AI-Infrastruktur-Exposure-Due-Diligence: Bewertung von Anbieter-Risiken

Die Due Diligence der AI-Infrastrukturexposition ist ein spezialisiertes Risikobewertungs-Framework, das von Private-Equity- und Corporate-Development-Teams eingesetzt wird, um die operative Abhängigkeit und das Konzentrationsrisiko eines Zielunternehmens in den Bereichen Cloud, GPU-Compute und Drittanbieter-AI-Modell-Ökosysteme zu bewerten. Im Gegensatz zu Standard-Audits, die die Ökonomie der Rechenkosten oder unmittelbare Auswirkungen auf die Margen analysieren, untersucht diese Due-Diligence-Disziplin strukturelle Schwachstellen: insbesondere, wie ein Zielunternehmen den Ausfall einer kritischen Anbieterbeziehung, plötzliche Preiserhöhungen oder GPU-Kapazitätsengpässe überstehen würde. Durch die Kartierung dieser systemischen Risiken können Investoren Single Points of Failure identifizieren, die die Geschäftskontinuität und die Post-Acquisition-Bewertung gefährden, noch bevor eine Transaktion unterzeichnet wird.

Um diese strukturellen Schwachstellen zu bewerten, kategorisieren Investoren das Infrastrukturrisiko in der Regel in drei Hauptdimensionen:

• Cloud-Anbieter-Konzentration: Bewertung der Abhängigkeit von den spezialisierten AI-Tools und Daten-Pipelines eines einzelnen Hyperscalers, was die Migrationskosten erhöht.
• Compute- und GPU-Kapazitätsgrenzen: Überprüfung, ob das Zielunternehmen über garantierte Hardware-Allokationen verfügt oder auf volatile Spot-Markt-Instanzen angewiesen ist.
• Modell-API-Lock-in: Bewertung der operativen Auswirkungen, wenn ein proprietärer Modellanbieter eine Kern-API einstellt, seine Lizenzierung ändert oder die Preisstrukturen anpasst.

Bei modernen Technologieübernahmen in Deutschland, Europa und auf globalen Märkten hat sich der Schwerpunkt der Due Diligence von der einfachen finanziellen Kostenoptimierung hin zur strukturellen operativen Belastbarkeit verschoben. Während klassische Audits die laufenden Ausgaben betrachten, konzentriert sich die spezialisierte KI-Due-Diligence eher auf das langfristige Überleben der Architektur als auf kurzfristige Margenschwankungen. Dieses Risiko ist hochgradig systemisch: Ein Software-Zielunternehmen, das auf proprietäre KI-Modelle aus einer einzigen Quelle oder auf unverbindliche Cloud-Cluster angewiesen ist, droht eine katastrophale Störung, wenn diese Anbieter die Lizenzbedingungen ändern oder den Zugang zu Rechenleistung einschränken. Durch den Einsatz spezialisierter Plattformen wie dem Risk Radar von Plausity zur Analyse virtueller Datenräume können VC- und PE-Fonds-Investmentmanager diese Abhängigkeiten auf dem kritischen Pfad während der Phase der Transaktionsabgrenzung systematisch erfassen und so sicherstellen, dass verborgene operative Risiken die Post-Merger-Integration nicht gefährden.

Während die Bewertung der laufenden Betriebskosten Teil der Standard-Prüfung von KI-Infrastrukturkosten ist, müssen Transaktionsberatungsteams die strukturelle Hyperscaler-Konzentration separat bewerten. Wenn ein Zielunternehmen seine Kernarchitektur ausschließlich innerhalb des Ökosystems eines einzigen Cloud-Anbieters aufbaut, erbt es eine enorme Datenbindung (Data Gravity). Die Migration von Multi-Terabyte-Trainingsdatenbeständen wird durch extrem hohe Gebühren für den Datenexport (Egress Fees) bei den großen Anbietern stark eingeschränkt. Diese wirtschaftliche Hürde führt in Verbindung mit proprietären Orchestrierungswerkzeugen zu einer faktisch monolithischen Software-Kopplung. Wenn der Anbieter die Preise erhöht oder die GPU-Kapazität einschränkt, hat das Zielunternehmen praktisch keine unmittelbaren Ausweichmöglichkeiten.

