IT-Due-Diligence
Im Rahmen von M&A-Transaktionen ist eine gründliche Prüfung potenzieller Risiken unerlässlich, um rechtliche, finanzielle und strategische Fehlentscheidungen zu vermeiden. Während eine „Financial and Legal Due Diligence“ längst zum Standard gehört, wird die IT–Due-Diligence häufig noch unterschätzt – dabei gehört sie sowohl angesichts der zunehmenden Komplexität der IT als auch der wachsenden Cyberbedrohung zu den wichtigsten Bestandteilen einer erfolgreichen Transaktion.
Was ist IT-Due-Diligence?
Bei einer IT-Due-Diligence handelt es sich um einen strukturierten Prozess, bei dem potenzielle Risiken in der IT-Infrastruktur, IT-Sicherheit, IT-Governance inklusive IT-Lizenzierung und Datenorganisation eines Unternehmens identifiziert, bewertet und adressiert werden. Sie zielt darauf ab, schwerwiegende Folgen wie Datenverluste, Betriebsunterbrechungen oder Reputationsschäden zu vermeiden bzw. erkannte Risiken in die Entscheidungsgrundlage hinsichtlich der Durchführung der Transaktion einfließen zu lassen.
Warum ist IT-Due-Diligence so wichtig?
In einer Zeit, in der Cyberangriffe zunehmend Unternehmen bedrohen, kann ein unzureichender Schutz der IT-Infrastruktur oder ein falscher Umgang mit Daten nachhaltige Schäden verursachen:
- Für Käufer: Die Übernahme eines Unternehmens mit unzureichendem Schutz oder nicht identifizierten Risiken birgt das Risiko kostspieliger Sicherheitsvorfälle.
- Für Verkäufer: Unzureichende Cybersicherheit kann Gewährleistungs- und Schadenersatzansprüche nach sich ziehen und den Verkaufspreis negativ beeinflussen.
Mit einer IT-Due-Diligence können die Transaktionsparteien die IT-Landschaft des Zielunternehmens analysieren, Schwachstellen beheben und damit Risiken proaktiv minimieren bzw. entsprechende Freistellungen und Haftungsbeschränkungen regeln.
Welche Vorteile bringt eine IT-Due-Diligence?
Durch eine umfassende IT–Due-Diligence wird das Haftungsrisiko für beide Transaktionsparteien reduziert, indem potenzielle Bedrohungen und nicht behandelte Sicherheitslücken frühzeitig erkannt und gezielt technisch sowie rechtlich adressiert werden. Gleichzeitig können im Prozess die Strukturen auf Kompatibilität zum potenziellen Käufer hin überprüft werden. Dies schützt das Unternehmen nicht nur vor möglichen Sicherheitsvorfällen, sondern auch vor Ausfällen, Datenverlusten und Reputationsschäden, die in Krisensituationen auftreten können. Zudem sorgt eine detaillierte Prüfung für erhöhte Transaktionssicherheit: Käufer erhalten Klarheit über die IT-Sicherheit des Zielunternehmens, während Verkäufer den Wert ihrer IT-Infrastruktur und deren Widerstandsfähigkeit unterstreichen können. Ein weiterer Vorteil liegt in der Optimierung der Integration und Migration nach einer Übernahme, da die gründliche Analyse der IT-Struktur den Integrationsprozess erleichtert und langfristig eine reibungslose Fusion gewährleistet.
Unsere Leistungen zur IT-Due-Diligence
Unser erfahrenes Team unterstützt Sie bei der Durchführung einer IT-Due-Diligence, unabhängig davon, ob Sie Käufer oder Verkäufer sind:
- Analyse und Bewertung von Richtlinien und Prozessen
Wir analysieren die Datenschutzstrategie, Sicherheitskonzepte und IT-Governance. - Clear- und Darknet-Monitoring
Wir identifizieren potenziell veröffentlichte Daten, z.B. Zugangsdaten, sowie Fake-Shops, Domainsquatting oder anderen Betrugsaktivitäten zulasten des Zielunternehmens. - Identifikation von Schwachstellen
Wir untersuchen kritische Sicherheitslücken, die die Unternehmensbewertung beeinflussen können. - Überprüfung von Drittparteirisiken
Wir bewerten des Dienstleistermanagements, um Risiken durch externe Partner einzuschätzen. - Erstellung eines umfassenden Berichts
Wir stellen die IT-Governance und Cybersicherheit des Zielunternehmens, inklusive Red-Flags, potenziellen Ausschlusskriterien und Verbesserungsvorschlägen detailliert dar. - Handlungsempfehlungen und Roadmap
Wir erarbeiten für Sie konkrete Maßnahmen zur Behebung von Schwachstellen, einschließlich eines Kosten- und Zeitrahmens für deren Umsetzung.
