Digitale und technische Risikoanalyse in der Due Diligence vor Investitionen

Die Vorinvestitions-Due-Diligence ist nicht nur ein Prozess, bei dem Abschlüsse, Verträge und Unternehmensregister geprüft werden. In Technologieunternehmen kann ein erheblicher Teil des Unternehmenswertes aus Domänen, Software, Quellcode, Kundendaten, Cloud-Infrastruktur, geistigen Eigentumsrechten und digitalen Markenwerten bestehen.

Daher hilft digitale und technische Due Diligence Investoren, sowohl das Wachstumspotenzial als auch verborgene betriebliche und rechtliche Risiken des Unternehmens zu erkennen.

Was ist Digital Due Diligence?

Digitale Due Diligence ist eine Überprüfungsschicht, die die technische Infrastruktur, den digitalen Vermögensbesitz, das Datenmanagement, die Sicherheitskontrollen, die Softwareabhängigkeiten und die Online-Risiken systematisch bewertet.

Insbesondere in Technologie, SaaS, E-Commerce und Plattform-Unternehmen, bietet diese Überprüfung die frühzeitige Erkennung von technischen Schulden oder Eigentumsproblemen, die nach Investitionen auftreten können.

1. Domain- und Digital Asset Ownership

Die Hauptdomäne des Unternehmens, kritische Subdomänen und andere digitale Konten müssen unter der Kontrolle des Unternehmens sein.

Zu untersuchende Themen:

auf wessen Konto die Domain registriert ist,
wer die DNS-Verwaltung kontrolliert,
ob Verlängerungs- und Wiederherstellungsdaten aktuell sind,
Ist der Besitz von Social-Media-Konten klar,
Sind kritische SaaS-Konten mit Firmen-E-Mail verbunden.

2. Rechte am Quellcode

Der Quellcode des Produkts kann eines der wertvollsten digitalen Vermögenswerte des Unternehmens sein. Der Code allein im Git-Konto beweist jedoch kein Rechtseigentum.

Es sollte auch untersucht werden, wie Rechte an Software in Verträgen mit Mitarbeitern, Gründern, Freiberuflern und externen Software-Teams geregelt werden.

3. Repository und Zugriffsmodell

Liegt das Quellcode-Repository ausschließlich im Konto eines externen Entwicklers oder ehemaligen Mitarbeiters, entsteht ein erhebliches Betriebsrisiko.

Im Rahmen der Due Diligence lassen sich prüfen:

Eigentum an Repositorien,
Admin-Benutzer,
Branch-Schutz,
Zugang zur Bereitstellung,
Verwaltung von Zugangsschlüsseln

4. Open Source Lizenzen

Moderne Software nutzt zahlreiche Open Source Bibliotheken. Die Lizenzbedingungen dieser Bibliotheken können sich auf das kommerzielle Modell des Produkts auswirken.

Technische und juristische Teams sollten Lizenzen gesondert prüfen, die Pflichten zur Verbreitung oder Offenlegung des Quellcodes begründen können.

5. Abhängigkeit von Cloud und Hosting

Es sollte untersucht werden, welche Cloud-Dienste das Unternehmen davon abhängig ist, wie portabel die Infrastruktur ist und ob das Unternehmen in kritischen Serviceunterbrechungen weiterarbeiten kann.

Beispielfragen:

Gibt es eine kritische Abhängigkeit von einem einzelnen Anbieter?
Wird Infrastructure-as-Code verwendet?
Sind Datensicherungen vorhanden?
Wurde ein Restaurationstest durchgeführt?
Wer hat Zugang zur Produktion?

6. Technische Schulden

Das Produkt kann laufen, kann aber schwere technische Schulden tragen.

Ältere Framework-Versionen, fehlende Dokumentation, fehlende Tests, Abhängigkeit von einer Person oder komplexe Bereitstellungsprozesse können die Post-Investment-Kosten erhöhen.

7. Informationssicherheit

Bewerten Sie bei der Due Diligence den Sicherheitsreifegrad im Verhältnis zur Unternehmensgröße.

Bereiche, die kontrolliert werden können:

MFA-Nutzung,
rollenbasierter Zugang,
Protokollierung,
Datensicherungen,
Schwachstellenmanagement,
Reaktion auf Sicherheitsvorfälle,
Austrittsverfahren für Beschäftigte.

8. Karte der personenbezogenen Daten

Wenn das Unternehmen nicht weiß, welche personenbezogenen Daten es erhebt und in welchen Systemen Daten verarbeitet werden, können nach Investitionen erhebliche Compliance-Kosten entstehen.

CRM, Analysen, Support-Systeme, E-Mail-Marketing, Mitarbeitersysteme und Cloud-Services müssen in die Datenkarte aufgenommen werden.

