Tech Due Diligence 2.0: Warum PE-Investoren jetzt AI-Readiness prüfen müssen

EQT hat ein Problem. Seit Anfang 2026 testet der schwedische PE-Riese gemeinsam mit Arma Partners das Käuferinteresse an thinkproject — dem europäischen Construction-SaaS-Anbieter mit über 3.000 Kunden, darunter Audi, EDF und Network Rail. Die angestrebte Bewertung: €1,5 Milliarden. Das Problem: In einer Welt, in der AI ganze Software-Kategorien auslöscht, stellt jeder potenzielle Käufer eine Frage, die vor zwei Jahren niemand gestellt hat:

“Wie AI-ready ist dieses Asset — wirklich?”

Das ist kein Einzelfall. Die durchschnittliche Haltedauer von PE-Portfolio-Companies ist auf 6,7 Jahre gestiegen — deutlich über dem 20-Jahres-Durchschnitt von 5,7 Jahren. Ein Rekord-Backlog an Exit-Kandidaten trifft auf Käufer, die plötzlich eine neue Due-Diligence-Dimension fordern. Wer die nicht bedienen kann, bleibt sitzen.

Ein aktuelles Beispiel aus dieser Woche: Volaris Group (Constellation Software) hat gerade zetVisions GmbH in Heidelberg übernommen — Legal Entity Management für DAX-Konzerne wie Volkswagen und Siemens. AI-Reife: Tier 4. Keine sichtbaren AI-Features. In der klassischen DD ein Red Flag. Aber Volaris denkt nicht in Exit-Multiples, sie denken in ewigem Free Cash Flow. Die Frage “Wie AI-ready?” hat für Permanent Capital eine fundamental andere Antwort als für einen PE-Fonds mit 5-Jahres-Horizont.

Dieser Artikel zeigt, warum die klassische Tech-DD nicht mehr reicht — und welche fünf Dimensionen jetzt über Exit oder Stuck entscheiden.

Warum die alte Tech-DD versagt

28% aller M&A-Deals 2025 waren AI-related. PE-Firmen akquirieren AI-enabled Companies in Rekordtempo und zu Premium-Bewertungen. Aber die meisten wenden dabei Frameworks aus der Industrieära auf Intelligence-Ära-Assets an.

Die klassische Tech-DD prüft: Code-Qualität, Architektur, Infrastruktur, Security, Skalierbarkeit. Das ist notwendig — aber nicht mehr hinreichend. Denn ein Target kann exzellenten Code haben und trotzdem ein AI-Desaster sein. Oder umgekehrt: mittelmäßigen Code, aber eine Datenarchitektur, die es zum AI-Gewinner macht.

Alte DD-Frage	Neue DD-Frage
Wie ist die Code-Qualität?	Wie viel AI-generierter Code ist im Codebase — und wie ist dessen Qualität?
Ist die Architektur skalierbar?	Ist die Datenarchitektur AI-ready?
Hat das Team die richtigen Skills?	Hat das Team AI/ML-Kompetenz — oder nur “wir nutzen ChatGPT”?
Gibt es Security-Vulnerabilities?	Wie werden AI-Agents gesichert und überwacht?
Ist die Software DSGVO-compliant?	Ist die Software EU-AI-Act-compliant (ab August 2026)?

Bain formuliert es direkt: AI Due Diligence ist eine “New Diligence Challenge” — wer AI-Risiken und -Opportunities nicht systematisch aufdeckt, kauft blind.

Das Konzept: AI Debt

Neben Technical Debt gibt es jetzt AI Debt — und die Zahlen sind alarmierend:

Metrik	Wert	Quelle
AI-generierter Code: Issues pro PR	10,83 vs. 6,45 (Human) — 1,7x mehr	arXiv: Debt Behind the AI Boom
Correctness Issues	1,75x höher bei AI-Code	arXiv
Security Issues	1,57x höher bei AI-Code	arXiv
Technical Debt nach AI-Adoption	+30-41% innerhalb von 90 Tagen	ByteIota
Static Analysis Warnings	4,94x Anstieg	ByteIota
Tech-Entscheider mit moderatem-bis-schwerem Tech Debt	75% bis 2026	Forrester
GenAI-Pilots die scheitern	95%	MIT NANDA Initiative

Was AI Debt für die DD bedeutet: Wenn ein Target stolz verkündet “40% unseres neuen Codes ist AI-generiert”, dann ist die richtige Reaktion nicht Bewunderung — sondern die Frage: Wie hoch ist die Defect Density in diesem Code? Wer reviewt ihn? Wie misst ihr die Qualität?

