--- title: "Technische Due Diligence" description: "Ist Ihre KI-gebaute Plattform investitionswürdig? Guide für CTOs und Investoren." lastUpdated: "2026-06-23" canonical: "https://anvilstack.eu/insights/ai-prototype-due-diligence" --- > Sitemap für Agenten: https://anvilstack.eu/llms.txt # Technische Due Diligence 25% des Y Combinator W25-Batches haben Codebasen, die zu **95% von KI generiert** wurden. ([TechCrunch: 25% of YC W25 have 95%+ AI-generated codebases](https://techcrunch.com/2025/03/06/a-quarter-of-startups-in-ycs-current-cohort-have-codebases-that-are-almost-entirely-ai-generated/)) Was vor einem Jahr als Wettbewerbsvorteil galt, wird bei der technischen Due Diligence (TDD) zum Risikofaktor: KI-generierter Code enthält in 45% der Fälle Sicherheitslücken, wird selten getestet und baut technische Schulden auf, die bei einer Bewertung **bis zu 20% Abschlag** bedeuten können. Für CTOs und Investoren, die KI-gebaute Plattformen evaluieren, gelten neue Prüfkriterien. - **45%** – der KI-generierten Code-Aufgaben enthalten Sicherheitslücken (Veracode 2025) - **40%** – der Agentic-AI-Projekte werden laut Gartner bis Ende 2027 eingestellt - **40%** – mehr exponierte Secrets in Repositories mit GitHub Copilot (6,4% vs. 4,6%) - **bis zu 20%** – Bewertungsabschlag durch technische Findings in der Due Diligence ## Warum KI-Tempo die technische Due Diligence verändert Die Geschwindigkeit, mit der KI-Tools funktionierenden Code produzieren, hat ein neues Problem geschaffen: **Plattformen sehen in der Demo überzeugend aus, sind aber technisch fragil.** YC-CEO Garry Tan brachte den Trend auf den Punkt: „The age of vibe coding is here." ([Garry Tan: The age of vibe coding is here (2025)](https://x.com/garrytan/status/1897303270311489931)) Im TDD-Audit fallen genau die Abkürzungen auf, die eine Demo nie zeigt: fehlende Tests, offene Secrets, inkonsistente Architektur. Gartner prognostiziert, dass über **40% aller Agentic-AI-Projekte bis Ende 2027 eingestellt werden** – aufgrund eskalierender Kosten, unklarem Business Value oder unzureichender Risikokontrollen. ([Gartner: 40%+ Agentic AI Projects Canceled by 2027](https://www.gartner.com/en/newsroom/press-releases/2025-06-25-gartner-predicts-over-40-percent-of-agentic-ai-projects-will-be-canceled-by-end-of-2027)) Deshalb prüfen Investoren bei KI-gebauten Plattformen heute genauer: Test-Abdeckung, Secrets-Hygiene und Architektur-Konsistenz, bevor das Term Sheet auf den Tisch kommt. ## Red Flags: Was bei KI-generierten Codebasen auffällt ### Keine Test-Abdeckung KI-Tools generieren funktionalen Code, aber fast nie Tests dazu. Eine Plattform ohne Unit-Tests, Integrationstests und E2E-Tests ist ein Blindflug – kein Investor akzeptiert das als Production-ready. In der Due Diligence ist eine Test-Abdeckung unter 60% ein direktes Red Flag. ### Hardcoded Secrets und API-Keys 2025 wurden über **28,6 Millionen neue hardcoded Secrets** in öffentlichen GitHub-Commits entdeckt – ein Anstieg von 34% gegenüber dem Vorjahr. ([OECD.AI: AI Coding Assistants Drive Surge in Secret Leaks](https://oecd.ai/en/incidents/2026-03-17-2273)) Repositories mit aktivem GitHub Copilot weisen eine rund 40% höhere Rate an exponierten Secrets auf (6,4% vs. 4,6% aller öffentlichen Repositories): API-Keys, Datenbank-Passwörter und Tokens direkt im Quellcode. ([GitGuardian: GitHub Copilot und das Risiko geleakter Secrets](https://blog.gitguardian.com/yes-github-copilot-can-leak-secrets/)) ### Fehlende Fehlerbehandlung KI-generierter Code konzentriert sich auf den Happy Path. Edge Cases, Fehlerbehandlung, Retry-Logik und Graceful Degradation fehlen systematisch – was in der Produktion zu kaskadierenden Ausfällen führt. ### Inkonsistente Architektur > **Achtung:** KI-Modelle optimieren **dateiweise**, nicht systemweit. Jede Datei funktioniert isoliert, aber die Gesamtarchitektur ist inkohärent: unterschiedliche Patterns, duplizierte Logik, widersprüchliche Abstraktionen. Über 5.600 analysierte Vibe-Coded-Apps zeigten über 2.000 Schwachstellen und 400+ exponierte Secrets. ([Escape.tech: 2.000+ Schwachstellen und 400+ Secrets in 5.600 