Die Vor-Kauf-Vendor-Diligence-Checkliste für mittelständische Käufer

Das Operations-Team ging im Februar live. Das Onboarding verlief gut. Das Team mochte das Tool. Bis Juni zeigte die Quartalsanalyse vielversprechende Nutzungsdaten. Dann wandte sich im Oktober ein Vertreter eines Wettbewerbers mit dem Angebot, "Optionen zu besprechen", an das Unternehmen. Das war das erste Signal. Bis November hatte der Ziel-Vendor still und leise Neueinstellungen gestoppt. Bis Dezember schickte der CEO eine Unternehmens-E-Mail über "strategische Neuausrichtung". Bis Januar befand sich das Produkt im Wartungsmodus und die Support-Reaktionszeit war von vier Stunden auf vier Tage gestiegen.

Das Unternehmen hatte einen Jahresvertrag unterzeichnet. Es hatte für zwölf Monate bezahlt. Es bekam neun Monate eines funktionierenden Produkts und drei Monate Unsicherheit, gefolgt von einer Migration, für die es nicht geplant hatte.

Niemand hatte die finanzielle Gesundheit des Vendors vor der Unterzeichnung geprüft. Niemand hatte nach Finanzierungsreichweite, Investorenunterstützung oder der Anzahl der Enterprise-Verträge im Buch gefragt. Das war keine Due Diligence. Es war eine Demo und ein Referenzgespräch.

Dieser Leitfaden ist der Diligence-Prozess, den mittelständische Unternehmen vor der Unterzeichnung eines SaaS-Vertrags über 10.000 USD/Jahr durchführen sollten. Er ist auf Operatoren zugeschnitten: nicht auf Enterprise-Beschaffungsteams mit sechswöchigen Evaluierungen, sondern auf Führungskräfte, die in zwei bis drei Tagen echte Sorgfalt benötigen.

Key Facts: Vendor-Diligence-Realitätscheck

• Die SaaS-Churn-Rate im Mittelstand liegt bei 10 bis 15 % jährlich, rund 2- bis 3-mal höher als die Enterprise-Vendor-Churn-Rate (3 bis 5 %) gemäß Pacific-Crest-/KeyBanc-SaaS-Umfragedaten. Die Vendors, bei denen Sie unterzeichnen, haben eine deutlich höhere Wahrscheinlichkeit zu verschwinden als die von Fortune-500-Käufern gewählten.
• Etwa 67 % der risikokapitalfinanzierten SaaS-Startups scheitern oder stagnieren vor Series C, laut CB-Insights-Post-Mortem-Daten. Die Finanzierungsphase ist ein probabilistisches Signal, keine Garantie.
• Referenzgespräche, die der Vendor selbst bereitstellt, produzieren unabhängig von der Produktqualität ca. 80 % positive Bewertungen. Forrester-Käuferforschung zeigt, dass Vendor-bereitgestellte Referenzen Probleme seltener aufdecken als Peer-Referenzen aus User-Communities oder LinkedIn.
• Nur 23 % der mittelständischen Käufer führen irgendeine finanzielle Überprüfung von SaaS-Vendors unter 100.000 USD ARR durch, laut Gartner-Beschaffungs-Benchmarks. Das ist genau der Grund, warum Vendor-Überraschungen weiter passieren.
• SOC-2-Type-II-Berichte erfordern 6 bis 12 Monate kontinuierlicher Überwachung zur Erstellung. Ein Vendor mit nur Type I (Stichtagsattest) ist in seiner Sicherheitsreife deutlich früher als einer mit Type II.