Ansprechpartner
Dirk Koch
Rechtsanwalt | Partner
CEHv11 – Certified Ethical Hacker | Data Protection Risk Manager | CIPP/E
Olga Stepanova
Rechtsanwältin | Partnerin
LL.M. (Berkeley) | CIPP/E | Fachanwältin für gewerblichen Rechtsschutz | Fachanwältin für Informationstechnologierecht | Datenschutzbeauftragte (TÜV)
FAQ: IT-Due-Diligence
Geprüft werden unter anderem die eingesetzten IT-Systeme und Softwarelizenzen, bestehende IT-Verträge, die Datenschutz-Compliance sowie etwaige laufende oder drohende Rechtsstreitigkeiten im IT-Bereich. Auch die IT-Sicherheitslage, frühere Sicherheitsvorfälle und eine Darkweb-Analyse spielen eine wichtige Rolle für die Risikobewertung. Dabei kann insbesondere geprüft werden, ob gestohlene Zugangsdaten von Mitarbeitenden im Umlauf sind, die Angreifern Zugriff auf Systeme oder Daten des Unternehmens ermöglichen könnten. Ziel ist es, versteckte rechtliche, technische und finanzielle Risiken vor Abschluss der Transaktion aufzudecken.
Datenschutzverstöße des Zielunternehmens können den Erwerber wirtschaftlich erheblich belasten. Dabei ist zwischen den Transaktionsstrukturen zu unterscheiden. Beim Share Purchase Deal werden lediglich Anteile an der Zielgesellschaft übertragen. Die Zielgesellschaft bleibt derselbe Rechtsträger und damit selbst Adressat von Bußgeldern, Schadensersatzansprüchen und aufsichtsbehördlichen Maßnahmen, die auf Verstößen aus der Zeit vor dem Erwerb beruhen. Eine Rechtsnachfolge in der Person des Erwerbers findet insoweit nicht statt; der Erwerber trägt das Risiko nicht als Haftungsschuldner, sondern wirtschaftlich, weil Altlasten den Wert seiner Beteiligung mindern und nach dem Closing zulasten der von ihm gehaltenen Gesellschaft realisiert werden. Anders kann es beim Asset Deal sowie bei Umwandlungsvorgängen liegen, bei denen es je nach Ausgestaltung zu einem Übergang von Verbindlichkeiten und im bußgeldrechtlichen Bereich zu einer Rechtsnachfolge nach § 30 OWiG kommen kann; hinzu treten die datenschutzrechtlichen Anforderungen an die Übertragung von Datenbeständen selbst. Unabhängig von der Struktur kann eine mangelhafte Datenschutzorganisation den tatsächlichen Wert des Unternehmens deutlich mindern, etwa bei Kundendatenbeständen wie Newsletter-Abonnenten ohne nachweisbares Double-Opt-in. Eine gründliche Prüfung vor Vertragsschluss ermöglicht es, solche Risiken im Kaufpreis, in Garantien und Freistellungen oder über Escrow-Regelungen zu berücksichtigen.
Häufige Probleme sind nicht ausreichend lizenzierte Software, unklare Nutzungsrechte bei individuell entwickeltem Code oder die Verwendung von Open-Source-Komponenten mit einschränkenden Copyleft-Lizenzen. Auch auslaufende oder nicht übertragbare Lizenzverträge sowie Change-of-Control-Klauseln können nach einer Übernahme zu Problemen führen. Diese Risiken sollten möglichst vor Vertragsschluss vertraglich abgesichert oder im Kaufpreis berücksichtigt werden.
Die Dauer hängt stark vom Umfang der IT-Landschaft und der Anzahl der zu prüfenden Verträge ab. Bei kleineren Unternehmen sind einige Tage bis wenige Wochen üblich, bei komplexeren Strukturen kann es deutlich länger dauern. Eine gute Vorbereitung durch das Zielunternehmen, etwa durch einen gut strukturierten Datenraum, kann den Prozess erheblich beschleunigen. Zeitdruck im Rahmen der Transaktion sollte nicht dazu führen, wesentliche Prüfungspunkte auszulassen.
Frühere Sicherheitsvorfälle, unzureichende Schutzmaßnahmen oder fehlende Notfallpläne können erhebliche versteckte Kosten und Haftungsrisiken bedeuten, etwa durch drohende Bußgelder oder notwendige Nachrüstungen. Auch die Einhaltung branchenspezifischer und regulatorischer Vorgaben, etwa aus der NIS-2-Umsetzung oder aus DORA, sollte geprüft werden. Diese Erkenntnisse fließen häufig in Kaufpreisverhandlungen oder Garantieklauseln ein.