von Thomas Ax

Der Cyberangriff und der resultierende Totalausfall der IT-Systeme beim Hochschulservicezentrum Baden-Württemberg (HSZ-BW) haben erhebliche rechtliche und organisatorische Auswirkungen auf laufende Vergabeverfahren der betroffenen 38 staatlichen Nichthochschulen (HAWs, PHs, Kunst- und Musikhochschulen).

Da das HSZ-BW zentrale Dienste für die Finanzverwaltung und IT-Infrastruktur bereitstellt, ergeben sich für laufende Ausschreibungen folgende Kernprobleme und Handlungsnotwendigkeiten:

1. Ausfall von E-Vergabeplattformen und Kommunikation
• Erreichbarkeit: Soweit die Vergabeplattformen oder die Kommunikationsserver der betroffenen Hochschulen über die Netze des HSZ-BW laufen, ist der digitale Zugang für Bieter (z. B. zum Herunterladen von Vergabeunterlagen oder Einreichen von Angeboten) blockiert.
• Bieterfragen: Die Beantwortung von Bieterfragen innerhalb der gesetzlichen Fristen ist per System oft unmöglich. Eine rechtssichere Kommunikation über das offizielle Vergabeportal ist unterbrochen.

2. Zwingende Fristverlängerungen (Angebots- und Teilnahmefristen)
• Rechtspflicht: Liegt ein Systemausfall in der Sphäre des Auftraggebers (hier der Hochschule bzw. des HSZ), dürfen Bietern daraus keine Nachteile entstehen.
• Konsequenz: Laufen Fristen während des IT-Ausfalls ab, müssen diese zwingend verlängert werden, sobald die Systeme wieder laufen. Angebote, die wegen des Ausfalls nicht digital eingereicht werden können, dürfen nicht wegen Fristablaufs ausgeschlossen werden.


3. Notfallkonzepte und Umstellung der Verfahren (Substitution)
• Rückkehr zu analogen/alternativen Wegen: Analog zu den Bewerbungsverfahren der Hochschulen, die teils kurzfristig auf E-Mail-Einreichung umgestellt wurden, müssen Vergabestellen prüfen, ob eine Kommunikation oder Angebotsabgabe per gesicherter E-Mail oder Post temporär zulässig ist.
• Rechtliche Hürde: Im Oberschwellenbereich (EU-weite Vergabe) ist die E-Vergabe zwingend vorgeschrieben. Eine Abweichung (z. B. auf Post oder normale E-Mail) ist nur unter sehr engen gesetzlichen Voraussetzungen bei technischen Störungen der Plattform zulässig (§ 11 Abs. 3 VgV). Jede Abweichung muss penibel dokumentiert und allen Bietern diskriminierungsfrei mitgeteilt werden.


4. Verzögerungen bei Wertung und Zuschlagserteilung
• Fehlender Systemzugriff: Vergabegremien haben unter Umständen keinen Zugriff auf bereits digital eingereichte Angebote, was die Prüfung und Wertung komplett blockiert.
• Finanzierungsvorbehalt: Da die SAP- und Finanzsysteme blockiert sind, können Hochschulen aktuell keine rechtsverbindlichen finanziellen Zusagen machen. Der Abschluss neuer Verträge ohne gesicherte Zahlungsfähigkeit verstößt gegen das Haushaltsrecht. Zuschläge müssen daher aufgeschoben oder – wie im vorherigen Beispiel – mit rechtlichen Vorbehalten versehen werden.


5. Dokumentation im Vergabe-Vermerk
• Revisionssicherheit: Jeder Schritt, jede Fristverlängerung und jeder Wechsel des Kommunikationskanals, der aufgrund des Cyberangriffs nötig wird, muss im Vergabevermerk detailliert und nachvollziehbar begründet werden. Nur so lassen sich spätere Rügen oder Nachprüfungsverfahren wegen Verfahrensfehlern effektiv abwehren.

Um den Vergabebetrieb trotz des IT-Ausfalls beim HSZ-BW rechtssicher aufrechtzuerhalten, müssen Vergabestellen sofort organisatorische und rechtliche Interimsmaßnahmen ergreifen.