Ein Target, das AI-generierten Code ohne Quality Gates einsetzt, akkumuliert stille Schulden. Die zeigen sich nicht in den Quartalszahlen — aber in der Post-Acquisition-Integration, wenn plötzlich 6 Monate Refactoring nötig sind.

Die fünf DD-Dimensionen für 2026

Dimension 1: Data Assets

Die wichtigste Frage in jeder AI-DD ist nicht “Habt ihr AI?” — sondern “Wie gut sind eure Daten?”

Prüfpunkt	Was zu bewerten ist
Daten-Architektur	Wo leben die Daten? Welche Formate? Wie vernetzt sind die Systeme?
API-Zugänglichkeit	Welcher Anteil der operativen Daten ist strukturiert und via APIs zugänglich?
Daten-Exklusivität	Hat das Target proprietäre Daten, die Wettbewerber nicht haben?
Data Readiness Score	Ergebnis informiert direkt über Timeline und Kosten der Post-Acquisition AI-Roadmap

RSM empfiehlt: Der “Data Readiness Score” eines Targets sollte genauso systematisch erhoben werden wie der EBITDA.

DACH-Beispiel: Celonis ist das Paradebeispiel für einen starken Data Asset — Process Mining erzeugt Daten-Netzwerkeffekte, die mit jedem Kunden wertvoller werden. Ein Target wie Celonis hat einen fundamental anderen AI-Readiness-Score als ein Target, dessen Daten in Excel-Sheets und lokalen Datenbanken verstreut sind.

Dimension 2: Model Quality & AI Debt

Prüfpunkt	Was zu bewerten ist
AI-Code-Anteil	Wie viel Code ist AI-generiert? Wie wird Qualität gesichert?
Defect Density	Issues pro 1.000 Lines of Code — getrennt nach human/AI
Test Coverage	Benchmark 2026: >80% für AI-generierten Code
AI-Feature-Tiefe	Sind die “AI-Features” echte ML-Modelle oder LLM-Wrapper?
Model Governance	Wie werden Modelle versioniert, evaluiert, aktualisiert?

Red Flag: Wenn ein Target “AI-Features” anpreist, aber auf Nachfrage herauskommt, dass es sich um simple OpenAI-API-Calls handelt, ohne eigene Daten, ohne Fine-Tuning, ohne Moat, dann ist das Marketing, kein Wettbewerbsvorteil. Jeder Konkurrent kann denselben API-Call machen.

Aktuelles Beispiel: Bei der zetVisions-Übernahme durch Volaris diese Woche ist genau das sichtbar: zetVisions hat keine öffentlichen AI-Features (Tier 4), aber eine tiefe SAP-Integration und regulatorische Verankerung als Moat. Das Management signalisiert AI als Zukunftsthema — “Wir sehen großes Potenzial im Volaris-Ökosystem, unsere Lösungen in Richtung AI weiterzuentwickeln.” Die DD-Frage ist: Wie schnell und wie teuer wird diese AI-Transformation? Und reichen die Data Assets (200+ DAX-Konzerne, Beteiligungsstrukturen) als Grundlage?

Dimension 3: AI Talent

Prüfpunkt	Was zu bewerten ist
ML/AI-Headcount	Wie viele dedizierte AI/ML-Engineers? Anteil am Gesamtteam?
Retention Risk	AI-Talent ist der kompetitivste Arbeitsmarkt 2026 — wie hält das Target seine Leute?
Skill-Tiefe	”Wir nutzen ChatGPT” ≠ AI-Kompetenz. Eigene Modelle? Eigenes Training?
Hiring Pipeline	Kann das Target AI-Talent nachrekrutieren? In DACH besonders schwierig (>100.000 offene IT-Stellen)

Dimension 4: Regulatory Compliance

Prüfpunkt	Was zu bewerten ist
EU AI Act Readiness	Ab 2. August 2026 gelten High-Risk-Anforderungen — ist das Target vorbereitet?
High-Risk-Klassifizierung	Fallen Produkte des Targets unter High-Risk? (HR-Software, Finanz-Scoring, kritische Infrastruktur)
Human Oversight	Art. 14 EU AI Act: Können Menschen die AI-Outputs verstehen, überstimmen, abschalten?
Audit-Trail	Art. 26: Werden AI-generierte Logs aufbewahrt?
Bußgeld-Exposition	Bis 35 Mio. EUR oder 7% des globalen Umsatzes

Wie wir in AI Agents brauchen Aufsicht gezeigt haben: Die EU macht Human Oversight zur Pflicht. Ein Target ohne Compliance-Plan hat ab August 2026 ein materielles Risiko.

