Fusionen und Übernahmen können für Anleger eine echte Plage sein. Die gängige Meinung besagt, dass viele große Transaktionen häufig wertvernichtend und mit Risiken behaftet sind und es Jahre dauert, bis sich die Unternehmen davon erholt haben. Ein weiterer Faktor, der sowohl von Käufern als auch von Verkäufern allzu oft übersehen wird, ist jedoch das Cyberrisiko.
Ein Unternehmen kann möglicherweise zu viel für einen Konkurrenten bezahlen, und die Synergien, die im Rahmen der vor der Übernahme durchgeführten Charmeoffensive angepriesen wurden, bleiben möglicherweise aus. Diese Herausforderungen werden jedoch in den Hintergrund treten angesichts des Reputationsschadens, der Wertminderung der Transaktion und der betrieblichen Beeinträchtigungen, die das Unternehmen erleiden wird, sollte während oder nach einer Übernahme ein Cyberangriff aufgedeckt werden.
Sie müssen nur an die jüngsten spektakulären Hackerangriffe denken, um das Ausmaß der Folgen zu begreifen, die sich ergeben, wenn eine gründliche Sorgfaltspflicht im Bereich der Cybersicherheit vernachlässigt wird. Verizon senkte im Jahr 2017 den Kaufpreis für Yahoo im Rahmen der „ “ um 350 Millionen US-Dollar, nachdem das Webportal weitreichende Cyberangriffe unter seiner Aufsicht offengelegt hatte, und Marriott gab im Jahr 2018 eine schwerwiegende Datenschutzverletzung bei den Immobilien bekannt, die das Unternehmen im Zuge der Übernahme von Starwood erworben hatte.
Trotz dieser viel beachteten Fälle geben viele Käufer nur Lippenbekenntnisse ab, wenn es darum geht, ihre Übernahmeziele vor Hackern zu schützen. Nur wenige führen eine gründliche Überprüfung der Sicherheitslage eines Ziels durch, und viele vernachlässigen das Risikoprofil ihres Ziels gänzlich.
„Wenn ein Zielunternehmen sein eigenes Risikoprofil nicht gut genug versteht, um es dem übernehmenden Unternehmen zu erläutern, ist das ein Warnsignal“, sagt Jamie Lewis, Venture-Partner bei Rain Capital, einem Risikokapitalfonds, der sich auf die Bereiche Cybersicherheit, künstliche Intelligenz und Analytik spezialisiert hat.
Sobald ein Unternehmen auf eine Akquisitionsstrategie umsteigt, werden zwei entscheidende Aspekte von der Unternehmensleitung häufig übersehen. Erstens muss der potenzielle Käufer in den Jahren vor der Kontaktaufnahme mit einem Unternehmen eine gründliche Bewertung des Cybersicherheitsprofils des Zielunternehmens vorgenommen haben. Dies geht aus einem Bericht von KPMG mit dem Titel „ 2018 “ hervor, in dem Cyberrisiken bei M&A-Transaktionen untersucht werden. Diese Bewertung sollte Aufschluss darüber geben, inwieweit das Zielunternehmen sein eigenes Risikoprofil versteht, welche Erfolge es bei der Reaktion auf Vorfälle vorweisen kann und welche Maßnahmen es zur Verbesserung seiner Abwehrmaßnahmen ergriffen hat.
„“Wenn ein Zielunternehmen sein eigenes Risikoprofil nicht gut genug versteht, um es dem übernehmenden Unternehmen zu erläutern, ist dies ein Warnsignal.“Jamie Lewis, Venture-Partner bei Rain Capital
Ein zweiter wichtiger Indikator, der von Übernehmern häufig außer Acht gelassen wird, ist die Sicherheitslage des Übernahmekandidaten. Eine sinnvolle und wirksame Strategie besteht darin, dass das Ziel davon ausgeht, dass ein Angriff unmittelbar bevorsteht, und sich mit wirksamen Netzwerküberwachungstools sowie soliden Abwehrmaßnahmen für seine wertvollsten Ressourcen wappnet.
