Distressed Readiness — ISMS- und Compliance-Stabilität in Insolvenz und Sanierung.

Was ist Distressed Readiness?

Distressed Readiness ist eine Variante der Governance-Due-Diligence für Unternehmen in Sondersituationen — in Insolvenz, Restrukturierung nach StaRUG oder vorinsolvenzlicher Krise. Sie unterscheidet sich von einer klassischen Due-Diligence in vier Dimensionen: Zeitdruck, knapper Untersuchungsumfang, Fokus auf Fortführungsfähigkeit und enge Abstimmung mit dem Insolvenzverwalter oder Sanierungsberater.

Was bewertet wird: die Reife des Informationssicherheits-Managementsystems (ISMS), der Status regulatorischer Pflichten (NIS-2, KRITIS, DSGVO), die Stabilität der IT-Strukturen und die Belastbarkeit der Compliance-Dokumentation. Aus diesen Bausteinen entsteht ein Bild der Verkaufs- und Fortführungs-Fähigkeit aus Compliance-Sicht.

Der Umfang wird mandatsspezifisch festgelegt: Wir liefern einen strukturierten Kurzbericht für Verwalter, Gläubigerausschuss oder Investor. Die konkrete Untersuchungstiefe stimmen wir im Scoping-Gespräch ab, das Honorar kalkulieren wir aufwandsbasiert auf dieser Grundlage.

Typische Auslöser: Fortführung, Investorenprozess, Sanierung

Drei Situationen erzeugen den klassischen Mandatsbedarf:

1. Fortführungsverfahren in der Insolvenz. Der Insolvenzverwalter entscheidet, den Betrieb operativ weiterzuführen — entweder zum Zweck einer späteren Sanierung oder eines geordneten Verkaufs. Während der Fortführung muss die IT funktionieren, müssen Kunden-Verträge erfüllbar bleiben, müssen regulatorische Pflichten weiter eingehalten werden. Ein NIS-2-Betreiber bleibt auch in Insolvenz NIS-2-Pflichtig, ein Krankenhaus bleibt KRITIS-pflichtig. Der Verwalter braucht hier schnell Klarheit: Was ist intakt, was wackelt, was muss gestützt werden?
2. Investorenprozess mit Datenraum. Wenn aus der Insolvenz heraus verkauft werden soll, sucht der Verwalter Bieter, stellt einen Datenraum bereit und führt einen strukturierten M&A-Prozess durch — oft unter erheblichem Zeitdruck. In diesem Datenraum sind ISMS- und Compliance-Dokumente regelmäßig die Bereiche mit den meisten Lücken. Eine vorbereitete Bestandsaufnahme erhöht die Datenraum-Qualität und verhindert spätere Wertabschläge.
3. Übertragende Sanierung oder Asset Deal. Der häufigste Verkaufsweg aus der Insolvenz: Der Geschäftsbetrieb wird auf eine Auffanggesellschaft übertragen, die alte Insolvenzgesellschaft wird abgewickelt. ISMS-Bestandteile (Zertifikate, Verträge mit Dienstleistern, Auftragsverarbeitungs-Vereinbarungen) gehen dabei nicht automatisch mit über — das ist ein häufiger blinder Fleck.

Auch außerhalb der eigentlichen Insolvenz gibt es Anlässe: vorinsolvenzliche Restrukturierungen nach StaRUG, IDW-S6-Sanierungsgutachten mit Compliance-Fragen, Eigenverwaltungen mit operativ verbleibendem Management. Die Logik ist immer ähnlich — schnelle Bewertung unter Zeitdruck, mit klar kommunizierten Annahmen und Grenzen.

Asset Deal oder Share Deal — warum es einen Unterschied macht

In der Insolvenzpraxis dominieren Asset Deals: Der Käufer erwirbt nicht die juristische Hülle des insolventen Unternehmens, sondern einzelne Vermögensgegenstände — Maschinen, Marken, Mitarbeiter, Verträge, ausgewählte IT-Systeme. Die GmbH bleibt zurück und wird abgewickelt.

Für die ISMS-Sicht hat das erhebliche Konsequenzen:

• Zertifikate (ISO 27001, TISAX) sind in der Regel an die Rechtsperson gebunden und gehen nicht mit über
• Verträge mit IT-Dienstleistern und Auftragsverarbeitern müssen neu geschlossen werden
• Datenschutz-Vereinbarungen mit Kunden sind nicht automatisch übertragbar
• Mitarbeiter wechseln rechtlich nach §613a BGB, das Sicherheits-Wissen geht aber nur dann mit über, wenn die richtigen Personen wechseln
• Lizenzen für Sicherheits-Software können erlöschen oder kostenpflichtig migriert werden müssen

Im Share Deal ist die Lage anders: Die Gesellschaft bleibt rechtlich identisch, nur der Eigentümer wechselt. Zertifikate, Verträge und Lizenzen laufen weiter. Share Deals sind aus der Insolvenz heraus seltener, aber bei StaRUG-Verfahren und vorinsolvenzlichen Restrukturierungen häufig. Eine Distressed Readiness muss diese Unterscheidung früh aufgreifen, weil sie den gesamten Untersuchungsumfang beeinflusst.

