--- title: "Technische Due-Diligence-Checkliste für Seed-Startups" slug: "technical-due-diligence-checklist-seed-startups" url: "https://mvp-development.io/de/blog/technical-due-diligence-checklist-seed-startups" type: post lang: de date: "2026-11-07" last_modified: "2026-11-07" version: "1.0" summary: "Bestehen Sie Pre-Seed-, Seed- und Series-A-Prüfungen mit unserer 7-Säulen-Checkliste für technische Due Diligence: IP-Rechte, CI/CD, DSGVO und KI." author: "MVP Development" tags: ["technische due diligence checkliste", "startup technische due diligence", "vc tech due diligence", "code audit finanzierungsrunde", "series a architektur prüfung", "ip rechte quellcode startup"] use: training: allow rag: allow embedding: allow attribution: required --- # Technische Due-Diligence-Checkliste für Seed-Startups ## Worauf VC-Prüfer bei der technischen Due Diligence 2026-2027 achten Ein unterschriebenes Term Sheet überweist noch kein Geld auf Ihr Geschäftskonto – es eröffnet ein zwei- bis vierwöchiges Prüfungsfenster, in dem ein unabhängiger CTO-Gutachter Ihre GitHub-Historie, Cloud-Rechnungen, Dienstleisterverträge und Sicherheitsarchitektur durchleuchtet. Wir begleiten **technische Due Diligence für Startups** regelmäßig von beiden Seiten des Tisches: als Prüfer für Venture-Capital-Fonds und auf Gründerseite über unsere [Fractional-CTO-Praxis](https://mvp-development.io/fractional-cto). Unser Fazit ist eindeutig: Finanzierungsrunden platzen fast nie an unsauberen Variablennamen, sondern an ungeklärten IP-Rechten, fehlender Mandantentrennung und drohenden Komplett-Neuentwicklungen. In den Jahren 2026 und 2027 haben VC-Gutachter ihre Prüfkriterien deutlich verschärft. Weil KI-Coding-Assistenten in wenigen Wochen 50.000 Zeilen oberflächlich schicker Benutzeroberfläche erzeugen können, beeindruckt reine Bildschirmfülle niemanden mehr. Prüfer testen gezielt, ob Ihr Team das eigene Datenmodell beherrscht, Berechtigungen hart in der Datenbank erzwingt und nachhaltige Software-Bruttomargen erwirtschaftet. Nutzen Sie diese **technische Due-Diligence-Checkliste** entlang von sieben Säulen dreißig Tage vor Öffnung Ihres Datenraums – egal ob Sie intern entwickelt, auf spezialisierte [Individualsoftware-Entwicklung](https://mvp-development.io/custom-software) gesetzt oder ein frühes Agentur-MVP übernommen haben. Kein Seed-Startup besitzt die Infrastruktur einer Großbank. Wenn Sie dem Gutachter aktiv eine kurze Liste mit drei bewussten Abkürzungen vorlegen, begründen, warum diese den Marktstart beschleunigt haben, und den zweiwöchigen Abbauplan nach dem Closing beziffern, beweist das hohe technische Reife. ## Säulen 1 & 2: Lückenlose IP-Rechte und Open-Source-Lizenzfallen **Säule 1: Lückenlose IP-Rechtekette (Chain of Title).