Wenn Unternehmen andere Unternehmen übernehmen, stehen nicht nur die Finanzkennzahlen auf dem Prüfstand. Auch der Stand der IT-Sicherheit spielt bei einem sogenannten M&A-Deal eine immer wichtigere Rolle. Worauf hier besonders zu achten ist und welche Folgen eventuelle Mängel haben können, beleuchten wir in diesem Ratgeber.
Wie gehören M&A und IT-Sicherheit zusammen?
Mergers & Acquisitions (M&A) sind strategische Prozesse, bei denen zwei Unternehmen fusionieren oder ein Unternehmen ein anderes kauft. Diese Transaktionen sind häufig darauf ausgerichtet, Marktanteile zu erhöhen, neue Technologien zu erwerben oder geografisch zu expandieren.
In einer zunehmend digitalisierten Welt spielt die IT-Sicherheit eine immer wichtigere Rolle – auch bei M&A-Deals! Unternehmen benötigen resiliente IT-Infrastrukturen, um Geschäftsdaten, Kundendaten und vertrauliche Informationen zu schützen. Erfolgreiche Cyber-Angriffe gefährden den Erfolg einer Firma und damit Mergers & Acquisition-Transaktionen.
_______
“Ein Unternehmen, das heute aus betriebswirtschaftlicher Sicht sehr gute Zahlen hat und daher ein interessantes Kaufobjekt ist, kann morgen aufgrund eines Cyber-Angriffs nicht mehr viel wert sein. Darüber hinaus entstehen möglicherweise weitere Risiken für den Käufer. Daher gehört eine fachlich fundierte Bewertung der technischen und organisatorischen IT-Sicherheitsmaßnahmen zu jedem M&A-Deal”.
– Florian Bröder, Geschäftsführer der FB Pro –
_______
Weshalb IT-Security über den Deal-Erfolg entscheiden kann
Vor einem Unternehmenskauf wird immer eine Due Diligence – eine Unternehmensprüfung – durchgeführt. Hierbei stehen meistens Aspekte wie Umsätze, Erträge, Verträge, Kunden, Mitarbeiter und Marktposition im Mittelpunkt.
In der Regel gibt es auch eine Technical Due Diligence und eine spezielle Cyber Security Due Diligence. Denn ein Faktor, der gerne übersehen wird, kann den Wert einer Transaktion erheblich beeinflussen: der tatsächliche Zustand der IT-Sicherheit.
Denn mit einer Firma erwerben Käufer nicht nur dessen Produkte, Know-how und Kundenbeziehungen. Sie übernehmen wirtschaftlich häufig auch dessen technische Altlasten und Cyber-Risiken. Dazu können ungepatchte Systeme, unsichere Konfigurationen, kompromittierte Benutzerkonten, schlecht geschützte Daten, riskante Dienstleister oder sogar ein bislang unentdeckter Hacker-Angriff gehören.
Deshalb sollte bei einem M&A-Deal nicht nur die Frage gestellt werden: „Was kaufen wir?“, sondern auch „Welche Cyber-Risiken kaufen wir möglicherweise mit ein?“
IT-Sicherheitsprobleme in einem M&A-Prozess: Was können die Folgen sein?
Werden bei einem IT-Audit mangelhafte Sicherheitsmaßnahmen, Datenlecks oder Compliance-Verstöße gefunden, hat das unter anderem diese Folgen:
🛑 Vor dem M&A-Deal
Wenn IT-Sicherheitsprobleme während der Due-Diligence-Phase aufkommen, führt das unter Umständen zu Nachverhandlungen, Preisnachlässen oder sogar zum Abbruch des Deals. Der oder die Käufer könnten also den Kaufpreis senken oder zusätzliche Garantien und Verpflichtungen fordern, um die Risiken zu minimieren.
🛑 Während des M&A-Deals
IT-Systeme, die Sicherheitslücken und Schwachstellen aufweisen, erschweren die Integration in andere Systemlandschaften. Verzögerungen und hohe Kosten sind die Folge. Außerdem kann es zu – möglichweise sehr kostspieligen – Sicherheitsvorfällen kommen.
🛑 Nach dem M&A-Deal
Unentdeckte Sicherheitsprobleme können langfristige Schäden verursachen. Dies umfasst finanzielle Verluste durch Sicherheitsvorfälle, rechtliche Konsequenzen aufgrund von Compliance-Verstößen und Reputationsverluste, die das Vertrauen von Kunden, Partnern und Investoren beeinträchtigen.
Beispiel: So beeinflusst eine negative Cyber Security Due Diligence den Kaufpreis
Der Fachbeitrag „Buying the Business…or a Breach?“ zeigt zum Beispiel ganz konkret, wie der zweifelhafte Zustand der IT-Security finanzielle Auswirkungen auf einen M&A-Deal haben kann. Er beleuchtet unter anderem den Deal zwischen Verizon und Yahoo.
Nachdem bei Yahoo schwerwiegende Datenlecks bekannt wurden, hat Verizon den Kaufpreis um 350 Millionen US-Dollar reduziert. Zudem blieben bestimmte Aktionärsklagen und Verfahren der US-Börsenaufsicht vollständig bei Yahoo.