Warum mittelständische Unternehmen besonders anfällig sind

Mittelständische Unternehmen befinden sich in einer unangenehmen Position im Vendor-Ökosystem. Sie bewegen sich schneller als Enterprise-Käufer, was sie für Früh-phase-Vendors auf der Suche nach schnellen Einnahmen attraktiv macht. Sie haben mehr Budget als KMB-Käufer, was sie verfolgenswert macht. Und ihnen fehlt oft die institutionelle Diligence-Kompetenz, die größere Unternehmen aus jahrelangen Vendor-Erfahrungen aufgebaut haben. Gartners Marktleitfaden für SaaS-Management stellt fest, dass mittelständische Unternehmen im Vergleich zu Enterprise-Käufern, die ihre Ausgaben auf größere, stabilere Vendors verteilen, ein unverhältnismäßig hohes Vendor-Konzentrationsrisiko tragen.

Die KI-SaaS-Welle hat das verschlimmert. Hunderte von KI-nativen Tools sind in den letzten zwei Jahren gestartet. Viele sind gut finanziert, aber noch vor dem Break-even. Viele sind umsatz-positiv, verbrennen aber mehr, als sie verdienen. Und viele wirken in einer Demo glaubwürdig, sind als Unternehmen aber ernsthaft fragil.

Ihre Aufgabe bei der Diligence ist nicht, paranoid zu sein. Es geht darum, die Fragen zu stellen, die Risiken aufdecken, die Sie kennen möchten, bevor Sie achtzehn Monate in einer Migration stecken. Und wenn Sie bereits eine vollständige Vendor-Evaluierung durchführen, erklärt Wie man ein SaaS-RFP durchführt, wie diese Diligence-Checkliste in einen strukturierten dreiwöchigen Auswahlprozess integriert wird.

Das Vendor-Viability-Dreieck

Jeder SaaS-Vendor, der eine Unterzeichnung wert ist, besteht drei unabhängige Tests: finanzielle Stabilität (werden sie in drei Jahren noch existieren?), operative Stabilität (können sie die SLAs, den Support und die Sicherheitsposition liefern, die sie heute versprechen?), und Roadmap-Passung (konvergiert ihre Produktrichtung mit Ihren Anforderungen oder divergiert sie davon?). Ein Vendor mit zwei starken und einem schwachen Standbein ist ein zeitgesteuertes Risiko. Finanziell gesunde Vendors mit divergierenden Roadmaps werden zu Migrationen, und operativ exzellente Vendors mit schwindenden Mitteln werden zu Feuerwehreinsätzen. Diligence ist der Prozess, alle drei Standbeine vor der Vertragsunterzeichnung zu prüfen, nicht danach.

Die sechs Diligence-Domänen

Domäne 1: Unternehmens-Stabilität

Die wichtigste Frage für jeden Vendor unter fünf Jahren oder ohne offensichtliche Enterprise-Größe: Werden sie in drei Jahren noch existieren?

Sie werden keine geprüften Abschlüsse von einem privaten Unternehmen erhalten. Aber Sie können genug Signale bekommen, um ein Urteil zu fällen.

Was zu prüfen ist:

• Finanzierungsphase und Datum der letzten Finanzierungsrunde. Seed- und Series-A-Unternehmen haben im Schnitt 18 bis 24 Monate Reichweite seit ihrer letzten Runde. Wenn die letzte Runde mehr als 18 Monate zurückliegt und keine Series B angekündigt wurde, fragen Sie direkt nach der Reichweite.
• Investorenqualität. Tier-1-VC-Unterstützung (a16z, Bessemer, Sequoia, Accel) garantiert keinen Erfolg, korreliert aber mit Portfolio-Support und Bridge-Kapazität. Unbekannte oder nur Angel-Finanzierung erhöht das Risiko.
• Mitarbeiterentwicklung. Prüfen Sie die LinkedIn-Mitarbeiterzahl in den letzten 6 bis 12 Monaten. Sinkende Mitarbeiterzahl ist ein gelbes Warnsignal. Massenentlassungen ohne öffentliche Kommunikation sind ein rotes Warnsignal.
• Kundenkonzentration. Fragen Sie, ob ein einzelner Kunde mehr als 15 % des ARR ausmacht. Wenn ja, schafft der Verlust dieses Kunden ein wesentlich anderes Geschäftsmodell.
• Umsatzwachstumssignale. Vendors geben Ihnen keinen ARR, bestätigen aber oft die Richtung. "Wir sind in den letzten 18 Monaten um das Dreifache gewachsen" ist ein bedeutsames Signal. Vage Antworten sind es auch.

