Trotz eines weltweiten Rückgangs bei den Transaktionen – wie diese Woche von , , dem Wall Street Journalund berichtet wurde – sind Fusionen und Übernahmen (M&A) nach wie vor sehr lebendig.
Zwar haben die wirtschaftliche Unsicherheit und der Krieg in der Ukraine den Abschluss von Transaktionen tatsächlich gebremst, doch suchen Führungskräfte aus der Wirtschaft weiterhin nach Möglichkeiten, wo dies sinnvoll ist (siehe „ : JetBlue und Spirit Airlines“). Im vergangenen Jahr belief sich der Wert der weltweiten M&A-Transaktionen laut der Wirtschaftsprüfungsgesellschaft KPMG auf 5,1 Billionen US-Dollar, gegenüber lediglich 3,8 Billionen US-Dollar im Vorjahr. Trotz eines jüngsten Rückgangs der Transaktionen bleibt das Interesse der Führungskräfte an Fusionen und Übernahmen weiterhin ungebrochen.
In ihrer Eile, Unternehmen zu erwerben und zu fusionieren, lassen CEOs und ihre Vorstände jedoch häufig die Cybersicherheit bei den Verhandlungen außer Acht. In einigen Fällen hat dies den Ruf von Unternehmen und deren Marken geschädigt, zu massiven Bußgeldern durch die Aufsichtsbehörden geführt und eine Neubewertung bedeutender Angebote in Höhe von bis zu 350 Millionen Dollar ausgelöst.
Die Bewältigung eines Cybervorfalls vor, während oder nach einer Transaktion kann äußerst ablenkend sein. „Führungskräfte im IT-Bereich müssen sicherstellen, dass sie das Unternehmen dabei unterstützen können, Wachstum voranzutreiben und Umsatz zu generieren, und bei einer Fusion oder Übernahme spielen ohnehin schon genügend Variablen eine Rolle“, sagt Shay Colson, geschäftsführender Gesellschafter des auf Computerforensik und Ermittlungen spezialisierten Unternehmens Cyber Diligence.
„Es ist hilfreich, sich Cybersicherheit als den Bassisten bei einer M&A-Transaktion vorzustellen – er schafft eine solide Grundlage, arbeitet aber im Hintergrund.“
Sollten Unternehmensübernehmer das Thema Cybersicherheit nicht angemessen berücksichtigen, müssen sie damit rechnen, dass es bei den Transaktionen weiterhin zu unerwarteten Entwicklungen kommt. Um diese Fallstricke zu minimieren und Sicherheitsverantwortlichen ein Instrumentarium an die Hand zu geben, mit dem sie ihre Geschäftsleitung beraten können, hat „ “ im Rahmen des Endpoint- s Chief Information Security Officers (CISOs) und andere Fachleute zu den folgenden Best Practices befragt:
Bleiben Sie über M&A-Transaktionen auf dem Laufenden
Je früher sich der CISO in eine Transaktion einarbeitet, desto besser. Da die Verhandlungen in der Anfangsphase geheim gehalten werden müssen, sind leider in der Regel nur wenige Führungskräfte über mögliche Geschäfte informiert.
Das sollte CISOs jedoch nicht davon abhalten, den Führungskräften im Vorfeld einer möglichen Übernahme ins Ohr zu flüstern. „CISOs müssen wissen, ob ihr Unternehmen über eine Übernahmestrategie verfügt oder ob eine solche in Zukunft in Betracht gezogen werden könnte“, sagt Theresa Payton, Geschäftsführerin des Sicherheitsberatungsunternehmens Fortalice Solutions. „Wenn dies der Fall ist, kann es für Sie von großem Nutzen sein, Ihre Führungskräfte im Voraus zu informieren.“
„“ CISOs müssen wissen, ob ihr Unternehmen über eine Übernahmestrategie verfügt oder ob eine solche in Zukunft in Betracht kommt.“Theresa Payton, Geschäftsführerin, Fortalice Solutions
„Ich denke, die meisten CIOs und CISOs wissen das zwar, aber es ist immer wieder gut, daran erinnert zu werden, dass Cybersicherheit bei Fusionen und Übernahmen nicht im Mittelpunkt steht“, sagt Colson. „Sobald die Verhandlungsteams zusammengestellt sind und ihre Arbeit aufgenommen haben, ist es höchst unwahrscheinlich, dass ein Cyber-Befund das Geschäft zum Scheitern bringt.“
Colson sagt, es sei hilfreich, sich Cybersicherheit eher wie einen Bassisten vorzustellen – der eine solide Grundlage schafft, aber in der Regel im Hintergrund arbeitet, um die anderen Musiker zu unterstützen. „Das erfordert ein gewisses Maß an Bescheidenheit, führt jedoch zu durchweg besseren Ergebnissen sowohl während der Due-Diligence-Phase als auch nach Abschluss der Transaktion“, sagt er.
