Leistungsbeschreibung_2_Los2-V1.1.pdf

[Seite 1]

Leistungsbeschreibung

Fachlicher Teil Los 2 – DDoS-Mitigation-Lösung

Vergabenummer ekom21-2026-0004

ekom21 – KGRZ Hessen Carlo-Mierendorff-Straße 11 35398 Gießen

[Seite 2]

ekom21 – KGRZ Hessen Leistungsbeschreibung

Änderungshistorie

11.09.2026 Seite II Version 1.1

[Seite 3]

ekom21 – KGRZ Hessen Leistungsbeschreibung

Inhaltsverzeichnis

1 Ausgangslage .......................................................................................................... 1 1.1 Internetzugänge .....................................................................................................................1 1.1.1 Zentral ..........................................................................................................................1 1.1.2 Dezentral .....................................................................................................................1 1.2 DDoS-Mitigation ....................................................................................................................1 2 Losspezifische Anforderungen DDoS-Mitigation-Lösung ................................. 2 2.1 Überblick der Lösungsbestandteile .................................................................................2 2.2 Redundante Internetanbindung / Transit Provider ...................................................3 2.2.1 Standortanbindung .................................................................................................3 2.2.2 Bandbreiten ................................................................................................................4 2.2.3 Lastverteilung ............................................................................................................4 2.2.4 Datenvolumen ...........................................................................................................4 2.2.5 Leistungsübergabepunkte ....................................................................................5 2.2.6 Internetprotokoll-Version ......................................................................................6 2.2.7 Autonomes System ..................................................................................................6 2.2.8 Paketverlustrate und Latenzzeiten .....................................................................6 2.3 DDoS-Mitigation ....................................................................................................................6 2.3.1 Erkennung ...................................................................................................................7 2.3.2 Maßnahmen ...............................................................................................................7 2.3.3 Managementportal ..................................................................................................9 2.3.4 Schutz gegen applikationsspezifische Attacken (Layer 7) .........................9 2.3.5 Audit von DDoS-Erkennung und -Schutzmaßnahmen ...............................9 3 Losspezifische Serviceparameter ........................................................................ 10 3.1 Verfügbarkeit ........................................................................................................................ 10 3.1.1 Verfügbarkeit der Standortanbindungen ..................................................... 10 3.1.2 Verfügbarkeit des IP-Backbone des ISP ........................................................ 10 3.2 Festlegung der gewünschten Serviceparameter ..................................................... 10

11.09.2026 Seite III Version 1.1

[Seite 4]

ekom21 – KGRZ Hessen Leistungsbeschreibung

Abbildungsverzeichnis

Abbildung 1: Lösungsübersicht mit Trennung der Zuständigkeiten zwischen AUFTRAGNEHMER und AUFTRAGGEBER ........................................................................................3 Abbildung 2: Schutz vor volumenbasierten Angriffen im Backbone des AUFTRAGNEHMERS .................................................................................................................................7

Tabellenverzeichnis

Tabelle 1: SLA-relevante Zeiten und Fristen ................................................................................ 11

Index der A-Kriterien

A2.1 Bereitstellung einer ISP-basierten DDoS-Mitigation im Backbone ..............................2 A2.2 IP-Backbone und Exchange Points ...........................................................................................3 A2.3 Unterstützung von Dual-Stack ..................................................................................................6

Index der B-Kriterien

B2.1 Tier 1 ISP ............................................................................................................................................2 B2.2 Anzahl Peering-Vereinbarungen ...............................................................................................3 B2.3 Nutzung ausschließlich eigener Anschlussleitungen .........................................................4 B2.4 Unterstützung Remotely Triggered Blackholing (RTBH) ..................................................8 B2.5 Unterstützung BGP-Flowspec und REGEX für Paketfilter .................................................8

11.09.2026 Seite IV Version 1.1

[Seite 5]

ekom21 – KGRZ Hessen Leistungsbeschreibung

Vorbemerkungen

Die fachlichen Anforderungen werden in drei Losen beschrieben. Das erste Los beinhaltet die Lösung zur Standortvernetzung (beschrieben in den fachlichen Anforderungen an Los 1). Das zweite Los umfasst die DDoS-Mitigation-Lösung (beschrieben in den fachlichen Anforderungen an Los 2). Das dritte Los umfasst die Anbindung von Standorten an das öffentliche Internet per Satellit (beschrieben in den fachlichen Anforderungen an Los 3).

