1. Einleitung
Bei einem Unternehmenskauf werden nicht nur Kundenbeziehungen, Mitarbeitende, Verträge und Vermögenswerte übernommen. Auch die bestehende IT-Landschaft geht mit ihren Stärken, Abhängigkeiten und technischen Altlasten in die Transaktion ein. Eine IT Due Diligence soll deshalb vor dem Abschluss sichtbar machen, welche IT-Risiken, Investitionen und Integrationsaufgaben mit dem Zielunternehmen verbunden sind.
Problematisch sind dabei nicht nur offensichtlich veraltete Server oder fehlende Sicherheitsupdates. Relevante Risiken können auch in undokumentierten Schnittstellen, Eigenentwicklungen ohne ausreichendes Wissen im Unternehmen, kritischen Cloud-Abhängigkeiten, unklaren Lizenzsituationen, schwachen Notfallprozessen oder einer starken Abhängigkeit von einzelnen Mitarbeitenden und Dienstleistern liegen.
Eine gute IT-Due-Diligence beantwortet deshalb nicht nur die Frage, ob die Technik heute funktioniert. Sie untersucht auch, wie stabil der Betrieb organisiert ist, welche Investitionen nach einer Übernahme erforderlich werden könnten und wie gut sich die IT in die geplante Zielstruktur integrieren lässt.
2. Kurzantwort
Eine IT Due Diligence ist die strukturierte Prüfung der IT eines Zielunternehmens vor einer Übernahme oder Beteiligung. Analysiert werden unter anderem IT-Strategie, Anwendungen, Infrastruktur, Informationssicherheit, Organisation, Dienstleister, Verträge, Kosten und technische Abhängigkeiten. Ziel ist es, wesentliche Risiken, Investitionsbedarf und Integrationsaufwand vor der Transaktionsentscheidung möglichst transparent zu machen.
3. Was Sie dazu wissen sollten
Was ist eine IT Due Diligence?
IT Due Diligence bezeichnet die gezielte Untersuchung der Informationstechnologie eines Unternehmens im Rahmen einer Transaktion. Dabei wird bewertet, wie die bestehende IT das Geschäftsmodell unterstützt, welche Risiken bestehen und welche technischen oder organisatorischen Maßnahmen nach einer Übernahme erforderlich sein könnten.
Die Prüfung ist damit mehr als eine Inventarliste von Servern und Software. Entscheidend ist die Verbindung zwischen Technik und Geschäft: Welche Systeme sind für Umsatz, Produktion oder Kundenbetreuung kritisch? Welche Anwendungen können kurzfristig ersetzt werden? Welche Abhängigkeiten würden bei einem Ausfall oder beim Weggang eines Schlüsselmitarbeiters zum Problem?
Was wird bei einer IT Due Diligence geprüft?
Der genaue Umfang hängt vom Zielunternehmen, der Transaktion, der verfügbaren Zeit und dem Informationszugang ab. Typische Prüfbereiche sind:
- IT-Strategie und Architektur: Passt die technische Ausrichtung zum Geschäftsmodell und zur geplanten Entwicklung des Unternehmens?
- Anwendungslandschaft: Welche ERP-, CRM-, Produktions-, Finanz- und Fachanwendungen sind geschäftskritisch und wie stark sind sie miteinander verbunden?
- Infrastruktur: Wie sind Server, Endgeräte, Netzwerke, Rechenzentren, Cloud-Dienste und weitere Plattformen aufgebaut?
- Informationssicherheit: Wie werden Identitäten, privilegierte Zugänge, Endpunkte, Netzwerke, Schwachstellen, Updates und Sicherheitsvorfälle behandelt?
- Backup und Notfallvorsorge: Existieren belastbare Sicherungs-, Wiederherstellungs- und Notfallprozesse und werden diese tatsächlich getestet?
- Organisation und Personal: Gibt es Schlüsselpersonen, Wissensmonopole, personelle Engpässe oder starke Abhängigkeiten von externen Dienstleistern?
- Verträge und Lizenzen: Welche Software-, Cloud-, Wartungs- und Dienstleistungsverträge bestehen und welche Bedingungen müssen im Rahmen der Transaktion geprüft werden?
- IT-Kosten: Welche laufenden Kosten, Vertragsbindungen, Investitionsbedarfe und absehbaren Erneuerungsmaßnahmen bestehen?