Die Bewertung der Portabilität erfordert eine tiefgehende technische Prüfung der Machine-Learning-Pipelines des Zielunternehmens. Due-Diligence-Teams sollten analysieren, ob Arbeitsabläufe an plattformspezifische APIs gebunden sind oder ob sie portable, containerisierte Frameworks wie Kubernetes nutzen, die eine Multi-Cloud-Bereitstellung ermöglichen. Neuentwicklungen an einer Pipeline, die von Closed-Source- und anbieterseitig verwalteten Trainingsschleifen abhängt, können Monate der Entwicklung und ungeplante Engineering-Kosten in Höhe von Hunderttausenden Euro verursachen. Private-Equity-Investoren und Corporate-Development-Experten müssen diese Austrittsbarrieren erfassen. Durch den Einsatz des Risk Radar von Plausity während der Transaktionsphasen können Deal-Teams die Dokumentation des Tech-Stacks systematisch scannen, um diese verborgenen Infrastrukturverflechtungen noch vor der Vertragsunterzeichnung aufzudecken.

Für Private-Equity-Investoren und Corporate-Development-Teams ist die Sicherung physischer GPU-Hardware ein kritischer operativer Engpass. Die Bewertung des Hardware-Zugangs eines Zielunternehmens ist ein zentraler Pfeiler einer umfassenden KI-Due-Diligence, da Modelle ohne garantierte Rechenleistung mit geringer Latenz nicht funktionieren können. Transaktionsberater müssen zwischen Zielunternehmen unterscheiden, die auf gemeinsam genutzte Serverpools angewiesen sind – bei denen die Rechenleistung Ressourcenkonflikten durch andere Nutzer („Noisy Neighbors“) und plötzlichen Drosselungen durch den Cloud-Anbieter unterliegt –, und solchen mit vertraglich zugesicherter, isolierter Unternehmenskapazität. Wenn das Deal-Team den Plausity Risk Radar zur Analyse von Infrastrukturverträgen einsetzt, kann es schnell erkennen, ob die Skalierungsprognosen eines Zielunternehmens auf soliden Hardware-Garantien oder auf unsicheren, unverbindlichen Testkontingenten basieren.

• Vertragliche SLA-Priorität: Prüfen Sie, ob der Cloud- oder GPU-Anbieter eine prioritäre Zeitplanung (Priority Scheduling) und hochverfügbare SLAs garantiert oder ob das Zielunternehmen auf unterbrechbare Instanzen (Preemptible Instances) angewiesen ist, die bei hoher weltweiter Nachfrage ohne Vorwarnung abgeschaltet werden können.
• Portabilität und Kontrollwechsel (Change of Control): Bewerten Sie, ob bestehende GPU-Zuweisungsrechte und günstige Preiskonditionen bei einer Übernahme automatisch auf den Erwerber übergehen oder ob eine Transaktion Neuverhandlungsstrukturen, Preiserhöhungen oder eine vollständige Vertragsbeendigung auslöst.
• Physische Kapazitätsprüfungen: Validieren Sie, ob die gemeldeten GPU-Clustergrößen des Zielunternehmens den tatsächlich aktiven, bereitgestellten Cloud-Instanzen entsprechen und nicht nur theoretischen Kapazitätsreserven, Wartelistenplätzen oder noch nicht genutzten Werbeguthaben.

Über die unmittelbare Verfügbarkeit hinaus müssen Investoren langfristige Lieferkettenabhängigkeiten und die Veraltung von Hardware (Obsoleszenz) bewerten. Da sich Hardware-Generationen rasant weiterentwickeln, kann ein Zielunternehmen, das an mehrjährige Verträge für Chips älterer Generationen gebunden ist, unter einer sinkenden Wettbewerbsfähigkeit und erhöhten Betriebskosten im Vergleich zu Wettbewerbern leiden, die neuere Architekturen nutzen. Strategische Käufer und VC-Fonds-Investmentmanager müssen prüfen, wie die Rechenleistungsvereinbarungen des Zielunternehmens Hardware-Aktualisierungen und nahtlose Migrationspfade berücksichtigen. Das Verständnis dieser Zuweisungsbeschränkungen verhindert Skalierungsengpässe nach der Transaktion und stellt sicher, dass das langfristige Wachstumsmodell eines Portfoliounternehmens angesichts eingeschränkter globaler Lieferketten physisch tragfähig bleibt.

