Wir veröffentlichen regelmäßig neue Blogs zu den neuesten Themen und Trends, wie Sie Ihre Innovationen und Investitionen schützen können.

Vaultinum hält Sie auf dem neuesten Stand der aktuellsten Neuigkeiten und Entwicklungen, wie sie Ihre Innovationen und Investitionen schützen können.

Blog über Softwareschutz und Auditing | Vaultinum

Fusionen und Übernahmen sind ein fruchtbarer Boden für Cyber-Kriminelle, der ihnen sowohl kurz- als auch langfristige Möglichkeiten bietet. 

Kurzfristig sind die Daten in der Übergangsphase des Geschäftsbetriebs anfälliger und einem höheren Angriff-Risiko ausgesetzt.  Mehr als eine von drei von IBM befragten Führungskräften gab an, dass sie von Datenverletzungen betroffen waren, die auf Fusionen und Übernahmen während der Integration zurückgeführt werden können. [2]

Langfristig gesehen bieten Fusionen und Übernahmen eine hervorragende Gelegenheit, in die Netzwerke des fusionierten oder übernommenen Unternehmens einzudringen, häufig unter Einsatz von ‘Advanced Persistent Threats’ (APT; deutsch „fortgeschrittene andauernde Bedrohung“), um sich über einen längeren Zeitraum Zugang zur Umgebung und zu den Informationen des Zielunternehmens zu verschaffen.

Schockierenderweise warten mehr als 50 Prozent der von IBM befragten Unternehmen, bis die Due-Diligence-Prüfung abgeschlossen ist, bevor sie eine technische Bewertung von M&A-Transaktionen vornehmen.[3] Die Cyber-Bedrohungen, denen diese Transaktionen ausgesetzt sind, machen deutlich, wie wichtig es ist, bereits vor der Übernahme eine Software-Due-Diligence-Prüfung durchzuführen, um versteckte Schwachstellen aufzudecken.

Ein Unternehmen kann zwar über modernste Cybersicherheit verfügen, doch wenn es ein anderes Unternehmen mit schwacher Sicherheit oder bestehenden Schwachstellen erwirbt, könnte es für Schäden aus Vorfällen haften, die sich vor der Fusion ereignet haben, wie die Datenschutzverletzung bei der Hotelgruppe Marriott zeigt. 

Obwohl die Datenschutzverletzung erst 2018 entdeckt wurde, wurde sie auf einen Cyberangriff zurückgeführt, der 2014 bei der 2016 übernommenen Hotelgruppe Starwood stattfand [4]. Hätte Marriot vor der Übernahme eine Software-Due-Diligence-Prüfung durchgeführt, hätte diese Schwachstelle entdeckt werden können und/oder es hätten Maßnahmen ergriffen werden können, die mit einer geänderten Bewertung einhergegangen wären.  Außerdem kann die Übernahme eines Unternehmens, das möglicherweise Schwachstellen aufweist, der Integration eines trojanischen Pferdes gleichkommen.

Von Europa über die USA bis hin zur ganzen Welt sind die Datenschutzbestimmungen und die Gesetze zur Offenlegung von Sicherheitsverletzungen sehr unterschiedlich, so dass eine marktübergreifende Due-Diligence-Prüfung für Unternehmen und insbesondere für multinationale Konzerne unerlässlich ist.  Die Hotelgruppe Marriott war Gegenstand zahlreicher Gerichtsverfahren und behördlicher Maßnahmen in mehreren Ländern, wobei Marriott allein im Vereinigten Königreich wegen des Datenschutzverstoßes mit einer Geldstrafe in Höhe von 130 Millionen Dollar rechnen muss [5].  

Die Umsetzung der Datenschutz-Grundverordnung in Europa hat zu einem Anstieg der Schadensmeldungen geführt. Nach Angaben der Anwaltskanzlei Pinsent Manson wurden zwischen März 2019 und Mai 2020 von den europäischen Datenschutzbehörden insgesamt 190 DSGVO-Bußgelder im Wert von fast 500 Millionen US-Dollar verhängt [6]. Zu den bemerkenswert hohen Bußgeldern für Verstöße gehören 57 Millionen US-Dollar für Google in Frankreich und 41 Millionen US-Dollar für H&M in Deutschland [7].

In den USA nimmt die Zahl der Rechtsstreitigkeiten wegen Datenschutzverletzungen zu, da Anwaltskanzleien und Rechtsfinanzierungsunternehmen aktiv versuchen, Sammelklagen einzureichen, was durch jüngste Gerichtsentscheidungen wie das Urteil zum Datenschutzverstoß bei Capital One begünstigt wurde, bei dem ein nach einem Datenschutzverstoß erstellter forensischer Bericht verwendet wurde, um das Unternehmen haftbar zu machen.  Diese Berichte sind für ein geschädigtes Unternehmen hilfreich, ja sogar notwendig, um zu verstehen, was schief gelaufen ist,  und gleichzeitig bedeutet dieses Urteil, dass auch andere, z. B. Kunden oder Nutzer, auf einen solchen Bericht zugreifen können, um Unternehmen für Datenschutzverletzungen haftbar zu machen.

3. Besitz geistigen Eigentums und Skalierbarkeit

Die Bedeutung von Rechten des geistigen Eigentums für die Gesamtbewertung von Unternehmen gewinnt weltweit immer mehr Anerkennung.  Im Jahr 1975 machten immaterielle Vermögenswerte des geistigen Eigentums nur etwa 17 % des Marktwerts der S&P-500-Unternehmen aus, 2015 waren es bereits 87 %, und einer Analyse aus dem Jahr 2019 zufolge erwirtschaften Branchen, die Rechte des geistigen Eigentums intensiv nutzen, rund 45 % des BIP in der EU (6,6 Mio. EUR).[8]

Wenn Sie ein Unternehmen erwerben oder in ein Unternehmen investieren, das Software vertreibt, müssen Sie unbedingt überprüfen, ob das Unternehmen tatsächlich Eigentümer der Software ist.  Software wird in rasantem Tempo erstellt, aber selten ist diese Software zu 100 % Eigentum des Erstellers. Bei kommerzieller Software wird es immer üblicher, Teile von Software-Code aus anderen Programmen zu integrieren.

Die Verwendung von fremdem Code, ob kommerziell oder Open Source, spart zwar Zeit und senkt die Kosten, schafft aber auch potentielle Probleme, die die Freiheit der Vermarktung des Endprodukts einschränken können. Diese Einschränkungen können ein Softwareunternehmen daran hindern, den vollen Nutzen aus seinen eigenen Entwicklungen zu ziehen.  Darüber hinaus kann die missbräuchliche Verwendung von Drittanbieter-Software oder eine zu große Abhängigkeit von dieser das Wachstum eines Unternehmens behindern und sogar sein Überleben gefährden.

Auch wenn das Zielunternehmen keine Software vertreibt, kann es bei der Verwendung von Software, die Drittanbieter-Software integriert, zu ernsthaften Problemen mit der Skalierbarkeit und Wartbarkeit kommen.   Solche Software wird in Form von herunterladbaren Programmen für Maschinen oder Dienste oder als gehosteter Dienst bereitgestellt und wird in der Regel an Unternehmen lizenziert und nicht verkauft. Mit anderen Worten: Die Unternehmen sind auf Software angewiesen, die sie nicht besitzen, sondern mieten. 

Dies hat mehrere Auswirkungen, die die Vorteile der Nutzung der Software zunichte machen können. 

1) Dies bedeutet, dass für die Nutzung und den Einsatz der Software Beschränkungen gelten. 

2) Es erzeugt Abhängigkeiten zwischen dem Unternehmen und seinem Softwareanbieter und wirft die Frage auf, was passiert, wenn der Anbieter in Konkurs geht oder die Software einstellt.

3) Es erzeugt Sicherheitsrisiken.  Der fehlende Zugriff auf den Quellcode oder die fehlende Möglichkeit, ihn auf Fehler oder Probleme zu überprüfen, stellt ein inhärentes Risiko für den Betrieb des Unternehmens dar, welches die Software einsetzt.

Die Technologie oder Software eines Unternehmens besteht ebenso wie Finanzunterlagen oder juristische Verträge aus verschiedenen Komponenten, die einzeln und in ihrer Gesamtheit betrachtet ihre Robustheit gegenüber einer Vielzahl von Risiken zeigen werden. 

