Technische Due-Diligence-Checkliste für Pre-Seed-, Seed- und Series-A-Startups (2026-2027)

Ein unterschriebenes Term Sheet überweist noch kein Geld auf Ihr Geschäftskonto – es eröffnet ein zwei- bis vierwöchiges Prüfungsfenster, in dem ein unabhängiger CTO-Gutachter Ihre GitHub-Historie, Cloud-Rechnungen, Dienstleisterverträge und Sicherheitsarchitektur durchleuchtet. Wir begleiten technische Due Diligence für Startups regelmäßig von beiden Seiten des Tisches: als Prüfer für Venture-Capital-Fonds und auf Gründerseite über unsere Fractional-CTO-Praxis. Unser Fazit ist eindeutig: Finanzierungsrunden platzen fast nie an unsauberen Variablennamen, sondern an ungeklärten IP-Rechten, fehlender Mandantentrennung und drohenden Komplett-Neuentwicklungen.

In den Jahren 2026 und 2027 haben VC-Gutachter ihre Prüfkriterien deutlich verschärft. Weil KI-Coding-Assistenten in wenigen Wochen 50.000 Zeilen oberflächlich schicker Benutzeroberfläche erzeugen können, beeindruckt reine Bildschirmfülle niemanden mehr. Prüfer testen gezielt, ob Ihr Team das eigene Datenmodell beherrscht, Berechtigungen hart in der Datenbank erzwingt und nachhaltige Software-Bruttomargen erwirtschaftet.

Nutzen Sie diese technische Due-Diligence-Checkliste entlang von sieben Säulen dreißig Tage vor Öffnung Ihres Datenraums – egal ob Sie intern entwickelt, auf spezialisierte Individualsoftware-Entwicklung gesetzt oder ein frühes Agentur-MVP übernommen haben.

Säule 1: Lückenlose IP-Rechtekette (Chain of Title). Juristen und technische Prüfer gleichen die vollständige Autorenliste aus git shortlog -sne Zeile für Zeile mit Ihren unterschriebenen Verträgen ab. Jede einzelne Person, die jemals Code beigesteuert hat – ausgeschiedene Mitgründer, Werkstudenten, frühe Freelancer oder externe Partner im MVP-Outsourcing –, benötigt eine wirksame schriftliche Abtretung sämtlicher ausschließlichen, zeitlich und räumlich unbeschränkten Nutzungsrechte an Ihre Kapitalgesellschaft (GmbH, UG, AG oder Delaware Inc.). Besonders kritisch prüfen Investoren zwei klassische Fallen: erstens Code, der vor der GmbH-Gründung nebenberuflich während eines bestehenden Angestelltenverhältnisses ohne schriftliche Nebentätigkeitsfreigabe des damaligen Arbeitgebers entstand; zweitens Agenturverträge, in denen sich der Dienstleister das Eigentum an einem „Basis-Framework“ vorbehält. Ebenso müssen GitHub-Organisation, Domain-DNS, AWS-/GCP-/Vercel-Root-Konten und Stripe-Accounts direkt auf Ihre Gesellschaft laufen.

Säule 2: Open-Source-Lizenzfallen (Copyleft-Kontamination). Gutachter scannen package-lock.json, requirements.txt, go.mod und Docker-Images automatisiert mit SBOM-Werkzeugen wie syft oder trivy. Liberale Lizenzen wie MIT, Apache-2.0 oder BSD-3 gehen problemlos durch. Wer jedoch streng virale Pakete unter AGPLv3, GPLv3 oder SSPL direkt in proprietäre SaaS-Backend-Dienste verlinkt oder deren Quellcode modifiziert, riskiert rechtliche Offenlegungspflichten für die gesamte eigene Geschäftslogik – ein sofortiger Auszahlungsstopp bis zum vollständigen Austausch der betroffenen Bibliothek.

Wagniskapitalgeber finanzieren Ihre Runde mit der klaren Erwartung, Kundenzahl und Transaktionsvolumen in den nächsten achtzehn Monaten zu verfünf- bis verzehnfachen. Säule 3 untersucht daher im Quellcode, ob 200 neue B2B-Unternehmenskunden im Self-Service starten können oder ob Ihr Team dafür sechs Monate lang die Produktentwicklung für einen Umbau stoppen muss.

