Sie verantworten die Empfehlung. Deshalb hier die Methode.
Für Wirtschaftsberater, Steuerbüros und M&A-Boutiquen: wie die Bewertung entsteht, wie die Beträge zustande kommen und wo die Grenzen des Berichts liegen.
„Das kann ein Chef genauso verstehen und lesen wie sein Berater."
Das ist der Maßstab für jede Zeile im Bericht. Für Ihren Mandanten heißt das: er versteht, was er unterschreibt. Für Sie: Sie können jede Zahl nachrechnen und jede Annahme prüfen.
Ich verkaufe kein System und bekomme von keinem Anbieter Provision.
Der Bericht empfiehlt Maßnahmen, keine Produkte. Wo eine konkrete Software genannt wird, steht daneben, welche Anforderung sie erfüllen muss, damit Ihr Mandant auch eine andere wählen kann.
„Die Bewertung erfolgte unabhängig von einer etwaigen späteren Beauftragung zur Umsetzung der empfohlenen Maßnahmen." Satz steht wortgleich im Bericht
Was der Bericht nicht ist
Der Geltungsbereich wird ehrlich benannt, nicht implizit erweitert.
Auf einer eigenen Seite steht, was nicht Gegenstand der Bewertung war: keine Penetrationstests, keine Forensik, keine rechtliche Prüfung von Lizenz- oder Versicherungsverträgen, keine Bewertung steuerlicher Sachverhalte.
Angaben der Geschäftsführung werden übernommen, soweit sie nicht durch eigene Feststellung überprüfbar waren, und sind als solche gekennzeichnet.
02 — Prüfachsen
Acht Achsen, zwei Lesarten: Risiko für die Transaktion, Hebel für den Betrieb.
01
Infrastruktur & Hardware
Was steht da, wie lange hält es noch, was kostet Ersatz?
Physische Schicht: Serverraum, USV, Klima, Wasser- und Brandschutz
Red FlagServer 8 Jahre alt, kein Ersatzplan, Backup nie getestet, und steht im Keller unter der Wasserleitung. Ein Backup, das nie getestet wurde, ist kein Backup.
Nachinvest typisch KMU 15–80 k€
02
Software & Lizenzen
Was läuft, wem gehört es, was explodiert beim Eigentümerwechsel?
Inventar, End-of-Life, Übertragbarkeit bei Wechsel
Zugriff, Rollen, Single Sign-On, schnelle User-Sperrung
Telefonie, Smartphones, mobile Arbeitsplätze (MDM, Verschlüsselung)
Change-of-Control-Klauseln, die stille Bombe in Lizenzverträgen
Red FlagBranchensoftware mit Change-of-Control-Klausel, 50 Arbeitsplätze auf Windows 10, Admin-Rechte für alle.
Nachinvest typisch KMU 30–250 k€ +
03
Daten & DSGVO
Wo liegen welche Daten, wer darf ran, wie lange dürfen sie da liegen?
Dateninventar über physische und logische Speicherorte
Verzeichnis der Verarbeitungstätigkeiten, AVV-Kette, Löschkonzept
Red FlagVertriebsleiter kippt Kundenliste in ChatGPT. WhatsApp ist der primäre Kundenkanal. Excel steuert die Produktion.
Nachinvest typisch KMU 15–80 k€
Was Sie hier sehen, sind die Überschriften. Dahinter liegt ein Prüfraster mit rund fünfzig Clustern und einigen hundert Einzelfragen, vom Wassermelder über dem Serverraum bis zur KI-Policy. Das vollständige Raster ist meine Methode und steht bewusst nicht im Internet. Im Gespräch gehe ich gern tiefer hinein. Die acht Achsen sind die Skizze des Regelwerks, nicht die komplette Blaupause. Die ist ohnehin unternehmensspezifisch.
03 — Verteidigbare Zahlen
Sie bekommen einen Bericht, in dem jeder Betrag eine Berechnung mit offengelegten Grundlagen ist.
Der Bericht behauptet nichts. Er rechnet vor.
Grundlage
Betriebszahlen, nicht Branchenschnitt
Jahresumsatz, Personalstruktur, produktive Arbeitstage, Materialanteil, Vollkostensätze basieren auf den Zahlen des Betriebs. Wo im Mandat noch keine Zahl vorliegt, steht die branchenübliche Annahme kenntlich gemacht daneben.
Ansatz
Untergrenze statt Erwartungswert
Ausfallstufen gehen in der Praxis ineinander über. Jede Stufe ist am unteren Rand ihres Bereichs angesetzt und liegt bis zu zehn Prozent unter dem rechnerischen Wert. Das ist bewusst gewählt und im Bericht benannt. Wer die Zahl angreift, greift die vorsichtige an.
