Sicherheitsanforderungen für die Ausschreibung von Leasing-Automatisierung

Die meisten Sicherheitslücken in einer Leasing-Automatisierungslösung entstehen nicht in der Software selbst, sondern in den Schnittstellen, die niemand im Vergabeverfahren genau geprüft hat. Ein Zählsystem, das mit POS, BI und Zutrittskontrolle verbunden ist, transportiert plötzlich Umsatzdaten, Personalzahlen und Standortmuster über dieselben Kanäle. Wer eine Ausschreibung für Leasing-Automatisierung schreibt und Sicherheit erst im letzten Kapitel behandelt, hat den Angriffspunkt bereits übersehen.

Warum Sicherheit die Vergabeentscheidung mitbestimmt

Für Eigentümer und Leasing-Verantwortliche ist die Automatisierung kein reines Effizienzthema. Die erfassten Daten – Besucherfrequenz je Mieteinheit, Conversion, Verweildauer – fließen direkt in umsatzbasierte Mietberechnungen und Verlängerungsverhandlungen ein. Werden diese Zahlen manipuliert, abgefangen oder falsch zugeordnet, streiten Sie später vor Gericht statt am Verhandlungstisch. Deshalb gehört die Sicherheitsprüfung in dieselbe Gewichtungsklasse wie Preis und Genauigkeit, nicht in eine nachgelagerte Checkliste.

Ein Anbieter, der seit 2005 Zählsoftware entwickelt und heute über 85 Millionen Zählungen pro Tag verarbeitet, hat die Sicherheitsarchitektur anders aufgebaut als ein Neueinsteiger, der Hardware mit einem Dashboard verheiratet. Fragen Sie im Verfahren gezielt nach der Betriebshistorie – nicht als Prestigepunkt, sondern weil bewährte Datenpipelines seltener improvisiert werden.

Die sechs Bereiche, die eine Ausschreibung abdecken muss

Statt vager Formulierungen wie „muss sicher sein“ verlangen Sie prüfbare Nachweise in diesen Bereichen:

• Zertifizierungen: Verlangen Sie aktuelle Nachweise wie ISO 27001 oder SOC 2 – und bestehen Sie auf dem Gültigkeitsdatum. Ein abgelaufenes Zertifikat ist ein rotes Signal für den Reifegrad des Anbieters.
• Hosting-Modell: Klären Sie, ob die Lösung als Hosted oder Private Cloud betrieben wird. Für Portfolios mit mehreren Ländern entscheidet das über Datenresidenz und rechtliche Zuständigkeit.
• Integrationssicherheit: Jede Verbindung zu POS, ERP oder CRM ist ein potenzielles Einfallstor. Fragen Sie, wie die Integrationsschicht – bei Vemco etwa VemFusion – Authentifizierung, Verschlüsselung und Zugriffsbeschränkung regelt.
• Datenschutz: Sensor-agnostische, geräteunabhängige Zählung sollte anonymisiert arbeiten und keine biometrischen Personendaten speichern. Lassen Sie sich die DSGVO-Konformität dokumentieren, nicht nur behaupten.
• SLAs: Verfügbarkeit, Reaktionszeiten bei Sicherheitsvorfällen und Meldefristen bei Datenpannen gehören vertraglich fixiert.
• Support-Modell: Wer reagiert um 22 Uhr am Samstag, wenn ein Datenstrom aus einem Center abbricht? Definieren Sie Eskalationsstufen und Verantwortlichkeiten.

Genauigkeit ist eine Sicherheitsfrage

Datenintegrität und Zählgenauigkeit lassen sich nicht trennen. Wenn Frequenzdaten in Mietformeln einfließen, ist eine unzuverlässige Zählung ein wirtschaftliches Risiko – vergleichbar mit einer manipulierten Zahl. Entscheidend ist, wie ein Anbieter Genauigkeit vertraglich absichert. Vemco nennt eine vertragliche Mindestgenauigkeit von 96 %, die unter guten Bedingungen – Beleuchtung, Grundriss, Besucherverhalten – typischerweise bei 98 bis 99 % liegt. Achten Sie im Verfahren auf diese ehrliche Abstufung: Ein Anbieter, der pauschal 99 % garantiert, ohne die Rahmenbedingungen zu nennen, verkauft Ihnen eine Zahl, die er im Streitfall nicht halten kann. Eine vertragliche Untergrenze eignet sich weit besser für die Bewertung in einer Ausschreibung als ein Werbeversprechen.

Eine Beobachtung aus der Praxis

Bei Rollouts über mehrere Standorte zeigt sich immer wieder dasselbe Muster: Die Sicherheitsprüfung besteht die zentrale Plattform mühelos, aber die lokalen Netzwerke der einzelnen Center sind das schwache Glied. Ein Mieter-WLAN ohne Segmentierung, ein alter Router im Backoffice, eine offene Portfreigabe eines früheren Dienstleisters – hier entstehen die realen Vorfälle. Nehmen Sie deshalb in die Ausschreibung auf, wie der Anbieter die Datenübertragung vom Sensor bis zur Cloud absichert, auch wenn das lokale Netz nicht seiner Kontrolle unterliegt. Ein erfahrener Anbieter beschreibt hier verschlüsselte Übertragung und Zertifikatsverwaltung, statt die Verantwortung auf den Standortbetreiber abzuwälzen.

Skalierung ohne Sicherheitsverlust

Viele Ausschreibungen beschreiben das aktuelle Portfolio, nicht das geplante. Wenn Sie heute drei Center betreiben und in fünf Jahren fünfzehn, muss die Sicherheitsarchitektur mitwachsen, ohne dass jeder neue Standort ein individuelles Sicherheitsprojekt wird. Ein System, das vom einzelnen Store bis zum Unternehmensverbund skaliert und über Partner in mehr als 95 Ländern betrieben wird, hat diese Erweiterung im Rechte- und Rollenmodell bereits eingeplant. Prüfen Sie konkret, wie ein neuer Standort in die bestehende Zugriffsverwaltung aufgenommen wird – manuell pro Nutzer oder über rollenbasierte Gruppen.

Referenzen richtig einsetzen

Fordern Sie Referenzkunden aus vergleichbaren Portfoliogrößen an und sprechen Sie mit ihnen über Sicherheit, nicht über Funktionen. Die entscheidende Frage lautet: Gab es einen Vorfall, und wie hat der Anbieter reagiert? Ein Lieferant mit über 2000 Kunden kann Referenzen liefern, die tatsächlich zu Ihrer Situation passen – nutzen Sie das, statt sich mit einer Standardliste abspeisen zu lassen. Ein Anbieter, der offen über einen bewältigten Vorfall spricht, ist oft verlässlicher als einer, der behauptet, nie einen gehabt zu haben.

Was in die Bewertungsmatrix gehört

Gewichten Sie Sicherheit als eigenständiges Kriterium mit nachvollziehbarer Punktevergabe. Trennen Sie dabei zwischen Ausschlusskriterien – fehlende Zertifizierung, keine DSGVO-Dokumentation, kein SLA für Datenpannen – und Bewertungskriterien, bei denen Anbieter Punkte sammeln. So verhindern Sie, dass ein günstiger Preis eine Sicherheitslücke überdeckt. Verlangen Sie außerdem, dass alle sicherheitsrelevanten Zusagen vertragsfähig sind: Was nicht in den Vertrag übernomm