Im Falle einer Übernahme tauschen nicht nur Belegschaftsmitglieder und Erzeugnisse den Eigentümer, sondern auch komplexe IT-Landschaften samt ihrer Vorzüge und Schwächen. IT-Due-Diligence, also die IT-Risikoprüfung ehe Firmenakquisition, wird dabei oft verkannt. Allerdings wer, hier Fehler macht, trägt später die Ausgaben – manchmal mit weitreichenden Konsequenzen…
Bei einer Firmenübernahme sind Dinge etwa Umsätze, Churn-Raten, Synergien, Vermögenswerte und Belegschaft im Mittelpunkt. All das sind ohne Zweifel entscheidende Aspekte – aber ein Sektor tritt dabei oft ins Nachsehen: die IT. Sie ist im Alltag so gewohnt, sodass man sie häufig übersieht. Dabei bestimmt genau sie hierüber, ob Prozesse störungsfrei ablaufen, Daten geschützt sind und das Geschäft beständig bleibt.
Wer genau schaut, findet in vielen Firmen Serverräume, die seit Jahren nicht modernisiert worden sind, überholte Datenbanken oder eine Firewall, die längst keine aktuellen Sicherheitsstandards mehr gewährleistet. IT ist das stille Fundament vieler Deals – bis es knallt.
Deshalb ist im Falle einer Firmenübernahme eine gründliche IT-Due-Diligence, also die IT-Risikoprüfung vor der Firmenakquisition, im Grunde zwingend. Auch der Bundesverband Deutscher Unternehmensberater sieht darin einen Weg für mehr Transparenz und optimale Entscheidungen während des Unternehmenskauf.
Sie führen in ihrem Artikel über IT-Due-Diligence ganz eindeutig, es „beim Kauf eines Unternehmens nicht mehr ausreicht, die IT des zu erwerbenden Unternehmens (Target) nur einer oberflächlichen Risikoanalyse (Red Flag Due Diligence) zu unterziehen“ (Quelle: Bundesverband Deutscher Unternehmensberater).
Was steckt hinter IT-Due-Diligence?
Ganz ehrlich: Zahlreiche verwenden den Terminus, wenige können ihn wirklich erklären. Im Kern heißt IT-Due-Diligence einfach, dass man die IT eines Zielunternehmens einer vollständigen Prüfung unterzieht – nicht nur, um Gefahren zu entdecken, sondern auch, um den tatsächlichen Nutzen der IT-Grundstruktur zu verstehen. Es geht keineswegs um eine Checkliste oder ein Routine-Audit.
Es geht um das Erkennen von Fallstricken, um juristische Abhängigkeiten, Schwachstellen, obsolet gewordene Techniklösungen und manchmal sogar um versteckte Potenziale. Wer weiß schon, welche Eigenentwicklungen über die Jahre im Unternehmen entwickelt wurden? Oder welche externen Softwareprodukte unverzichtbar für das Tagesgeschäft wurden?
Absicht ist am Ende immer dasselbe: keine bösen Überraschungen in Sachen IT nach der Unterschrift zu machen.
IT-Due-Diligence ist also ein wesentlicher Bestandteil von Mergers & Acquisitions (M&A), dem englischsprachigen Ausdruck für Firmenzusammenschlüsse und Akquisitionen, weil sie aufdeckt, ob die Informationssysteme, Daten und Schutzmechanismen des akquirierten Unternehmens robust, compliant und zukunftssicher sind und in welchen Bereichen Defizite oder gar dringender Verbesserungsbedarf vorliegt.
Die häufigsten Schwächen in der IT
Die Aufzählung an Risiken bei einer Unternehmensakquisition ist lang, und häufig kann sie nicht mal das eigene Technikteam identifizieren. Es beginnt bei übersehenen Software-Lizenzen, geht über nicht festgehaltene Schnittstellen bis hin zu Systemen, deren Entwickler längst die Organisation verlassen haben.
Besonders gefährlich wird es meist, wenn die IT im Laufe der Jahre zur Experimentierfläche verschiedener Systemverwalter und Dienstleister geworden ist – dann poppen plötzlich veraltete Strukturen auf, von denen niemand mehr nachvollziehen kann, wofür sie eigentlich gut waren.
Zudem wird der Schutz personenbezogener Daten manchmal nicht ordnungsgemäß eingehalten, Cloud-Verträge verstauben im Schrank, und spätestens bei selbst entwickelter Software wird es oft intransparent. Wer hier nicht sorgfältig prüft, riskiert, dass mit einer Übernahme nicht nur Systeme und Informationen den Besitzer ändern, sondern auch die veralteten Komponenten und Fehler der früheren Jahre.
Gerade in stark regulierten Sektoren kann das schnell kostspielig werden – monetäre wie auch reputative Folgen inbegriffen.
Auch Vertragsverwaltung ist oft ein Minenfeld: Abos, deren Beendigungsfristen niemand mehr genau kennt, Software, die in der Cloud läuft, aber mit Daten umgeht, die eigentlich nicht ins andere Länder dürften. Das alles sind keine Nebenaspekte, sondern können einen Deal verzögern oder zu erneuten Gesprächen zwingen. Wer hier nur oberflächlich prüft, steht schnell mit dem Rücken zur Wand.
