Wie bewirbt man sich beim Bundestag für „Betriebsunterstützung für das E-Mail- und Groupwaresystem”?

Calendar 01. September 2026

Der Bundestag hat die Stelle „Betriebsunterstützung für das E-Mail- und Groupwaresystem” unter www.evergabe-online.de/tenderdetails.html?13&id=879901 mit Geschäftszeichen ZR3-16120-2026-086-12-DI1 öffentlich ausgeschrieben und dafür will ich mich bewerben.

Ich bin unter www.evergabe-online.de mit dem Benutzernamen d registriert.

Nach einer Anmeldung auf der o.g. Webseite muss die Anwendung eVergabeApp installiert werden und dann durch Klick im Browser auf dem Ausschreibung-Hyperlink evergabeapp://www.evergabe-online.de:29893?lang=de der Ablauf gestartet werden. Ich habe die Anwendung installiert.

Die eVergabeApp kann ich durch Browserklick nicht starten

Das Ausschreibung-Hyperlink zum Starten der eVergabeApp funktioniert selbst dann nicht, wenn ich zwei Browser von verschiedenen Herstellern schließe, wieder öffne und dann auf dem evergabeapp:// Hyperlink klicke.

Zwar steht neben dem Hyperlink der Hinweis “Probleme beim Start der eVergabeApp? Startdatei herunterladen!”, die Neuerungen für Anbieter 2025 (Stand 15.08.2025) stellen aber den Hinweis richtig:

e-Vergabe Release 8.5.1 / 25.04.2025

Die eVergabeApp wird zukünftig nicht mehr per Startdatei ausgeführt, sondern stattdessen über einen Link. Der Schritt zwei der Abgabe wurde entsprechend angepasst.

Die Anleitung zur Abgabe von Teilnahmeanträgen und Angeboten wurde entsprechend überarbeitet. Eine ausführliche Hilfestellung zum Ablauf sowie zur Installation der Anwendung finden Sie unter “Unternehmen” -> Anleitungen

Die FAQ für Unternehmer enthält weitere Hyperlinks, hilft aber nicht weiter.

Das “Installationsanleitung” Hyperlink verweist auf “Installationsanleitung eVergabeApp Windows” und ich habe kein Windows.

Unter “Unternehmer” in Benutzerleitfaden e-Vergabe Portal des Bundes (AnA-Web) Stand 27.12.2024 steht auch nichts.

Wenn ich auf dem evergabeapp:// klicke, schlägt eins von den Browsern im Klartext vor “Open xdg-open” zu tun. Damit xdg-open etwas sinnvolles tun kann, muss irgendetwas im Verzeichnis $HOME/.local/share/mime/ laut wiki.archlinux.org/title/XDG_MIME_Applications stehen, bei mir fehlt das Verzeichnis.

Wenn ich die EvergabeApp starte, meckert sie “Achtung: Bitte starten Sie die Anwendung ausschliesslich über die Webseite. Bei Fragen wenden Sie sich an des ServiceDesk der e-Vergabe”.

Die Meldung verweist nicht auf die Möglichkeit, die Startdatei zu nutzen, diese wird somit ausgeschlossen.

Das hat alles eine Menge Zeit gekostet, nur um sicherzustellen, dass die Anwendung ausschließlich über Browser und nicht direkt gestartet werden kann. Ich verstehe es nicht, warum ich die Anwendung nicht einfach so starten darf; ich habe keine Lust den ServiceDesk zu fragen; bis eine Antwort kommt, wird der Abgabefrist ohnehin verpasst; und das Problem lässt sich einfach lösen, wenn der Quellcode der eVergabeApp veröffentlicht wird.

Letztendlich habe ich mich per E-Mail an der Vergabestelle mit Verweis auf diesen Artikel beworben.

Inhalt der Ausschreibung

Mit Abkürzungen:

Betriebsunterstützung für das E-Mail- und Groupwaresystem

Die Auftraggeberin betreibt ein E-Mail- und Groupwaresystem, das im Wesentlichen aus zwei Teilen besteht:

  • Open-Source E-Mailsysteme (Postfix, RSPAMD, Pacemaker für das Protokolle SMTP)
  • MS-Exchange Groupware.

Gegenstand des Vertrages ist die Betriebsunterstützung für das Open-Source System. Die Betriebsunterstützung beinhaltet den technischen Support, die Pflege, die Unterstützung zur Weiterentwicklung des Systems sowie die Durchführung von Updates der zentralen Systeme (Linux-Distributionen und alle Serveranwendungen).

Ziel der Ausschreibung ist die Sicherstellung der Verfügbarkeit des E-Mailsystems, einschließlich der Unterstützung bei allgemeinen Betriebsaufgaben, der notwendigen Anpassungen der Systemkonfiguration unter Berücksichtigung aktueller Sicherheitsaspekte sowie der Mitarbeit bei der Konzeption zukünftiger Hard- und Software-Strukturen. Die im Wirkbetrieb auftretenden Probleme des E-Mailsystems, deren gefundene Lösungen sowie generelle Änderungen des Systems sind vom Auftragnehmer laufend zu dokumentieren.