Die Durchführung einer präzisen Due Diligence bezüglich der KI-Infrastruktur-Risiken erfordert von Private-Equity- und M&A-Deal-Teams, über oberflächliche Rechenleistungskosten hinauszublicken und das grundlegende Abhängigkeitsrisiko des Zielunternehmens im Bereich Compute genau zu prüfen. Eine Hauptschwachstelle ist die übermäßige Abhängigkeit von einem einzigen Anbieter von Pionier-Modellen (Frontier Models). Wenn das Kernwertversprechen eines Zielunternehmens vollständig auf einer einzigen proprietären API basiert, ist es einem starken KI-Anbieter-Lock-in ausgesetzt. Plötzliche API-Abkündigungen, unerwartete Änderungen der Servicevereinbarungen oder unvorhergesehene Ratenbegrenzungen (Rate Limits) durch Modell-Anbieter können den Betrieb sofort lahmlegen. Für institutionelle Investoren, die Software-Zielunternehmen in ganz Europa und auf globalen Märkten bewerten, ist die Überprüfung dieser vorgelagerten Modellbeziehungen von entscheidender Bedeutung, um verborgene operative Abhängigkeiten aufzudecken, die die Geschäftskontinuität des Zielunternehmens gefährden könnten.

Um diese Risiken zu bewerten, nutzen Investment-Spezialisten Plausitys Technologie-Due-Diligence-Software, um die API-Integrationen des Zielunternehmens und die Kosten für einen Modellwechsel zu analysieren. Moderne technische Architekturen mindern die Abhängigkeit von Hyperscalern, indem sie eine Abstraktionsschicht oder ein LLM-Gateway zwischen der Kernanwendung und den Upstream-Anbietern implementieren. Dieses modellagnostische Setup stellt sicher, dass das Zielunternehmen den Datenverkehr zu einem anderen Modell leiten kann, ohne die Codebasis neu aufbauen zu müssen, falls ein Anbieter Preise ändert, die Kapazität drosselt oder einen Ausfall erleidet. Die Bewertung dieser strukturellen Schwachstellen im Rahmen von Transaktionsberatungen stellt sicher, dass PE-Deal-Teams ihre Portfoliounternehmen vor unvorhergesehenen operativen Störungen schützen.

Europäische Regulierungsrahmen haben die Überprüfung der Cloud- und Compute-Konzentration von einer rein operativen Best Practice zu einer strikten rechtlichen Notwendigkeit erhoben. Für Private-Equity-Investoren, die B2B-Softwareunternehmen bewerten, ist die Prüfung der regulatorischen Bereitschaft von entscheidender Bedeutung, wenn das Zielunternehmen Finanzinstitute, Gesundheitsdienstleister oder kritische Infrastrukturen bedient. Unter dem Digital Operational Resilience Act (DORA), der den europäischen Finanzsektor regelt, müssen Finanzunternehmen eine vorläufige Bewertung des IKT-Konzentrationsrisikos durchführen, bevor sie einen neuen Softwarevertrag unterzeichnen. Dies bedeutet, dass jedes KI-native Zielunternehmen, das als IKT-Drittanbieter agiert, mit sofortigen Prüfungen des Anbieterkonzentrationsrisikos durch seine institutionellen Kunden konfrontiert sein wird.

• DORA-Artikel-29-Compliance: Finanzunternehmen müssen ihre Risikoexposition gegenüber kritischen IKT-Drittdienstleistern dokumentieren und regelmäßig überprüfen, was Zielunternehmen dazu zwingt, Multi-Cloud-Redundanz oder Migrationsfähigkeit nachzuweisen.
• Verpflichtungen für KI mit allgemeinem Verwendungszweck (GPAI) unter dem EU AI Act: Kapitel V schreibt vor, dass Anbieter von systemischen GPAI-Modellen eine detaillierte technische Dokumentation führen, systemische Risiken kontinuierlich bewerten und schwerwiegende Vorfälle an das EU-KI-Büro melden müssen.
• Prüfung der Anbieter-Governance: Deal-Teams müssen verifizieren, dass die Downstream-Vereinbarungen des Zielunternehmens mit Hyperscalern obligatorische Audit-Rechte, Service-Level-Garantien und robuste Exit-Strategien enthalten, um Konzentrationsrisiken im gesamten Tech-Stack zu mindern.

