Das Problem bei vielen SaaS-Käufen entsteht nicht bei Vertragsunterzeichnung. Es tritt erst Monate später auf, wenn der Anbieter nicht mehr wie versprochen reagiert, die Bedingungen ändert, den Datenexport erschwert oder dir Verantwortlichkeiten aufbürdet, von denen du dachtest, sie lägen bei ihm. An diesem Punkt ist der anfänglich niedrige Preis wie weggeblasen. Was bleibt, sind Betriebsausfälle, rechtliche Risiken und Ausstiegskosten.
Wer ein KMU leitet, weiß das nur zu gut. Die Produktdemo ist immer makellos, der Vertrag hingegen weit weniger. Und wenn der Anbieter Zugriff auf Daten, kritische Prozesse oder Vertriebsabläufe erhält, beschränkt sich eine falsche Entscheidung nicht nur auf die IT. Sie wirkt sich auch auf die Verwaltung, die Compliance, den Kundenservice und die Geschäftskontinuität aus.
Ich spreche als Unternehmer, der konkrete Auseinandersetzungen mit Anbietern erlebt hat, die in Bezug auf die DSGVO, die europäische Rechnungsstellung, den tatsächlichen Support und einseitige Änderungen der Geschäftsbedingungen wenig transparent waren. Die Lehre daraus ist einfach: Die Due-Diligence-Prüfung von Anbietern ist keine reine Formalität der Beschaffungsabteilung. Sie ist die Methode, mit der Sie beurteilen, ob ein Anbieter eine Stärke oder ein strukturelles Risiko darstellen kann.
Hier findest du einen praktischen Leitfaden, wie du einen Anbieter so beurteilen kannst, als wäre er ein Geschäftspartner. Dabei geht es nicht nur um Preis und Funktionen, sondern auch um Vertrag, Sicherheit, Betriebsbereitschaft, Portabilität und kontinuierliche Überwachung.
Die Website ist ausgerechnet am ungünstigsten Tag ausgefallen. Die Bestellungen hängen sich auf, das Vertriebsteam kommuniziert über drei verschiedene Kanäle, der Kundenservice weiß nicht, was er den Kunden sagen soll. Du eröffnest ein „vorrangiges“ Ticket bei deinem SaaS-Anbieter und erhältst eine automatische Antwort. Kein Techniker, keine klare Eskalationskette, keine Angabe zur Lösungszeit in Echtzeit.
In diesem Moment wird dir klar, was du eigentlich gekauft hast.
Du hast nicht nur eine Dienstleistung gekauft. Du hast die Art und Weise gekauft, wie dieser Anbieter mit Vorfällen, Haftung, Daten, Verträgen und der Beendigung der Zusammenarbeit umgeht. Wenn du diese Aspekte nicht im Vorfeld geprüft hast, hast du operative Schulden angehäuft. Das sieht man in der Demo nicht, es steht nicht in der Preisliste, aber es kommt alles auf einmal zum Tragen, wenn der Anbieter den Anforderungen nicht gewachsen ist.
Wenn ein Anbieter in einem kritischen Moment versagt, ist das Problem nicht nur technischer Natur. Es wird noch am selben Tag zu einem geschäftlichen, rechtlichen und rufschädigenden Problem.
Viele Unternehmer betrachten die Due-Diligence-Prüfung eines Anbieters lediglich als einen administrativen Schritt. Sie überprüfen den Preis, zwei Funktionen, vielleicht noch ein Zertifikat auf der Startseite, und unterschreiben dann. Das ist ein häufiger Fehler. Die entscheidenden Fragen lauten anders: Wer haftet für die Daten, wo befinden sie sich, wie lassen sie sich exportieren, wer unterstützt Sie wirklich, und was passiert, wenn der Anbieter den Eigentümer wechselt oder die Vertragsbedingungen ändert?
