IT Due Diligence: Technische Prüfung von Softwarefirmen

IT Due Diligence entscheidet bei Software-Deals über Kaufpreis, Vertragsstruktur und den Erfolg der Post-Merger-Integration. Wer sie überspringt oder oberflächlich durchführt, riskiert Millionen.

IT Due Diligence im M&A-Kontext: Was wird bei Softwarefirmen geprüft?

IT Due Diligence ist bei Tech-Deals faktisch Standard. Bei SaaS-, Marketplace- und AI-Targets ist sie kaufentscheidend, weil Technologie hier nicht Beiwerk ist, sondern das Geschäftsmodell selbst. Die IT Due Diligence findet meist im Rahmen von Fusionen, Übernahmen oder größeren Investitionen statt.

Die Definition: IT Due Diligence ist die systematische Analyse der IT-Infrastruktur, Anwendungen, Daten, IT-Prozesse und Teams eines Zielunternehmens im Vorfeld einer M&A-Transaktion. IT Due Diligence analysiert die IT-Infrastruktur eines Zielunternehmens, um ein vollständiges Bild der IT-Landschaft zu erzeugen. Die IT Due Diligence deckt dabei technische Infrastruktur und Sicherheitskonzepte ab.

Typische IT-Risiken bei Targets sehen so aus: eine monolithische Eigenentwicklung von 2012, die nur zwei Entwickler verstehen. Fehlende Disaster-Recovery-Pläne, die nie getestet wurden. Unsichere Public-Cloud-Konfigurationen in AWS oder Azure ohne MFA. In einer McKinsey-Befragung von 50 CIOs aus Finanz- und Technologieunternehmen mit über 1 Mrd. USD Umsatz (Erhebung Juli 2020) schätzten diese ihre technischen Schulden auf 20 bis 40 Prozent des Werts ihres gesamten Technologiebestands vor Abschreibungen.

Das Ziel der IT Due Diligence ist es, technische Risiken aufzudecken und versteckte Kosten zu identifizieren. Sie liefert Käufern eine belastbare Basis für Kaufpreis und SPA. IT Due Diligence ist entscheidend für die Risikominimierung und Kaufpreisfindung. Eine professionelle IT Due Diligence deckt potenzielle Dealbreaker auf, bevor der Deal geschlossen wird. IT Due Diligence unterstützt Käufer bei fundierten Kaufentscheidungen.

FieldSignal unterstützt Käufer- und Investorenteams nicht beim IT-Audit an sich. Stattdessen liefert FieldSignal die Informationen, die Deal-Teams brauchen: qualitative Intelligenz von ehemaligen Mitarbeitern, Kunden und Lieferanten des Targets, um offizielle Aussagen mit Sorgfalt zu verifizieren.

Abgrenzung: IT Due Diligence, Technical Due Diligence und Legal Due Diligence

Diese drei Prüfungen ergänzen sich im M&A-Prozess. Sie ersetzen sich nicht gegenseitig.

• IT Due Diligence (IT DD): Fokus auf IT-Infrastruktur, die Applikationslandschaft, IT-Sicherheit, IT-Organisation und IT-Kosten. Sie prüft, ob die IT-Systeme des Unternehmens betriebsfähig, skalierbar und wirtschaftlich sind.

• Technical Due Diligence: Fokus auf Software-Architektur, Codequalität, Skalierbarkeit, DevOps/CI/CD, technische Schulden, verwendete Frameworks und Cloud-Setups. Sie bewertet die Softwareentwicklung auf Basis der konkret eingesetzten Technologien.

• Legal Due Diligence: Prüfung von IP-Rechten an Code, Marken und Patenten, Lizenzverträgen, Datenschutz, Outsourcing-Verträgen und Open-Source-Compliance.

In der Praxis werden diese Stränge verzahnt: gemeinsamer Fragenkatalog, gemeinsamer Red-Flag-Workshop, gemeinsame Interviews. FieldSignal-organisierte Expertengespräche liefern oft Input für alle drei IT-Bereiche, etwa frühe Hinweise auf Lizenzverstöße, kritische Abhängigkeit von einzelnen Lieferanten oder die tatsächlich gelebte Security-Kultur im Rahmen der Bewertung.

Kernprüffelder: Checkliste für IT Due Diligence bei Software- und SaaS-Zielen

Eine Checkliste sichert die systematische Prüfung aller IT-Bereiche. Sie umfasst IT-Strategie, Infrastruktur und Sicherheit. Wichtige Prüfbereiche der IT Due Diligence sind Infrastruktur und Cloud, Software und Architektur, IT-Sicherheit und Datenschutz.