- Integration und Separation: Welche Systeme müssen nach dem Deal zusammengeführt, migriert oder bei einem Carve-out voneinander getrennt werden?
Welche IT Red Flags sind bei einem Unternehmenskauf wichtig?
Eine Red Flag ist ein Sachverhalt, der für Kaufentscheidung, Kaufpreis, Vertragsgestaltung oder Integrationsplanung relevant werden kann. Nicht jede Auffälligkeit ist automatisch ein Dealbreaker. Entscheidend sind ihre möglichen Auswirkungen und der Aufwand für die Behebung.
Typische Hinweise sind beispielsweise nicht mehr unterstützte Kernsysteme, fehlende Dokumentation, unbekannte Administratorzugänge, ungetestete Datensicherungen, starke Abhängigkeit von einer einzelnen Person, nicht nachvollziehbare Eigenentwicklungen oder Verträge, deren Fortführung nach einer Transaktion zunächst geklärt werden muss.
Auch eine sehr heterogene Systemlandschaft kann relevant sein. Wenn beispielsweise mehrere ERP-Systeme, Identitätsplattformen oder Cloud-Umgebungen nach dem Kauf vereinheitlicht werden sollen, entstehen daraus technische Projekte und potenzielle Folgekosten, die in der Transaktionsplanung berücksichtigt werden sollten.
Welche Rolle spielt Informationssicherheit?
Informationssicherheit ist ein zentraler Prüfbereich, aber nicht der einzige. Eine IT-Due-Diligence sollte untersuchen, ob grundlegende Sicherheitsprozesse vorhanden sind und wie konsequent sie tatsächlich betrieben werden.
Dazu gehören unter anderem Benutzer- und Berechtigungsmanagement, privilegierte Konten, Patch- und Schwachstellenmanagement, Endpunktschutz, Netzwerkarchitektur, Protokollierung, Datensicherung, Wiederherstellung sowie der Umgang mit Sicherheitsvorfällen. Als strukturierte Orientierung für unterschiedliche Bereiche der Informationssicherheit können beispielsweise die Bausteine des BSI IT-Grundschutzes dienen.
Eine IT-Due-Diligence ist jedoch nicht automatisch ein vollständiges Informationssicherheitsaudit und ersetzt auch keinen Penetrationstest. Je nach Risikoprofil können vertiefende technische Untersuchungen zusätzlich sinnvoll sein.
Warum sind Eigenentwicklungen und Schnittstellen besonders wichtig?
Selbst entwickelte Software kann für ein Unternehmen einen erheblichen operativen Wert haben. Gleichzeitig entstehen Risiken, wenn Quellcode, Dokumentation, Entwicklungsprozesse oder Zuständigkeiten nicht ausreichend nachvollziehbar sind.
Ähnliches gilt für Schnittstellen. Viele Geschäftsprozesse funktionieren nur, weil Anwendungen Daten miteinander austauschen. Fehlt eine aktuelle Übersicht dieser Verbindungen, können Systemmigrationen oder Integrationen nach einer Übernahme erheblich schwieriger werden.
Bei Eigenentwicklungen sollten deshalb neben der technischen Qualität auch Abhängigkeiten von Personen, externen Entwicklern, eingesetzten Komponenten und vorhandener Dokumentation betrachtet werden. Rechtliche Fragen zu Nutzungs- und Verwertungsrechten sollten durch die dafür zuständigen Fachberater geprüft werden.
Welche Rolle spielen Softwarelizenzen und Cloud-Verträge?
Software- und Cloud-Verträge können erhebliche Auswirkungen auf den späteren IT-Betrieb haben. Bei einer Transaktion sollte deshalb geklärt werden, welche Leistungen genutzt werden, welche Laufzeiten und Kündigungsbedingungen bestehen und ob besondere Regelungen für Änderungen der Unternehmensstruktur relevant sind.
Auch Unterauftragnehmer, Datenstandorte, Service-Level, Supportbedingungen und technische Abhängigkeiten können für die Bewertung wichtig sein. Ob ein Vertrag übertragen oder nach einer Transaktion unverändert fortgeführt werden kann, ist eine rechtliche Vertragsfrage und sollte nicht ausschließlich technisch bewertet werden.