Finanzielle Gesundheitsindikatoren für private Unternehmen:

Domäne 2: Sicherheitszertifizierungen

Sicherheitszertifizierungen sind das Fundament der Diligence, nicht die Decke. Ein SOC-2-Type-II-Bericht zeigt Ihnen, dass der Vendor zum Zeitpunkt des Audits dokumentierte Kontrollen hatte, nicht was er heute mit Ihren Daten macht oder wie er auf einen Verstoß reagieren würde.

Was zu prüfen ist:

• SOC 2 Type II (nicht Type I). Type I ist ein Stichtagsattest. Type II deckt einen Zeitraum von 6 bis 12 Monaten ab. Für alles, was Kundendaten berührt, ist Type II der Basisstandard. Die AICPA-Übersicht zu SOC 2 erklärt den Unterschied zwischen Berichtstypen und was jeder abdeckt.
• ISO 27001, wenn Sie in regulierten Branchen oder auf internationalen Märkten tätig sind. Der ISO-27001-Standard von iso.org definiert die vollständigen Anforderungen für Informationssicherheits-Managementsysteme.
• DSGVO-Datenverarbeitungsvereinbarung (DPA), wenn EU-personenbezogene Daten involviert sind.
• HIPAA-Geschäftspartnervereinbarung (BAA), wenn Gesundheitsdaten involviert sind.
• Zusammenfassung des Penetrationstests (mindestens Datum des letzten Tests und Umfang).

Fordern Sie den tatsächlichen Bericht an, nicht ein Badge auf einer Website. Seriöse Vendors teilen SOC-2-Berichte unter NDA. Vendors, die sich weigern, Berichte unter NDA zu teilen, sind ein gelbes Warnsignal. Für eine verständliche Aufschlüsselung dessen, was jede Zertifizierung tatsächlich abdeckt, erklärt SOC 2, ISO 27001 und DSGVO für Käufer die Unterschiede und welche spezifischen Fragen jedes Framework beantwortet.

Domäne 3: Datenverarbeitung und Datenhaltung

Diese Domäne ist mit KI-fähigen Tools erheblich komplexer geworden. Die Fragen, die Sie einem traditionellen SaaS-Vendor stellen würden, wurden erweitert, um abzudecken, wie die KI-Modelle des Vendors mit Ihren Daten interagieren. Das NIST-KI-Risikomanagementsystem bietet einen strukturierten Ansatz zur Evaluierung, wie Vendors die KI-Systeme steuern, die Ihre Organisationsdaten verarbeiten.

Was zu prüfen ist:

• Wo werden Daten geografisch gespeichert? USA, EU, beides?
• Gibt es eine Datenhaltungsoption für Ihre Region, falls erforderlich?
• Werden Ihre Daten zum Training der KI-Modelle des Vendors verwendet? Wenn ja, können Sie sich abmelden?
• Welche Daten sammelt das Produkt über das, was Sie explizit übermitteln, hinaus?
• Was ist die Datenaufbewahrungsrichtlinie? Wie lange werden Ihre Daten nach Vertragsbeendigung aufbewahrt?
• Was ist die Datenlöschungsrichtlinie? Wie lange dauert die Löschung und kann sie verifiziert werden?

Für KI-fähige Tools deckt der Datenverarbeitungs-Fragebogen aus KI-fähige SaaS evaluieren die zusätzliche Ebene spezifisch für KI-Modelltraining und Inferenz ab.

Domäne 4: Support-SLAs

Support-Qualität lässt sich aus einer Verkaufs-Demo nicht beurteilen. Sie wird sechs Wochen nach dem Go-live sichtbar, wenn an einem Freitagabend um 16 Uhr etwas nicht funktioniert.

