Die meisten Sicherheitsabschnitte in einem property operations RFP werden aus einer Vorlage kopiert – und genau dort beginnt das Problem. Wer die Anforderungen für Videoüberwachung, Zutrittskontrolle und Frequenzmessung in denselben Absatz packt, bekommt Angebote, die formal alles erfüllen und operativ nichts klären. Ein Personenzählsystem verarbeitet andere Datenkategorien als eine Kamera zur Täteridentifikation, und die Ausschreibung muss diesen Unterschied abbilden, bevor der erste Anbieter antwortet.
Einkaufsteams unterschätzen regelmäßig, wie stark der Sicherheitsteil eines RFP das Bieterfeld filtert. Formulieren Sie zu vage („angemessene Sicherheitsmaßnahmen“), antworten alle mit Standardfloskeln und Sie haben kein Differenzierungsmerkmal. Formulieren Sie zu starr („ausschließlich On-Premise-Betrieb“), schließen Sie Anbieter aus, deren Private-Cloud-Architektur nachweislich sicherer wäre als der eigene Serverraum im Untergeschoss des Centers. Die richtige Frage lautet nicht „Welche Technologie?“, sondern „Welches Schutzniveau, nachweisbar wie?“.
Für Eigentümer und Leasing-Verantwortliche kommt eine zweite Ebene hinzu: Frequenzdaten fließen zunehmend in Mietverträge mit Umsatz- oder Frequenzkomponenten ein. Sobald Daten vertragsrelevant werden, sind Datenintegrität und Manipulationssicherheit keine IT-Fußnote mehr, sondern ein kommerzielles Risiko. Ein Mieter, der eine frequenzbasierte Mietanpassung anzweifelt, wird zuerst die Datenkette angreifen.
„Der Anbieter muss DSGVO-konform sein“ ist keine Anforderung, sondern eine Selbstverständlichkeit. Verwertbar wird der Abschnitt erst, wenn Sie Nachweise verlangen:
Ein Punkt, den Berater oft übersehen: Fragen Sie explizit nach Zertifizierungen wie ISO 27001 oder SOC-2-Berichten und lassen Sie sich den Geltungsbereich zeigen. Ein Zertifikat, das nur das Rechenzentrum des Hosting-Partners abdeckt, sagt nichts über die Entwicklungsprozesse des Softwareanbieters aus.
Verlangen Sie im RFP beide Optionen als bepreiste Varianten: gehostete Lösung und Private Cloud. Erst der Preisvergleich zeigt, wo der Anbieter seine Architektur wirklich beherrscht. Vemco Group etwa bietet beide Betriebsmodelle an – gehostet oder in einer privaten Cloud – und ist sensor-agnostisch aufgebaut. Diese Geräteunabhängigkeit ist selbst ein Sicherheitsargument, das selten so gelesen wird: Wer nicht an einen Hardwarehersteller gebunden ist, kann bei einer Schwachstelle in einer Sensorgeneration einzelne Geräte austauschen, ohne die gesamte Datenplattform neu auszuschreiben.
Fragen Sie außerdem nach der Netzwerkarchitektur der Sensoren: Kommunizieren die Geräte ausschließlich ausgehend (Outbound-Only), oder erfordern sie offene eingehende Ports? Ihr IT-Sicherheitsteam wird den Unterschied zu schätzen wissen, und viele Anbieter beantworten diese Frage erst, wenn man sie schriftlich stellt.
Sobald Frequenzdaten in POS-, BI-, ERP- oder CRM-Systeme fließen – wie es etwa über Integrationsplattformen wie VemFusion geschieht – entsteht eine zweite Angriffsfläche, die im Sicherheitsteil des RFP fast nie behandelt wird. Verlangen Sie konkret: API-Authentifizierung (Token-basiert, mit Rotation), Verschlüsselung in Transit und at Rest, Protokollierung aller Datenabrufe und eine klare Aussage, welche Drittsysteme lesend und welche schreibend zugreifen dürfen. Ein Anbieter, der seit 2005 Software entwickelt und heute über 85 Millionen Zählungen pro Tag verarbeitet, muss diese Fragen ohne Rückfrage beim eigenen Entwicklungsteam beantworten können – das ist ein guter Praxistest im Bietergespräch.