Die Leistungsbeschreibung mit Preisangaben enthält:

2.1.5 Sicherheitsüberprüfung

Zusätzlich zu Ziffer 9.2 der Zusätzlichen Vertragsbedingungen der Verwaltung des Deutschen Bundestages (ZVB) gilt Folgendes:

Für jeden vorgesehenen Mitarbeiter/jede vorgesehene Mitarbeiterin hat der AN der Projektleitung der AG vor dem ersten Einsatz des Mitarbeiters/der Mitarbeiterin einen Nachweis über eine erweiterte Sicherheitsüberprüfung im Bereich Sabotageschutz vorzulegen. Liegen in der Geheimschutzstelle des Bundesministeriums für Wirtschaft und Energie (BMWE) hierzu bereits Bescheide vor, ist die Geheimschutzstelle der AG darüber zu informieren. Anderenfalls sind die ausgefüllten Antragsformulare der AG über das fachlich für die Leistungserbringung zuständige Referat DI 1 der AG bei der Geheimschutzstelle der AG zur Überprüfung einzureichen.

3 Betriebsunterstützung für das OSS-E-Mailsystem des Deutschen Bundestages
3.1 Ist-Zustand des E-Mail- und Groupwaresystems
Die im Weiteren beschriebenen Systeme sind in den Rechenzentren der AG auf verschiedene Standorte aufgeteilt. Die Windows-Clients verwenden Microsoft Outlook und MS Exchange zur Kommunikation mit diesen Systemen. Ein Zugriff mit mobilen Geräten ist ebenfalls möglich.

3.1.1 Externe Mailserver
Vier externe E-Mailserver, die in der demilitarisierten Zone (DMZ) wiederum verteilt auf drei Rechenzentren der AG stehen, empfangen aus und verschicken E-Mails zum Internet und zu den Netzen des Bundes (NdB), leiten die eingehenden E-Mails an die internen Mail Transfer Agents (MTA) weiter, blocken und bewerten Spam-Mails aus dem Internet und scannen eingehende E-Mails nach Viren (RSPAMD, CLAM-AV).

Die Verbindungen der externen E-Mailserver in das interne Netz werden über transparente Transmission-Control-Protocol-Proxies (TCP-Proxies) hergestellt.
Mit Ansible/Git werden die Softwareverwaltung und das Konfigurationsmanagement durchgeführt.

Die Mailserver werden aktuell auf unter Proxmox laufende Virtuelle Maschinen (VM) migriert

Monitoring:

Mit der Anwendung Grafana/Loki werden zeitbezogene Messdaten gespeichert, zusammengefasst und visualisiert, um einen schnellen Überblick über den Gesamtzustand aller externen Mailserver zu bekommen. Die Rsyslog-Meldungen werden an einen zentralen Rsyslog-Server übermittelt und dort weiterverarbeitet.

Verwendete Hard- und Software für „Externe Mailserver“:

Betriebssystem: Debian (Softwareverteilung und –konfiguration über Ansible)
Software: Postfix, RSPAMD, Clamav, Prometheus, Rsyslog, HAProxy, nftables, redis, proxmox

3.2. Leistungen des AN

Maßnahmen zur Stärkung der Sicherheit des E-Mail-Systems (zum Beispiel Schutz vor Spam und Schadsoftware)

3.3.1. Mitarbeiter

Das für die Betriebsunterstützung vorgesehene Personal des AN muss über die für die Erbringung der Leistung notwendigen Fachkenntnisse verfügen, das heißt entsprechend geschult sein. Die für die Vertragsdurchführung eingesetzten Mitarbeiter müssen mindestens über folgende Qualifikationen verfügen:\

  • Abgeschlossene Berufsausbildung im Bereich der Informationstechnik oder mindestens 5 Jahre Berufserfahrung im Betrieb von Open-Source-Servern
  • 3 Jahre Berufserfahrung
  • Linux-Zertifizierung (LPIC-2 oder vergleichbar)
  • Besuch einer Schulung Linux-HA-Cluster mit Pacemaker und Corosync (mindestens ein/e Mitarbeiter/in) oder Pacemaker/Corosync Betriebserfahrung (mindestens 1 Jahr)
  • Besuch einer Schulung Postfix oder Postfix Betriebserfahrung (mindestens 1 Jahr)
  • Besuch einer Schulung RSPAMD oder RSPAMD Betriebserfahrung (mindestens 1 Jahr)

Die AG legt größten Wert auf die kontinuierliche Verfügbarkeit des eingesetzten Personals. Der AN hat daher während des Leistungszeitraums den kontinuierlichen Einsatz seines Personals beziehungsweise einer gleichwertig qualifizierten Vertretung zu gewährleisten.

