IT-Due-Diligence: Checkliste für Käufer und Investoren

Die IT-Due-Diligence ist bei Firmenkäufen längst kein Randthema mehr. Wer heute ein Unternehmen übernimmt, kauft fast immer auch eine gewachsene Systemlandschaft, Softwarecode, Datenbestände und Sicherheitsrisiken mit. Ob diese Technik ein Wachstumsmotor oder eine teure Altlast ist, entscheidet oft über den Erfolg der gesamten Transaktion.

Trotzdem behandeln viele Käufer die Technikprüfung als Pflichtübung am Ende des Prozesses. Das rächt sich: Sicherheitslücken, ungeklärte Lizenzen oder ein veraltetes ERP-System tauchen dann erst nach dem Closing auf, wenn der Kaufpreis längst bezahlt ist.

Dieser Beitrag zeigt dir, was eine IT-Due-Diligence umfasst, wie du sie strukturiert durchführst und welche Punkte auf keiner Checkliste fehlen dürfen. Er richtet sich an Käufer, Investoren und Geschäftsführungen, die eine Übernahme vorbereiten.

Was ist eine IT-Due-Diligence?

Eine IT-Due-Diligence ist die systematische Prüfung der Informationstechnologie eines Zielunternehmens vor einem Kauf oder einer Beteiligung. Sie bewertet Infrastruktur, Anwendungen, Softwarequalität, IT-Sicherheit, Datenschutz, Lizenzen, Organisation und Kosten. Ziel ist, Risiken und Investitionsbedarf aufzudecken und in Kaufpreis, Vertrag und Integrationsplanung einfließen zu lassen.

Sie ergänzt die klassische Financial, Legal und Tax Due Diligence. Bei Softwarefirmen und digitalen Geschäftsmodellen spricht man oft von einer Technical Due Diligence, weil das Produkt selbst aus Code besteht. Dann rückt die Prüfung von Architektur und Quellcode noch stärker in den Mittelpunkt.

Warum die IT-Due-Diligence über den Dealerfolg entscheidet

Technik ist in fast jedem Geschäftsmodell ein Werttreiber und ein Risikofaktor zugleich. Eine gründliche IT-Due-Diligence beantwortet drei Kernfragen: Trägt die IT das geplante Wachstum? Welche Investitionen sind nach dem Kauf nötig? Und welche Risiken könnten den Wert des Unternehmens schmälern?

• Bewertung absichern: Notwendige Modernisierungen, Migrationen oder Neuentwicklungen fließen als Kosten in das Kaufpreismodell ein.
• Haftungsrisiken erkennen: Datenschutzverstöße, Lizenzverletzungen oder unentdeckte Cyberangriffe können teuer werden.
• Integration planen: Die Ergebnisse zeigen, wie aufwendig es wird, Systeme zusammenzuführen oder zu trennen.
• Verhandlungsposition stärken: Konkrete Befunde begründen Preisabschläge, Garantien oder Freistellungen im Kaufvertrag.

Besonders bei Private-Equity-Transaktionen dient die IT-Due-Diligence außerdem als Grundlage für den Wertsteigerungsplan der ersten Jahre nach dem Kauf.

Ablauf der IT-Due-Diligence in 6 Schritten

Der Umfang hängt von Größe, Branche und Geschäftsmodell ab. Ein Handelsunternehmen mit Standardsoftware braucht eine andere Prüfung als ein SaaS-Anbieter, dessen gesamter Wert im Produkt steckt. Ein bewährter Ablauf sieht so aus:

1. Scope festlegen: Definiere gemeinsam mit dem Dealteam, welche Fragen die Prüfung beantworten soll und welche Bereiche kritisch sind.
2. Informationsanforderung: Erstelle eine Anforderungsliste für den Datenraum, etwa Architekturdiagramme, Systemlisten, Verträge, Sicherheitsberichte und Budgets.
3. Dokumentenanalyse: Werte die bereitgestellten Unterlagen aus und identifiziere Lücken und Widersprüche.
4. Interviews und Workshops: Sprich mit IT-Leitung, Entwicklungsteams und Fachbereichen. Hier zeigt sich oft, wie die Realität hinter den Dokumenten aussieht.
5. Technische Prüfungen: Je nach Zugang folgen Codeanalysen, Scans von Open-Source-Komponenten oder eine Bewertung der Sicherheitslage.
6. Bericht und Empfehlungen: Fasse Risiken nach Schwere zusammen, beziffere Investitionsbedarf und leite Empfehlungen für Vertrag und Integration ab.

