Bei Unternehmenstransaktionen, Zukäufen und Private-Equity-Investitionen konzentrieren sich klassische Prüfungen traditionell auf Bilanzen, Steuerstrukturen und rechtliche Vertragswerke. Doch im digitalen Zeitalter entscheiden verdeckte IT-Sicherheitsmängel, Altlasten und unbemerkte Datenabflüsse in der Zielgesellschaft oft über den tatsächlichen Erfolg des Investments.
Warum klassische Due Diligence bei Cyber-Risiken versagt
Standardisierte Fragebögen zur IT erfassen selten den tatsächlichen technischen Sicherheitszustand. Zielgesellschaften füllen Checklisten häufig optimistisch aus, während kritische Schwachstellen im Verborgenen bleiben:
Verdeckte Altkontaminationen
Unbemerkte Hintertüren (Backdoors), persistente Angreiferzugänge oder historische Datenabflüsse können nach dem Vollzug der Transaktion (Closing) zu Erpressungen, Betriebsstillständen, Reputationsschäden oder behördlichen Untersuchungen führen.
Technologischer Investitionsstau
Veraltete Betriebssysteme ohne Herstellersupport, unstrukturierte Berechtigungskonzepte und unzureichende Datensicherungen erfordern nach der Übernahme oft ungeplante Sanierungsbudgets, um das Zielunternehmen auf ein zeitgemäßes Sicherheitsniveau zu heben.
Die vier Phasen einer technischen Cyber Due Diligence
| Phase | Prüfungsschwerpunkte | Transaktionsrelevanter Mehrwert |
|---|---|---|
| 1. Pre-Deal OSINT & Darknet | Passive Erfassung der digitalen Angriffsfläche (External Attack Surface), Prüfung kompromittierter Unternehmenszugänge in Leak-Datenbanken und Zertifikatshygiene. | Schnelle Identifikation akuter Gefährdungspotenziale vor Abgabe verbindlicher Angebote. |
| 2. Deep-Dive Architektur | Prüfung von Netzwerksegmentierung, Cloud-Tenant-Governance, Administrator-Tiering, Datensicherungskonzepten und Incident-Readiness. | Belastbares Bild über den Reifegrad des ISMS und die tatsächliche Resilienz der IT-Infrastruktur. |
| 3. Risikoquantifizierung & SPA | Übersetzung technischer Befunde in geschäftliche Risiken, Schätzung der Härtungskosten und Formulierung von Garantien (Reps & Warranties). | Solide Verhandlungsgrundlage für Kaufpreisanpassungen und vertragliche Absicherung gegen Altrisiken. |
| 4. 100-Tage-Roadmap | Konzeption eines priorisierten Integrations- und Härtungsfahrplans für die Phase unmittelbar nach dem Vollzug (Post-Closing). | Geordnete, risikoarme Zusammenführung der IT-Landschaften ohne Unterbrechung des operativen Betriebs. |
Rechtliche Leitplanken bei Pre-Deal-Untersuchungen
Eine professionelle Sicherheitsprüfung im M&A-Kontext erfordert strikte rechtliche Disziplin:
- Datenschutzrechtliche Grenzen (DSGVO): Bei passiven Recherchen in Breach- und Darknet-Datenbanken ist der Umgang mit personenbezogenen Zugangsdaten betroffener Mitarbeiter datenschutzkonform abzuwickeln.
- Strafrechtliche Grenzen und Autorisierung (§§ 118a, 126c StGB): § 118a StGB (Widerrechtlicher Zugriff auf ein Computersystem) sanktioniert das vorsätzliche Überwinden spezifischer Zugangssicherungen mit Schädigungs- oder Bereicherungsabsicht; § 126c StGB stellt den Missbrauch von Computerprogrammen (z. B. die unbefugte Beschaffung oder den Einsatz von Schadsoftware und Hacking-Tools) unter Strafe. Auch wenn einfache Netzwerkerfassungen nicht per se diese Tatbestände erfüllen, gilt als unverzichtbarer Standard: Aktive Scans und Penetrationstests dürfen ausschließlich auf Basis einer schriftlichen Freigabe und Vereinbarung („Rules of Engagement“) erfolgen.
- Kartellrecht & Gun-Jumping-Prävention: Vor dem formellen Vollzug (Closing) und kartellbehördlichen Freigaben dürfen technische Audits nicht zu einem unzulässigen wettbewerblichen Informationsabfluss über Geschäftsgeheimnisse oder Kundendaten führen. Hierfür sind organisatorisch getrennte Prüfteams („Clean Teams“) einzusetzen.
- Vertragliche Legitimation: Die Prüfungsbefugnisse müssen im Rahmen des Transaktionsprozesses (z. B. in Geheimhaltungsvereinbarungen / NDA, Letter of Intent / LoI oder im Prozessbrief) transparent und rechtsverbindlich vereinbart werden.
Regulatorische Betroffenheit als Werttreiber und Deal-Breaker
Die zunehmende europäische Regulierung verleiht der Cyber Due Diligence erhebliche finanzielle Relevanz:
- NISG 2026 Betroffenheit: Fällt die Zielgesellschaft unter das NISG 2026 (BGBl. I Nr. 94/2025) als wesentliche oder wichtige Einrichtung? Besteht ein Dokumentations- und Umsetzungsdefizit bezüglich der 10 gesetzlichen Risikomaßnahmen nach § 32, drohen unmittelbar nach Transaktionsabschluss behördliche Beanstandungen und erhebliche Nachinvestitionen.
- CRA Produktkonformität: Entwickelt oder vertreibt die Zielgesellschaft Produkte mit digitalen Elementen, greift der Cyber Resilience Act (Verordnung (EU) 2024/2847). Hier sind die zeitlichen Pflichtenstufen sauber zu trennen: Treten aktiv ausgenutzte Schwachstellen oder schwerwiegende Sicherheitsvorfälle auf, greifen bereits ab dem 11. September 2026 strikte Meldepflichten. Ab dem 11. Dezember 2027 werden die materiellen Produktsicherheitsanforderungen – wie das Vorhalten einer Software-Stückliste (SBOM), Security-by-Design und sichere Update-Architekturen – voll anwendbar. Das Fehlen dieser Strukturen begründet ab 2027 erhebliche Konformitätsmängel und Marktzugangsrisiken für Neuentwicklungen bzw. wesentlich veränderte Produkte.
Diese Erkenntnisse ermöglichen den Transaktionsanwälten die präzise Gestaltung von Freistellungen (Indemnities), Kaufpreiseinbehalten (Escrow) oder gezielten Kaufpreisabschlägen.
Unterstützung der Organhaftung nach der Business Judgment Rule
Für Vorstände, Geschäftsführer und Investment-Manager erfüllt eine fachkundige Cyber Due Diligence eine zentrale Funktion im Rahmen der gesetzlichen Leitungs- und Sorgfaltspflichten (Business Judgement Rule gemäß § 25 GmbHG und § 84 AktG). Sie stellt zwar keinen automatischen Haftungsschutz dar, unterstützt jedoch maßgeblich den Nachweis einer sorgfältigen Entscheidungsfindung auf Basis angemessener Informationen, frei von sachfremden Interessen und im redlichen Glauben an das Wohl der Gesellschaft.
Planen Sie eine Unternehmenstransaktion oder Beteiligung?
Authenta führt diskrete, methodisch fundierte Cyber Due Diligence Prüfungen für Investoren, Konzerne und den Mittelstand durch.