 der Leistungsbeschreibung.

Der AN muss dem AG auf Verlangen geeignete Nachweise über die Umsetzung der vereinbarten Informationssicherheits- und Datenschutzmaßnahmen zur Verfügung stellen.
Als Nachweise können insbesondere geeignete Zertifikate, Auditberichte, Prüfberichte, Sicherheitskonzepte oder vergleichbare Dokumentationen verwendet werden.
Bei festgestellten wesentlichen Abweichungen muss der AN geeignete Abstellmaßnahmen mit dem AG vereinbaren, dokumentieren und innerhalb angemessener bzw. vertraglich vorgegebener Fristen umsetzen.

Vertragsende und Exit

Für Wissenstransfer, Übergabe von Dokumentation, Quellcode, Daten, Konfigurationen und Historien sowie die Unterstützung eines Nachfolgeauftragnehmers gelten die Regelungen „Leistungen bei Vertragsende“ in Kapitel 6 der Leistungsbeschreibung.

Anlage E5 Los 2 Anforderungskatalog Informationssicherheit.docx