Risikoanalyse in der Angebotsphase von IT-Ausschreibungen

Letzte Aktualisierung: März 2026 | Lesezeit: ca. 12 Min.

Ein mittelständischer IT-Dienstleister aus Stuttgart investiert drei Wochen in ein Angebot für eine Cloud-Migration einer Landesbehörde. Zwei Projektleiter, ein Jurist, die Geschäftsführung — insgesamt fließen geschätzt 40.000 Euro an internen Kosten in die Angebotserstellung. Nach der Vergabeentscheidung der Schock: Der Zuschlag geht an den bisherigen Dienstleister, der die Ausschreibung offensichtlich mitgestaltet hat. Die Leistungsbeschreibung war maßgeschneidert auf dessen Produktportfolio. Drei Wochen Arbeit, 40.000 Euro, null Ertrag. Und das Schlimmste: Die Warnsignale waren da — man hat sie nur nicht systematisch geprüft.

Wenn Sie „Risikoanalyse IT-Ausschreibung" googeln, finden Sie Hunderte Artikel über Projektrisiken bei IT-Vorhaben oder IT-Sicherheitsrisiken nach BSI-Standards. Aber fast nichts über die Frage, die vor allem anderen steht: Lohnt sich die Teilnahme an dieser Ausschreibung überhaupt? Genau darum geht es in diesem Artikel.

---

Was ist eine Risikoanalyse in der Angebotsphase?

Der Begriff „Risikoanalyse" wird in der IT-Branche inflationär verwendet — und fast immer meint er etwas anderes als das, worum es hier geht. In der ISO 31000 bezeichnet Risikoanalyse den systematischen Prozess, Art, Quelle und Ausmaß von Risiken zu verstehen und zu bewerten. Im BSI IT-Grundschutz geht es um Bedrohungen für die Informationssicherheit. Im Projektmanagement um Risiken während der Projektdurchführung.

Die Risikoanalyse in der Angebotsphase ist etwas grundlegend anderes. Sie findet statt, bevor überhaupt ein Angebot erstellt wird — manchmal sogar, bevor die Vergabeunterlagen vollständig gelesen sind. Sie beantwortet die Frage: Soll unser Unternehmen an dieser Ausschreibung teilnehmen?

Dabei gibt es zwei Perspektiven:

Perspektive des Auftraggebers: Der öffentliche Auftraggeber führt eine eigene Risikoanalyse durch — etwa ob die Vergabe als offenes Verfahren oder Verhandlungsverfahren durchgeführt werden soll, wie die Eignungskriterien zu gestalten sind und welche vertraglichen Risikoverteilungen angemessen sind.

Perspektive des Bieters: Hier geht es um die wirtschaftliche und strategische Bewertung der Teilnahme. Und genau diese Perspektive wird in Fachliteratur und Praxis sträflich vernachlässigt — obwohl sie für mittelständische IT-Dienstleister die folgenreichste Entscheidung im gesamten Vergabeprozess ist.

Die Formel ist simpel, die Anwendung nicht:

Auftragsrisiko = Wahrscheinlichkeit eines negativen Ausgangs × Auswirkung (verlorene Investition + Opportunitätskosten)

Ein Angebot, das 5.000 Euro kostet und eine 50-prozentige Zuschlagschance hat, ist eine völlig andere Entscheidung als ein Angebot, das 60.000 Euro kostet und eine 10-prozentige Zuschlagschance hat — auch wenn der erwartete Auftragswert identisch ist.

---

Warum eine Risikoanalyse vor der Angebotsabgabe unverzichtbar ist

Für ein IT-Unternehmen mit 30 bis 80 Mitarbeitern ist die Angebotsphase ein massiver Ressourceneinsatz. Ein seriöses Angebot für eine IT-Ausschreibung des öffentlichen Sektors bindet typischerweise:

• 2 bis 4 Wochen Bearbeitungszeit
• 2 bis 5 Mitarbeiter (Vertrieb, Fachexperten, Projektleitung, Geschäftsführung)
• 10.000 bis 80.000 Euro interne Kosten (je nach Komplexität und Verfahrensart)

Ein KMU, das vier oder fünf Ausschreibungen gleichzeitig bearbeitet, riskiert die Handlungsfähigkeit des gesamten Unternehmens. Wenn drei Angebote gleichzeitig in der heißen Phase sind, fehlen Schlüsselpersonen im Tagesgeschäft, in laufenden Projekten, in der Akquise neuer Privatkundenprojekte. Das ist die Opportunitätskosten-Seite der Gleichung — und sie wird fast immer unterschätzt.