„Fragen der Cybersicherheit haben für die amerikanische Unternehmenswelt höchste Priorität“, insbesondere während einer Transaktion, und können laut KPMG in ihrem Bericht zum Scheitern eines Geschäfts oder zu erheblichen Preisnachlässen für den Verkäufer führen.
Daher ist es für einen Käufer ebenso wichtig, neben der Gewinn- und Verlustrechnung, den Bilanzen und dem Lagerbestand eines Unternehmens sowie dessen Governance- und Rechnungslegungsverfahren auch die Infrastruktur des Zielunternehmens in den folgenden Bereichen zu überprüfen: (Patching),, (Endpunkt-Transparenz), sowie (Netzwerksicherheit) und (Überwachung). Sollten diese nicht den Anforderungen entsprechen, könnte ein Hackerangriff oder eine Sicherheitslücke eine Frage von „ “ sein – wobei es nicht um das „ “, sondern um das „“ geht.
Allzu oft versäumen es Käufer, sich mit der Geschäftsleitung eines Zielunternehmens zusammenzusetzen und diese zu fragen, wie ernst sie das Thema Sicherheit nehmen und wie sie das Cyberrisiko für ihr Unternehmen einschätzen. Sich vor einer Übernahme die Zeit zu nehmen, um Schwachstellen in der Cybersicherheit zu prüfen, ist nicht nur im Hinblick auf die Sicherheit der fusionierten Unternehmen sinnvoll, sondern stellt auch eine umsichtige und vertretbare Strategie dar, die dazu beiträgt, die Integrität des Übernahmevorhabens des Erwerbers zu wahren.
Hier sind fünf wichtige Sicherheitsaspekte, die potenzielle Käufer bei ihrer Suche berücksichtigen sollten.
Risikoprofil
Eine gründliche Sicherheitsbewertung eines Zielunternehmens dient dazu, potenzielle Angreifer zu identifizieren – einschließlich ihrer Fähigkeiten, Ziele und Methoden – sowie die Auswirkungen, die ein Cyberangriff auf den Geschäftsbetrieb des Unternehmens haben kann. Neben der Prüfung der physischen und umgebungsbezogenen Sicherheit, der Geschäftsresilienz und des Betriebsmanagements sollten übernehmende Unternehmen auch die Cybersicherheitsbedrohungslage beobachten, in der das Zielunternehmen tätig ist, so Ron Bradley, Vizepräsident bei Shared Assessments, einer globalen Mitgliederorganisation, die Best Practices, Schulungsmaterialien und Tools zur Förderung der Risikosicherung bei Dritten entwickelt.
Sobald die Verhandlungen laufen und das Zielunternehmen dem Käufer Einblick in seine Bücher gewährt hat, können auf die vorläufigen Sicherheitsbewertungen detailliertere Prüfungen und Auskunftsersuchen folgen. An dieser Stelle kommen eine gute Endpunkt sowie Überprüfungen der Cyberhygiene zum Tragen: Mithilfe einfacher Endpunktstrategien lassen sich die Anwendungssicherheit, Netzwerkschwachstellen, die Häufigkeit von Patches, Schwachstellen im Zugriffsmanagement und im Datenschutz sowie die vom Zielunternehmen eingerichteten Maßnahmen zur Reaktion auf kritische Vorfälle bewerten.
Ein zentraler Aspekt, der laut Bradley untersucht werden muss, ist, wie streng ein Zielunternehmen die Berechtigungen im Bereich Identitäts- und Zugriffsmanagement handhabt und ob es diese dauerhaft oder ohne Überwachung gewährt.
Die Sicherheitslage des Zielunternehmens sollte stets im Blick behalten werden: „Wenn sich die Bewertungen des Zielunternehmens weitgehend auf Technologie und Produkte konzentrieren oder wenn die Sicherheits- und Führungskräfte nicht im Sinne von Bedrohungsprofilen denken, könnte dies ein Warnsignal sein“, sagt Lewis.