Da sich immer mehr Unternehmen auf Software verlassen, sei es für den Betrieb oder als Endprodukt, reicht es für einen potentiellen Investor nicht aus, die rechtlichen, finanziellen und strategischen Überlegungen zu analysieren.  Die technologische Due Diligence ist eine systematische Methode zur Bewertung und Abschwächung technischer Risiken aus der Geschäfts- oder Investitionsperspektive. 

Ein umfassender Tech-Due-Diligence-Bericht sollte Einblicke in die Stärken eines Unternehmens, umsetzbare Empfehlungen für Verbesserungen und Anleitungen zur Bewältigung allgemeiner Risiken bieten.

Ob es darum geht, den Verkauf eines Unternehmens vorzubereiten, Investitionen zu tätigen, neue Kunden zu gewinnen oder die betrieblichen Strukturen zu verbessern - das Ziel der Know-Your-Software-Lösungsreihe ist es, Unternehmen und Investoren die Werkzeuge an die Hand zu geben, mit denen sie kritisches Wissen über die Technologie eines Unternehmens erlangen, Risiken mindern und das Wachstum erleichtern können.

Die Know Your Software-Lösung von Vaultinum ist ein mehrgleisiger Ansatz für Software-Audits.  Auf einer Ebene bewerten die Online-Selbsteinschätzung-Fragebögen von Know-Your-Software die Verwaltung, den Betrieb und die Nutzung von Software und decken potentielle Probleme in Bezug auf geistiges Eigentum, Cybersicherheit, Skalierbarkeit und Wartbarkeit auf.  Auf der nächsten Stufe überprüft Know-Your-Software den Quellcode auf gängige Bedrohungen und Schwachstellen. 

Zusammengenommen liefert Know-Your-Software ein vollständiges Bild der Software und der Technologie-Managementprozesse des Unternehmens.

[1] Institute for Mergers, Acquisitions and Alliances (IMAA), https://imaa-institute.org/m-and-a-by-industries/

[2] Benchmark Insights (2020) Assessing cyber risk in M&A. IBM Corporation.

[4] Brewster, T. “Revealed: Marriott's 500 Million Hack Came After A String Of Security Breaches”. Forbes, 3 Dec. 2018, https://www.forbes.com/sites/thomasbrewster/2018/12/03/revealed-marriotts-500-million-hack-came-after-a-string-of-security-breaches/

[5] Dobie, G., Whitehead, J. (2020). Managing the impact of increasing interconnectivity: Trends in Cyber Risk. Allianz Global Corporate & Specialty.

[6] Dobie, G., Whitehead, J. (2020). Managing the impact of increasing interconnectivity: Trends in Cyber Risk. Allianz Global Corporate & Specialty.

[8] International Chamber of Commerce (ICC). “The ICC Intellectual Property Roadmap”, 14th edition, 2020.

Philippe ist der CEO von Vaultinum. Als Experte für neue Technologien und Hochfinanz und nach 20 Jahren in der internationalen Fintech-Branche leitet Philippe nun Vaultinum.

Philippe Thomas

Nach Angaben des ‘Institute for Mergers, Acquisitions and Alliances (IMAA)’ rangieren Fusionen und Übernahmen im Hightech-Bereich seit 1985 an zweiter Stelle der gesamten Fusionen und Übernahmen mit einem Gesamtwert von fast 5 Billionen USD. [i] Der kontinuierliche Anstieg der Investitionen und Übernahmen von Hightech-Unternehmen hat die mit diesen Geschäften verbundenen Risiken und die Notwendigkeit, die Due-Diligence-Vorgänge um umfassende, automatisierte Software-Audits zu erweitern, in den Fokus gerückt. 

Dieser Artikel wirft einen Blick auf die drei größten Risiken, die potentielle Investoren und Übernehmer bei diesen Geschäften beachten müssen, und zeigt auf, wie sie diese Risiken mindern können.

Erfahren Sie mehr über Die 3 größten Risiken bei Fusions- und Übernahmegeschäften im High-Tech-Sektor

Die 3 Grössten Risiken Bei M&A-Transaktionen Im Tech-Bereich

Die 3 Grössten Risiken Bei M&A-Transaktionen Im High-Tech-Bereich

Digitale Technologien - von künstlicher Intelligenz und dem Internet der Dinge (IoT) bis hin zu Datenverfügbarkeit und Blockchain - entwickeln sich weiterhin in rasantem Tempo.  Um nicht überholt zu werden, entwickeln sich die Cyberrisiken noch schneller.  Die weltweiten Kosten der Cyberkriminalität beliefen sich im Jahr 2020 auf 945 Milliarden US-Dollar, fast doppelt so viel wie im Jahr 2016.[1] Laut der Forschungsorganisation Cybersecurity Ventures werden die weltweiten Kosten voraussichtlich jährlich um 15 % steigen und bis 2025 10,5 Billionen US-Dollar erreichen.[2]

Unternehmen müssen sich auf die neuen Herausforderungen vorbereiten, die durch die sich entwickelnden Ziele, Techniken und Auswirkungen der Cyberkriminalität entstehen. Dieser Artikel befasst sich mit den wachsenden Risiken im Zusammenhang mit: der Zunahme von Ransomware-Vorfällen, der Aussicht auf störendere und teurere Geschäftsunterbrechungen, den Folgen strengerer Vorschriften und Prozessrisiken, dem allgegenwärtigen Diebstahl geistigen Eigentums sowie neuen Hindernissen für erfolgreiche Fusionen und Übernahmen.

Das Ausmaß und der Umfang von Ransomware-Angriffen nehmen in einem noch nie dagewesenen Tempo zu.  Dies ist auf eine Kombination von Faktoren zurückzuführen, die Ransomware noch profitabler gemacht haben, darunter die rasante Zunahme der Digitalisierung, die zunehmende Verwendung von Kryptowährungen, verstärkte geopolitische Spannungen, das durch die Pandemie geschaffene außergewöhnliche Umfeld und verbesserte Systeme. 

Ransomware ist eine Malware, die Computergeräte infiziert und den Zugang zu ganzen Computernetzwerken sperren kann, wodurch ein Unternehmen effektiv als Geisel gehalten wird, bis ein Lösegeld (ransom) gezahlt wird. 

Die Malware infiltriert die Server eines Systems häufig über eine harmlose E-Mail ("Phishing"), die an einen Mitarbeiter des Zielunternehmens geschickt wird. Die menschliche Ebene ist oft das schwächste Glied in der Cyberabwehr und daher ein ideales Ziel für Cyberkriminelle.  Es wird geschätzt, dass zwischen 50 und 90 % der Datenschutzverletzungen von Mitarbeitern verursacht oder unterstützt werden[3]. 

Mit der zunehmenden Verbreitung von Ransomware steigt auch der Preis für das Lösegeld.  Das durchschnittliche Lösegeld, das von Unternehmen in Europa, den USA und Kanada gezahlt wird, hat sich innerhalb eines Jahres von 115.123 US-Dollar auf 312.493 US-Dollar fast verdreifacht.[4] Dieser Anstieg ist zum Teil auf neue Taktiken der Cyber-Hacker zurückzuführen, die die Entführung von Daten mit der Drohung kombinieren, die Daten auf öffentlichen Websites zu veröffentlichen - eine doppelte Bedrohung, die den Unternehmen wenig bis gar keine andere Wahl lässt, als das Lösegeld zu zahlen.[5]

Dies ist zum Teil auch darauf zurückzuführen, dass sich die Ziele verlagern. Cyberkriminelle haben es nicht mehr nur auf einzelne Computer abgesehen, sondern zielen auf öffentliche und private Organisationen unterschiedlicher Größe ab, wodurch sowohl die Höhe des geforderten Lösegelds als auch die Wahrscheinlichkeit einer erfolgreichen Zahlung steigt[6].