Dazu kommen Risiken, die spezifisch für das öffentliche Vergaberecht sind:

Formale Risiken. Ein vergessenes Formblatt, eine fehlende Unterschrift, eine verspätete Abgabe um zwei Minuten — und das gesamte Angebot ist zwingend auszuschließen. Im Vergaberecht gibt es bei formalen Fehlern wenig Ermessensspielraum. Mehr dazu erfahren Sie in unserem Artikel zur Angebotserstellung bei IT-Ausschreibungen.

Wirtschaftliche Risiken. Die Ausschreibung ist auf den Incumbent zugeschnitten. Die Preisstruktur erzwingt Dumping-Kalkulationen. Die Vertragsbedingungen enthalten unkalkulierbare Haftungsrisiken. Der Leistungsumfang ist so vage formuliert, dass eine seriöse Kalkulation unmöglich ist.

Strategische Risiken. Sie gewinnen den Auftrag — und stellen fest, dass er Ihr Unternehmen in eine strategisch ungünstige Richtung zieht. Oder Sie investieren so viel in die Angebotsphase, dass Sie eine andere, bessere Ausschreibung nicht mehr bearbeiten können.

Eine systematische Risikoanalyse vor der Angebotsabgabe adressiert all diese Risiken — und verwandelt die Go/No-Go-Entscheidung von einem Bauchgefühl in eine fundierte unternehmerische Entscheidung.

---

Risikoanalyse in 5 Schritten — von der Ausschreibung zur Go/No-Go-Entscheidung

Schritt 1: Vergabeunterlagen systematisch analysieren

Bevor Sie über Chancen und Risiken nachdenken, müssen Sie die Ausschreibung vollständig verstehen. Das klingt selbstverständlich, ist es aber in der Praxis nicht. Viele IT-Dienstleister überfliegen die Leistungsbeschreibung, prüfen die Eignungskriterien und entscheiden dann „aus dem Bauch heraus". Die systematische Analyse geht tiefer.

Leistungsbeschreibung auf versteckte Anforderungen prüfen. Suchen Sie nach Formulierungen, die den Kreis der möglichen Bieter einschränken. Werden spezifische Produktnamen oder Technologien genannt, die nur ein bestimmter Anbieter liefern kann? Gibt es Anforderungen, die nur mit Insiderwissen des bestehenden Systems erfüllbar sind? Werden unrealistische Zeiträume gefordert, die nur jemand einhalten kann, der bereits vor Ort arbeitet?

Vertragsbedingungen analysieren. Prüfen Sie die EVB-IT-Vertragstypen und deren Risikoverteilung. Achten Sie besonders auf: Vertragsstrafen (Pönalen), Haftungsobergrenzen (oder deren Fehlen), einseitige Kündigungsrechte, Change-Request-Regelungen und Abnahmeprozesse. Eine Ausschreibung ohne Haftungsobergrenze für einen Cloud-Migrationsprojekt ist ein Warnsignal erster Ordnung.

Bewertungskriterien verstehen. Wie wird das wirtschaftlichste Angebot ermittelt? Reine Preiswertung begünstigt Dumping. Eine Richtwertmethode nach UfAB 2018 gibt Ihnen die Chance, mit Qualität zu punkten. Kennen Sie das Bewertungsschema nicht, können Sie Ihr Angebot nicht optimieren.

Schritt 2: Wettbewerbssituation und Incumbents bewerten

Die wichtigste Einzelfrage bei der Risikoanalyse lautet: Wer ist der bisherige Dienstleister, und wie groß ist sein struktureller Vorteil?