Diese Woche konkret: Die Investitionsprüfung bei PSI Software durch die Bundesregierung zeigt die andere Seite der Regulatory-Dimension. Warburg Pincus hat 81,7% gesichert, aber die AWV-Prüfung läuft seit Januar 2026. Wenn PSI Leitsystem-Software für Deutschlands Stromnetze liefert und an bundesgeförderten Cybersecurity-Projekten arbeitet — dann ist Regulatory Compliance nicht nur ein AI-Thema, sondern ein Souveränitäts-Thema.

Dimension 5: Agent Security & Identity (NEU)

Diese Dimension existierte vor 12 Monaten nicht. Heute ist sie kritisch:

Prüfpunkt	Was zu bewerten ist
Agent-Inventar	Wie viele AI-Agents sind im Einsatz? Wer hat sie deployed? Wer überwacht sie?
Agent-Identity	Werden Agents als eigenständige Identitäten behandelt? (Nur 22% der Unternehmen tun das)
Non-Human-Identity-Ratio	Moderne Umgebungen: 50:1 Non-Human vs. Human Identities
Security Incidents	88% der Unternehmen berichten von AI-Agent-Security-Vorfällen
Monitoring	Agent Drift Detection? Canary Questions? Escalation Procedures?
Data Leakage	77% sensibler Daten fließen via Copy&Paste in GenAI-Tools

Der Markt reagiert: Noma Security hat $100M Series B für AI-Agent-Sicherheit eingesammelt. Okta launcht “Okta for AI Agents” am 30. April 2026 — Agents werden wie menschliche Identitäten verwaltet, mit Access Reviews, Policy Enforcement und Audit Trails. Obsidian Security baut einen Agent-Defence-Layer für SaaS-Umgebungen.

DD-Implikation: Wenn ein Target 20 AI-Agents im Einsatz hat, aber auf die Frage “Wer überwacht die?” länger als 5 Sekunden braucht — gibt es kein Monitoring.

Der Exit-Stau: Wenn AI-Readiness über den Exit entscheidet

Die fünf Dimensionen sind nicht nur akademisch. Sie entscheiden jetzt über konkrete Exits:

Metrik	Wert
Durchschnittliche PE-Haltedauer	6,7 Jahre (20-Jahres-Hoch)
PE-Exit-Backlog	Rekordniveau — massiver Überhang an Exit-Kandidaten
DACH-Region	Zweitstärkstes Momentum-Wachstum in Europa erwartet
Software/Tech	Höchste erwartete PE-M&A-Transaktionszahl aller Sektoren

EQT/thinkproject ist exemplarisch: Construction-SaaS mit starkem Recurring Revenue und prominenten Enterprise-Kunden. Vor zwei Jahren wäre der Exit bei €1,5 Mrd. ein Selbstläufer gewesen. Heute muss jeder Bieter prüfen: Wie tief ist AI integriert? Ist thinkproject ein “AI enhances”-Gewinner (wie wir es in Fünf Szenarien eingeordnet haben) — oder ein Target, das noch eine teure AI-Transformation vor sich hat?

Permiras Gegenstrategie: Distressed als Opportunity

Während manche Exits stocken, sieht Permira eine Chance. Der €85-Milliarden-PE-Gigant kauft gezielt Distressed Software-Loans im europäischen Sekundärmarkt.

Ian Jackson, Head of Strategic Opportunities bei Permira Credit, formuliert die These: “Der Markt hat überreagiert.” Viele Software-Unternehmen werden keine Restrukturierung durchlaufen. Permira zielt auf Unternehmen, deren Produkte betriebskritisch, datenreich oder tief in Enterprise-Workflows integriert sind — genau die Kriterien, die wir in Software-Moats im AI-Zeitalter als Überlebensmerkmale identifiziert haben.

Die implizite DD-Frage: Permira kauft nicht blind Distressed — sie kaufen Software-Assets, die nach ihrem AI-Readiness-Assessment unterbewertet sind. Sie machen genau die DD, die dieser Artikel beschreibt.