Es wird prognostiziert, dass die Bedrohung durch einen Ransomware-Angriff mit der zunehmenden Nutzung des "Franchise"-Modells durch Cyberkriminelle nur noch schlimmer wird, bei dem Malware im Darknet an so genannte Partner in einem Ransomware-as-a-Service-Schema vermietet wird, wobei die Vermieter eine Lizenzgebühr erhalten, wodurch ausgefeilte Ransomware immer weiter verbreitet und profitabel wird.[7]

Unabhängig davon, ob ein Cybervorfall zu einer Lösegeldzahlung führt oder nicht, übersteigen die mit einer daraus resultierenden Betriebsunterbrechung verbundenen Kosten den geforderten Betrag bei weitem.  Tatsächlich können diese Kosten fünf- bis 100-mal höher sein als die Kosten des Lösegelds selbst, was Unternehmen oft dazu veranlasst, das Lösegeld zu zahlen, nur um die Kosten der Unterbrechung zu vermeiden.[8]

Eine Betriebsunterbrechung ist der Einkommensverlust, der entsteht, wenn eine Ressource nicht genutzt oder eine Dienstleistung nicht erbracht werden kann, was zu Umsatzeinbußen, verminderter Effizienz, erhöhten Ausgaben im Zusammenhang mit dem Cybervorfall (Wiederherstellung von IT-Systemen, Schadensersatzzahlungen an Kunden usw.) und Reputationsschäden führt. 

Während größere Unternehmen in der Regel besser in der Lage sind, die durch eine Betriebsunterbrechung verursachten Verluste zu verkraften, sind es die kleinen und mittleren Unternehmen (KMU), die unverhältnismäßig stark betroffen sind, wenn sie Opfer eines Cyberangriffs werden. 

Schätzungen zufolge zielen 45 % der Online-Angriffe auf KMUs ab.[9] Im Gegensatz zu größeren Unternehmen verfügen KMUs nur über begrenzte oder sogar gar keine Cyberabwehr oder -hygiene.  Für Unternehmen aller Größenordnungen belaufen sich die durchschnittlichen Kosten einer Unterbrechung auf etwa 200.000 US-Dollar; für KMUs können diese Kosten unüberwindbar sein, denn 60 % der KMUs müssen nach einem Angriff ihre Geschäftstätigkeit aufgeben [10].

Was die Zahlung eines Lösegelds zur Vermeidung von Betriebsunterbrechungen betrifft, so garantiert die Zahlung keine vollständige Wiederherstellung und beseitigt sicherlich nicht alle Kosten für Betriebsunterbrechungen, die damit zusammenhängen sicherzustellen, dass jeder Rechner frei von Infektionen ist. Außerdem garantiert die Zahlung des Lösegelds nicht, dass die Daten eines Unternehmens vollständig wiederhergestellt werden.  Das Cybersicherheitsunternehmen Sophos fand heraus, dass Lösegeldzahler im Durchschnitt nur 65 % der verschlüsselten Daten zurückerhielten, wobei mehr als ein Drittel der Daten unzugänglich blieb.[11] Und selbst wenn die Daten zurückgegeben werden, gibt es keine Garantie, dass sie nicht für die künftige Verwendung, den Verkauf und/oder Erpressung kopiert wurden.

Während sich viele Unternehmen auf Betriebsunterbrechungs- und Sachversicherungen verlassen, um die Kosten von Cybervorfällen auszugleichen, verlassen sich die Versicherungsunternehmen zunehmend auf die Klauseln zur "Kriegshandlung", um sich vor Auszahlungen zu schützen.  Der viel beachtete NotPetya-Ransomware-Angriff und die daraus resultierende Klage gegen die Zurich American Insurance wegen der Verweigerung der Deckung unter ihrer Ausschlussklausel für "Kriegshandlungen" zeigt, dass eine Cyberversicherung nicht als Ersatz für Cybersicherheit angesehen werden kann.[12]

Neben den Risiken im Zusammenhang mit Betriebsunterbrechungen und Lösegeldzahlungen sehen sich Unternehmen auch mit einer zunehmenden potenziellen Haftung konfrontiert, wenn festgestellt wird, dass sie die in den Ländern, in denen sie tätig sind, geltenden Gesetze und Vorschriften nicht eingehalten haben, oder wenn sie fahrlässig gehandelt haben, indem sie nicht die gebotene Sorgfalt walten ließen, um Cyberrisiken zu begrenzen. 

In Europa sieht die Allgemeine Datenschutzverordnung (DSGVO) Geldstrafen für Unternehmen vor, wenn sie die Datenschutzrichtlinien oder die Meldevorschriften für Datenschutzverletzungen nicht einhalten.  Bei Verstößen gegen die Verordnung drohen Unternehmen Geldstrafen in Höhe von bis zu 4 % ihres weltweiten Jahresumsatzes oder 20 Millionen Euro, je nachdem, welcher Betrag höher ist[13]. 

Die Umsetzung der Datenschutz-Grundverordnung hat bereits zu einem Anstieg der Schadensmeldungen geführt. Nach Angaben der Anwaltskanzlei Pinsent Manson wurden zwischen März 2019 und Mai 2020 von den europäischen Datenschutzbehörden insgesamt 190 DSGVO-Bußgelder im Wert von fast 500 Millionen US-Dollar verhängt.[14] Zu den bemerkenswert hohen Bußgeldern für Verstöße gehören 57 Millionen US-Dollar für Google in Frankreich und 41 Millionen US-Dollar für H&M in Deutschland.[15]

Von Europa über die USA bis hin zur ganzen Welt gibt es große Unterschiede bei den Datenschutzbestimmungen und den Gesetzen zur Offenlegung von Datenschutzverletzungen, so dass eine rechtliche Due-Diligence-Prüfung für Unternehmen, insbesondere für multinationale Konzerne, in allen Märkten unerlässlich ist.  Die Hotelgruppe Marriott und die Kreditauskunftei Equifax erlitten 2018 bzw. 2017 öffentlichkeitswirksame Datenschutzverletzungen und waren Gegenstand zahlreicher Gerichtsverfahren und behördlicher Maßnahmen in verschiedenen Rechtsordnungen, wobei Marriott allein im Vereinigten Königreich eine Geldstrafe in Höhe von 130 Millionen US-Dollar für die Datenschutzverletzung zahlen muss.[16]  

In Anbetracht der Häufigkeit von Datenschutzverletzungen werden diese von den Unternehmen mehr und mehr als weitere Kosten der Geschäftstätigkeit betrachtet.  Dies gilt jedoch ganz und gar nicht für den Datendiebstahl im Zusammenhang mit geistigem Eigentum (IP), der als eine der größten Bedrohungen für Unternehmen angesehen wird. 

Den Diebstahl von geistigem Eigentum gibt es zwar schon so lange wie das geistige Eigentum selbst, aber die jüngsten Entwicklungen im Bereich der Cyberspionage und des Diebstahls sollten die Unternehmen beunruhigen.

Cyber-Hacker setzen zunehmend auf Advanced Persistent Threats (APTs), bei denen der Zugriff auf ein System über einen längeren Zeitraum unentdeckt bleiben kann, und die zum Ziel haben, Daten zu stehlen oder in ein Netzwerk einzudringen.  APT-Angriffe zielen häufig darauf ab, sensibles geistiges Eigentum oder Daten zu stehlen, um daraus politische oder wirtschaftliche Vorteile zu ziehen[17].

In den ersten Monaten der Pandemie griffen Hacker die Weltgesundheitsorganisation an, indem sie mit der als "Dark Hotel" bekannten APT in ihre Netzwerke eindrangen, um sensible Informationen bezüglich Covid-19 zu stehlen.[18] Die Gesundheitsbranche und in jüngerer Zeit auch die Impfstoffforschung sind besonders gefährdet, da ihr geistiges Eigentum einen hohen Wert hat.

In einigen Fällen soll der Diebstahl von geistigem Eigentum jedoch dazu dienen, einen Wettbewerbsvorteil zu erlangen, neue Technologien und Geschäftsgeheimnisse zu entwenden und den Verlust von Hunderte Millionen Dollar an FuE-Investitionen zu verursachen.  Dies war der Fall beim Chiphersteller AMD, wo Angreifer den Quellcode der Xbox Series X-Grafikkarten gestohlen und weitergegeben haben.

In allen Fällen können die Auswirkungen des Diebstahls von geistigem Eigentum durch Cyberangriffe auf die Einnahmeströme zu einer Verringerung der FuE-Anstrengungen und einem Anstieg der Kapitalkosten führen, wenn das geistige Eigentum von den Investoren als nicht ausreichend geschützt angesehen wird[19]. 