Zuerst prüfen Gutachter Ihre Datenbankmigrationen, Indizes und ORM-Abfragen: Erzwingt Ihr Schema harte Mandantengrenzen über zusammengesetzte tenant_id-Indizes und PostgreSQL Row-Level Security (RLS), wie in unserem Leitfaden für mandantenfähige SaaS-Architekturen im Detail gezeigt? Oder genügt eine einzige vergessene WHERE-Bedingung in einer neuen API-Route, damit Mandant A fremde Finanzdokumente von Mandant B abrufen kann? Zudem achten Prüfer darauf, dass jede Schemaänderung reproduzierbar über versionierte Migrationen (etwa Prisma, Drizzle, Alembic oder Flyway) ausgerollt wird statt über manuelle SQL-Befehle auf der Produktionsdatenbank.

Im zweiten Schritt stehen synchrone Engpässe und N+1-Abfragen auf dem Prüfstand: Rechenintensive PDF-Extraktionen, Webhook-Zustellungen, E-Mail-Kampagnen und große CSV-Exporte gehören zwingend in ausfallsichere Hintergrund-Queues mit Dead-Letter-Handling statt in blockierende Web-Requests. Weitere Architekturmaßstäbe finden Sie in unserem Praxisleitfaden für MVP-Sicherheit und Skalierbarkeit.

Ein Blick in die letzten neunzig Tage Ihrer GitHub-Pull-Requests verrät jedem Prüfer sofort den wahren Entwicklungsrhythmus Ihres Teams. Gesunde Seed-Teams liefern täglich kleine, im Vier-Augen-Prinzip geprüfte Pull Requests über automatisierte CI/CD-Pipelines aus; angeschlagene Teams mergen einmal im Monat riesige 8.000-Zeilen-Pakete direkt vor einem Kundentermin und verbringen die gesamte Folgewoche mit hektischer Fehlersuche auf Live-Systemen.

In der Seed-Phase verlangt kein erfahrener Investor 90 % künstliche Unit-Test-Abdeckung auf sich ständig wandelnden Benutzeroberflächen – das wäre verbranntes Kapital. Gutachter suchen stattdessen gezielt nach wirksamen Integrationstests an den geschäftskritischen Grenzen: Login und Sitzungsverwaltung, strikte Mandantenisolierung zwischen verschiedenen Kundenkonten, fehlerfreie Verarbeitung von Stripe-Abrechnungs-Webhooks sowie zentrale Schreiboperationen im Kerngeschäft.

Ergänzen Sie diese automatischen Prüf-Gates um strukturiertes Error-Tracking (etwa Sentry oder OpenTelemetry mit Slack-Alarmierung), externes Uptime-Monitoring, getrennte Staging- und Produktionsumgebungen sowie tägliche Point-in-Time-Backups Ihrer PostgreSQL-Datenbank. Entscheidend für Bestnoten im Prüfbericht: Führen Sie mindestens einmal im Quartal eine echte Test-Wiederherstellung in eine isolierte Datenbankinstanz durch und legen Sie das kurze Protokoll samt gemessener Wiederanlaufzeit (RTO und RPO) direkt im Datenraum ab.

Die Sicherheitsprüfung beginnt bei Zugangsdaten und Zugriffsrechten. Gutachter kontrollieren durchgängige Zwei-Faktor-Authentifizierung (MFA) für GitHub, AWS/GCP, Cloudflare und Datenbankkonsolen, prüfen die Speicherung von API-Schlüsseln in verschlüsselten Secret-Managern statt in eingecheckten .env-Dateien und verifizieren, dass Produktionsdatenbanken in privaten Subnetzen ohne öffentlichen Internetzugriff laufen.

Die regulatorische Messlatte richtet sich nach Ihrer Zielbranche:

• Klassisches B2B-SaaS: Saubere DSGVO-Auftragsverarbeitungsverträge (AVV), aktuelles Unterauftragnehmerverzeichnis, Verschlüsselung ruhender (AES-256) und übertragener Daten (TLS 1.3) sowie ein realistischer 90-Tage-Fahrplan für SOC 2 Typ I über Vanta oder Drata.
• Fintech & Zahlungsverkehr: Speichern Sie niemals rohe Kartendaten selbst; setzen Sie auf Tokenisierung über Stripe oder Adyen gemäß unserer PCI-DSS-Checkliste für Startups.
• Healthtech & Medizinsoftware: Unterzeichnete BAA-/AVV-Verträge mit allen Cloud- und KI-Partnern, revisionssichere Zugriffsprotokolle sowie die Umsetzung unserer Standards für HIPAA-konforme Gesundheitssoftware.

