Due-Diligence-Prüfung von Anbietern für KMU: Der ultimative Leitfaden 2026

Das Problem bei vielen SaaS-Käufen entsteht nicht bei Vertragsunterzeichnung. Es tritt erst Monate später auf, wenn der Anbieter nicht mehr wie versprochen reagiert, die Bedingungen ändert, den Datenexport erschwert oder dir Verantwortlichkeiten aufbürdet, von denen du dachtest, sie lägen bei ihm. An diesem Punkt ist der anfänglich niedrige Preis wie weggeblasen. Was bleibt, sind Betriebsausfälle, rechtliche Risiken und Ausstiegskosten.

Wer ein KMU leitet, weiß das nur zu gut. Die Produktdemo ist immer makellos, der Vertrag hingegen weit weniger. Und wenn der Anbieter Zugriff auf Daten, kritische Prozesse oder Vertriebsabläufe erhält, beschränkt sich eine falsche Entscheidung nicht nur auf die IT. Sie wirkt sich auch auf die Verwaltung, die Compliance, den Kundenservice und die Geschäftskontinuität aus.

Ich spreche als Unternehmer, der konkrete Streitfälle mit undurchsichtigen Anbietern in Sachen DSGVO, europäischer Rechnungsstellung, echtem Support und einseitigen Änderungen der Bedingungen erlebt hat. Die Lektion ist einfach: Provider Due Diligence ist keine Formalität im Einkauf. Sie ist die Art und Weise, wie man bewertet, ob ein Lieferant zu einer Stärke oder zu einem strukturellen Risiko werden kann.

Hier findest du einen praktischen Leitfaden, wie du einen Anbieter so beurteilen kannst, als wäre er ein Geschäftspartner. Dabei geht es nicht nur um Preis und Funktionen, sondern auch um Vertrag, Sicherheit, Betriebsbereitschaft, Portabilität und kontinuierliche Überwachung.

Einleitung: Der Anruf, den kein Unternehmer erhalten möchte

Die Website ist ausgerechnet am ungünstigsten Tag ausgefallen. Die Bestellungen hängen sich auf, das Vertriebsteam kommuniziert über drei verschiedene Kanäle, der Kundenservice weiß nicht, was er den Kunden sagen soll. Du eröffnest ein „vorrangiges“ Ticket bei deinem SaaS-Anbieter und erhältst eine automatische Antwort. Kein Techniker, keine klare Eskalationskette, keine Angabe zur Lösungszeit in Echtzeit.

In diesem Moment wird dir klar, was du eigentlich gekauft hast.

Sie haben nicht nur einen Dienst gekauft. Sie haben die Art und Weise gekauft, wie dieser Lieferant Vorfälle, Verantwortlichkeiten, Daten, Vertrag und Ausstieg handhabt. Wenn Sie diese Aspekte vorher nicht geprüft haben, haben Sie operative Schulden angehäuft. Man sieht sie nicht in der Demo, sie tauchen nicht in der Preisliste auf, aber sie kommen alle auf einmal, wenn der Lieferant nicht standhält.

Wenn ein Anbieter in einem kritischen Moment versagt, ist das Problem nicht nur technischer Natur. Es wird noch am selben Tag zu einem geschäftlichen, rechtlichen und rufschädigenden Problem.

Viele Unternehmer betrachten die Due-Diligence-Prüfung eines Anbieters lediglich als einen administrativen Schritt. Sie überprüfen den Preis, zwei Funktionen, vielleicht noch ein Zertifikat auf der Startseite, und unterschreiben dann. Das ist ein häufiger Fehler. Die entscheidenden Fragen lauten anders: Wer haftet für die Daten, wo befinden sie sich, wie lassen sie sich exportieren, wer unterstützt Sie wirklich, und was passiert, wenn der Anbieter den Eigentümer wechselt oder die Vertragsbedingungen ändert?

Das Unangenehme daran ist, dass diese Fragen die Verhandlungen verlangsamen. Das Nützliche daran ist, dass sie dir später monatelange Probleme ersparen.

Was ist die Provider-Due-Diligence und warum ist es ein Fehler, sie zu unterschätzen?

Die Provider Due Diligence dient dazu zu verstehen, welches Risikopaket man zusammen mit dem Dienst kauft. Es geht nicht darum, Dokumente zu sammeln, um bei der Unterzeichnung beruhigt zu sein. Es geht darum, vorher abzuschätzen, was dieser Lieferant Sie wirklich kosten wird, wenn etwas hakt, wenn sich die Gesellschaftsstruktur ändert, wenn der Support nicht standhält oder wenn Sie eines Tages schnell aussteigen müssen.