3.3.2 Projektleitung
Der AN benennt nach der Zuschlagserteilung einen Projektleiter/eine Projektleiterin, der/die die Einsatzplanung koordiniert. Zu übernehmende und erledigende Aufgaben sind mit der AG abzustimmen. Außerdem wird mit dem Projektleiter/der Projektleiterin Art und Umfang der Betriebsunterstützung und der zu erledigenden Aufgaben festgelegt. Der Projektleiter/die Projektleiterin hat die sachgerechte Aufgabenerledigung sicherzustellen. Er/Sie steht der AG in allen Fragen der Vertragsdurchführung und -abwicklung sowie der Qualitätssicherung als Ansprechpartner/in zur Verfügung. Eine gleichwertig qualifizierte Vertretung des Projektleiters/der Projektleiterin ist vom AN sicherzustellen.

Die Projektleitung hat neben der Koordination der Einsatzplanung auch für die Erstellung von Konzepten bei der Einführung neuer Technologien und die Planung von der Teststellung bis zur Produktivsetzung Sorge zu tragen. Entsprechende Erfahrung in diesen Tätigkeiten der Projektleitung und Konzepterstellung muss im Mitarbeiterprofil auch für den Projektleiter/die Projektleiterin insbesondere durch Beschreibung der Tätigkeiten in den angegebenen Referenzprojekten dokumentiert werden.

Die Ausschreibung erwähnt diese Software: Postfix, RSPAMD, ClamAV, (Migration zu) Proxmox VM, Monitoring und Visualisierung mit Grafana/Loki, Debian, Ansible, Prometheus, Rsyslog, HAProxy, nftables, redis, PHP, MySQL, Apache (vermutlich Apache httpd), openid-Gateway, git, Pacemaker/Corosync, Rsyslog, mailman3.

Anschreiben zum Angebot

Theorie - Die Spamproblematik

Sowohl die Nennung der Software RSPAMD als auch der Satz „Maßnahmen zur Stärkung der Sicherheit des E-Mail-Systems (zum Beispiel Schutz vor Spam und Schadsoftware)” deuten darauf hin, dass die Ausschreibung zum Ziel hat den Bundestag ausreichend vor Spam zu schützen.

Für mich als Verbraucher, Unternehmer und Person ist der mir zustehende Schutz vor unverlangter Direktwerbung, u.a. Spam, in der konsolidierten Richtlinie 2002/58 so geregelt:

Artikel 13 Unerbetene Nachrichten

(1) Die Verwendung von automatischen Anruf- und Kommunikationssystemen ohne menschlichen Eingriff (automatische Anrufmaschinen), Faxgeräten oder elektronischer Post für die Zwecke der Direktwerbung darf nur bei vorheriger Einwilligung der Teilnehmer oder Nutzer gestattet werden.

(3) Ungeachtet des Absatzes 1 kann eine natürliche oder juristische Person, wenn sie von ihren Kunden im Zusammenhang mit dem Verkauf eines Produkts oder einer Dienstleistung gemäß der Richtlinie 95/46/EG deren elektronische Kontaktinformationen für elektronische Post erhalten hat, diese zur Direktwerbung für eigene ähnliche Produkte oder Dienstleistungen verwenden, sofern die Kunden klar und deutlich die Möglichkeit erhalten, eine solche Nutzung ihrer elektronischen Kontaktinformationen zum Zeitpunkt ihrer Erhebung und bei jeder Übertragung gebührenfrei und problemlos abzulehnen, wenn der Kunde diese Nutzung nicht von vornherein abgelehnt hat.

(5) Die Absätze 1 und 3 gelten für Teilnehmer, die natürliche Personen sind. Die Mitgliedstaaten stellen im Rahmen des Gemeinschaftsrechts und der geltenden nationalen Rechtsvorschriften außerdem sicher, dass die berechtigten Interessen anderer Teilnehmer als natürlicher Personen in Bezug auf unerbetene Nachrichten ausreichend geschützt werden.

(6) Unbeschadet etwaiger Verwaltungsvorschriften, die unter anderem gemäß Artikel 15a Absatz 2 erlassen werden können, stellen die Mitgliedstaaten sicher, dass natürliche oder juristische Personen, die durch Verstöße gegen die aufgrund dieses Artikels erlassenen nationalen Vorschriften beeinträchtigt werden und somit ein berechtigtes Interesse an der Einstellung oder dem Verbot solcher Verstöße haben, einschließlich der Anbieter elektronischer Kommunikationsdienste, die ihre berechtigten Geschäftsinteressen schützen wollen, gegen solche Verstöße gerichtlich vorgehen können. Die Mitgliedstaaten können auch spezifische Vorschriften über Sanktionen festlegen, die gegen Betreiber elektronischer Kommunikationsdienste zu verhängen sind, die durch Fahrlässigkeit zu Verstößen gegen die aufgrund dieses Artikels erlassenen nationalen Vorschriften beitragen.

