Cyber Due Diligence
Cyber Due Diligence vor Kauf und Nachfolge
Eine Cyber Due Diligence zeigt vor Kauf oder Nachfolge, in welchem Zustand die IT eines Betriebs ist. Sie verhandeln mit Fakten statt Vermutungen.
Was in keiner Bilanz steht
Due Diligence heißt sorgfältige Prüfung: Vor einem Kauf sieht sich die Käuferseite Zahlen, Verträge und Personal genau an. Die Cyber Due Diligence ist der Teil, der IT und Sicherheit prüft. Veraltete Systeme, offene Sicherheitslücken und verschwiegene Angriffe stehen in keiner Bilanz. Nach der Übernahme kosten sie trotzdem Geld und Zeit.
- Sie wollen einen Betrieb, eine Praxis oder eine Kanzlei übernehmen und wissen nicht, ob Server, Programme und Datensicherung die nächsten Jahre tragen.
- Der Verkäufer versichert, es habe nie einen Angriff gegeben. Nachprüfen konnten Sie das bisher nicht.
- Niemand kann genau sagen, welche Online-Dienste, Lizenzen und Zugänge zum Betrieb gehören und wer heute noch Zugriff hat.
- Im Kaufvertrag sollen Garantien zur IT stehen. Ihnen fehlen die Fakten, um sie zu formulieren und den Preis zu verhandeln.
Was wir für Sie umsetzen
Blick von außen auf das Zielunternehmen
Zuerst sehen wir uns das Unternehmen, das Sie kaufen wollen, so an wie ein Angreifer: von außen. Wir werten aus, was im Internet sichtbar ist. Dazu gehören Webseiten und ihre Unteradressen, etwa für Shop oder Kundenportal, eingesetzte Software mit bekannten Schwachstellen und öffentlich erkennbare Cloud-Einstellungen. Dafür brauchen wir keinen Kontakt zum Zielunternehmen, und auf seine Systeme greifen wir dabei nicht zu.
Spuren verschwiegener Vorfälle
Hat das Unternehmen einen Angriff erlebt, der nicht offengelegt wurde? Wir suchen nach abgeflossenen Daten des Betriebs, auch in Bereichen des Internets, in denen gestohlene Daten gehandelt werden, und gleichen Meldungen über bekannte Angriffe ab. Mit Zustimmung des Betriebs prüfen wir die Datensicherungen auf Spuren, etwa verschlüsselte Sicherungen oder zurückgelassene Erpressernachrichten. Wir achten auch auf Hinweise, dass Kundenlisten, Konstruktionsdaten oder Programmcode abgeflossen sind.
Zustand der IT und technische Schulden
Stimmt das Zielunternehmen zu, bewerten wir seine IT von innen. Das geschieht über den Datenraum, einen geschützten Online-Speicher, in dem der Verkäufer Unterlagen für die Käuferseite bereitstellt, im Gespräch oder vor Ort. Wir prüfen Aufbau, Sicherheitsupdates, Datensicherung und Notfallpläne. Technische Schulden sind aufgeschobene Arbeiten an der IT, die später teuer nachgeholt werden müssen. Dazu zählen Systeme, für die der Hersteller keine Updates mehr liefert. Für solche Kernsysteme schätzen wir den Aufwand, sie zu ersetzen.
Lizenzen, Zugänge und Pflichten
Manches steht in keiner Inventarliste. Schatten-IT sind Programme und Online-Dienste, die ohne Wissen der Verantwortlichen im Einsatz sind. Dazu kommen noch aktive Konten ehemaliger Mitarbeitender, Zugangsdaten im Programmcode und Lizenzen, die nicht zur tatsächlichen Nutzung passen. Wir sehen nach, ob das Verzeichnis der Verarbeitungstätigkeiten nach DSGVO vollständig ist, ob Pflichten etwa aus NIS2, den EU-Regeln zur Cybersicherheit, erfüllt sind und ob Verträge mit wichtigen Lieferanten Regeln zur Sicherheit enthalten.