Das Unangenehme daran ist, dass diese Fragen die Verhandlungen verlangsamen. Das Nützliche daran ist, dass sie dir später monatelange Probleme ersparen.
Die Anbieter-Due-Diligence dient dazu, zu verstehen, welchen Teil des Risikos Sie zusammen mit der Dienstleistung erwerben. Es geht nicht darum, Dokumente zu sammeln, um bei der Unterzeichnung ein gutes Gewissen zu haben. Es geht vielmehr darum, im Vorfeld abzuschätzen, wie viel Sie dieser Anbieter tatsächlich kosten wird, falls etwas schiefgeht, sich die Unternehmensstruktur ändert, der Support versagt oder Sie sich eines Tages schnell wieder trennen müssen.
Wer schon einmal eine erzwungene Migration oder einen schlecht bewältigten Vorfall bewältigt hat, weiß das nur zu gut. Das Problem beschränkt sich selten auf den Anbieter. Es greift in interne Prozesse ein, blockiert den Vertrieb, bindet Arbeitszeit des technischen Teams, wirft rechtliche Fragen auf und verwandelt eine scheinbar günstige Gebühr in eine versteckte Betriebsbelastung.
Aus diesem Grund erfolgt eine seriöse Due Diligence auf vier konkreten Ebenen:
Faustregel: Wenn der Lieferant mit Daten, Zahlungen, dem Kundenservice oder einem kritischen Prozess zu tun hat, sollte die Due Diligence als Maßnahme zur Gewährleistung der Geschäftskontinuität und nicht als reine Verwaltungsaufgabe betrachtet werden.
Im italienischen Kontext ist die Unterschätzung noch kostspieliger, da die Lieferkette größtenteils aus kleinen und mittleren Unternehmen besteht, die oft stark von Dritten abhängig sind. KMU machen 99,9 % der aktiven Unternehmen aus und beschäftigen laut Angaben des Ministeriums für Unternehmen und „Made in Italy“ etwa 76,5 % der Beschäftigten im privaten Sektor. In einem solchen System überträgt sich das Risiko des Lieferanten schnell auf den Kunden.
Außerdem gibt es einen häufig auftretenden Fehler. Viele Unternehmen bewerten einen Anbieter, ohne zuvor geklärt zu haben, was sie tatsächlich erwerben: Infrastruktur, Plattform, Anwendungssoftware oder eine Kombination aus allen dreien. Wenn Sie diese Analyse bereits im Vorfeld gründlich durchführen möchten, sollten Sie bei den Unterschieden zwischen den Cloud-Diensten ansetzen.
Die Due Diligence beim Anbieter zu unterschätzen bedeutet, einen Geschäftspartner wie einen Kostenposten zu behandeln. Genau hier entstehen die Probleme, die in der Präsentation niemand erwähnt: interne Prozesse, die schlecht auf den Anbieter abgestimmt sind, technische Abhängigkeiten, die sich nur schwer beseitigen lassen, Haftungsrisiken, die man erst nach einem Vorfall entdeckt, und Ausstiegskosten, die dann anfallen, wenn man am wenigsten Verhandlungsspielraum hat.
Eine gut durchgeführte Bewertung verhindert Überraschungen. Eine schlecht durchgeführte Bewertung verschiebt sie lediglich auf später.
Die meisten schwerwiegenden Probleme entstehen nicht durch einen technischen Fehler. Sie entstehen durch eine Klausel, die man zu spät gelesen hat. Der Vertrag legt fest, wer das Sagen hat, wenn etwas kaputtgeht.
Bei der Bewertung eines Anbieters sollte der Preis erst an letzter Stelle stehen. An erster Stelle steht der rechtliche Rahmen der Geschäftsbeziehung.
Starte in diesen Gebieten:
Viele Unternehmer betrachten den Vertrag als ein Dokument, das den Anbieter absichert. Das ist richtig. Deshalb sollte man ihn als eine Art Wegweiser für dessen Anreize lesen.