Zeit ist dabei meist knapp. Konzentriere dich deshalb auf die Fragen, die für Bewertung und Vertrag wirklich relevant sind, statt jeden Server zu inventarisieren.

IT-Due-Diligence Checkliste: Die wichtigsten Prüffelder

Jede Transaktion ist anders, doch bestimmte Themen gehören in fast jede IT-Due-Diligence. Die folgende Checkliste dient als Ausgangspunkt, den du an dein Vorhaben anpassen solltest.

Strategie, Organisation und Kosten

• Passt die IT-Strategie zum Geschäftsmodell und zu den Wachstumsplänen?
• Wie hoch sind IT-Budget und Investitionen der vergangenen Jahre im Verhältnis zum Umsatz?
• Wer sind die Schlüsselpersonen, und wie stark hängt der Betrieb von ihnen ab?
• Welche Leistungen sind an externe Dienstleister ausgelagert, und zu welchen Bedingungen?

Infrastruktur und Betrieb

• Wo laufen die Systeme: eigenes Rechenzentrum, Colocation, Public Cloud oder hybrid?
• Wie alt ist die Hardware, und sind Betriebssysteme und Datenbanken noch im Herstellersupport?
• Gibt es ein getestetes Backup- und Wiederherstellungskonzept sowie einen Notfallplan?
• Wie entwickeln sich die Cloud-Kosten, und sind sie transparent zugeordnet?

Anwendungen und Software

• Welche Kernsysteme wie ERP, CRM oder Produktionssteuerung sind im Einsatz, und wie stark sind sie angepasst?
• Wie hoch sind die technischen Schulden: veraltete Frameworks, fehlende Tests, schlecht dokumentierter Code?
• Wie sehen Entwicklungsprozess, Versionsverwaltung, automatisierte Tests und Deployment aus?
• Skaliert die Architektur mit dem erwarteten Wachstum?

Daten und künstliche Intelligenz

• Wo liegen die wichtigsten Datenbestände, und wie gut ist ihre Qualität?
• Gibt es ein Datenmodell, klare Verantwortlichkeiten und dokumentierte Schnittstellen?
• Welche KI-Anwendungen sind im Einsatz, mit welchen Daten werden sie betrieben, und wer ist dafür verantwortlich?
• Sind KI-Systeme bereits danach eingeordnet, welche Pflichten aus dem EU AI Act für sie gelten könnten?

Gerade beim Thema KI lohnt Vorsicht: Die Pflichten aus dem EU AI Act gelten gestaffelt, und mit dem Digital-Omnibus-Paket der EU-Kommission stehen Verschiebungen einzelner Fristen im Raum. Prüfe deshalb den aktuellen Stand, bevor du Befunde bewertest.

Wer die IT-Due-Diligence durchführt

Größere Käufer setzen meist spezialisierte Beratungen ein, die IT-Architektur, Sicherheit und Softwarequalität aus einer Hand bewerten. Strategische Käufer mit eigener IT-Abteilung beziehen zusätzlich ihre eigenen Fachleute ein, weil diese später die Integration verantworten. Beide Perspektiven ergänzen sich: Externe bringen Vergleichswerte aus vielen Transaktionen mit, interne kennen die Zielarchitektur.

Bei Wettbewerbern als Käufer gelten besondere Regeln. Wettbewerbsrechtlich sensible Informationen dürfen vor dem Vollzug nicht ungefiltert ausgetauscht werden. Häufig arbeitet dann ein sogenanntes Clean Team mit eingeschränktem Personenkreis, das nur aggregierte Ergebnisse weitergibt. Kläre diese Spielregeln mit der Rechtsberatung, bevor der Datenraum öffnet.

Auf Verkäuferseite brauchst du eine feste Ansprechperson, die Fragen schnell beantwortet und Zugänge koordiniert. Langsame Antworten verlängern nicht nur den Prozess, sie wecken auch Misstrauen.

