Cyberrisiken gehören heute zu den wesentlichen Faktoren bei Fusionen und Unternehmensübernahmen (Mergers & Acquisitions, M&A). Unentdeckte Schwachstellen, laufende Cyberangriffe oder regulatorische Defizite im Schatten einer Fusion können den Unternehmenswert unmittelbar beeinflussen und den Erfolg einer Transaktion gefährden. Besonders kritisch sind Schwachstellen, die erst nach dem Closing sichtbar werden und dann vollständig in der Verantwortung des Käufers liegen.
Im Rahmen einer Cyber Security Due Diligence werden sicherheitsrelevante Risiken des Zielunternehmens systematisch analysiert. Die Ergebnisse schaffen Transparenz über den tatsächlichen Sicherheitsreifegrad, unterstützen Kaufentscheidungen und helfen, Risiken nach dem Abschluss der Transaktion zu vermeiden.
Eine strukturierte Cyber Security Due Diligence schafft Transparenz über den tatsächlichen Sicherheitsreifegrad des Zielunternehmens. Sie liefert belastbare Entscheidungsgrundlagen für Management und Entscheidungsträger, reduziert Haftungsrisiken und schützt den Unternehmenswert.
Im Rahmen von M&A-Transaktionen treten Cyberrisiken typischerweise in fünf besonders kritischen Bereichen auf:
Verborgene Cyberangriffe: APTs (Advanced Persistent Threats) oder unentdeckte Datenlecks können mit dem Zielunternehmen übernommen werden.
Diese Risiken wirken direkt auf Kaufpreis, Vertragsgestaltung und Integrationsaufwand.
Eine Cyber Security Due Diligence folgt einem strukturierten Vorgehen, damit Investoren, Management und weitere Entscheidungsgremien innerhalb kurzer Zeit ein belastbares, transparentes Bild über den Sicherheitsreifegrad eines Zielunternehmens erhalten. Dabei werden technische Risiken, organisatorische Prozesse und regulatorische Anforderungen bewertet.
Schritt 1: Initialisierung & Scoping
Kick-off-Workshop
Dokumentenrequest
Risiko- und Compliance-Fokus
Zu Beginn werden Ziele, Umfang und relevante Stakeholder der Prüfung definiert. Dazu gehören unter anderem IT-Verantwortliche, Compliance-Teams und Security-Verantwortliche. Zusätzlich werden relevante Dokumente wie Sicherheitsrichtlinien, Audit-Berichte oder bestehende Sicherheitskonzepte analysiert. Ein besonderer Fokus liegt auf kritischen Assets wie Kundendaten, geistigem Eigentum oder geschäftskritischen Systemen.
Schritt 2: Durchführung der Assessments
Modulare Bewertung der IT-Landschaft
Technische Analysen
Interviews & Workshops
Auf Basis des definierten Umfangs erfolgt die technische und organisatorische Bewertung der IT-Landschaft. Je nach Anforderungen kommen unterschiedliche Prüfmethoden zum Einsatz – beispielsweise automatisierte Sicherheitsanalysen, Penetrationstests, Log-Auswertungen oder Interviews mit IT-Verantwortlichen. Dabei werden unter anderem Sicherheitsvorfälle, Berechtigungsstrukturen und bestehende Managementprozesse betrachtet.
Schritt 3: Auswertung & Risikobewertung
Risikoregister
Auswertung
Priorisierung von Risiken und Massnahmen
Auf Alle Erkenntnisse werden in einem strukturierten Risikoregister zusammengeführt und hinsichtlich Eintrittswahrscheinlichkeit und Auswirkung bewertet. Anschliessend erfolgt eine Priorisierung der identifizierten Risiken und möglicher Massnahmen – beispielsweise zur Verbesserung von Patch-Management, Sicherheitsprozessen oder Governance-Strukturen.
Schritt 4: Berichterstattung & Übergabe
Management Summary
Technischer Bericht
Präsentation
Die Ergebnisse werden adressatengerecht aufbereitet: Eine Management Summary zeigt die wichtigsten Risiken und Handlungsempfehlungen für Entscheidungsträger, während ein technischer Bericht detaillierte Befunde und Nachweise dokumentiert. Die abschliessende Präsentation der Ergebnisse im Steering Committee ermöglicht eine gemeinsame Bewertung und Entscheidungsfindung.
Ob M&A, Transformation oder Risikobewertung: Cyberrisiken lassen sich nur bewerten, wenn sie systematisch analysiert werden. Unsere Assessments und Strategieleistungen schaffen Transparenz und helfen Ihnen dabei, Cyberrisiken frühzeitig sichtbar zu machen und fundierte Entscheidungen zu treffen.
Nicht jede Transaktion erfordert den gleichen Prüfumfang. Umfang und Tiefe einer Cyber Security Due Diligence hängen unter anderem von Unternehmensgrösse, Branche, regulatorischem Umfeld und geplantem Integrationsmodell ab.