Der AUFTRAGGEBER behält sich vor, die Lose nach Auswertung der Angebote getrennt voneinander an unterschiedliche BIETER oder alle Lose an einen BIETER zu vergeben.

Das vorliegende Dokument beinhaltet alle fachlichen Anforderungen, die an das anzubietende Los 2 (DDoS-Mitigation-Lösung) für die ekom21 – KGRZ Hessen (Körperschaft des öffentlichen Rechts, folgend: AUFTRAGGEBER) gestellt werden.

Zusätzlich MÜSSEN alle losübergreifenden Anforderungen, die im Dokument „Leistungsbeschreibung_0_Übergreifende-Anforderungen“ beschrieben sind, durch den AUFTRAGNEHMER erfüllt werden. Die losübergreifenden Vorbemerkungen sind ebenfalls zu beachten.

11.09.2026 Seite V Version 1.1

[Seite 6]

ekom21 – KGRZ Hessen Leistungsbeschreibung

1 Ausgangslage

Die losübergreifende Ausgangslage ist im Dokument „Leistungsbeschreibung_0_Übergreifende-Anforderungen“ beschrieben und zu beachten.

1.1 Internetzugänge

1.1.1 Zentral Zentrale Internetzugänge für DDoS-Mitigation sind derzeit nicht in Verwendung.

1.1.2 Dezentral In einem parallelen Rahmenvertrag bezieht der AUFTRAGGEBER einzelne dezentrale Internetzugänge als Underlay-Netzwerk für das SD-WAN und ohne DDoS-Mitigation. Diese dezentralen Internetzugänge sind nicht Gegenstand dieser Vergabe.

1.2 DDoS-Mitigation Derzeit existiert im Bestand noch keine DDoS-Mitigation-Lösung.

11.09.2026 Seite 1 von 11 Version 1.1

[Seite 7]

ekom21 – KGRZ Hessen Leistungsbeschreibung

2 Losspezifische Anforderungen DDoS-Mitigation-Lösung

Der AUFTRAGGEBER benötigt eine Lösung zum Schutz gegen volumenbasierte Angriffe wie Denial-of-Service (DoS) oder Distributed-Denial-of-Service (DDoS) in Kombination mit einer redundanten und performanten Internetanbindung auf Basis eines Transit-Services. Die erforderliche Bereitstellung der Übergaberouter (als Leistungsübergabepunkt) sowie das entsprechende Management bzw. die Überwachung der Lösung gehören ebenfalls zum benötigten Leistungsumfang.

DoS-Angriffe werden definiert als die Blockierung des Zugriffs auf Dienste im öffentlichen Internet beispielsweise durch eine hohe Anzahl illegitimer Anfragen, die die Kapazitäten der Internetanbindung des AUFTRAGGEBERS übersteigen oder Schwachstellen in Protokollimplementierungen oder Konfigurationsfehlern ausnutzen und somit die Übertragung legitimen Datenverkehrs unterbinden.

DDoS-Angriffe werden definiert als DoS-Angriffe, bei denen die illegitimen Anfragen durch unterschiedliche, verteilte Quellen generiert werden. In dieser Leistungsbeschreibung bezieht sich die Anforderung an eine DDoS-Mitigation-Lösung immer auf die Verhinderung von sowohl DoS- als auch DDoS-Angriffen.

Die anzubietende DDoS-Mitigation-Lösung MUSS die Erkennung des Angriffs, die Evaluierung potenzieller Gegenmaßnahmen und die Einleitung der entsprechenden Gegenmaßnahmen durch den AUFTRAGNEHMER umfassen. Ziel ist es, die Auswirkungen dieser Attacken zu minimieren oder nach Möglichkeit komplett zu eliminieren. Die einzuleitenden Maßnahmen MÜSSEN mit dem AUFTRAGGEBER abgestimmt werden, um potenzielle Auswirkungen auf noch funktionierende Geschäftsprozesse durch die eingeleiteten Maßnahmen zu minimieren.

