Die Rolle der Cybersicherheit bei Fusionen und Übernahmen (M&A)

Fusionen und Übernahmen (M&A) sind nach COVID-19 auf dem Vormarsch, da die fortschreitende digitale Transformation dazu führt, dass immer mehr Unternehmen andere übernehmen, um bestehende Fähigkeiten zu verbessern, neue Märkte zu erschließen oder den Wettbewerb zu verringern.

Während Fusionen und Übernahmen bereits viele Faktoren mit sich bringen, die zu ihren Risiken beitragen und den Entscheidungsprozess beeinflussen, macht die sich entwickelnde Cyber-Bedrohungslandschaft dies noch komplexer. In diesem Beitrag werden Cybersicherheitsüberlegungen für erfolgreiche Fusionen und Übernahmen untersucht, um die Cyberrisiken vor, während und nach dem M&A-Übergangsprozess zu mindern.

Die Bedeutung von M&A-Cybersicherheit

Unternehmen schenken der Cybersicherheit zunehmend die Aufmerksamkeit, die sie verdient, um erfolgreiche Fusionen und Übernahmen zu erleichtern. Es wird geschätzt, dass fast 60 % der Unternehmen, die im vergangenen Jahr eine M&A-Transaktion durchliefen, die Cybersicherheit als wichtigen Teil ihrer Due-Diligence-Prozesse betrachteten.

Darüber hinaus nannten die meisten Befragten einer Forescout-Umfrage die Technologieakquisition als ihre M&A-Priorität, wobei das Cyberrisiko nach der Übernahme ihre größte Sorge war. In der aktuellen Bedrohungslandschaft reichen Bedenken hinsichtlich der Cybersicherheit, wie z. B. die Entdeckung einer nicht gemeldeten Datenschutzverletzung, aus, um zum Scheitern von Geschäften zu führen.

M&A-Aktivitäten erfordern strenge Cybersicherheitsrichtlinien, Audits und Maßnahmen, um die Sicherheitsprobleme und Schwachstellen des Zielunternehmens zu identifizieren, zu beheben und zu mindern.

Die Due Diligence der Cybersicherheit ist jedoch nicht nur für das übernehmende Unternehmen unerlässlich. Unzureichende Sicherheitsrichtlinien und -verfahren auf Seiten des Zielunternehmens können einen M&A-Deal gefährden. In einer der bekanntesten M&A-Bewertungskatastrophen kürzte Verizon den Kaufpreis von Yahoo während der Evaluierungsphase aufgrund von Sicherheitsverletzungen von Yahoo um massive 350 Millionen US-Dollar.

Von hervorragender Cybersicherheit profitieren beide Seiten des M&A-Prozesses. Ein sauberer Gesundheitszustand in Bezug auf Cybersicherheit kann ein Zielunternehmen attraktiver machen, und Best Practices für die Cybersicherheit auf beiden Seiten sorgen für eine reibungslosere und sicherere Übergangszeit.

Cyber-Risiken im M&A-Prozess

Mehr als die Hälfte der Befragten der bereits erwähnten Umfrage gaben an, dass ihre Unternehmen während des M&A-Prozesses mit kritischen Cybersicherheitsproblemen konfrontiert waren und damit Verhandlungen riskierten. Schlechte Cybersicherheit kann den Akquisitionsprozess verlangsamen, da Sicherheitsprobleme und -probleme vor der Akquisition behoben werden müssen. Geschieht dies nicht, werden das ursprüngliche Unternehmen und seine Lieferkette offengelegt. Die Kosten und der Zeitaufwand, die erforderlich sind, um schwerwiegende Cybersicherheitsprobleme zu beheben, können ein Geschäft gefährden.

Technologische Disruption

Die technologische Integration aufgrund der Aufrüstung der Technologie während einer Fusion kann mit Risiken durch unvorhergesehene Cyberangriffe verbunden sein. Die vollständige Hybridintegration bringt Herausforderungen mit sich, einschließlich Inkompatibilität und Skalierungsproblemen, da Unternehmen neue Technologien in Legacy-Systeme integrieren wollen.