Asset-Visibilität
Wenn ein Zielunternehmen nicht weiß, wo sich die Kronjuwelen seines Unternehmens befinden, ist das eine Katastrophe, die nur darauf wartet, einzutreten. Zum Leidwesen des Erwerbers tritt dieses Problem manchmal erst im Rahmen von Untersuchungen nach Sicherheitsverletzungen zutage, wenn das Unternehmen nicht in der Lage ist, zu klären, um welche wertvollen Vermögenswerte es sich handelt und wo diese gespeichert sind. Bevor ein übernehmendes Unternehmen den Kauf abschließt, muss es sich vergewissern, dass das Zielunternehmen über ein etabliertes Risikomanagementprogramm sowie eine Reihe von Cybersicherheitsmaßnahmen und -standards verfügt, die seine wertvollsten Vermögenswerte überwachen und schützen, so Bradley.
“„Unternehmen mit soliden Cybersicherheitsmaßnahmen führen regelmäßige Überprüfungen ihrer Cybersicherheitskontrollen durch; Käufer sollten Nachweise dafür einfordern.“Ron Bradley, Vizepräsident bei Shared Assessments
Der Käufer muss zudem in der Lage sein, zu überprüfen, ob das Zielunternehmen über Bestandsverwaltungstools verfügt, die die Integrität der Datenbestände gewährleisten. Die Eigentümer der Daten im Netzwerk müssen identifiziert werden, und es ist von entscheidender Bedeutung, dass die Daten regelmäßig aktualisiert und überprüft werden. Bradley erklärt, dass Unternehmen mit soliden Cybersicherheitsmaßnahmen regelmäßige Überprüfungen ihrer Asset-Management-Programme sowie der allgemeinen Wirksamkeit ihrer Cybersicherheitsmaßnahmen durchführen werden. Käufer sollten im Rahmen des Übernahmeprozesses Nachweise für diese Überprüfungen und Abhilfemaßnahmen einfordern.
Eine weitere Herausforderung besteht darin, dass Erwerber die Bedeutung von Vermögenswerten möglicherweise anders einschätzen als das Zielunternehmen, weshalb sich die Erwartungen des Erwerbers hinsichtlich des Schutzes dieser Vermögenswerte erheblich von den Schutzmaßnahmen unterscheiden können, die das Zielunternehmen bereits getroffen hat. Beispielsweise steht der Computer eines Systemadministrators auf einer veralteten Plattform möglicherweise nicht auf der Liste der wichtigsten Unternehmensressourcen eines Ziels, doch ein erfolgreicher Angriff auf dieses Gerät könnte eine Fülle sensibler Informationen offenlegen.
[Lesen Sie auch: 5 Diagramme, die die Transparenzkrise in der IT-Branche verdeutlichen]
Ein sicherheitsbewusstes Zielunternehmen sollte den Übernehmern zudem eine Sicherheitsbewertung vorlegen können, in der potenzielle Angriffswege aufgezeigt werden, über die Angreifer Zugang zu wichtigen Vermögenswerten erlangen könnten, so Lewis. „Wenn das Zielunternehmen diese Arbeit bereits geleistet hat, ist das ein hervorragendes Zeichen. „Wenn sie nicht verstehen, warum solche Arbeit überhaupt wichtig ist, dann ist das zumindest ein Warnsignal.“
Lieferkette und Dritte
Aus sicherheitstechnischer Sicht sollten übernehmende Unternehmen die Zielunternehmen weniger als einzelne Einheiten, sondern vielmehr als ein Geflecht aus Vermögenswerten, Endgeräten, Lieferanten, Partnern und Kunden betrachten, so Bradley. Vor diesem Hintergrund sollten Käufer Zugang zu einer Liste der Drittanbieter im Unternehmensnetzwerk des Zielunternehmens sowie zu einer Bewertung der von diesen ausgehenden Risiken einholen. Der Erwerber muss zudem die vom Zielunternehmen festgestellten Schwachstellen, die sich speziell auf Lieferanten und Dritte beziehen, überprüfen und sicherstellen, dass diese Schwachstellen rechtzeitig behoben und die Behebung validiert wurde.