IT-Strategie & Governance

• Existenz einer dokumentierten IT- und Cloud-Strategie

• Rolle der IT im Geschäftsmodell, Reporting-Linien, Budgethoheit

• Entscheidungen über Build vs. Buy, Optimierung und Digitalisierung

IT-Infrastruktur

• On-Prem vs. Cloud (AWS, Azure, GCP), Netzwerk-Topologie

• Rechenzentren, Backup- und Recovery-Konzepte, Monitoring, SLA-Levels

Anwendungslandschaft

• Kernprodukte (z. B. Multi-Tenant-SaaS), Eigenentwicklungen vs. Standardsoftware

• Integrationsarchitektur (APIs, ESB, iPaaS), technische Schulden, Wartbarkeit

IT-Sicherheit & Datenschutz

• Identity & Access Management, Verschlüsselung (in transit, at rest)

• Security-Logging, SOC/SIEM, Penetrationstests, ISO 27001

• Die IT-Sicherheit muss auf Sicherheitsrichtlinien und bekannte Schwachstellen überprüft werden

• Die Einhaltung von Datenschutzbestimmungen wie der DSGVO ist ein wichtiger Bestandteil der IT Due Diligence

Daten & Analytics

• Datenmodelle, Data Warehouse / Data Lake, BI-Tools, Datenqualität

• KI Due Diligence ist eine Spezialform der IT Due Diligence. KI Due Diligence prüft Trainingsdaten und Ergebnisqualität. KI Due Diligence bewertet auch die Herkunft der Trainingsdaten. Datenqualität ist entscheidend für den Unternehmenswert bei KI-Targets.

Lizenzen & Compliance

• Übersicht Softwarelizenzen (Perpetual, Subscription), Unterlizenzierungsrisiken

• Open-Source-Use, SBOM, Change-of-Control-Klauseln in Verträgen

IT-Organisation & Personal

• Teamstruktur, Senioritätsmix, Near-/Offshoring, Fluktuationsraten

• Key-Man-Risiken, Know-how bei einzelnen Foundern oder Freelancern

IT-Kosten & Investitionen

• Historische IT-Budgets, Verhältnis Opex/Capex, geplante Investitionsbedarfe

• Die Analyse der IT-Kostenstruktur wird mit Benchmarks verglichen, um Stärken und Schwächen gegenüber ähnlichen Targets verschiedener Größen in der Branche sichtbar zu machen

IT-Risiken im M&A-Prozess konkret bewerten

Es reicht nicht, Risiken zu benennen. Du musst sie für das Deal-Team in Euro, Zeit und Deal-Struktur übersetzen. Die Ergebnisse der IT Due Diligence führen oft zu Anpassungen im Kaufpreis und in den Vertragsbedingungen.

Versteckte IT-Risiken können M&A-Transaktionen im Millionenbereich gefährden. Versteckte IT-Altlasten sind dabei ein zentraler Faktor. IT Due Diligence identifiziert veraltete ERP-Systeme und Sicherheitslücken. Ein ERP-System von 2005, das kaum dokumentiert ist und nur durch wenige Entwickler verstanden wird, erzeugt massive Abhängigkeit. IT Due Diligence identifiziert veraltete Systeme und Sicherheitslücken, bevor sie zu Dealbreakern werden.

So übersetzt du IT-Risiken in Zahlen:

• Capex-Risiken: Kosten für Sanierung, Replatforming, Security-Projekte. Beispiel: Migration eines Monolithen in eine neue Cloud-Region kann sechsstellige Kosten verursachen.

• Opex-Risiken: Mehr Wartungsaufwand, höherer Personaleinsatz, Kosten durch Ausfallzeiten.

• Integrationsrisiken: Inkompatible Architekturen, stark abweichende Toolchains, heterogene Identity-Systeme, redundante Anwendungen belasten die Post-Merger-Phase.

Red Flags für Deal-Teams: fehlende Notfallpläne, keine offizielle Security-Verantwortung, fehlende SLAs mit wichtigen Cloud-Anbietern, Schwachstellen ohne Behebungsplan.

Externe Experteninterviews über FieldSignal machen verdeckte Risiken sichtbar, die in Datenräumen und Managementpräsentationen nicht auftauchen. Ein Blick hinter die Folien ist oft der Unterschied zwischen einem guten und einem schlechten Deal.

Standardablauf einer IT Due Diligence bei Softwaretargets

Ein strukturierter Prozess und klare Prüfungsziele sind essentielle Bestandteile der IT Due Diligence. Eine ordnungsgemäße Durchführung erfordert ein interdisziplinäres Expertenteam.

1. Scoping (Phase 1, Vorbereitung und Planung): Definition des Untersuchungsumfangs, Hypothesen zu Deal-Thesen, Priorisierung der IT-Bereiche mit der größten Wirkung auf Kaufpreis und Post-Merger-Integration. Ca. 1 bis 2 Wochen vor Datenraumöffnung.

2. Dokumentenreview im Datenraum (Phase 2, Datenanalyse und Bewertung): IT-Analyse von Systemübersichten, Netzwerkplänen, Security-Richtlinien, Lizenzlisten, Architekturdiagrammen, Budget- und Projektplänen. Phase 2 umfasst die Datenanalyse und Bewertung der IT-Systeme.

3. Expertengespräche mit dem Target: Strukturierte Interviews mit CIO/CTO, Head of Engineering, Head of Security, Lead Architect.

4. Externe Validierung: Qualitativ geführte Gespräche mit ehemaligen Mitarbeitern, Kunden und Lieferanten über eine Expert-Network-Plattform wie FieldSignal, um Informationen zu verifizieren.