Bei Geschäftsbesprechungen sollte man direkt zur Sache kommen. Es bringt nichts, wie ein Anwalt zu reden. Man sollte vielmehr wie ein Unternehmen sprechen, das versteckte Kosten vermeiden will.
Versuche es doch mal mit solchen Fragen:
Ein guter Vertrag ist nicht der, der alles verspricht. Es ist der, der wenig Raum für Unklarheiten lässt, wenn sich die Beziehung verschlechtert.
Ein klassisches Warnsignal ist ein Anbieter, der Fragen zu geschäftlichen Aspekten gut beantwortet, Fragen zur Datenlöschung jedoch nur unzureichend. Ein weiteres Warnsignal ist eine Standard-Datenschutzvereinbarung (DPA), die zwar vorliegt, aber keine klaren Angaben zu Verantwortlichkeiten, Datenübermittlungen und Fristen enthält. Wenn Sie heute mit Daten, Automatisierungen oder Entscheidungssystemen arbeiten, lohnt es sich, auch den European AI Act für KMU zu lesen, da er viele Unternehmen dazu veranlasst, Governance, Nachverfolgbarkeit und die Rolle der Lieferanten strenger zu regeln.
Ein letztes praktisches Kriterium: Wenn der Anbieter deine Fragen zu Daten, Haftung und Übertragbarkeit als lästig empfindet, sagt das bereits einiges über die Art der Beziehung aus, die du nach der Unterzeichnung haben wirst.
Ein Konformitätssiegel ist hilfreich. Es reicht jedoch nicht aus. Eine Zertifizierung besagt, dass ein Kontrollsystem vorhanden ist. Sie allein sagt dir jedoch nicht, ob dieser Anbieter für deinen Kontext, deine Daten und dein operatives Risiko geeignet ist.
Frameworks für das Lieferantenmanagement empfehlen, Risikobögen, Finanzberichte und Zertifizierungen wie ISO 27001 und SOC 2 zu erfassen und die Lieferanten nach ihrer Kritikalität einzustufen. Bei Lieferanten mit hohem Risiko kommen Vor-Ort-Audits und Überprüfungen der externen Angriffsfläche hinzu, wie Mitratech in seinem Leitfaden zur Lieferanten-Due-Diligence zusammenfasst.
Dieser Punkt verändert die Art und Weise, wie man einen Lieferanten bewertet. Die Frage lautet nicht: „Verfügt er über eine Zertifizierung?“. Die Frage lautet: „Welche praktischen Nachweise kann er mir neben der Zertifizierung vorlegen?“.
Es ist zum Beispiel sinnvoll, zu fragen:
BereichWas zu fragen istWarum es wichtig istHostingStandort der Daten und der Infrastruktur-SubunternehmerBeeinflusst die Gerichtsbarkeit und die ComplianceBackupRichtlinien, Häufigkeit, Überprüfung der WiederherstellungEin ungetestetes Backup ist nur eine HoffnungZugriffeKontrollen für privilegierte KontenReduziert interne Risiken und MissbrauchIncident ResponseDokumentierter Prozess zum VorfallmanagementZeigt, wer unter Druck welche Aufgaben übernimmtSchwachstellenNachweise zur Überprüfung der exponierten OberflächeDient dazu, zu verstehen, wie sichtbar und angreifbar der Anbieter ist
Die datenrechtliche Zuständigkeit spielt eine größere Rolle, als viele glauben. Wenn der Anbieter Daten außerhalb des von Ihnen als selbstverständlich angenommenen Rahmens hostet oder überträgt, ändern sich Verpflichtungen, Bewertungen und oft auch die Art und Weise, wie Sie Vorfälle und formelle Anfragen bearbeiten.
Dann gibt es noch den weniger glamourösen, dafür aber umso konkreteren Teil: Backups und Notfallwiederherstellung. Frag nicht nur, ob es diese gibt. Frag auch, wie sie überprüft und dokumentiert werden und wer im Falle einer Datenbeschädigung oder eines Ausfalls des Dienstes eingreift.
