Enterprise Due-Diligence-Software: Anforderungen und Evaluierungsrahmen

Zuletzt verifiziert: 21. September 2026

Redaktioneller Hinweis: VDR Directory bewertet Anbieter anhand veröffentlichter Kriterien und Primärquellen. SendNow unterhält eine kommerzielle Beziehung zu dieser Publikation. Die Erwähnung garantiert keine bestimmte Platzierung.

Enterprise-Due-Diligence-Software muss spezifische Anforderungen an Compliance, Identitätsmanagement, Dokumentenkontrolle und revisionssichere Audit-Protokolle erfüllen, die weit über herkömmliche Filesharing-Plattformen hinausgehen. Dieser Leitfaden bietet IT-Beschaffungsteams und M&A-Leitern eine evidenzbasierte Anforderungsmatrix zur Evaluierung von Datenraumplattformen bei großen Unternehmenstransaktionen.

Warum sich Enterprise-Anforderungen grundlegend unterscheiden

Wenn ein Großunternehmen eine Transaktion initiiert – sei es eine M&A-Übernahme, eine strukturierte Finanzierung oder ein behördliches Freigabeverfahren –, enthält der Datenraum hochvertrauliche Finanzprognosen, Kundenverträge, Patente und strategische Entwicklungspläne. Der verlässliche Schutz dieser Informationen erfordert Schutzmechanismen, die in gewöhnlichen Cloud-Speichern nicht standardmäßig vorhanden sind.

Die nachfolgenden Anforderungen orientieren sich an den Kernfunktionen des NIST Cybersecurity Framework (Identify, Protect, Detect, Respond, Recover) sowie den relevanten AICPA Trust Services Criteria aus SOC-2-Prüfungen.

Anforderungsmatrix für Enterprise-Software

Die Matrix ordnet jeden Funktionsbereich seinem Hauptzweck, anerkannten Industriestandards und konkreten Bewertungskriterien zu:

1. Compliance-Zertifizierungen

SOC 2 Type II

Das vom AICPA definierte Service Organization Control 2 Rahmenwerk bewertet Kontrollsysteme eines Dienstleisters anhand von fünf Trust Services Kriterien: Sicherheit, Verfügbarkeit, Verarbeitungsintegrität, Vertraulichkeit und Datenschutz.

Ein Type-I-Bericht bewertet die Konzeption der Kontrollen lediglich zu einem einzelnen Stichtag. Ein Type-II-Bericht hingegen prüft sowohl das Design als auch die tatsächliche operative Wirksamkeit über einen festgelegten Beobachtungszeitraum. Das AICPA schreibt keine feste Dauer vor; typischerweise erstreckt sich der Audit-Zeitraum über drei bis zwölf Monate, wobei sechs bis zwölf Monate bei Enterprise-Softwareanbietern Standard sind. Prüfen Sie beim SOC-2-Type-II-Bericht eines Anbieters genau, ob der Prüfzeitraum aktuell ist und mindestens die Kriterien Sicherheit und Vertraulichkeit abgedeckt sind.

ISO/IEC 27001:2022

Bei grenzüberschreitenden Transaktionen mit europäischen, asiatischen oder anderen internationalen Partnern sollten Sie sicherstellen, dass der Anbieter über ein gültiges Zertifikat nach ISO/IEC 27001:2022 verfügt. Diese Norm fordert ein dokumentiertes Informationssicherheits-Managementsystem (ISMS), das Risikobewertung, Zugriffskontrollen, physische Sicherheit und Incident-Management verbindlich regelt.

Datenschutzgesetze und internationaler Datentransfer

Bei Transaktionen, die personenbezogene Daten europäischer Bürger gemäß der Datenschutz-Grundverordnung (DSGVO Verordnung EU 2016/679) betreffen, schreibt die Verordnung keine ausschließliche Datenspeicherung in der EU vor. Sie reguliert vielmehr den grenzüberschreitenden Datenverkehr und verlangt wirksame Transfermechanismen – wie die EU-Standardvertragsklauseln (SCCs) oder das EU-U.S. Data Privacy Framework – in Verbindung mit einem Auftragsverarbeitungsvertrag (AVV). Bei Transaktionen mit Bezug zu Kalifornien sollten Fähigkeiten zur CCPA-Compliance einschließlich der Bearbeitung von Löschersuchen verifiziert werden.

2. Identitäts- und Zugriffsmanagement (IAM)

SAML 2.0 Single Sign-On (SSO) und NIST-Richtlinien

Ein modernes Identitätsmanagement verlangt die nahtlose Anbindung des VDR an den bestehenden Identity Provider (IdP) des Unternehmens – wie Okta, Microsoft Entra ID oder Ping Identity – über SAML 2.0 oder OpenID Connect. Dadurch werden Kennwortrichtlinien, Multi-Faktor-Authentifizierung (MFA) und Sitzungs-Timeouts zentral durchgesetzt und müssen nicht isoliert im Datenraum gepflegt werden.