Vibe-Coded-Apps](https://escape.tech/blog/methodology-how-we-discovered-vulnerabilities-apps-built-with-vibe-coding/)) ### Dependency Bloat KI-Modelle fügen Abhängigkeiten hinzu, ohne bestehende zu prüfen. So sammeln sich Dutzende redundante Packages und veraltete Versionen an – eine aufgeblähte Supply Chain, die die Angriffsfläche vergrößert. ### Keine CI/CD-Pipeline Ohne Continuous Integration fehlen automatisierte Checks – keine Lint-Prüfungen, keine Security-Scans, keine automatisierten Deployments. Jedes Release ist ein manuelles Risiko. ### Fehlende Zugriffskontrolle KI-Agenten vergessen regelmäßig, Authentication-Middleware in nachfolgende Komponenten einzubauen. Das Ergebnis: Einzelne Routes oder API-Endpunkte sind ungeschützt, auch wenn die Login-Seite existiert. ([The Hacker News: AI Code Expands Attack Surface (2026)](https://thehackernews.com/expert-insights/2026/03/the-real-problem-isnt-that-ai-cant.html)) ## Der Bewertungseffekt: bis zu 20% Abschlag Technische Schulden wirken sich auf die Unternehmensbewertung aus. Technische Findings in der Due Diligence können die Bewertung um **bis zu 20% drücken**, und rund 60% der Deals scheitern an Problemen, die erst im Tech-Review auffallen. ([Sphere: Technische Due Diligence kann die Bewertung um bis zu 20% senken](https://www.sphereinc.com/blogs/technical-due-diligence-checklist-startup/)) | Kriterium | Production-Ready Codebase | Vibe-Coded Plattform | | --------------------- | ------------------------------------- | ---------------------------------- | | Test-Abdeckung | > 70% mit CI-Enforcement | 0–5%, keine automatisierten Tests | | Security-Scans | SAST/DAST in CI/CD integriert | Keine Scans, keine Audits | | Secrets-Management | Vault/ENV, keine Secrets im Code | Hardcoded API-Keys in .env-Dateien | | Architektur | Konsistente Patterns, dokumentiert | Inkohärent, dateiweise generiert | | Dependency-Management | Automatisierte Updates, SBOM | Veraltete Pakete, kein Tracking | | Fehlerbehandlung | Retry-Logik, Circuit Breaker, Logging | Keine – Happy Path only | | Bewertungseffekt | Volle Bewertung | bis zu 20% Abschlag | Ein Rechenbeispiel: Drei zusätzliche Senior Engineers über zwölf Monate verursachen bei voll belasteten Personalkosten von 110.000–180.000 EUR pro Kopf rund **330.000–540.000 EUR** Mehraufwand, den Investoren von der Bewertung abziehen. ## Was ein TDD-Report enthalten muss Ein professioneller Technical Due Diligence Report für KI-gebaute Plattformen umfasst: 1. **Architektur-Assessment:** Systemarchitektur, Datenmodell, API-Design, Konsistenz der Patterns 2. **Code-Qualitätsanalyse:** Automatisierte Scans (SonarQube, Snyk), technische Schulden quantifiziert 3. **Security Audit:** SAST/DAST-Ergebnisse, Secrets-Scan, Dependency-Vulnerabilities, OWASP Top 10 4. **Infrastruktur-Review:** Deployment-Prozess, Monitoring, Backup-Strategie, Skalierbarkeit 5. **Team-Assessment:** Technische Kompetenz, Dokumentation, Entwicklungsprozesse 6. **Compliance-Check:** DSGVO, NIS2, Datenresidenz, Lieferkettensicherheit 7. **Risikobewertung:** Priorisierte Liste mit geschätztem Behebungsaufwand und Timeline [Cleveroad: Technical Due Diligence Key Elements 2025](https://www.cleveroad.com/blog/technical-due-diligence/) ## Wie Sie Ihre Codebase audit-ready machen > **Tipp:** Die beste Vorbereitung auf eine Due Diligence beginnt **Monate vor der Finanzierungsrunde**. Rund 30% der gescheiterten M\&A-Deals scheitern an Technologie-Integrationsproblemen – oft eine Folge ungeprüfter Tech-Stacks. ([DextraLabs: Software M\&A Technical Due Diligence 2026](https://dextralabs.com/blog/software-ma-technical-due-diligence/)) **Sofort umsetzbar (Woche 1–2):** - Secrets-Scan durchführen und alle hardcoded Credentials entfernen - Dependency-Audit: `npm audit` / `yarn audit` ausführen, kritische Updates einspielen - Grundlegende CI/CD-Pipeline mit Linting und Security-Checks aufsetzen **Kurzfristig (Monat 1–2):** - Test-Suite aufbauen: Mindestens kritische Geschäftslogik abdecken - Architektur-Dokumentation erstellen - Monitoring und Logging implementieren (Grafana + Prometheus) **Mittelfristig (Monat 2–4):** - Security-Hardening: RBAC, MFA, Rate Limiting - Infrastruktur als Code (Terraform) für