Diese Art von technologischer Disruption könnte ungewöhnliche Aktivitäten auf dem System verschleiern, die andernfalls als böswilliger oder unbefugter Zugriff identifiziert würden. Ein Beispiel dafür ist, als Marriott im Jahr 2018 eine Datenschutzverletzung bei seiner Marke Starwood erlebte, die auf eine frühere Datenschutzverletzung zurückzuführen war, die die IT-Infrastruktur und eine schlechte Systemintegration in die Systeme von Marriott betraf.

Schlummernde Bedrohungen

Die erworbene Infrastruktur kann Cybersicherheitsbedrohungen enthalten, wie z. B. unentdeckte Malware und Probleme bei der Zugriffsverwaltung. Das übernehmende Unternehmen muss bereits bestehende Schwachstellen identifizieren und beheben, um sowohl das Unternehmen als auch die Lieferkette zu schützen.

IoT-Geräte haben auch M&A-Aktivitäten riskanter gemacht, da sie zur Konvergenz der traditionellen IT mit der Betriebstechnologie beigetragen haben. Die zunehmende Konnektivität hat die Angriffsflächen und die Gefährdung durch Hacker erhöht, einschließlich konkurrierender Angreifer, die vertrauliche Daten oder geistiges Eigentum stehlen, Unternehmen stören oder Fusionen sabotieren wollen.

Die zunehmende Anzahl von IoT-Geräten bedeutet auch, dass es immer wahrscheinlicher wird, dass Auditoren einige bei Sicherheitsbewertungen übersehen oder übersehen. Da Cybersicherheit nur so stark ist wie ihr schwächstes Glied, sollte jedes ungeprüfte IoT-Gerät als ernsthaftes Risiko für die Informationssicherheit angesehen werden.

Resilienz der Informationstechnologie (IT)

Ein weiteres großes Risiko während eines Fusions- und Übernahmeprozesses ist das Risiko, dass es einen oder mehrere längere Zeiträume gibt, in denen die IT-Ressourcen überlastet sind, während die Unternehmen Technologien integrieren. Es ist eine Zeit mit hohem Risiko für beide Unternehmen, da notwendige Netzwerkaktivitäten sie verwundbar machen können.

Cyberkriminelle könnten den Zusammenschluss beobachten, um diese Schwachstelle mit einem Cyberangriff auszunutzen, der die Informationssicherheit wie Phishing oder Ransomware oder die Funktionalität von Geschäftsprozessen wie Distributed Denial of Service (DDoS) gefährdet.

Datensicherheit

Ein M&A-Prozess bedeutet, dass zwei kritische Daten auf dem Spiel stehen. Das übernehmende Unternehmen muss daher Maßnahmen ergreifen, um die Risiken beider Unternehmen zu identifizieren, zu bewerten und zu mindern, um die Informationssicherheit zu gewährleisten.

Mangel an Informationen

Insbesondere bei kleinen und mittleren Unternehmen benötigt das übernehmende Unternehmen möglicherweise mehr Dokumentation zu Cybersicherheitsrichtlinien und -praktiken. Diese Lücke macht es für übernehmende Unternehmen schwierig, das Cybersicherheitsrisiko der Übernahme einzuschätzen, was sie Cyberbedrohungen aussetzen kann.

Die Durchführung einer Due-Diligence-Prüfung wird unter solchen Umständen wahrscheinlich länger dauern und arbeitsintensiver sein als bei der Übernahme eines Unternehmens mit aktuellen Aufzeichnungen über seine Cybersicherheitspraktiken und einem guten Verständnis seiner Sicherheitslage.

Ein Unternehmen kann zwar Penetrationstests durchführen und Umfragen durchführen, um mehr über die Sicherheitslage des Zielunternehmens zu erfahren, aber die Ergebnisse sind nicht so umfassend oder genau wie die Untersuchung der Ereignisprotokolle des Cybersicherheitssystems eines Unternehmens. Wenn das übernehmende Unternehmen nicht die Informationen finden kann, die es benötigt, um eine fundierte Entscheidung über das Cyberrisiko des Zielunternehmens zu treffen, muss es entscheiden, ob es den M&A-Prozess abbricht oder mit Vorsicht vorgeht.

Organisatorische Disruption

Während ein Fusions- und Übernahmeprozess auf dem Papier eine klare Struktur haben kann, müssen Unternehmen mit Störungen rechnen, wenn sie neue Rollen und Verantwortlichkeiten erarbeiten und versuchen, Verfahren und betriebliche Praktiken zu homogenisieren. In vielen Fällen wird es Standortwechsel geben, die zu berücksichtigen sind, sowie mögliche Arbeitsplatzverluste und Unzufriedenheit bei einigen Mitarbeitern.

