Jedes wichtige Betriebssystem hat unentdeckte kritische Schwachstellen
Das ist keine theoretische Hypothese. Es ist das Ergebnis eines Forschungsprojekts, das Anthropic in den letzten Wochen durchgeführt hat.
Claude Mythos — das Frontier-Modell von Anthropic — hat eine Schwachstelle im Linux-Kernel gefunden, die es einem normalen Benutzer ermöglicht, die vollständige Kontrolle über das System zu übernehmen. Eine Lücke in FreeBSD, klassifiziert als Remote Code Execution. Ein Bug in OpenBSD, der seit 27 Jahren vorhanden ist. Ein Bug in FFmpeg, der fünf Millionen automatisierte Tests über 16 Jahre überlebt hat.
Zum Zeitpunkt der Veröffentlichung des Berichts waren über 99 % der gefundenen Schwachstellen noch offen.
Der Punkt ist nicht die Technologie. Der Punkt ist die Prämisse, auf der fast die gesamte Tech Due Diligence in Private Equity basiert: dass die Software, die von Portfolio-Unternehmen verwendet wird, hinreichend sicher ist, wenn sie weit verbreitet, aktuell und frei von bekannten CVE ist. Diese Prämisse ist fragil.
Was das für Investoren in technology-dependent Unternehmen bedeutet
Fast jedes Unternehmen im Jahr 2026 ist technology-dependent, auch wenn es kein Tech-Unternehmen ist. ERP, CRM, Produktionssystem, Cloud-Infrastruktur, E-Commerce-Website — wenn eines davon ausfällt oder kompromittiert wird, leidet das EBITDA darunter.
Die traditionelle Tech Due Diligence sucht nach drei Dingen: dass die Systeme funktionieren, dass sie skalierbar sind und dass sie keine offensichtlichen technischen Schulden haben. Das ist eine korrekte, aber unvollständige Bewertung. Sie misst nicht die Exposition gegenüber unbekannten Risiken — genau die Kategorie, die Project Glasswing als signifikant selbst in den ausgereiftesten und am meisten überprüften Softwaresystemen der Welt erwiesen hat.
Für einen PE-Fonds übersetzt sich das in eine konkrete Frage: Wenn wir in ein Unternehmen mit einer intern entwickelten proprietären Codebase aus den letzten zehn Jahren investieren, wie hoch ist die Wahrscheinlichkeit, dass diese unentdeckte kritische Schwachstellen enthält? Die ehrliche Antwort, angesichts der Anthropic-Daten, ist: sehr hoch.
Wie sich die Tech Due Diligence verändert
Das Problem mit der aktuellen Tech Due Diligence ist nicht die Kompetenz der Durchführenden — es ist der Maßstab. Ein Team von 3 bis 4 Personen in 4 Wochen kann Architektur, Codequalität und Dokumentation analysieren. Es kann keine systematische Vulnerability Research an 500.000 Zeilen proprietärem Code durchführen.
KI verändert diese Gleichung.
Claude kann ganze Codebases nach bekannten Schwachstellenkategorien durchsuchen: unsanitisierte Eingabeverarbeitung, Verwendung von Bibliotheken mit offenen CVE, riskante Authentifizierungskonfigurationen. Das ist kein Ersatz für einen vollständigen Penetration Test, aber es ist um eine Größenordnung skalierbarer.
Das praktische Ergebnis ist, dass es heute während einer Due Diligence möglich ist, eine Karte des technologischen Risikos zu erhalten, die nicht nur die sichtbaren technischen Schulden umfasst, sondern auch Sicherheitsrisikokategorien, die traditionell aus Zeitmangel ignoriert wurden.
Für Teams, die bereits Claude für die dokumentarische Due Diligence einsetzen, ist das Hinzufügen einer Sicherheitsanalysedimension eine natürliche Erweiterung des bestehenden Workflows.
Bewerten Sie das Tech-Risiko in Ihren Portfolio-Unternehmen neu?
30 Minuten für Ihren spezifischen Fall.
KI zur Beschleunigung der DD und des Portfolio-Monitorings
Die KI-gestützte Tech Due Diligence erschöpft sich nicht in der Pre-Closing-Phase. Der Wert erstreckt sich über den gesamten Investitionslebenszyklus.
Während der Due Diligence kann Claude die proprietäre Codebase des Zielunternehmens analysieren, Abhängigkeiten von Drittanbieter-Bibliotheken kartieren und die Reife der Sicherheitspraktiken des Entwicklungsteams bewerten.
Post-Closing kann das Monitoring des technologischen Risikos teilweise automatisiert werden. Claude kann regelmäßig Sicherheitslogs analysieren, das Auftreten neuer CVE überwachen, die die verwendeten Bibliotheken betreffen, und Statusberichte für das Management-Team erstellen.
Die Integration mit bestehenden Systemen — über MCP — ermöglicht es Claude, strukturiert auf die Daten der Portfolio-Unternehmen zuzugreifen, ohne manuelle Informationsübertragungen zu erfordern.
Das oft unterschätzte Reputations- und Betriebsrisiko
Ein Sicherheitsvorfall in einem Portfolio-Unternehmen ist nicht nur ein operatives Problem. Er hat weitreichendere Implikationen.
Auf der regulatorischen Seite legt NIS2 — in Europa in Kraft getreten — Unternehmen in kritischen Sektoren erhebliche Pflichten auf. Ein nicht konformes Portfolio-Unternehmen setzt den Fonds Risiken aus, die bei einer Standardmäßigen Due Diligence nicht immer zutage treten.
Auf der Exit-Seite wird ein Käufer, der eine Due Diligence nach einem Vorfall durchführt, das Problem finden und es als Verhandlungshebel beim Preis nutzen. Das Problem vor dem Exit zu lösen — auch teilweise — verbessert die Qualität des Prozesses.
Die Überlegungen zur KI Due Diligence im PE gelten auch hier: KI eliminiert das Risiko nicht, senkt aber die Kosten, es zu identifizieren, bevor es zu einem Problem wird.
Wie Maverick AI mit Private Equity Fonds zusammenarbeitet
Maverick AI ist der führende Implementation-Partner in Italien für das Anthropic-Ökosystem. Wir arbeiten mit PE-Fonds auf zwei Hauptfeldern.
Bei der Tech Due Diligence unterstützen wir Deal-Teams beim Aufbau von Claude-Workflows zur Analyse der Ziel-Codebases, zur Identifizierung riskanter Abhängigkeiten und zur Erstellung von Security-Risk-Berichten, die in Standard-Investitionsmemoranden integriert werden können.
Beim Portfolio-Monitoring helfen wir beim Aufbau von Systemen zur Überwachung des technologischen Risikos in Portfolio-Unternehmen, die sich in bestehende Reporting-Prozesse integrieren.
Wir haben aktive Kunden im M&A-Beratungsbereich und eine Pipeline im PE. Wenn Sie das Tech-Risiko in Ihren Portfolio-Unternehmen neu bewerten oder verstehen möchten, wie Sie Claude in die Due Diligence integrieren können, kontaktieren Sie uns.