Das ist so zu verstehen, dass nicht nur die juristischen Personen einen Anspruch auf ausreichendem Schutz vor unerbetenen Nachrichten haben, sondern - wer hätte das gedacht - auch die natürlichen Personen.

In Deutschland bedeutet ausreichender Schutz vor unverlangter Direktwerbung nur Unterlassungsanspruch. Wenn ich eine Spammail bekomme, der Absender der Nachricht bekannt ist und der Versand unbestritten ist, kann ich vor Gericht nicht beweisen - egal was ich vorbringe - dass mir diese Spammail erstattungsfähige Kosten verursacht. Daraus folgt, dass eine einzige Spammail keine (erstattungsfähige) Kosten verursacht und die Gesamtheit an Spam auch keine Kosten verursacht. Die ganze Antispamsoftware löst ein Problem, dessen Wert Null Euro ist. Ein Problem dessen Wert Null Euro ist, ist kein ernstzunehmendes Problem.

Die verschiedenen Staaten und öffentlichen Einrichtungen weltweit schützen sich vor Spam auf leicht verschiedenen Arten, aber mehr oder weniger läuft es auf das Gleiche hinaus: Die öffentliche Gewalt nimmt Geld von den Absendern von Spam (jede Form von unverlangter Direktwerbung) und bezahlt damit der Betrieb von Antispamsoftware für sich selbst.

Der Anspruch Geld von den Absendern von Antispamsoftware zu kassieren und das Geld für Anti-Spam-Sachen auszugeben wird, mir nicht gewährt.

Wenn der Bundestag und übereinstimmend auch die Justiz nicht anerkennen, dass Spam dem Verbraucher (mir) (erstattungsfähige) Kosten verursacht, dann verursacht der Spam dem Bundestag auch keine Kosten und trotzdem ist der Bundestag vor Spam ausreichend durch den Unterlassungsanspruch geschützt.

Im Hinblick darauf wird es angebracht, wenn der Bundestag keine Antispamsoftware, wie etwa RSPAMD, betreibt, bis der Bundestag berechnet wie viel Kosten eine Spammail - dem Verbraucher und dem Bundestag - verursacht.

In meiner Ansicht berechnen sich die Kosten für eine Spammail in die Höhe einer fiktiven Abmahnung: Anwalt A und Anwalt B erhalten jeweils eine Spammail. Anwalt A geht zu Anwalt B und der letztere mahnt im Auftrag des Anwalts A den Absender auf Unterlassung, Anwalt B erhält für die Leistung vom Absender Abmahnkosten. Das gilt auch umgekehrt: Anwalt B geht zu Anwalt A und der letztere mahnt im Auftrag des Anwalts B den Absender auf Unterlassung, Anwalt A erhält für die Leistung vom Absender Abmahnkosten. Summa summarum: für jede erhaltene E-Mail bekommt Anwalt A vom Absender Abmahnkosten und für jede erhaltene E-Mail bekommt Anwalt B vom Absender Abmahnkosten. Wenn ich für jede erhaltene Spammail Abmahnkosten erhalte, ist mir völlig egal, ob die Wiederholungsgefahr durch die Abgabe einer strafbewehrten Unterlassungsverpflichtungserklärung beseitigt ist oder nicht. Allein die Zahlung der fiktiven Abmahnkosten beseitigt die Wiederholungsgefahr. Zudem will ich die Wiederholungsgefahr gar nicht beseitigen, ich will, dass die Wiederholungen ziemlich oft stattfinden und ich ziemlich oft fiktive Abmahnkosten erhalte.

Bundestag, öffentliche Einrichtungen, Rechtsanwälte, natürliche und juristische Personen haben alle einen Anspruch auf ausreichendem Schutz vor unverlangter Direktwerbung. Ob per E-Mail, Telefon, Fax, Papier macht es keinen Unterschied. Der ausreichende Schutz muss für alle identisch sein. Wenn der Bundestag nicht anerkennt, dass eine Spammail dem Verbraucher erstattungsfähige Kosten verursacht, dann verursacht das ganze Spam der Welt dem Bundestag selbst dann keine Kosten, wenn kein Spamfilter eingesetzt wird.

Praxis - Betrieb von E-Mailservern

Ich betreibe seit vielen Jahren ehrenamtlich (d.h. unbezahlt) die E-Mails für die Domäne aegee.org mit Open-Source-Software. Über die Jahre habe ich sichergestellt, dass alles gut läuft, Prozesse automatisiert sind, es gibt nur gelegentlich dringliche Probleme.

Ich habe die Spezifikation für E-Mails - SMTP, DNS, DNSSEC/DANE/TLS, MTA-STS, DKIM, DMARC, SPF, ARC gelesen und diese - bis auf SPF und ARC - eingesetzt.