Im öffentlichen IT-Markt sind Incumbent-Vorteile erheblich. Der bisherige Dienstleister kennt die Systeme, die Ansprechpartner, die internen Prozesse und die tatsächlichen (nicht nur die dokumentierten) Anforderungen. Er kann präziser kalkulieren und realistischere Lösungskonzepte anbieten. In vielen Fällen hat er die Leistungsbeschreibung direkt oder indirekt mitgestaltet.

Warnsignale für Incumbent-Ausschreibungen:

• Sehr spezifische technische Anforderungen, die genau auf die bestehende Lösung passen
• Kurze Angebotsfristen (der Incumbent braucht weniger Einarbeitungszeit)
• Übergangsszenarien, die eine nahtlose Weiterführung erfordern
• Referenzanforderungen, die exakt dem Profil des Incumbents entsprechen
• Detaillierte Kenntnis der bestehenden Systemlandschaft als Voraussetzung

Wettbewerbsintensität einschätzen. Offene Verfahren bedeuten maximalen Wettbewerb. Nichtoffene Verfahren mit Teilnahmewettbewerb begrenzen das Feld. Verhandlungsverfahren geben Ihnen die Chance, Ihr Angebot im Dialog zu schärfen. Je mehr Bieter, desto geringer Ihre statistische Zuschlagswahrscheinlichkeit — und desto höher das Risiko, dass ein Wettbewerber mit Dumpingpreisen antritt.

Schritt 3: Eigene Eignung realistisch einschätzen

Im dritten Schritt blicken Sie nach innen: Erfüllt Ihr Unternehmen die Eignungsanforderungen — und zwar nicht nur formal, sondern tatsächlich?

Das GWB definiert drei Eignungskategorien, die bei öffentlichen Ausschreibungen geprüft werden:

1. Befähigung zur Berufsausübung — Handelsregisterauszug, Gewerbeanmeldung
2. Wirtschaftliche und finanzielle Leistungsfähigkeit — Mindestjahresumsatz, Betriebshaftpflicht, Bonitätsnachweise
3. Technische und berufliche Leistungsfähigkeit — Referenzprojekte, Zertifizierungen (ISO 27001, BSI IT-Grundschutz), Personalqualifikationen

Erstellen Sie für jedes Eignungskriterium eine ehrliche Bewertung: Erfüllt, teilweise erfüllt, nicht erfüllt. Mehr dazu erfahren Sie in unserem Artikel über Eignungskriterien bei IT-Ausschreibungen.

Bei Lücken prüfen Sie die Optionen:

• Bietergemeinschaft: Wenn ein wesentlicher Teil der Leistung durch den Partner erbracht werden soll
• Eignungsleihe: Wenn Sie punktuelle Eignungslücken schließen müssen, aber alleiniger Bieter bleiben wollen
• Nachunternehmereinsatz: Wenn Sie die Eignung selbst erfüllen, aber Kapazitäten für die Leistungserbringung benötigen

Schritt 4: Wirtschaftlichkeit kalkulieren

Die wirtschaftliche Bewertung ist der Kern der Risikoanalyse. Drei Größen stehen im Zentrum:

Angebotskosten. Was kostet die Erstellung des Angebots? Rechnen Sie realistisch: Personalkosten aller beteiligten Mitarbeiter, externe Kosten (Rechtsberatung, Gutachten), gegebenenfalls Reisekosten für Ortsbesichtigungen oder Bietergespräche. Für ein Verhandlungsverfahren mit Teilnahmewettbewerb und Präsentationstermin können die Angebotskosten leicht 50.000 bis 80.000 Euro erreichen.

Zuschlagswahrscheinlichkeit. Schätzen Sie realistisch: Wie viele Bieter werden teilnehmen? Wie stark ist der Incumbent? Wie gut passen Ihre Referenzen zu den Bewertungskriterien? Wie wettbewerbsfähig ist Ihr Preis? Eine ehrliche Schätzung liegt für die meisten offenen Verfahren zwischen 10 und 30 Prozent.