Fusionen und Übernahmen (M&A) sind ein fruchtbarer Boden für Cyber-Kriminelle und bieten ihnen sowohl kurz- als auch langfristige Möglichkeiten. 

Kurzfristig sind die Daten durch die Umstellung der Geschäftsabläufe anfälliger und das Risiko, dass sie angegriffen werden, ist größer.  Langfristig bieten Fusionen und Übernahmen eine hervorragende Gelegenheit, in die Netzwerke des fusionierten oder übernommenen Unternehmens einzudringen, oft unter Einsatz von APTs, um sich über einen längeren Zeitraum Zugang zur Umgebung und zu den Informationen des Zielunternehmens zu verschaffen.

Die Bedrohungen, mit denen Fusionen und Übernahmen konfrontiert sind, machen deutlich, wie wichtig es ist, bereits in der Phase vor der Akquisition eine Cyber-Due-Diligence-Prüfung durchzuführen.  In der Tat warten mehr als 50 Prozent der von IBM befragten Unternehmen, bis die Due-Diligence-Prüfung abgeschlossen ist, bevor sie eine Bewertung der Cybersicherheit von M&A-Transaktionen durchführen.[20] 

Auch wenn ein Unternehmen über modernste Cybersicherheit verfügt, kann es, wenn es ein Unternehmen mit schwachen Sicherheitsvorkehrungen oder bestehenden Schwachstellen erwirbt, für Schäden aus Vorfällen haftbar gemacht werden, die vor dem Zusammenschluss aufgetreten sind, wie die Datenpanne bei der Hotelgruppe Marriott gezeigt hat. 2018 wurde die Datenpanne entdeckt, aber auf einen Cyberangriff zurückgeführt, der 2014 bei der 2016 übernommenen Hotelgruppe Starwood stattfand. Hätte Marriot vor der Übernahme eine Cyber-Due-Diligence-Prüfung durchgeführt, hätte diese Schwachstelle entdeckt werden können und/oder es hätten Maßnahmen ergriffen werden können, die mit einer geänderten Bewertung einhergegangen wären.Darüber hinaus kann die Übernahme eines Unternehmens, das möglicherweise Schwachstellen aufweist, der Integration eines trojanischen Pferdes gleichkommen

AUFBAU VON CYBER-RESILIENZ: KNOW YOUR SOFTWARE (Kennen Sie Ihre Software)

Trotz dieser Herausforderungen und der Tatsache, dass es eher eine Frage des Wann als des Ob ist, Opfer von Internetkriminalität zu werden, verfügen die meisten Unternehmen nicht über einen Plan zur Verhinderun von und Reaktion auf Sicherheitsverletzungen im Internet[22]. 

 Anteil der Unternehmen, die einen Plan zur Prävention und Reaktion auf IT-Sicherheitsvorfälle haben.

Abbildung 1. Anteil der Unternehmen, die über einen Plan zur Vorbeugung und Reaktion auf IT-Sicherheitsvorfälle verfügen. Quelle:  McAfee, "Die versteckten Kosten der Internetkriminalität"

Die Bedeutung eines soliden Programms für Cybe-Risiko-Management darf nicht unterschätzt werden. Jeden Tag werden neue technische und sicherheitsrelevante Verstöße entdeckt. Jede geschäftliche Veränderung kann unbeabsichtigte Schwachstellen schaffen.  Jeder neue Mitarbeiter, Berater oder Auftragnehmer stellt ein neues Risiko dar, das es zu bewältigen gilt. Ein Hacker muss nur einmal erfolgreich sein, während die Sicherheitsmaßnahmen eines Unternehmens zu  jeder Zeit100 % erfolgreich sein müssen - in einer sich ständig verändernden Bedrohungslandschaft.  Die regelmäßige Durchführung von Cybersicherheits-Audits, die Auswertung der Audit-Ergebnisse und die Erforschung und Umsetzung von Verbesserungen stellen daher einen wesentlichen und nie endenden Prozess dar, der von allen Organisationen übernommen werden sollte, die Cyberrisiken ernst nehmen. 

Vaultinum, ein in der Schweiz ansässiges Unternehmen für digitale Lösungen, hat ein intelligentes Audit-Tool entwickelt, welches Unternehmen in die Lage versetzt, ihre eigene Due Diligence im Bereich der Cybersicherheit zu erfüllen, indem es das Sicherheitsrisikomanagementprogramm eines Unternehmens, die Datenschutzverfahren, die Sicherheitszertifizierungen sowie die Schutzmaßnahmen für Büros, Geräte und Infrastrukturen überprüft.  Bei der Know-Your-Software-Lösung handelt es sich um einen Fragebogen zur Selbstbewertung, der von führenden Experten für Cybersicherheit mit dem Ziel entwickelt wurde, Unternehmen dabei zu helfen, ihr Bewusstsein für Cybersicherheit zu verbessern, Risiken zu mindern und empfohlene Richtlinien und Verfahren auf der Grundlage von Industriestandards einzuführen, um das Auftreten von Cybervorfällen zu verhindern und die Widerstandsfähigkeit im Falle eines Vorfalls zu erhöhen.

[1] Smith, Z.M., Lostra, E., Lewis, J.A. (2020). The Hidden Costs of Cybercrime. McAfee.

[2] Morgan, Steve. “Cybercrime To Cost The World $10.5 Trillion Annually By 2025”. Cybercrime Magazine, 13 Nov. 2020

[3] Dobie, G., Whitehead, J. (2020). Managing the impact of increasing interconnectivity: Trends in Cyber Risk. Allianz Global Corporate & Specialty.

[4] Sroxton, Alex. “Average ransomware cost triples, says report”. Computer Weekly.com, 17 Mar. 2021

[5] Singleton, C. (2021). X Force Threat Intelligence Index 2021. IBM Corporation.

[6] (2020). Internet Organized Crime Threat Assessment 2020. Europol. 

[7] Morgan, Steve. “Cybercrime To Cost The World $10.5 Trillion Annually By 2025”. Cybercrime Magazine, 13 Nov. 2020

[8] Riley, Tonya. “The Cybersecurity 202: Global losses from cybercrime skyrocketed to nearly $1 trillion in 2020, new report finds”. Washington Post, 7 Dec. 2020

[9] Steinberg, Scott. “Cyberattacks now cost companies $200,000 on average, putting many out of business”. CNBC, 13 Oct. 2019

[10] Steinberg, Scott. “Cyberattacks now cost companies $200,000 on average, putting many out of business”. CNBC, 13 Oct. 2019 

[11] Bajak, Frank. “Ransomware gets paid off as officials struggle for fix”. Associated Press, 22 June 2021 

[12] Garrie, Daniel; Rosen, Peter. “'Act Of War' Questions In Cyberattack Insurance Case”. Law 360, 23 April 2019

[13] EU General Data Protection Regulation (GDPR): Article 83, Section 6. 

[14] Dobie, G., Whitehead, J. (2020). Managing the impact of increasing interconnectivity: Trends in Cyber Risk. Allianz Global Corporate & Specialty.

[16] Dobie, G., Whitehead, J. (2020). Managing the impact of increasing interconnectivity: Trends in Cyber Risk. Allianz Global Corporate & Specialty.

[17] Adam, M. “Cyber Risk in a new era: insurers can be part of the solution”. S&P Global Ratings, 2 Sep 2020

[18] Seals, T. “Hackers amp up Covid-19 IP Theft Attacks”. Threat Post, 28 Dec 2020 

[19] Smith, Z.M., Lostra, E., Lewis, J.A. (2020). The Hidden Costs of Cybercrime. Center for Strategic and International Studies.

[21] Brewster, T. “Revealed: Marriott's 500 Million Hack Came After A String Of Security Breaches”. Forbes, 3 Dec. 2018

[22] Smith, Z.M., Lostra, E., Lewis, J.A. (2020). The Hidden Costs of Cybercrime. McAfee.

Kristin ist Juristin bei Vaultinum. Sie hat in der Hightech-Branche gearbeitet und internationale Erfahrung im Bereich des geistigen Eigentumsrechts gesammelt.

Kristin A.