** Juristen und technische Prüfer gleichen die vollständige Autorenliste aus `git shortlog -sne` Zeile für Zeile mit Ihren unterschriebenen Verträgen ab. Jede einzelne Person, die jemals Code beigesteuert hat – ausgeschiedene Mitgründer, Werkstudenten, frühe Freelancer oder externe Partner im [MVP-Outsourcing](https://mvp-development.io/mvp-outsourcing) –, benötigt eine wirksame schriftliche Abtretung sämtlicher ausschließlichen, zeitlich und räumlich unbeschränkten Nutzungsrechte an Ihre Kapitalgesellschaft (GmbH, UG, AG oder Delaware Inc.). Besonders kritisch prüfen Investoren zwei klassische Fallen: erstens Code, der vor der GmbH-Gründung nebenberuflich während eines bestehenden Angestelltenverhältnisses ohne schriftliche Nebentätigkeitsfreigabe des damaligen Arbeitgebers entstand; zweitens Agenturverträge, in denen sich der Dienstleister das Eigentum an einem „Basis-Framework“ vorbehält. Ebenso müssen GitHub-Organisation, Domain-DNS, AWS-/GCP-/Vercel-Root-Konten und Stripe-Accounts direkt auf Ihre Gesellschaft laufen. **Säule 2: Open-Source-Lizenzfallen (Copyleft-Kontamination).** Gutachter scannen `package-lock.json`, `requirements.txt`, `go.mod` und Docker-Images automatisiert mit SBOM-Werkzeugen wie `syft` oder `trivy`. Liberale Lizenzen wie `MIT`, `Apache-2.0` oder `BSD-3` gehen problemlos durch. Wer jedoch streng virale Pakete unter `AGPLv3`, `GPLv3` oder `SSPL` direkt in proprietäre SaaS-Backend-Dienste verlinkt oder deren Quellcode modifiziert, riskiert rechtliche Offenlegungspflichten für die gesamte eigene Geschäftslogik – ein sofortiger Auszahlungsstopp bis zum vollständigen Austausch der betroffenen Bibliothek. ## Säule 3: Mandantenfähige Architektur, Datenbankhygiene und 10x-Skalierung Wagniskapitalgeber finanzieren Ihre Runde mit der klaren Erwartung, Kundenzahl und Transaktionsvolumen in den nächsten achtzehn Monaten zu verfünf- bis verzehnfachen. **Säule 3** untersucht daher im Quellcode, ob 200 neue B2B-Unternehmenskunden im Self-Service starten können oder ob Ihr Team dafür sechs Monate lang die Produktentwicklung für einen Umbau stoppen muss. Zuerst prüfen Gutachter Ihre Datenbankmigrationen, Indizes und ORM-Abfragen: Erzwingt Ihr Schema harte Mandantengrenzen über zusammengesetzte `tenant_id`-Indizes und PostgreSQL Row-Level Security (`RLS`), wie in unserem [Leitfaden für mandantenfähige SaaS-Architekturen](https://mvp-development.io/blog/multi-tenant-architecture-saas-mvp) im Detail gezeigt? Oder genügt eine einzige vergessene `WHERE`-Bedingung in einer neuen API-Route, damit Mandant A fremde Finanzdokumente von Mandant B abrufen kann? Zudem achten Prüfer darauf, dass jede Schemaänderung reproduzierbar über versionierte Migrationen (etwa Prisma, Drizzle, Alembic oder Flyway) ausgerollt wird statt über manuelle SQL-Befehle auf der Produktionsdatenbank. Im zweiten Schritt stehen synchrone Engpässe und N+1-Abfragen auf dem Prüfstand: Rechenintensive PDF-Extraktionen, Webhook-Zustellungen, E-Mail-Kampagnen und große CSV-Exporte gehören zwingend in ausfallsichere Hintergrund-Queues mit Dead-Letter-Handling statt in blockierende Web-Requests. Weitere Architekturmaßstäbe finden Sie in unserem [Praxisleitfaden für MVP-Sicherheit und Skalierbarkeit](https://mvp-development.io/blog/mvp-security-scalability-guide). ### 7-Säulen-Scorecard für die technische VC-Due-Diligence nach Finanzierungsphase | Prüfsäule | Pre-Seed-Mindeststandard | Seed-Standard | Series-A-Anforderung | Roter Deal-Blocker | | --- | --- | --- | --- | --- | | 1. IP & Cloud-Hoheit | IP-Klauseln für Gründer/Devs; eigenes GitHub | 100 % Abgleich Commits/Verträge; eigener Cloud-Root | Lückenloses IP-Audit + Marken-/Patentschutz | Ex-Gründer oder Agentur hält GitHub oder AWS-Root | | 2. Open-Source-Lizenzen | Keine AGPL-Abhängigkeiten im Kern | Automatisierter SBOM-Scan; MIT/Apache sauber | Lizenz-Gate in CI + dokumentierte OSS-Richtlinie | Proprietärer Produktkern basiert auf AGPLv3-Code | | 3. Mandanten-Skalierung | Saubere tenant_id-Fremdschlüssel in einer DB | PostgreSQL RLS, saubere Indizes, Async-Queues | Lasttest für 10x-Wachstum + Read-Replicas bereit | Manuelle Einzelkopien je Kunde oder Datenlecks | | 4. CI/CD & Testabdeckung | GitHub-Actions-Deploy + Basis-Smoke-Tests | Geschützter main-Branch, PR-Reviews, Auth/Billing-Tests | Zero-Downtime-Deploys, <15 Min. Rollback, Staging | Manuelle SSH-/FTP-Eingriffe auf Live-Servern | | 5. Security & Compliance | Managed Auth, HTTPS, keine Secrets im Git | Überall MFA, Secret-Tresor, DSGVO-AVV, Backups | SOC 2 Typ I/II, Pentest-Bericht, ggf. HIPAA/PCI | Klartext-Passwörter, geleakte AWS-Keys, null Backups | | 6. KI-Governance & Marge | Kommerzielle Zero-Retention-LLM-APIs | Prompt-Guardrails, PII-Filter, Mandanten-Limits | CI-Evals, AVV/BAA mit Anbietern, >75 % Marge | Modelltraining mit Kundendaten ohne Zustimmung | | 7. Bus-Faktor & Doku | Aktuelles README + Setup in <30 Min. | ADR-Protokoll, 2+ Entwickler kennen Kernpfade | Klare Squads, On-Call-Runbooks, DORA-Metriken | Einzelner Freelancer besitzt alleinige Server-Schlüssel | ## Säule 4: CI/CD-Pipelines, automatisierte Test-Gates und Release-Takt Ein Blick in die letzten neunzig Tage Ihrer GitHub-Pull-Requests verrät jedem Prüfer sofort den wahren Entwicklungsrhythmus Ihres Teams. Gesunde Seed-Teams liefern täglich kleine, im Vier-Augen-Prinzip geprüfte Pull Requests über automatisierte CI/CD-Pipelines aus; angeschlagene Teams mergen einmal im Monat riesige 8.000-Zeilen-Pakete direkt vor einem Kundentermin und verbringen die gesamte Folgewoche mit hektischer Fehlersuche auf Live-Systemen. In der Seed-Phase verlangt kein erfahrener Investor 90 % künstliche Unit-Test-Abdeckung auf sich ständig wandelnden Benutzeroberflächen – das wäre verbranntes Kapital. Gutachter suchen stattdessen gezielt nach **wirksamen Integrationstests an den geschäftskritischen Grenzen**: Login und Sitzungsverwaltung, strikte Mandantenisolierung zwischen verschiedenen Kundenkonten, fehlerfreie Verarbeitung von Stripe-Abrechnungs-Webhooks sowie zentrale Schreiboperationen im Kerngeschäft. Ergänzen Sie diese automatischen Prüf-Gates um strukturiertes Error-Tracking (etwa Sentry oder OpenTelemetry mit Slack-Alarmierung), externes Uptime-Monitoring, getrennte Staging- und Produktionsumgebungen sowie tägliche Point-in-Time-Backups Ihrer PostgreSQL-Datenbank. Entscheidend für Bestnoten im Prüfbericht: Führen Sie mindestens einmal im Quartal eine echte Test-Wiederherstellung in eine isolierte Datenbankinstanz