Deshalb ist es für beide Parteien sinnvoll, einen kompetenten Spezialisten einzubeziehen, der eine fachkundige IT-Due-Diligence-Prüfung durchführt.
Schritte einer erfolgreichen IT-Prüfung
Bei einer gründlichen IT-Due-Diligence gibt es keinen einheitlichen Ablaufplan, der auf jedes Unterfangen anwendbar ist – auch wenn einige Berater das behaupten. Wohl aber lassen sich verschiedene zentrale Schwerpunkte der IT-Due-Diligence festlegen, dazu zählen:
- IT-Strategie: Beurteilung der Ausrichtung an das Geschäft, vorhandene Roadmaps und zukünftige Entwicklungspläne.
- Mitarbeiter & Organisation: Analyse der Aufbauorganisation, Leitungsebenen, Verflechtungen von Schlüsselkräften sowie Nutzung externer Partnerunternehmen.
- Applikationslandschaft: Prüfung der zentralen Softwarelösungen in Hinblick auf ihre Fähigkeit, Haupt- und Unterstützungsprozesse wirkungsvoll zu unterstützen.
- Technische Infrastruktur: Analyse von Rechenzentren, Servern, Netzarchitekturen und IT-Sicherheitsmaßnahmen.
- IT-Prozesse: Bewertung der wichtigen Abläufe in Entwicklung, Operation und Unterstützung.
- Finanzen im IT-Bereich: Gegenüberstellung von Ausgaben und Einnahmen sowie Branchen-Benchmarks und Identifizierung möglicher Einsparungspotenziale.
Eine professionelle IT-Due-Diligence verläuft in mehreren Schritten ab: Zunächst werden alle bestehenden Dokumente zur IT-Systemlandschaft und den wichtigsten Systemen angefordert und analysiert. Dabei zeigt sich in den meisten Situationen, dass nicht alle Daten vollständig oder zeitgemäß sind, weshalb zusätzliche Rückfragen an die IT-Verantwortlichen erforderlich werden.
Im anschließenden Schritt werden Interviews geführt, um Unklarheiten zu klären und ein umfassendes Verständnis der IT-Umgebung zu gewinnen.
Anschließend folgt die Analyse der Hauptfelder: Welche Systeme sind im Einsatz, wie ist die Schutzstruktur organisiert, sind alle Nutzungsrechte und Verträge gültig und gibt es aktuelle Notfallpläne? Häufig tauchen bei Eigenentwicklungen oder veralteten Integrationen weitere Einzelfragen auf.
Am Ende der Prüfung steht ein Bericht, der die zentralen Erkenntnisse, Risiken und Handlungsbedarfe festhält. Dieser Endbericht ist die Basis für Beschlüsse rund um die Übernahme und zeigt, wo eventuell noch Nachbesserungen erforderlich werden.
Lehren aus vergangenen Deals
Papier ist nachsichtig, Checklisten sind es auch. Nach unserer Praxiserfahrung gilt: Wer IT-Due-Diligence ernst meint, setzt auf authentische Gespräche, offene Kommunikation und eine angemessene Dosis Misstrauen gegenüber zu perfekten Rückmeldungen.
Gute Ergebnisse resultieren selten im stillen Kämmerlein, sondern dort, wo verschiedene Disziplinen zusammenarbeiten: IT, Juristik, Compliance, manchmal sogar Personalabteilung. Ein erfahrener Blick auf die Einzelheiten unterstützt dabei, Schwachstellen zu identifizieren, die auf keiner Liste stehen.
Mitunter kann schon eine scheinbar kleine Rückfrage wie „Wann fand der letzte Notfalltest statt?“ wesentliche Hinweise auf den Reifegrad der IT geben.
Bedeutsam ist auch, das Ergebnis nicht in der Ablage versanden zu lassen: Die beste Risikoanalyse bringt nichts, wenn sie am Tag nach dem Abschluss niemanden mehr interessiert. Gelungene Eingliederungen profitieren davon, dass die Erkenntnisse der IT-Due-Diligence auch tatsächlich umgesetzt und nachgehalten werden.
Wer das verinnerlicht, spart nicht nur Kosten, sondern profitiert von strukturellen und prozessualen Verbesserungen.
Was Entscheider mitnehmen sollten
Am Ende bleibt die Erkenntnis: Keine Akquisition ist wie die andere, und keine IT gleicht der nächsten. Wer denkt, ein paar Vorlagen und eine Liste mit Zugangsdaten genügen, unterschätzt die Realität im Back-End.
IT-Due-Diligence ist herausfordernd, manchmal enttäuschend und nie ganz ohne Überraschungen. Aber genau das macht sie so bedeutsam. Wer ehrlich analysiert, was wirklich gegeben ist, kann nicht nur Schwachstellen reduzieren, sondern aus der IT auch echte Erfolgsfaktoren machen.
Es braucht Mut, auch die kritischen Themen zu stellen – aber noch mehr Charakterstärke, den Ergebnissen nicht aus dem Weg zu weichen.
Wer beim Unternehmenskauf auf Sicherheit setzen will, sollte keine Abstriche machen! Wir stehen Ihnen als Experten rund um IT-Due-Diligence zur Seite – sprechen Sie uns jederzeit an.