Obwohl die Folgen von Cyber-Risiken weltweit immer deutlicher erkannt werden, haben viele Organisationen nicht die notwendigen Schritte unternommen, um ihre Cybersicherheitsstrategien angesichts dieser neuen Bedrohungen zu entwickeln und anzupassen.

Erfahren Sie mehr über die Bedeutung von Audits der Cybersicherheit zum Schutz Ihres Unternehmens

Globale Trends bei Cyberrisiken | Vaultinum

Während wir uns immer weiter von der traditionellen, stationären Wirtschaft entfernen und uns der virtuellen Realität annähern, sehen sich Unternehmen mit neuen und aufkommenden Bedrohungen konfrontiert, wie z. B. Softwarefehler, Datenschutzverletzungen, Streitigkeiten über den Schutz der Privatsphäre, Fragen des geistigen Eigentums an Open-Source-Software, Cyber-Bedrohungen, Nachhaltigkeit und viele mehr. In dieser neuen digitalen Landschaft kommt der Sicherheit und dem Schutz digitaler Werte eine ganz neue Bedeutung zu. Daher ist es für Sie als Investor oder potentieller Käufer wichtiger denn je zu wissen, dass das Unternehmen, an dem Sie interessiert sind, nach den besten Praktiken arbeitet und die richtigen Grundlagen für ein solides Wachstum geschaffen hat.

Wir haben in diesem Artikel die 4 Hauptbereiche - geistiges Eigentum, Software von Dritten, technologische Leistung und Cybersicherheit - und die wichtigsten Fragen, die bei der Due-Diligence-Prüfung von Technologien zu stellen sind, umrissen.

Die Verwaltung von geistigem Eigentum ist eine entscheidende Komponente für das Wachstum und den Erfolg eines Unternehmens. Darüber hinaus gewinnnen die Rechte an geistigem Eigentum für die Gesamtbewertung von Unternehmen weltweit immer mehr an Bedeutung. Immaterielle Vermögenswerte des geistigen Eigentums machten 1975 nur etwa 17 % des Marktwerts der S&P-500-Unternehmen aus, 2015 waren es bereits 87 %, und einer Analyse für 2019 zufolge erwirtschaften Branchen, die geistiges Eigentumsrecht intensiv nutzen, rund 45 % des BIP in der EU (6,6 Billion EUR).

Hat das Zielunternehmen die Rechte des geistigen Eigentums an seinem Software-Quellcode geschützt, indem es den Quellcode bei einer vertrauenswürdigen dritten Partei oder einem Urheberrechtsamt hinterlegt hat?
Software ist ebenso wie Kunstwerke oder Literatur durch das Urheberrecht geschützt.  Um dieses Recht geltend zu machen, müssen der Quellcode und alle Aktualisierungen bei einer vertrauenswürdigen dritten Partei oder einem Urheberrechtsamt hinterlegt werden.  Eine Hinterlegung ist der Beweis für das Eigentum an dem Quellcode zu einem bestimmten Zeitpunkt.


Gibt es Vereinbarungen zur Übertragung von geistigem Eigentum mit allen Beratern und Mitarbeitern, die an der Entwicklung der Software gearbeitet haben oder arbeiten?
In einigen Ländern kann die Übertragung von geistigem Eigentum in Arbeitgeber-Arbeitnehmer-Beziehungen automatisch erfolgen, aber das ist nicht immer der Fall und schon gar nicht in Bezug auf Berater. Dies birgt ein potentielles Prozessrisiko und kann wiederum finanzielle und rufschädigende Auswirkungen auf das Unternehmen haben.


Besitzt das Unternehmen alle erforderlichen Rechte, um seine aktuellen und geplanten Produkte herzustellen, zu verwenden, zu verkaufen oder zum Verkauf anzubieten?
Die Verwendung von risikoreichen Lizenzen Dritter (Copyleft, urheberrechtlich geschützt oder proprietär) und das Fehlen eines effektiven IP-Management-Prozesses, der diese Lizenzen und andere IP-Rechte identifiziert und verwaltet, schafft potentielle Probleme, die die Freiheit für Vermarktung des Endprodukts einschränken können.


Unternehmen verlassen sich immer mehr auf die Software von Drittanbietern, um ihren Betrieb zu führen und/oder ihr Softwareprodukt zu entwickeln. Software von Drittanbietern kann als Open-Source-Software oder in kommerzieller Form lizenziert sein, und in beiden Fällen gibt es in der Regel Lizenzen, die ihre Verwendung bedingen. Die missbräuchliche Verwendung von Drittanbietersoftware oder eine zu große Abhängigkeit von dieser kann das Wachstum eines Unternehmens behindern und sogar sein Überleben gefährden.

Wichtige Fragen, die bei Software von Drittanbietern zu beachten sind

Wurden Escrow-Vereinbarungen getroffen, die den Zugriff auf den Quellcode der Software, die sie für ihren Betrieb benötigen, ermöglichen, z. B. im Falle eines Lieferantenausfalls oder -konkurses (oder eines Serverausfalls, wenn die Software im SaaS-Modus läuft)? 
Abhängigkeiten von Dirttanieter-Software bedeuten, dass das Unternehmen dem Risiko ausgesetzt ist, dass diese Software veraltet, nicht gewartet, nicht unterstützt oder sogar außer Betrieb genommen wird.  Eine Escrow-Vereinbarung ist unerlässlich, um den Betrieb aufrechtzuerhalten und die Verpflichtungen des Kunden zu erfüllen.


 Ist das Unternehmen in der Lage, die gesamte Open-Source-Software zu identifizieren, die im Endprodukt verwendet wird?
Die Integration von Open-Source-Software in das Endprodukt kann die Fähigkeit des Unternehmens einschränken, das Produkt zu vermarkten und in vollem Umfang zu nutzen, aufgrund von nicht eingehaltenen Lizenzbedingungen oder Verletzungen der Rechte an geistigem Eigentum.


Verfügt das Unternehmen über ein Verfahren zur Prüfung, ob es regelmäßige Updates für die von ihm verwendete Open-Source-Software gibt?
Durch Updates können Schwachstellen behoben werden, so dass die Software weiterhin erwartungsgemäß funktioniert und das Risiko für die Endnutzer begrenzt wird. Eine unterlassene Aktualisierung kann je nach Lizenz auch die Nutzung des Softwareprodukts durch ein Unternehmen einschränken.


ENTDECKEN SIE DIE TECH-DUE-DILIGENCE-LÖSUNGEN VON VAULTINUM

Software wird zwar immer mehr zum Rückgrat vieler Unternehmen, doch eine erschreckend große Zahl von Softwareprojekten erfüllt immer noch nicht die Erwartungen des Unternehmens in Bezug auf Leistung, Skalierbarkeit, Wartbarkeit, Kosten oder Liefertermin.  Dabei spielen mehrere Faktoren eine Rolle, die sich in unterschiedlichem Maße auf die erfolgreiche Bereitstellung, Leistung und den Ruf des Softwareprodukts auswirken.

Wichtige Fragen zur technologischen Leistung:

Wurde von den Entwicklern, die an den ersten Phasen der Produktentwicklung beteiligt waren, ein angemessener Wissenstransfer durchgeführt? 
Das Management des Wissenstransfers muss während des gesamten Lebenszyklus der Softwareentwicklung und -nutzung erfolgen.  Fehlender Zugang zu den anfänglichen Entwicklungsstadien kann sich negativ auf die Wartbarkeit und Skalierbarkeit des Endprodukts auswirken.


Ist die technologische Infrastruktur derzeit in der Lage, im Falle eines raschen Wachstums des Kundenstamms ohne weitere Entwicklung zu skalieren?
Wenn die technologische Infrastruktur bei schnellem Wachstum nicht skalierbar ist, kann es zu kritischen Systemausfällen oder Funktionsproblemen kommen, die zu finanziellen Verlusten und Rufschädigung führen.


Gibt es organisatorische Aspekte des Entwicklungsteams, die sich direkt auf die Fähigkeit auswirken, erfolgreich zu arbeiten?
Ein gut organisiertes, reibungslos funktionierendes Entwicklungsteam ist entscheidend für den Erfolg des Produkts.  Einige Schlüsselelemente, die es zu beachten gilt, sind der Standort und die Verteilung des Teams (nicht über zu viele Zeitzonen oder Büros verstreut) und die regelmäßige Berichterstattung an das Management (um sicherzustellen, dass die Strategien aufeinander abgestimmt sind).