Bei so vielen Faktoren in einer Zeit des Wandels kann die Aufrechterhaltung stabiler Informationssysteme und Cybersicherheit eine Herausforderung sein. Unternehmen mit den ausgereiftesten und fortschrittlichsten Cybersicherheitskontrollen werden bei der Identifizierung, Verwaltung und Minderung von Cybersicherheitsrisiken bei Fusionen und Übernahmen am besten abschneiden.

Überlegungen zur Cybersicherheit während des gesamten M&A-Lebenszyklus

Der M&A-Prozess liegt nicht in der alleinigen Verantwortung des übernehmenden Unternehmens. Um den Übergang so reibungslos wie möglich zu gestalten, müssen die beiden Unternehmen in jeder Phase offen und kooperativ sein. Die übernehmende Organisation muss fünf Schlüsselbereiche für ein effektives Cyber-Risikomanagement während des M&A-Prozesses klar definieren:

• Governance - Dies bezieht sich auf die Organisationsstruktur sowie die Rollen und Verantwortlichkeiten in Bezug auf das Informationssicherheitsmanagement.
• Richtlinien - Dies sollte alle Richtlinien in Bezug auf Mindeststandards für den Schutz von Informationen umfassen.
• Managementprozesse - Das übernehmende Unternehmen muss seine Prozesse zur Verwaltung und Überwachung von Informationssicherheitsrisiken detailliert beschreiben.
• Tools und Technologien - Der Erwerber sollte seine Cybersicherheitsinstrumente stärken und erforderlichenfalls neue Technologien einsetzen, um die Informationssicherheit während des riskanten M&A-Prozesses angemessen zu schützen.
• Risikometriken - Dies ermöglicht die standardisierte Messung von Risiken und erleichtert die wichtige Kommunikation mit mehreren Führungsebenen.

Im Folgenden finden Sie Überlegungen zur Cybersicherheit, die Unternehmen auf ihrem Weg durch den M&A-Lebenszyklus priorisieren müssen.

Vor dem M&A-Prozess

In der frühesten Phase des M&A-Lebenszyklus muss das übernehmende Unternehmen angemessene Maßnahmen ergreifen, um die Sicherheit des Umfelds der Zielorganisation zu gewährleisten.

Der Acquirer muss sich über die Sicherheitskontrollen informieren, über die er verfügt, und über den Reifegrad seiner Cybersicherheit und Cybersicherheitskultur - sein Verhalten, seine Einstellung und seine Praktiken in Bezug auf Cybersicherheit und Cyberrisiken. Die Bewertung der Cybersicherheitskultur des Zielunternehmens ist von entscheidender Bedeutung, da die meisten Datenschutzverletzungen auf menschliches Versagen zurückzuführen sind.

Bevor das erwerbende Unternehmen ein Angebot für ein Unternehmen unterbreitet, sollte es eine Due-Diligence-Prüfung der Cybersicherheit durchführen, um den rechtlichen Status des Zielunternehmens in Bezug auf die Einhaltung gesetzlicher Vorschriften, Sicherheitsrichtlinien und das Risiko der vierten Partei zu bewerten. Dies ist besonders wichtig für stark regulierte Branchen, einschließlich des Gesundheitswesens und des Finanzsektors.

Beachten Sie, dass ein gewisses Risiko akzeptabel ist, je nachdem, wie stark sich diese Risiken auf das Unternehmen auswirken. Die übernehmende Firma muss ihre Risikotoleranz ermitteln und feststellen, ob die erwerbende Firma innerhalb dieser akzeptablen Grenzen liegt.

Der Erwerber sollte eine detaillierte Risikobewertung durchführen, um das Risiko des Erwerbs des Zielunternehmens zu verstehen. Die Bewertung wird Informationen über die potenziellen Auswirkungen von Risiken und Schwachstellen liefern und darüber, wie sie gemindert werden können.

Auch nach einer Risikobewertung sollte das übernehmende Unternehmen Maßnahmen ergreifen, um Bedrohungen und Schwachstellen zu finden. Zu diesen weiteren Schritten gehören unter anderem die passive Bedrohungsjagd und die umfangreiche Suche nach öffentlich zugänglichen Informationen, um mögliche Datenlecks zu erkennen.

