Der wichtigste IT-Mitarbeiter erklärt, alles laufe stabil. Gleichzeitig existieren weder eine aktuelle Systemübersicht noch ein dokumentierter Wiederherstellungstest. Ein möglicher Nachfolger kann dann nicht beurteilen, ob Stabilität auf belastbaren Prozessen oder auf der ständigen Verfügbarkeit einer einzelnen Person beruht.
IT Due Diligence untersucht die technische Betriebsgrundlage im vereinbarten Umfang. Für den Eigentümer steht nicht jede technische Einzelheit im Vordergrund, sondern die Frage: Kann das Unternehmen sicher, wirtschaftlich und übertragbar weiterarbeiten?
Systeme über Geschäftsprozesse erklären
Beginnen Sie mit den kritischen Abläufen: Auftragseingang, Leistungserbringung, Abrechnung, Zahlung, Personal und Kundenbetreuung. Ordnen Sie jedem Ablauf Anwendungen, Daten, Infrastruktur und zuständige Personen zu.
Eine Liste von Softwareprodukten allein zeigt keine Abhängigkeiten. Ein kleines Zusatzsystem kann beispielsweise die einzige Verbindung zwischen Zeiterfassung und Abrechnung sein. Fällt es aus, betrifft dies direkt den Cashflow.
Die Übersicht sollte außerdem erkennen lassen, welche Systeme selbst betrieben und welche von Dienstleistern bereitgestellt werden. Dokumentieren Sie Verträge, Ansprechpartner und vereinbarte Leistungen.
Lizenz und Nutzungsrecht von technischer Verfügbarkeit trennen
Dass eine Anwendung funktioniert, beweist nicht, dass alle Rechte in der geplanten Zielstruktur verfügbar sind. Prüfen Sie Nutzerzahlen, Vertragspartei, Weitergabe, Konzernnutzung und mögliche Folgen eines Eigentümerwechsels.
Bei Eigenentwicklungen gehören Quellcodezugang, Dokumentation, Build- und Betriebsfähigkeit sowie die rechtlich geprüfte Rechtekette in den Bestand. Externe Entwickler, Open-Source-Komponenten und personenbezogene Daten können jeweils eigene Fachfragen auslösen.
NEXIT organisiert Unterlagen und wirtschaftliche Auswirkungen. Technische und rechtliche Spezialisten prüfen Sicherheit, Architektur und Nutzungsrechte innerhalb ihres Auftrags.
Sicherheitslage durch Nachweise erklären
Erfassen Sie Zugangsverwaltung, privilegierte Konten, Aktualisierungsprozesse, vorhandene Sicherheitsprüfungen und bekannte Vorfälle. Eine bloße Behauptung „wir hatten noch nie ein Problem“ ist kein Sicherheitsnachweis.
Prüfberichte müssen mit Maßnahmenstatus verbunden werden. Ein zwei Jahre alter Test sagt wenig darüber aus, ob damalige Schwachstellen geschlossen wurden oder neue Systeme hinzugekommen sind. Der fachliche Prüfer beurteilt Aktualität und geeigneten nächsten Test.
Personenbezogene Daten und Sicherheitsmaßnahmen sind unter anderem im Rahmen der DSGVO zu betrachten. Ein Transaktionsdatenraum darf nicht ungeschützt Zugangsdaten oder sicherheitskritische Details an einen zu großen Personenkreis verteilen.
Backup und Wiederanlauf unterscheiden
Ein Backup schafft einen redundanten Datenbestand. Entscheidend ist zusätzlich, ob daraus der benötigte Betrieb wiederhergestellt werden kann. Der BSI-Baustein CON.3 bietet hierfür eine methodische Grundlage zur Datensicherung; er wird hier nicht als pauschale gesetzliche Pflicht für jeden Betrieb dargestellt.
Hypothetisch toleriert ein Unternehmen höchstens einen Arbeitstag ohne Abrechnungssystem. Der letzte kontrollierte Wiederherstellungstest benötigt jedoch drei Tage. Dann besteht eine konkrete Lücke zwischen Geschäftsanforderung und nachgewiesener Fähigkeit.