Erwarteter Deckungsbeitrag. Was bleibt unter dem Strich, wenn Sie den Auftrag gewinnen? Kalkulieren Sie den Deckungsbeitrag nach Abzug aller direkten Kosten (Personal, Nachunternehmer, Lizenzen, Reisen) und anteiliger Gemeinkosten. Vergessen Sie nicht: Im öffentlichen Sektor sind die Margen typischerweise niedriger als in der Privatwirtschaft, und Nachtragsmanagement ist deutlich schwieriger.

Die Entscheidungsformel:

Erwarteter Wert = Zuschlagswahrscheinlichkeit × Deckungsbeitrag − Angebotskosten

Beispiel: 20 % Zuschlagswahrscheinlichkeit × 200.000 EUR Deckungsbeitrag − 30.000 EUR Angebotskosten = 10.000 EUR erwarteter Wert. Positiv, aber knapp — und mit einem Risiko von 80 Prozent, 30.000 Euro zu verlieren.

Verstehen Sie außerdem die Bewertungsmethode: Bei der UfAB Richtwertmethode wird das Preis-Leistungs-Verhältnis berechnet. Wenn Sie wissen, wie die Gewichtung aussieht (z. B. 40 % Preis, 60 % Leistung), können Sie abschätzen, ob Ihre Stärken (Qualität, Erfahrung) oder Ihre Schwächen (höherer Preis als Großanbieter) überwiegen.

Schritt 5: Go/No-Go-Entscheidung treffen und dokumentieren

Die Ergebnisse der Schritte 1 bis 4 fließen in eine strukturierte Entscheidung. Definieren Sie vorab klare Schwellenwerte:

Automatisches No-Go (K.-o.-Kriterien):

• Eignungskriterien werden nicht erfüllt (auch nicht durch Bietergemeinschaft oder Eignungsleihe)
• Angebotskosten übersteigen 5 % des erwarteten Deckungsbeitrags bei einer Zuschlagswahrscheinlichkeit unter 15 %
• Vertragsbedingungen enthalten unkalkulierbare Haftungsrisiken
• Die Angebotsfrist reicht nicht für eine sorgfältige Bearbeitung

Starkes Go-Signal:

• Eignungskriterien vollständig erfüllt
• Kein erkennbarer Incumbent oder Incumbent wechselwillig
• Erwarteter Wert deutlich positiv
• Strategischer Fit (Referenzaufbau, Markteintritt in neues Segment)

Dokumentation. Halten Sie die Entscheidung und deren Begründung schriftlich fest — unabhängig davon, ob Go oder No-Go. Das hat zwei Vorteile: Erstens zwingt die Dokumentation zur Disziplin. Zweitens können Sie nach der Vergabeentscheidung auswerten, ob Ihre Einschätzung richtig war, und Ihre Risikoanalyse über die Zeit verbessern.

---

Checkliste: 15 Risikofaktoren in IT-Ausschreibungen

Die folgende Checkliste fasst die kritischen Risikofaktoren zusammen. Prüfen Sie jeden Punkt vor der Go/No-Go-Entscheidung.

Formale Risiken

Inhaltliche Risiken

Wirtschaftliche Risiken

---

Risikomatrix für die Angebotsphase — Vorlage und Beispiel

Die Risikomatrix ist das klassische Werkzeug der Risikobewertung — und sie lässt sich hervorragend auf die Angebotsphase übertragen. Die Matrix stellt die Eintrittswahrscheinlichkeit eines Risikos der Auswirkung gegenüber und visualisiert so die Gesamtrisikosituation.

Die 5×5-Matrix:

Die horizontale Achse zeigt die Eintrittswahrscheinlichkeit (sehr gering, gering, mittel, hoch, sehr hoch). Die vertikale Achse zeigt die Auswirkung (vernachlässigbar, gering, mittel, schwerwiegend, kritisch). Jedes identifizierte Risiko wird in der Matrix positioniert.