Die folgenden Sofortmaßnahmen und Handlungsoptionen sind jetzt ratsam, unterteilt nach dem aktuellen Stand der jeweiligen Vergabeverfahren:

1. Für Verfahren vor Ablauf der Angebotsfrist (Sofortmaßnahmen)
• Amtliche Bekanntmachung zur Fristverlängerung: Verschieben Sie laufende Angebots- und Teilnahmefristen pauschal nach hinten. Dies muss diskriminierungsfrei über die verbleibenden Kanäle (z. B. direkt per E-Mail an registrierte Bieter oder über eine Ersatz-Website der Hochschule) kommuniziert werden.
• Wechsel des Kommunikationskanals (Interim): Richten Sie für Bieterfragen eine separate Notfall-E-Mail-Adresse außerhalb des HSZ-Netzwerks ein (z. B. über unberührte Server oder temporäre Postfächer), analog zu den Notfall-E-Mails der Hochschulverwaltungen.
• Umstellung auf analoge Abgabe (Unterschwellenbereich): Bei nationalen Ausschreibungen (UVgO, VOB/A) können Sie per Nachtragsbrief festlegen, dass Angebote ausnahmsweise in Papierform (per Post) oder verschlüsselt per Notfall-E-Mail eingereicht werden dürfen, sofern die e-Vergabeplattform komplett blockiert ist.

2. Für Verfahren in der Wertungsphase
• Binde- und Zuschlagsfristen verlängern: Schreiben Sie alle Bieter aktiv an und bitten Sie um eine schriftliche Verlängerung der Bindefrist (z. B. um 4 bis 6 Wochen). Begründen Sie dies transparent mit dem IT-Sicherheitsvorfall als höherer Gewalt.
• Interims-Wertungsgremien: Sollten digitale Angebotsunterlagen lokal bei den Sachbearbeitern (z. B. als Backup oder Cache auf den Endgeräten) vorliegen, führen Sie die Wertung offline fort, um Zeitverluste zu minimieren.

3. Für anstehende Zuschläge (Finanzielle Absicherung)
• Zuschlag mit Fälligkeitsvorbehalt erteilen: Wenn der Zuschlag zwingend erteilt werden muss (um Fristen zu wahren), nutzen Sie die im ersten Schritt besprochene Modifikation der Zahlungsbedingungen. Verknüpfen Sie die Fälligkeit von Anzahlungen und Abschlagszahlungen untrennbar mit der Wiederherstellung der HSZ-Systeme.
• Vergaberechtliche Aufhebung prüfen: Sollte durch den Systemausfall die Finanzierung des Projekts komplett unklar werden oder sich der Bedarf durch die massive Verzögerung erübrigen, prüfen Sie eine Aufhebung des Verfahrens wegen schwerwiegender Gründe (§ 17 VOB/A; § 48 UVgO). Ein Cyberangriff und der Ausfall der Landessysteme gelten in der Regel als unvorhersehbare, höhere Gewalt.


4. Flankierende administrative Maßnahmen
• Lückenlose Dokumentation: Halten Sie im Vergabevermerk taggenau fest, welche Systeme wann ausgefallen sind, welche Bieter wie informiert wurden und warum bestimmte Notmaßnahmen getroffen wurden. Das schützt Sie in einem eventuellen Nachprüfungsverfahren.
• Haushaltspolitische Freigabe einholen: Stimmen Sie sich eng mit dem Rektorat bzw. der Kanzlerin/dem Kanzler ab, ob für unaufschiebbare Vergaben Notfall-Zahlungswege (z. B. manuelle Notbuchungen über andere Landesrechenzentren) zur Verfügung gestellt werden können, an denen die ministerielle Arbeitsgruppe derzeit arbeitet.

