Bewertungen von Veranstaltungsmanagement-Software: Vergleich von Sicherheit und Compliance für Kongresszentren im öffentlichen Sektor

Wenn eine Fünf-Sterne-Bewertung auf einen Sicherheitsfragebogen trifft

Wenn ein stadteigenes Kongresszentrum seine Auswahl an Plattformen eingrenzt, kann es bei der Überprüfung der IT-Sicherheit schnell zu Meinungsverschiedenheiten kommen. Betriebsleiter, Vertriebsteams und Veranstaltungsortmanager einigen sich häufig auf Finalisten, die auf Vergleichsseiten wie G2 oder Capterra hervorragende Bewertungen erhalten haben. Der Beschaffungsprozess kommt jedoch häufig zum Stillstand, wenn die Sicherheitsabteilung Compliance-Unterlagen anfordert, wie beispielsweise SOC-2-Typ-II-Berichte, PCI-Bescheinigungen, den GovRAMP- oder TX-RAMP-Status, klare Bestimmungen zur Benachrichtigung bei Datenschutzverletzungen und umfassende Pläne zur Datenaufbewahrung. Während Bewertungsplattformen Benutzerfreundlichkeit, Kundensupport und den allgemeinen Nutzen bewerten, hängt die Beschaffung im öffentlichen Sektor von nachprüfbaren Nachweisen ab. Die folgende Bewertung vergleicht Veranstaltungsort-Management-Plattformen anhand der entscheidenden Kriterien, die für Verträge im öffentlichen Sektor maßgeblich sind: unabhängige Bescheinigungen, behördliche Genehmigungen, Zahlungssicherheit, Zugriffskontrollen, Datenverwaltung und vertragliche Verpflichtungen.

Das Wichtigste auf einen Blick

• Bewertungen auf Bewertungsportalen beziehen sich auf Benutzerfreundlichkeit und Support, nicht auf die Sicherheitsnachweise, die im öffentlichen Beschaffungswesen erforderlich sind.
• Ein aktueller SOC-2-Typ-II-Bericht und ein ISO-27001-Zertifikat sind die Grundvoraussetzung, nicht das Alleinstellungsmerkmal.
• Behördliche Cloud-Zulassungen wie GovRAMP und TX-RAMP können je nach Bundesstaat und Vertrag eine unumgängliche Hürde darstellen.
• Der Geltungsbereich des PCI DSS hängt davon ab, ob Kartendaten von Ausstellern und Kunden jemals mit der Veranstaltungsplattform in Berührung kommen.
• Bei den Themen Benachrichtigung bei Datenschutzverletzungen, Aufbewahrungsfristen, Zugriff durch Auftragnehmer und Nutzung von KI-Daten weisen die meisten Anbietervergleiche Lücken auf.

Was Bewertungen von Veranstaltungsmanagement-Software nicht berücksichtigen

Bewertungsplattformen sind in einer Sache gut: Sie zeigen Ihnen, was die täglichen Nutzer denken. Bewertungen auf G2, Capterra, Software Advice, TrustRadius und Gartner Peer Insights spiegeln meist die Benutzerfreundlichkeit, die Qualität des Supports, die Erfahrungen bei der Implementierung und das Preis-Leistungs-Verhältnis wider. Das ist zwar wichtig, aber genau das sind nicht die Fragen, die ein städtischer Rechnungsprüfer stellen wird. Eine Fünf-Sterne-Bewertung sagt Ihnen, dass Terminplaner die Kalenderansicht mögen. Sie sagt Ihnen jedoch nicht, ob der SOC-2-Bericht des Anbieters das Produkt abdeckt, das Sie kaufen, ob Kartendaten jemals auf dessen Servern landen oder wie schnell man Sie nach einer Sicherheitsverletzung benachrichtigt. Dennoch spielen Bewertungen bei einer Bewertung im öffentlichen Sektor nach wie vor eine Rolle. Nutzen Sie sie, um eine lange Liste zu erstellen und wiederkehrende Beschwerden über Support oder Verfügbarkeit zu erkennen. Unterziehen Sie anschließend jeden Finalisten einer evidenzbasierten Prüfung, die auf den Datensicherheits-Compliance-Standards basiert, die Ihre IT-, Finanz- und Rechtspartner bereits anwenden.