2.1 Überblick der Lösungsbestandteile Um die geforderten Schutz- bzw. Gegenmaßnahmen effizient und frühestmöglich anwenden zu können, MUSS der AUFTRAGNEHMER diese bereits im Backbone des angebotenen Internet Service Providers (ISP) nahe am Peering-Übergang zu anderen Providern realisieren. Dies soll potenzielle Überlastungen der Transitanbindung zwischen ISP des AUFTRAGNEHMERS und des AUFTRAGGEBERS vermeiden.

A2.1 Bereitstellung einer ISP-basierten DDoS-Mitigation im Backbone Abwehrmaßnahmen müssen im Provider-Netz erfolgen, um Überlast der Anbindung zu vermeiden.

B2.1 Tier 1 ISP Der AUFTRAGNEHMER bestätigt, dass der für die Lösung angebotene ISP zur obersten Klasse (Tier 1) gezählt wird.

11.09.2026 Seite 2 von 11 Version 1.1

[Seite 8]

ekom21 – KGRZ Hessen Leistungsbeschreibung

Um einen effektiven Schutz gegen volumenbasierte DDoS-Attacken zu erreichen beziehungsweise deren Auswirkungen minimieren zu können, strebt der AUFTRAGGEBER an, eine Kombination der Lieferung der DDoS-Mitigation-Lösung mit einer redundanten zugehörigen Internetanbindung auf Basis eines auf dem Internetprotokoll (IP) basierenden Transit-Dienstes mit zugehörigen Routern und deren Überwachung und Management zu vergeben.

A2.2 IP-Backbone und Exchange Points Der BIETER muss einen eigenen nationalen IP-Backbone mit mehr als 3 Internet Exchange Points (IXP) mit jeweils mindestens 100Gbps pro Anbindung betreiben.

B2.2 Anzahl Peering-Vereinbarungen Der BIETER gibt die Anzahl der direkten Peering-Vereinbarungen mit anderen Providern mit einer Bandbreite von jeweils mindestens 100 Gbps (nicht die Anzahl der Ports) an.

Folglich MUSS der AUFTRAGNEHMER als zweiten Baustein der Lösung für Los 2 zwei kanten- und knotendisjunkte Internetanbindungen anbieten. Diese MÜSSEN als Transitverbindungen zwischen den öffentlichen IP-Netzbereichen des AUFTRAGGEBERS und dem öffentlichen Internet dienen (sog. IP-Transit). Der Austausch der IP-Erreichbarkeitsinformationen / IP-Präfixe SOLL dabei mittels Border Gateway Protocol (BGP) über sogenannte Full Tables erfolgen.

Abbildung 1: Lösungsübersicht mit Trennung der Zuständigkeiten zwischen AUFTRAGNEHMER und AUFTRAGGEBER

2.2 Redundante Internetanbindung / Transit Provider

2.2.1 Standortanbindung Der AUFTRAGNEHMER MUSS zuverlässige und sichere zentrale Internetzugänge für den AUFTRAGGEBER auf Basis von Lichtwellenleitertechnologie anbieten. Diese Internetzugänge MÜSSEN jeweils kanten- und knotendisjunkt zu unterschiedlichen

11.09.2026 Seite 3 von 11 Version 1.1

[Seite 9]

ekom21 – KGRZ Hessen Leistungsbeschreibung

Points-of-Presence (PoP) ausgeführt werden. Die Internetanbindungen werden als Transit zwischen den vom AUFTRAGGEBER bereitgestellten IP-Adressräumen und dem öffentlichen Internet bereitgestellt.

B2.3 Nutzung ausschließlich eigener Anschlussleitungen Der AUFTRAGNEHMER bestätigt, dass der für die Lösung angebotene ISP ausschließlich eigene physische Anschlussleitungen zu eigenen PoP zur Standortanbindung verwendet.

Für den Rahmenvertrag existiert bereits ein konkreter Endkunde. Neben den generellen Preisabfragen soll bereits für diesen Endkunden ein konkretes Angebot hinterlegt werden. Für diesen Endkunden ist die Lokation Obere Königsstraße 8 in 34117 Kassel sowie Friedrich-Ebert-Straße 160 in 34119 Kassel vorgesehen.

