Behörden-Kunden fragen vor jedem Vergabe-Verfahren nach BSI-Grundschutz-Nachweis. Hier ist das konkrete Mapping unserer KI-Receptionist-Architektur auf BSI-Bausteine plus Schutzbedarfs-Stufung, das wir bei einer Mittelstadt-Bürgeramt-Vergabe (100k Einwohner) im Frühjahr 2026 für die Antwort-Bausteine genutzt haben.
BSI-Bausteine im Überblick
Der IT-Grundschutz-Kompendium (Edition 2023) hat fünf Baustein-Familien, die für einen KI-Receptionist relevant sind:
→ Tabelle seitlich scrollbar
→ Tabelle seitlich scrollbar
| Baustein | Beispiel-Maßnahmen für KI |
|---|---|
| SYS System | SYS.1.3 Server unter Linux/Unix · SYS.1.5 Virtualisierung · SYS.5.1 Container |
| NET Netze | NET.1.1 Netzwerk-Architektur · NET.1.2 Netzwerk-Management · NET.3.2 Firewall |
| INF Infrastruktur | INF.2 Rechenzentrum · INF.7 Büroraum-Schutz |
| OPS Operations | OPS.1.1.5 Protokollierung · OPS.1.2.4 Telearbeit · OPS.1.2.6 Patch-Management · OPS.2.1 Outsourcing-für-Kunden |
| ORP Organisation | ORP.4 Identitäts-Management · ORP.5 Compliance-Management |
Schutzbedarfs-Stufen: was wo gefordert wird
→ Tabelle seitlich scrollbar
→ Tabelle seitlich scrollbar
| Stufe | Hosted-SaaS Hetzner | Hybrid | On-Premise Air-Gap |
|---|---|---|---|
| normal (Standard-KMU) | ✓ Hetzner C5 / ISO-27001 ausreichend | , | , |
| hoch (Bürger-Daten) | Mit erweitertem AVV + Behörden-DC-Pflicht | ✓ Bevorzugte Lösung | Optional |
| sehr hoch (Asyl, VS-NfD) | ✗ Nicht zulässig | ✗ Nicht zulässig | ✓ Zwingend mit Air-Gap-Option |
Konkretes Mapping pro DripBack-Modul
Voice-Annahme, BSI-Mapping
- OPS.1.1.5 Protokollierung: Hash-Prüfprotokoll pro Voice-Call (kein Klartext, siehe DSGVO Hash-Audit)
- SYS.1.5 Virtualisierung: uvicorn in dediziertem systemd-Service mit ProtectSystem=strict
- NET.3.2 Firewall: UFW + nginx Rate-Limit-Zonen für /api/auth (1 req/s burst 10)
- ORP.4 Identitäts-Management: JWT mit 15-min Access + 7-Tage Refresh-Cookie + CSRF-Header-Guard
E-Mail-Triage, BSI-Mapping
- OPS.2.1 Outsourcing-für-Kunden: AVV mit erweiterten TOMs, Auftragsverarbeiter-Liste, Sub-Unternehmer-Anzeige
- ORP.5 Compliance: Vorfilter für personenbezogene Daten und Selbstanzeige-Hinweise, Audit-Hash pro Mail
- OPS.1.2.6 Patch-Management: Wöchentliches Update-Window (Sonntag 04:00) mit Rollback-Script (siehe Phase-8-Toolkit)
DSGVO-Audit + Council-Review, BSI-Mapping
- ORP.5 Compliance: Verfahrensverzeichnis Art. 30 als JSONL-Hash-Audit
- OPS.1.1.5 Protokollierung: Append-Only-Logs auf separater Partition (chattr +a)
- SYS.1.3 Linux: Logrotation + Verschlüsselte Übertragung zu Backup-Storage
Was bei Schutzbedarf "hoch" zusätzlich nötig ist
- Netzwerk-Segmentierung: KI-Server in separater DMZ ohne Direktzugriff aus Verwaltungs-LAN
- Verschlüsselte Storage (LUKS für /var, separate Partition für Prüfprotokolle)
- Mehraktoren-Authentifizierung für Admin-Zugriff (z.B. SSH-Key + YubiKey)
- BSI-zertifizierter ISMS-Verantwortlicher beim Auftraggeber + dokumentiertes Schadenfall-Management
- Quartärliche Penetrationstests durch BSI-anerkannte Stelle (z.B. SySS, secunet, TÜV-IT)
Cross-Mapping zu C5 und ISO-27001
Damit wir Sie in der Vergabe-Antwort nicht im Stich lassen, hier die Cross-Referenz für die wichtigsten Anforderungen:
→ Tabelle seitlich scrollbar
→ Tabelle seitlich scrollbar
| BSI-Baustein | C5-2020 Kriterium | ISO-27001:2022 Annex-A |
|---|---|---|
| OPS.1.1.5 Protokollierung | OPS-21, OPS-22 | A.8.15 Logging |
| ORP.4 Identitäts-Management | IDM-01 bis IDM-09 | A.5.16 Identity-Management |
| NET.3.2 Firewall | COM-01, COM-04 | A.8.20 Networks Security |
| SYS.1.3 Linux | OPS-15, OPS-16 | A.8.7 Protection against Malware |
| OPS.2.1 Outsourcing | BCM-01, BCM-04 | A.5.19 Information Security in Supplier |
Vergabe-Prozess: was wir liefern
- Compliance-Mapping-Excel: 3-Spalten Tabelle BSI/C5/ISO-27001 mit Pro-DripBack-Modul-Bewertung "erfüllt / teilweise / extern" — typisch 80-95 Zeilen je nach Modulbundle
- Verfahrensbeschreibung Art. 30: Vorlagentext für AVV-Anhang mit Daten-Kategorien, Empfängern, Löschfristen — ~6-10 Seiten
- Risiko-Analyse-Vorlage: 8 Bedrohungs-Szenarien mit Eintritts-Wahrscheinlichkeit + Schadenshöhe + Gegenmaßnahmen — BSI-Standard 200-3-konform
- Sub-Unternehmer-Anzeige: Hetzner als einziger relevanter (oder leer bei On-Premise) mit C5-Testat als Anhang
- Pen-Test-Bericht-Sample: auf Anforderung beauftragen wir einen Test und liefern den Bericht redacted als Beleg
Bisherige Erfahrung in Behörden-Vergabe
Wir haben in den letzten 18 Monaten in 4 Behörden-Verfahren mit BSI-Anforderungen mitgemacht, zwei gewonnen (Bürgeramt Mittelstadt OWL, Sozialamt-Pilot NRW), eins verloren (zu kleines Vergabe-Budget gegen On-Premise-Pflicht), eins ausgeschieden in Stufe 2 (BSI-Grundschutz-Profil-Check, weil Sub-Unternehmer-Liste unklar, heute geheilt durch klare AVV-Vorlage).