Bewertungsmaß
Entgangener Deckungsbeitrag plus Leerkosten
Bewertet wird der Tagesumsatz abzüglich Materialanteil, zuzüglich der Personalkosten, die ohne Gegenwert weiterlaufen. Folgeschäden werden getrennt ausgewiesen, nicht in die Stillstandskosten gemischt.
Nachweislage
Festgestellt, vorgelegt oder angegeben
Zu jedem Befund ist erkennbar, worauf er beruht: eigene Inaugenscheinnahme, vorgelegte Unterlage oder Angabe der Geschäftsführung. Ungeprüftes wird als ungeprüft gekennzeichnet. Befunde, die mehrere Achsen berühren, werden einer Achse zugerechnet und quer verwiesen. Nichts wird doppelt gezählt.
Muss
Vor Vollzug behebbar und zu beheben. Danach entfällt die Grundlage für einen Risikoabschlag aus diesem Befund.
Sollte
Als Einzelbefund nachrangig, als Multiplikator relevant. Typischer Fall: der fehlende Notfallplan.
Kann
Positiver Business Case ohne Risikobezug. Nicht dringlich, aber ein Argument in der Bewertung.
Ob ein Befund Muss, Sollte oder Kann wird, ist keine Geschmacksfrage. Die Priorität folgt aus der Ebene, auf der der Befund liegt: je näher an der Betriebsfähigkeit, desto eher Muss. Welche Ebenen das sind, steht im nächsten Abschnitt.
04 — Reihenfolge
Ich bewerte vom Fundament aufwärts und priorisiere entsprechend.
Was bei einer Bewertung sichtbar wird, ist oft viel auf einmal. Das ist normal, jeder gewachsene Betrieb trägt das mit sich herum. Es ist kein Befund gegen den Mandanten, sondern eine Landkarte. Security ist wichtig, aber nicht zuerst. Wer nicht weiß, ob der Laden morgen noch läuft, wenn die eine Person ausfällt, die alles weiß, braucht keinen Securitytest.
05
Entwicklung
Wachstum, Automatisierung, neue Möglichkeiten, auf stabilem Boden.
04
Sicherheit
Security, Compliance, Datenschutz. Was angreifbar ist, abgesichert.
03
Effizienz
Zeitfresser, Medienbrüche, Doppelarbeit. Was unnötig kostet, aufgelöst.
02
Nachvollziehbarkeit
Dokumentation, Prozesse, Übergebbarkeit. Weiß jemand außer dem Chef, wie was funktioniert?
01
Betriebsfähigkeit
Läuft der Laden morgen noch? Personenabhängigkeit, Backups, Schlüsselwissen.
Die meisten Betriebe wollen bei 04 anfangen, weil Security in der Zeitung steht. Ich fange in der Regel bei 01 und 02 an, weil das die Ebenen sind, auf denen alle anderen stehen. Und weil das, was dort liegt, oft größer ist als gedacht.
05 — Nachfolge & Transaktion
Das Ergebnis ist ein datenraumfähiger IT-Befund.
Was ein Käufer finden wird
Die technische Due Diligence kommt. Die Frage ist: mit Vorlauf oder unter Zeitdruck.
Wenn das Prüfteam des Käufers kommt, wird dokumentiert, was digital wirklich steht. Schatten-IT, Key-Person-Abhängigkeiten, veraltete Systeme. Alles, was heute niemand sehen muss, wird dann sichtbar. Und bepreist.
Der Bericht weist den als Muss eingestuften Anteil getrennt aus. Das ist der Betrag, der vor Vollzug behebbar ist, und damit die Summe, um die sich ein Risikoabschlag verhandeln lässt.
Was vorher bereinigt wird
Die Käufer-Perspektive, drei bis fünf Jahre früher.
Wissens-Inseln dokumentieren, bevor die Person geht
Lizenzen und Change-of-Control-Klauseln sortieren, bevor sie zum Thema werden
Kritische Systeme ablösen, bevor sie zum Kaufpreis-Abzug werden
Eine Landkarte übergeben, lesbar ohne den Inhaber
Stichtag, Erhebungsumfang und Ausschlüsse sauber dokumentiert
Der Bericht ist als Digital Due Diligence einsetzbar. Prüftiefe, Nachweislage und Dokumentation sind darauf ausgelegt.
Entwicklung, Netzwerktechnik, Security und Enterprise-Historie in einer Person. Diese Breite ist die Voraussetzung dafür, einen Betrieb als Ganzes zu lesen statt in Einzelteilen.
seit 2001
SelbstständigÜber 50 Projekte, vom Handwerksbetrieb bis Mercedes-Benz, Deutsche Börse, Bosch, Hermes, Sparkassenverlag. Zwei Mandate laufen seit 2003.
2002
Network Security EngineerZertifizierung bei Siemens Business Services, neun Monate Vollzeit.