Typische Prüfbausteine sind:
ISO 27001:2022 Assessment
Bewertung des Informationssicherheitsmanagementsystems (ISMS), insbesondere in regulierten Branchen oder bei international tätigen Unternehmen. Im Fokus stehen unter anderem Sicherheitskontrollen, Risikomanagement und die Umsetzung relevanter Anforderungen.
Schwerpunkte: ISMS-Reifegrad, Kontrollbewertung (Annex A), Risikomanagement.
Lieferobjekte: Compliance-Report, Massnahmenplan.
Microsoft 365 Assessment
Analyse der Sicherheits- und Compliance-Konfiguration der Microsoft-365-Umgebung. Betrachtet werden beispielsweise Identitätsmanagement, Multi-Faktor-Authentifizierung, Datenklassifizierung und Sicherheitsfunktionen wie Microsoft Defender.
Schwerpunkte: Identitätsmanagement (Azure AD, MFA), Datenklassifizierung (DLP), Sicherheitskonfiguration (Defender for Endpoint).
Lieferobjekte: Best-Practice-Checkliste, Risikoanalyse, Optimierungsvorschläge.
Externer Penetrationstest
Identifikation unmittelbar ausnutzbarer Schwachstellen in extern erreichbaren Systemen wie Webanwendungen, APIs oder Netzwerken. Dadurch lassen sich akute technische Risiken vor dem Abschluss einer Transaktion bewerten.
Schwerpunkte: Black-Box-Tests, Scope (IPs, Webanwendungen, APIs).
Lieferobjekte: Penetrationstest-Bericht, priorisierte Schwachstellenliste.
Compromise Assessment
Forensische Untersuchungen helfen dabei, bereits bestehende Kompromittierungen oder unentdeckte Angreiferaktivitäten vor dem Closing zu erkennen. Dies reduziert das Risiko, bestehende Cybervorfälle mit dem Kauf eines Unternehmens zu übernehmen.
Schwerpunkte: Forensische Analyse, Log-Auswertung.
Lieferobjekte: Forensischer Bericht, Handlungsempfehlungen.
Drei Entwicklungen prägen die Cyber Security Due Diligence im M&A Umfeld besonders stark:
Frühzeitige Einbindung als Deal Enabler:
Immer häufiger wird die Sicherheitsbewertung bereits frühzeitig in die Strategie- und Target-Evaluierung einbezogen. Dadurch lassen sich Risiken früh erkennen, Überraschungen vermeiden und Transaktionen besser vorbereiten.
Regulatorische Anforderungen steigen:
Neue und bestehende Vorgaben in der EU und der Schweiz erhöhen die Bedeutung belastbarer Cyber-Risikobewertungen. Unternehmen müssen zunehmend nachweisen können, dass Sicherheitsrisiken erkannt, bewertet und angemessen behandelt werden.
Post Merger Integration als Hauptrisikofaktor:
Unterschiedliche Sicherheitsniveaus und Kulturen verzögern Integrationen. Früh definierte Sicherheitsziele und ein klares Integrationskonzept helfen, Risiken nach der Übernahme zu reduzieren und entscheiden über den langfristigen Erfolg.
Cyber Security Due Diligence ist längst kein rein technisches Prüfthema mehr. Sie unterstützt strategische Entscheidungen über den gesamten M&A-Prozess hinweg – von der ersten Bewertung eines Zielunternehmens bis zur erfolgreichen Integration.
Sie schafft messbaren Mehrwert durch:
Schutz des Unternehmenswerts
bessere Entscheidungsgrundlagen für Kaufpreis und Vertragsgestaltung
Reduktion von Haftungs- und Reputationsrisiken
schnellere und sicherere Post-Merger-Integration
Cyber Security ist heute ein entscheidender Bestandteil jeder M&A-Transaktion – und die frühzeitige Identifikation von Cyberrisiken hilft dabei, finanzielle, operative und regulatorische Risiken zu reduzieren.
Eine strukturierte Cyber Security Due Diligence schafft die notwendige Transparenz über den tatsächlichen Sicherheitsreifegrad eines Zielunternehmens und liefert eine belastbare Grundlage für strategische Entscheidungen, von der ersten Bewertung bis zur erfolgreichen Post-Merger-Integration.
Gleichzeitig unterstützt sie fundierte Entscheidungen bei Kaufpreis, Vertragsgestaltung und Integrationsplanung und trägt dazu bei, Unternehmenswert und Resilienz langfristig zu sichern.
Cyber Security ist damit kein technisches Detail, sondern ein wesentlicher Bestandteil der Unternehmensbewertung. Wer digitale Risiken frühzeitig berücksichtigt, schafft die Voraussetzungen für fundierte M&A-Entscheidungen und legt den Grundstein für eine erfolgreiche und sichere Integration.
Mit Leidenschaft unterstützen wir Sie aktiv in Ihrem M&A-Prozess – melden Sie sich hierzu gerne und jederzeit bei uns!
Bildlegende: mit KI generiertes Bild