Was Due Diligence zuerst findet

Wir sitzen seit 13 Jahren auf beiden Seiten dieses Tisches: Wir bauen die Systeme, die auditiert werden, und wir sehen uns Systeme an, bevor Geld fließt. Das Muster ist stabil. Due Diligence scheitert nicht an den spannenden Fragen — sie scheitert an vier langweiligen aus der ersten Woche, lange bevor irgendein Architekt etwas zeichnet.

1. Die Busfaktor-Frage

Die erste Frage lautet nicht “ist der Code gut?”, sondern: Lässt sich Production allein aus dem Repository neu aufbauen — bewiesen, nicht angenommen? Wenn die ehrliche Antwort eine Person, einen Laptop oder eine unbelegte Überzeugung enthält, schreibt sich der Befund von selbst. Dass diese Frage kommt, merken Teams erst mit der Absichtserklärung; dann bleibt als Hebel nur noch der Preis.

2. Die Wiederherstellung, die nie geprobt wurde

Backups, die nie zurückgespielt wurden, sind eine Glaubensfrage, kein Kontrollelement. Die erste Woche der Prüfung fragt nach dem Restore-Beweis: Protokoll, Zeitstempel, Dauer. Wer Wiederherstellungen probt, liefert ihn in einer Stunde. Wer nicht, liefert ein leises Eingeständnis — und das wird die Preisabschlagzeile.

3. Beweise, die in jemandes Kopf leben

NIS2 und ISO 27001 haben verändert, was “wir haben das im Griff” bedeuten muss: Nachweise, keine Versicherungen. Wo ist das Inventar? Wem gehörte der letzte Vorfall, und wo ist die Aufschreibung? Wenn die Antworten Namen statt Dokumente sind, hört der Käufer nicht “kleines Team” — er hört “Schlüsselpersonenrisiko”, und er preist es ein.

4. Der Reparieren-oder-Preisabschlagen-Moment

Keine dieser vier Fragen ist teuer zu beantworten, wenn kein Deal auf dem Tisch liegt. Alle vier sind teuer zu faken, wenn einer liegt. Diese Asymmetrie ist das ganze Argument für Vorbereitung, bevor ein Käufer erscheint: Dieselbe Arbeit kostet ohne Deadline eine Größenordnung weniger.

• Aus dem Repository wiederaufbaubar: ja oder nein, mit Nachweis.
• Restore geprobt: wann, wie lange, von wem.
• Verantwortung je System benannt: eine Person, kein Team.
• Vorfälle aufgeschrieben, wo ein Fremder sie finden würde.

Wie Vorbereitung aussieht

Es ist kein Sechs-Monate-Auditprogramm. Es ist ein kurzer, ehrlicher Durchgang durch die vier Fragen oben, das Reparieren dessen, worüber ein Fremder stolpern würde, und das Aufschreiben dessen, was bereits funktioniert. Wir machen das als 30-minütige Diagnose: Sie beschreiben das System und den Deal oder die Entscheidung, und wir sehen uns das erste konkrete Risiko gemeinsam an — kein Pitch, keine Verpflichtung. Wer den vollen Fragenkatalog will: Die IT-Due-Diligence-Checkliste auf dieser Seite ist dieselbe, die wir durcharbeiten.