1. Warum IT Due Diligence über den Deal entscheidet
Klassische Financial und Legal Due Diligence reichen heute nicht mehr aus. Laut Bain & Company wirken sich IT-Risiken bei 70 % aller mittelständischen M&A-Transaktionen direkt auf den Kaufpreis aus — sei es durch nachzuverhandelnde Garantien, Integrationskosten oder verschwiegene Cyberzwischenfälle.
Die wichtigsten Risikoklassen:
- Lizenz- und Vertragsrisiken: nicht erfasste Subscriptions, ungültige Open-Source-Lizenzen, Auto-Renewals
- Cybersecurity: unentdeckte Vorfälle, fehlende MFA, veraltete Endpunkte
- Technische Schulden: EoL-Systeme, undokumentierte Eigenentwicklungen, Single-Person-Dependencies
- Compliance: DSGVO-Verstöße, fehlende Auftragsverarbeitung, NIS2-Lücken
2. Die 47 Prüfpunkte im Überblick
Wir gliedern die Prüfung in sieben Domänen. Jeder Punkt wird als kritisch, relevant oder informativ klassifiziert.
2.1 Infrastruktur & Architektur (8 Punkte)
- Netzwerk-Topologie und Standorte dokumentiert?
- Cloud vs. On-Prem Anteil — Tenant-Inventur (Microsoft 365, Azure, AWS, GCP)?
- Backup-Strategie nach 3-2-1-Regel umgesetzt?
- Disaster-Recovery-Plan vorhanden und getestet (RTO/RPO)?
- End-of-Life-Systeme im Produktivbetrieb?
- Anzahl und Größe Hyper-V/VMware-Hosts, Storage-Auslastung?
- VPN- und Remote-Access-Lösung (Zero Trust oder klassisch)?
- Monitoring & Observability (SIEM, Logs, Alerting)?
2.2 Lizenzen & Verträge (9 Punkte)
- Microsoft Volumenlizenz oder NCE-Subscriptions — vollständige Lizenzliste?
- Adobe, Atlassian, Salesforce, SAP — aktuelle Vertragsstände?
- Auto-Renewals der nächsten 18 Monate?
- Change-of-Control-Klauseln in IT-Verträgen?
- Open-Source-Komponenten in Eigenentwicklungen (Lizenz-Audit)?
- Hosting- und Domain-Verträge inkl. Eigentümer-Nachweis?
- Telefonie/SIP-Trunks und Mobilfunk-Rahmenverträge?
- SLAs und Vertragsstrafen bei externen Dienstleistern?
- Schatten-IT — nicht autorisierte Subscriptions in Buchhaltung suchen
2.3 Cybersecurity (10 Punkte)
- Multi-Faktor-Authentifizierung flächendeckend aktiv?
- Conditional Access Policies konfiguriert (siehe auch M365 Security Hardening)?
- EDR/XDR im Einsatz (Defender, CrowdStrike, SentinelOne)?
- Patch-Management nach SLA?
- Penetration-Tests in den letzten 24 Monaten?
- Cyber-Versicherung — Deckungssumme und Ausschlüsse?
- Incident-Response-Plan und letzter Vorfall?
- Privileged Access Management (PAM)?
- NIS2-Betroffenheit geprüft?
- Anzahl Admin-Accounts und Rotation?
2.4 Daten & Compliance (6 Punkte)
- Datenklassifizierung vorhanden?
- DSGVO-Auftragsverarbeitungen (AVV) vollständig?
- Verzeichnis der Verarbeitungstätigkeiten aktuell?
- Externer DSB bestellt?
- Datenresidenz (EU vs. US) bei Cloud-Diensten?
- Datenschutz-Folgenabschätzungen für Hochrisikoverarbeitungen?
2.5 Anwendungen & Eigenentwicklungen (7 Punkte)
- Inventar aller Geschäftsanwendungen (Business Capability Map)?
- Eigenentwicklungen — Quellcode-Eigentum geklärt?
- Technologie-Stack und Wartbarkeit?
- Abhängigkeiten von Einzelpersonen (Bus-Factor)?
- Dokumentation & Source-Control?
- Test-Coverage und CI/CD-Reife?
- Roadmap und offene Tech-Debt-Posten?
2.6 Personal & Organisation (4 Punkte)
- IT-Organisation, Headcount, Fluktuation?
- Schlüsselpersonen mit Retention-Risiko?
- Outsourcing-Anteil und Abhängigkeiten?
- Zertifizierungen (ISO 27001, TISAX, ISAE 3402)?
2.7 Integrationsperspektive (3 Punkte)
- Tenant-Migration vs. Multi-Tenant-Setup — Aufwand?
- Identity-Strategie (Entra ID, Federation, B2B)?
- Erwartete TSA-Dauer (Transition Services Agreement)?
3. Typischer Ablauf in der Praxis
Eine vollständige IT Due Diligence dauert bei mittelständischen Targets typischerweise 3 bis 6 Wochen. Wir empfehlen folgenden Ablauf:
- Kick-off & Datenraum-Zugang (Woche 1)
- Dokumentenanalyse — Verträge, Architekturpläne, Inventories (Woche 1–2)
- Management-Interviews mit CIO/CTO, IT-Leiter, Security-Verantwortlichem (Woche 2–3)
- Technische Tiefenprüfung — Tenant-Audits, Lizenzabgleich, Security-Scan (Woche 3–4)
- Red-Flag-Report nach 2 Wochen (Interim), Final-Report mit Bewertung und Integration-Kosten-Schätzung (Woche 4–6)
4. Was Sie heute tun können
Wenn ein konkreter Deal absehbar ist, lohnen sich drei sofortige Vorarbeiten:
- Daten-Hygiene: Eigene Lizenz- und Vertrags-Inventur als Vorbereitung auf Sell-Side-DD
- Security-Baseline: Microsoft 365 Secure Score, MFA-Coverage, EDR-Status dokumentieren
- NIS2-Status: Betroffenheits-Check, da Compliance-Lücken im DD-Prozess Bewertung kosten
Gerne unterstützen wir Sie sowohl auf Buy-Side als auch Sell-Side — mit standardisierten DD-Reports, Red-Flag-Workshops und der Anschluss-Integration.