IT-Sicherheit und Regulierung in der IT-Due-Diligence

Cyberrisiken gehören zu den größten Unbekannten bei Übernahmen. Ein unentdeckter Angriff auf das Zielunternehmen kann nach dem Closing zum Problem des Käufers werden. Deshalb sollte die IT-Due-Diligence die Sicherheitslage ehrlich und möglichst konkret bewerten.

Sicherheitslage prüfen

Frage nach Sicherheitsrichtlinien, Ergebnissen von Penetrationstests, bekannten Vorfällen der vergangenen Jahre und dem Stand des Patch-Managements. Prüfe, ob Mehr-Faktor-Authentifizierung, Rechtekonzepte und Protokollierung umgesetzt sind. Orientierung bieten etablierte Rahmenwerke wie der IT-Grundschutz des Bundesamts für Sicherheit in der Informationstechnik (BSI) oder die Normenreihe ISO/IEC 27001.

Fehlen grundlegende Schutzmaßnahmen, ist das kein Ausschlusskriterium, aber ein klarer Investitionsposten. Wie ein solider Grundschutz aussieht, beschreibt unser Ratgeber Cybersecurity für KMU.

Regulatorische Pflichten

Die Regulierung rund um Cybersicherheit hat sich in der EU deutlich verschärft. In Deutschland gilt seit Dezember 2025 das Gesetz zur Umsetzung der NIS2-Richtlinie, das deutlich mehr Unternehmen zu Risikomanagement, Registrierung und Meldungen verpflichtet. Prüfe deshalb, ob das Zielunternehmen betroffen ist und seine Pflichten erfüllt. Unser Beitrag NIS2-Betroffenheit prüfen erklärt, wie du das einordnest.

Stellt das Zielunternehmen Produkte mit digitalen Elementen her, kommt der Cyber Resilience Act hinzu. Seine Meldepflichten für aktiv ausgenutzte Schwachstellen und schwere Sicherheitsvorfälle gelten seit dem 11. September 2026. Was das konkret bedeutet, erklärt unser Beitrag zur Meldepflicht nach dem Cyber Resilience Act.

Für Finanzunternehmen kann zudem DORA relevant sein. Stand Oktober 2026 entwickeln sich Auslegung und nationale Umsetzung weiter, prüfe daher den aktuellen Stand mit Fachleuten.

Datenschutz

Ein Verzeichnis der Verarbeitungstätigkeiten, Auftragsverarbeitungsverträge, Löschkonzepte und dokumentierte Datenschutzvorfälle gehören in den Datenraum. Besonders kritisch sind Übermittlungen personenbezogener Daten in Drittländer und der Einsatz von KI-Tools mit Kundendaten.

Open Source, Lizenzen und geistiges Eigentum

Moderne Software besteht zu einem großen Teil aus Open-Source-Komponenten. Das ist üblich und sinnvoll, birgt aber Lizenzrisiken. Manche Lizenzen mit sogenanntem Copyleft verlangen unter bestimmten Bedingungen, dass auch der eigene Code offengelegt wird. Einen Überblick über anerkannte Lizenzen bietet die Open Source Initiative.

In einer gründlichen IT-Due-Diligence lässt der Käufer deshalb häufig einen Scan der verwendeten Komponenten durchführen. Das Ergebnis ist eine Software-Stückliste, auch SBOM genannt. Sie zeigt, welche Lizenzen im Spiel sind und ob bekannte Schwachstellen in einzelnen Komponenten existieren.

Ebenso wichtig ist die Frage, wem der Code gehört. Wurden freie Entwickler oder Agenturen eingesetzt, müssen die Nutzungsrechte vertraglich sauber übertragen sein. Prüfe auch kommerzielle Softwarelizenzen: Sind sie bei einem Eigentümerwechsel übertragbar, und reicht die Lizenzmenge für den tatsächlichen Einsatz? Unterlizenzierung kann bei Herstelleraudits zu Nachzahlungen führen.