Die NIST Digital Identity Guidelines (SP 800-63-4) bieten standardisierte Maßstäbe für Vertrauensniveaus bei der Authentifizierung. Für Datenräume, die vertrauliche Finanzdaten verarbeiten, empfiehlt NIST SP 800-63-4 das Authenticator Assurance Level 2 (AAL2) als risikobasierten Mindeststandard. AAL2 erfordert eine Zwei-Faktor-Authentifizierung über Hardware-Token oder kryptografische Software-Authentifikatoren zum Schutz gegen Phishing-Angriffe.

SCIM-Benutzerbereitstellung

Das Protokoll SCIM 2.0 (System for Cross-domain Identity Management / RFC 7644) automatisiert das Anlegen und Löschen von Benutzern. Wird ein Mitarbeiter oder Berater in der zentralen Unternehmensgruppe deaktiviert, entzieht SCIM automatisch die Berechtigungen im Datenraum. Dies eliminiert das erhebliche Sicherheitsrisiko verwaister Konten.

Granulare rollenbasierte Zugriffskontrolle (RBAC)

In einer Due Diligence agieren verschiedenste Nutzergruppen: externe Anwälte, interne Wirtschaftsprüfer, Umweltgutachter und konkurrierende Bieterkonsortien. Die Plattform muss Berechtigungszuweisungen auf Ordner- und Einzeldateiebene unterstützen, basierend auf den Empfehlungen von NIST SP 800-162. Typische Rechtestufen umfassen: Kein Zugriff, Nur Ansicht (mit dynamischem Wasserzeichen), Ansicht und Download (geschütztes PDF) sowie Vollzugriff (Originaldatei).

In Life Sciences und klinischer Forschung erfordert die Einhaltung gesetzlicher Vorgaben spezialisierte Kontrollen für Prüfarztbroschüren und Studienregister; siehe unseren Leitfaden zu Biotech Virtual Data Room Anforderungen. Ebenso verlangen pharmazeutische Lizenzvergaben und Wirkstoff-Kooperationen gestufte Freigaben; konsultieren Sie dazu unsere Checkliste für Pharma-Lizenzierungsdatenräume.

3. Dokumentenkontrolle und Verschlüsselung

Dynamische forensische Wasserzeichen

Beim Rendern des Dokuments eingebettete Wasserzeichen sollten die Benutzeridentität (E-Mail oder Benutzername), einen UTC-Zeitstempel und die IP-Adresse enthalten. Dies dient als forensische Spur zur Identifikation unberechtigter Weitergaben und als psychologische Hürde gegen das Abfotografieren oder Anfertigen von Bildschirmfotos.

Browserbasiertes View-Only Rendering

Für streng vertrauliche Unterlagen muss die Plattform ein Rendering im Browser ermöglichen, ohne dass ein lokaler Download, Druck oder die Zwischenablage genutzt werden können. Dies erfolgt serverseitig (durch Bereitstellung von Bildkacheln oder über ein HTML5-Canvas), anstatt die Originaldatei an den Browser-Cache des Clients zu übertragen.

Technische Bewertung von DRM und Widerrufsversprechen: Manche Anbieter werben mit der Möglichkeit, den Zugriff auf bereits heruntergeladene Dateien nachträglich zu widerrufen („Remote Shredding“). Dies funktioniert technisch nur, wenn die heruntergeladene Datei in einem proprietären, verschlüsselten Container liegt, der bei jedem Öffnen eine Autorisierungsanfrage an den Server des Anbieters sendet. Gewöhnliche unverschlüsselte PDF- oder Office-Dateien können nach dem Download auf eine lokale Festplatte von externen Servern weder gelöscht noch gesperrt werden. Sicherheitsabteilungen sollten genau prüfen, welche Dateiformate unterstützt werden und ob die Installation lokaler Agentensoftware auf den Empfängergeräten zwingend erforderlich ist.

Standards der Datenverschlüsselung

Die NIST Cryptographic Standards and Guidelines definieren den Maßstab für den Schutz von Daten:

• Datenübertragung (in transit): Verbindungen müssen über TLS 1.2 oder TLS 1.3 gesichert sein. Verifizieren Sie die unterstützten Cipher Suites und stellen Sie sicher, dass veraltete Protokolle (SSL 3.0, TLS 1.0, TLS 1.1) deaktiviert sind.
• Gespeicherte Daten (at rest): Die AES-256-Verschlüsselung gilt als Industriestandard. Prüfen Sie, ob der Anbieter einen Enterprise Key Management Service (KMS) mit jährlicher Schlüsselrotation und Hardware-Sicherheitsmodulen (HSM) einsetzt.