Während der Vertragslaufzeit ist für diesen Endkunden eine Standortverlagerung für eine der beiden Anbindungen absehbar. Im Preisblatt ist daher kalkulatorisch die Verlegung einer der beiden Teilnehmeranschlussleitungen (TAL) an die Lokation Hermann-Bücher-Straße 93 in 34123 Kassel vorgesehen.

2.2.2 Bandbreiten Aus dem Rahmenvertrag MÜSSEN für die zentralen Internetzugänge drei Ausbaustufen mit den folgenden Committed Access Rates (CAR) abgerufen werden können:

• zweimal 5 GBit/s symmetrisch

• primär 10 GBit/s symmetrisch und sekundär 5 GBit/s symmetrisch

• zweimal 10 GBit/s symmetrisch

• zweimal 100 GBit/s symmetrisch

2.2.3 Lastverteilung Der AUFTRAGNEHMER MUSS nach Vorgabe des AUFTRAGGEBERS eine Lastverteilung auf primäre und sekundäre Anbindung einrichten. Die Parameter für die Lastverteilung MÜSSEN durch den AUFTRAGNEHMER in der Abstimmungsphase (siehe Kapitel 3 in den losübergreifenden Anforderungen) in einem Fachworkshop erarbeitet werden.

2.2.4 Datenvolumen Die übertragenen Datenvolumina MÜSSEN pauschal über die monatlichen Kosten abgerechnet werden (sog. Flatrate). Eventuell anfallende einmalige Kosten MÜSSEN auf die Monatspauschale in der Mindestvertragslaufzeit umgelegt werden. Es DARF KEINE Begrenzung der Datenvolumina stattfinden.

11.09.2026 Seite 4 von 11 Version 1.1

[Seite 10]

ekom21 – KGRZ Hessen Leistungsbeschreibung

2.2.5 Leistungsübergabepunkte Die Verteilung der Erreichbarkeitsinformationen, den sogenannten Subnetzen und IP- Präfixen, SOLL über das Border Gateway Protocol (BGP) erfolgen. Der AUFTRAGNEHMER MUSS eine bidirektionale Routing-Dienstleistung zwischen dem gemeinsam implementierten autonomen System des AUFTRAGGEBERS und dem öffentlichen Internet einrichten. Dies MUSS der ISP des AUFTRAGNEHMERS über geeignete Peering- und Transitverbindungen sicherstellen.

Der AUFTRAGNEHMER MUSS dem AUFTRAGGEBER für die Vertragslaufzeit für die zentralen Internetzugänge jeweils zwei Router in den Räumlichkeiten des AUFTRAGGEBERS bzw. dessen Endkunden bereitstellen. Diese Router bilden die Leistungsübergabepunkte zwischen AUFTRAGGEBER und AUFTRAGNEHMER.

Die Router SOLLEN die Routen zu den Subnetzen bzw. IP-Präfixen des AUFTRAGGEBERS jeweils mittels BGP Full Tables propagieren.

Die vom AUFTRAGNEHMER eingesetzte Router-Hardware MUSS mindestens einen unidirektionalen Durchsatz von 32 GBit/s ermöglichen und über redundante Netzteile verfügen. Die Router MÜSSEN über mindestens 16 GB RAM verfügen und 4 Millionen IPv4- und IPv6-Routen verarbeiten können. Die Router MÜSSEN MACSec (gemäß IEEE 802.1AE) unterstützen, entsprechende Lizenzen MÜSSEN im Angebot enthalten sein. Auf der internen Ethernet-Schnittstelle Richtung Netzwerkinfrastruktur des AUFTRAGGEBERS MUSS ein First-Hop Redundancy Protocol (z. B. VRRP, HSRP) eingesetzt werden.

Auf den Routern MÜSSEN zur Klassifizierung und Filterung statuslose Paketfilter (sog. Access-Listen) mit mindestens 40.000 Access-Control-Einträgen eingerichtet werden können.

Als Übergabeschnittstelle und Übergabe des Verantwortungsbereichs gilt der Ausgang der SFP+-Module (siehe Kapitel 2.2.5.1) in Richtung des AUFTRAGGEBERS.