durch und legen Sie das kurze Protokoll samt gemessener Wiederanlaufzeit (RTO und RPO) direkt im Datenraum ab. ## Säule 5: IT-Sicherheit, Secret-Management sowie SOC 2, DSGVO und HIPAA Die Sicherheitsprüfung beginnt bei Zugangsdaten und Zugriffsrechten. Gutachter kontrollieren durchgängige Zwei-Faktor-Authentifizierung (MFA) für GitHub, AWS/GCP, Cloudflare und Datenbankkonsolen, prüfen die Speicherung von API-Schlüsseln in verschlüsselten Secret-Managern statt in eingecheckten `.env`-Dateien und verifizieren, dass Produktionsdatenbanken in privaten Subnetzen ohne öffentlichen Internetzugriff laufen. **Die regulatorische Messlatte richtet sich nach Ihrer Zielbranche:** - **Klassisches B2B-SaaS:** Saubere DSGVO-Auftragsverarbeitungsverträge (AVV), aktuelles Unterauftragnehmerverzeichnis, Verschlüsselung ruhender (`AES-256`) und übertragener Daten (`TLS 1.3`) sowie ein realistischer 90-Tage-Fahrplan für SOC 2 Typ I über Vanta oder Drata. - **Fintech & Zahlungsverkehr:** Speichern Sie niemals rohe Kartendaten selbst; setzen Sie auf Tokenisierung über Stripe oder Adyen gemäß unserer [PCI-DSS-Checkliste für Startups](https://mvp-development.io/blog/pci-dss-compliance-checklist-startups). - **Healthtech & Medizinsoftware:** Unterzeichnete BAA-/AVV-Verträge mit allen Cloud- und KI-Partnern, revisionssichere Zugriffsprotokolle sowie die Umsetzung unserer [Standards für HIPAA-konforme Gesundheitssoftware](https://mvp-development.io/blog/hipaa-compliant-healthcare-software). Technische Prüfer starten in den ersten zehn Minuten `gitleaks` oder `trufflehog` über die gesamte Commit-Historie. Wurde vor acht Monaten versehentlich ein AWS-Schlüssel oder Datenbankpasswort eingecheckt und im nächsten Commit gelöscht, gilt der Schlüssel als kompromittiert: sofort rotieren und die Historie bereinigen. ## Säulen 6 & 7: KI-Governance, Inferenz-Marge und Bus-Faktor im Team **Säule 6: KI-Daten-Governance und Inferenz-Stückkosten.** Jeder institutionelle VC-Prüffragebogen enthält in den Jahren 2026 und 2027 einen detaillierten KI-Abschnitt. Gutachter verlangen drei belastbare Nachweise: erstens die ausschließliche Nutzung kommerzieller API-Endpunkte mit vertraglich zugesicherter Zero-Data-Retention (etwa über AWS Bedrock in Frankfurt, Google Vertex AI, Azure OpenAI oder Anthropic Commercial), sodass hochgeladene Kundendokumente niemals in das Training fremder Basismodelle einfließen; zweitens mandantengebundene Vektorabfragen (`tenant_id` hart in der `pgvector`-SQL-Funktion geprüft) samt Schutzfiltern gegen indirekte Prompt Injection; drittens eine transparente Token-Kostenmessung pro Mandant, die schwarz auf weiß belegt, dass intensive KI-Nutzung Ihre Software-Bruttomarge nicht unter 65 % bis 75 % drückt. **Säule 7: Technischer Bus-Faktor und Onboarding-Geschwindigkeit.