Dabei habe ich Änderungen an der eingesetzten Software vorgeschlagen und Fehler im öffentlichen Raum berichtet. Diese Veröffentlichungen werde ich hier als Referenzen verwenden, damit man hier eben ohne Kontaktdaten überzeugt wird, dass ich diese Software tatsächlich verwendet habe.

Als MTA habe ich primär sendmail benutzt. Zu Postfix habe u.a. ich diese Nachrichten an den Verteilern postfix-devel und postfix-users gesendet:

Ob sendmail oder postfix macht es keinen großen Unterschied, wenn man die E-Mailabläufe kennt.

Für DMARC und DKIM habe ich die Software openDMARC und openDKIM eingesetzt. Diese funktionieren als Milter (plug-in) sowohl für Sendmail als auch für Postfix. Die von mir berichteten Problemen sind unter github.com/trusteddomainproject/OpenDMARC/pulls?q=author%3Adilyanpalauzov, github.com/trusteddomainproject/OpenDMARC/issues?q=author%3Adilyanpalauzov, und github.com/trusteddomainproject/OpenDKIM/issues?q=author%3Adilyanpalauzov einzusehen. Aber unter SF.net habe ich für diese Software auch Probleme berichtet, z.B. sourceforge.net/p/opendkim/bugs/265/.

Das allerhärteste Softwareproblem meines Lebens, was ich je gelöst habe, lässt sich durch die zehn Zeilen auf github.com/trusteddomainproject/OpenDKIM/issues/15 sehen. Dabei habe ich DKIM Zusammenfassungen von den E-Mailgegenstellen verlangt und erhalten. Diese Zusammenfassungen besagen, wie viele ausgehende E-Mails von den aegee.org Mailserver in den letzten 24 Stunden korrekt mit DKIM signiert waren und wie viele nicht. Und das Ergebnis war, dass fast alle E-Mails korrekt signiert waren, aber eben nicht alle. Ich wollte herausfinden, warum nicht alle E-Mails korrekt mit DKIM signiert waren, und über mehrere Jahre habe ich immer wieder versucht, das Problem zu lösen, Protokolle geführt, GnuTLS statt OpenSSL verwendet. Niemand anderes hatte über dieses Problem berichtet (Ich habe darüber auch nicht öffentlich berichtet, weil niemand mit meiner Beschreibung anfangen konnte). Und eines Tages per Zufall habe ich gesehen, dass eingehende E-Mails größer als 64 KB ohne DKIM-Signatur durch den openDMARC-Milter durchgewunken wurden. D.h. nachdem der Milter gesehen hatte, dass die E-Mail keine DKIM-Signatur hat, hat er auf den übrigen Inhalt der Nachricht verzichtet. Ich habe den Milter aber im Sign-Und-Verify Modus eingerichtet. Der sollte nicht nur bei eingehenden Nachrichten die DKIM-Signatur auf Gültigkeit prüfen, sondern eine neue gültige DKIM-Signatur hinzufügen. Und diese neue Signatur konnte gar nicht gültig sein, da der Milter bei E-Mails über 64 KB nicht die ganze Nachricht erhalten hat, um den Hash von der Nachricht korrekt zu berechnen.

Ich will noch etwas einmaliges erwähnen. Ich habe ein Milter (Plugin für Postfix) geschrieben, der Sieve Scripte für jeden Empfänger auswertet und wenn der Empfänger in dem eigenen Sieve Script festlegt, dass eine E-Mail unerwünscht ist, wird die E-Mail vom SMTP-Server abgelehnt und der Absender wird benachrichtigt. Das bietet die Vorteile:

  • für jede E-Mailadresse kann eine andere Schwelle für die Spamauswertung (von der Anti-Spamsoftware vergebene Punkte) verwendet werden.
  • jeder Empfänger kann einen anderen Ablehnungsgrund angeben, z.B. die eigene Telefon- und Faxnummer als Kontaktalternative, wenn die E-Mail fälschlicherweise als Spam ausgewertet wurde.
  • das Spam Verzeichnis beim Empfänger kann verschwinden - E-Mails sind entweder als-nicht Spam angenommen, oder als Spam an den Absendern zurückgeschickt. Das vermeidet Situationen, wo eine E-Mail fälschlicherweise als Spam ausgewertet wurde (danke KI!), der Absender denkt, dass die Nachricht gelesen wurde, und der Empfänger kommt nicht auf die Idee im Spamverzeichnis oft genug zu schauen.

Diese Software habe ich im Quelltext unter mail.aegee.org/cgit/aegee-milter/ veröffentlicht. Die Software funktioniert sehr zuverlässig, hat aber keine Dokumentation und keiner verwendet sie. Sie kann auch „Feedback-Loop“ bearbeiten: wenn ein Empfänger einer E-Mail bei einem anderen Anbieter diese aus irgendeinem Grund als Spam markiert, senden manche E-Mailanbieter dann eine ARF-Nachricht zum Server des Absenders. Drin steht, welcher Empfänger welche E-Mails als Junk markiert hat. Die o.g. Software entfernt darauf den Empfänger aus dem jeweiligen Mailverteiler und schickt dem Empfänger eine Mitteilung: was und warum passiert ist.