Was ist beim Datenschutz zu beachten?
Eine IT-Due-Diligence kann auch Informationen über Systeme enthalten, in denen personenbezogene Daten verarbeitet werden. Bereits während der Prüfung muss deshalb berücksichtigt werden, welche Informationen im Datenraum oder in Interviews tatsächlich benötigt werden und wer darauf zugreifen darf.
Bei der Bewertung der Ziel-IT können unter anderem Auftragsverarbeitungen, Datenflüsse, Cloud-Dienste, Zugriffsberechtigungen, Löschprozesse und internationale Datenübermittlungen relevant werden. Die datenschutzrechtliche Bewertung sollte durch entsprechend qualifizierte Stellen erfolgen; die technische IT-Due-Diligence ersetzt keine Rechtsberatung.
Was ist der Unterschied zwischen IT Due Diligence, IT-Audit und Penetrationstest?
Eine IT Due Diligence betrachtet die IT im Kontext einer Unternehmenstransaktion und konzentriert sich auf Risiken, Wertbeiträge, Investitionsbedarf und Integrationsfähigkeit. Ein IT-Audit prüft dagegen typischerweise definierte Anforderungen, Kontrollen oder Standards. Ein Penetrationstest untersucht technisch, ob bestimmte Systeme oder Anwendungen praktisch angreifbar sind.
Die Verfahren können sich ergänzen. Erkennt eine IT-Due-Diligence beispielsweise ein erhöhtes Risiko bei einem besonders wichtigen extern erreichbaren System, kann eine vertiefende technische Untersuchung als zusätzlicher Prüfbaustein sinnvoll sein.
4. Schritt für Schritt
- Transaktionsziel verstehen: Klären Sie zunächst, was mit dem Kauf erreicht werden soll und welche Rolle die IT nach der Übernahme spielen wird.
- Prüfungsumfang festlegen: Definieren Sie anhand von Größe, Geschäftsmodell und Risikoprofil, welche IT-Bereiche besonders intensiv untersucht werden müssen.
- Unterlagen anfordern: Sammeln Sie Architekturübersichten, Systeminventare, Verträge, Kosteninformationen, Sicherheitsdokumentationen, Notfallpläne und weitere relevante Nachweise.
- Dokumente auf Konsistenz prüfen: Vergleichen Sie vorhandene Dokumentationen miteinander und markieren Sie fehlende, veraltete oder widersprüchliche Angaben.
- Verantwortliche interviewen: Sprechen Sie mit IT-Leitung, Administratoren und relevanten Fachbereichen, um Abhängigkeiten und tatsächliche Betriebsabläufe zu verstehen.
- Technische Kernbereiche bewerten: Analysieren Sie Infrastruktur, Anwendungen, Identitäten, Sicherheit, Backups, Schnittstellen und externe Dienste.
- Verträge und Kosten einbeziehen: Erfassen Sie laufende IT-Kosten, Lizenzmodelle, Dienstleisterbindungen und absehbare Investitionen.
- Red Flags priorisieren: Bewerten Sie Auffälligkeiten nach möglicher Geschäftsauswirkung, Eintrittswahrscheinlichkeit, Behebungsaufwand und zeitlicher Dringlichkeit.
- Integrationsbedarf abschätzen: Legen Sie fest, welche Systeme übernommen, konsolidiert, ersetzt, migriert oder getrennt werden müssen.
- Ergebnisse in Maßnahmen übersetzen: Dokumentieren Sie wesentliche Risiken, offene Punkte und priorisierte Maßnahmen für Transaktionsentscheidung und Post-Merger-Phase.
5. Checkliste
- Liegt ein aktuelles Inventar der geschäftskritischen Systeme und Anwendungen vor?
- Sind wichtige Datenflüsse, Schnittstellen und technische Abhängigkeiten nachvollziehbar dokumentiert?
- Sind Betriebssysteme, Anwendungen und Infrastruktur noch unterstützt und sinnvoll wartbar?
- Sind administrative Konten, Rollen und privilegierte Zugriffsrechte nachvollziehbar geregelt?
- Existieren getestete Backup-, Wiederherstellungs- und Notfallprozesse?
- Sind zentrale Software-, Cloud-, Wartungs- und Dienstleistungsverträge vollständig erfasst?