Red Flags: Diese Befunde verdienen besondere Aufmerksamkeit

Nicht jeder Befund ist ein Dealbreaker. Manche Punkte sollten dich jedoch aufhorchen lassen und eine vertiefte Prüfung auslösen:

• Kernsysteme, die nur noch von einer einzigen Person verstanden werden
• Software ohne Herstellersupport im produktiven Betrieb
• Fehlende oder nie getestete Backups
• Bekannte Sicherheitsvorfälle ohne saubere Aufarbeitung
• Copyleft-Komponenten in proprietären Produkten ohne Lizenzprüfung
• Stark steigende Cloud-Kosten ohne nachvollziehbare Ursache
• Kritische Abhängigkeiten von einzelnen Dienstleistern ohne Exit-Möglichkeit

Wichtig ist, solche Befunde nicht nur zu benennen, sondern zu bewerten: Wie wahrscheinlich ist ein Schaden, wie hoch wären die Kosten, und was kostet die Behebung? Diese Einordnung macht den Bericht für Entscheiderinnen und Entscheider nutzbar.

Hilfreich ist eine einfache Ampellogik: Rot steht für Risiken, die vor dem Signing geklärt oder vertraglich abgesichert werden müssen. Gelb markiert Investitionsbedarf für die ersten Monate nach dem Kauf. Grün umfasst Verbesserungen, die in die normale Weiterentwicklung gehören. So erkennt das Dealteam auf einen Blick, wo Handlungsbedarf besteht.

Vom Bericht zum Vertrag und zur Integration

Die Ergebnisse der IT-Due-Diligence fließen an mehreren Stellen in die Transaktion ein. Investitionsbedarf mindert den Kaufpreis oder wird in Businessplan und Finanzierung berücksichtigt. Konkrete Risiken lassen sich über Garantien, Freistellungen oder Bedingungen für den Vollzug im Kaufvertrag absichern. Manche Käufer verlangen, dass gravierende Sicherheitslücken schon vor dem Closing geschlossen werden.

Beispielrechnung: Stellt die Prüfung fest, dass ein zentrales ERP-System in zwei Jahren aus dem Herstellersupport fällt, gehören die geschätzten Kosten für Migration, Lizenzen und Projektteam in das Bewertungsmodell. Ob der Käufer sie vom Kaufpreis abzieht oder im Businessplan einplant, ist Verhandlungssache. Entscheidend ist, dass die Summe auf dem Tisch liegt, bevor unterschrieben wird.

Ebenso wichtig ist der Blick nach vorn. Ein guter Bericht enthält einen groben Fahrplan für die ersten 100 Tage: Welche Sicherheitsmaßnahmen haben Priorität, welche Systeme werden integriert, welche Schlüsselpersonen müssen gehalten werden? So wird die Prüfung zum Startpunkt der Integration statt zum Archivdokument.

Perspektive des Verkäufers

Auch Verkäufer profitieren davon, ihre IT frühzeitig mit den Augen eines Käufers zu betrachten. Eine Vendor Due Diligence deckt Schwachstellen auf, solange noch Zeit ist, sie zu beheben. Ein aufgeräumter Datenraum mit aktueller Dokumentation, Systemlandkarte und Lizenzübersicht beschleunigt den Prozess und stärkt das Vertrauen der Interessenten.

Wer etwa im Rahmen einer Unternehmensnachfolge verkaufen möchte, sollte diese Vorbereitung idealerweise Jahre vor dem geplanten Verkauf beginnen.

Fazit: Die IT-Due-Diligence schützt vor teuren Überraschungen

Die IT-Due-Diligence ist bei nahezu jeder Übernahme unverzichtbar geworden. Sie zeigt, ob die Technik das Geschäftsmodell trägt, welche Investitionen anstehen und welche Risiken in Sicherheit, Lizenzen und Regulierung schlummern. Entscheidend ist ein klarer Scope, der sich an den Fragen des Dealteams orientiert.

Plane genug Zeit ein, binde Fachleute für Sicherheit, Recht und Softwarequalität ein und übersetze jeden Befund in Kosten und Vertragsregeln. Dann wird die IT-Due-Diligence zum Werkzeug, das Kaufpreis, Vertrag und Integration auf eine belastbare Grundlage stellt.

Häufige Fragen zu IT-Due-Diligence