Sollten diese Informationen von Dritten nicht verfügbar sein, sollte der Käufer versuchen, eine eigene Bewertung der „ “-Lieferketten s durchzuführen, um zu ermitteln, welche Arten von Unternehmen regelmäßig auf die Netzwerke des Zielunternehmens zugreifen, über welche Administratorrechte sie verfügen und welche Netzwerkkonfigurationen vorhanden sind. In Zeiten von Ransomware und Angriffen auf die Lieferkette können diese Informationen entscheidend dazu beitragen, einen Sicherheitsvorfall zu verhindern.
Den Umfang abarbeiten
Da die Belegschaft mittlerweile auf Homeoffice und hybride Arbeitsmodelle umgestellt hat, besteht die größte Sicherheitsherausforderung für die meisten Unternehmen in der vergrößerten Angriffsfläche, die ihre Netzwerke aufgrund der Pandemie für Hacker bieten. Um den Überblick über die Tausenden von Remote-Geräten zu behalten, die in ihre Netzwerke eingebunden werden, müssen Unternehmen stets wachsam bleiben gegenüber neuen Angriffswegen, die Cyberkriminelle nutzen könnten, um ihre Sicherheitsgrenzen zu durchbrechen.
Übernehmer müssen prüfen, ob die Zielunternehmen in zusätzliche Ressourcen investiert haben, um weitere Remote-Benutzer in ihren Netzwerken unterbringen zu können, und ob das Zielunternehmen Zero-Trust-Verfahren eingeführt hat, so Bradley. „Zero-Trust-“, bei dem jedes Gerät, das sich anzumelden versucht, als potenzielle Bedrohung behandelt wird, ist eine einfachere Lösung als VPNs (Virtual Private Networks), die sich als schwer skalierbar erwiesen haben und anfällig für Ausfälle sind.
[Lesen Sie auch: Es ist an der Zeit, das VPN zugunsten von Zero Trust aufzugeben]
„Nicht verwaltete Geräte von Zielpersonen, wie beispielsweise PCs, Smartphones, Spielkonsolen und IoT-Geräte, können die Angriffsfläche des Ziels vergrößern“, erklärt Bradley. „Unternehmen, die nicht über einen angemessenen Endgeräteschutz und Maßnahmen zur Verhinderung von Datenverlusten verfügen, werden weiterhin in einer Aufholphase verharren.“
Sicherheitspersonal
Schließlich müssen potenzielle Käufer ein Verständnis für die gesamte Unternehmenskultur eines Zielunternehmens entwickeln, und dies erstreckt sich auch auf die IT-Netzwerk- und Sicherheitsexperten, so Bradley. Diese Informationsbeschaffung kann bereits während der Vorbereitungsphase vor der Vertragsunterzeichnung im Rahmen der Dokumentenaustausch- und Befragungsphase des Übernahmeprozesses beginnen. Sie muss eine Überprüfung der Personalpolitik und -abläufe des Zielunternehmens sowie der Fluktuationsrate der Mitarbeiter des Zielunternehmens, insbesondere der IT-Techniker, umfassen.
[Lesen Sie auch: Stärken Sie die Cybersicherheit, indem Sie Ihre Mitarbeiter befähigen]
Es ist zudem wichtig, die Fähigkeit des Unternehmens zu bewerten, Spitzenkräfte im Bereich Cybersicherheit zu gewinnen, und – was noch wichtiger ist – seine Fähigkeit, diese Fachkräfte zu halten, da dies ein klares Signal dafür ist, wie erfolgreich das Unternehmen seine Netzwerksicherheit aufrechterhält und verwaltet. Von allen Aspekten der Cybersicherheit, die bei einer Übernahme berücksichtigt werden sollten, kann das Personal für Netzwerksicherheit am häufigsten vernachlässigt werden. So robust eine Sicherheitsplattform auch sein mag – ohne die erforderlichen Fachkräfte für ihren Betrieb und ihre Wartung wird sie schnell an Leistungsfähigkeit einbüßen.