Bericht für Entscheidung und Verhandlung
Sie erhalten drei Unterlagen. Der Bericht für die Entscheider nennt die wichtigsten Risiken, ihre Auswirkung auf das Geschäft und eine Einschätzung, wie sie den Kaufpreis berühren. Der technische Anhang beschreibt jeden Befund nachvollziehbar, mit geschätztem Aufwand für die Behebung. Das Verhandlungsbriefing fasst kurz zusammen, was Ihr Anwalt und Ihr Berater brauchen, samt Vorschlägen für Vertragsklauseln, über die Ihr Anwalt entscheidet.
Plan für die Zeit nach der Übernahme
Auf Wunsch begleiten wir auch die Zeit nach dem Kauf. Wir vergleichen die übernommene IT mit Ihren eigenen Vorgaben, ordnen die Lücken nach Dringlichkeit und schätzen ein, ob die bisherige IT-Betreuung die Aufgaben tragen kann. Daraus entsteht ein Maßnahmenplan für die ersten Monate. Umsetzen wird ihn Ihr IT-Team oder Ihr IT-Dienstleister, und der technische Anhang dient dabei als Fahrplan.
Was Ihr Betrieb davon hat
Sie wissen, was Sie übernehmen
Die Risiken der IT kennen Sie vor der Unterschrift. Nicht erst dann, wenn nach der Übernahme ein System ausfällt oder ein alter Angriff ans Licht kommt.
Fakten für Preis und Vertrag
Jeder Befund ist beschrieben und mit Aufwand geschätzt. Damit verhandeln Sie über Kaufpreis und Garantien im Vertrag mit Belegen statt mit einem unguten Gefühl.
Diskret vom ersten Tag an
Die Geheimhaltungsvereinbarung steht vor dem ersten Austausch. Gegenüber dem Zielunternehmen treten wir so auf, wie Sie es wünschen. Den größten Teil der Prüfung erledigen wir aus der Ferne über den Datenraum.
Ein Fahrplan für den Start
Der technische Anhang bleibt nach dem Kauf nutzbar. Ihr IT-Team oder Ihr Dienstleister weiß vom ersten Tag an, was zuerst zu tun ist.
So kann das bei Ihnen aussehen
- Handwerk
Nachfolge im Familienbetrieb
Eine Meisterin will den Elektrobetrieb übernehmen, dessen Inhaber in den Ruhestand geht. Aufträge und Rechnungen laufen über einen Server im Büro, die Datensicherung hat der Inhaber selbst eingerichtet. Vor dem Kaufvertrag lässt sie prüfen, ob Server und Programme noch Sicherheitsupdates erhalten, ob sich die Sicherung zurückspielen lässt und welche Zugänge und Lizenzen zum Betrieb gehören. Der Inhaber stimmt der Prüfung im Büro zu.
- Arztpraxis
Praxisübernahme mit Patientendaten
Ein Arzt übernimmt eine Hausarztpraxis mit Patientenkartei und Praxissoftware. Er lässt prüfen, ob die Software noch gepflegt wird, wer per Fernwartung auf das Praxisnetz zugreifen kann und ob es Hinweise gibt, dass Patientendaten abgeflossen sind. Die Unterlagen kommen über einen Datenraum. Die Prüfung im Praxisnetz findet mit Zustimmung der abgebenden Ärztin statt.
- Produktion
Beteiligung an einem Zulieferer
Ein Investor will sich an einem Zulieferer mit eigener Konstruktionsabteilung beteiligen. Vor dem ersten Kontakt zum Betrieb wertet die Prüfung nur aus, was öffentlich sichtbar ist. Danach folgen Fragen über den Datenraum und ein Gespräch mit dem IT-Leiter. Ein Schwerpunkt liegt auf der Frage, ob es Hinweise gibt, dass Konstruktionsdaten abgeflossen sind.
Ablauf
In vier Etappen zur fertigen Lösung
Geheimhaltung und Vorgespräch
Zuerst unterzeichnen wir eine Geheimhaltungsvereinbarung. Im Vorgespräch mit Ihnen und auf Wunsch mit Ihrem Berater klären wir, was Sie kaufen wollen, wie weit die Verhandlung ist und wie tief die Prüfung gehen soll. Danach erhalten Sie ein verbindliches Angebot zum Festpreis.