Die Lösung muss nicht zwingend ein komplett neues System sein. Möglich sind beispielsweise veränderte Sicherung, vorbereitete Ersatzumgebung oder bessere Wiederanlaufanleitung. Welche Maßnahme geeignet ist, entscheidet die technische Prüfung.
IT-Kosten in drei Kategorien aufteilen
Tabelle bei Bedarf seitlich scrollen.
| Kategorie | Beispiel | Finanzielle Behandlung im Arbeitsmodell |
|---|---|---|
| Laufender Betrieb | Lizenzen, Hosting, Support | Wiederkehrende Kosten |
| Notwendige Verbesserung | Ersatz oder Sicherheitsmaßnahme | Zeitlich geplante Investition oder Aufwand |
| Transaktionsbedingte Trennung | Neue Umgebung bei Carve-out | Gesonderter Übergabe- und Trennungsbedarf |
Hypothetisch kommen zu 120.000 € jährlichen Betriebskosten einmalig 90.000 € Migrationsaufwand und künftig 30.000 € zusätzliche Lizenzkosten. Der laufende Bedarf steigt damit auf 150.000 €; die 90.000 € sind getrennt zu finanzieren. Beides darf weder vergessen noch pauschal als jährlicher Aufwand verdoppelt werden.
Schlüsselpersonenabhängigkeit praktisch testen
Lassen Sie eine zweite geeignete Person einen klar abgegrenzten Ablauf anhand der Dokumentation durchführen. Findet sie Ansprechpartner, notwendige Rechte und Betriebsanweisung? Dabei geht es nicht um riskante Tests im Produktivsystem, sondern um kontrollierte Nachweisführung.
Dokumentieren Sie Stellvertretung, Notfallkontakte und Freigabe für besonders kritische Handlungen. Ein persönliches Administratorenkonto des Inhabers ist keine dauerhafte Nachfolgelösung.
Die Ergebnisse priorisieren
Nicht jedes ältere System muss vor Übergabe ersetzt werden. Priorität haben Betriebsrisiken, fehlende Rechte, unklare Sicherheitslage und nicht finanzierter notwendiger Aufwand. Eine große Modernisierung kurz vor Verkauf kann zusätzliche Instabilität erzeugen, wenn Nutzen und Umsetzungsfähigkeit nicht geklärt sind.
Übergangsdienste beim Herauslösen einplanen
Wird ein Geschäftsbereich aus einer Gruppe herausgelöst, kann er vorübergehend auf Systeme des Verkäufers angewiesen bleiben. Beschreiben Sie dann konkret Leistung, Ansprechpartner, Zugänge, Kosten, Endtermin und Ausstiegsvoraussetzungen. Die Fachberater prüfen die passende Vereinbarung und Datenschutzrollen. Ein bloßer Satz „IT wird für sechs Monate weitergeführt“ erklärt nicht, ob Support, Sicherheitsvorfälle, Datenexport und ein verzögerter Systemwechsel beherrschbar geregelt sind.
Mit einem kritischen Geschäftsprozess beginnen
Wählen Sie einen Ablauf, ohne den Ihre Kunden morgen keine Leistung oder Sie keine Zahlung erhalten. Lassen Sie Systeme, Rechte, Ansprechpartner und Wiederanlauf dieses Ablaufs nachvollziehen. Ein belegter Test an dieser Stelle sagt mehr über Übergabefähigkeit aus als eine vollständige Liste installierter Software.
Quellen / weiterführende Referenzen
- BSI – CON.3 Datensicherungskonzept Datensicherung und Wiederherstellbarkeit; Edition 2023 als benannte methodische Referenz, keine Aussage zu aktuellen gesetzlichen Pflichten.
- DSGVO – Verordnung (EU) 2016/679 Art. 5/6 Datenminimierung und Rechtsgrundlagen, Art. 28 Auftragsverarbeitung nach Rolle, Art. 32 Sicherheit; kein Freibrief durch NDA.