Wer schon einmal eine erzwungene Migration oder einen schlecht bewältigten Vorfall bewältigt hat, weiß das nur zu gut. Das Problem beschränkt sich selten auf den Anbieter. Es greift in interne Prozesse ein, blockiert den Vertrieb, bindet Arbeitszeit des technischen Teams, wirft rechtliche Fragen auf und verwandelt eine scheinbar günstige Gebühr in eine versteckte Betriebsbelastung.

Aus diesem Grund erfolgt eine seriöse Due Diligence auf vier konkreten Ebenen:

• Rechtliche Identität des Lieferanten. Sie müssen wissen, welche Gesellschaft unterzeichnet, wo sie tätig ist, wer den Konzern kontrolliert und welche Einheit im Streitfall wirklich haftet.
• Wirtschaftliche und gesellschaftliche Stabilität. Ein fragiler Anbieter überträgt Instabilität auf Ihren Dienst, auf die Reaktionszeiten und auf die Fähigkeit, in Sicherheit und Kontinuität zu investieren.
• Vertraglicher Rahmen und Datenschutz. Hier wird entschieden, wer das Risiko in Bezug auf Daten, Unterauftragnehmer, Haftungsbeschränkungen, einseitige Änderungen und Ausstieg übernimmt.
• Tatsächliche operative Zuverlässigkeit. Entscheidend sind Support, Eskalation, Qualität der Dokumentation, Vorfallmanagement und die Möglichkeit einer reibungslosen Migration.

Praktische Regel: Wenn der Lieferant Daten, Zahlungen, Kundenservice oder einen kritischen Prozess berührt, muss die Due Diligence als Kontrolle der Geschäftskontinuität behandelt werden, nicht als administrative Formalität.

Im italienischen Kontext kostet die Unterschätzung noch mehr, weil die Lieferkette größtenteils aus kleinen und mittleren Unternehmen besteht, die oft stark von Drittparteien abhängig sind. KMU machen laut den vom Ministerium für Unternehmen und Made in Italy gemeldeten Daten 99,9 % der aktiven Unternehmen aus und beschäftigen rund 76,5 % der Mitarbeiter im Privatsektor. In einem solchen System breitet sich das Risiko des Lieferanten schnell auf den Kunden aus.

Es gibt zudem einen wiederkehrenden Fehler. Viele Unternehmen bewerten einen Anbieter, ohne vorher geklärt zu haben, was sie eigentlich kaufen: Infrastruktur, Plattform, Anwendungssoftware oder eine Kombination der drei. Wenn Sie diese Analyse von Anfang an richtig aufsetzen möchten, lohnt es sich, bei den Unterschieden zwischen Cloud-Diensten zu beginnen.

Die Due Diligence beim Anbieter zu unterschätzen bedeutet, einen Geschäftspartner wie einen Kostenposten zu behandeln. Genau hier entstehen die Probleme, die in der Präsentation niemand erwähnt: interne Prozesse, die schlecht auf den Anbieter abgestimmt sind, technische Abhängigkeiten, die sich nur schwer beseitigen lassen, Haftungsrisiken, die man erst nach einem Vorfall entdeckt, und Ausstiegskosten, die dann anfallen, wenn man am wenigsten Verhandlungsspielraum hat.

Eine gut durchgeführte Bewertung verhindert Überraschungen. Eine schlecht durchgeführte Bewertung verschiebt sie lediglich auf später.

Die vertragliche und rechtliche Due Diligence, die dich wirklich rettet

Die meisten schwerwiegenden Probleme entstehen nicht durch einen technischen Fehler. Sie entstehen durch eine Klausel, die man zu spät gelesen hat. Der Vertrag legt fest, wer das Sagen hat, wenn etwas kaputtgeht.

Die Klauseln, auf die es ankommt, wenn es mal nicht so gut läuft

Bei der Bewertung eines Anbieters sollte der Preis erst an letzter Stelle stehen. An erster Stelle steht der rechtliche Rahmen der Geschäftsbeziehung.