Prüfung von außen
Wir bewerten das Zielunternehmen anhand dessen, was öffentlich sichtbar ist. Dafür ist kein Kontakt zum Betrieb nötig. Schon dieser Blick zeigt, wo Angreifer ansetzen könnten und ob Daten des Betriebs im Umlauf sind.
Fragen und Prüfung im Betrieb
Stimmt das Zielunternehmen zu, gehen wir in die Tiefe. Wir stellen Fragen über den Datenraum oder sprechen direkt mit der Person, die dort die IT verantwortet. Wenn nötig, prüfen wir die wichtigsten Systeme aus der Ferne oder vor Ort.
Bericht und Besprechung
Wir bewerten jeden Befund nach technischer Schwere und nach seiner Bedeutung für das Geschäft. Sie erhalten Bericht, technischen Anhang und Verhandlungsbriefing und gehen alles in einer Besprechung mit uns durch. Auf Wunsch folgt der Plan für die Zeit nach der Übernahme.
Wann sich eine Cyber Due Diligence lohnt
Vor einem Unternehmenskauf prüfen Steuerberater die Zahlen und Anwälte die Verträge. Wer bei einer Firmenübernahme auch die IT prüfen will, beauftragt eine IT Due Diligence. Sie zeigt, welche Systeme, Programme und Verträge zum Betrieb gehören und in welchem Zustand sie sind. Die Cyber Due Diligence legt den Schwerpunkt auf die Sicherheit: Wo ist der Betrieb angreifbar, gab es Angriffe, und sind Daten abgeflossen? Beide Fragen gehören zusammen, denn ein System ohne Updates ist meist auch ein unsicheres. Wir prüfen deshalb beides in einem Durchgang.
Eine Faustregel: Verarbeitet der Betrieb Kunden- oder Patientendaten, entwickelt er eigene Software oder kann er ohne seine IT nicht arbeiten, gehört die Prüfung vor die Unterschrift. Das gilt bei der Nachfolge im Unternehmen genauso wie beim Kauf eines Mitbewerbers oder bei einer Beteiligung. Bei der Praxisübernahme und beim Kauf einer Kanzlei kommt die Schweigepflicht dazu. Mit der Praxis oder Kanzlei übernehmen Sie Akten, die besonders geschützt sein müssen. Umso wichtiger ist es zu wissen, wer bisher Zugriff darauf hatte.
Zu den IT-Risiken beim Unternehmenskauf, die für die Verhandlung zählen, gehören Reste eines Erpressungsangriffs. Dabei verschlüsseln Angreifer die Daten eines Betriebs und verlangen Lösegeld. Dazu kommen Schatten-IT, Lizenzverstöße, abgeflossener Programmcode, technische Schulden mit hohem Aufwand für den Ersatz und fehlende Unterlagen nach der DSGVO, die ein Bußgeld nach sich ziehen können. Solche Befunde können Kaufpreis und Garantien im Vertrag beeinflussen. Welche davon bei einem Betrieb auftauchen, klärt erst die Prüfung.
Vertraulich von der ersten Anfrage an
Ein geplanter Verkauf ist vertraulich, und Befunde zur Sicherheit eines Betriebs sind es erst recht. Darum gelten für unsere Arbeit feste Regeln, gegenüber Ihnen wie gegenüber dem Zielunternehmen.
- Geheimhaltung zuerst: Vor dem ersten Austausch von Unterlagen unterzeichnen wir eine Geheimhaltungsvereinbarung, englisch Non-Disclosure Agreement oder kurz NDA.
- Prüfung nur mit Zustimmung: Ohne Einverständnis des Zielunternehmens werten wir nur aus, was öffentlich sichtbar ist. Auf seine Systeme greifen wir erst zu, wenn es zugestimmt hat.
- Auftritt nach Ihrem Wunsch: Gegenüber dem Zielunternehmen treten wir unter eigenem Namen als externe IT-Prüfer auf oder im Namen des Beraters, den Sie beauftragt haben.
- Befunde für die Käuferseite: Bericht und Anhang gehen an Sie und an die Berater und Anwälte, die Sie beauftragt haben. Feste Partnerkanzleien haben wir nicht.
