Bei Unternehmensakquisitionen werfen Investoren traditionell einen Blick auf Bilanzen, Verträge und betriebliche Kennzahlen. In den letzten Jahren hat sich jedoch ein zusätzlicher Prüfinhalt herausgebildet, der bei mittelständischen Transaktionen zunehmend über die endgültige Bewertung entscheidet: die Cyber Due Diligence. Dies liegt an der Kostenstruktur, die durch Sicherheitsvorfälle entsteht. Laut dem IBM-Bericht „Cost of a Data Breach 2024“ belaufen sich die durchschnittlichen Kosten eines Datenlecks auf 4,88 Millionen US-Dollar, was einem Anstieg von zehn Prozent im Vergleich zum Vorjahr entspricht.
Was bei einer Cyber Due Diligence untersucht wird
Die Cyber Due Diligence unterscheidet sich von einer klassischen IT-Prüfung durch ihren spezifischen Fokus auf Transaktionen. Hierbei wird nicht nur der Reifegrad der bestehenden Sicherheitsstrukturen bewertet, sondern auch potenzielle versteckte Risiken identifiziert, die den Unternehmenswert nach dem Abschluss der Transaktion beeinträchtigen könnten. Zu den Standardbestandteilen zählen dabei die Analyse historischer Sicherheitsvorfälle, die Prüfung der eingesetzten Software auf bekannte Schwachstellen, die Bewertung von Zugriffsrechten sowie die Einschätzung der Compliance mit DSGVO, NIS2 oder branchenspezifischen Vorgaben.
Der ernsthafte Teil der technischen Prüfung erfolgt durch externe Spezialisten. Häufig beauftragen Käufer hier eine Pentesting Unternehmensgruppe, die kontrollierte Angriffe auf die Zielinfrastruktur fährt und dokumentiert, welche Schwachstellen ein echter Angreifer ausnutzen könnte. Die Ergebnisse fließen dann in Kaufpreisverhandlungen ein, dienen als Grundlage für Garantien im SPA oder führen zur Aufnahme spezifischer Freistellungsklauseln.
Wie wirken sich Sicherheitsbefunde auf den Kaufpreis aus?
Die Auswirkungen konkreter Befunde lassen sich in mehreren Kategorien erfassen. Nicht offengelegte Vorfälle können den Preis erheblich drücken oder die Transaktion scheitern lassen. Der bekannteste Fall ist vermutlich die 2017 vollzogene Übernahme von Yahoo durch Verizon, wo der Preis um 350 Millionen US-Dollar gesenkt wurde, nachdem bekannt wurde, dass es zwei Datenlecks gegeben hatte. Wer sich überrumpeln lassen hat, wird vielleicht nicht ganz so leicht wieder einen Käufer finden. Veraltete Systeme, fehlende Segmentierung und nicht dokumentierte Zugriffsrechte werden ebenfalls als Wertminderer eingepreist, da sie nach dem Closing Investitionen verlangen.
Die Qualitätskontrolle erfolgt in der Regel über anerkannte Standards. Die ISO/IEC 27001, der BSI IT-Grundschutz und das NIST Cybersecurity Framework sind solche Bewertungsraster. Der Käufer wird das Zielunternehmen anhand der sie betreffenden Rahmenwerke bewerten und daraus sich ergebenden Handlungsbedarf ableiten. Eine aktuelle Studie von PwC zeichnet 2023 ein Bild des Grauens, wonach 53 Prozent der befragten M&A-Verantwortlichen bereits einmal Transaktionen wegen mangelnder Cybersicherheit entweder abgebrochen oder neu verhandelt haben.
Integration in den Beratungsprozess
Für Berater, die Verkäufer auf eine Transaktion vorbereiten, bedeutet es, dass klare Aufgaben in der Vorbereitungsphase zu lösen sind. Sicherheitsdefizite müssen vor Verkaufsbeginn abgestellt sein, nicht während der Verhandlung. Ein Vendor Due Diligence Bericht der auch über die IT-Sicherheit ein Bild gibt, versetzt den Verkäufer in eine bessere Verhandlungsposition und mindert das Risiko einer Nachforderung. Das konkret zu erzielende Ergebnis führt zu einer ganzen Reihe von vorab zu erledigenden Arbeitsschritten. Ein erster Schwachstellenscan gibt ein erstes Bild. Ein manuell durchgeführter Penetrationstest zeigt auch tiefergehende Schwachstellen, die automatisierte Werkzeuge nicht erfassen. Eine Dokumentation vergangener Vorfälle zeigt die Reaktionsfähigkeit des Unternehmens und erhöht die Transparenz gegenüber Kaufinteressenten. Die Einhaltung branchenspezifischer Standards, etwa TISAX bei Zulieferern der Automobilindustrie oder BAIT bei Finanzdienstleistern, wird geprüft.
Handlungsansätze für den Mittelstand
Wer für sein mittelständisches Unternehmen vor einem Verkauf, einer Nachfolge oder dem Einstieg eines Investors in den kommenden drei bis fünf Jahren ein Thema sucht, sollte sich frühzeitig auf den Weg begeben. Nicht viel weniger als zwölf bis achtzehn Monate ist ein realistischer Zeithorizont für den Prüfungsstand einer Sicherheitsstruktur, abhängig vom Ausgangsniveau. Wer diese Vorlaufzeit nutzt, wird nicht die übliche Situation haben, dass technische Befunde kurz vor dem Signing zu Preisabschlägen oder Verzögerungen führen. Die Investition in eine strukturierte Sicherheitsarchitektur rentiert sich also nicht nur im operativen Betrieb, sondern auch unmittelbar im Ergebnis einer Transaktion.