Starte in diesen Gebieten:

• DPA und DSGVO-Rollen. Der Data Processing Agreement muss klar festlegen, wer Verantwortlicher ist, wer Auftragsverarbeiter ist, welche Anweisungen befolgt werden und welche Unterauftragnehmer beteiligt sind.
• Nutzung und Rückgabe der Daten. Werden Ihnen beim Ausstieg die Daten in einem nutzbaren Format zurückgegeben oder in einem unbrauchbaren oder unvollständigen Export?
• Einseitige Änderungen. Wenn der Anbieter Bedingungen, Preise oder Richtlinien durch einfache Veröffentlichung auf der Website ändern kann, bleibt das Risiko bei Ihnen.
• Übernahme, Schließung, Vertragsabtretung. Sie müssen verstehen, was mit Ihren Daten und dem Dienst geschieht, wenn der Anbieter die Kontrolle wechselt oder die Tätigkeit einstellt.
• Gerichtsstand, anwendbares Recht, Fristen für Streitigkeiten. Wenn der Rechtsstreit unhandlich oder fern von Ihrem operativen Umfeld wird, haben Sie bereits Verhandlungsspielraum verloren.

Viele Unternehmer betrachten den Vertrag als ein Dokument, das den Anbieter absichert. Das ist richtig. Deshalb sollte man ihn als eine Art Wegweiser für dessen Anreize lesen.

Fragen, die man vor der Unterzeichnung stellen sollte

Bei Geschäftsbesprechungen sollte man direkt zur Sache kommen. Es bringt nichts, wie ein Anwalt zu reden. Man sollte vielmehr wie ein Unternehmen sprechen, das versteckte Kosten vermeiden will.

Versuche es doch mal mit solchen Fragen:

1. Wer verarbeitet die Daten und in welcher Rolle im Sinne der DSGVO?
2. Wo werden die Daten gehostet und welche Übertragungen können stattfinden?
3. Wie funktioniert die Kündigung und was umfasst die Unterstützung beim Ausstieg?
4. In welchem Format exportieren Sie alle Daten, einschließlich Logs, Anhänge, Konfigurationen und nützlicher Metadaten?
5. Was passiert, wenn Sie übernommen werden oder sich die Servicebedingungen ändern?
6. Welche Subprocessor verwenden Sie und wie kommunizieren Sie Änderungen?
7. Wie reagieren Sie auf eine formelle Anfrage zum Zugriff auf oder zur Löschung von Daten?

Ein guter Vertrag ist nicht der, der alles verspricht. Es ist der, der wenig Raum für Unklarheiten lässt, wenn sich die Beziehung verschlechtert.

Ein klassisches Warnsignal ist der Anbieter, der auf Vertriebsfragen gut, aber auf Ausstiegsfragen schlecht antwortet. Ein weiteres ist der standardisierte DPA, der zwar existiert, aber Verantwortlichkeiten, Übertragungen und Fristen nicht wirklich klärt. Wenn Sie heute mit Daten, Automatisierungen oder Entscheidungssystemen arbeiten, lohnt es sich auch, das Thema European AI Act für KMU zu lesen, denn er zwingt viele Unternehmen dazu, Governance, Rückverfolgbarkeit und die Rolle der Lieferanten strenger zu formalisieren.

Ein letztes praktisches Kriterium: Wenn der Anbieter deine Fragen zu Daten, Haftung und Übertragbarkeit als lästig empfindet, sagt das bereits einiges über die Art der Beziehung aus, die du nach der Unterzeichnung haben wirst.

Technisches Lieferanten-Audit: Sicherheit über die Zertifizierungen hinaus

Ein Konformitätssiegel ist hilfreich. Es reicht jedoch nicht aus. Eine Zertifizierung besagt, dass ein Kontrollsystem vorhanden ist. Sie allein sagt dir jedoch nicht, ob dieser Anbieter für deinen Kontext, deine Daten und dein operatives Risiko geeignet ist.

Praktische Nachweise zählen mehr als der Ausweis

Die Vendor-Management-Frameworks empfehlen, Risikofragebögen, Finanzberichte und Zertifizierungen wie ISO 27001 und SOC 2 zu sammeln und die Lieferanten nach Kritikalität zu klassifizieren. Bei Hochrisiko-Lieferanten kommen zusätzlich Vor-Ort-Audits und Überprüfungen der externen Angriffsfläche hinzu, wie Mitratech im Leitfaden zur Vendor Due Diligence zusammenfasst.

Dieser Punkt verändert die Art und Weise, wie man einen Lieferanten bewertet. Die Frage lautet nicht: „Verfügt er über eine Zertifizierung?“. Die Frage lautet: „Welche praktischen Nachweise kann er mir neben der Zertifizierung vorlegen?“.