reproduzierbare Deployments - Performance-Baseline etablieren und Lasttests durchführen Im kostenlosen Erstgespräch klären wir Ausgangslage und Ziel; die Analyse bewertet anschließend Ihre KI-gebaute Plattform auf TDD-Readiness – von Security-Findings bis Architektur-Schwächen. Die vollständige Umsetzung liefern wir für €6.000 pro Monat über 6 Monate (€36.000 gesamt): eine funktionierende App auf EU-souveräner Infrastruktur. [Unverbindliches Erstgespräch vereinbaren](https://anvilstack.eu/contact) ## Häufig gestellte Fragen ### Was ist eine technische Due Diligence? Eine systematische Prüfung des gesamten Tech-Stacks – Architektur, Code-Qualität, Security, Infrastruktur und Team-Kompetenz. Investoren beauftragen zunehmend externe TDD-Prüfer, die vor einer Finanzierungsrunde den technischen Zustand bewerten. ### Wie wirken sich technische Schulden auf die Bewertung aus? Technische Findings in der Due Diligence können die Bewertung um bis zu 20% drücken, und rund 60% der Deals scheitern an Problemen, die erst im Tech-Review auffallen. Ein 12-monatiger Backlog, dessen Abbau drei zusätzliche Senior Engineers erfordert, summiert sich schnell auf mehrere Hunderttausend Euro. ### Was sind die häufigsten Red Flags bei KI-generierten Codebasen? Keine Test-Abdeckung, hardcoded Secrets und API-Keys, fehlende Fehlerbehandlung, inkonsistente Architektur, Dependency Bloat, keine CI/CD-Pipeline und fehlende Zugriffskontrolle. ### Wann sollte ich meine Codebase audit-ready machen? Monate vor der Finanzierungsrunde. Rund 30% der gescheiterten M\&A-Deals scheitern an Technologie-Integrationsproblemen, oft eine Folge ungeprüfter Tech-Stacks. Sofort-Maßnahmen (Secrets-Scan, Dependency-Audit) dauern 1–2 Wochen. ### Wird Gartners Prognose zum Scheitern von KI-Projekten ernst genommen? Ja. Gartner erwartet, dass bis Ende 2027 über 40% der Agentic-AI-Projekte eingestellt werden. Für die Due Diligence heißt das: Investoren prüfen genauer. ### Kann AnvilStack bei der TDD-Vorbereitung helfen? Ja. Die Analyse bewertet Ihre Codebase auf TDD-Readiness – von Security-Findings bis Architektur-Schwächen; das Erstgespräch dazu ist kostenlos. Die vollständige Umsetzung zu einem verifizierbaren Ergebnis liefern wir für €6.000 pro Monat über 6 Monate (€36.000 gesamt). ## Quellen - [TechCrunch: 25% of YC W25 Startups Have 95%+ AI-Generated Codebases](https://techcrunch.com/2025/03/06/a-quarter-of-startups-in-ycs-current-cohort-have-codebases-that-are-almost-entirely-ai-generated/) - [Garry Tan: The Age of Vibe Coding Is Here (2025)](https://x.com/garrytan/status/1897303270311489931) - [Gartner: 40%+ Agentic AI Projects Canceled by 2027](https://www.gartner.com/en/newsroom/press-releases/2025-06-25-gartner-predicts-over-40-percent-of-agentic-ai-projects-will-be-canceled-by-end-of-2027) - [Veracode: GenAI Code Security Report 2025](https://www.veracode.com/blog/genai-code-security-report/) - [OECD.AI: AI Coding Assistants Drive Surge in Secret Leaks on GitHub](https://oecd.ai/en/incidents/2026-03-17-2273) - [Escape.tech: 2.000+ Schwachstellen und 400+ Secrets in 5.600 Vibe-Coded-Apps](https://escape.tech/blog/methodology-how-we-discovered-vulnerabilities-apps-built-with-vibe-coding/) - [GitGuardian: GitHub Copilot und das Risiko geleakter Secrets](https://blog.gitguardian.com/yes-github-copilot-can-leak-secrets/) - [The Hacker News: AI Code Expands Attack Surface (2026)](https://thehackernews.com/expert-insights/2026/03/the-real-problem-isnt-that-ai-cant.html) - [Sphere: Technische Due Diligence kann die Bewertung um bis zu 20% senken](https://www.sphereinc.com/blogs/technical-due-diligence-checklist-startup/) - [Cleveroad: Technical Due Diligence Key Elements 2025](https://www.cleveroad.com/blog/technical-due-diligence/) - [DextraLabs: Software M\&A Technical Due Diligence 2026](https://dextralabs.com/blog/software-ma-technical-due-diligence/) - [LeadDev: How AI Generated Code Accelerates Technical Debt](https://leaddev.com/technical-direction/how-ai-generated-code-accelerates-technical-debt) - [HackerNoon: The Vibe Coding Hangover](https://hackernoon.com/the-vibe-coding-hangover-what-happens-when-ai-writes-95percent-of-your-code)