** Angenommen, Ihr einziger Hauptentwickler fällt morgen unerwartet für sechs Wochen aus – wie lange bräuchte ein neu eingestellter Senior-Ingenieur, um das Projekt lokal zu starten und fehlerfrei einen Hotfix auf Produktion auszurollen? Wenn ein klar dokumentiertes `README.md`, `docker compose up`, synthetische Seed-Testdaten und kompakte Architecture Decision Records (ADRs) ein frisches Notebook in weniger als dreißig Minuten einsatzbereit machen, wechselt das Personen-Klumpenrisiko im Prüfbericht sofort von Rot auf Grün. ## Audit-Scorecard: Gelbe Hinweise vs. rote Bewertungsabschläge Technische Due-Diligence-Berichte ordnen jeden Prüfpunkt in eine von drei Ampelfarben ein: **Grün (institutionell skalierbar)**, **Gelb (Behebung innerhalb von 90 Tagen nach Kapitalzufluss)** und **Rot (aufschiebende Auszahlungsbedingung oder Deal-Abbruch)**. Eine noch ausstehende SOC-2-Typ-II-Prüfung in der Seed-Runde oder überschaubare Unit-Tests im Frontend landen zuverlässig auf Gelb – Investoren verankern solche Punkte schlicht als regulären Meilenstein im 100-Tage-Plan nach dem Closing. Rote Feststellungen hingegen verschieben die Verhandlungsmacht sofort zu Ihrem Nachteil: Ungeklärte IP-Rechte ausgeschiedener Freelancer, im Klartext gespeicherte Zugangsdaten, fehlende Mandantenisolierung in der Datenbank oder ein wackeliges No-Code-Geflecht, das im Pitch als eigenentwickelte Enterprise-Plattform verkauft wurde, führen regelmäßig zu **15 % bis 25 % Bewertungsabschlag**, sechsstelligen Treuhand-Einbehalten auf Notarkonten (Escrow) oder zum stillen Rückzug des Investmentkomitees. Ein ehrlicher interner Probe-Check vier Wochen vor Öffnung des Datenraums beseitigt genau diese Angriffsflächen im Vorfeld. ### 3-Wochen-Fahrplan für den technischen Cleanup-Sprint vor der Finanzierungsrunde | Sprint-Woche | Geprüfte Säulen | Konkrete technische Maßnahmen | Fertiges Datenraum-Dokument | | --- | --- | --- | --- | | Woche 1: IP, Secrets & Cloud-Hoheit | Säulen 1, 2 & 5 | Git-Autoren mit IP-Verträgen abgleichen, gitleaks + Key-Rotation, SBOM-Scan, MFA/IAM härten | Lückenlose IP-Übersicht & sauberer SBOM-Lizenzbericht | | Woche 2: Mandantenschutz, CI/CD & Backups | Säulen 3 & 4 | PostgreSQL RLS aktivieren, Auth-/Mandanten-Tests ergänzen, main schützen, Restore testen | CI/CD-Nachweis, Backup-Restore-Protokoll & RLS-Testsuite | | Woche 3: KI-Margen & Investoren-Paket | Säulen 6 & 7 | Zero-Retention-APIs belegen, Kostenlimits je Kunde setzen, C4-Diagramm & ADRs erstellen | Technisches Investoren-Dossier (C4-Architektur, ADRs, 12M-Plan) | ## In 1 bis 3 Wochen prüfungssicher: Der Pre-Fundraise-Cleanup-Sprint Sie müssen Ihre Produktentwicklung nicht für ein Quartal einfrieren, um eine institutionelle **technische Due Diligence** souverän zu bestehen. Ein fokussierter Vorbereitungs-Sprint dauert je nach Umfang der Codebasis **eine bis drei Wochen** (3.500 $ bis 12.000 $), wenn er von einem Architekten gesteuert wird, der die genauen Prüflisten von Seed- und Series-A-Gutachtern kennt. An den Tagen eins und zwei führen wir exakt dieselben automatisierten Secret-, Lizenz-, Datenbank- und Cloud-IAM-Prüfungen durch wie ein externer VC-Prüfer und liefern eine priorisierte Ampel-Scorecard. In den folgenden zehn Werktagen beseitigen entweder Ihre internen Entwickler oder unser erfahrenes Engineering-Pod sämtliche roten Blocker, stellen