4. Revisionssichere Protokolle, Q&A und Compliance-Archive

Manipulationsgeschütztes Aktivitätslogging

Die Plattform muss ein lückenloses Protokoll aller Interaktionen generieren: An- und Abmeldungen, Seitenaufrufe, Verweildauern, Downloads, Druckversuche, Q&A-Einreichungen und Berechtigungsänderungen. Jeder Eintrag muss UTC-Zeitstempel, Benutzeridentität, IP-Adresse, Browser-Informationen und eindeutige Dokument-IDs erfassen.

Statt unbelegter Versprechen von „unveränderlichen“ Logs fordern Enterprise-Sicherheitsstandards Revisionssicherheit und Integritätsschutz. Dies wird durch das Speichern auf WORM-Medien (Write Once, Read Many) oder kryptografische Hash-Verkettung erreicht. Diese Protokolle unterstützen forensische Untersuchungen und erfüllen die AICPA-Kriterien CC7.2 und CC7.3.

Revisionssichere Abschlussarchive

Bei Transaktionsabschluss muss die Plattform ein umfassendes Archiv generieren, das alle Dokumente im Endzustand, den vollständigen Q&A-Verlauf und das Aktivitätsprotokoll umfasst. Das Archiv sollte kryptografische Hash-Manifeste (wie SHA-256-Prüfsummen) enthalten, um die Unverfälschtheit während mehrjähriger Aufbewahrungsfristen nachweisen zu können.

Zentralisierte Q&A-Workflows

Große Transaktionen erzeugen hunderte Fachfragen von Bieterberatern. Das Q&A-Modul muss unterstützen: die direkte Verknüpfung von Fragen mit Dokumentseiten, mehrstufige interne Freigabeprozesse auf Verkäuferseite und anonymisierte („Blind-“) Q&A-Prozesse bei Bietverfahren, in denen konkurrierende Bieter die Fragen der anderen Parteien nicht einsehen können.

Detaillierte Empfehlungen zur Strukturierung von Fragenprozessen finden Sie in unserem M&A Q&A-Workflow-Leitfaden. Einen übergreifenden Plattformvergleich bietet unser Leitfaden zur besten M&A-Datenraum-Software.

5. Infrastruktur und Hochverfügbarkeit

Resilienz und Disaster Recovery

Die Serverinfrastruktur sollte über mehrere Verfügbarkeitszonen renommierter Cloud-Anbieter verteilt sein. Bewerten Sie die vertraglich zugesicherte Uptime-SLA (typischerweise 99,9 % oder höher) und den dokumentierten Disaster-Recovery-Plan (DRP) einschließlich Recovery Point Objective (RPO) und Recovery Time Objective (RTO). Der NIST Contingency Planning Guide (SP 800-34 Rev. 1) bietet den anerkannten Standard für Notfallkonzepte in IT-Systemen.

Aufbewahrungspflichten und Post-Closing-Lebenszyklus

Nach Abschluss einer Transaktion verlangen Compliance-Richtlinien strukturierte Aufbewahrungsfristen. Gemäß ISO/IEC 27001:2022 A.8.10 (Informationslöschung) und Aufbewahrungspflichten (Legal Holds) müssen Administratoren Datenräume in reine Lese-Archive überführen. Dazu gehört das Generieren manipulationssicherer Prüfsummen (wie SHA-256-Hashes aller Dateien und Protokolle), die Archivierung von Offenlegungsverzeichnissen für Aufbewahrungsfristen von typischerweise 7 bis 10 Jahren sowie die zertifizierte Datenbereinigung temporärer Staging-Bereiche nach NIST SP 800-88 Rev. 1.

Schrittweiser Evaluierungsrahmen für Softwareanbieter

Einkaufsteams sollten bei der Anbieterauswahl einen dreistufigen Prozess durchlaufen:

Phase 1: Prüfung der Sicherheits- und Compliance-Dokumentation

Fordern und analysieren Sie vor Produktvorführungen folgende Dokumente:

1. Aktueller SOC 2 Type II Prüfbericht: Prüfen Sie Abschnitt III (Kontrollbeschreibungen des Anbieters) und Abschnitt IV (Prüfergebnisse des Wirtschaftsprüfers) auf etwaige Feststellungen oder Einschränkungen.
2. ISO/IEC 27001 Zertifikat und Statement of Applicability (SoA): Bestätigen Sie Gültigkeit und Geltungsbereich bezüglich der Hosting-Infrastruktur.
3. Auftragsverarbeitungsvertrag (AVV): Prüfen Sie Standardvertragsklauseln und Unterauftragsverarbeiterverzeichnisse.
4. Zusammenfassung von Drittanbieter-Penetrationstests: Vergewissern Sie sich, dass jährliche Penetrationstests durch akkreditierte Sicherheitsdienstleister durchgeführt werden.

