Cyber Security Due Diligence bei M&A: Digitale Risiken im Fokus

Cyberrisiken gehören heute zu den wesentlichen Faktoren bei Fusionen und Unternehmensübernahmen (Mergers & Acquisitions, M&A). Unentdeckte Schwachstellen, laufende Cyberangriffe oder regulatorische Defizite im Schatten einer Fusion können den Unternehmenswert unmittelbar beeinflussen und den Erfolg einer Transaktion gefährden. Besonders kritisch sind Schwachstellen, die erst nach dem Closing sichtbar werden und dann vollständig in der Verantwortung des Käufers liegen.

Due Diligence: Wertschutz, Dealsicherheit und Entscheidungsgrundlagen für Investoren

Im Rahmen einer Cyber Security Due Diligence werden sicherheitsrelevante Risiken des Zielunternehmens systematisch analysiert. Die Ergebnisse schaffen Transparenz über den tatsächlichen Sicherheitsreifegrad, unterstützen Kaufentscheidungen und helfen, Risiken nach dem Abschluss der Transaktion zu vermeiden.

Eine strukturierte Cyber Security Due Diligence schafft Transparenz über den tatsächlichen Sicherheitsreifegrad des Zielunternehmens. Sie liefert belastbare Entscheidungsgrundlagen für Management und Entscheidungsträger, reduziert Haftungsrisiken und schützt den Unternehmenswert.

Die fünf kritischsten Cyberrisiken bei M&A

Im Rahmen von M&A-Transaktionen treten Cyberrisiken typischerweise in fünf besonders kritischen Bereichen auf:

• Verborgene Cyberangriffe: APTs (Advanced Persistent Threats) oder unentdeckte Datenlecks können mit dem Zielunternehmen übernommen werden.

• Compliance-Lücken: Regulatorische Anforderungen wie Datenschutzgesetze, branchenspezifische Vorgaben oder neue Cyber Security-Regularien wie NIS2 können bei grenzüberschreitenden Transaktionen zusätzliche Risiken darstellen.
• Legacy-Systeme & Schatten-IT: Veraltete oder unvollständig dokumentierte IT-Strukturen erhöhen die Angriffsfläche und verursachen hohe Kosten in der Post Merger Integration.
  
• Third-Party-Risiken: Unsichere Zulieferer oder Dienstleister können zu einer Schwachstelle innerhalb der Lieferkette werden.
  
• Fehlende Reaktionsfähigkeit: Ohne Incident-Management drohen längere Ausfallzeiten und höhere Kosten bei Cybervorfällen.
  

Diese Risiken wirken direkt auf Kaufpreis, Vertragsgestaltung und Integrationsaufwand.

Strukturiertes Vorgehensmodell: Was eine Cyber Security Due Diligence leisten muss

Eine Cyber Security Due Diligence folgt einem strukturierten Vorgehen, damit Investoren, Management und weitere Entscheidungsgremien innerhalb kurzer Zeit ein belastbares, transparentes Bild über den Sicherheitsreifegrad eines Zielunternehmens erhalten. Dabei werden technische Risiken, organisatorische Prozesse und regulatorische Anforderungen bewertet.

Strukturierte Analyse in vier Schritten

Schritt 1: Initialisierung & Scoping

• Kick-off-Workshop

• Dokumentenrequest

• Risiko- und Compliance-Fokus

Zu Beginn werden Ziele, Umfang und relevante Stakeholder der Prüfung definiert. Dazu gehören unter anderem IT-Verantwortliche, Compliance-Teams und Security-Verantwortliche. Zusätzlich werden relevante Dokumente wie Sicherheitsrichtlinien, Audit-Berichte oder bestehende Sicherheitskonzepte analysiert. Ein besonderer Fokus liegt auf kritischen Assets wie Kundendaten, geistigem Eigentum oder geschäftskritischen Systemen.

Schritt 2: Durchführung der Assessments

• Modulare Bewertung der IT-Landschaft

• Technische Analysen

• Interviews & Workshops

Auf Basis des definierten Umfangs erfolgt die technische und organisatorische Bewertung der IT-Landschaft. Je nach Anforderungen kommen unterschiedliche Prüfmethoden zum Einsatz – beispielsweise automatisierte Sicherheitsanalysen, Penetrationstests, Log-Auswertungen oder Interviews mit IT-Verantwortlichen. Dabei werden unter anderem Sicherheitsvorfälle, Berechtigungsstrukturen und bestehende Managementprozesse betrachtet.

Schritt 3: Auswertung & Risikobewertung

• Risikoregister

• Auswertung

• Priorisierung von Risiken und Massnahmen

Auf Alle Erkenntnisse werden in einem strukturierten Risikoregister zusammengeführt und hinsichtlich Eintrittswahrscheinlichkeit und Auswirkung bewertet. Anschliessend erfolgt eine Priorisierung der identifizierten Risiken und möglicher Massnahmen – beispielsweise zur Verbesserung von Patch-Management, Sicherheitsprozessen oder Governance-Strukturen.

Schritt 4: Berichterstattung & Übergabe

• Management Summary

• Technischer Bericht

• Präsentation

Die Ergebnisse werden adressatengerecht aufbereitet: Eine Management Summary zeigt die wichtigsten Risiken und Handlungsempfehlungen für Entscheidungsträger, während ein technischer Bericht detaillierte Befunde und Nachweise dokumentiert. Die abschliessende Präsentation der Ergebnisse im Steering Committee ermöglicht eine gemeinsame Bewertung und Entscheidungsfindung.

Ob M&A, Transformation oder Risikobewertung: Cyberrisiken lassen sich nur bewerten, wenn sie systematisch analysiert werden. Unsere Assessments und Strategieleistungen schaffen Transparenz und helfen Ihnen dabei, Cyberrisiken frühzeitig sichtbar zu machen und fundierte Entscheidungen zu treffen.

