Der M&A-Markt bricht erneut alle Rekorde. 5,9 Billionen USD wurden im Jahr 2021 durch M&A-Transaktionen weltweit umgesetzt.\u00b9 Sch\u00e4den, die durch Cyberangriffe entstehen, erreichen ebenfalls Rekordniveau. 6 Billionen USD im Jahr 2021.\u00b2 Mangelhafte oder fehlende Cybersicherheit ist gegenw\u00e4rtig die mit Abstand gr\u00f6\u00dfte Bedrohung f\u00fcr alle Unternehmen. Trotzdem werden Unternehmen bei M&A-Transaktionen derzeit nicht durchgehend auf Cyberrisken gepr\u00fcft. Dies liegt daran, dass sich bislang kein Standard f\u00fcr die Pr\u00fcfung und den m\u00f6glichen Umgang mit den Pr\u00fcfungsergebnissen etabliert hat.<\/p>\n
Cybersicherheit bei M&A-Transaktionen<\/b><\/p>\n
W\u00e4hrend klassische Pr\u00fcfungspunkte des Ziel-Unternehmens bei einem Unternehmenskauf beispielsweise durch Business, Tax oder Legal Due Diligence analysiert und damit fassbarer Bestandteil eines Transaktionsprozesses werden, gilt dies nicht gleichsam f\u00fcr Cyberrisiken. Cybersicherheit ist f\u00fcr viele Unternehmen nach wie vor eine schwer zu l\u00f6sende Aufgabe. Ganz \u00fcberwiegend wird dieser Aspekt daher auch im M&A-Prozess ausgeblendet. Dies liegt vor allem daran, dass es hierzu bislang keine (rechtlich) anerkannten Standards gibt und sich daher auch marktseitig bislang wenig Kompetenzen gebildet haben, um diesem Umstand abzuhelfen. Die Risiken und daraus resultierende Sch\u00e4den betreffen alle Transaktionsparteien.\u00b3 Der K\u00e4ufer erwirbt ein gegebenenfalls gegen eine gro\u00dfe Bedrohung nicht abgesichertes Unternehmen, der Verk\u00e4ufer sieht sich in der Folge Gew\u00e4hrleistungs-, R\u00fccktritts- und Schadenersatzanspr\u00fcchen des K\u00e4ufers gegen\u00fcber. Spiegelbildlich zu diesen Risiken ist ein im Rahmen einer Cyber Due Diligence festgestelltes, schl\u00fcssiges und stabiles System zur Abwehr von Cyberrisiken ein echter Wertfaktor, der im Transaktionsprozess gepr\u00fcft und durch die Parteien beim Kaufpreis hinreichend zu taxieren ist.<\/p>\n
Inhalt einer Cyber Due Diligence<\/b><\/p>\n
Eine durch qualifiziertes Fachpersonal durchgef\u00fchrte und durch rechtliche Berater ad\u00e4quat im Transaktionsprozess ber\u00fccksichtigte Cyber Due Diligence ist ein unabdingbarer Bestandteil jeder Transaktion in der heutigen Zeit. Als Ergebnis der Cyber-Due Diligence steht, je nach Bedarf, ein Ergebnisbericht oder eine Handlungsanweisung durch den hierzu beauftragten Dienstleister. Idealerweise wird die Cyber Due Diligence mit einem Penetrationstest gestartet. Mit Hilfe dieses simulierten analogen und digitalen Angriffs wird der Status Quo der Cybersicherheit im Ziel-Unternehmen bzw. dessen aktuelle Verteidigungsf\u00e4higkeit analysiert. Hieran ankn\u00fcpfend sollte das Datenschutzkonzept des Targets und das bestehende Cyber-Risk-Management-System (\u201eCRMS<\/b>\u201c) gepr\u00fcft werden. Dabei m\u00fcssen in Zusammenarbeit von Cybersicherheit-Dienstleister und rechtlichem Berater der Transaktionsparteien auch das Management, insbesondere CEO, CISO und Datenschutzbeauftragte befragt werden. Relevant ist vor allem der Umfang (ganzheitlich oder punktuell) und die Akzentuierung des CRMS auf wesentliche, betriebsrelevante Anlagen und Prozesse des Unternehmens. Mindestens in Bezug auf die verm\u00f6genswerten Anlagen und