Der Inhaber eines polnischen mittelständischen Unternehmens erfährt in der Regel genau in einem Moment, dass es so etwas wie „IT-Due-Diligence" gibt: eine Woche nach der Unterzeichnung der Absichtserklärung, wenn vom Käufer ein 40-seitiger Fragenkatalog zu Systemen, Lizenzen und Verfahren eintrifft. Dann ist es zu spät, um etwas vorzubereiten. Es bleibt nur noch, aus einer schlechteren Position zu verhandeln.
In den letzten zwei Jahren haben wir an mehr als einem Dutzend Transaktionen mitgewirkt — auf Verkäufer- und auf Käuferseite. Das Muster ist vorhersehbar. Der Käufer sucht nicht das perfekte Unternehmen. Er sucht Risiken, mit denen er den Preis drücken oder Schutzklauseln in den Vertrag einfügen kann. Die IT ist dankbares Jagdrevier, weil fast kein KMU seine Technik mit dem Blick einer externen Prüfung führt.
Dieser Artikel handelt nicht davon, wie man ein Unternehmen verkauft. Er handelt davon, was der Käufer in der IT-Infrastruktur eines Zehn- oder Fünfzig-Personen-Unternehmens tatsächlich prüft — und was Sie ein halbes Jahr früher tun können, damit Sie nicht 5–10 % des Kaufpreises nur für Unordnung aufgeben müssen.
Was IT-Due-Diligence von einem gewöhnlichen Audit unterscheidet
Ein gewöhnliches IT-Audit (alle zwei Jahre vom internen Team oder einem externen Berater durchgeführt) beantwortet die Frage „läuft unsere IT gut?". IT-Due-Diligence beantwortet eine völlig andere Frage: „was in diesem Unternehmen könnte den Käufer nach der Übernahme unangenehm überraschen?". Die Perspektive ist adversarial. Das Ziel ist nicht zu bestätigen, dass alles grün leuchtet — das Ziel ist, alles zu finden, was im ersten Jahr nach dem Deal brechen könnte.
Deshalb glaubt der Käufer keinen Beteuerungen. Er will Dokumentation, Verträge, Rechnungskopien, Logs. Was nicht dokumentiert ist, existiert aus seiner Sicht nicht — oder schlimmer, ist ein Risiko. Ein Unternehmen, dessen „Backups funktionieren, weil der Admin das sagt", landet nach der Due-Diligence in der Rubrik „operationelles Risiko".
Was der Käufer tatsächlich prüft
In der Praxis hat der Fragebogen 60–120 Positionen, läuft aber auf sieben Bereiche hinaus:
- Softwarelegalität. Sind alle Microsoft-, Comarch-Optima- und CAD-Lizenzen durch Rechnungen belegt? Stimmt die Zahl der Arbeitsplätze mit den Käufen überein?
- Dienstleisterverträge. Mit welchen Dienstleistern arbeitet das Unternehmen? Welche SLAs? Lassen sich die Verträge ohne Strafe kündigen? Gibt es eine Klausel über den unwiderruflichen Zugriff auf den Quellcode maßgeschneiderter Anwendungen?
- Rechte an eigener Software. Wenn das Unternehmen ein B2B-Portal oder eigene Integrationen besitzt — wer hat sie geschrieben? Ein Mitarbeiter im Arbeitsvertrag (gut) oder ein externer Freelancer ohne Rechteübertragung (schlecht)?
- Personenbezogene Daten und DSGVO. Verzeichnis von Verarbeitungstätigkeiten. Auftragsverarbeitungsverträge. Vorfallsreaktionsverfahren.
- Geschäftskontinuität. Wann wurde das Backup zuletzt getestet? Was passiert, wenn der einzige Administrator im Lotto gewinnt? Gibt es einen schriftlichen Business-Continuity-Plan?
- Cybersicherheit. MFA, Netzwerksegmentierung, Passwortrichtlinie, Laptop-Verschlüsselung, Datum des letzten Pentests oder zumindest Schwachstellenscans.
- Abhängigkeit von Einzelpersonen und Lieferanten. Hängt irgendetwas Kritisches an einer externen Person, zu der das Unternehmen keinen Ersatzzugriff hat?
Jeden dieser sieben Bereiche bewertet der Käufer auf einer „grün / gelb / rot"-Skala. Rote Positionen werden in den Vertrag als aufschiebende Bedingung oder als Preisminderung aufgenommen. Gelbe Positionen landen in den „Zusicherungen und Gewährleistungen" — stellt sich nach der Transaktion heraus, dass der Verkäufer etwas verschwiegen hat, geht es um Geld.
Drei Bereiche, in denen polnische KMU am schlechtesten dastehen
In einem Projekt haben wir ein 35-Personen-Handelsunternehmen aus dem Baustoffbereich beim Verkauf an einen Private-Equity-Fonds begleitet. Der erste Due-Diligence-Bericht hatte 28 Feststellungen, davon neun rot markiert. Drei davon kosteten den Inhaber in der Verhandlung reales Geld.
