IT-Due-Diligence: So sicherst du deinen Unternehmenskauf technologisch ab
In der M&A-Praxis dreht sich meist alles um Erlöse, Churn-Raten und Synergien. Die IT wird dabei oft als selbstverständlich hingenommen. Das ist ein Fehler. Die IT ist das Fundament, auf dem Prozesse, Datensicherheit und Zukunftsfähigkeit stehen.
In der Realität finden sich hinter glänzenden Fassaden oft veraltete Serverräume, marode Datenbanken und Firewalls auf dem Stand von vor zehn Jahren. Die IT bleibt so lange unauffällig, bis sie den gesamten Deal gefährdet. Eine gründliche IT-Risikoprüfung vor der Akquisition ist deshalb kein Extra, sondern eine Pflichtaufgabe. Auch der Dachverband Deutscher Unternehmensberater (BDU) warnt klar: Eine oberflächliche „Red Flag Due Diligence“ reicht heute nicht mehr aus, um die Risiken einer Transaktion realistisch einzuschätzen.
Was ist IT-Due-Diligence?
IT-Due-Diligence ist die systematische technische Prüfung eines Unternehmens im Rahmen einer geplanten Übernahme. Ziel ist es, die IT-Infrastruktur, die Softwarelandschaft und die zugehörigen Prozesse objektiv zu bewerten. Es handelt sich dabei nicht um eine einfache Bestandsaufnahme, sondern um eine Analyse zur Identifikation von Risiken, Schwachstellen und versteckten Kosten.
Die Prüfung konzentriert sich auf folgende Kernpunkte:
Infrastruktur und Sicherheit: Bewertung von Hardware, Netzwerken und Cloud-Umgebungen sowie die Analyse der Cybersicherheit und der Einhaltung von Datenschutzvorgaben.
Software und Lizenzen: Prüfung der eingesetzten Applikationen auf technische Aktualität, Wartbarkeit und rechtssichere Lizenzierung.
Organisation und Personal: Analyse der IT-Abteilung, der Abhängigkeit von einzelnen Wissensträgern und der Qualität externer Dienstleisterverträge.
Zukunftsfähigkeit: Bewertung, ob die IT-Systeme das geplante Wachstum technisch unterstützen können oder ob teure Neuentwicklungen nötig sind.
Finanzielle Verpflichtungen: Transparenz über laufende Betriebskosten und notwendige Investitionen (Investitionsstau).
Das Ergebnis der IT-Due-Diligence liefert die notwendige Faktenbasis für die Kaufpreisverhandlung und die spätere Integration der IT-Systeme. Wer hier auf eine detaillierte Prüfung verzichtet, übernimmt unkalkulierbare technische Schulden.
IT-Risiken, die oft übersehen werden
Die größten Gefahren einer Akquisition sind für Außenstehende oft unsichtbar. Selbst das interne IT-Team des Zielunternehmens erkennt Schwachstellen häufig nicht, weil die Betriebsblindheit dominiert. Die Liste der Risiken ist lang:
Veraltete Software und Lizenzen: Fehlende Programmlizenzen oder Software, die keine Sicherheitsupdates mehr erhält, führen zu rechtlichen und technischen Problemen.
Fehlende Dokumentation: Oft hängen zentrale Systeme an Schnittstellen, die niemand dokumentiert hat. Verlässt der verantwortliche Entwickler das Unternehmen, ist das System kaum noch wartbar.
Ungeklärte Zuständigkeiten: Wenn die IT über Jahre zur Spielwiese verschiedener Dienstleister wurde, entstehen unübersichtliche Strukturen ohne klare Verantwortlichkeiten.
Datenschutz und Cloud-Risiken: Ungeprüfte Cloud-Verträge oder Verstöße gegen die DSGVO können nach der Übernahme teure Bußgelder nach sich ziehen.
Wer diese Altlasten ungeprüft übernimmt, zahlt später für die Fehler der Vergangenheit. Gerade in regulierten Branchen gefährden solche Mängel nicht nur das Budget, sondern auch die Reputation.