ein prägnantes zehnseitiges Architektur-Dossier für den Datenraum zusammen (Systemtopologie, Mandantensicherheit, KI-Stückkostenrechnung und Einstellungsplan nach der Runde) und trainieren mit Ihnen das 60-minütige Q&A-Gespräch mit dem VC-Gutachter. Planen Sie im nächsten Quartal eine Pre-Seed-, Seed- oder Series-A-Runde? Sichern Sie sich ein 48-Stunden-Vorab-Audit über unser [Fractional-CTO-Team](https://mvp-development.io/fractional-cto) oder [kontaktieren Sie unsere Engineering-Partner](https://mvp-development.io/contact), um ohne böse Überraschungen in Ihren Investoren-Datenraum zu gehen. ## FAQ **Wie lange dauert eine technische Due Diligence bei Seed- oder Series-A-Runden?** Im Pre-Seed genügen meist 3 bis 5 Werktage für ein 60-minütiges Architekturgespräch samt Repository-Stichprobe. In der Seed-Phase dauert die Prüfung 1 bis 2 Wochen und umfasst IP-Verträge, Commit-Historie, Cloud-Sicherheit und Skalierbarkeit. Bei Series-A-Runden sind 2 bis 4 Wochen inklusive SBOM-Lizenzscans und tieferer Sicherheitsprüfungen üblich. **Was sind die häufigsten Deal-Killer bei einer technischen Startup-Prüfung?** Die vier gefährlichsten Blocker sind fehlende schriftliche IP-Abtretungen ausgeschiedener Mitgründer oder Freelancer, viraler AGPLv3-Code im proprietären Produktkern, gravierende Mandantenlücken mit fremdem Datenzugriff sowie vermeintliche KI-Eigenentwicklungen, die sich als ungeschützte API-Wrapper mit negativer Stückmarge entpuppen. **Schadet KI-generierter Code (Cursor, Copilot, Claude) in der VC-Due-Diligence?** Nein – Investoren erwarten heute produktiven KI-Einsatz im Engineering. Durchfallen wird nur ungeprüfter Spaghetti-Code ('Vibe Coding'), bei dem niemand im Gründerteam das Datenbankschema erklären kann, Autorisierungsprüfungen auf API-Routen fehlen und null automatisierte Tests Abrechnung oder Mandantengrenzen sichern. **Benötigen wir vor einer Seed-Runde zwingend eine fertige SOC-2-Zertifizierung?** Vor dem Seed-Closing fast nie, sofern Sie nicht direkt an Großbanken verkaufen. Prüfer erwarten saubere Basishygiene – flächendeckendes MFA, verschlüsselte Secrets, getestete Backups, PostgreSQL-Mandantentrennung und DSGVO-AVVs – sowie einen glaubwürdigen 90-bis-180-Tage-Plan für SOC 2 Typ I nach der Runde. **Bestehen wir die Prüfung auch dann, wenn eine externe Agentur unser MVP gebaut hat?** Ja, sofern drei Bedingungen erfüllt sind: Ihre Gesellschaft hält 100 % der uneingeschränkten Nutzungs- und Verwertungsrechte, sämtliche GitHub- und Cloud-Konten laufen direkt auf Ihre Firma, und ein interner Tech-Lead oder Fractional CTO beherrscht die Architektur im Detail und steuert die Weiterentwicklung. **Was kostet ein vorbereitendes technisches Due-Diligence-Audit vor dem Fundraising?** Ein unabhängiges 48-bis-72-Stunden-Audit Ihrer Codebasis und Cloud-Umgebung inklusive Ampel-Scorecard liegt typischerweise bei 2.500 $ bis 5.000 $. Sollen rote Befunde bei Mandantentrennung, CI/CD, Secrets und Datenraum-Dokumentation direkt behoben werden, kostet ein zwei- bis dreiwöchiger Cleanup-Sprint meist 6.000 $ bis 14.000 $.