Nur weil sie nicht am Verhandlungstisch sitzen, bedeutet das nicht, dass die Interessen der CISOs nicht vertreten werden müssen. Sie sollten bereits vor dem Abschluss von Transaktionen Kontakt aufnehmen und den Vorstandsvorsitzenden, die Vorstandsmitglieder sowie weitere Führungskräfte über die Risiken und die Bedeutung einer soliden Cybersicherheit bei jeder Fusion oder Übernahme aufklären.
Bereiten Sie Führungskräfte mit den richtigen Fragen vor
Es bedarf nicht vieler Fragen, um sich ein Bild vom Reifegrad eines Cybersicherheitsprogramms bei einem M&A-Zielunternehmen zu machen. Führungskräfte, die in den frühen Phasen einer Transaktion involviert sind, können laut Payton von Fortalice Solutions einige strategisch gezielte Rückfragen stellen, um den Due-Diligence-Prozess im Bereich Cybersicherheit einzuleiten, ohne dass der CISO tatsächlich anwesend sein muss.
Die Fragen variieren je nach Branche. So können beispielsweise Einrichtungen des Gesundheitswesens nach Schutzmaßnahmen für sensible personenbezogene Daten fragen, während Softwareunternehmen möglicherweise die Sicherheit von Softwareentwicklungsprozessen bewerten. Führungskräfte des Unternehmens könnten versuchen, den CISO oder CIO zu ermitteln, der allein für die Cybersicherheitsmaßnahmen des Zielunternehmens verantwortlich ist.
„Wenn in einem Unternehmen von nennenswerter Größe kein Sicherheitsbeauftragter vorhanden ist oder keine wirklich sicheren Softwareentwicklungsprozesse definiert sind, sind das ernstzunehmende Warnsignale“, sagt Payton. Außerdem empfiehlt sie, sich nach dem Verfahren zur Multi-Faktor-Authentifizierung im Zusammenhang mit Geldtransfers oder dem Umgang mit sensiblen Daten zu erkundigen. „Wenn sie fragen: ‚Was ist das?‘“ „Dann haben Sie Ihre Antwort.“
Führen Sie eine sorgfältige Prüfung durch
Soweit dies vor Abschluss einer Transaktion praktikabel ist, ist es wichtig, die Sicherheitslage des Fusionspartners oder des Übernahmeziels zu verstehen. Welche Sicherheitsprogramme und -maßnahmen sind vorhanden? Welche Lücken bestehen zwischen den Sicherheitsprogrammen der an der Transaktion beteiligten Organisationen?
„Ich kann die Schwachstellen von Technologien und Prozessen innerhalb von drei Tagen oder weniger aufdecken.““Glenn Kapetansky, CSO und Leiter des Bereichs Technologiekompetenz bei Trexin Consulting
Das American Institute of CPAs legt fest, wie Unternehmen Kundendaten verwalten sollten, und hat einen freiwilligen Compliance-Standard namens SOC 2 entwickelt. Zwar verfügen einige Unternehmen möglicherweise über aktuelle SOC- 2 -Konformitätsberichte, aus denen ihr Reifegrad im Bereich Informationstechnologie und Sicherheit hervorgeht, doch in vielen Fällen sollte das Zielunternehmen zusätzlich eine Bewertung durch einen unabhängigen Dritten durchführen lassen.
Eine solche Bewertung bietet hinreichende Sicherheit dafür, dass das Unternehmen nicht fahrlässig handelt, und dient als Vorbereitung für eine eingehendere Prüfung nach der Fusion oder der Übernahme.
[Lesen Sie auch: 5 Schritte zur Bewertung der Cybersicherheit vor einer Übernahme]
Noch bevor ein Vertrag unterzeichnet wird, ist es an der Zeit, mit der Planung der darauf folgenden längerfristigen Sicherheitsmaßnahmen zu beginnen, insbesondere wenn die beteiligten Organisationen hinsichtlich ihrer Größe und Reife vergleichbar sind. Unternehmen, die mehrere Unternehmen übernehmen werden, sollten in Erwägung ziehen, Integrationsleitfäden für wichtige Sicherheitsbereiche zu erstellen, wie beispielsweise Identitätsmanagement, Authentifizierung und Autorisierung, Überwachung und Protokollierung, Datensicherung sowie Schwachstellenmanagement. Und sie sollten sicherstellen, dass die Kontrollmaßnahmen bei neu erworbenen Unternehmen konsequent angewendet werden.
Führen Sie eine Risikobewertung nach Abschluss der Transaktion durch
Sobald die Verträge unterzeichnet sind, ist es von entscheidender Bedeutung, so schnell wie möglich mit einer Begutachtung zu beginnen. Ermitteln Sie, wer für die Minderung etwaiger Risiken, die bei einer Prüfung aufgedeckt werden, sowie für die Festlegung von Meilensteinen zur Behebung dieser Probleme verantwortlich sein wird. Dazu gehören Maßnahmen, die zur Bewertung der Ausgangsrisiken beitragen würden, wie beispielsweise die Durchführung von Penetrationstests und Tests von Webanwendungen.