Ablauf einer professionellen IT-Prüfung
Eine strukturierte IT-Due-Diligence folgt einem klaren Prozess. Zuerst analysieren Experten alle verfügbaren Dokumente zur Systemlandschaft. Da diese Unterlagen selten vollständig oder aktuell sind, folgen im zweiten Schritt Interviews mit den IT-Verantwortlichen.
Die Analyse deckt sechs wesentliche Kernbereiche ab:
IT-Strategie: Passt die IT zur Ausrichtung des Geschäfts?
Personal: Gibt es Abhängigkeiten von einzelnen Mitarbeitern?
Applikationen: Arbeiten die Anwendungen effizient und stabil?
Infrastruktur: Wie ist der Zustand von Servern, Netzwerken und Rechenzentren?
Prozesse: Funktionieren Entwicklung und Support reibungslos?
Finanzen: Welche versteckten Kosten oder Einsparungspotenziale existieren?
Am Ende steht der Due-Diligence-Report. Er dient als objektive Entscheidungsgrundlage für die Akquisition und zeigt konkret auf, wo nachgebessert werden muss.
Best Practices: Erfahrung schlägt Checkliste
Eine rein listenbasierte Prüfung reicht nicht aus. Echte Risiken zeigen sich oft erst im direkten Dialog und durch eine gesunde Skepsis gegenüber „perfekten“ Antworten.
Ein erfahrener Prüfer stellt Fragen, die nicht auf Standardlisten stehen: Wann wurde der letzte Notfalltest unter Realbedingungen durchgeführt? Wie lange dauert die Wiederherstellung der Systeme nach einem Totalausfall? Solche Fragen legen den tatsächlichen Reifegrad der IT offen.
Zudem darf der Report nach Vertragsunterzeichnung nicht im Archiv verschwinden. Eine erfolgreiche Integration (Post-Merger-Integration) gelingt nur, wenn die Ergebnisse der Prüfung konsequent abgearbeitet werden.
Fazit: IT-Prüfung als strategischer Vorteil
Kein Unternehmenskauf ist ohne Risiko, aber die IT sollte kein unkalkulierbarer Faktor sein. IT-Due-Diligence ist oft mühsam und deckt unangenehme Wahrheiten auf. Genau darin liegt ihr Wert: Sie schafft Transparenz.
Wer die IT-Landschaft vor dem Kauf gründlich analysiert, minimiert finanzielle Risiken und schafft die Basis, um die Technik nach der Übernahme als echten Werttreiber zu nutzen. Entschlossenheit bei der Prüfung zahlt sich langfristig aus.
Messbare Sicherheit statt theoretischer Konzepte (Für Kunden)
Eine IT-Due-Diligence deckt die Lücken auf – wir schließen sie. Sicherheit bei einer Firmenübernahme darf nicht bei der Software aufhören. Wir prüfen Ihre gesamte Infrastruktur, inklusive Drucker und Endgeräte, auf Herz und Nieren.
Wir liefern keine vagen Empfehlungen, sondern messbare Fakten und direkt umsetzbare Lösungen für eine robuste Architektur, die Angreifern keine Chance lässt.
Werden Sie Teil unseres Expertenteams (Für IT-Talente)
Die IT-Landschaften, die wir bei Akquisitionen und Sicherheitsprüfungen analysieren, sind komplex. Deshalb suchen wir keine Mitarbeiter, die starr Checklisten abarbeiten, sondern kluge Köpfe mit einem pragmatischen Ansatz.
Haben Sie Lust, IT-Infrastrukturen wirklich zu durchleuchten, Schwachstellen in der Hardware zu finden und Sicherheit auf das nächste Level zu heben? Wenn Sie den nötigen Biss haben und abseits von Standard-Audits echte Strategien gegen moderne Bedrohungen entwickeln wollen, sollten wir uns kennenlernen.
Weiterführende Links:
IT-Beratung | IT-Betreuung | IT-Sicherheit | IT-Basisprüfung | IT-Infrastrukturanalyse | ISO 27001