Was zu prüfen ist:

• Erstantwortzeit nach Prioritätsstufe (P1/P2/P3). Was bedeutet jede Stufe und was ist die SLA?
• Enthält die SLA eine Lösungszeit-Verpflichtung oder nur eine Erstantwortzeit?
• Ist das Support-Team lokal, offshore oder gemischt? Was sind die Abdeckungszeiten?
• Gibt es einen namentlich zugewiesenen CSM oder ist der Support warteschlangenbasiert?
• Wie sieht der Eskalationspfad bei einem P1-Ausfall aus?
• Was ist die Uptime-SLA und was sind die Gutschriftsbedingungen bei verpassten SLAs?

Referenzgespräch-Skript, Support-Fragen:

Wenn Sie ein Referenzgespräch führen (was Sie immer tun sollten, mehr dazu weiter unten), fragen Sie konkret:

1. Wie oft haben Sie in den ersten 90 Tagen Support-Tickets geöffnet?
2. Was war die typische Erstantwortzeit bei einem P2-Problem?
3. Hatten Sie jemals einen P1-Ausfall? Was ist passiert und wie wurde damit umgegangen?
4. Wie ist Ihre Beziehung zu Ihrem CSM?

Domäne 5: Integrations- und API-Reife

Ein Tool, das sich nicht mit Ihrem bestehenden Stack verbinden kann, ist ein Datensilo. Die Bewertung der Integrationsreife vor der Unterzeichnung verhindert das sechswöchige Integrationsprojekt, für das Sie kein Budget hatten. Wenn CRM-Integration eine Schlüsselanforderung ist, erklärt der Leitfaden Wann man einen CRM-Berater einstellt, wie die Integrationskomplexität die Ressourcenentscheidung beeinflusst.

Was zu prüfen ist:

• Existiert eine native Integration für Ihr CRM, HRIS und Ihre wichtigsten Workflow-Tools?
• Wird die Integration vom Vendor oder von einem Dritten gewartet?
• Was passiert, wenn eine verbundene Plattform eine breaking API-Änderung hat? Wer behebt sie?
• Gibt es eine öffentliche API mit vollständiger Dokumentation?
• Was sind die API-Rate-Limits?
• Gibt es bekannte Integrationsbeschränkungen (nur lesen versus bidirektionale Synchronisierung, Feld-Mapping-Einschränkungen)?

Fordern Sie die Integrationsdokumentation an, nicht eine Demo. Entwicklerqualitäts-Dokumentation ist ein Proxy für API-Reife.

Domäne 6: Qualität der Kundenenreferenzen

Ein Vendor gibt Ihnen seine besten Referenzkunden. Das ist zu erwarten. Aber wie Sie das Referenzgespräch führen, bestimmt, wie viele Informationen Sie tatsächlich erhalten.

Referenzgespräch-Skript (8 bis 10 Fragen):

1. Wie lange nutzen Sie die Plattform und was ist der Umfang Ihres Deployments?
2. Was war der schwierigste Teil der Implementierung und wie hat der Vendor Sie dabei unterstützt?
3. Wie hat sich das Produkt seit Ihrer Unterzeichnung verändert, sowohl positiv als auch wo es hinter Ihren Erwartungen zurückgeblieben ist?
4. Wie würden Sie die Support-Reaktionsfähigkeit beschreiben, wenn Sie ein ernstes Problem hatten?
5. Hat sich die Preisgestaltung seit Ihrem ursprünglichen Vertrag geändert? Wenn ja, wie und mit wie viel Vorlaufzeit?
6. Was macht das Produkt gut, das Sie vor dem Kauf nicht vollständig gewürdigt haben?
7. Was macht es nicht gut, das Sie vor der Unterzeichnung gewusst haben möchten?
8. Gab es Sicherheits-, Compliance- oder Datenverarbeitungsprobleme, von denen Sie wissen?
9. Wenn Sie diese Entscheidung heute erneut treffen würden, was würden Sie anders machen?
10. Würden Sie verlängern und warum?