Warum für Kongresszentren im öffentlichen Sektor höhere Anforderungen gelten

Öffentliche Trägerschaft verändert die Sicherheitsdiskussion auf eine Weise, mit der private Veranstaltungsorte meist nie konfrontiert sind. Ein Kongresszentrum in öffentlicher Trägerschaft untersteht einer städtischen, kreis- oder landesweiten Behörde, und viele werden im Tagesgeschäft von einer privaten Verwaltungsgesellschaft betrieben, sodass die Plattform gleichzeitig den Betreiber, die IT-Abteilung des Eigentümers und die Beschaffungsvorschriften zufriedenstellen muss. Auch der Datenumfang ist größer, als es auf den ersten Blick erscheint. Eine einzige stadtweite Messe verwaltet Ausstellerverträge, Dienstleistungsaufträge, Zahlungsdetails, Zugangsdaten von Auftragnehmern, VIP-Informationen und Sicherheitspläne, die mit den örtlichen Strafverfolgungsbehörden abgestimmt sind – und das alles über dasselbe System, über das auch die Hallen gebucht werden. Aus diesem Grund birgt das Messemanagement in einem öffentlich-rechtlichen Gebäude ein echtes Datenrisiko.

Hinzu kommt die öffentliche Rechenschaftspflicht. Staatliche Gesetze zur Akteneinsicht können dazu führen, dass Veranstaltungsunterlagen und Korrespondenz mit Anbietern Gegenstand von Auskunftsersuchen werden, Aufbewahrungsfristen legen fest, wie lange Verträge und Rechnungen aufbewahrt werden müssen, und ein Sicherheitsverstoß in einer öffentlichen Einrichtung wird schnell zu einer öffentlichen Angelegenheit. Jede per Karte bezahlte Bestellung eines Ausstellers fällt zudem unter den Geltungsbereich des PCI DSS. Beschaffungsteams müssen die Vergabe möglicherweise auch öffentlich begründen, sodass Bewertungskriterien und Antworten der Anbieter in den öffentlichen Akten landen können. Einfach ausgedrückt: Die von Ihnen gewählte Plattform wird Teil des Risikoprofils der öffentlichen Einrichtung und verdient daher dieselbe genaue Prüfung wie jeder andere Teil der staatlichen IT.

Die Compliance-Rahmenwerke, die als Kontrollinstanzen im Beschaffungswesen fungieren

Die meisten Sicherheitsüberprüfungen im öffentlichen Sektor lassen sich auf eine Handvoll Rahmenwerke zurückführen, und wenn Sie wissen, welche davon für Ihre Einrichtung verbindlich sind, bleibt die Liste der Anforderungen korrekt.

SOC 2 Typ II

• Ein SOC-2-Bericht vom Typ II ist ein Gutachten eines unabhängigen Wirtschaftsprüfers darüber, ob die Kontrollmechanismen eines Anbieters über einen bestimmten Zeitraum – in der Regel sechs bis zwölf Monate – tatsächlich funktioniert haben. Ein Bericht vom Typ I bezieht sich hingegen nur auf einen bestimmten Zeitpunkt.
• Fordern Sie den vollständigen Bericht unter einer Geheimhaltungsvereinbarung an, vergewissern Sie sich, dass das von Ihnen erworbene Produkt und die Hosting-Umgebung im Prüfungsumfang enthalten sind, und beantragen Sie ein Überbrückungsschreiben, falls der Prüfungszeitraum bereits vor mehreren Monaten abgelaufen ist.

ISO 27001 und zugehörige Normen

• Die Zertifizierung nach ISO/IEC 27001 bestätigt, dass ein Anbieter ein verwaltetes Informationssicherheitsprogramm betreibt, das jährliche Überwachungsaudits sowie alle drei Jahre eine vollständige Rezertifizierung umfasst.
• Die Norm ISO 27701 erweitert dieses Programm auf den Datenschutz, und ISO/IEC 42001 ist die neuere Norm für KI-Managementsysteme, was von Bedeutung ist, wenn die Plattform KI-Assistenten oder Prognosefunktionen umfasst.

PCI DSS

• Wenn die Plattform Kartenzahlungen für Ausstellerleistungen, Anzahlungen oder Eintrittskarten entgegennimmt, gilt der PCI DSS. Die Version 4.0.1 ist der aktuelle Standard, und die darin enthaltenen, für die Zukunft geltenden Anforderungen sind am 31. März 2025 verbindlich in Kraft getreten.
• Erkundigen Sie sich, ob der Anbieter oder dessen Auftragsverarbeiter ein PCI-Level-1-Dienstleister ist, ob Karteninhaberdaten jemals auf der Veranstaltungsplattform gespeichert werden und welchen Selbstbewertungsfragebogen (SAQ) Ihr Finanzteam ausfüllen wird. Zuverlässige Zahlungslösungen für Veranstaltungsorte und Events halten diesen Umfang so gering wie möglich.