Beobachten Sie parallel dazu die Reputationsqualität des Partners, mit dem Sie zu tun haben. In einigen Branchen mit hohem Risiko ist die Überprüfung öffentlicher Warn- oder Alarmsignale eine Mindestmaßnahme der Vorsicht. Ein nützliches Beispiel ist die schwarze Liste für Kryptowährungsbetrug, die deutlich macht, warum Reputationsprüfungen und externe Überprüfungen keine Spielerei sind, sondern einen grundlegenden Schutz darstellen, wenn der Anbieter in sensiblen oder undurchsichtigen Bereichen tätig ist.
Wenn ein Anbieter dir nur Hochglanz-PDFs vorlegt und keine Belege dafür liefert, wie er mit Vorfällen, Backups, Zugriffen und Sicherheitslücken umgeht, dann bewertest du Marketing und nicht Sicherheit.
Die wahre Qualität eines Anbieters zeigt sich erst, wenn es dringend ist und man wenig Spielraum hat. Nicht in der Demo. Nicht im Angebot. Nicht auf der „Enterprise“-Seite.
Der Kundensupport sollte getestet werden, bevor man Kunde wird. Das ist ein Schritt, den fast niemand unternimmt.
Das geht ganz einfach:
Ein zuverlässiger Anbieter nimmt es dir nicht übel, wenn du diese Fragen stellst. Er hält sie für ganz normal.
Ein hervorragender Support ist nicht der, der schnell antwortet, wenn alles reibungslos läuft. Es ist der, der sich eines kniffligen Problems annimmt, es richtig eskalieren kann und dir schriftliche Nachweise über die getroffenen Entscheidungen hinterlässt.
Hier verbirgt sich der am meisten übersehene Aspekt der Due-Diligence-Prüfung bei Anbietern: die Bindung.
Eine effektive technische Due Diligence muss das Scannen des Codes und der Abhängigkeiten umfassen, um ein vollständiges Inventar der Software von Drittanbietern, der Abhängigkeitsbeziehungen und der Open-Source-Lizenzen zu erstellen, sowie die Überprüfung der Architektur, der APIs und der Datenbanken, um das Risiko von technischer Verschuldung und Lock-in zu bewerten, wie FOSSA in seinem Leitfaden zur technischen Due Diligence erläutert.
In die Sprache der Unternehmer übersetzt bedeutet das, dass du drei Dinge verstehen musst:
Wenn der Anbieter den Einstieg leicht und den Ausstieg schwer macht, hast du keine Partnerschaft. Du bist in einer Abhängigkeit.
Was die Kontinuität betrifft, lohnt es sich auch zu klären, wie der Anbieter in Bezug auf Datenwiederherstellung und Datenverlust vorgeht. Wenn Sie eine Grundlage für die Bewertung dieser Szenarien suchen, finden Sie bei ELECTE einen guten Anhaltspunkt zum Thema RTO- und RPO-Management.
Ein einfacher Tipp ist dabei sehr hilfreich: Fordere vor der Unterzeichnung ein schriftliches Offboarding-Verfahren an. Wenn es kein solches gibt, sind die Kosten für den Austritt mit ziemlicher Sicherheit höher, als du denkst.
Das Problem bei Checklisten ist, dass sie den Lieferanten an einem bestimmten Tag abbilden. Das Risiko hingegen ändert sich ständig.
Eine häufige Lücke bei der Due-Diligence-Prüfung von Anbietern ist genau diese: Fast alle erklären, welche Fragen man dem Anbieter stellen sollte, aber nur wenige erläutern, wie man dessen Risiko im Zeitverlauf neu bewerten kann. Dabei erfordert es der Kontext gerade dies. Der Clusit-Bericht 2025 weist darauf hin, dass es im Jahr 2024 357 Cyberangriffe auf italienische Ziele gab – ein Anstieg gegenüber den 310 Angriffen im Jahr 2023 –, wobei 79 % davon als schwerwiegend oder kritisch eingestuft wurden. Zudem kosten Sicherheitsverletzungen im Zusammenhang mit Dritten im Durchschnitt über 370.000 Dollar mehr als interne Vorfälle, wie SecurityScorecard in seiner Checkliste für Dienstleister berichtet.