Um diese Standards für operative Resilienz während der Transaktionsberatung zu bewältigen, verabschieden sich Private-Equity-Deal-Teams und Investment-Spezialisten von manuellen Audits. Durch die Nutzung spezialisierter KI-Due-Diligence-Plattformen können Transaktionsberater die Compliance-Strukturen von Zielunternehmen schnell bewerten. Das Risk Radar und die AI-Analysis Engine von Plausity automatisieren die Überprüfung von Dokumenten im virtuellen Datenraum, um zu verifizieren, ob die Cloud-Anbieter-Governance, die Reaktionspläne für Vorfälle und die Downstream-Dienstleistungsvereinbarungen mit Hyperscalern den Anforderungen von DORA und des EU AI Act entsprechen. Diese automatisierte Due Diligence stellt sicher, dass Investoren latente regulatorische Haftungsrisiken vor dem Abschluss einer Transaktion erkennen.

Die Bewertung der vertraglichen Positionierung eines Zielunternehmens in seinen Cloud-Dienstleistungsvereinbarungen (CSAs) ist eine wesentliche Säule einer umfassenden KI-Due-Diligence. Im Gegensatz zu routinemäßigen IT-Audits erfordert die Bewertung der Rechenleistungs- und Modellabhängigkeit von Teams, die Diligence für PE- und VC-Fonds durchführen, dass rechtliche Bestimmungen direkt auf technische Schwachstellen übertragen werden. Investoren müssen prüfen, ob das Zielunternehmen über die rechtliche und operative Resilienz verfügt, um Preisschocks von Anbietern, einseitigen Vertragskündigungen oder plötzlichen Kapazitätsengpässen ohne schwerwiegende Betriebsunterbrechungen standzuhalten.

Automatisierte Dokumentenanalyse und wichtige vertragliche Benchmarks

Um diese Risiken schnell aus Tausenden von Seiten an VDR-Dokumenten herauszufiltern, nutzen Deal-Teams moderne Systeme wie die AI-Analysis Engine von Plausity. Durch automatisierte Dokumenten-Scans identifiziert die Plattform restriktive Klauseln, Kontrollwechsel-Auslöser und versteckte Service-Level-Zusagen. Die Integration dieser Scans mit dem Risk Radar von Plausity ermöglicht es Investoren, die Wesentlichkeit von Vertragsbedingungen auf der Grundlage der spezifischen Investitionsthese zu bewerten. Bei der Prüfung von CSAs und KI-Anbieterverträgen müssen Teams systematisch drei Kernbereiche bewerten:

• Exit- und Portabilitätsbedingungen: Prüfen Sie die expliziten Verpflichtungen des Anbieters zur Unterstützung der Migration. Stellen Sie sicher, dass proprietäre Gewichte, Trainings-Checkpoints und Pipeline-Konfigurationen ohne proprietären Lock-in oder strafende Egress-Gebühren extrahiert werden können.
• SLA- und GPU-Kapazitätsgarantien: Überprüfen Sie, ob Rechencluster und Hardware-Zuweisungen durch feste Latenz- und Uptime-SLAs abgesichert sind oder ob sie präemptiven Bedingungen unterliegen, die das Zielunternehmen dem Risiko plötzlicher Ressourcen-Entzüge aussetzen.
• Kontrollwechsel und Preisgleitklauseln: Verfolgen Sie Klauseln, die es Anbietern ermöglichen, die Preise für Tarife einseitig anzupassen, Dienste im Falle einer Übernahme zu kündigen oder prohibitive Übergangskosten während der Integration zu erheben.

Durch die Einbettung dieser strukturierten Prüfungen in die frühen Phasen der Transaktionsberatung sichern sich Private-Equity-Käufer einen realistischen Entwurf der operativen Risiken nach der Übernahme. Diese vertragliche Klarheit hilft Deal-Teams, robuste Freistellungsklauseln auszuhandeln und übermäßig konzentrierte Zielunternehmen vor der Kapitalbindung niedriger zu bewerten.

