IT-Due-Diligence bei Unternehmensverkauf und Nachfolge

Was eine IT-Due-Diligence prüft

Eine IT-Due-Diligence beantwortet für einen Käufer eine Frage: Kann die IT dieses Unternehmens das Geschäft nach dem Deal tragen, und was muss vorher geschehen? Für einen Verkäufer beantwortet sie dieselbe Frage früher, solange noch Zeit ist, Lücken zu schließen, bevor ein Käufer sie findet.

Warum die IT bei einem kleineren Deal eine eigene Prüfung braucht

Wenn ein kleineres Unternehmen verkauft oder an einen Nachfolger übergeben wird, stehen die finanzielle und die rechtliche Prüfung zuerst auf dem Plan. Am Tag des Closings übernimmt der Käufer aber auch die Server, die Softwarelizenzen und die Verträge mit IT-Dienstleistern, zusammen mit dem einen Mitarbeiter oder externen Dienstleister, der weiß, wie alles zusammenhängt. Ist dieses Wissen nicht aufgeschrieben, zahlt der Käufer später dafür: mit Ausfällen oder mit den Kosten eines neuen Dienstleisters.

Checkliste für die IT-Due-Diligence eines kleineren Unternehmens

Diese Bereiche arbeite ich durch, jeweils mit den Unterlagen, die ich im Datenraum anfordere. Ein fehlendes Dokument ist selbst ein Befund.

Bereich	Was ich prüfe	Unterlagen, die ich anfordere
Systeme	Server, Cloud-Konten und Software, mit Alter und Supportstatus	Systemliste, Netzwerkplan
Unternehmenssoftware	ERP, CRM oder Shop: Version, individuelle Anpassungen, Hersteller	Lizenz- und Wartungsverträge
Lizenzen	Ob die Lizenzen die tatsächliche Nutzung abdecken und auf den Käufer übergehen	Lizenzliste, Change-of-Control-Klauseln
IT-Dienstleister	Wer was betreibt, Kündigungsfristen, Abhängigkeit von einem einzigen Anbieter	Serviceverträge, Service Levels
Personen	Wer welches System kennt und was passiert, wenn diese Person geht	Organigramm, Übergabenotizen
Dokumentation	Ob Einrichtung, Backups und Zugänge aufgeschrieben sind	Betriebshandbücher
Sicherheit	Zugriffsrechte, Updates, Vorfälle der letzten Jahre	Zugriffslisten, Vorfallberichte
Backups	Ob eine Wiederherstellung getestet wurde und wie lange ein Ausfall dauern darf	Backup-Plan, Protokoll des letzten Wiederherstellungstests
Datenschutz	Wo personenbezogene Daten liegen und ob die DSGVO-Unterlagen vorhanden sind	Verzeichnis von Verarbeitungstätigkeiten, Verträge zur Auftragsverarbeitung
Eigene Software	Wem der Code gehört, wie er getestet wird, wer ihn ausliefern kann	Zugang zum Repository, Rechteklauseln in Verträgen mit Entwicklern
Kosten	Laufende IT-Kosten und Investitionen, die bald fällig werden	IT-Budget, Rechnungen des letzten Jahres
Closing	Welche Konten, Domains und Verträge den Besitzer wechseln	Domainliste, Liste der Admin-Konten

Die letzte Zeile gerät leicht in Vergessenheit. Domains, Admin-Logins und Cloud-Konten können auf den Namen eines früheren Mitarbeiters oder des Inhabers laufen, und sie müssen am Tag des Closings auf den Käufer übergehen.

Woher meine Due-Diligence-Erfahrung kommt

Ich habe an mehreren Due-Diligence-Prüfungen mitgewirkt, auf Käufer- und auf Verkäuferseite. Mein Teil waren die Unterlagen zur Qualität der IT-Systeme, zum Zustand der Teams und zur Verfassung der Produkte: Für Käufer habe ich sie geprüft, für Verkäufer vorbereitet.

Außerdem habe ich Verträge, Lizenzvereinbarungen und Nutzungsbedingungen für Business Development und IT geschrieben und geprüft. Beim Frankfurter Unternehmen Blocksize Capital gehörten dazu die Bedingungen eines Marktdatenprodukts und der rechtliche Rahmen eines Partnerprogramms. Als CIO hatte ich dort die disziplinarische Verantwortung für geschäftskritische Teams und war für die IT-Budgets zuständig.

Wer ich bin

Ich bin Michael Wutzke aus Frankfurt und arbeite seit mehr als zwanzig Jahren in IT und Medien. Vor der Rolle als CIO war ich Head of Decentralized Finance and Node Operations bei Blocksize Capital, davor Projektmanager und Webentwickler bei einer Versicherungsgruppe und früher IT Team Lead und Geschäftsführer. Ich sitze im Product Advisory Committee der Digital Token Identifier Foundation. Details: Publikationen, Presse und Gremien.