Technical Due Diligence
Technical Due Diligence: Wissen Sie, was im Code steckt?
Bei einer Übernahme, einem Investment oder der Übergabe durch eine Agentur zählt, was im Quellcode steht. Unser Code-Audit liefert belegte Befunde zu Sicherheit, Abhängigkeiten und Code-Qualität, zum Festpreis und in wenigen Werktagen.
Wir liefern den Code-Teil einer Technical Due Diligence, keine vollständige Due Diligence und keinen Penetrationstest.
Drei typische Anlässe
Übernahme oder Investment
Sie prüfen ein Zielunternehmen und wollen wissen, welche Risiken und Altlasten im Produkt stecken. Den Zugang zum Code gibt das Zielunternehmen frei.
Verkauf vorbereiten
Sie lassen Ihren Code vorab prüfen, beheben die wichtigsten Punkte und gehen mit einem Report in die Gespräche.
Übergabe durch Agentur oder Entwickler
Sie übernehmen eine Anwendung und wollen vor der Abnahme wissen, in welchem Zustand sie ist.
Was der Code-Teil abdeckt und was nicht
Wir liefern den Code-Teil einer Technical Due Diligence. Die übrigen Teile bleiben bei Ihren Beratern.
Deckt ab
- Sicherheit: Schwachstellen nach OWASP Top 10:2025, Secrets im Code
- Abhängigkeiten: bekannte CVEs, veraltete Frameworks und Laufzeiten
- Code-Qualität: Struktur, Komplexität, Duplikate, Tests
- Technische Schulden: Build- und CI-Konfiguration im Repository, Supply Chain
Deckt nicht ab
- Team, Organisation und Entwicklungsprozesse
- Rechte am geistigen Eigentum und Open-Source-Lizenzen
- Finanzen, Verträge und Unternehmensbewertung
- Manuelle Penetrationstests
Was der Report enthält
- Jeder Befund mit Fundstelle und Bewertung nach CVSS 3.1 und CWE
- Technische Schulden im Überblick: Code-Qualität, Komplexität, Tests, Build und Abhängigkeiten
- Priorisierter Maßnahmenplan: sofort, nächster Sprint, Backlog
- Rohdaten aller Werkzeuge im Anhang
Wie wir prüfen: Methodik
Vertraulichkeit
- NDA vorab, bei personenbezogenen Daten im Code auch ein AVV
- Nur lesend: Wir führen nichts aus, installieren nichts und pushen nichts
- Code-Uploads liegen in einem privaten Speicher in der EU
- Analyse mit Claude von Anthropic (USA) auf Basis der EU-Standardvertragsklauseln
- Der KI-Anbieter trainiert nicht mit Ihrem Code
- Löschung nach Abschluss, Fristen in der Datenschutzerklärung
- Report verschlüsselt übergeben
Zeit und Preis
Code-Audit · 890 €
Quellcode, Abhängigkeiten und Code-Qualität. Report in 2 Werktagen.
Full Audit · 1.690 €
Zusätzlich die laufende Anwendung mit Testzugängen, jeder Befund von einem Experten geprüft. Report in 4 Werktagen.
Enterprise · auf Anfrage
Mehrere Anwendungen oder ein ganzes Portfolio, individuell geplant.
Festpreise netto, für Anwendungen bis ca. 300.000 Zeilen Code; bei größeren nennen wir den Preis vorab. Mit Express erhalten Sie den Report von Code- oder Full Audit in 24 Stunden an Werktagen. Details: Code-Audit, Full Audit, Enterprise.
NIS2 und Nachweise gegenüber Kunden
Der Report dokumentiert Methodik, Umfang, Befunde und Maßnahmen. Er kann als Baustein für Nachweise gegenüber Kunden, Investoren und Auditoren dienen. Eine Zertifizierung oder Konformitätsbewertung ersetzt er nicht. Was der Cyber Resilience Act für Hersteller bedeutet, steht im Artikel Cyber Resilience Act: Meldepflicht.
Häufige Fragen
Ersetzt das eine vollständige Technical Due Diligence?
Nein. Wir liefern den Code-Teil: Sicherheit, Abhängigkeiten, Code-Qualität und technische Schulden. Team, Prozesse, Rechte am geistigen Eigentum und Finanzen bewerten wir nicht.
Kann auch der Verkäufer das Audit beauftragen?
Ja. Als Verkäufer können Sie Ihren Code vorab prüfen lassen, die wichtigsten Befunde beheben und den Report in die Gespräche mitnehmen. Der Report beschreibt den übergebenen Stand des Codes (mit Commit oder Prüfsumme) zum Zeitpunkt der Prüfung. Er richtet sich an Sie als Auftraggeber und ist keine Zusicherung gegenüber Käufern oder Investoren.
Wie bekommen Sie Zugriff auf den Code?
Als verschlüsseltes Archiv oder per Lesezugriff auf das Repository (GitHub, GitLab, Azure DevOps, Bitbucket). Den Zugriff können Sie jederzeit widerrufen.
Wie schnell kommt der Report?
Das Code-Audit in 2, das Full Audit in 4 Werktagen ab Zahlungseingang und vollständiger Übergabe. Mit Express in 24 Stunden an Werktagen.
Eignet sich der Report als Nachweis für NIS2 oder gegenüber Kunden?
Er kann als ein Baustein dienen. Er dokumentiert Methodik, Umfang, Befunde und Maßnahmen. Eine Zertifizierung oder Konformitätsbewertung ersetzt er nicht, und ob er für Ihre Pflichten ausreicht, hängt von Ihrem Gesamtkonzept ab.
Unterschreiben Sie eine NDA?
Ja. Die NDA schließen wir ab, bevor wir Code sehen, bei personenbezogenen Daten im Code zusätzlich einen AVV.
Vor der Unterschrift? Erst den Code prüfen.
Alle Preise netto zzgl. USt. Nur für Unternehmen. Es gelten unsere AGB.