Es ist zum Beispiel sinnvoll, zu fragen:

BereichWas zu fragen istWarum es wichtig istHostingStandort der Daten und der Infrastruktur-SubunternehmerBeeinflusst die Gerichtsbarkeit und die ComplianceBackupRichtlinien, Häufigkeit, Überprüfung der WiederherstellungEin ungetestetes Backup ist nur eine HoffnungZugriffeKontrollen für privilegierte KontenReduziert interne Risiken und MissbrauchIncident ResponseDokumentierter Prozess zum VorfallmanagementZeigt, wer unter Druck welche Aufgaben übernimmtSchwachstellenNachweise zur Überprüfung der exponierten OberflächeDient dazu, zu verstehen, wie sichtbar und angreifbar der Anbieter ist

Backup-Gerichtsbarkeit und Angriffsfläche

Die datenrechtliche Zuständigkeit spielt eine größere Rolle, als viele glauben. Wenn der Anbieter Daten außerhalb des von Ihnen als selbstverständlich angenommenen Rahmens hostet oder überträgt, ändern sich Verpflichtungen, Bewertungen und oft auch die Art und Weise, wie Sie Vorfälle und formelle Anfragen bearbeiten.

Dann gibt es noch den weniger glamourösen, dafür aber umso konkreteren Teil: Backups und Notfallwiederherstellung. Frag nicht nur, ob es diese gibt. Frag auch, wie sie überprüft und dokumentiert werden und wer im Falle einer Datenbeschädigung oder eines Ausfalls des Dienstes eingreift.

Parallel dazu sollten Sie die reputationsbezogene Qualität des Vertragspartners beobachten. In einigen besonders exponierten Branchen ist die Überprüfung öffentlicher Aufsichts- oder Warnsignale eine minimale Hygienemaßnahme. Ein nützliches Beispiel ist die schwarze Liste für Kryptowährungsbetrug, die gut zeigt, warum Reputationsprüfung und externe Verifizierung keine Marotte, sondern ein grundlegender Schutz sind, wenn der Anbieter in sensiblen oder undurchsichtigen Bereichen tätig ist.

Wenn ein Anbieter dir nur Hochglanz-PDFs vorlegt und keine Belege dafür liefert, wie er mit Vorfällen, Backups, Zugriffen und Sicherheitslücken umgeht, dann bewertest du Marketing und nicht Sicherheit.

Bewertung der tatsächlichen Funktionsweise: Der Support- und Lock-in-Test

Die wahre Qualität eines Anbieters zeigt sich erst, wenn es dringend ist und man wenig Spielraum hat. Nicht in der Demo. Nicht im Angebot. Nicht auf der „Enterprise“-Seite.

Die Demo spielt in kritischen Momenten keine Rolle

Der Kundensupport sollte getestet werden, bevor man Kunde wird. Das ist ein Schritt, den fast niemand unternimmt.

Das geht ganz einfach:

• Stelle eine schwierige Frage. Frage nicht „Habt ihr prioritären Support?“. Frage stattdessen, wie sie eine formelle Anfrage nach einem vollständigen Export oder einen Vorfall mit Datenbeteiligung handhaben.
• Prüfe die Eskalation. Gibt es einen dokumentierten Ablauf, oder wirst du von einem generischen Ticket zum nächsten weitergereicht, ohne klare Zuständigkeit?
• Lies die SLAs aufmerksam. Die Antwortzeit ist hilfreich, aber entscheidend ist die Lösungszeit und was außerhalb der Geschäftszeiten passiert.
• Achte darauf, wer antwortet. Ein Account Manager, der alles verspricht, ersetzt keinen strukturierten technischen Support.

Ein zuverlässiger Anbieter nimmt es dir nicht übel, wenn du diese Fragen stellst. Er hält sie für ganz normal.

Ein hervorragender Support ist nicht der, der schnell antwortet, wenn alles reibungslos läuft. Es ist der, der sich eines kniffligen Problems annimmt, es richtig eskalieren kann und dir schriftliche Nachweise über die getroffenen Entscheidungen hinterlässt.

Der wahre Preis sind die Ausstiegskosten

Hier verbirgt sich der am meisten übersehene Aspekt der Due-Diligence-Prüfung bei Anbietern: die Bindung.

Eine wirksame technische Due Diligence muss das Scannen von Code und Abhängigkeiten umfassen, um ein vollständiges Inventar von Drittanbietersoftware, Abhängigkeitsbeziehungen und Open-Source-Lizenzen zu erstellen, sowie die Überprüfung von Architektur, APIs und Datenbanken, um das Risiko von technischen Schulden und Lock-in zu bewerten, wie FOSSA im Leitfaden zur technical due diligence erklärt.