Das verändert die Kontrolllogik. Es reicht nicht aus, den Anbieter bei der Aufnahme zu genehmigen. Man muss entscheiden, welche Anbieter mehr Aufmerksamkeit erfordern und welche Anzeichen eine Neubewertung auslösen.
Ein risikobasierter Ansatz geht von einer internen Einstufung aus. Nicht alle Lieferanten sind gleich. Dabei spielen zumindest folgende Faktoren eine Rolle:
Auf dieser Grundlage kannst du ein nützliches Überwachungssystem aufbauen, auch mithilfe von Datenanalyse-Tools: Dashboards zu SLAs, Nachverfolgung kritischer Tickets, Warnmeldungen bei Änderungen an der Dokumentation, Wechseln bei Zulieferern, Leistungsabweichungen oder Sicherheitsvorfällen.
Ein Lieferant wird nicht erst dann zu einem Risiko, wenn er einen Zwischenfall erleidet. Er wird zu einem Risiko, wenn sich schwache Signale häufen und niemand sie im Zusammenhang betrachtet.
Für ein KMU ist dies der Punkt, an dem Daten zu praktischer Unternehmensführung werden. Nicht, um die Bürokratie zu verbessern, sondern um schneller reagieren zu können.
Die Checkliste dient nur einem einzigen Zweck: herauszufinden, ob du dich für einen Anbieter entscheidest, der dein Unternehmen unterstützt, oder für einen, der dir Betriebsschulden, Rechtsstreitigkeiten und einen kostspieligen Ausstieg hinterlässt. Wenn das Dokument dir nicht dabei hilft, Nein zu sagen, ist es keine nützliche Checkliste.
So vermeidet man Probleme, die erst nach der Unterzeichnung auftreten.
Hier zählen die Nachweise. Zertifizierungen sind zwar hilfreich, geben aber keinen Aufschluss darüber, wie der Anbieter unter Druck arbeitet.
Viele Fehler entstehen hier, nicht im Vertrag.
Der häufigste Fehler besteht darin, sich auf die Auswahlphase zu beschränken. Das eigentliche Risiko zeigt sich erst später, wenn sich der Support verschlechtert, die Zulieferer wechseln, die Exportdaten sich als unbrauchbar erweisen oder eine Änderung der Richtlinien dazu führt, dass Aufgaben, von denen Sie dachten, sie seien bereits enthalten, nun auf Sie übertragen werden. Genau dann entstehen die Folgekosten.
Wenn du alles in einer Faustregel zusammenfassen möchtest, dann halte dich an folgende: Beurteile den Anbieter so, wie du einen Geschäftspartner beurteilen würdest. Er muss einen Zwischenfall, einen Rechtsstreit und eine ordnungsgemäße Trennung überstehen können. Wenn du nicht weißt, wie du aussteigen kannst, hast du nicht gründlich genug geprüft.
Wenn Sie Daten zu Lieferanten, SLAs, Vorfällen und Leistungsdaten in ein System zur kontinuierlichen Überwachung umwandeln möchten, hilft Ihnen ELECTE – eine KI-gestützte Datenanalyseplattform für KMU – dabei, verstreute Signale zu sammeln und in nützliche Erkenntnisse umzuwandeln, die schnellere und besser fundierte Entscheidungen ermöglichen. Dies ist ein konkreter Weg, um von einer punktuellen Due Diligence zu einer ausgereifteren operativen Überwachung überzugehen.
.svg)
.svg)
.svg)