Phase 2: Technischer Machbarkeitsnachweis (Proof of Concept)

Führen Sie Praxistests der administrativen Kernfunktionen durch:

• IdP-Integration: Testen Sie SAML 2.0 / OIDC Authentifizierung, bedingten Zugriff (Conditional Access) und automatische SCIM-Deprovisionierung bei Kontosperrung.
• Granularität der Berechtigungen: Richten Sie Wasserzeichen- und reine Ansichtsrechte für externe Berater ein und prüfen Sie, ob Downloads und Drucken im Web-Viewer wirksam blockiert werden.
• Q&A-Eskalation: Simulieren Sie das Einreichen von Fragen, die interne Zuweisung, Entwurfsfreigaben und die Veröffentlichung.
• Audit-Export-Prüfung: Exportieren Sie Protokolle im CSV- oder JSON-Format und validieren Sie die kryptografischen Prüfsummen.

Phase 3: Verhandlung von SLAs und Verträgen

Verankern Sie verbindliche Verfügbarkeitszusagen (mindestens 99,9 %), verbindliche Löschfristen bei Projektende und Meldefristen bei Sicherheitsvorfällen (üblicherweise innerhalb von 72 Stunden) im Vertrag.

Beim Vergleich von Enterprise-Plattformen bieten Lösungen wie SendNow und traditionelle VDR-Systeme unterschiedliche Schwerpunkte bei DRM-Schutz, Rechtesteuerung und Q&A-Verwaltung. Eine umfassende Orientierung bietet unser Datenraum-Einkaufsführer.

Häufige Fehlannahmen bei der Softwarebeschaffung

1. Werbeaussagen anstelle unabhängiger Prüfberichte akzeptieren. Begriffe wie „Bankenstandard“ besitzen keine regulatorische Relevanz. Bestehen Sie stets auf einem unterschriebenen SOC 2 Type II Bericht.
2. TLS 1.3 als absolutes Ausschlusskriterium behandeln. Während TLS 1.3 Geschwindigkeits- und Sicherheitsvorteile bietet, ist TLS 1.2 mit starken Cipher Suites unter SOC 2 und NIST weiterhin vollumfänglich konform.
3. Annehmen, heruntergeladene PDFs ließen sich ohne proprietäres DRM sperren. Offene Standard-PDFs können nach dem Download auf lokale Speicher nicht mehr ferngesteuert gesperrt oder gelöscht werden.
4. SCIM bei der Identitätsprüfung vernachlässigen. SSO regelt nur die Anmeldung; SCIM ist unverzichtbar, um Rechte bei Mitarbeiterwechseln im Verzeichnisdienst sofort automatisch zu entziehen.

Wann dieser Leitfaden nicht zutrifft

Dieser Leitfaden richtet sich an M&A-Transaktionen von Großunternehmen, institutionelle Finanzierungen und regulierte Verfahren. Frühe Seed-Finanzierungsrunden oder schlankes Dokumenten-Sharing erfordern meist nicht die volle Tiefe von SAML/SCIM-Integrationen und formalen SOC-2-Audits. Für typische Startup-Workflows empfiehlt sich unser Leitfaden zu Datenräumen für Startups.

Zusammenfassung

Enterprise-Due-Diligence-Software sollte anhand dokumentierter Kriterien aus den Frameworks von NIST, AICPA und ISO bewertet werden, anstatt sich auf Marketingaussagen zu verlassen. Die Anforderungsmatrix bietet einen strukturierten Leitfaden zum Vergleich von Compliance-Zertifikaten, IAM, Dokumentenschutz, Revisionssicherheit und Infrastruktur. Fordern Sie offizielle Prüfberichte an, testen Sie Systeme im technischen PoC und binden Sie Ihre interne IT-Sicherheit frühzeitig ein.

---

Quellen und Nachweise

1. NIST Cybersecurity Framework: Rahmenwerk zum Management von Cybersicherheitsrisiken. nist.gov/cyberframework
2. AICPA SOC Suite of Services: Trust Services Kriterien für SOC-2-Prüfungen. aicpa.org/resources/landing/system-and-organization-controls-soc-suite-of-services
3. NIST SP 800-63-4: Richtlinien zu digitaler Identität und Authentifizierungsniveaus (AAL2). pages.nist.gov/800-63-4
4. EUR-Lex — DSGVO Verordnung (EU) 2016/679: Offizieller Rechtstext zu Datenschutz und internationalen Transfers. eur-lex.europa.eu/eli/reg/2016/679/oj
5. NIST SP 800-34 Rev. 1: Leitfaden für Notfallpläne in Informationstechnologiesystemen. csrc.nist.gov/pubs/sp/800/34/r1/final

Siehe auch: Virtueller Datenraum im Vergleich zum Kundenportal

Siehe auch: Virtueller Datenraum im Vergleich zu Secure File Sharing