• Grüne Zone (geringe Wahrscheinlichkeit + geringe Auswirkung): Risiko akzeptieren, keine Maßnahme nötig
• Gelbe Zone (mittlere Wahrscheinlichkeit oder mittlere Auswirkung): Risiko beobachten, Maßnahmen prüfen
• Rote Zone (hohe Wahrscheinlichkeit + hohe Auswirkung): Risiko erfordert Maßnahmen oder führt zum No-Go

Praxisbeispiel: Cloud-Migration für eine Landesbehörde

Ein IT-Dienstleister mit 45 Mitarbeitern bewertet eine Ausschreibung zur Migration der IT-Infrastruktur einer Landesbehörde in die Cloud. Geschätztes Auftragsvolumen: 2,5 Millionen Euro über 3 Jahre.

In diesem Beispiel zeigt die Matrix drei rote Risiken. Das ist kein automatisches No-Go — aber es erfordert eine bewusste Entscheidung der Geschäftsführung, ob das Unternehmen die identifizierten Risiken tragen will und kann.

---

Werkzeuge und Dienste für die schnelle Risikoanalyse

Die manuelle Risikoanalyse einer Ausschreibung dauert — je nach Komplexität — zwischen 2 und 8 Stunden. Für ein KMU, das wöchentlich 5 bis 10 potenziell relevante Ausschreibungen sichtet, summiert sich das schnell zu einem halben Mitarbeiter. Drei Ansätze stehen zur Verfügung:

Manuelle Checkliste. Der pragmatische Einstieg. Nutzen Sie die 15-Punkte-Checkliste aus diesem Artikel, ergänzen Sie sie um unternehmensspezifische Kriterien und arbeiten Sie sie konsequent für jede Ausschreibung ab. Vorteil: kein Investment, sofort einsetzbar. Nachteil: zeitintensiv, und die Qualität hängt von der Erfahrung der durchführenden Person ab.

Spezialisierte Vergabeberatung. Für besonders große oder komplexe Ausschreibungen kann es sinnvoll sein, eine spezialisierte Kanzlei oder Vergabeberatung hinzuzuziehen. Diese bringen juristische Expertise (Vergaberecht, EVB-IT-Vertragsanalyse) und Marktwissen (Wettbewerbseinschätzung) mit. Nachteil: Kosten und Vorlaufzeit — für ein schnelles Screening von 10 Ausschreibungen pro Woche nicht praktikabel.

KI-gestützte Analyse. Der technologische Ansatz. Spezialisierte Werkzeuge analysieren die Vergabeunterlagen automatisch, identifizieren Risikofaktoren, erkennen Incumbent-Signale in der Leistungsbeschreibung und bewerten die Passung zu Ihrem Unternehmensprofil. Tendit etwa bewertet jede Ausschreibung automatisch nach Relevanz und Risikoprofil, identifiziert versteckte Anforderungen und liefert eine Einschätzung der Wettbewerbssituation — in Minuten statt Stunden. Die Technologie wird die manuelle Prüfung nicht vollständig ersetzen, aber sie verändert die Ökonomie der Risikoanalyse grundlegend: Statt 5 Ausschreibungen manuell zu prüfen, können Sie 50 screenen und Ihre manuelle Analyse auf die 5 vielversprechendsten konzentrieren.

---

Häufig gestellte Fragen

Welche Risiken werden bei IT-Ausschreibungen am häufigsten übersehen?

Drei Risiken werden systematisch unterschätzt: Erstens die Incumbent-Problematik — viele Bieter erkennen die Warnsignale nicht oder ignorieren sie aus Optimismus. Zweitens die Opportunitätskosten — während Sie an einer Ausschreibung mit 15 % Zuschlagschance arbeiten, verpassen Sie möglicherweise eine mit 40 %. Drittens die vertraglichen Risiken — EVB-IT-Verträge und Vergabeunterlagen enthalten häufig Klauseln, die bei unsorgfältiger Prüfung zu erheblichen wirtschaftlichen Risiken führen.

Wie lange dauert eine Risikoanalyse in der Angebotsphase?

Eine strukturierte Risikoanalyse nach der 5-Schritte-Methodik dauert für eine typische IT-Ausschreibung zwischen 4 und 8 Stunden. Davon entfallen etwa 2 Stunden auf die Analyse der Vergabeunterlagen, 1 Stunde auf die Wettbewerbsbewertung, 1 Stunde auf die Eignungsprüfung, 1 bis 2 Stunden auf die Wirtschaftlichkeitskalkulation und 30 Minuten auf die dokumentierte Entscheidung. Mit KI-Unterstützung lässt sich der Aufwand auf 1 bis 2 Stunden reduzieren.