Genehmigungen für Regierungs-Clouds

• FedRAMP genehmigt Cloud-Dienste für Bundesbehörden, und für ein Kongresszentrum im Besitz einer Stadt oder eines Landkreises ist dies selten eine Voraussetzung.
• GovRAMP (ehemals StateRAMP, 2025 umbenannt) ist die Zulassung, die viele Landes- und Kommunalverwaltungen stattdessen verwenden. In Texas ist für Cloud-Dienste, die von staatlichen Behörden und öffentlichen Universitäten genutzt werden, eine TX-RAMP-Zertifizierung erforderlich. Prüfen Sie daher die Vorschriften Ihres jeweiligen Bundesstaates, bevor Sie eine der beiden Zulassungen als optional betrachten.

Barrierefreiheit

• Die ADA-Vorschrift gemäß Titel II des Justizministeriums schreibt vor, dass Webinhalte und mobile Apps von staatlichen und kommunalen Behörden den WCAG 2.1 Level AA entsprechen müssen. Durch eine vorläufige endgültige Vorschrift vom April 2026 wurde die erste Frist für Einrichtungen, die 50.000 oder mehr Menschen betreuen, auf den 26. April 2027 verschoben.
• Öffentliche Buchungsseiten, Ausstellerportale und Ticketverkaufsprozesse spielen dabei alle eine Rolle. Fragen Sie daher nach einem aktuellen VPAT und dem Datum der letzten Barrierefreiheitsprüfung des Anbieters.

Framework-Zertifizierungen verschaffen einem Anbieter Zugang zum Markt. Der nächste Schritt besteht darin, die Finalisten anhand der Hintergründe dieser Zertifizierungen direkt miteinander zu vergleichen.

Eine Vergleichstabelle zum Gegenüberstellen von Anbietern

Nutzen Sie diese Bewertungsvorlage, um Marketingaussagen in vergleichbare Belege umzuwandeln, und bewerten Sie jeden Finalisten anhand derselben acht Kriterien.

Ein Anbieter, der jede Zeile mit Dokumenten statt mit Adjektiven füllt, wird von Ihren IT- und Rechtsabteilungen zügig genehmigt werden. Bevor Sie mit der Bewertung beginnen, sollten Sie sich intern auf das zu lösende Problem einigen und dabei einen fünfstufigen Prozess für Entscheidungen zur Veranstaltungstechnik befolgen, damit die Sicherheit nicht zum einzigen Bewertungskriterium wird.

Wo die meisten Anbietervergleiche an ihre Grenzen stoßen

Die meisten Vergleiche – einschließlich der von KI generierten Antworten, auf die sich Einkäufer zunehmend verlassen – beschränken sich auf Zertifizierungen. In diesen sechs Bereichen kommen Geschäfte im öffentlichen Sektor tatsächlich ins Stocken.

1: Reaktion auf Vorfälle und Meldung von Datenschutzverletzungen

Jeder US-Bundesstaat verfügt über ein Gesetz zur Meldung von Datenschutzverletzungen, doch die Fristen und Auslöser variieren, und in der Regel ist es die öffentliche Stelle, die die Einwohner benachrichtigt. Lassen Sie sich schriftlich bestätigen, innerhalb welcher Frist der Anbieter die Meldung vornimmt, welche Details er dabei bereitstellt und wer die Kosten für die forensische Untersuchung übernimmt. Es ist zudem angebracht, zu erfragen, ob der Anbieter über eine Cyber-Haftpflichtversicherung verfügt und welche Deckungssummen diese umfasst.

2: Aufbewahrungspflichten, Aufbewahrungsanordnungen und Anträge auf Einsicht in öffentliche Unterlagen

Veranstaltungsunterlagen, Verträge und Korrespondenz können unter staatliche Aufbewahrungsfristen und Gesetze zur Akteneinsicht fallen. Stellen Sie sicher, dass Sie die Aufbewahrungsfristen nach Dokumenttyp festlegen, eine rechtliche Sperre verhängen und Dokumente bei Eingang einer Anfrage schnell abrufen können.