Häufige Fragen
Wann brauche ich eine Cyber Due Diligence?
Immer dann, wenn die IT für den Betrieb wichtig ist, den Sie übernehmen wollen. Das ist der Fall, wenn er Kunden- oder Patientendaten verarbeitet, eigene Software entwickelt oder ohne seine Programme nicht arbeiten kann. Das betrifft die Nachfolge im Familienbetrieb ebenso wie den Kauf eines Mitbewerbers, eine Beteiligung oder die Übernahme einer Praxis oder Kanzlei. Am meisten nützt die Prüfung, solange Preis und Vertrag noch verhandelt werden.
Was kostet eine Cyber Due Diligence?
Der Preis hängt vom Umfang ab: Genügt der Blick von außen, oder prüfen wir auch im Betrieb? Wie groß ist das Zielunternehmen, und wie viele Standorte hat es? Soll ein Plan für die Zeit nach der Übernahme dazukommen? Nach der Geheimhaltungsvereinbarung und dem Vorgespräch erhalten Sie ein verbindliches Angebot zum Festpreis, das genau festhält, was geprüft wird.
Wie diskret läuft die Prüfung ab?
Die Geheimhaltungsvereinbarung unterzeichnen wir vorab. Gegenüber dem Zielunternehmen treten wir nach Ihrem Wunsch unter eigenem Namen als externe IT-Prüfer auf oder im Namen Ihres Beraters. Den größten Teil erledigen wir aus der Ferne, über den Datenraum und in Gesprächen mit der Person, die dort die IT verantwortet. Vor Ort sind wir nur, wenn es für die Prüfung nötig ist.
Welche Befunde sind für die Verhandlung wichtig?
Wichtig ist alles, was nach dem Kauf Geld kostet oder ein Bußgeld nach sich ziehen kann. Dazu zählen Reste eines Angriffs, die nicht offengelegt wurden, abgeflossene Daten oder abgeflossener Programmcode, unbekannte Online-Dienste, Lizenzverstöße, veraltete Kernsysteme mit hohem Aufwand für den Ersatz und Lücken beim Datenschutz. Wir beschreiben jeden Befund mit Beleg und geschätztem Aufwand. So kann Ihr Anwalt ihn in Kaufpreis oder Garantien übersetzen.
Arbeiten Sie mit unserem Anwalt und unserem Berater zusammen?
Ja, und nur mit ihnen. Feste Partner unter Kanzleien oder Beratern haben wir nicht. Wir liefern die technischen Befunde und Vorschläge für Vertragsklauseln. Wie daraus Garantien im Kaufvertrag werden, entscheidet Ihr Anwalt. Ihr Berater für die Übernahme erhält von uns ein kurzes Verhandlungsbriefing mit den Punkten, die für Preis und Vertrag zählen.
Wie viel Erfahrung haben Sie mit Due Diligence?
Das Angebot ist neu, wir haben es 2026 aufgesetzt. Die Methode stammt aus der Praxis von Deniz Ceylan, Mitgründer von D+O: Penetrationstests, also beauftragte Angriffsversuche, die Schwachstellen aufdecken, und der Aufbau von Managementsystemen für Informationssicherheit. Er ist Cyber Security Advisor (IHK) und hält die Zertifikate CompTIA Security+ und PenTest+. Wer einen großen Prüfkonzern sucht, ist bei uns falsch. Wer persönliche Betreuung und technische Tiefe sucht, ist richtig.
Passt gut dazu
Penetration Testing
Greift Ihre Systeme mit Ihrer Erlaubnis an und zeigt, wie Sie gefundene Lücken schließen.
ISO 27001
Baut mit Ihnen ein Sicherheitsmanagement nach ISO 27001 auf und bereitet die Zertifizierung vor.
NIS2-Beratung
Prüft, ob NIS2 für Ihren Betrieb gilt, und setzt die Pflichten aus dem BSIG um.
Lassen Sie uns über Ihre Abläufe sprechen.
30 Minuten, kostenlos und unverbindlich. Sie schildern, wo Zeit verloren geht. Wir sagen Ihnen offen, was Software und KI dort leisten können und was nicht.