Gefälschte E-Mails im Namen von Vergabeplattformen erkennen
Ausschreibungen sind öffentlich. Das nutzen Betrüger und verschicken E-Mails, die wie Nachrichten einer Vergabeplattform oder einer Vergabestelle aussehen. Dieser Beitrag zeigt die Warnzeichen nach den Hinweisen des BSI und wie echte Nachrichten von Digitale-Vergabe.DE aufgebaut sind.
Warum Vergabeverfahren ein Ziel sind
Bekanntmachungen nennen Auftraggeber, Gegenstand und Fristen. Daraus lassen sich glaubwürdige Nachrichten bauen: eine angebliche Aufforderung zur Angebotsabgabe, eine Nachfrage zu einem Angebot, ein Hinweis, der Zugang laufe ab. Ziel ist meist, Zugangsdaten abzugreifen oder Schadsoftware über einen Anhang zu verbreiten. Betroffen sind Unternehmen, die sich um Aufträge bewerben, ebenso wie Beschäftigte in Vergabestellen.
Solche Nachrichten können den Namen jeder Plattform und jeder Vergabestelle tragen. Der Name im Absender sagt nichts darüber, wer eine Nachricht wirklich geschickt hat.
Warnzeichen nach den Hinweisen des BSI
- Druck und Eile: Das BSI nennt als Warnzeichen, wenn der Text dringenden Handlungsbedarf vorgibt, etwa „Ihr Zugang wird heute gesperrt“ oder „Angebotsfrist endet in einer Stunde“.
- Abfrage von Zugangsdaten: Nach dem BSI fordert kein seriöser Anbieter per E-Mail auf, vertrauliche Zugangsdaten preiszugeben.
- Links: Klicken Sie nicht auf Links in einer zweifelhaften E-Mail. Fahren Sie mit der Maus über den Link und prüfen Sie die Adresse. Ein „https://“ ist laut BSI heute keine Entwarnung mehr.
- Anhänge: Öffnen Sie keine Dateien im Anhang einer verdächtigen E-Mail, auch keine angeblichen Vergabeunterlagen.
- Gute Sprache ist kein Beweis: Auch bei gut formuliertem Text rät das BSI zur Wachsamkeit.
Wie echte Nachrichten von Digitale-Vergabe.DE aussehen
- Links führen auf digitale-vergabe.de. Links zur Anmeldung, zu den Unterlagen eines Verfahrens und zum persönlichen Zugang eines Unternehmens führen auf diese Adresse.
- Wir fragen nie nach Ihrem Passwort. Weder per E-Mail noch am Telefon.
- Codes kommen nur, wenn Sie etwas angestoßen haben. Einen sechsstelligen Code schicken wir, wenn Sie selbst einen Schritt gestartet haben, etwa die Anmeldung, den ersten Aufruf Ihres Zugangs mit „Code senden“ oder eine Veröffentlichung. Bekommen Sie einen Code, ohne etwas getan zu haben, geben Sie ihn nicht weiter.
- Der Link allein öffnet nichts. Persönliche Zugänge für Unternehmen brauchen zusätzlich einen Code, der an die hinterlegte Adresse geht.
- Absender können Vergabestellen sein. Häuser können Nachrichten an Unternehmen aus ihrem eigenen Postfach senden. Der Absender ist dann die Vergabestelle. Auch dann führen die Links auf digitale-vergabe.de.
Wenn Sie unsicher sind
- Nicht klicken, keinen Anhang öffnen, nicht antworten.
- Die Plattform selbst im Browser aufrufen, über die Adresse, die Sie kennen, statt über den Link in der Nachricht.
- Bei der Vergabestelle nachfragen, über einen Kontakt aus der Bekanntmachung oder von ihrer Website.
- Die eigene IT-Sicherheit informieren.
Wo Sie einen Verdacht melden
Das BSI verweist mit seinem Cybersicherheits-Lotsen auf mehrere Wege: eine Strafanzeige bei den Onlinewachen der Länder oder der örtlichen Polizeidienststelle und das Service-Center des BSI unter 0800 274 1000. Geht es um eine Nachricht im Namen von Digitale-Vergabe.DE, schreiben Sie uns bitte an info@digitale-vergabe.de, gern mit der Nachricht als Anhang. Wir sehen uns jeden Hinweis an.
Für Vergabestellen: Nennen Sie in Bekanntmachung und Unterlagen klar, über welche Plattform Unterlagen, Fragen und Angebote laufen. Dann können Unternehmen eine Nachricht leichter einordnen.
Fundstellen und Quellen
- BSI: Passwortdiebstahl durch Phishing
- BSI: Wie erkenne ich Phishing in E-Mails und auf Webseiten?
- BSI: Schutz gegen Phishing
- Sicherheit, Hosting und KI: Anmeldung und Rechte bei Digitale-Vergabe.DE
Alle Fundstellen am Normtext bzw. an der amtlichen Seite gegengelesen am 29.10.2026.
Allgemeine Hinweise, Stand 29.10.2026. Bei einem Sicherheitsvorfall in Ihrem Haus wenden Sie sich an Ihre IT-Sicherheit.
Häufige Fragen
Ich habe auf einen Link geklickt und mein Passwort eingegeben. Was nun?
Ändern Sie das Passwort sofort über die echte Anmeldeseite, die Sie selbst im Browser aufrufen, und informieren Sie Ihre IT-Sicherheit. Wenn es um Ihr Konto bei Digitale-Vergabe.DE geht, schreiben Sie uns zusätzlich an info@digitale-vergabe.de.
Woran erkenne ich eine echte Einladung zu einem Verfahren?
Bei Digitale-Vergabe.DE führt der Link in der Einladung auf digitale-vergabe.de. Der Link allein öffnet nichts: Beim ersten Aufruf fordern Sie selbst einen Code an, der an Ihre hinterlegte Adresse geht. Im Zweifel fragen Sie bei der Vergabestelle über einen Kontakt nach, den Sie aus der Bekanntmachung oder von deren Website kennen.