2.2.5.1 Physische Schnittstellen und Module Die Leistungsübergabepunkte MÜSSEN über mindestens 4 SFP+-Slots für bis zu 10 GBit/s Übertragungsrate sowie mindestens 2 SFP-Slots für eine Übertragungsrate von 1 GBit/s verfügen. Die Anbindung an die Netzwerkinfrastruktur des AUFTRAGGEBERS MUSS über 10GBASE-SR-SFP+-Module erfolgen. Mit der Router- Hardware kompatible Transceiver MÜSSEN durch den AUFTRAGNEHMER bereitgestellt werden und im Angebot inkludiert sein.

Ebenso MUSS der AUFTRAGNEHMER die entsprechenden Transceiver für die Anbindung an das WAN des von ihm vorgesehenen ISP sowie für den Crosslink

11.09.2026 Seite 5 von 11 Version 1.1

[Seite 11]

ekom21 – KGRZ Hessen Leistungsbeschreibung

zwischen den Routern zu Redundanzzwecken bereitstellen und im Angebot inkludieren.

2.2.6 Internetprotokoll-Version Der AUFTRAGNEHMER MUSS die Übertragung bzw. das Routing von Datenpaketen mit dem Internetprotokoll nativ in den Versionen 4 und 6 sowohl aus den als auch in die Subnetze bzw. IP-Präfixe des AUFTRAGGEBERS sicherstellen.

A2.3 Unterstützung von Dual-Stack Volle Unterstützung beider IP-Versionen (IPv4 und IPv6) im Dual-Stack.

2.2.7 Autonomes System Der AUFTRAGNEHMER MUSS den AUFTRAGGEBER bei Bedarf bei der Anbindung der bestehenden Provider Aggregatable Address Spaces (PA-Adressräume) des AUFTRAGGEBERS über ein neues und gemeinsam bei der RIPE NCC zu beantragendes Autonomes System (AS) beratend unterstützen. Der AUFTRAGNEHMER MUSS dazu vor Inbetriebnahme einen Design- und Abstimmungsworkshop mit dem AUFTRAGGEBER durchführen.

2.2.8 Paketverlustrate und Latenzzeiten Die Paketverlustraten im Backbone-Netz des durch den AUFTRAGNEHMER eingesetzten ISP zwischen festgelegten Router-Knoten DÜRFEN zu Gegenstellen in Europa, in Asien und in Nordamerika 0,3 % durchschnittlich im Kalendermonat NICHT übersteigen.

Die Latenzzeiten MÜSSEN im Backbone-Netz des durch den AUFTRAGNEHMER eingesetzten ISP zwischen festgelegten Router-Knoten bei Verbindungen innerhalb von Europa unidirektional bei unter 35 ms und nach Nordamerika bei unter 65 ms liegen.

2.3 DDoS-Mitigation Die DDoS-Mitigation-Lösung des AUFTRAGNEHMERS MUSS einen Schutz der redundanten Internetanbindungen (siehe Kapitel 2.2) vor volumenbasierten sowie system- und applikationsbasierten Angriffen bereitstellen. Er MUSS dafür entsprechend qualifiziertes Personal und technische Lösungen vorhalten.

Entsprechende Angriffe werden im Kontext dieser Leistungsbeschreibung insbesondere, aber nicht abschließend, folgendermaßen definiert:

• Reflection- und Amplification-Attacken (z. B. NTP- und DNS-Reflection-Attacken)

• Überflutungsattacken (z. B. SYN-, ICMP- oder HTTP-Floods)

11.09.2026 Seite 6 von 11 Version 1.1

[Seite 12]

ekom21 – KGRZ Hessen Leistungsbeschreibung

• Ausnutzung von Protokolleigenschaften (z. B. Fragmentation-Attacke oder TCP-RST- Attacke)

Die Lösung MUSS sowohl vor Angriffen mit IPv4- als auch IPv6-basierendem Datenverkehr zuverlässig schützen. Ziel ist die Sicherstellung der Erreichbarkeit und der Nutzbarkeit der in Kapitel 2.2 beschriebenen zentralen Internetanschlüsse des AUFTRAGGEBERS.