Unternehmen müssen die Wahrscheinlichkeit von Datenschutzverletzungen ermitteln, da eine Fusion beide Unternehmen anfällig für Cyberangriffe machen kann. Eine erfolgreiche Datenschutzverletzung kann den Geschäftsbetrieb, das Vertrauen, den Ruf und den Umsatz schädigen.

Während des M&A-Prozesses

Nach der Anfangsphase des M&A-Prozesses muss das übernehmende Unternehmen überlegen, welche Art der Integration es vorschlägt. Abhängig von den wichtigsten Geschäftszielen des übernehmenden Unternehmens kann dies vollständig, hybrid oder weich sein.

Die Art der Integration bestimmt den Arbeitsaufwand und das potenzielle Risiko der Fusion oder Übernahme. Dieser Detaillierungsgrad ist notwendig, um eine robuste Risikomanagementstrategie zu entwickeln.

Um einen möglichst sicheren und effizienten Übergang zu fördern, müssen das übernehmende und das Zielunternehmen innerhalb ihrer Organisationen vereinbarte Rollen und Verantwortlichkeiten festlegen.

Eine gründliche Überprüfung der Informationssicherheitsprozesse und -verfahren des Zielunternehmens stellt sicher, dass sie mit denen des übernehmenden Unternehmens übereinstimmen. Die Standardisierung der Informationssicherheitsverfahren der beiden Organisationen sollte das Risikomanagement effizienter und effektiver machen.

Die Entdeckung einer nicht offengelegten Datenschutzverletzung während dieser Sicherheitsbewertungen ist ein großes Problem, da sie die Integrität des Unternehmens in Frage stellt und den potenziellen Erwerber Reputationsschäden und unvorhergesehenen Sicherheitsproblemen aussetzt.

Auch wenn der Druck bestehen kann, die Fusion oder Übernahme schnell abzuschließen, sind angemessene Sicherheitsbewertungen in dieser Phase ein wesentlicher Bestandteil der Due Diligence im Bereich der Cybersicherheit. Um die erforderlichen Sicherheitskontrollen umgehend durchzuführen und die Sicherheit des übernehmenden Unternehmens zu gewährleisten, stützen sich Unternehmen in der Regel auf externe Auditoren und Cybersicherheitsteams, die auf M&A-Transaktionen spezialisiert sind.

Wenn der M&A-Deal rechtlich unterzeichnet ist, kann das übernehmende Unternehmen einschneidendere Maßnahmen ergreifen, um die Cyberrisiken bei der Übernahme des Zielunternehmens zu bestimmen. Diese Schritte können Penetrationstests und eine aktivere Bedrohungssuche umfassen. Die Identifizierung und Minderung so vieler kritischer Schwachstellen und potenzieller Ursachen für Sicherheitsverletzungen wie möglich ist unerlässlich, bevor die Unternehmen versuchen, sich zu integrieren.

In dieser Phase des M&A-Lebenszyklus können Endpoint Protection and Response (EDR) und die kontinuierliche Überwachung von Netzwerken äußerst hilfreich sein. Erhebliche Risiken können mit der Integration von Netzwerken zunehmen. Die Bedrohungen können von Cyberkriminellen oder Wettbewerbern ausgehen, die sich des Potenzials von Sabotage, Wirtschaftsspionage durch Spyware und Betriebsunterbrechungen bewusst sind.

Beide Unternehmen würden von dem höchstmöglichen Maß an Cybersicherheit in dieser Phase profitieren, einschließlich 24/7-Überwachung und Echtzeit-Bedrohungserkennung.

Nach der M&A-Integration

Nach der Unterzeichnung des M&A-Deals muss das übernehmende Unternehmen Key Risk Indicators (KRIs) definieren und diese während des gesamten Integrationsprozesses überwachen, um sicherzustellen, dass das Risikoniveau innerhalb akzeptabler Grenzen bleibt.

Auch wenn bei vorläufigen Bewertungen keine Sicherheitsrisiken identifiziert wurden, ist es wichtig zu erkennen, dass Bedrohungen existieren oder in späteren Phasen auftreten können. Die kontinuierliche Überwachung und Nutzung von Cyber Threat Intelligence hilft Unternehmen, Sicherheitsabläufe aufrechtzuerhalten, die sich an unvorhergesehene Bedrohungen anpassen können.