Was geprüft wird — der typische Untersuchungsumfang

Eine Distressed Readiness deckt typischerweise sechs Themenblöcke ab:

1. ISMS-Reifegrad. Existiert ein dokumentiertes Managementsystem? Welche Norm-Orientierung (ISO 27001, BSI IT-Grundschutz)? Wie aktuell ist die Dokumentation? Wer ist Informationssicherheitsbeauftragter?
2. Regulatorische Betroffenheit. Ist das Unternehmen NIS-2-pflichtig? KRITIS-Betreiber? TISAX-relevant? DORA-betroffen? Welche Pflichten laufen aktuell, welche Meldungen wurden eingereicht?
3. Status laufender Zertifizierungen. Welche Zertifikate sind aktuell? Wann steht das nächste Überwachungs-Audit an? Drohen Aussetzungen wegen der wirtschaftlichen Lage?
4. IT-Verträge und Lieferanten-Risiken. Welche IT-Dienstleister sind unverzichtbar? Bestehen aktuelle Auftragsverarbeitungs-Vereinbarungen? Gibt es Kündigungsrechte bei Insolvenz, die akut werden könnten?
5. Vorfälle und offene Mängel. Gab es in den letzten 24 Monaten meldepflichtige Vorfälle? Welche Findings aus Audits sind noch offen? Welche Maßnahmenpläne laufen?
6. Datenschutz-Continuity. Sind Verarbeitungsverzeichnis, Löschkonzept und DSFA aktuell? Was passiert mit personenbezogenen Daten bei einem Asset Deal?

Der Umfang wird in der Regel an die Situation angepasst — manche Themen sind in der Sondersituation kritisch, andere unerheblich. Die Schärfung des Scopes erfolgt im ersten Gespräch mit Verwalter oder Sanierer.

Datenschutz im Insolvenzverfahren

Mit Eröffnung des Insolvenzverfahrens wird der Insolvenzverwalter datenschutzrechtlich zum Verantwortlichen nach Art. 4 Nr. 7 DSGVO. Diese Rolle bringt eigene Pflichten mit, die der Verwalter neben dem reinen Insolvenzrecht erfüllen muss:

• Betroffenenrechte (Auskunft, Löschung, Datenübertragbarkeit) müssen weiterhin bedient werden
• Verarbeitungsverzeichnis und Löschkonzept müssen ggf. aktualisiert werden
• Auftragsverarbeitungs-Vereinbarungen sind ggf. neu zu schließen
• Bei einem Asset Deal stellt sich die Frage der Rechtsgrundlage für die Übertragung personenbezogener Daten an den Erwerber

In der Praxis ist dieser Themen-Block oft unterschätzt. Verwalter konzentrieren sich verständlicherweise zunächst auf Massesicherung, Gläubigerinteressen und Investorenprozess — die laufenden DSGVO-Pflichten werden dabei manchmal Nebensache, obwohl Verstöße Bußgeld-fähig bleiben. Eine Distressed Readiness adressiert diesen Bereich explizit und mit klaren Handlungsempfehlungen.

Liefergegenstände und Berichts-Format

Eine Distressed Readiness liefert in der Regel drei Dokumente:

1. Strukturierter Kurzbericht (15–25 Seiten). Executive Summary in Verwalter-Sprache, Top-Findings tabellarisch, Bewertung der Fortführungsfähigkeit aus Compliance-Sicht, Empfehlungen für den Investorenprozess.
2. Findings-Liste mit Priorisierung. Jede Lücke mit Bewertung der Dringlichkeit (akut, kurzfristig, im Investorenprozess), Auswirkung (operativ, regulatorisch, Verkaufswert) und Aufwandsschätzung für die Behebung.
3. Datenraum-Checkliste. Welche Compliance-Dokumente sollten im Investoren-Datenraum bereitgestellt werden — und in welcher Qualität. Diese Liste ist häufig der pragmatisch wertvollste Teil des Mandats.

Der Bericht ist explizit kein ISO-Audit-Report — er ist in der Sprache des Insolvenzverfahrens geschrieben, mit Bezügen zu Fortführungsentscheidung, Investorenprozess und Verkaufsprozess. Die Methodik ist ISO/BSI-orientiert, die Übersetzung erfolgt in die Sondersituations-Logik.