9. Datenflüsse im Sinne von KVKK und DSGVO

Entsprechend dem Tätigkeitsbereich des Unternehmens sind auch die Verpflichtungen aus der KVKK und gegebenenfalls die DSGVO zu prüfen.

Insbesondere:

Prozesse der Privatsphäre-Information,
Datenverarbeitungszwecke,
ihre Aufbewahrungsfrist,
Zugriffsberechtigungen,
Datenübermittlungen ins Ausland,
Lieferantenbeziehungen

sind wichtige Prüfbereiche.

10. API und Integrationen von Dritten

Ein Produkt kann von vielen externen Diensten abhängen. Zahlungs-, CRM-, Messaging-, Analyse-, Karten- und KI-APIs können entscheidend für den Betrieb sein.

Für jede Integration:

Geschäftszweck,
Zugang zu Daten,
Kosten,
Genehmigung,
Risiko der Anbieterabhängigkeit

kann beurteilt werden.

11. Marken- und digitales Reputationsrisiko

Der Investor kann nicht nur die eigenen Systeme, sondern auch die externen digitalen Risiken betrachten.

Zum Beispiel:

falsche Domänen,
gefälschte Konten für soziale Medien,
Markenrechtsstreitigkeiten,
weitverbreitete Kundenbeschwerden,
Gefährliche Ergebnisse auf Google,
Unbefugte Vertriebskanäle

können den Unternehmenswert und den betrieblichen Bedarf nach der Investition beeinflussen.

12. Kunden- und Betriebsdaten

Technische Due Diligence ist nicht nur auf der Suche nach einer Verwundbarkeit. Die tatsächlichen Nutzungsdaten des Produkts können ebenfalls untersucht werden.

Zum Beispiel:

Aktive Nutzertrends,
Kundenbindung (Retention),
Kundenabwanderung (Churn),
Systemfehlerrate,
Aufkommen an Support-Tickets,
kritische Produktprobleme

können Aufschluss über den betrieblichen Zustand des Produkts geben.

13. Abhängigkeit von einer einzelnen Person

Wenn nur ein Entwickler das gesamte Wissen über die Produktionsumgebung besitzt, kann nach der Investition ein Kontinuitätsrisiko entstehen.

Prüfen Sie Dokumentation, Bereitstellungsverfahren, Kontrolle der Zugangsdaten und Wissensaustausch.

Beispiele für die rote Flagge

Die Domain liegt im Konto der früheren Agentur statt des Gründers.
Das vertragliche Eigentum am Quellcode ist unklar.
Produktionszugriffe werden mit einem gemeinsamen Passwort verwendet.
Es gibt eine Sicherung, aber die Wiederherstellung wurde noch nie getestet.
Kritische API-Schlüssel werden im Repository aufbewahrt.
Es ist nicht bekannt, in welche Länder Kundendaten übermittelt wurden.
Das Produkt hängt vom manuellen Einsatzprozess ab, der nur einer Person bekannt ist.

Was sollte ein Due-Diligence-Bericht enthalten?

Die Priorität der Risiken und die Kosten der Lösungen sollten auch gezeigt werden, anstatt die Liste der Probleme allein.

Beispielhafte Ergebnisse:

Fläche	Risiko	Ebene	Maßnahmen
Domain	In einem Privatkonto geführt	Hoch	Auf ein Unternehmenskonto übertragen
Datensicherung	Keine Wiederherstellungsprüfung	Mittel	Wiederherstellungstest
KVKK	Datenkarte fehlt	Mittel	Datenbestand

Vorinvestitionen Digitale Risiko Checkliste

Domain-Eigentum bestätigt?
Wird der Quellcode von Unternehmen kontrolliert?
Werden IP-Rechte durch Verträge geregelt?
Wurden Open-Source-Lizenzen überprüft?
Ist der Zugriff auf die Produktion dokumentiert?
Gibt es Backup- und Wiederherstellungstests?
Gibt es eine persönliche Datenkarte?
Sind API-Abhängigkeiten aufgelistet?
Wurden Marken- und Online-Reputationsrisiken untersucht?
Gibt es einen kritischen Prozess, der von einer Person abhängt?

Der Ansatz B10

B10 Digital Agency betrachtet bei der digitalen Risikoanalyse mehr als Quellcode und Infrastruktur. Sie will Web, Sicherheit, Integration, Daten, Markenschutz und Online-Reputation in einem Inventar bewerten.

Fazit

Investitionsrisiken eines Technologieunternehmens stehen nicht nur in der Bilanz. Schon kleine Unklarheiten bei Domains, Quellcode, Datenflüssen, Sicherheit, Integrationen oder Markenwerten können nach der Investition erhebliche Kosten verursachen. Digitale Due Diligence macht diese verborgenen Risiken vor der Transaktion sichtbar.