Wer regelmäßig ausschreibt, hat nicht einen Login, sondern ein Dutzend – das Deutsche Vergabeportal, eVergabe, subreport, dazu die Vergabemarktplätze einzelner Länder. Jedes Portal ein eigenes Passwort. Genau da fängt das Risiko an: ein Passwort für alles, oder eine Excel-Liste im Team-Laufwerk. Beides lässt sich pro Portal in zwei Minuten vermeiden.
Warum Vergabeportale ein Passwort-Problem sind
In Deutschland verteilen sich öffentliche Ausschreibungen nicht auf eine zentrale Plattform, sondern auf hunderte. Eine Auswertung zählt rund 800 Vergabequellen, davon etwa 200 aktiv genutzte Portale. Selbst wenn die zehn größten gut die Hälfte aller Bekanntmachungen abdecken – wer branchenweit sucht, sammelt schnell Zugänge bei eVergabe-Online, dem Deutschen Vergabeportal (DTVP), evergabe.de, meinauftrag, der Deutschen eVergabe und subreport ELViS.
In der Praxis kippt das in zwei riskante Muster: ein einziges Passwort über alle Portale hinweg, oder Zugangsdaten unstrukturiert in einer Tabelle. Beides ist vermeidbar – und beides kostet dich im Ernstfall den Zugang zu einer laufenden Ausschreibung.
Was ein sicheres Passwort für Vergabeportale ausmacht
Das BSI hat seine Empfehlungen zuletzt vereinfacht. Der oft zitierte Zwang, alle 90 Tage zu wechseln, ist gestrichen – ein anlassloser Wechsel verleitet nur zu schwächeren Passwörtern. Gewechselt wird, wenn ein Passwort kompromittiert wurde, sonst nicht.
Für die Stärke nennt das BSI zwei gleichwertige Wege. Kurz und komplex: mindestens 8 Zeichen mit vier Zeichenarten – Groß- und Kleinbuchstaben, Zahlen, Sonderzeichen. Oder lang und einfacher: eine Passphrase ab 25 Zeichen, etwa aus fünf bis sechs zufälligen Wörtern.
Für Portal-Zugänge, die ohnehin im Passwortmanager liegen, ist der kurze, komplexe Weg der praktischere: Ein zufälliges 16-Zeichen-Passwort musst du dir nicht merken. Die lange Passphrase spielt ihre Stärke dort aus, wo du selbst tippst – beim Master-Passwort des Managers.
Ein Portal, ein Passwort
Die wichtigste Regel des BSI: Jedes Passwort nur für einen einzigen Zugang. An einem Portal-Login hängt mehr als eine E-Mail-Adresse – Angebotsunterlagen, Kalkulationsdetails, Referenzen, die Kommunikation mit der Vergabestelle. Ein geknackter Zugang ist damit kein reiner IT-Vorfall, sondern ein Wettbewerbsnachteil, im schlimmsten Fall mitten in der Frist.
Credential Stuffing – das automatisierte Durchprobieren geleakter Zugangsdaten auf anderen Diensten – funktioniert nur, weil dasselbe Passwort mehrfach genutzt wird. Ein einmaliges Passwort pro Portal nimmt dem Angriff die Grundlage.
In vier Schritten zu sicheren Portal-Zugängen
- Passwort generieren. Für jedes neue Portal-Konto ein Passwort im Passwort-Generator erzeugen – 16 Zeichen, alle vier Zeichenarten aktiviert.
- Im Manager ablegen. Passwort samt Portal-URL und Benutzername im Passwortmanager speichern. Das BSI empfiehlt Passwortmanager ausdrücklich – abgesichert durch ein einziges starkes Master-Passwort.
- Team-Zugriff regeln. Nutzen mehrere Personen dasselbe Portal-Konto, den Zugang über eine geteilte Manager-Ablage bereitstellen – nicht per Chat-Nachricht oder Tabelle.
- Zwei-Faktor aktivieren. Wo das Portal es anbietet, zusätzlich Zwei-Faktor-Authentifizierung einschalten. Das Passwort bleibt die erste, aber nicht die einzige Verteidigungslinie.
Der Login ist gelöst – der eigentliche Zeitfresser bleibt
Sichere Passwörter sind Pflicht, aber das kleinste Zeitproblem beim Umgang mit Vergabeportalen. Der Aufwand entsteht nicht beim Einloggen, sondern danach: bei den Unterlagen. Ein einzelnes Verfahren umfasst schnell mehrere Dutzend Pflichtfelder, Eigenerklärungen und Anhänge – die sich von Portal zu Portal in der Form unterscheiden, inhaltlich aber immer dasselbe Firmenwissen abfragen.
Genau hier setzt aiconver an. Statt dieselben Referenzen, Zertifikate und Kennzahlen für jede Ausschreibung neu zusammenzusuchen, befüllen branchen-individuelle KIs wiederkehrende Felder aus deinem vorhandenen Firmenwissen – mit Quellenangabe. Bei wiederkehrenden Feldern sind 80 bis 90 Prozent Zeitersparnis realistisch. Wie das mit den Schritten Finden, Bewerten und Ausfüllen zusammenhängt, liest du in den verlinkten Beiträgen.
Checkliste: sichere Portal-Zugänge
- Hat jedes Vergabeportal ein eigenes, einmaliges Passwort?
- Erfüllen die Passwörter den BSI-Standard – 8 Zeichen mit vier Zeichenarten oder 25+ Zeichen als Passphrase?
- Liegen alle Zugänge in einem Passwortmanager statt in einer Tabelle?
- Ist bei geteilten Konten der Zugang über eine sichere Freigabe geregelt?
- Ist Zwei-Faktor aktiviert, wo das Portal es anbietet?
Häufige Fragen
Wie viele Zeichen sollte ein Passwort für ein Vergabeportal haben?
Nach BSI-Empfehlung genügen 8 Zeichen mit allen vier Zeichenarten. In der Praxis sind 16 zufällig erzeugte Zeichen ein guter Standard, weil du das Passwort ohnehin im Manager ablegst und nicht auswendig eintippst.
Darf ich dasselbe Passwort für mehrere Vergabeportale nutzen?
Nein. Das BSI ist hier eindeutig: jedes Passwort nur für einen einzigen Zugang. Wird ein Portal Ziel eines Datenlecks, bleiben so alle anderen Zugänge sicher.
Muss ich mein Portal-Passwort regelmäßig ändern?
Ein anlassloser Wechsel in festen Intervallen wird vom BSI nicht mehr empfohlen und schwächt die Passwortqualität eher. Ein starkes, einmaliges Passwort wechselst du nur bei konkretem Verdacht auf Kompromittierung.
Ist ein Online-Passwort-Generator sicher?
Ein Generator, der die Passwörter lokal im Browser erzeugt und nichts überträgt oder speichert, ist unbedenklich. Der Passwort-Generator von aiconver arbeitet direkt im Browser, ohne Anmeldung. Das Ergebnis legst du danach im Passwortmanager ab.
Fazit
Sichere Passwörter für Vergabeportale entstehen aus zwei Regeln: pro Portal ein eigenes, starkes Passwort nach BSI-Kriterien, und die Ablage in einem Passwortmanager statt in einer Tabelle. Ein Passwort-Generator nimmt dir den ersten Schritt in Sekunden ab. Der größere Hebel liegt danach – bei den Unterlagen, die in jedem Portal ausgefüllt werden wollen.
Willst du sehen, wie sich diese Unterlagen aus deinem eigenen Firmenwissen befüllen lassen? In 30 Minuten gehen wir ein echtes Beispiel aus deiner Branche durch: Termin buchen.