Der Anlass für die Entwicklung dieses Milters war der Betrieb von Mailverteilern, die Spamnachrichten (von aussen) erhalten haben. Diese Spamnachrichten dürften nicht über den Verteiler zugestellt werden, die mussten aber trotzdem irgendwohin, damit auch die false-positive ausgewertete Spam (also Ham) nicht verloren geht. Die empfangenen, unerwünschten Nachrichten mussten auch nicht Spam sein: bei Mailverteilern wo nur Abonnenten schreiben dürfen, mussten alle E-Mails zurückgeschickt werden, wenn die Absenderadresse kein Abonnent der Liste war. Das zurückschicken (bouncen) von E-Mails hat dazu geführt, das der Mailserver in verschiedenen DNS-Blacklisten aufgetaucht ist. Um das zu lösen habe ich Software entwickelt, welche für jeden Mailverteiler ein Sieve-Programm erstellt. Das Sieve-Programm besagt, ob die E-Mail empfangen werden kann oder abgelehnt werden muss. Und das zusammen habe ich dann in Betrieb genommen, so dass E-Mails für Mailverteiler nicht während des SMTP-Dialogs angenommen werden, wenn sie über den Verteiler nicht zugestellt werden, und voilà - der Mailserver kam nicht mehr so oft in DNS-Blacklists, und die anderen über den Server geschickten E-Mails waren mit niedriger Wahrscheinlichkeit als Spam ausgewertet. Das ist nicht so ganz ideal, wie hier beschrieben, weil SMTP Einschränkungen hat, die z.B bei LMTP nicht vorhanden sind. LMTP kann nämlich eine E-Mail für viele Empfänger am Anfang RCTP TO: durchwinken und erst am Ende nach DATA . für jeden Empfänger angeben, ob dieser Adressat die Nachricht empfangen will oder nicht, und SMTP kann das nicht. Die Einzelheiten dazu kann ich gerne erwähnen, diese gehen über eine einfache Bundestag-Bewerbung hinaus.

Da in der Ausschreibung Mailman3 erwähnt wird, erwähne auch, dass ich für Mailman3 ein Plug-in entwickelt habe. Das Plug-in erstellt nach jeder Änderung einer Liste ein Sieve-Programm, welche E-Mails ablehnt, wenn Mailman3 selbst die E-Mails abgelehnt hätte. Außerdem habe ich zu Mailman3 Softwareverbesserungen veröffentlicht, welche bereits in den neuesten Versionen enthalten sind.

So, die letzte Aussage zu Mailverteiler: Ich habe unter mail.aegee.org/stats.html Statistiken veröffentlicht, wie viele E-Mails über verschiedene Mailinglisten pro Jahr verteilt werden und wie viele Abonnenten die Verteiler pro Jahr haben. Die Software für die Erstellung dieser Statistiken habe ich unter ab.bapha.be/posts/20250703/ veröffentlicht. Und dann habe ich bei Mailman3 vorgeschlagen Daten so zu erfassen, dass solche Statistiken auch für Mailman3 erstellt werden können. Vielleicht wird der Änderungsvorschlag dazu unter gitlab.com/mailman/mailman/-/merge_requests/1490 eines Tages reif.

Der Betrieb von Linux-Servern ist keine spektakuläre Sache: apt-get update, Konfigurationsdateien anpassen, Dokumentation lesen, Logs schreiben und lesen, hier Backup machen, da Container erstellen, usw. Ich habe Erfahrung mit dem Betrieb von nginx und Apache HTTPD als HTTP Server, Entwicklung von PHP, Installation von PHP Anwendungen, Betrieb und Entwicklung mit Postgresql und MySQL. Z.B. unter cal.aegee.org habe ich alles selbst gemacht, auch das Aufsetzen eines HTTP Servers und die Bereitstellung von Zertifikaten, aber leider habe ich keine Referenzen von Personen, die das bestätigen können.

Als Monitoring mit Nagios habe ich u.a. diese Kriterien für Warnungen eingeführt:

