Externe Software-Qualitätssicherung in der Verwaltungs-IT: Wann und wie vergeben?

2026 ist für IT-Leiter in Behörden kein Jahr der ruhigen Modernisierung. Der Deutschland-Stack des IT-Planungsrats verpflichtet Verwaltungen auf DevSecOps, das NIS-2-Umsetzungsgesetz macht Sicherheitstests zur regulatorischen Pflicht, und das Barrierefreiheitsstärkungsgesetz (BFSG) droht seit Mitte 2025 mit Bußgeldern bis 100.000 Euro bei Verstößen gegen Zugänglichkeitsstandards.

Wer Software für den öffentlichen Sektor entwickelt oder beschafft, trägt heute mehr Qualitätsverantwortung als je zuvor. Gleichzeitig fehlen laut einer McKinsey-Studie bereits heute 39.000 IT-Fachkräfte im öffentlichen Dienst.

Qualitätssicherung wird zur Pflicht – und zur Ressourcenfrage

Die Anforderungen an Softwarequalität in der Verwaltungs-IT sind im vergangenen Jahr sprunghaft gestiegen. §30 BSIG-neu verpflichtet Behörden zu Sicherheitstests, Penetrationstests sowie statischer und dynamischer Code-Analyse (kurz: SAST/DAST). Das BFSG macht Barrierefreiheitstests zum Pflichtbestandteil jeder Abnahme. Und der Deutschland-Stack verankert Continuous Integration und Continuous Delivery (CI/CD) mit automatisierten Testprozessen als architektonischen Standard für die gesamte Verwaltung.

Zugleich lässt sich diese Kombination aus Testtiefe und Testbreite mit internen Teams kaum noch abdecken. Nur 3 Prozent der sozialversicherungspflichtigen IT-Fachkräfte arbeiten im öffentlichen Dienst. Das Gehaltsband des Tarifvertrags für den öffentlichen Dienst (TVöD) ist gegenüber privatwirtschaftlichen Angeboten, die für erfahrene Testspezialisten deutlich mehr bieten, strukturell benachteiligt. Offene QS-Stellen bleiben deshalb in vielen Behörden monatelang unbesetzt.

Was auf dem Spiel steht, wenn Qualitätssicherung lückenhaft bleibt

Lückenhafte Qualitätssicherung ist in regulierten Umgebungen kein Betriebsrisiko, das sich aussitzen lässt.

Barrierefreiheitsmängel, die bei der Abnahme nicht erkannt werden, können nach Inbetriebnahme zu BFSG-Bußgeldern führen.
Sicherheitslücken, die ungetestet in den Produktivbetrieb gelangen, öffnen Angriffsvektoren in einem Umfeld, das der BSI-Lagebericht 2025 für Kommunen und Landesverwaltungen als zunehmend kritisch bewertet.
Releases, die nach Abnahme durch ungeplante Nacharbeiten scheitern, verlängern Projektlaufzeiten und beschädigen die Akzeptanz digitaler Verwaltungsleistungen.

IT-Leiter kennen diese Risiken. Das eigentliche Problem ist oft ein anderes: Sie benötigen belastbare Argumente, um extern vergebene Qualitätssicherung im eigenen Haus und gegenüber der Vergabestelle zu begründen.

Externe QS begründen, Leistungsumfänge richtig bündeln

Externe Qualitätssicherung ist eine strategisch sinnvolle Antwort auf ein strukturelles Problem. Der öffentliche Sektor wird den Wettbewerb um spezialisierte QS-Fachkräfte gegenüber der Privatwirtschaft mittelfristig nicht gewinnen, und genau diese Argumentation lässt sich wirtschaftlich wie vergaberechtlich belegen. Sie schützt IT-Leiter zudem vor dem Vorwurf, externe Vergaben ohne ausreichende Sachgrundlage anzustoßen.

Entscheidend ist die richtige Bündelung der Leistungsumfänge in der Ausschreibung. Bewährt hat sich eine Kombination aus drei Bausteinen:

Testmanagement: Testkonzept, Testplanung, Steuerung der Testdurchführung und Koordination mit Fachbereichen sowie Vergabestellen
Testautomatisierung: CI/CD-integrierte Regressionstests, Security-Checks nach OWASP, Barrierefreiheitsprüfungen nach WCAG 2.2 (Web Content Accessibility Guidelines) sowie Last- und Performance-Tests
Abnahmeunterstützung: Revisionssichere Testdokumentation, lückenlose Traceability und Abnahmeprotokolle, die für Vergabe- und Auditanforderungen belastbar sind

Wer diese drei Leistungsbausteine in einem Los bündelt, reduziert Schnittstellenprobleme und schafft klare Verantwortlichkeiten für die gesamte QS-Kette.

Mindestens genauso wichtig wie der Leistungsumfang ist die Wahl des richtigen Dienstleisters. Ein gov-erfahrener Testdienstleister kennt die Besonderheiten des öffentlichen Beschaffungsrahmens: EVB-IT-konforme Vertragsmuster, BSI-IT-Grundschutz-nahe Dokumentation und die spezifischen Abnahmeprozesse von Fachbehörden. Generische Anbieter liefern oft solide Testergebnisse, aber lückenhafte Nachweisdokumentation. Das ist ein kritischer Schwachpunkt in Vergabe- und Revisionsszenarien.

sepp.med ist seit langem im öffentlichen Sektor tätig und begleitet Gov-IT-Projekte mit funktionalen Tests, Sicherheitsprüfungen, Last- und Performance-Tests sowie Barrierefreiheitstests. Sprechen Sie uns an, wenn Sie externe QS-Leistungen vergeben wollen oder eine bestehende Ausschreibung optimieren möchten.