In die Sprache der Unternehmer übersetzt bedeutet das, dass du drei Dinge verstehen musst:

• Echter Datenexport. Erhältst du CSV, JSON oder andere offene Formate, oder wenig wiederverwendbare Dumps?
• Dokumentierte APIs. Kannst du Daten und Konfigurationen extrahieren, ohne auf menschlichen Support angewiesen zu sein?
• Versteckte Abhängigkeiten. Wie viele Anpassungen oder proprietäre Komponenten machen den Ausstieg teuer?

Wenn der Anbieter den Einstieg leicht und den Ausstieg schwer macht, hast du keine Partnerschaft. Du bist in einer Abhängigkeit.

Was die Kontinuität betrifft, lohnt es sich ebenfalls zu klären, wie der Anbieter mit Wiederherstellung und Datenverlust umgeht. Wenn du eine operative Grundlage brauchst, um diese Szenarien zu bewerten, findest du einen guten Ausgangspunkt bei ELECTE zum Umgang mit RTO und RPO.

Ein einfacher Tipp ist dabei sehr hilfreich: Fordere vor der Unterzeichnung ein schriftliches Offboarding-Verfahren an. Wenn es kein solches gibt, sind die Kosten für den Austritt mit ziemlicher Sicherheit höher, als du denkst.

Der risikobasierte Ansatz: Wie KI und Daten die Überwachung automatisieren

Das Problem bei Checklisten ist, dass sie den Lieferanten an einem bestimmten Tag abbilden. Das Risiko hingegen ändert sich ständig.

Von der einmaligen Kontrolle zur kontinuierlichen Überwachung

Eine häufige Lücke in der Provider Due Diligence ist genau diese: Fast alle erklären, was man den Anbieter fragen soll, nur wenige erklären, wie man dessen Risiko im Laufe der Zeit neu berechnet. Der Kontext verlangt es jedoch. Der Clusit-Bericht 2025 zeigt, dass es im Jahr 2024 357 Cyberangriffe gegen italienische Ziele gab, ein Anstieg gegenüber den 310 aus dem Jahr 2023, wobei 79 % als hoch oder kritisch eingestuft wurden. Zudem kosten Verstöße im Zusammenhang mit Dritten im Durchschnitt über 370.000 Dollar mehr als interne Vorfälle, wie SecurityScorecard in seiner Checkliste für Service Provider berichtet.

Das verändert die Kontrolllogik. Es reicht nicht aus, den Anbieter bei der Aufnahme zu genehmigen. Man muss entscheiden, welche Anbieter mehr Aufmerksamkeit erfordern und welche Anzeichen eine Neubewertung auslösen.

Welche Signale sollten beobachtet werden?

Ein risikobasierter Ansatz geht von einer internen Einstufung aus. Nicht alle Lieferanten sind gleich. Dabei spielen zumindest folgende Faktoren eine Rolle:

• Geschäftskritikalität. Wenn der Anbieter ausfällt, steht dein Prozess still, oder verlangsamt er sich nur?
• Sensibilität der verarbeiteten Daten. Analysedaten, Kundendaten, regulierte Daten, operative Informationen.
• Technische Abhängigkeit. Wie komplex ist es, ihn zu ersetzen oder zu entkoppeln?
• Operative Historie der Beziehung. Vorfälle, Verzögerungen, Richtlinienänderungen, nachlassender Support.

Auf dieser Grundlage kannst du ein nützliches Überwachungssystem aufbauen, auch mithilfe von Datenanalyse-Tools: Dashboards zu SLAs, Nachverfolgung kritischer Tickets, Warnmeldungen bei Änderungen an der Dokumentation, Wechseln bei Zulieferern, Leistungsabweichungen oder Sicherheitsvorfällen.

Ein Lieferant wird nicht erst dann zu einem Risiko, wenn er einen Zwischenfall erleidet. Er wird zu einem Risiko, wenn sich schwache Signale häufen und niemand sie im Zusammenhang betrachtet.

Für ein KMU ist dies der Punkt, an dem Daten zu praktischer Unternehmensführung werden. Nicht, um die Bürokratie zu verbessern, sondern um schneller reagieren zu können.