Es ist auch an der Zeit, alle bis zu diesem Zeitpunkt identifizierten Schwachstellen zu beheben. Wie bei den zentralen Risikoindikatoren ist es wichtig, eine Methode zur Messung der Wirksamkeit dieser Sicherheitsmaßnahmen festzulegen und sie regelmäßig zu bewerten.

Zusätzlich zur Integration der Maßnahmen zur Behebung von Schwachstellen müssen die beiden Unternehmen ihre Cybersicherheitssysteme integrieren, einschließlich aller Richtlinien und Verfahren zur Informationssicherheit. Dazu gehören aktualisierte Incident-Response-Pläne mit klaren Anweisungen zu Stakeholdern, Rollen und Verantwortlichkeiten, auf die sich die Mitarbeiter bei einem Cybervorfall wie einer Datenschutzverletzung oder einem DDoS-Angriff beziehen können.

Da die beiden Unternehmen aufeinander abgestimmt sind und sich in der Phase nach der Übernahme einpendeln, ist es wichtig, die Informationssicherheit weiterhin zu überwachen. Wie während des Hauptteils des Akquisitionsprozesses sollte die Überwachung rund um die Uhr erfolgen. Der übernehmende Chief Infomation Security Officer (CISO) oder eine ähnliche Position muss sicherstellen, dass die Cybersicherheit des Zielunternehmens die Anforderungen des kaufenden Unternehmens an Vertraulichkeit und Integrität erfüllt, wobei dieselben Richtlinien und Verfahren einzuhalten sind.

Die Zeit nach M&A bleibt eine verwundbare Zeit für Unternehmen, daher müssen sie wachsam bleiben. Sie müssen sich auch weiterhin darauf konzentrieren, wie sie auf Cybervorfälle reagieren, um sicherzustellen, dass die neue Struktur oder die neuen Strukturen gegenüber Cyberangriffen widerstandsfähig sind.

Dies kann durch Cybersicherheitsübungen, simulierte Phishing-Angriffe und andere Techniken erreicht werden, um die Bereitschaft des Incident-Response-Plans zu testen und zu testen, wie gut die Unternehmen auf einen Cyberangriff vorbereitet sind.

Abschließende Gedanken

Während Unternehmen die betriebliche und finanzielle Situation ihrer Zielunternehmen bewerten, müssen sie auch die Sicherheitslage der Zielunternehmen gründlich bewerten. Die Erkenntnis, dass ein Unternehmen erhebliche Schwachstellen aufweist, muss vor einer Übernahme erfolgen und nicht danach.

Darüber hinaus steigt die Cyber-Bedrohungslage eines Unternehmens, sobald bekannt wird, dass eine Fusion diskutiert wird, so dass Cybersicherheit ein kritischer Faktor während des gesamten Fusions- und Übernahmeprozesses sein muss.

Ein Unternehmen, das Fusionen und Übernahmen durchläuft, muss:

• Gründliche Bewertung der internen IT-Infrastruktur
• Bewerten Sie die Informationssicherheit des Zielunternehmens
• Gewährleistung der Sicherheit auf höchstem Niveau während des gesamten Integrationsprozesses;
• Implementierung von Sicherheitsmaßnahmen zur Förderung der Resilienz im Falle eines Cyberangriffs nach einer erfolgreichen Fusion

In Anbetracht der Komplexität von Fusionen und Übernahmen im aktuellen Geschäftsökosystem ist es normal, dass Unternehmen jeder Größe Hilfe von IT-Dienstleistern in Anspruch nehmen, um Cyberrisiken zu reduzieren. Die Durchführung von Due Diligences sowie die Durchführung von internen und externen Audits erfordern spezifische Kompetenzen.

Unternehmen mit einer soliden M&A-Cybersicherheitsstrategie, Patching-Praktiken, KI- und Cybersicherheitsautomatisierungstechnologie, Anwendungssicherheitssystemen und SIEM-Tools (Security Information and Event Management) verfügen über robuste Ressourcen und sammeln genaue Informationen, um Fusionen und Übernahmen schneller und sicherer abzuschließen als Unternehmen, die der Cybersicherheit von Fusionen und Übernahmen keine Priorität einräumen.