- Sind Eigenentwicklungen, Quellcode, Dokumentation und personelle Abhängigkeiten ausreichend transparent?
- Sind wesentliche Informationssicherheits- und Datenschutzthemen dokumentiert und zuständigen Verantwortlichen zugeordnet?
- Sind laufende IT-Kosten und absehbare Investitionen für Erneuerung oder Integration nachvollziehbar?
- Existiert nach der Prüfung ein priorisierter Maßnahmenplan für die Zeit vor und nach dem Abschluss der Transaktion?
6. Häufige Fehler
Fehler 1: Die Prüfung beschränkt sich auf eine Systemliste
Problem: Eine Inventarliste zeigt, welche Technik vorhanden ist, aber nicht, wie kritisch sie für das Geschäft ist oder welche Abhängigkeiten bestehen. Besser: Verknüpfen Sie Systeme mit Geschäftsprozessen, Verantwortlichkeiten, Risiken und geplanten Integrationsschritten.
Fehler 2: Dokumentationen werden ungeprüft übernommen
Problem: Architekturpläne, Asset-Listen oder Notfallkonzepte können veraltet sein. Besser: Vergleichen Sie Dokumente mit Interviews, Systeminformationen und vorhandenen Nachweisen.
Fehler 3: Cybersecurity wird nur anhand vorhandener Produkte bewertet
Problem: Eine Firewall, Endpoint-Lösung oder ein Backup-Produkt sagt noch wenig über die tatsächliche Wirksamkeit der Sicherheitsprozesse aus. Besser: Prüfen Sie Verantwortlichkeiten, Konfiguration, Betriebsprozesse, Aktualität und vorhandene Tests.
Fehler 4: Schlüsselpersonen und Dienstleisterabhängigkeiten werden unterschätzt
Problem: Kritisches Wissen kann bei einzelnen Mitarbeitenden oder externen Partnern konzentriert sein. Besser: Erfassen Sie Wissensmonopole, Vertretungen, Dokumentationsstand und vertragliche Abhängigkeiten ausdrücklich.
Fehler 5: Technische Schulden werden erkannt, aber nicht finanziell bewertet
Problem: Eine veraltete Plattform ist erst dann für die Transaktion greifbar, wenn ihre mögliche Ablösung, Migration oder Stabilisierung eingeordnet wird. Besser: Übersetzen Sie wesentliche technische Befunde in priorisierte Maßnahmen und nachvollziehbare Kostentreiber.
Fehler 6: Die Due-Diligence-Ergebnisse enden mit dem Vertragsabschluss
Problem: Offene Risiken bleiben bestehen, wenn sie nach dem Closing nicht weiterverfolgt werden. Besser: Überführen Sie relevante Befunde in einen konkreten Post-Merger-, Integrations- oder Sanierungsplan mit Verantwortlichkeiten.
7. Praxisbeispiel
Beispielhafte Situation: Ein mittelständisches Unternehmen plant die Übernahme eines kleineren Wettbewerbers und möchte dessen IT anschließend teilweise in die eigene Infrastruktur integrieren. Im Datenraum finden sich aktuelle Kostenübersichten, aber nur eine ältere Dokumentation der Systemlandschaft. In Interviews zeigt sich, dass ein geschäftskritisches Fachsystem von einem externen Entwickler betreut wird und mehrere Schnittstellen nicht vollständig dokumentiert sind. Gleichzeitig wird deutlich, dass ein Teil der Server in den kommenden Jahren erneuert werden müsste und für einzelne Cloud-Dienste längerfristige Vertragsbindungen bestehen. Die IT-Due-Diligence ordnet diese Punkte nach Geschäftskritikalität, Integrationsrelevanz und weiterem Prüfbedarf. Für das Fachsystem werden zusätzliche Informationen zu Betrieb, Dokumentation und Abhängigkeiten angefordert, während Infrastrukturmaßnahmen in die Integrationsplanung aufgenommen werden. Die Ergebnisse liefern damit keine pauschale Bewertung „gute“ oder „schlechte“ IT, sondern eine strukturierte Grundlage dafür, welche Risiken und Aufgaben bei der Transaktion berücksichtigt werden müssen.
FAQs
Häufig gestellte Fragen
Was ist eine IT Due Diligence?