Checkliste für Ihre nächste Provider-Due-Diligence-Prüfung

Die Checkliste dient nur einem einzigen Zweck: herauszufinden, ob du dich für einen Anbieter entscheidest, der dein Unternehmen unterstützt, oder für einen, der dir Betriebsschulden, Rechtsstreitigkeiten und einen kostspieligen Ausstieg hinterlässt. Wenn das Dokument dir nicht dabei hilft, Nein zu sagen, ist es keine nützliche Checkliste.

Rechtlicher und vertraglicher Bereich

So vermeidet man Probleme, die erst nach der Unterzeichnung auftreten.

• Klare vertragliche Identität. Prüfe, wer tatsächlich unterzeichnet, welche Konzerngesellschaften am Service beteiligt sind und welche Subprozessoren Zugang zu Daten oder Infrastruktur haben.
• Lesbarer und konsistenter DPA. Prüfe Rollen, Anweisungen, Übermittlungen, angegebene technische Maßnahmen, Meldefristen und Unterstützung bei Betroffenenanfragen oder Vorfällen.
• Ausstiegsklauseln. Bestehe auf klaren Fristen, expliziten Kosten, nutzbaren Exportformaten, Löschung von Restdaten und Unterstützung beim Übergang.
• Einseitige Änderungen. Prüfe, wie diese kommuniziert werden, welche Vorlaufzeit du hast und welches vertragliche Mittel existiert, falls die Änderung Risiko, Kosten oder Betrieb verschlechtert.

Technischer Bereich

Hier zählen die Nachweise. Zertifizierungen sind zwar hilfreich, geben aber keinen Aufschluss darüber, wie der Anbieter unter Druck arbeitet.

• Sicherheitsdokumentation. Fordere Nachweise zu Zugriffsverwaltung, Backups, Logging, Patching, Incident Response und bekannten Schwachstellen an.
• Architektur und Abhängigkeiten. Verstehe, von welchen APIs, Datenbanken, Drittanbieterdiensten und proprietären Komponenten der tägliche Betrieb abhängt.
• Echte Portabilität. Prüfe, ob Daten, Konfigurationen und Logs in wiederverwendbaren Formaten exportiert werden können, ohne alles manuell neu aufbauen zu müssen.
• Betriebskontinuität. Prüfe Wiederherstellungspläne, durchgeführte Tests, interne Rollen während eines Vorfalls und die Qualität der Kommunikation gegenüber dem Kunden.

Einsatzgebiet

Viele Fehler entstehen hier, nicht im Vertrag.

• Echter Support. Teste Antwortzeiten, Kanäle, Eskalation und Qualität der Antworten, bevor du dich verpflichtest.
• Offboarding. Fordere ein dokumentiertes Verfahren an. Existiert keines, hat der Lock-in bereits begonnen.
• Änderungsmanagement. Prüfe, wie der Anbieter mit Updates, Abkündigungen, Richtlinienänderungen und Roadmap-Entscheidungen umgeht, die bereits produktive Prozesse stören können.
• Kritische Unterauftragnehmer. Kläre, wer was macht, wer ohne deine Zustimmung wechseln kann und welche operativen Auswirkungen das für dich hat.
• Regelmäßige interne Überprüfung. Bestimme einen Verantwortlichen, eine Prüffrequenz und klare Schwellenwerte, die eine Neubewertung des Anbieters auslösen.

Der häufigste Fehler besteht darin, sich auf die Auswahlphase zu beschränken. Das eigentliche Risiko zeigt sich erst später, wenn sich der Support verschlechtert, die Zulieferer wechseln, die Exportdaten sich als unbrauchbar erweisen oder eine Änderung der Richtlinien dazu führt, dass Aufgaben, von denen Sie dachten, sie seien bereits enthalten, nun auf Sie übertragen werden. Genau dann entstehen die Folgekosten.

Wenn du alles in einer Faustregel zusammenfassen möchtest, dann halte dich an folgende: Beurteile den Anbieter so, wie du einen Geschäftspartner beurteilen würdest. Er muss einen Zwischenfall, einen Rechtsstreit und eine ordnungsgemäße Trennung überstehen können. Wenn du nicht weißt, wie du aussteigen kannst, hast du nicht gründlich genug geprüft.

Wenn du Daten zu Anbietern, SLAs, Vorfällen und Performance in ein kontinuierliches Überwachungssystem verwandeln möchtest, hilft ELECTE, eine AI-powered data analytics platform für SMEs, dabei, verstreute Signale zu sammeln und in nützliche Insights für schnellere und besser dokumentierte Entscheidungen umzuwandeln. Es ist ein konkreter Weg, von episodischer Due Diligence zu einer ausgereifteren operativen Überwachung überzugehen.