„“ Sie müssen wissen, was Sie schützen wollen. Ohne einen entsprechenden Bestand ist das unmöglich.”Anthony Catalano, nationaler Cyber-Leiter für den Bereich Private Equity bei RSM US
Eric Galis, CISO beim Bildungstechnologieunternehmen Cengage Group, rät Unternehmen, ihre Bewertungsmethodik und ihre Integrationspläne auf dasselbe Rahmenwerk zu stützen, das auch als Leitfaden für ihre eigene Sicherheitsstrategie dient – sei es NIST 800-53 oder die „Critical Security Controls“ des Center for Internet Security. „Dies gewährleistet Konsistenz und ermöglicht eine stärkere Einbindung in bestehende Cybersicherheitsmaßnahmen“, sagt Galis.
Ein entscheidender Aspekt, den es zu verstehen gilt, ist der Datenfluss innerhalb des übernommenen Unternehmens, sagt Glenn Kapetansky, CSO und Leiter des Bereichs Technologiekompetenz bei der Unternehmensberatung Trexin Consulting. Er rät den CISOs, sich mit den Direktoren oder anderen Führungskräften, die für den IT-Bereich verantwortlich sind, zu treffen und sie zu bitten, den Datenfluss vom Test bis zur Produktion nachzuvollziehen. Risiken seien in den Daten, dem Datenzugriff und dem Umgang mit Daten verborgen und könnten die Unternehmensbewertung erheblich beeinflussen, sagt er. Die Minderung dieses Risikos sollte während des gesamten Fusions- oder Übernahmeprozesses sowie auch danach weiterhin hohe Priorität haben.
„Ich erkundige mich nach den Anwendungen, die mit den Daten in Zusammenhang stehen – sei es bei Anwendungstests, bei Abnahmetests, im Produktivbetrieb sowie in Bezug auf die Systeme und die Infrastruktur“, sagt Kapetansky. „Abschließend möchte ich nach den Prozessen und Rollen in ihren Softwareentwicklungszyklen fragen. „In der Regel entdecke ich innerhalb von höchstens drei Tagen die Schwachstellen von Technologie und Prozessen.“
Darüber hinaus ist es von entscheidender Bedeutung, eine umfassende Bestandsaufnahme der Anwendungen und anderer vernetzter Ressourcen durchzuführen, die nach Abschluss der Fusion oder Übernahme und zu Beginn der Konsolidierung der einzelnen Technologie-Stacks bewertet werden müssen. „Man muss wissen, was man schützen will, und das ist ohne eine angemessene Bestandsaufnahme unmöglich“, sagt Anthony Catalano, nationaler Cyber-Verantwortlicher für den Bereich Private Equity bei RSM US, einer Wirtschaftsprüfungs-, Steuer- und Beratungsgesellschaft.
Die Sicherheitsteams der beiden Unternehmen zusammenführen
Schließlich wird die erfolgreiche Zusammenführung der Sicherheitsteams der einzelnen Organisationen die Grundlage für langfristigen Erfolg schaffen. Zwar ist es zweifellos wichtig, das Sicherheitsprofil eines Fusions- oder Übernahmeziels zu verstehen, doch ist es für Führungskräfte ebenso notwendig zu wissen, wie sie die neu gegründete Organisation künftig schützen werden.
„Führen Sie eine Risikoanalyse durch und prüfen Sie die Vertreter beider Abteilungen, um deren Stärken und Schwächen zu ermitteln“, sagt Wojciech Syrkiewicz-Trepiak, Sicherheitsingenieur beim Infrastruktur-Code-Anbieter Spacelift. „Bringen Sie sie in einen Raum und lassen Sie sie miteinander sprechen. „Wenn Sie auf beiden Seiten talentierte Teammitglieder haben, lassen Sie diese ihre Arbeit verrichten, indem Sie die Ziele festlegen.“
Bewerten Sie das nächste Geschäft und das darauffolgende
Letztendlich müssen Unternehmen den Blick auf die Zukunft und das nächste Geschäft richten. CISOs sollten nicht nur sicherstellen, dass sie frühzeitig in künftige Fusionen und Übernahmen einbezogen werden, sondern auch nach Möglichkeiten suchen, die Fusion oder Übernahme als Gelegenheit zu nutzen, um Maßnahmen zur Aufstockung ihres Sicherheitsbudgets zu begründen.
„Häufig fallen einmalige Fusionskosten an, die Ihr Unternehmen als Aufwand verbuchen darf“, sagt Payton. „Dies ist eine hervorragende Gelegenheit, Bereiche zu identifizieren, in denen ein stichhaltiger steuerlicher Grund vorliegt, der im Zusammenhang mit der Fusion steht und den Einsatz zusätzlicher Sicherheitsmaßnahmen rechtfertigen könnte.“
Und angesichts der erheblichen Bedrohungen, die nach dem Abschluss eines Vertrags drohen – welcher CISO würde da nicht gerne über weitere Instrumente verfügen?