Die wertvollsten Fragen sind 7, 8 und 9. Hören Sie auf Zögern bei Frage 7. Hören Sie auf eine Pause bei Frage 8. Die Antwort auf Frage 9 ist fast immer mehr wert als die Vendor-Präsentation.

Bitten Sie den Vendor um Referenzen von Unternehmen ähnlicher Größe und Branche wie Ihres. Ein Unternehmen mit 5.000 Mitarbeitern ist keine nützliche Referenz für ein mittelständisches Unternehmen mit 150 Mitarbeitern.

Die 40-Punkte-Diligence-Checkliste

Unternehmens-Stabilität (8 Punkte)

• Finanzierungsphase und Datum der letzten Runde bestätigt
• Investorenqualität bewertet
• Mitarbeiterentwicklung geprüft (LinkedIn oder Crunchbase)
• Frage zur Kundenkonzentration gestellt und beantwortet
• Umsatzrichtung bestätigt
• Schlüsselpersonen-Abhängigkeit bewertet (Gründergeführt versus Management-Team vorhanden)
• Übernahme- oder Abkündigungsrisiko besprochen
• 3-Jahres-Roadmap auf strategische Kontinuität geprüft

Sicherheitszertifizierungen (6 Punkte)

• SOC-2-Type-II-Bericht geprüft (nicht nur Badge bestätigt)
• Berichtszeitraum bestätigt (muss innerhalb von 12 Monaten liegen)
• ISO 27001 bestätigt, falls zutreffend
• DSGVO-DPA erhalten und geprüft
• Datum und Umfang des Penetrationstests bestätigt
• Bug-Bounty- oder Responsible-Disclosure-Richtlinie bestätigt

Datenverarbeitung (6 Punkte)

• Datenspeicherort geografisch bestätigt
• Datenhaltungsoption bestätigt, falls erforderlich
• KI-Modelltraining-Datenrichtlinie bestätigt
• Über explizite Übermittlung hinaus gesammelte Daten dokumentiert
• Datenaufbewahrungsrichtlinie bestätigt
• Datenlöschungs-Zeitplan und Verifizierungsprozess bestätigt

Support-SLAs (6 Punkte)

• SLA-Tiers und -Definitionen schriftlich bestätigt
• Erstantwort- und Lösungszeit nach Schweregrad bestätigt
• Support-Abdeckungszeiten bestätigt
• Eskalationspfad für P1 dokumentiert
• Uptime-SLA und Gutschriftsbedingungen bestätigt
• CSM-Zuweisung und Engagement-Modell bestätigt

Integration und API (7 Punkte)

• Native Integrationsliste gegen Ihren Stack geprüft
• Verantwortlichkeit für Integrationswartung bestätigt
• API-Dokumentation geprüft (Qualitätsbewertung)
• API-Rate-Limits bestätigt
• Bekannte Integrationsbeschränkungen dokumentiert
• Bidirektionale Sync-Fähigkeit für kritische Objekte bestätigt
• Integrations-Roadmap für geplante Verbindungen bestätigt

Kundenreferenzen (7 Punkte)

• Mindestens zwei Referenzgespräche geführt
• Referenzen nach Unternehmensgröße und Branche abgeglichen
• Support-Reaktionsfähigkeit via Referenzgespräch bewertet
• Preisänderungen mit Referenzen besprochen
• Sicherheits-/Compliance-Probleme aufgedeckt oder ausgeschlossen
• Implementierungserfahrung bestätigt
• Verlängerungsentscheidung und -begründung erfasst

Red-Flag-Eskalationsmatrix

Einige Diligence-Ergebnisse rechtfertigen den Abbruch der Evaluierung. Andere sind handhabbar. Diese Matrix hilft bei der Triage:

Was gute Diligence erfordert

Für einen SaaS-Kauf im Wert von 20.000 bis 100.000 USD jährlich sollten Sie mit zwei bis drei Werktagen Diligence für einen kompetenten IT-Lead oder Operations-Director rechnen:

• Tag 1: Hintergrundrecherche, finanzielle Signale, Zertifizierungsprüfung
• Tag 2: Referenzgespräche, Support-SLA-Prüfung, Integrationsdokumentation überprüfen
• Tag 3: Datenverarbeitungsbestätigung, Checklisten-Konsolidierung, Risikoübersicht für Entscheidungsträger

Für Käufe unter 10.000 USD/Jahr ist eine schlankere Version dieser Checkliste (15 bis 20 Punkte, ein Referenzgespräch) angemessen. Für Käufe über 100.000 USD/Jahr kommen ein formeller Sicherheitsfragebogen und eine rechtliche Prüfung der Datenverarbeitungsbedingungen hinzu.

Diligence als bereichsübergreifenden Workflow in Rework durchführen

Vendor-Diligence scheitert, wenn sie im Posteingang von jemandem lebt. Der IT-Lead sammelt SOC-2-Berichte, Legal prüft die DPA, Finance beschafft Finanzierungsdaten, und der Business-Owner führt Referenzgespräche. Niemand hat einen gemeinsamen Überblick darüber, wo jeder Thread steht. Wenn der Vertrag auf dem Schreibtisch der CFO landet, sind die Hälfte der Checklistenpunkte "Ich glaube, das haben wir abgedeckt."

Rework Work Ops (ab 6 USD/Nutzer/Monat) behandelt Diligence als bereichsübergreifenden Workflow statt als Tabellenkalkulation. Die 40-Punkte-Checkliste wird zu einem strukturierten Aufgaben-Board. Jede Domäne (Stabilität, Sicherheit, Datenverarbeitung, Support, Integration, Referenzen) erhält eine eigene Swimlane mit Verantwortlichen, Fristen und Beweisanhängen. Referenzgesprächsnotizen, SOC-2-Berichte und DPA-Entwürfe hängen direkt am Vendor-Datensatz, sodass der vollständige Diligence-Trail einen Klick entfernt ist, wenn das Verlängerungsgespräch achtzehn Monate später stattfindet.

Für mittelständische Teams, die 5 bis 15 Vendor-Evaluierungen pro Quartal durchführen, liegt der Unterschied nicht in der Checkliste selbst. Er liegt darin, dass jede Evaluierung mit demselben Sorgfaltsniveau abschließt, und die Artefakte noch auffindbar sind, wenn die Series-B-Ankündigung des Vendors (oder eine stille Entlassungsrunde) eine Neubewertung auslöst. Work Ops ist das System of Record für Entscheidungen, die Sie später rechtfertigen müssen.

Weiterführende Leitfäden

• Sicherheits- und Compliance-Prüfung: Was ein mittelständischer Käufer wirklich prüfen sollte: die tiefere Sicherheitsebene unter der Diligence-Checkliste
• SOC 2, ISO 27001 und DSGVO für Käufer: was jede Zertifizierung tatsächlich abdeckt und welche Fragen sie beantwortet
• Wie man ein SaaS-RFP durchführt, das keine 6 Wochen verschwendet: einen vollständigen Evaluierungsprozess mit integrierter Diligence-Checkliste durchführen
• SaaS-Vertrags-Red-Flags: Auto-Renewal, Nutzungsobergrenzen und zu prüfende Kündigungsklauseln: was nach Abschluss der Diligence zu prüfen ist
• TCO-Modellierung für SaaS: Über den Listenpreis hinaus: finanzielle Diligence parallel zur Vendor-Diligence durchführen
• KI-Governance-Richtlinie für Abteilungen: wie Diligence-Anforderungen auf KI-fähige SaaS-Käufe ausgeweitet werden