Die weltweiten Kosten der Cyberkriminalität beliefen sich im Jahr 2020 auf 945 Milliarden Dollar, und es wird erwartet, dass sie jährlich um 15 % steigen und bis 2025 10,5 Billionen Dollar erreichen werden. Jeden Tag werden neue technische und sicherheitsrelevante Lücken entdeckt.  Jede geschäftliche Veränderung kann zu unbeabsichtigten Schwachstellen führen.  Jeder neue Mitarbeiter, Berater oder Auftragnehmer stellt ein neues Risiko dar, das es zu bewältigen gilt. Ein Hacker muss nur einmal erfolgreich sein, während die Sicherheitsmaßnahmen eines Unternehmens zu 100 % der Zeit erfolgreich sein müssen - in einer sich ständig verändernden Bedrohungslandschaft.  Daher darf die Bedeutung eines soliden Cyber-Risikomanagementprogramms nicht unterschätzt werden. 

Werden Kundendaten in einer Offshore-Umgebung (in einem anderen Land als dem, in dem sie die Kundendaten erhalten) gespeichert, per Zugriff abgerufen oder über die Offshore-Umgebung übertragen?
Die Datenschutzbestimmungen und die Gesetze zur Offenlegung von Datenschutzverletzungen sind weltweit sehr unterschiedlich, so dass es für Unternehmen, insbesondere für multinationale Unternehmen, von größter Bedeutung ist, die erforderliche rechtliche Due-Diligence-Prüfung in allen Märkten durchzuführen, um die Einhaltung der Vorschriften zu gewährleisten. Außerdem ist die internationale Kommunikation nicht unbedingt sicher und birgt größere Risiken.


Setzt das Unternehmen zum Schutz der Daten Verschlüsselung ein?    
Durch die Verschlüsselung werden Daten unbrauchbar und unleserlich für jeden, der nicht im Besitz des Entschlüsselungscodes ist. Durch die Verschlüsselung wird sichergestellt, dass die Daten selbst im Falle einer Verletzung des Datenschutzes und eines anschließenden Diebstahls oder Kopierens nur in sehr geringem Maße nutzbar sind.  Es ist sehr schwierig, die Verschlüsselung zu knacken, was sie zu einer der besten Sicherheitsmaßnahmen zum Schutz von Daten macht.


Gibt es vollständige Aufzeichnungen über alle Geräte des Unternehmens, einschließlich Computer, Tablets, Handys, Laptops usw., die aufbewahrt und gepflegt werden? 
Eine ordnungsgemäße Dokumentation ermöglicht es einer Organisation, den Überblick über alle Unternehmensgeräte zu behalten.  Dies ist eine wichtige Maßnahme zur Risikominderung, da sie dazu beiträgt, Verlusten vorzubeugen, und im Falle eines Vorfalls eine schnelle Reaktion ermöglicht, z. B. die Fernsperrung verlorener oder gestohlener Geräte.  Ein unauffindbares Gerät stellt ein Sicherheitsrisiko dar, da es potenziell gehackt werden kann, was einem Angriff auf die Systeme und Netzwerke des Unternehmens Tür und Tor öffnet. 

LADEN SIE UNSERE ‘TECH-DUE-DILIGENCE-CHECKLISTE’ HERUNTER

Die technische Due-Diligence-Prüfung ist zweifellos einer der wichtigsten Aspekte jeder modernen Unternehmenstransaktion, und es ist von entscheidender Bedeutung zu wissen, welche Elemente zu berücksichtigen sind, bevor der nächste Schritt erfolgt. Dies erfordert jedoch Fachwissen, Erfahrung und Erkenntnisse, die am besten von einem unabhängigen Dritten gewonnen werden.

Im Gegensatz zu herkömmlichen Ansätzen der technischen Due-Diligence-Prüfung bietet Vaultinum ein Online-Tool für die Software-Due-Diligence-Prüfung, ‘Know-Your-Software’. Durch eine gründliche Überprüfung des Quellcodes, die von einem IT-Experten durchgeführt wird, analysiert die Know-Your-Software-Lösung die Risiken in Bezug auf geistiges Eigentum, Cybersicherheit, Skalierbarkeit und Drittanbieter.  Die Ergebnisse werden in einem detaillierten Bericht mitgeteilt, der eine Bewertung, Empfehlungen und Korrekturen enthält.

Mit 40 Jahren Erfahrung in den Bereichen IT und Recht wurde jeder Schritt der Know-Your-Software-Lösung von Vaultinum in Zusammenarbeit mit führenden Experten in den Bereichen Cybersicherheit, geistiges Eigentum, Softwareentwicklung und Compliance entwickelt, um Nutzern eine umfassende, zuverlässige Risikoanalyse zu bieten.

Gehen Sie mit Zuversicht in Ihre Investitionen, mit der Gewissheit, dass die Tech-Due-Diligence-Lösungen von Vaultinum maßgeschneidert sind auf die digitale Welt von heute.

Als Investor oder potenzieller Käufer ist es wichtiger denn je, sich zu vergewissern, dass das Unternehmen, für das man sich interessiert, nach den besten Praktiken arbeitet und die richtigen Grundlagen für ein solides Wachstum geschaffen hat. In diesem Beitrag haben wir die vier Hauptbereiche - geistiges Eigentum, Software von Drittanbietern, technologische Leistung und Cybersicherheit - und die wichtigsten Fragen in jedem Bereich, die bei der Due-Diligence-Prüfung von Technologien zu stellen sind, beschrieben.

Sind Sie bereit zu investieren? Diese Schlüsselfragen sollten Sie bei Ihrer technologischen Due-Diligence-Prüfung nicht außer Acht lassen.

Tech due diligence checkliste | Vaultinum

Obwohl der elektronische Zeitstempel meist beim elektronischen Signieren von Dokumenten verwendet wird, ist er in vielen anderen Bereichen zu Beweis- und Rückverfolgbarkeitszwecken nützlich. Im Laufe dieser Erläuterungen werden wir konkrete Beispiele dafür geben, wie Zeitstempel ein Werkzeug zur Sicherung Ihres Unternehmens sind.

Der Urheberrechtsschutz besteht von dem Moment an, in dem ein Werk geschaffen wird, und bedarf im Gegensatz zu einer Marke oder einer Erfindung keiner zusätzlichen Formalität. Dies gilt für alle 179 Unterzeichnerstaaten der Berner Übereinkunft. 

 In Ermangelung einer obligatorischen Registrierung bei einem Amt kann es jedoch schwierig sein, die Existenz und den Inhalt einer digitalen Schöpfung zu einem bestimmten Zeitpunkt, d. h. vor dem von einem möglichen Verletzer behaupteten, nachzuweisen. 

 Es empfiehlt sich daher, eine sogenannte "Beweismittelhinterlegung" bei einer Vertrauensperson wie einem Gerichtsvollzieher, einem Notar oder Vaultinum vorzunehmen. 

 Die mit Vaultinum getätigte Hinterlegung, dank der angewendeten Technologie, die den Einsatz von symmetrischen und asymmetrischen Verschlüsselungsalgorithmen, Hash-Funktionen/Fingerprint-Erzeugung und elektronischen Zeitstempeln umfasst, die die Integrität der übertragenen Elemente garantieren: 

- materialisiert den Inhalt der digitalen Kreation; 

- bescheinigt das Eigentum des Einlegers; 

- zeichnet den Inhalt und das Erstellungsdatum auf. 

In diesem Zusammenhang bietet die Beweishinterlegung mehrere Vorteile: 

- Es begrenzt die Risiken der Aneignung einer Erfindung durch Partner und/oder Dritte; 

- Es versieht Ideen, Projekte, vorbereitende Dokumente usw. mit einem bestimmten Datum, bis eine Patentanmeldung validiert ist; 

- Es zeichnet die Forschungsergebnisse (insbesondere Laborhefte) auf, sobald Entdeckungen gemacht werden, um ältere Rechte zu wahren und eine gerechte Verteilung der Rechte unter den Mitarbeitern zu gewährleisten; 

- Es beweist, dass eine geheim gehaltene Erfindung entwickelt wurde, bevor ein Dritter sie zum Patent anmeldete, so dass der Erfinder sie weiterhin nutzen kann (Recht auf vorherigen persönlichen Besitz).