  • ob Prozesse abgestürzt sind. Abgestürzte Prozesse erstellen eine coredump Datei im Verzeichnis /core und das Verzeichnis kann maximal 1 GB groß werden. Das Problem mit abstürzenden Prozesse ist, dass sie in kürzester Zeit ganz viele coredump Dateien erstellen können, bis es keinen freien Platz mehr auf dem System gibt und daher die 1 GB Einschränkung.
  • ob Prozesse mit bestimmten Namen laufen: php-fpm, slapd, nginx, u.a.
  • Systemlast (/proc/cpuloadavg) ist über 6.
  • Überprüfung ob die verwendeten IP-Adressen zum Versenden von E-Mails in DNS-Blacklists aufgetaucht sind.
  • Anzahl an Prozessen ist über 400.
  • Ob RSA-Zertifikate kurz vor Ablauf sind, z.B. für https://mail.aegee.org, oder mail.aegee.org:25.
  • Ob EC-Zertifikate kurz vor Ablauf sind, wie etwa für die URLs oben. D.h. der gleiche Port bietet sowohl RSA als auch EC-Zertifikate an. EC-Zertifikate erlauben schnelleren Verbindungsaufbau. Bei Open-Source-Software kann man diese Zusatzfunktion relativ einfach programmieren, ich habe diese Funktion bei Cyrus-IMAP implementiert. Der Bundestag-Server mail2.dbtg.de:25 hat nur RSA-Zertifikat.
  • keine E-Mails werden angenommen - Port 25 keine E-Mail annimmt. Das kommt vor, wenn der Server während einer Spamattacke überlastet wird und da hilft es abzuwarten.
  • TLSA Einträge stimmen nicht mit den PKI Zertifikaten überein.

Ich kenne mich mit PKI-Zertifikataustausch über Let’s Encrypt. Ich kann mit Syslog arbeiten, nach Spuren suchen. Für Anti-Viren Software verwende ich ClamAV, wie in der Ausschreibung angegeben, und sogar habe ich Änderungen vorgeschlagen, wie die Software (auf Linux from Scratch) gebaut werden kann: github.com/Cisco-Talos/clamav/issues/1623. Leider sind viele Menschen der Meinung, dass ClamAV nicht so gut ist, wie bezahlte Anti-Virensoftware. Zum Glück ist der Bundestag durch den Unterlassungsanspruch nicht nur ausreichend vor Spam geschützt, der Unterlassungsanspruch schützt auch hervorragend von E-Mailviren!

Bei Ansible habe ich auch Unstimmigkeiten bei der Dokumentation berichtet. Aus dem letzen Satz folgt richtigerweise, dass ich mich Ansible sehr gut auskenne. Eine Referenz mit Telefonnummer in einem Formular hätte nicht zu einer anderen Schlussfolgerung geführt.

Mit git und nftables (ehemals iptables) kenne ich mich auch aus, redis habe ich mal benutzt. Im Bereich Groupware kenne ich in Theorie und Praxis die Protokolle CalDAV, CardDAV, WebDAV, vCard, iCalendar und ich setze als Server Cyrus IMAP ein.

Zu den Kriterien

Ich bin bereit, mich einer SÜ2 zu unterstellen. Ich bewerbe mich als eine Person, die andere Person sucht sich die Vergabestelle aus.

Kriterium: Referenzen zu bestimmten Dienstleistungen

Beschreibung: Angabe von drei geeigneten Referenzen über in den letzten drei Jahren ab Veröffentlichungsdatum erbrachte Leistungen. Die Leistungen müssen vergleichbar sein hinsichtlich der Erbringung von Mailserverbetriebs-Leistungen. Sie können anhand der Kontaktdaten überprüft werden. Bei Angabe von mehr als drei Referenzen sowie bei Angabe der Referenz durch die Präqualifizierungsdatenbank sind die geeigneten Referenzen konkret zu benennen.

Das entspricht Punkt 3.6. im Angebotsvordruck. Ich werde keine Referenzen als Personen nennen.

Es gibt eine Menge Gründe, die das Angeben von Referenzen hindern. Manche Gründe habe ich unter va.bapha.be/posts/20250730/ ausgeführt. Meiner Ansicht nach, nach Beendigung eines Geschäftsverhältnisses im gegenseitigen Einvernehmen (d.h. auf meinem Wunsch) im privaten Sektor erlischt die Möglichkeit zur Kontaktaufnahme (durch Dritte) mit ehemaligen Auftraggebern. Andernfalls müssen ehemalige Auftraggeber in praktisch unzähligen Fällen als Referenzpersonen agieren, als Referenzperson uneingeschränkt oft zu agieren nach Beendigung eines Geschäftsverhältnisses wurde aber nie vereinbart. Das Hyperlink nennt auch andere Gründe, z.B. dass ich gar keine Kontaktdaten horte, damit ich diese als Referenz weitergeben kann.

Kriterium: Anteil der Unterauftragsvergabe

Beschreibung: Eigenerklärung über den Einsatz eines Unterauftragnehmers inklusive Angabe des Anteils am Gesamtauftrag.

Null Prozent.

Kriterium: Berufliche Risikohaftpflichtversicherung

Beschreibung: Betriebshaftpflichtversicherungsnachweis (Deckungssumme mindestens 1.000.000 Euro für Personen und Sachschäden). Im Falle einer Bietergemeinschaft ist der Betriebshaftpflichtversicherungsnachweis jedes Mitgliedes der Bietergemeinschaft vorzulegen.

Wenn ein Vertrag zustande kommt, werde ich eine Betriebshaftpflichtversicherung abschließen.