Nach der Transaktion verlagert sich die Minderung des Infrastrukturrisikos eines Zielunternehmens von der Risikobewertung hin zum aktiven Portfoliomanagement. Für Private-Equity- und Corporate-Development-Teams ist der Umgang mit konzentrierten Compute- und Cloud-Anbieter-Abhängigkeiten eine tragende Säule des modernen Value Creation Playbook. Wenn ein Zielunternehmen vollständig von einem einzigen Hyperscaler oder einer proprietären Modell-API abhängt, kann ein Preisschock, ein Kapazitätsengpass oder ein Dienstausfall den Betrieb sofort stören. Anstatt die Wirtschaftlichkeit der Rechenleistungskosten zu prüfen, die von den Deal-Teams in separaten kommerziellen Prüfungen bewertet wird, muss die operative Integration eine technische Resilienz etablieren, um das allgemeine Portfolio-Konzentrationsrisiko zu minimieren.

• Multi-Cloud-Redundanz: Überführung von Kernspeicher- und Compute-Workloads in Hybrid- oder Multi-Cloud-Konfigurationen, um Abhängigkeiten von einzelnen Anbietern zu verhindern.
• Modellagnostische Abstraktion: Einsatz von Open-Source-Abstraktions-Frameworks und API-Gateways, um die Anwendungslogik von proprietären Modellanbietern zu entkoppeln und einen nahtlosen Modellaustausch zu ermöglichen.
• Operative Notfallplanung: Etablierung klarer Disaster-Recovery-Protokolle und alternativer API-Fallbacks, um die Kontinuität bei längeren Ausfällen eines primären KI-Anbieters zu gewährleisten.

Die frühzeitige Umsetzung dieser technischen Änderungen in der Haltedauer schützt das Portfoliounternehmen vor unerwarteten Anpassungen im Ökosystem, plötzlichen Richtlinienänderungen der Anbieter oder regionalen Einschränkungen der Hardwarekapazität. Durch die Verankerung dieser strukturellen Schutzmaßnahmen können M&A-Berater ein kritisches Due-Diligence-Risiko systematisch in einen greifbaren operativen Vorteil verwandeln. Diese Integrationsstrategien stellen sicher, dass das erworbene Asset in einer hochdynamischen Technologielandschaft agil, portabel und grundlegend resilient bleibt.

• Cloud-Dienstleistungsvereinbarungen und Anbieterverträge, einschließlich SLAs und Ausstiegskonditionen
• GPU-/Compute-Kapazitätszusagen und historische Auslastungsdaten
• Architekturdiagramme, die Anbieterkopplung oder Abstraktionsschichten zeigen
• Vendor-Konzentrationskarte über Cloud-, Compute- und Modellanbieter hinweg
• DORA- und EU-AI-Act-Compliance-Dokumentation, sofern zutreffend
• Historische Vorfälle von Preisänderungen, Ausfällen oder Serviceunterbrechungen des Anbieters
• Notfall- oder Migrationspläne für kritische Anbieterbeziehungen

Erkenntnisse zur Infrastruktur-Exposition sollten die Transaktionsstrukturierung und die Integrationsplanung nach Abschluss prägen, nicht nur eine einmalige technische Prüfung darstellen. PE- und Growth-Equity-Investoren nutzen die oben identifizierten Lücken in der Regel, um den Abschluss an dokumentierte Notfallpläne der Anbieter zu knüpfen oder um Bewertungsanpassungen gegenüber nicht dokumentiertem Konzentrationsrisiko vorzunehmen. Für KI-native Zielunternehmen steht diese Expositionsprüfung in engem Zusammenhang mit, unterscheidet sich jedoch von der Vector-Database-Due-Diligence, die speziell die Retrieval-Schicht untersucht. Corporate-Development-Teams können die KI-gestützte Diligence-Analyse und die Findings- und Risk-Intelligence-Funktionen von Plausity nutzen, um Anbieterverträge auszuwerten und Konzentrationsrisiken schnell aufzudecken, wobei die Dokumentenanalyse die rechtliche Prüfung der zugrunde liegenden Verträge nicht ersetzt.

1. digital-operational-resilience-act.com