In Fällen, in denen die Rechtsgrundlage für die Verarbeitung die Einwilligung ist, muss der für die Datenverarbeitung Verantwortliche nachweisen können, dass die betroffene Person ihre Einwilligung zur Verarbeitung der sie betreffenden personenbezogenen Daten gegeben hat. 

 In der Praxis kann die Einhaltung dieser Verpflichtung kompliziert sein, da der Text nicht angibt, wie diese Nachweise gemeldet werden können. Es ist daher unerlässlich, dass der für die Datenverarbeitung Verantwortliche mit einem Werkzeug ausgestattet ist, das die Aufbewahrung und Rückverfolgbarkeit der folgenden Elemente sicherstellt: 

- den Inhalt und das Datum der Zustimmung; 

- die zur Erteilung der Zustimmung verwendeten Mittel; 

- die Informationen, die zum Zeitpunkt der Zustimmung mitgeteilt wurden; und 

- falls zutreffend, das Datum des Widerrufs der Zustimmung. 

 Zu diesem Punkt hat die französische Datenschutzbehörde (CNIL) im März 2017 darauf hingewiesen, dass "die digitale Zeitstempelung der Angabe der Einwilligung (durch einen Klick oder ein angekreuztes Kästchen) und die Durchführung eines ordnungsgemäß dokumentierten Verfahrens zur Einholung der Einwilligung als gültiges Mittel zum Nachweis der Einwilligung zu betrachten ist". 

Der Nachweis der Löschung von personenbezogenen Daten

 Gemäß der Datenschutz-Grundverordnung (DSGVO) ist der für die Datenverarbeitung Verantwortliche verpflichtet, für jede Kategorie eine Aufbewahrungsfrist festzulegen, "die nicht länger ist als für die Zwecke, für die sie verarbeitet werden, erforderlich"[3].   

 Der Lebenszyklus personenbezogener Daten kann in drei aufeinanderfolgende Phasen unterteilt werden: 

- Gemeinsame oder aktive Datenbank: Die Daten können regelmäßig von den beteiligten Abteilungen für die Zeit genutzt werden, die für die Durchführung der Verarbeitung erforderlich ist; 

- Zwischenarchivierung: Daten werden aufbewahrt, wenn eine gesetzliche Verpflichtung besteht oder als Beweismittel im Falle eines Rechtsstreits, aber der Zugriff ist eingeschränkt; 

- Löschung, Anonymisierung/Pseudonymisierung oder endgültige Archivierung von Daten, wenn sie von historischem Interesse sind. 

Um die Einhaltung der festgelegten Aufbewahrungsfristen nachzuweisen, kann der für die Datenverarbeitung Verantwortliche ein Werkzeug verwenden, das den Beginn jeder Phase des Datenlebenszyklus von der Erfassung bis zur Archivierung/Löschung datiert.   

Vaultinum unterstützt seine Kunden bei der Einrichtung eines Zeitstempelsystems zur Datierung von Einwilligungen. Mithilfe der Vaultinum-API können Kundensysteme mit der Zeitstempel-Lösung von Vaultinum verbunden werden, um kontinuierlich und automatisch Tausende von Einwilligungen auf zuverlässige, sichere und anpassungsfähige Weise mit einem Zeitstempel zu versehen.

Die Echtheit von Rabatten, die bei Werbeaktionen angeboten werden, wird im Hinblick auf unlautere Geschäftspraktiken geprüft.

Obwohl es den Gewerbetreibenden freisteht, den Referenzpreis ihrer Wahl zu bestimmen (z. B. regulärer Preis, Preis des Wettbewerbers, empfohlener Preis), müssen sie in der Lage sein, die Realität des Referenzpreises, auf dessen Grundlage die Preissenkung angekündigt wird, zu begründen. Dazu können sie Notizen, Zettel, Bestellscheine, Verkaufsbelege, Kataloge, Werbeprospekte oder andere Unterlagen verwenden. Diese Methode ist jedoch kostspielig und schwierig auszuführen, insbesondere wenn Preisnachlässe online und wiederholt angeboten werden. Außerdem erfordert sie eine enorme Datenerfassung und eine beweisrelevante Archivierung. 

Um die Auswirkungen dieser Vorschriften zu begrenzen und die Anwendung von Preisnachlässen zu vereinfachen, wird Fachleuten empfohlen, ein automatisches Zeitstempel-Werkzeug zu verwenden, um die Aufbewahrung, Rückverfolgbarkeit und Integrität der folgenden Elemente sicherzustellen: 

- den gewählten Referenzpreis (Beispiel: Preis eines Mitbewerbers); 

- den Ort des gewählten Referenzpreises (Beispiel: eine Website-Seite); 

- das Datum der Anwendung des gewählten Referenzpreises. 

Die Implementierung zuverlässiger und anerkannter Beweismittel zur Rechtfertigung des Referenzpreises ist umso wichtiger, als die zuständigen Behörden den Online-Verkauf und insbesondere irreführende Ankündigungen von Preissenkungen genau beobachten.

Unabhängig davon, ob es sich um eine menschliche oder automatisierte Aktion handelt, hinterlässt jede Aktion in einem IT-System wahrscheinlich Spuren, die aufgezeichnet werden müssen. Diese könnten sein: 

- erfolgreiche Verbindung zu einer Anwendung; 

- Zugriff auf eine Datei oder auf das Internet; 

- versuchtes Eindringen in das Informationssystem; 

Ereignisprotokolle sind eine wesentliche technische Komponente für die ordnungsgemäße Verwaltung der Sicherheit von Informationssystemen. 

Um diese Zuverlässigkeit zu gewährleisten, können Ereignisse nicht durch die alleinige Verwendung der internen Uhr des Computers zeitgestempelt werden, da diese leicht verfälscht werden kann und im Laufe der Zeit natürlich abweicht. Die Behörden empfehlen, die Uhren von IT-Geräten mit mehreren internen Zeitquellen zu synchronisieren, die untereinander kohärent sind und ihrerseits mit mehreren zuverlässigen externen Quellen synchronisiert sind. 

Zweitens muss ein Protokollierungssystem insofern eingerichtet werden, als das Hauptziel der Protokollierung darin besteht, die Person oder das Gerät, die bzw. das ein Ereignis verursacht hat, direkt oder indirekt identifizieren zu können. 

Schließlich müssen Protokolle signiert und mit einem Zeitstempel versehen werden, sobald sie erstellt werden, um ihre Integrität zu gewährleisten.

Nach einer Reihe von Skandalen, die von mangelnder Transparenz der Lieferkette in der Lebensmittelindustrie zeugten, wurde mit der Verordnung Nr. 178/2002 vom 28. Januar 2002 die Rückverfolgbarkeit von Lebensmitteln auf allen Produktions-, Verarbeitungs- und Vertriebsstufen vorgeschrieben[4], um Kontaminationsquellen schneller identifizieren zu können. 

 In Bezug auf die Lieferkette (Nahrungsmittel, Luxusgüter, Wein, pharmazeutische Industrie) hat die elektronische Zeitstempelung und, allgemeiner, die Zeitstempelung, die auf die "Blockchain"-Technologie angewendet wird (eine Kette von Aufzeichnungen, die eine Reihe von Informationen auf dezentrale, transparente und sichere Weise verfolgt), ein echtes Potenzial, die Rückverfolgbarkeit und Kontrolle der Herkunft eines Produkts zu gewährleisten.  

 Auf jeder Stufe der Lieferkette (Hersteller, Verarbeiter, Händler) wird eine bestimmte Menge an Informationen (Daten, Herkunft) zu einem Lebensmittelprodukt von der Herstellung bis zum Verkauf in einem zeitgestempelten Blockchain-Register erfasst. Je nach Fall kann die Aufzeichnung im Register entweder durch menschliches Eingreifen, wie z. B. ein Foto der Artikel, oder automatisch durch den Einsatz von angeschlossenen Sensoren erfolgen. Jeder Akteur in der Lieferkette kann auf das Blockchain-Register zugreifen, um die Identität der Person, die die Informationen zuerst eingegeben hat, den Inhalt der Informationen selbst (deren Integrität garantiert ist) und das Datum der Registrierung dieser Informationen zu erfahren. 