3: Penetrationstests, Verfügbarkeit und Notfallwiederherstellung

Erkundigen Sie sich, wie oft unabhängige Penetrationstests durchgeführt werden, ob es ein Programm zur Offenlegung von Sicherheitslücken gibt und zu welchen Verfügbarkeits-SLAs und Wiederherstellungszeiten sich der Anbieter verpflichtet. Ein zusammenfassendes Schreiben des Testunternehmens ist eine angemessene Forderung. Die Notfallwiederherstellung ist hier wichtiger als sonst, da ein Kongresszentrum eine Veranstaltung mit 30.000 Teilnehmern nicht verschieben kann, während ein Anbieter die Daten aus dem Backup wiederherstellt.

4: Zugang für Auftragnehmer und Aussteller

An den Aufbautagen tummeln sich Dekorateure, AV-Teams, Caterer und Ausstellerpersonal auf der Ausstellungsfläche – und manchmal auch in Ihren Systemen. Achten Sie auf eine Messeaussteller-Software, die einen klar definierten, zeitlich begrenzten Portalzugang bietet und nach Messeschluss eine schnelle Deaktivierung ermöglicht. Auftragnehmerkonten, die für eine einzelne Messe angelegt wurden, bleiben oft jahrelang aktiv.

5: Operative Sicherheit am Veranstaltungstag

Sicherheit endet nicht beim Anmeldebildschirm. Vorfallprotokolle, Probleme mit Zugangsdaten und Menschenmassenprobleme an Veranstaltungstagen gehören in ein System mit Zugriffskontrollen und einem Prüfpfad, wie es jeder solide Plan für die Sicherheit bei Veranstaltungen empfiehlt – und nicht in eine Gruppen-SMS.

6: Datenverwaltung für KI-Funktionen

Da die Integration von KI in Event-Tools mittlerweile zum Standard wird, sollten Sie sich fragen, welche Buchungs-, Kunden- und Finanzdaten von den KI-Funktionen genutzt werden, ob damit Modelle trainiert werden, wo die Verarbeitung stattfindet und ob Sie die KI für bestimmte Daten deaktivieren können. KI, die Angebote entwirft oder die Nachfrage prognostiziert, ist nützlich – aber nur, wenn die Datenregeln schriftlich festgehalten sind.

Fragen, die Sie stellen sollten, bevor Sie eine Vorauswahl treffen

Vertragstexte haben mehr Gewicht als eine Verkaufspräsentation. Nehmen Sie diese Fragen daher in Ihre Ausschreibung auf und bewerten Sie die schriftlichen Antworten.

1: Können Sie uns Ihren aktuellen SOC-2-Typ-II-Bericht und Ihr ISO-27001-Zertifikat zur Verfügung stellen?

Vergewissern Sie sich, dass der Umfang genau dem im Angebot genannten Produkt und der dort genannten Umgebung entspricht. Ein abgelaufener Bericht oder ein Bericht, der sich auf eine andere Produktlinie bezieht, wird nicht berücksichtigt.

2: Über welche behördlichen Genehmigungen verfügen Sie, und können wir diese überprüfen?

Sowohl GovRAMP als auch TX-RAMP veröffentlichen Listen mit zugelassenen Produkten; überprüfen Sie die Liste daher bitte selbst.

3: Gelangen Karteninhaberdaten jemals auf Ihre Plattform?

Die Antwort bestimmt den Umfang Ihrer PCI-Verpflichtung und welche SAQ Sie einreichen müssen. Lautet die Antwort „nie“, verlangen Sie als Nachweis die Bescheinigung des Zahlungsabwicklers.

4: Wie lauten Ihre Bestimmungen zur Benachrichtigung bei Datenschutzverletzungen?

Achten Sie auf ein konkretes Zeitfenster in Stunden, das im Vertrag festgelegt ist. 72 Stunden sind ein gängiger Richtwert, der aus der DSGVO übernommen wurde.

5: Wie funktionieren Aufbewahrungspflichten, rechtliche Aufbewahrungsanordnungen und der Datenexport?

Bitten Sie darum, in der Demo einen vollständigen Export zu sehen, nicht nur eine Beschreibung davon.

6: Für welche Sicherheitsmerkmale fallen zusätzliche Kosten an?

SSO, der Export von Audit-Protokollen, Sandbox-Umgebungen und eine verlängerte Protokollaufbewahrungsdauer sind mitunter Zusatzleistungen; klären Sie daher deren Preise vor der Auftragsvergabe ab.