Hier trennt sich in der Praxis die Spreu vom Weizen. Zähldaten, die für Mietabrechnungen, Personalplanung oder Portfolio-Benchmarks verwendet werden, brauchen eine vertraglich zugesicherte Genauigkeit – nicht eine Marketingaussage. Seriös ist eine Formulierung wie die von Vemco: eine vertragliche Mindestgenauigkeit von 96 Prozent, typischerweise 98 bis 99 Prozent, wenn Beleuchtung, Ladenlayout und Besucherverhalten es zulassen. Anbieter, die pauschal 99 Prozent „garantieren“, ohne Bedingungen zu nennen, sollten Sie im RFP gezielt nach der Messmethodik fragen: Wie wird die Genauigkeit auditiert, von wem, in welchem Intervall, und was passiert bei Unterschreitung?
Eine Beobachtung aus Implementierungsprojekten: Die häufigste Ursache für Datenlücken ist nicht der Sensor, sondern die Stromversorgung über PoE-Switches, die vom Facility Management nachts oder bei Wartungsarbeiten abgeschaltet werden – ohne dass IT oder Anbieter informiert sind. Schreiben Sie deshalb ins RFP, dass der Anbieter Sensor-Ausfälle aktiv überwachen und melden muss (Health Monitoring mit definierter Reaktionszeit), statt darauf zu warten, dass jemand die Lücke im Monatsreport entdeckt. Diese eine Klausel spart mehr Datenqualität als jede Genauigkeitsdebatte.
Sicherheitsanforderungen enden nicht bei der Technik. Definieren Sie im property operations RFP messbare Service-Level: Verfügbarkeit der Plattform, Reaktionszeiten nach Störungskategorie, Eskalationswege und – oft vergessen – die Frist für die Meldung von Sicherheitsvorfällen an Sie als Verantwortlichen. 72 Stunden sind die DSGVO-Frist gegenüber der Aufsichtsbehörde; Ihr Anbieter muss Sie deutlich früher informieren, damit Sie diese Frist überhaupt einhalten können.
Prüfen Sie außerdem die Skalierbarkeit unter Sicherheitsgesichtspunkten: Ein Anbieter mit über 2.000 Kunden und Partnern in mehr als 95 Ländern hat Rollout- und Berechtigungskonzepte für Portfolios bereits x-fach durchexerziert – vom Einzelobjekt bis zur Enterprise-Struktur mit Länder-, Regions- und Objektebenen. Fragen Sie nach Referenzkunden mit vergleichbarer Portfoliogröße und lassen Sie sich das Rollenkonzept zeigen: Wer sieht welche Objektdaten, und wie werden Berechtigungen entzogen, wenn ein Center-Manager das Unternehmen verlässt?
Und schließlich der Exit-Fall, den kaum ein RFP regelt: Verlangen Sie schon in der Ausschreibung eine verbindliche Aussage zum Datenexport bei Vertragsende – Format, Frist, Kosten. Ihre Frequenzhistorie ist ein Vermögenswert des Objekts. Sie darf nicht beim Anbieter verbleiben, nur weil niemand vor fünf Jahren daran gedacht hat, das aufzuschreiben.
Wenn Sie gerade ein property operations RFP vorbereiten und die Sicherheits- und Datenanforderungen für Frequenzmessung präzise formulieren wollen, sprechen Sie mit uns. Wir stellen Ihnen Architekturbeschreibungen, Vertragsmuster zur Genauigkeitsgarantie und Antworten auf typische Ausschreibungsfragen bereit – kontaktieren Sie das Vemco-Team hier, bevor der Entwurf in die Freigabe geht.