Modulare Prüfbausteine für unterschiedliche Anforderungen

Nicht jede Transaktion erfordert den gleichen Prüfumfang. Umfang und Tiefe einer Cyber Security Due Diligence hängen unter anderem von Unternehmensgrösse, Branche, regulatorischem Umfeld und geplantem Integrationsmodell ab.

Typische Prüfbausteine sind:

ISO 27001:2022 Assessment
Bewertung des Informationssicherheitsmanagementsystems (ISMS), insbesondere in regulierten Branchen oder bei international tätigen Unternehmen. Im Fokus stehen unter anderem Sicherheitskontrollen, Risikomanagement und die Umsetzung relevanter Anforderungen.

• Schwerpunkte: ISMS-Reifegrad, Kontrollbewertung (Annex A), Risikomanagement.

• Lieferobjekte: Compliance-Report, Massnahmenplan.
  
  

Microsoft 365 Assessment
Analyse der Sicherheits- und Compliance-Konfiguration der Microsoft-365-Umgebung. Betrachtet werden beispielsweise Identitätsmanagement, Multi-Faktor-Authentifizierung, Datenklassifizierung und Sicherheitsfunktionen wie Microsoft Defender.

• Schwerpunkte: Identitätsmanagement (Azure AD, MFA), Datenklassifizierung (DLP), Sicherheitskonfiguration (Defender for Endpoint).

• Lieferobjekte: Best-Practice-Checkliste, Risikoanalyse, Optimierungsvorschläge.

Externer Penetrationstest
Identifikation unmittelbar ausnutzbarer Schwachstellen in extern erreichbaren Systemen wie Webanwendungen, APIs oder Netzwerken. Dadurch lassen sich akute technische Risiken vor dem Abschluss einer Transaktion bewerten.

• Schwerpunkte: Black-Box-Tests, Scope (IPs, Webanwendungen, APIs).

• Lieferobjekte: Penetrationstest-Bericht, priorisierte Schwachstellenliste.

Compromise Assessment
Forensische Untersuchungen helfen dabei, bereits bestehende Kompromittierungen oder unentdeckte Angreiferaktivitäten vor dem Closing zu erkennen. Dies reduziert das Risiko, bestehende Cybervorfälle mit dem Kauf eines Unternehmens zu übernehmen.

• Schwerpunkte: Forensische Analyse, Log-Auswertung.

• Lieferobjekte: Forensischer Bericht, Handlungsempfehlungen.

Aktuelle Best Practices & Trends in der Cyber Security Due Diligence

Drei Entwicklungen prägen die Cyber Security Due Diligence im M&A Umfeld besonders stark:

• Frühzeitige Einbindung als Deal Enabler: 
  Immer häufiger wird die Sicherheitsbewertung bereits frühzeitig in die Strategie- und Target-Evaluierung einbezogen. Dadurch lassen sich Risiken früh erkennen, Überraschungen vermeiden und Transaktionen besser vorbereiten.
  

• Regulatorische Anforderungen steigen: 
  Neue und bestehende Vorgaben in der EU und der Schweiz erhöhen die Bedeutung belastbarer Cyber-Risikobewertungen. Unternehmen müssen zunehmend nachweisen können, dass Sicherheitsrisiken erkannt, bewertet und angemessen behandelt werden.

• Post Merger Integration als Hauptrisikofaktor: 
  Unterschiedliche Sicherheitsniveaus und Kulturen verzögern Integrationen. Früh definierte Sicherheitsziele und ein klares Integrationskonzept helfen, Risiken nach der Übernahme zu reduzieren und entscheiden über den langfristigen Erfolg.

Der strategische Mehrwert für Käufer und Investoren

Cyber Security Due Diligence ist längst kein rein technisches Prüfthema mehr. Sie unterstützt strategische Entscheidungen über den gesamten M&A-Prozess hinweg – von der ersten Bewertung eines Zielunternehmens bis zur erfolgreichen Integration.

Sie schafft messbaren Mehrwert durch:

• Schutz des Unternehmenswerts

• bessere Entscheidungsgrundlagen für Kaufpreis und Vertragsgestaltung

• Reduktion von Haftungs- und Reputationsrisiken

• schnellere und sicherere Post-Merger-Integration 
  

Fazit: fundierte M&A Entscheidungen auf Basis belastbarer Cyber-Risikobewertungen

Cyber Security ist heute ein entscheidender Bestandteil jeder M&A-Transaktion – und die frühzeitige Identifikation von Cyberrisiken hilft dabei, finanzielle, operative und regulatorische Risiken zu reduzieren.

Eine strukturierte Cyber Security Due Diligence schafft die notwendige Transparenz über den tatsächlichen Sicherheitsreifegrad eines Zielunternehmens und liefert eine belastbare Grundlage für strategische Entscheidungen, von der ersten Bewertung bis zur erfolgreichen Post-Merger-Integration.

Gleichzeitig unterstützt sie fundierte Entscheidungen bei Kaufpreis, Vertragsgestaltung und Integrationsplanung und trägt dazu bei, Unternehmenswert und Resilienz langfristig zu sichern.

Cyber Security ist damit kein technisches Detail, sondern ein wesentlicher Bestandteil der Unternehmensbewertung. Wer digitale Risiken frühzeitig berücksichtigt, schafft die Voraussetzungen für fundierte M&A-Entscheidungen und legt den Grundstein für eine erfolgreiche und sichere Integration.

Mit Leidenschaft unterstützen wir Sie aktiv in Ihrem M&A-Prozess – melden Sie sich hierzu gerne und jederzeit bei uns!

Bildlegende: mit KI generiertes Bild