Betrieb und Sicherheit

Anwendung und Daten liegen bei der Hetzner Online GmbH, Gunzenhausen, im Rechenzentrum Nürnberg. Mit Hetzner besteht ein Vertrag zur Auftragsverarbeitung. Betreiber der Anwendung ist die Kritera UG (haftungsbeschränkt).

Zertifikat des Rechenzentrums: ISO/IEC 27001:2022, ausgestellt für die Hetzner Online GmbH von der SOCOTEC Certification Deutschland GmbH, Zertifikatsnummer ZN-2025-35, gültig vom 27.09.2025 bis 26.09.2028. Der Geltungsbereich umfasst die Hosting-Dienstleistungen und Rechenzentren von Hetzner, darunter den Standort Nürnberg.

• Die Daten jedes Hauses liegen in einer eigenen Datenbank, verschlüsselt mit SQLCipher und einem eigenen Schlüssel je Haus.
• Die Dateien jedes Hauses liegen in einem eigenen, verschlüsselten Verzeichnis (fscrypt, AES-256-XTS).
• Der Schlüssel jedes Hauses liegt nicht im Klartext auf dem Server, sondern ist mit einem Hauptschlüssel verpackt (AES-256-GCM).
• Konten und Grunddaten der Häuser liegen getrennt davon in einer gemeinsamen, ebenfalls verschlüsselten Datenbank.
• Die Anwendung läuft nur über HTTPS, der Server setzt HSTS.

• Anmeldung mit Passwort und einem sechsstelligen Code per E-Mail. Passwörter liegen nur als bcrypt-Hash vor.
• Nach mehreren Fehlversuchen ist die Anmeldung für 15 Minuten gesperrt. Eine Sitzung dauert höchstens 24 Stunden.
• Auf Wunsch Single Sign-on über OpenID Connect oder SAML mit dem Konto Ihrer Organisation.
• Gruppen im Haus legen fest, wer welche Verfahren sieht und bearbeitet.
• Unternehmen öffnen ihren Zugang über einen persönlichen Link, dazu kommt ein Code per E-Mail.

Angebote werden beim Hochladen verschlüsselt (AES-256-GCM, eigener Schlüssel je Datei). Vor Ablauf der Angebotsfrist entschlüsselt der Server nicht, auch nicht für Ihr Haus. Zu jeder Datei hält die Anwendung die Prüfsumme fest (SHA-256) und vergleicht sie beim Öffnen. Den Eingangszeitpunkt setzt der Server.

Zwei Dinge sagen wir offen: Der Eingangszeitpunkt ist kein qualifizierter Zeitstempel nach eIDAS. Und eine Ende-zu-Ende-Verschlüsselung bietet das Bieterportal nicht, der Server verschlüsselt die Datei im Moment des Eingangs.

Datenbanken und Dateien der Häuser sichern wir jede Nacht, verschlüsselt. Die täglichen Stände bleiben 30 Tage erhalten, zusätzlich gibt es wöchentliche Stände. Eine Kopie liegt außerhalb des Servers auf einem Speicher an einem anderen Standort. Einmal in der Woche prüfen wir, ob sich die Sicherung wiederherstellen lässt.

Wichtige Schritte stehen im Ereignisprotokoll Ihres Hauses, ohne Inhalte und mit gekürzten IP-Adressen. Das Ereignisprotokoll bewahren wir 120 Tage auf. Was im Verfahren geschehen ist, hält zusätzlich die Akte fest, etwa im Änderungsverlauf je Feld und in der Niederschrift der Öffnung.

Zur Wahl stehen Mistral AI (Frankreich, Verarbeitung in der EU) und, falls gewünscht, Claude von Anthropic (USA, derzeit voreingestellt) oder GPT von OpenAI (OpenAI Ireland Ltd.). Nach ihren Bedingungen für API-Kunden nutzen die Anbieter Eingaben und Ausgaben nicht zum Training. Für Mistral AI ist zudem die Null-Datenspeicherung eingeschaltet (Stand 29.10.2026). Die Leitung Ihres Hauses kann jeden Anbieter ausschließen oder den EU-Modus einschalten, dann läuft die KI über Mistral AI. Einzelne Spezialfunktionen laufen ohne EU-Modus technisch noch über Claude, etwa das direkte Lesen von Bildern und gescannten Dokumenten. Im EU-Modus laufen alle Aufrufe über Mistral AI; Bilder werden dann per Texterkennung gelesen. Mit einem Klick lässt sich die KI im ganzen Haus auch vollständig abschalten: Dann geht keine einzige Anfrage mehr an einen KI-Anbieter. Mehr dazu auf der Seite Was die KI macht und was nicht.

Die Liste steht in Anlage 3 des Vertrags zur Auftragsverarbeitung. Dazu gehören das Hosting bei Hetzner, die KI-Anbieter Mistral AI, Anthropic und OpenAI, Brave für ergänzende Websuchen und Microsoft für den Versand über Microsoft 365. Wann OpenAI und Mistral AI zum Einsatz kommen, etwa bei der Spracheingabe, steht in § 6 Abs. 4 des Vertrags.

Ihr Haus kann seine Daten jederzeit als Gesamtexport mit Prüfsummen herunterladen. Fristen für Export und Löschung nach Vertragsende regelt § 11 des Vertrags zur Auftragsverarbeitung.

Regelmäßige Arbeiten legen wir in das tägliche Wartungsfenster zwischen 02:00 und 03:00 Uhr. Umfangreichere Arbeiten außerhalb dieses Fensters kündigen wir mindestens zwei Werktage vorher an. Die Zusagen zur Verfügbarkeit stehen in § 3 unserer AGB.

Wir prüfen die Anwendung im Selbsttest nach WCAG 2.1 A und AA. Was wir geprüft haben und was noch offen ist, steht in der Erklärung zur Barrierefreiheit.

Standardmäßig betreiben wir die Anwendung für Sie im Rechenzentrum in Nürnberg, gemeinsam mit den anderen Häusern, aber mit einer eigenen, verschlüsselten Datenbank je Haus. Das ist in den Tarifen enthalten.

Darüber hinaus bieten wir als Option einen eigenen Betrieb an: eine eigene Instanz nur für Ihr Haus, auf eigenen Servern oder in einem Rechenzentrum Ihrer Wahl, mit einer eigenen Adresse unter Ihrem Namen (zum Beispiel ihr-haus.digitale-vergabe.de). Auf Wunsch beschränken wir den Zugang zusätzlich auf das Netz Ihrer Organisation. Diese Option ist kein Bestandteil der Standardtarife. Sie wird einmalig eingerichtet und mit einem laufenden Aufschlag berechnet. Die Konditionen nennen wir im persönlichen Angebot. Sprechen Sie uns an.