“Ultimately, the question for buyers is no longer whether to evaluate cyber risk, but how thoroughly they evaluate it. When you acquire a business, you may also be acquiring years of unseen vulnerabilities.”
– Chetrice Romero, Senior Cyber Security Advisor bei Ice Miller –
Wie lassen sich IT-Sicherheitsprobleme beseitigen?
Wie so oft ist proaktives Handeln besser als ein verzögertes Reagieren. Deshalb sollten Sie in allen Phasen eines M&A-Prozesses, der sich über viele Monate oder gar Jahre hinziehen kann, Ihre “Datenschätze” bestmöglich und gemäß den aktuellen Regularien schützen.
Orientieren Sie sich zum Beispiel an den Vorgaben von NIS2, BSI-Grundschutz und der ISO 27001. Zudem haben Sie Branchenstandards wie DORA oder TISAX einzuhalten – falls diese für Ihr Unternehmen gültig sind!
Desweiteren empfiehlt sich ein stufenweises Vorgehen. Dieses beinhaltet unter anderem diese Maßnahmen:
Vor dem M&A-Deal
✅ Systeme zur Angriffserkennung (SzA) sind keine generelle Pflicht, aber sehr empfehlenswert. Und ein regelmäßiges IT-Sicherheitsaudit hilft zusätzlich, Schwachstellen in der IT-Infrastruktur zu identifizieren und zu beheben.
✅ Arbeiten Sie mit IT-Security-Experten zusammen, um potenzielle Risiken zu erkennen und effektive Sicherheitsmaßnahmen zu implementieren.
✅ Sichern Sie Ihre Systeme präventiv ab, zum Beispiel mit einer Systemhärtung. Sorgen Sie zudem für eine professionelle Angriffserkennung.
_____
Ein einfacher Praxis-Tipp
Sie möchten wissen, wie gut ein IT-System „gehärtet” ist? Mit unserem kostenfreien AuditTAP können Sie schnell transparente Berichte automatisiert erzeugen, um den Status der angewendeten Systemkonfiguration zu messen.
Im Rahmen eines M&A-Deals sollten Sie daher von verschiedenen Referenzsystemen einen AuditTAP-Bericht anfordern und auswerten. Alles unter 40% Compliance zu standardisierten Frameworks sollte näher beleuchtet werden!
_____
Während des M&A-Deals
✅ Implementieren Sie spätestens jetzt Systeme zur kontinuierlichen Überwachung der IT-Sicherheitslage, um Bedrohungen frühzeitig zu erkennen und darauf zu reagieren.
✅ Optimieren Sie fortwährend Ihre Maßnahmen zur Verbesserung der Informationssicherheit. Spielen Sie zum Beispiel so schnell wie möglich Updates ein und setzen Sie die Anforderungen von neuen Regularien um.
✅ Planen Sie ein ordentliches IT-Budget für die Zeit nach dem M&A-Deal ein. Denn auch nach der Übernahme oder Fusion müssen weiterhin Informationssicherheit, Datenschutz und Compliance erfüllt werden.
Nach dem M&A-Deal
✅ Führen Sie regelmäßig Sicherheitsüberprüfungen durch, um sicherzustellen, dass die IT-Systeme den aktuellen Bedrohungen (zum Beispiel durch KI-Angriffe) und regulatorischen Anforderungen entsprechen.
✅ Sensibilisieren und schulen Sie alle bestehenden und neuen Mitarbeiter regelmäßig, damit diese über die aktuellen Sicherheitsbedrohungen und -Cybersecurity-Praktiken informiert sind.
✅ Bleiben Sie weiterhin mit Hochdruck am Thema “IT-Sicherheit” dran – und das auf allen Ebenen!
Weitere Tipps erhalten Sie im englischen Lesestück “Cybersecurity: The Hidden Pillar of M&A Due Diligence“.
Fazit
Die IT-Sicherheit ist bei M&A-Deals von großer Bedeutung und kann den Erfolg einer Transaktion entscheidend beeinflussen. Wenn Sie als Geschäftsführer Ihr Unternehmen verkaufen möchten, sollten Sie darauf achten, dass Ihre Infrastruktur robust und sicher ist.
Ein gründliches Sicherheitsaudit, die Unterstützung durch Experten und die Einführung moderner Sicherheitsprotokolle sind besonders wichtig, um mögliche Risiken zu verringern. Denn: Eine frühzeitige und regelmäßige Überprüfung der IT-Sicherheit schützt nicht nur sensible Daten, sondern stärkt auch das Vertrauen der Käufer und sorgt für einen reibungslosen Übergang.
Benötigen Sie Unterstützung bei der Systemhärtung?
Wollen Sie Ihre Systeme nachhaltig schützen? Wenden Sie sich gerne an uns, wir helfen Ihnen gerne bei der Implementierung einer automatisierten Systemhärtung gemäß etablierter Standards.
💬 Vereinbaren Sie einen Termin!
______
Hinweis: Die in diesem Blogbeitrag bereitgestellten Informationen dienen ausschließlich allgemeinen Informationszwecken und stellen keine rechtliche oder steuerliche Beratung dar. Falls Sie rechtliche oder steuerliche Beratung benötigen, wenden Sie sich bitte an eine Steuer- oder Rechtsanwaltskanzlei.
Bild: Freepik