Abbildung 2: Schutz vor volumenbasierten Angriffen im Backbone des AUFTRAGNEHMERS

2.3.1 Erkennung Der AUFTRAGNEHMER MUSS die automatische und, sofern erforderlich, zusätzlich die manuelle Erkennung von DoS- und DDoS-Angriffen sicherstellen. Er MUSS den AUFTRAGGEBER über die festgestellten Angriffsmuster informieren und geeignete Gegenmaßnahmen vorschlagen, um die produktiven Auswirkungen für den AUFTRAGGEBER möglichst gering zu halten. Die Erkennung MUSS sowohl auf Basis von Datenflussinformationen anhand von Metadaten und Statistiken (z. B. Netflow oder IPFIX) als auch durch volle Paketanalysen erfolgen.

2.3.2 Maßnahmen Je nach Angriffstyp gibt es unterschiedliche Maßnahmen. Im Folgenden sind die Maßnahmen beschrieben, die der AUFTRAGNEHMER unterstützen MUSS, um den geforderten Schutz abdecken zu können.

• Filterung nach Quelladressen (Sinkholing): Beim Sinkholing werden IP-Pakete, deren Quelladresse im Bereich der angreifenden IP-Adressen liegt, an Routern des AUFTRAGNEHMERS verworfen. Die vorgenannten Pakete dieser Quelladressen dürfen die Anbindung des AUFTRAGGEBERS nicht erreichen, um eine volumenbasierte Überlastung auszuschließen. Der

11.09.2026 Seite 7 von 11 Version 1.1

[Seite 13]

ekom21 – KGRZ Hessen Leistungsbeschreibung

AUFTRAGNEHMER MUSS diese Datenpakete also innerhalb seines Netzes blockieren. Der AUFTRAGNEHMER SOLL bei Bedarf ganze GEO-IP-Regionen anhand derer IP- Adressen blockieren.

• Filterung nach Zieladressen (Blackholing): Beim Blackholing wird zur Abwehr eines volumenbasierten Angriffs das Ziel beim AUFTRAGGEBER temporär nicht erreichbar gemacht. Dies kommt zum Einsatz, um eine Beeinträchtigung anderer Dienste zu vermeiden. So könnten gezielt einzelne Ziel-IP-Adressen und / oder Ports gefiltert werden. Zudem wird durch diesen Ansatz vermieden, dass Systeme durch volumenbasierte Attacken in Fehlverhalten gebracht werden. Das Blackholing sollte möglichst nah an der Quelle geschehen. Dafür SOLL der AUFTRAGNEHMER nach Möglichkeit sogenanntes Remotely Triggered Blackholing (RTBH) zur Anwendung bringen, um Peering-Partnern zu signalisieren, dass IP-Pakete des Angreifer-Netzbereichs verworfen werden sollen.

B2.4 Unterstützung Remotely Triggered Blackholing (RTBH) Der AUFTRAGNEHMER bestätigt, dass der angebotene ISP bei allen direkt angebundenen Peering- Partnern RTBH einsetzen kann und er diese Maßnahme auch im Angebotspreis berücksichtigt hat.

• Filterung nach Paketeigenschaften: Das Muster des Datenverkehrs eines Angreifers MUSS durch den AUFTRAGNEHMER im Rahmen einer Analysephase untersucht und erkannt werden. Anschließend MÜSSEN statuslose Paketfilter (Access-Listen) beispielsweise auch nach anderen Header-Informationen (z. B. UDP- oder TCP-Ports, ICMP-Typen) auf den Datenverkehr angewendet werden. Der AUFTRAGNEHMER SOLL dazu auch BGP- Flowspec und die Möglichkeit zum Filtern auf Basis von regulären Ausdrücken (REGEX) unterstützen, um feingliedrigeres Filtern zu ermöglichen.

B2.5 Unterstützung BGP-Flowspec und REGEX für Paketfilter Der AUFTRAGNEHMER bestätigt, dass die DDoS-Mitigation-Lösung BGP-Flowspec und REGEX für feingliedrigere Paketfilter unterstützt und er diese Maßnahme auch im Angebotspreis berücksichtigt hat.