Kriterium: Andere wirtschaftliche oder finanzielle Anforderungen

Beschreibung: Eigenerklärung über das Nichtvorliegen von Ausschlussgründen nach Punkt 2 des Angebotsvordruckes (erfolgt durch Abgabe des Angebotes).

Die Ausschlussgründe nach Punkt 2 des Angebotsvordruckes liegen nicht vor.

Kriterium: Durchschnittlicher Jahresumsatz

Beschreibung: Eigenerklärung über den Umsatz der letzten drei abgeschlossenen Geschäftsjahre (jährlich mindestens 250.000 Euro netto), soweit er den Tätigkeitsbereich der angebotenen Leistungen betrifft.

Diese Ausschreibungen funktionieren manchmal so: eine Firma nimmt die Ausschreibung und veröffentlicht diese selbst, wie z.B. hier www.freelancermap.de/projekt/spezialist-in-linux-cluster-rspamd-und-postfix-150-pt-remote-freelance vom 27. August. Dann füllt die Firma die Vordrucke aus, schickt sie ab und so nimmt sie am Verfahren teil.

Vor zwei Wochen hat eine andere Firma genau so gemacht, ich habe zwei Tage später die Firma angerufen und mir wurde gesagt, dass die Firma nur zwei Personenprofile vorstellen darf, das habe sie auch mittlerweile gemacht, und deswegen kann sie mich nicht berücksichtigen.

Den geforderten jährlichen Mindestumsatz habe ich nicht, das ist aber Unsinn den Umsatz zu verlangen. Das Kriterium führt nur dazu, dass man sich nicht direkt Bewerben kann, sondern muss an einer größeren Firma bezahlen, damit sich der Willige über die Firma bewirbt, eben damit dieses Kriterium erfüllt wird. Wenn ich der größeren Firma bezahle, dann habe ich kleineren Umsatz und dann erfülle ich das gleiche Kriterium bei einer anderen Ausschreibung wieder nicht.

Außerdem: Erfolg beim Spamabwehr bzw. jede Form von unverlangter Direktwerbung wird gemessen an dem Umsatz, den die Absender der unverlangten Direktwerbung an den Empfängern entrichten. Das von den Empfängern von Direktwerbung (Zwangsarbeitern) bezahlte Mittel zum Spit/Spamabwehr ist unerheblich.

In meinem Leben habe ich etwa fünfhundert Euro von Stellen erhalten, die unverlangter Direktwerbung versenden. Damit übertreffe ich wahrscheinlich alle anderen Bieter.

Kriterium: Eintragung in das Handelsregister

Beschreibung: Eigenerklärung über die Eintragung im Handelsregister beziehungsweise in der Handwerksrolle oder Auszug aus dem Berufsregister.

Wenn ein Vertrag zustande kommt, werde ich nach Deutschland wieder umziehen, eine berufliche Risikohaftpflichtversicherung abschliessen, mich nach UStG beim Finanzamt als Übender freiberufliche Tätigkeit anmelden und ggf. mich im Handelsregister eintragen. Bisher war ich nie im Handelsregister eingetragen.

Der Preis ohne Mehrwertsteuer

Das ganze kostet 1160€ pro normalen Arbeitstag von acht Stunden, der Preis ist verhandelbar. Beauftragte Arbeit außerhalb von Mo-Fr 06:00-19:00 kostet 30% mehr. Skonto gibt es nicht. Die Rufbereitschaft kostet 10 Euro je Stunde.

Die Preise steigen ab 2028 jährlich um die Inflation für das vorletzte Jahr. Zum Beispiel erhöhen sich die Preise für Januar bis Dezember 2029 im Vergleich zu Dezember 2028 um die veröffentlichte Inflation für das Jahr 2027.

Alles inbegriffen

Manche Open-Source-Projekte verlangen als Voraussetzung für die Annahme von Änderungen das Schreiben des Zauberworts Signed-Off-By: emailaddresse. Normalerweise verlange ich für das Schreiben des Zauberworts 50 Cent als Entschädigung für den Aufwand. Wenn ich aber durch meine Arbeit für den Bundestag Patches für solche Open-Source-Projekte erstelle, werde ich auf die 50 Cent verzichten, wenn ich diesen Satz schreibe: “Die Arbeit für das Hinzufügen der nächsten Zeile wird durch den Bundestag finanziert.” ggf. auch in einer anderen Sprache.

Andere Open-Source-Projekte wiederum verlangen als Voraussetzung für die Akzeptanz von Patches (Änderungsvorschläge für Software-Quellcode) die Erstellung von eigenständigen Tickets, das machen etwa OpenLDAP und Mailman3. Privat erstelle ich keine “eigenständige Tickets” für eingereichte Softwareänderungen. Wenn der Bundestag mich bezahlt, werde ich eigenständige Tickets erstellen und dazu schreiben, wer diese Arbeit bezahlt.