 Und doch hat die Blockchain ihre Grenzen. Vertriebshändler und andere Importeure müssen ihre Handelsnetzwerke und andere Geschäftsgeheimnisse schützen. Die Transparenz einer Blockchain verhindert diesen Schutz, aber es gibt eine andere Lösung. Sie besteht in der Validierung durch einen vertrauenswürdigen Dritten aufgrund des Vorhandenseins sicherer, zeitgestempelter Registersysteme auf jeder Stufe der Lieferkette.

Qualitätssicherung und Überwachung von Dokumentenversionen

Geschäftskontinuitätspläne (GKP) werden seit langem von Käufern von Produkten und Dienstleistungen gefordert. Diese Pläne werden in der Regel jährlich getestet und aktualisiert. 

Sie sind unverzichtbar, denn sie geben Auskunft über die Maßnahmen zur Vermeidung von Betriebsunterbrechungen auf der Seite des Lieferanten, z. B. bei unvorhersehbaren Ereignissen oder Naturkatastrophen, und damit auch auf der Seite des Käufers. Daher ist es unerlässlich, dass Prüfungen und Aktualisierungen mit einem Zeitstempel versehen und sicher archiviert werden, um den Nachweis über die Zeit aufrechtzuerhalten und den rechtlichen Schutz aller Beteiligten zu gewährleisten. 

Vaultinum bietet sichere und zuverlässige Archivierungs- und Zeitstempeldienste.

Daten und Informationen werden häufig online eingereicht und manchmal zur Erstellung von Positionen, Angeboten oder Bewertungen verwendet. Um Streitigkeiten in Bezug auf den Inhalt der übermittelten Informationen und das Datum ihrer Übermittlung zu vermeiden und um zu gewährleisten, dass Anfragen ordnungsgemäß und innerhalb eines bestimmten Zeitrahmens bearbeitet werden, sollten die Inhalte sicher und mit einem Zeitstempel-Token archiviert werden. 

Vaultinum unterstützt Banken und Versicherungen, indem es ihnen eine schlüsselfertige Lösung für die Zeitstempelung und sichere Archivierung von Online-Anträgen bietet. Diese anpassungsfähige, zuverlässige und sichere Lösung ermöglicht die Automatisierung von zertifizierten Zeitstempeln und sichere Archivierung.

Die Digitalisierung von Rechnungsprozessen verspricht erhebliche Effizienzgewinne und Kostensenkungen. 

Auf steuerlicher Ebene erlauben viele Länder den Steuerzahlern, ihre empfangenen und ausgestellten Papierrechnungen zu digitalisieren und in digitalisierter Form für die steuerliche Aufbewahrungsfrist aufzubewahren. 

In den meisten Ländern müssen digitalisierte Rechnungen jedoch zwei Bedingungen erfüllen: 

- sie müssen gesichert werden, um ihre Integrität zu gewährleisten; 

- sie müssen mit einem Zeitstempel versehen sein. 

Obwohl der Zeitstempel intern sein kann, ist ein von einer vertrauenswürdigen dritten Partei oder durch ein qualifiziertes Zeitstempelverfahren zertifizierter Zeitstempel unerlässlich, um Streitigkeiten zu vermeiden, zumal der Zeitstempel von Rechnungen auch zur Durchsetzung von Zahlungsfristen und zur Berechnung von Säumniszuschlägen verwendet wird.

Die Meinungen, Darstellungen, Zahlen und Schätzungen, die auf der Website, einschließlich dieses Blogs, dargelegt werden, dienen nur zu Informationszwecken und sind nicht als Rechtsberatung zu verstehen.  Für eine Rechtsberatung sollten Sie sich an einen Rechtsexperten in Ihrer Gerichtsbarkeit wenden.

Die Verwendung von Inhalten dieser Website, einschließlich dieses Blogs, zu kommerziellen Zwecken, einschließlich des Weiterverkaufs, ist untersagt, es sei denn, es liegt eine Genehmigung von Vaultinum vor. In der Anfrage um Erlaubnis müssen der Zweck und der Umfang der Reproduktion angegeben werden.  Für nicht-kommerzielle Zwecke darf das gesamte Material dieser Publikation frei zitiert oder nachgedruckt werden, jedoch ist eine Danksagung zusammen mit einem Link zu dieser Website erforderlich.

Marine ist unsere Marketingdirektorin. Sie ist Spezialistin für Branding und Markenaktivierung und verfügt über internationale Erfahrung im BtoB- und BtoC-Bereich.

Marine Yborra

Obwohl der elektronische Zeitstempel vor allem bei der elektronischen Unterzeichnung von Dokumenten verwendet wird, ist er auch in vielen anderen Bereichen zu Beweis- und Rückverfolgungszwecken nützlich.

Wie kann Ihr Unternehmen von Zeitstempeln profitieren? Die Zeitstempelung ist ein zuverlässiges Instrument zur Sicherung Ihres Unternehmens. Es gewährleistet den Schutz von Urheberrechten und Daten

Zeitstempel: ein Werkzeug zur Sicherung Ihres Unternehmens

Fusionen und Übernahmen (M&A) sind zu einem festen Bestandteil der modernen Unternehmenslandschaft geworden. Mit den großen Internetgiganten, die Einhörner (unicorn companies) aufkaufen, und den großen Konglomeraten, die sich andere Unternehmen einverleiben, um ihren Markt zu vergrößern, sind M&A zum Schlagwort des Tages geworden.  Auch Private-Equity-Firmen haben, angetrieben durch die Aktienmärkte und die hohe Liquidität, aktiv Unternehmen in ihre Portfolios aufgenommen. 

Aber genauso wie man Blindflüge vermeiden soll, ist es wichtig, dass man die erforderliche Due-Diligence-Prüfung durchführt, bevor man die gepunktete Linie für eine M&A-Transaktion unterschreibt. Bei jeder M&A-Transaktion trägt die Due-Diligence-Prüfung dazu bei, sowohl dem Käufer als auch dem Verkäufer ein Gefühl der Sicherheit zu vermitteln.

Anhand der Informationen, die während der Due-Diligence-Prüfung gesammelt werden, kann sich der Käufer ein besseres Bild von den verschiedenen Aspekten des Unternehmens machen, in das er investieren möchte. Dies ermöglicht es, den Geschäftsdeal mit größerem Vertrauen und größerer Sicherheit abzuschließen.

WAS IST EINE AKQUISITIONS-DUE-DILIGENCE-PRÜFUNG BEI ÜBERNAHMEN?

Einfach zusammengefasst bezieht sich die Akquisitions-Due-Diligence auf eine Untersuchung eines Unternehmens, welches ein anderes Unternehmen zu übernehmen gedenkt. Sie wird durchgeführt, um alle Fakten und Zahlen zu bestätigen, die den Entscheidungsprozess des Käufers über die Fortführung des Geschäfts beeinflussen könnten.  Natürlich gelten die für die Due-Diligence-Prüfung bei Übernahmen festgelegten Grundsätze auch für die Due-Diligence-Prüfung bei Investoren, wenn ein Investor oder Risikokapitalgeber eine Beteiligung an einem neu gegründeten oder einem reiferen Unternehmen erwerben möchte. 

Im Rahmen der Due Diligence werden gründliche Recherchen und Untersuchungen durchgeführt, um alle finanziellen und rechtlichen Aspekte des untersuchten Unternehmens aufzudecken. Dies ist ein wesentlicher Schritt, der vor dem Abschluss einer M&A-Transaktion mit der anderen Partei durchgeführt werden muss.

Beim Erwerb eines Unternehmens muss die Due-Diligence-Prüfung Vermögenswerte und Verbindlichkeiten, rechtliche und finanzielle Verpflichtungen sowie die Marktposition des Unternehmens vollständig bewerten. Kurz gesagt, der gesamte Vorgang zielt darauf ab, die Durchführbarkeit einer M&A-Transaktion zu ermitteln, bevor sie abgeschlossen wird.

Erfahren Sie mehr über die Bedeutung einer investigativen Prüfung eines Unternehmens vor der Übernahme.