Eine IT Due Diligence ist die strukturierte Prüfung der Informationstechnologie eines Zielunternehmens im Rahmen einer Unternehmenstransaktion. Untersucht werden unter anderem IT-Strategie, Anwendungen, Infrastruktur, Informationssicherheit, Organisation, Verträge, Kosten und Abhängigkeiten. Ziel ist es, wesentliche Risiken, Investitionsbedarf und Integrationsaufgaben möglichst früh sichtbar zu machen.
Welche Bereiche werden bei einer IT Due Diligence geprüft?
Typische Prüfbereiche sind IT-Strategie und Architektur, Anwendungen, Infrastruktur, Informationssicherheit, Backup und Notfallvorsorge, IT-Organisation, Personal, Dienstleister, Software- und Cloud-Verträge sowie IT-Kosten. Zusätzlich sollte betrachtet werden, welche Systeme nach der Transaktion integriert, ersetzt, migriert oder getrennt werden müssen.
Was sind typische IT Red Flags bei einem Unternehmenskauf?
Typische Hinweise sind nicht mehr unterstützte Kernsysteme, fehlende Dokumentation, starke Abhängigkeiten von einzelnen Personen oder Dienstleistern, ungeklärte administrative Zugänge, ungetestete Backups, undokumentierte Schnittstellen oder erheblicher technischer Erneuerungsbedarf. Die Bedeutung einer Red Flag muss immer im Kontext der konkreten Transaktion bewertet werden.
Ist eine IT Due Diligence gesetzlich vorgeschrieben?
Eine eigenständige IT Due Diligence ist nicht pauschal für jeden Unternehmenskauf gesetzlich vorgeschrieben. Welche Prüfungen erforderlich oder sinnvoll sind, hängt von Transaktion, Branche, Risikoprofil und rechtlichen Rahmenbedingungen ab. Bei konkreten gesellschafts-, haftungs-, datenschutz- oder vertragsrechtlichen Fragen sollte fachkundiger Rechtsrat einbezogen werden.
Ist eine IT Due Diligence dasselbe wie ein Penetrationstest?
Nein. Eine IT Due Diligence bewertet die IT eines Zielunternehmens im Zusammenhang mit einer Transaktion und betrachtet neben Sicherheit auch Architektur, Anwendungen, Organisation, Verträge, Kosten und Integrationsfähigkeit. Ein Penetrationstest untersucht dagegen gezielt die technische Angreifbarkeit bestimmter Systeme oder Anwendungen. Beide Verfahren können sich bei Bedarf ergänzen.
Welche Unterlagen werden für eine IT Due Diligence benötigt?
Relevant können unter anderem System- und Anwendungsinventare, Architekturübersichten, IT-Kosten, Verträge, Lizenzinformationen, Sicherheitsrichtlinien, Notfallkonzepte, Backup-Dokumentationen, Dienstleisterübersichten und Informationen zu laufenden IT-Projekten sein. Welche Unterlagen tatsächlich benötigt werden, richtet sich nach Umfang und Ziel der Prüfung.
Was passiert mit den Ergebnissen nach dem Unternehmenskauf?
Wesentliche Befunde sollten in die Integrations- oder Maßnahmenplanung übernommen werden. Dazu können beispielsweise die Ablösung veralteter Systeme, die Konsolidierung von Anwendungen, die Absicherung privilegierter Zugänge, Vertragsprüfungen oder die Verbesserung von Backup- und Notfallprozessen gehören. Verantwortlichkeiten und Prioritäten sollten dabei eindeutig festgelegt werden.
9. Fazit
Eine IT Due Diligence macht sichtbar, welche technischen, organisatorischen und wirtschaftlichen Risiken mit der IT eines Zielunternehmens verbunden sind. Entscheidend ist nicht die Menge der geprüften Dokumente, sondern ob geschäftskritische Abhängigkeiten, Sicherheitsrisiken, Investitionsbedarf und Integrationsaufgaben nachvollziehbar bewertet werden.
Die Ergebnisse sollten deshalb sowohl in die Transaktionsentscheidung als auch in die Planung nach dem Kauf einfließen. Wenn Sie die IT eines Zielunternehmens vor einer Übernahme strukturiert bewerten möchten, sprechen Sie optimIT unter info@optimit.de an.