10/2025_Incident Report

Bericht zum Vorfall  

Titel:  DDos-Angriff auf Deutsche Vergabeportal  

Datum des Vorfalls: Mittwoch, 8. Oktober 2025, dauert an  

Einstufung: Mittel bis hoch (> 25 Vergabestellen betroffen, laufende Akten betroffen, kein Datenverlust) 

Status: in Bearbeitung

Zusammenfassung des Vorfalls  

Seit dem 08. Oktober 2025 ab 08:23 Uhr ist das Deutsche Vergabeportal (DTVP) Ziel einer Denial-of-Service (DDoS)-Attacke. Dabei erzeugen externe Quellen eine hohe Anzahl gleichzeitiger Verbindungen und Anfragen, wodurch die Verfügbarkeit der Web- und API-Dienste signifikant beeinträchtigt wird. Die Angriffsquelle lässt sich technisch auf eine Vielzahl von IP-Adressen und Netzblöcke zurückführen (Beispiele: 45.88.97.31, 138.199.18.131, 23.146.243.197 u. a.).

Durch kurzfristige Maßnahmen (Edge-Rate-Limiting, WAF-Regeln, gezielte IP-Blockierungen) soll die Dienstverfügbarkeit zeitnah wiederhergestellt werden. Es wurden keine Hinweise auf Datenexfiltration oder erfolgreiche Applikations-Level-Kompromittierungen festgestellt; der Vorfall ist primär eine Verfügbarkeitsstörung.

Die Störung dauert an.

Auswirkungen & Risikoabschätzung 

Verfügbarkeit: Hoch — zeitweise eingeschränkter Zugriff für Endnutzer; Geschäftsausfallpotential während Peaks. 

Integrität / Vertraulichkeit: Niedrig — keine Indizien für erfolgreichen unautorisierten Zugriff auf Daten während des Vorfalls. 

Auswirkungen auf laufende Vergabeverfahren 

Während des Zeitraums können die Unternehmen/Bieter nicht oder nur eingeschränkt auf laufende Verfahren zugreifen. Die Abgabe elektronischer Angebote ist nicht oder nur stark eingeschränkt möglich.
Vergabestellen, deren Vergabeverfahren im betroffenen Zeitraum oder zeitnah enden wird eine Verlängerung der Angebots- bzw. Teilnahmefristen empfohlen. 

Betroffenen Unternehmen wird empfohlen, sich direkt an die ausschreibende Stelle zu wenden. 

Technische Maßnahmen (in Bearbeitung) 

Unsere IT- und Sicherheitsteams arbeiten mit Hochdruck daran, die Auswirkungen des Angriffs zu begrenzen. 

Zu den laufenden Gegenmaßnahmen gehören u. a.: 

• Technische Filter- und Schutzmechanismen auf Netzwerk- und Anwendungsebene, 

• Blockierung verdächtiger IP-Adressen und schadhafter Anfragen, 

• Enge Zusammenarbeit mit unseren Internet- und Sicherheitsdienstleistern, um die Angriffsquelle einzudämmen. 
  

Wir überwachen die Situation und erhöhen schrittweise unsere Schutzmaßnahmen, um die Verfügbarkeit des Portals wiederherzustellen. 

Verantwortlich für die Analyse und Behebung  

Betriebs-Team cosinex, IT-Sec der Fa. Claranet