Musterschreiben zur Bieterinformation

Hier ist ein rechtssicheres Musterschreiben, das Sie flexibel anpassen können. Es deckt sowohl die Fristverlängerung (vor Angebotsabgabe) als auch den Aufschub der Zuschlagserteilung (nach Angebotsabgabe) ab.
________________________________________
Musterschreiben: Information zur Anpassung des Vergabeverfahrens wegen IT-Systemausfall
Vergabeverfahren: [Name des Vergabeverfahrens]
Referenznummer / Vorhaben: [Ausschreibungs-ID / Projektname]
Datum: [Aktuelles Datum, z. B. 21. Oktober 2026]

Wichtige Bieterinformation: Einschränkungen im Vergabeverfahren aufgrund eines IT-Sicherheitsvorfalls beim Hochschulservicezentrum Baden-Württemberg (HSZ-BW)

Sehr geehrte Damen und Herren,
wir kontaktieren Sie heute bezüglich des oben genannten Vergabeverfahrens.
Aufgrund eines schwerwiegenden IT-Sicherheitsvorfalls (Cyberangriff) beim Hochschulservicezentrum Baden-Württemberg (HSZ-BW), das die zentralen IT- und Finanzdienstleistungen für unsere Einrichtung bereitstellt, sind unsere regulären Kommunikationskanäle sowie die Anbindung an die e-Vergabeplattform derzeit massiv beeinträchtigt oder vollständig unterbrochen.
Um ein faires, transparentes und diskriminierungsfreies Verfahren zu gewährleisten und Bietern durch die technischen Störungen keine Nachteile entstehen zu lassen, sieht sich die Vergabestelle gezwungen, den Ablauf des Verfahrens wie folgt anzupassen:

[Bitte wählen Sie Variante A ODER Variante B aus und löschen Sie die unzutreffende Passage]

[VARIANTE A: Wenn die Angebotsfrist noch läuft]
1. Verlängerung der Angebotsfrist: Die Frist zur Einreichung von Angeboten / Teilnahmeanträgen wird hiermit bis zum [Neues Datum], um [Uhrzeit] Uhr verlängert.
2. Alternativer Einreichungsweg: Sollte die e-Vergabeplattform bis zum Ablauf der Frist nicht wieder erreichbar sein, ist die Einreichung der Angebote ausnahmsweise [auf dem Postweg in einem verschlossenen Umschlag mit der Aufschrift „Ausschreibung – Nicht öffnen“ / per E-Mail ausschließlich an das temporäre Notfall-Postfach: ihre-notfall-adresse@hochschule.de] zulässig.
3. Bieterfragen: Eventuelle Fragen zum Verfahren richten Sie bitte ab sofort ausschließlich an das oben genannte Notfall-Postfach.

[VARIANTE B: Wenn die Angebote bereits vorliegen, aber der Zuschlag verzögert wird]
1. Verlängerung der Binde- und Zuschlagsfrist: Da die internen Prüfungs- und Finanzsysteme (SAP) von dem Ausfall betroffen sind, verzögert sich die reguläre Auswertung und die anschließende Zuschlagserteilung. Wir bitten Sie daher hiermit gemäß den vergaberechtlichen Bestimmungen um die Verlängerung der Bindefrist Ihres Angebots bis zum [Neues Datum, z. B. 4–6 Wochen in der Zukunft].
2. Rückmeldung: Wir bitten Sie, uns Ihre Zustimmung zur Fristverlängerung durch formlose Rücksendung dieses Schreibens (per Gegenzeichnung oder Bestätigungs-E-Mail an ihre-notfall-adresse@hochschule.de) bis zum [Datum] zu bestätigen.
Wir bedauern die durch diese außergewöhnlichen Umstände entstehenden Unannehmlichkeiten und danken Ihnen für Ihr Verständnis und Ihre Kooperation.
Mit freundlichen Grüßen
[Name der Hochschule / Einrichtung]
[Name der Vergabestelle / Ansprechpartner]
________________________________________
Hinweise zur Verwendung:
• Notfall-E-Mail: Nutzen Sie im Schreiben unbedingt eine funktionierende Mailadresse, die nicht auf den blockierten HSZ-Servern liegt.
• Fristen: Wählen Sie die neuen Fristen nicht zu knapp. Da die Ermittlungen und die Behebung des Vorfalls durch den Krisenstab noch andauern, sollten Sie sich ausreichend Puffer verschaffen.