Säule 6: KI-Daten-Governance und Inferenz-Stückkosten. Jeder institutionelle VC-Prüffragebogen enthält in den Jahren 2026 und 2027 einen detaillierten KI-Abschnitt. Gutachter verlangen drei belastbare Nachweise: erstens die ausschließliche Nutzung kommerzieller API-Endpunkte mit vertraglich zugesicherter Zero-Data-Retention (etwa über AWS Bedrock in Frankfurt, Google Vertex AI, Azure OpenAI oder Anthropic Commercial), sodass hochgeladene Kundendokumente niemals in das Training fremder Basismodelle einfließen; zweitens mandantengebundene Vektorabfragen (tenant_id hart in der pgvector-SQL-Funktion geprüft) samt Schutzfiltern gegen indirekte Prompt Injection; drittens eine transparente Token-Kostenmessung pro Mandant, die schwarz auf weiß belegt, dass intensive KI-Nutzung Ihre Software-Bruttomarge nicht unter 65 % bis 75 % drückt.

Säule 7: Technischer Bus-Faktor und Onboarding-Geschwindigkeit. Angenommen, Ihr einziger Hauptentwickler fällt morgen unerwartet für sechs Wochen aus – wie lange bräuchte ein neu eingestellter Senior-Ingenieur, um das Projekt lokal zu starten und fehlerfrei einen Hotfix auf Produktion auszurollen? Wenn ein klar dokumentiertes README.md, docker compose up, synthetische Seed-Testdaten und kompakte Architecture Decision Records (ADRs) ein frisches Notebook in weniger als dreißig Minuten einsatzbereit machen, wechselt das Personen-Klumpenrisiko im Prüfbericht sofort von Rot auf Grün.

Technische Due-Diligence-Berichte ordnen jeden Prüfpunkt in eine von drei Ampelfarben ein: Grün (institutionell skalierbar), Gelb (Behebung innerhalb von 90 Tagen nach Kapitalzufluss) und Rot (aufschiebende Auszahlungsbedingung oder Deal-Abbruch). Eine noch ausstehende SOC-2-Typ-II-Prüfung in der Seed-Runde oder überschaubare Unit-Tests im Frontend landen zuverlässig auf Gelb – Investoren verankern solche Punkte schlicht als regulären Meilenstein im 100-Tage-Plan nach dem Closing.

Rote Feststellungen hingegen verschieben die Verhandlungsmacht sofort zu Ihrem Nachteil: Ungeklärte IP-Rechte ausgeschiedener Freelancer, im Klartext gespeicherte Zugangsdaten, fehlende Mandantenisolierung in der Datenbank oder ein wackeliges No-Code-Geflecht, das im Pitch als eigenentwickelte Enterprise-Plattform verkauft wurde, führen regelmäßig zu 15 % bis 25 % Bewertungsabschlag, sechsstelligen Treuhand-Einbehalten auf Notarkonten (Escrow) oder zum stillen Rückzug des Investmentkomitees. Ein ehrlicher interner Probe-Check vier Wochen vor Öffnung des Datenraums beseitigt genau diese Angriffsflächen im Vorfeld.

Sie müssen Ihre Produktentwicklung nicht für ein Quartal einfrieren, um eine institutionelle technische Due Diligence souverän zu bestehen. Ein fokussierter Vorbereitungs-Sprint dauert je nach Umfang der Codebasis eine bis drei Wochen (3.500 $ bis 12.000 $), wenn er von einem Architekten gesteuert wird, der die genauen Prüflisten von Seed- und Series-A-Gutachtern kennt.

An den Tagen eins und zwei führen wir exakt dieselben automatisierten Secret-, Lizenz-, Datenbank- und Cloud-IAM-Prüfungen durch wie ein externer VC-Prüfer und liefern eine priorisierte Ampel-Scorecard. In den folgenden zehn Werktagen beseitigen entweder Ihre internen Entwickler oder unser erfahrenes Engineering-Pod sämtliche roten Blocker, stellen ein prägnantes zehnseitiges Architektur-Dossier für den Datenraum zusammen (Systemtopologie, Mandantensicherheit, KI-Stückkostenrechnung und Einstellungsplan nach der Runde) und trainieren mit Ihnen das 60-minütige Q&A-Gespräch mit dem VC-Gutachter.

Planen Sie im nächsten Quartal eine Pre-Seed-, Seed- oder Series-A-Runde? Sichern Sie sich ein 48-Stunden-Vorab-Audit über unser Fractional-CTO-Team oder kontaktieren Sie unsere Engineering-Partner, um ohne böse Überraschungen in Ihren Investoren-Datenraum zu gehen.