Hier ist ein kurzer Mustertext, den Sie anpassen können:

„Der Anbieter hat den Kunden innerhalb von [72] Stunden nach Feststellung eines Sicherheitsvorfalls, der Kundendaten betrifft, schriftlich zu benachrichtigen und ihm die Informationen zur Verfügung zu stellen, die der Kunde zur Erfüllung seiner gesetzlichen Meldepflichten in angemessener Weise benötigt.“

Lassen Sie den Wortlaut aller Klauseln von Ihrem Stadt- oder Kreisrechtsberater prüfen, bevor Sie diese verwenden.

Sicherheitsprüfungen enden nicht mit der Auftragsvergabe

Anbieter erneuern Audits, wechseln Unterauftragsverarbeiter und stellen neue KI-Funktionen bereit, nachdem der Vertrag unterzeichnet wurde; bauen Sie daher fortlaufende Überprüfungen in die Vereinbarung ein. Fordern Sie jedes Jahr den aktualisierten SOC-2-Bericht sowie etwaige Überbrückungsschreiben an. Verlangen Sie eine Benachrichtigung vor wesentlichen Änderungen am Hosting oder bei den Unterauftragsverarbeitern und vergewissern Sie sich, dass der GovRAMP- oder TX-RAMP-Status aktuell bleibt, da Zulassungen verfallen können. Testen Sie auch den Ausstiegsprozess. Führen Sie vor der Vertragsverlängerung einen Testexport durch, um sicherzustellen, dass die Datensätze vollständig und nutzbar exportiert werden – nach denselben Grundsätzen, die auch für Anforderungen an den Datenaufbewahrungsort gelten, da öffentliche Aufträge neu ausgeschrieben werden. Beauftragen Sie auf Ihrer Seite einen Verantwortlichen, der diese Termine im Blick behält, damit Vertragsverlängerungen das Team nicht unvorbereitet treffen.

Wie Momentus Kongresszentren im öffentlichen Sektor unterstützt

Jeder der oben genannten Abschnitte verweist auf denselben Konflikt. Die Teams der Kongresszentren wünschen sich eine einzige Plattform für Vertrieb, Buchung, Ausstellerservice, Betrieb und Zahlungen, während ihre öffentlichen Träger den Nachweis benötigen, dass diese Plattform denselben Anforderungen entspricht wie jedes andere staatliche System. Allzu oft finden sich diese Nachweise in verstreuten E-Mails und veralteten PDF-Dateien, und die Sicherheitsprüfung wird zur längsten Phase des Projekts. Was wir immer wieder von den Teams öffentlicher Veranstaltungsorte hören, ist, dass sie der IT-Abteilung lieber gleich am ersten Tag ein vollständiges Nachweispaket übergeben würden, als Fragebögen Zeile für Zeile zu beantworten.

Das ist der Gedanke hinter „Momentus“ für Kongresszentren, das auf Momentus Enterprise. Momentus ist nach SOC 2 Typ 2 und ISO 27001:2022 zertifiziert, und seine KI-Produkte, MomentusMAX und Ask Mo, sind durch die ISO/IEC 42001-Zertifizierung abgedeckt. Kunden wählen aus AWS-Regionen in den Vereinigten Staaten, Kanada, Europa, Australien und Singapur aus, wo ihre Daten gehostet werden sollen, wobei Backups in derselben Region gespeichert werden. Momentus Payments ist PCI-Level-1-konform und speichert Karteninhaber- und Bankkontodaten überhaupt nicht auf der Plattform; Momentus WeTrack stellt den Teams am Veranstaltungstag ein überprüfbares Protokoll der Vorfälle zur Verfügung. Zertifikate und Dokumentation finden sich im Momentus Trust Center, und unser „Defense-in-Depth“-Ansatz erläutert, wie die einzelnen Schichten zusammenwirken.

Momentus wurde 1985 gegründet und betreut mehr als 90.000 Nutzer in über 57 Ländern, darunter mehr als 550 Kongresszentren. Veranstaltungsmanagement-Software sollte die öffentliche Rechenschaftspflicht erleichtern, nicht erschweren. Eine richtig konzipierte Software für das Veranstaltungsortmanagement verbindet intuitive Technologie mit datengestützten Lösungen und verschafft Ihnen einen klaren Überblick über die Vergangenheit, Gegenwart und Zukunft jedes Veranstaltungsortes – mit den Nachweisen, die Sie für Ihre Sicherheitsüberprüfung benötigen, noch bevor jemand danach fragt.

Demo buchen

‍