Welche Standards gelten für die Risikoanalyse bei öffentlichen IT-Vergaben?

Es gibt keinen verbindlichen Standard für die Risikoanalyse aus Bietersicht. Auf Auftraggeberseite sind die UfAB 2018 (Unterlage für Ausschreibung und Bewertung von IT-Leistungen) und das EVB-IT-Rahmenwerk relevant. Für die allgemeine Methodik der Risikoanalyse bietet die ISO 31000 einen guten Rahmen. Im IT-Sicherheitsbereich definiert der BSI IT-Grundschutz zusätzliche Anforderungen, die bei sicherheitsrelevanten Ausschreibungen zu berücksichtigen sind.

Wann sollte ein IT-Dienstleister auf eine Ausschreibung verzichten?

Ein klares No-Go liegt vor, wenn: (a) Eignungskriterien nicht erfüllt werden und auch nicht durch Bietergemeinschaft oder Eignungsleihe geschlossen werden können, (b) deutliche Incumbent-Signale vorliegen und der erwartete Wert der Teilnahme negativ ist, (c) die Vertragsbedingungen unkalkulierbare Risiken enthalten, die der Auftraggeber auf Bieterfrage nicht ändert, oder (d) die Angebotskosten in keinem vertretbaren Verhältnis zur Zuschlagswahrscheinlichkeit stehen. Es ist keine Schwäche, auf eine Ausschreibung zu verzichten — es ist unternehmerische Disziplin.

Kann KI die Risikoanalyse in der Angebotsphase automatisieren?

Teilweise. KI kann die Vergabeunterlagen analysieren, Risikofaktoren identifizieren, Incumbent-Signale erkennen und die Passung zum Unternehmensprofil bewerten — schneller und konsistenter als ein Mensch. Die finale Go/No-Go-Entscheidung bleibt aber eine unternehmerische Entscheidung, die Faktoren berücksichtigt, die eine KI (noch) nicht vollständig erfassen kann: strategische Überlegungen, Beziehungen zu Auftraggebern, interne Kapazitätssituationen, Risikoappetit der Geschäftsführung. Die ideale Lösung ist eine Kombination: KI für das Screening und die Erstbewertung, Mensch für die Entscheidung.

---

---

Fazit: Die richtige Ausschreibung finden — und die falsche lassen

Die Risikoanalyse in der Angebotsphase ist kein bürokratischer Zusatzaufwand. Sie ist das Instrument, das den Unterschied macht zwischen einem IT-Dienstleister, der seine Ressourcen systematisch in die aussichtsreichsten Ausschreibungen investiert, und einem, der reaktiv jede Gelegenheit ergreift und am Ende mehr Geld in verlorene Angebote steckt als in gewonnene Aufträge.

Die Methodik ist einfach: Fünf Schritte, eine Checkliste, eine dokumentierte Entscheidung. Die Disziplin, sie konsequent anzuwenden, ist der schwierige Teil. Denn in der Praxis konkurriert die Risikoanalyse mit dem Druck, „wir brauchen den Auftrag" und der Überzeugung, „diesmal klappt es bestimmt".

Machen Sie die Go/No-Go-Entscheidung zur festen Institution in Ihrem Vertriebsprozess. Definieren Sie klare Schwellenwerte. Dokumentieren Sie Ihre Entscheidungen und werten Sie sie nach jeder Vergabeentscheidung aus. In einem Jahr werden Sie feststellen, dass Ihre Trefferquote steigt — nicht weil Sie mehr Angebote schreiben, sondern weil Sie die richtigen schreiben.

Und der erste Schritt ist, wie immer, die richtige Ausschreibung überhaupt zu finden — früh genug, um eine saubere Risikoanalyse durchzuführen, bevor die Frist drückt.

---

Testen Sie Tendit 8 Wochen kostenlos — und verpassen Sie keine relevante Ausschreibung mehr. usetendit.com