5. Analyse & Modellierung: Zusammenführung der Erkenntnisse, Erstellen von Szenarien für Investitionsbedarf, z. B. ein Drei-Jahres-Sanierungsplan als IT-Roadmap.

6. Reporting (Phase 3, Berichterstattung und Empfehlungen): Red-Flag-Report für das Investmentkomitee innerhalb weniger Tage, später ausführlicher Due-Diligence-Bericht mit Handlungsempfehlungen für die ersten 100 Tage nach Closing. Phase 3 beinhaltet Berichterstattung und Empfehlungen für die Integration.

IT Due Diligence aus Sicht von Käufer, Verkäufer und Investoren

IT Due Diligence hat für jede Seite im M&A ein anderes Zielbild. Das Framing der Ergebnisse wird entsprechend angepasst. IT Due Diligence schafft Transparenz über notwendige IT-Investitionen für alle Beteiligten.

• Käufer: Fokus auf Risikominimierung, Day-1-Readiness, Kompatibilität mit eigener IT-Infrastruktur, Vermeidung doppelter Systeme und unerwarteter IT-Kosten nach Closing. Käufer wollen den Wert und Unternehmenswert genau kennen.

• Verkäufer (Vendor Due Diligence): Vorbereitung der IT-Dokumentation, Beseitigung kritischer Schwachstellen vor dem offiziellen Erwerb, Aufbau einer Storyline zur Modernisierungs-Roadmap mit klarer IT-Strategie.

• Investoren (PE/VC): Einschätzung, ob Technologie und IT-Organisation Skalierung auf 3 bis 5 Jahre ermöglichen. Ob Buy-and-Build als Business Case technisch realistisch ist. Welches IT-Team und welche IT-Experten dafür nötig sind.

Unabhängige Markt- und Expertenstimmen, z. B. über FieldSignal organisierte Calls, helfen, IT-Storys von Managementteams auf Plausibilität und Notwendigkeit zu prüfen.

Post-Merger-Integration: IT als Hebel in den ersten 100 Tagen

Die größten IT-Risiken und Werthebel werden erst in der Post-Merger-Integration sichtbar, wenn Systeme und Teams tatsächlich zusammengeführt werden. Synergien und Kostenoptimierung werden durch IT Due Diligence erkannt und als Synergiepotenziale in konkrete Arbeitspakete übersetzt.

IT Due Diligence liefert diese Arbeitspakete: Systemkonsolidierung, Identity-Harmonisierung, Security-Standardisierung, Datenmigration. Konkrete Entscheidungen betreffen z. B. die Migration eines erworbenen SaaS-Produkts in die eigene Cloud-Region, Vereinheitlichung von Ticketing- und Monitoring-Tools oder die Ablösung alter CRM- und ERP-Systeme im Zuge neuer Prozesse.

Eine klare IT-Roadmap für die ersten 100 Tage nach Closing stellt Day-1-Readiness sicher. Ohne sie riskierst du Kunden- oder Umsatzunterbrechungen. FieldSignal kann für Corporate-Development- und PMI-Teams ergänzende Interviews organisieren, um Kultur, Führungsstil der Tech-Teams und historische Projektperformance zu verstehen.

Wie FieldSignal IT Due Diligence und IT-Audits ergänzt

FieldSignal ist kein klassischer IT-Audit-Anbieter. FieldSignal ist ein Expert Network, das den Informationsgrundstock für fundierte IT Due Diligence stärkt.

Deal-Teams befragen über FieldSignal gezielt frühere CTOs, Lead Engineers, DevOps-Spezialisten, Security-Verantwortliche und wichtige Kunden eines Targets. Typische Fragestellungen: reale Downtime-Historie, Security-Incidents, Migrationsprojekte, tatsächliche Codequalität, gelebte DevOps-Praxis.

Die Vorteile für M&A- und PE/VC-Teams:

• Keine Jahresretainer, transparente Pay-per-Use-Preise

• Keine Aufschläge auf Expert-Honorare

• Expertenscreening vor jedem Projekt, Vertraulichkeitsvereinbarungen, Ausschluss von Themen, die unter NDA stehen, und eine dokumentierte Prüfung je Auftrag

• Zugänglich für Fonds und Firmen jeder Größe

Feld- und Kundenstimmen helfen, Präsentationsfolien des Targets zu verifizieren, technische Roadmaps zu bewerten und IT-Risiken realistischer im Modell abzubilden. Das ist der Unterschied zwischen einer IT-Analyse auf Basis von Dokumenten und einer auf Basis von echtem Know-how.

Fazit: IT Due Diligence als Pflichtprogramm bei Software-Deals

IT Due Diligence ist für Software- und SaaS-Targets unverzichtbar. Sie sichert den Deal-Wert, reduziert IT-Risiken und liefert eine klare Basis für die Post-Merger-Integration. Reine Dokumentenreviews reichen nicht. Qualitatives Wissen aus Expertengesprächen ist entscheidend, um IT-Infrastruktur, IT-Organisation und Risiken richtig einzuschätzen.

Gespräch mit FieldSignal vereinbaren