Prozesse sollte auch ein Cybersicherheit-Incident-Response-Plan (\u201eCIRP<\/b>\u201c) zur Gew\u00e4hrleistung des Fortlaufs des Betriebes des Unternehmens bei realisierten Cyber-Risiken vorliegen. Soweit ein Target kein CRMS oder CIRP hat, muss mit dem Dienstleister ein solches erarbeitet und zur wesentlichen Vertragsgrundlage der Transaktion gemacht werden. Au\u00dferdem muss der Faktor Mensch, das mit Abstand h\u00f6chste Sicherheitsrisiko, im Hinblick auf die Mitarbeiter gegebenenfalls bestehende Cyberversicherungen sowie deren Versicherungsausschl\u00fcsse begutachtet werden. Um das Ziel-Unternehmen w\u00e4hrend der Transaktion abzusichern, ist es empfehlenswert, dieses f\u00fcr die Dauer der Transaktion in sehr kurzen Abst\u00e4nden oder dauerhaft durch Cyber Defense Operation Center (\u201eCDOC<\/b>\u201c) kontrollieren zu lassen. Das CDOC spiegelt den Transaktionsparteien die Sicherheitslage des Targets in Echtzeit wider (\u201eCyber Monitoring<\/b>\u201c). Dadurch wird das erh\u00f6hte Risiko eines Cyberangriffs infolge der Unternehmenstransaktion selbst sinnvoll adressiert, denn es wird \u00fcblicherweise ein virtueller Datenraum mit allen vertraulichen Transaktionsdaten eingerichtet, der ein Ziel f\u00fcr Ransomware-Attacken darstellen kann.<\/p>\n
Cybersicherheit im M&A-Vertrag<\/b><\/p>\n
Es kommen verschiedene M\u00f6glichkeiten in Betracht, um die Erkenntnisse einer Cyber Due Diligence im M&A-Vertrag auf die Bed\u00fcrfnisse der Parteien angepasst zu ber\u00fccksichtigen. Zun\u00e4chst kann eine starke Cybersicherheit als Wertfaktor beim Kaufpreis ber\u00fccksichtigt werden. Ist die Cybersicherheit hingegen eher ein Risikofaktor, k\u00f6nnen zus\u00e4tzliche Vertragsklauseln in den Vertrag aufgenommen werden. In Betracht kommen Freistellungsabreden f\u00fcr die Verwirklichung bestimmter Cyberrisiken, eine selbstst\u00e4ndige Verk\u00e4ufergarantie im Hinblick auf die Cybersicherheit des Targets oder eine als R\u00fccktrittsrecht des K\u00e4ufers formulierte Material-Adverse-Change-Klausel im Falle wesentlicher nachteiliger Ver\u00e4nderungen zwischen Vertragsschluss und tats\u00e4chlicher Unternehmens\u00fcbernahme. Zus\u00e4tzlich kann auch eine Warranty\u00a0&\u00a0Indemnity-Versicherung f\u00fcr den M&A-Vertrag abgeschlossen werden, wobei die Cyber Due Diligene als Grundlage der Risikoeinsch\u00e4tzung hinsichtlich der Cybersicherheit herangezogen wird.<\/p>\n
Fazit<\/b><\/p>\n
Im Hinblick auf die stetig wachsende Zahl von Cyberangriffen und die hohen Verm\u00f6gens- sowie Rufsch\u00e4den einer solchen Attacke, ist die Cyber-Due Diligence f\u00fcr eine sichere Unternehmenstransaktion unbedingt zu empfehlen.\u2074 Eine starke Cybersicherheit ist ein Wertfaktor. Eine mangelnde Cybersicherheit ist nicht zwangsl\u00e4ufig ein K.-o.-Kriterium, sondern kann durch die korrekte Formulierung im Kaufvertrag interessengerecht und fair adressiert werden. Rechtliche Beratung und die Arbeit eines Dienstleisters hinsichtlich der Cybersicherheit sollte f\u00fcr die optimale Bed\u00fcrfnisbefriedigung und Absicherung der Transaktionsparteien im Tandem erfolgen.<\/p>\n
________________________________<\/p>\n
\u00b9 M&A Report 2022 von Bain & Company, abrufbar unter https:\/\/www.bain.com\/insights\/topics\/m-and-a-report\/<\/a>.<\/p>\n