Bereich eins — Lizenzen. Das Unternehmen nutzte seit Jahren 42 Microsoft-365-Business-Konten, hatte aber nur den dokumentierten Kauf von 30. „Den Rest haben wir vom früheren Administrator gekauft, der einen besseren Preis hatte" — dieser Satz aus dem Mund des Inhabers reichte, damit der Käufer das als Risiko eines Microsoft-Audits mit möglicher Strafe von 60.000–120.000 PLN verbuchte. Er sicherte sich mit einem Einbehalt im Kaufpreis ab.
Bereich zwei — Softwarerechte. Das B2B-Bestellportal, Herz des Umsatzes der Firma, hatte 2019 ein Freelancer aus Łódź geschrieben. Der Vertrag war drei Seiten lang, ohne Klausel zur Übertragung des urheberrechtlichen Nutzungsrechts. Formal nutzte das Unternehmen also ein Portal, an dem es keine Rechte hatte. Der Käufer verlangte eine Vertragsergänzung vor dem Closing — der Freelancer, der die Lage witterte, verlangte 40.000 PLN für die Unterschrift unter dem Nachtrag.
Bereich drei — Bus-Faktor und Dokumentation. Der Einzige, der wusste, wie man die ERP-Datenbank (eine ältere Version von Microsoft Dynamics AX) wiederherstellt, war ein externer IT-Dienstleister, seit 11 Jahren im Werkvertrag, ohne schriftliches Übergabeverfahren. Der Käufer schätzte das Risiko bei seinem Weggang auf 3–6 Monate operativer Lähmung — und dieses Risiko floss in den Vertrag als Anforderung ein, diese Person für zwei Jahre nach dem Deal auf einen Managementvertrag zu binden.
Zusammen senkten diese drei Feststellungen den angebotenen Kaufpreis um rund 7 %. Jede davon wäre in sechs Monaten zu bereinigen gewesen, hätte jemand ein halbes Jahr früher gefragt: „Was tun wir damit, wenn der Käufer kommt?".
Wie Sie das Unternehmen vorbereiten — sechs Monate im Voraus
Die IT in zwei Wochen auf eine Due-Diligence vorzubereiten geht nicht. In sechs Monaten geht es, ohne große Ausgaben, vorausgesetzt jemand führt das Programm konsequent durch.
- Monat 1 — Inventur. Katalog aller Systeme, Anwendungen, Dienstkonten, Integrationen. Wer in den letzten 24 Monaten für IT bezahlt wurde und wofür. Liste der Serviceverträge mit Enddaten.
- Monat 2 — Lizenzen. Abgleich gekaufter vs. genutzter Arbeitsplätze in Microsoft 365, Comarch Optima, CAD, Adobe. Fehlende Lizenzen jetzt nachzukaufen kostet weniger als eine Strafe in der Due-Diligence.
- Monat 3 — Urheberrechte. Prüfung aller Verträge mit externen Softwareanbietern. Dort, wo die Rechteübertragungsklausel fehlt — jetzt einen Nachtrag unterschreiben, aus einer normalen Verhandlungsposition, nicht unter Deal-Druck.
- Monat 4 — Kontinuität. Dokumentierter Backup-Restore-Test (Datum, Uhrzeit, was wiederhergestellt wurde, wie lange es dauerte). Ein Blatt Papier, das in der Due-Diligence so viel wert ist wie ein dreistündiges Erklärungsgespräch.
- Monat 5 — DSGVO und Dokumentation. Verzeichnis von Verarbeitungstätigkeiten. Auftragsverarbeitungsverträge mit wichtigen Lieferanten (Buchhaltung, Hosting, HR-System). Sicherheitsrichtlinie — nicht unbedingt schön, aber vorhanden.
- Monat 6 — Bus-Faktor. Aufschreiben, wer was weiß. Für jedes kritische System — eine zweite Person oder ein schriftliches Verfahren, das einem Außenstehenden erlaubt, das System innerhalb einer Woche zu übernehmen.
Man muss nicht alles auf einmal machen, man muss keine Berater für hunderttausend engagieren. Es reicht, zwei bewusste Tage pro Monat Dokumentation zu sammeln — statt Lücken während der Verhandlung zu entdecken. Jede Stunde, die ein halbes Jahr früher in Aufräumen gesteckt wird, ist im Transaktionspreis ungefähr das Zehnfache wert.
Wenn Sie planen, das Unternehmen in ein bis zwei Jahren zu verkaufen, oder Sie gerade die erste Absichtserklärung erhalten haben und nicht wissen, was von IT-Seite auf Sie zukommt, lohnt sich ein interner Mock-Audit vorab. Vier bis sechs Arbeitstage; das Ergebnis zeigt, wo das Unternehmen steht, bevor es der Käufer sieht.
Der Käufer sucht nicht das perfekte Unternehmen — er sucht Risiken, mit denen er den Preis drückt. IT-Due-Diligence ist dankbares Jagdrevier, weil fast kein KMU seine Technik mit einem adversarialen Blick führt.