Das AI-Readiness-Scoring: Ein Framework

Für PE-Investoren schlagen wir ein Vier-Stufen-Modell vor — dieselben Tiers, die wir auch in unseren wöchentlichen Deal-Analysen verwenden:

Tier	Beschreibung	AI-Readiness	Exit-Implikation
Tier 1: AI-Immune	Tief reguliert, null Fehlertoleranz	AI irrelevant	Stabile Bewertung, kein AI-Risiko, kein AI-Upside
Tier 2: AI-Enhanced	Starke Daten-Moats, AI als Feature-Upgrade	Hoch	Premium-Bewertung, AI steigert den Wert
Tier 3: AI-Exposed	Seat-basiert, automatisierbare Workflows, schwache Daten	Niedrig	Bewertungsabschlag, längere Haltedauer, Transformationskosten
Tier 4: AI-Dead	Kernfunktion durch LLM ersetzbar, kein Moat	Irrelevant	Exit unwahrscheinlich, Write-down-Kandidat

DACH-Einordnung:

Tier 1: Haufe Group (Steuer/Arbeitsrecht), DATEV (regulatorische Tiefe)
Tier 2: Celonis (Data Network Effects), thinkproject (Construction-Daten + Workflow-Embedding)
Tier 3: Generische CRM/HR-Tools ohne proprietäre Daten, einfache Reporting-Software
Tier 4: Standalone-Translation, Basic Content Curation, einfache Q&A-Plattformen

Aktuelles Beispiel aus KW15: Die aconso/Centric Germany-Akquisition zeigt einen spannenden Grenzfall: aconso hat Production-AI-Features (automatische Dokumentenklassifizierung, OCR) — das ist Tier 2-3. Aber mit 1.450+ Kunden und 1 Milliarde verwalteten HR-Dokumenten hat aconso einen Data Asset, der durch AI noch wertvoller werden kann. Die DD-Frage ist nicht “hat aconso AI?”, sondern “was ist der Data Asset wert, wenn man echte AI darauf baut?”

Meine Perspektive 🎯

Die DD hat sich in 18 Monaten fundamental verändert. Wer 2024 noch mit einem Standard-Tech-DD-Framework arbeiten konnte, fliegt 2026 blind. Die fünf neuen Dimensionen, Data Assets, AI Debt, AI Talent, Regulatory, Agent Security, sind nicht optional. Sie sind der Unterschied zwischen einem Exit bei €1,5 Mrd. und einem, der auf unbestimmte Zeit verschoben wird.
AI Debt ist das neue Technical Debt — nur schlimmer. Technical Debt akkumuliert sich über Jahre und ist sichtbar. AI Debt akkumuliert sich in 90 Tagen und ist unsichtbar. Wenn ein Target 40% AI-generierten Code hat und die Defect Density nicht kennt, hat es ein Problem, das es nicht einmal sieht. Die 1,7x-Issues-Rate aus der arXiv-Studie ist ein Durchschnittswert, bei schlecht gemanagtem AI-Code ist es deutlich schlimmer.
Permiras Strategie ist die smarteste Reaktion auf den SaaSpocalypse-Sell-Off. Während alle anderen in Panik Software-Assets abstoßen, kauft Permira gezielt diejenigen, die ihre eigene DD als unterbewertet identifiziert. Das ist die Essenz von Tech DD 2.0: Nicht “hat die Firma AI?” fragen, sondern “ist die Firma so AI-exponiert, wie der Markt denkt — oder hat sie Moats, die der Markt übersieht?”
Agent Security ist die DD-Dimension, die 2024 nicht existierte und 2026 nicht ignoriert werden kann. 88% der Unternehmen berichten von AI-Agent-Security-Vorfällen. Nur 22% behandeln Agents als eigenständige Identitäten. In einer Welt, in der Non-Human-Identities Human-Identities 50:1 übertreffen, ist die Frage “Wie sichert ihr eure Agents?” genauso fundamental wie “Wie sichert ihr eure Kundendaten?”
Der EU AI Act wird ab August 2026 zum Dealbreaker. Non-Compliance ist kein Risiko, das man in der Post-Acquisition fixt. Es ist ein Risiko, das den Deal verhindert. Bußgelder von 35 Mio. EUR oder 7% des Umsatzes machen aus einem attraktiven Target ein toxisches Asset — wenn die Compliance nicht vor dem Exit steht.

Fazit: Die DD-Checkliste 2026

Fünf Fragen, die jede Software-DD jetzt beantworten muss:

Data Assets: Hat das Target proprietäre Daten, die durch AI wertvoller werden — oder Daten, die jeder hat?
AI Debt: Wie viel AI-generierter Code ist im Codebase, und wie hoch ist die Defect Density?
AI Talent: Hat das Team echte ML-Kompetenz, oder nur API-Wrapper-Skills?
Regulatory: Ist das Target ab August 2026 EU-AI-Act-compliant, oder steht eine teure Nachbesserung an?
Agent Security: Wie viele AI-Agents sind im Einsatz, und wer überwacht sie?

Die Antworten auf diese Fragen trennen 2026 die Exits von den Stuck Deals. Und die Permiras dieser Welt von denen, die den Ausverkauf erleiden.