• Rate-Limiting / Policing: Wenn nach der Erkennung der Angriffsmuster der Angriffsverkehr nicht gezielt gefiltert werden kann, MUSS der AUFTRAGNEHMER den maximalen Durchsatz des Datenflusses begrenzen und darüberhinausgehende Datenmengen im jeweiligen Zeitintervall verwerfen.

Ziel beim Einsatz der vorgenannten Maßnahmen ist es, immer den geringsten produktiven Impact für den AUFTRAGGEBER zu erreichen. Bei Bedarf können auch dedizierte DDoS-Mitigation-Appliances oder Scrubbing-Center zum Einsatz kommen.

11.09.2026 Seite 8 von 11 Version 1.1

[Seite 14]

ekom21 – KGRZ Hessen Leistungsbeschreibung

2.3.3 Managementportal Der AUFTRAGNEHMER stellt ein Managementportal (siehe Kapitel 4.13 in den Losübergreifenden Anforderungen) zur Verwaltung der DDoS-Mitigation-Lösung zur Verfügung.

2.3.4 Schutz gegen applikationsspezifische Attacken (Layer 7) Stellt der AUFTRAGGEBER oder ein von ihm beauftragter Dienstleister eine applikationsspezifische Attacke fest, MUSS der AUFTRAGNEHMER nach Beauftragung durch den AUFTRAGGEBER entsprechende Unterstützung im Rahmen der zuvor genannten Gegenmaßnahmen gegen die volumenbasierten Attacken bieten. Darunter fallen beispielsweise HTTP-Floods, TLS-Floods oder Slowloris-Attacken.

2.3.5 Audit von DDoS-Erkennung und -Schutzmaßnahmen Dem AUFTRAGGEBER ist freigestellt, einmal je Kalenderjahr eine Prüfung der DDoS- Mitigation-Lösung inklusive Meldung an den AUFTRAGNEHMER und Prüfung der durchgeführten Prüfprozesse und Rückmeldungen unangemeldet durchzuführen. Gefundene Schwachstellen in den Prozessen MÜSSEN durch den AUFTRAGNEHMER kostenneutral behoben werden.

11.09.2026 Seite 9 von 11 Version 1.1

[Seite 15]

ekom21 – KGRZ Hessen Leistungsbeschreibung

3 Losspezifische Serviceparameter

3.1 Verfügbarkeit Die Definition der Verfügbarkeit im Dokument „Losübergreifende Anforderungen“, Kapitel 5.1.1, ist zu beachten.

3.1.1 Verfügbarkeit der Standortanbindungen Die Verfügbarkeit der Standortanbindungen ist der Tabelle der gewünschten Serviceparameter je Verfügbarkeitsklasse (siehe Kapitel 3.2) zu entnehmen.

Die Verfügbarkeit ist gegeben, solange eine Datenübertragung zwischen den Leistungsübergabepunkten einer Standortanbindung und dem Point-of-Presence (PoP) des IP-Backbones des ISP in der geforderten Bandbreite möglich ist.

Der AUFTRAGNEHMER KANN für seine Verfügbarkeitsberechnung eine hundertprozentig verfügbare Stromversorgung des Leistungsübergabepunkts durch den AUFTRAGGEBER annehmen.

3.1.2 Verfügbarkeit des IP-Backbone des ISP Die Verfügbarkeit des IP-Backbone des ISP ist der Tabelle der gewünschten Serviceparameter je Verfügbarkeitsklasse (siehe Kapitel 3.2) zu entnehmen.

Die Verfügbarkeit ist gegeben, solange eine Datenübertragung zwischen den IP- Backbone-PoP des vom AUFTRAGNEHMER genutzten ISP möglich ist.

3.2 Festlegung der gewünschten Serviceparameter Die folgende Tabelle fasst die gewünschten Serviceparameter zu den oben beschriebenen Parametern zusammen:

11.09.2026 Seite 10 von 11 Version 1.1

[Seite 16]

ekom21 – KGRZ Hessen Leistungsbeschreibung

Tabelle 1: SLA-relevante Zeiten und Fristen

Der AUFTRAGNEHMER MUSS mindestens die gewünschten Serviceparameter (siehe Tabelle 1) im Angebot berücksichtigen.

11.09.2026 Seite 11 von 11 Version 1.1