Geeignet für die Sicherstellung der Preiskonformität im elektronischen Handel

Geeignet für die Rückverfolgbarkeit der Lieferkette

Ermöglicht sofortige Berichte über Verstöße

Erstellung eines fälschungssicheren Nachweises für Datum und Uhrzeit eines Ereignisses

Weisen Sie gegenüber einer Aufsichtsbehörde nach, dass die praktizierten Rabatte die europäische Preisangabenverordnung über Rabatte einhalten

Sicherstellung der Rückverfolgbarkeit der Lieferkette

Erfassung und Zeitstempelung von Produktinformationen auf jeder Stufe der Lieferkette (Hersteller, Verarbeiter, Händler...)

Erbringung von Nachweisen für bestimmte Ereignisse 

Nachweis, dass ein Ereignis zu einem bestimmten Zeitpunkt eingetreten ist, um einen Fall zu gewinnen: Personen- oder Sachschäden, Unfälle, Verstöße usw...

Eine flexible Zeitstempel-Lösung, die Ihren geschäftlichen Anforderungen Rechnung trägt

Gewährleistung der Einhaltung von Normen und Vorbereitung auf Audits

Die Zeitstempelung ist die beste Lösung, um die Einhaltung von Vorschriften bei digitalen Dokumenten wie Rechnungen, Gehaltsabrechnungen, Rechtsdokumenten usw. zu gewährleisten.

1 - Der Kunde meldet sich über eine API auf der Vaultinum-Plattform an. Sobald wir das Dokument erhalten haben, wird ein Hash erstellt.

2 - Vaultinum fügt dem Hash ein Datum und eine Uhrzeit hinzu und erstellt ein Zeitstempel-Token.

3 - Der Kunde erhält den signierten Hash und den Zeitstempel zusammen mit dem Dokument zur Archivierung.

• Automatisierung mit einer API-Integration

• Entwicklerzentrum zur Unterstützung der Integration

• Hohe Leistung und Skalierbarkeit durch Design

• Konform mit dem Zeitstempel-Protokoll RFC3161

Zeitstempel: einfach zu implementieren, einfach zu nutzen

Möchten Sie mehr über unsere Timestamping-Lösung erfahren?

Zertifizierte und sichere Zeitstempel zur Erstellung eines fälschungssicheren Nachweises von Datum und Uhrzeit eines Ereignisses. Automatisierte Zeitstempelung in Verbindung mit einer API.

Zertifizierter Zeitstempel | Vaultinum

Man kann eine Cybersicherheitsprüfung als sorgfältige Inspektion des Informationssystems eines Unternehmens in seiner Gesamtheit und in seinen Details definieren. Ziel ist es, die Integrität der physischen und softwarebasierten Infrastruktur angesichts verschiedener Bedrohungen zu überprüfen und zu testen.

Die Analyse dient auch dazu, die Nutzung der verschiedenen Tools und deren Wartung zu überprüfen. Am Ende der Prüfung werden Empfehlungen ausgesprochen, um aufgedeckte Lücken zu schließen und riskante Verhaltensweisen der Nutzer zu korrigieren.

Welche Unternehmen sollten eine IT-Sicherheitsprüfung durchführen

Alle Strukturen, die mit dem Internet verbunden sind, sind Cyberangriffen ausgesetzt. Diese Angriffe können eine Vielzahl von Formen annehmen, wie Denial-of-Service-Angriffe (DoS), Phishing oder auch Ransomware, die das gesamte System einfrieren und so ein Unternehmen lahmlegen können. Diese Angriffe nutzen Software- oder menschliche Schwachstellen, wie z. B. schlechte Nutzungsgewohnheiten von Mitarbeitern, aus, um in Informationssysteme einzudringen. Da weltweit alle elf Sekunden ein Unternehmen angegriffen wird, ist jedes Unternehmen, unabhängig von seiner Größe, ein potenzielles Ziel und muss sicherstellen, dass sein Sicherheitssystem robust ist. Eine IT-Sicherheitsprüfung hilft, dies sicherzustellen.

Seit dem Inkrafttreten der EU-Verordnung am 25. Mai 2018 müssen alle Unternehmen die Anforderungen der Datenschutzgrundverordnung (DSGVO) erfüllen. De facto ist also jedes Unternehmen von der IT-Sicherheit betroffen. Denn wenn durch einen Cyberangriff Daten verloren gehen oder gestohlen werden, kann das Unternehmen Gegenstand einer Sammelklage der Opfer oder sogar einer strafrechtlichen Verurteilung werden.

Wann sollte eine IT-Prüfung durchgeführt werden?

Die gute Praxis einer erhöhten IT-Sicherheit legt nahe, mindestens einmal im Jahr eine Cybersicherheitsprüfung durchzuführen. Die Kosten dafür sollten daher im Budget für Ihr IT-System berücksichtigt werden.

Es wird auch empfohlen, eine Sicherheitsprüfung des Informationssystems durchzuführen, wenn ein Angriff oder Datendiebstahl vermutet wird. In diesem Fall muss so schnell wie möglich reagiert werden, um die Probleme zu lösen und einen wirksamen und dauerhaften Schutz einzurichten. In manchen Fällen können die Bedrohungen auch von Partnern ausgehen, mit denen das Unternehmen zusammenarbeitet. Die Vernetzung zwischen diesen Partnern und dem Unternehmen sowohl beim Datenaustausch als auch bei der gemeinsamen Nutzung von Rechten kann die Risiken erhöhen und das System verwundbar machen.

Es ist auch üblich, eine Prüfung zu planen, wenn Sie ein kritisches Programm einsetzen müssen. Kritische Software kann die Arbeitssoftware Ihrer Mitarbeiter sein, aber auch die Anwendung der Zugangskontrolle in Ihrem Unternehmen, das System zur Verwaltung des Fernzugriffs, die Implementierung von Cloud-Computing... Das hängt vom Unternehmen ab. Aber eines ist sicher: Anhand einer Prüfung können Sie sicherstellen, dass die Implementierung in einer stabilen digitalen Umgebung stattfindet.

Für Unternehmen, die im Auftrag Dritter mit einer großen Anzahl von Daten umgehen müssen, ist der Besitz der ISO-Norm 27001 ein Vertrauensbeweis für Kunden und Partner. Diese internationale Norm für die Sicherheit von Informationssystemen wird nach einem langwierigen Audit- und Compliance-Verfahren erlangt.

Welche Schritte umfasst eine Cybersicherheitsprüfung?

Der Umfang der Analyse hat einen direkten Einfluss auf die Kosten der Prüfung. Je nach Bedarf kann sich die Prüfung auf das gesamte Informationssystem oder nur auf einen Teil davon beziehen: Netzwerke, Zugriffsprotokolle, Hardware- und/oder Softwarekonfiguration, Gewohnheiten der Benutzer usw. Wenn Sie die Prüfung aufteilen, können Sie ein System bis ins kleinste Detail inspizieren. Diese Aufteilung ist einfacher, wenn Sie eine regelmäßige Analyse Ihrer IT-Sicherheit planen.

Bedrohungen können durch externe menschliche Eingriffe entstehen, z. B. Hacking, Denial-of-Service-Angriffe, Phishing usw., aber auch durch interne Handlungen. Interne Nachlässigkeit und Inkompetenz können ebenfalls ernsthafte Bedrohungen für die IT-Sicherheit darstellen. Beispielsweise können böswillige Mitarbeiter, die Zugang zu den Verwaltungstools des Informationssystems haben, einen Angriff auslösen oder Daten stehlen. Laut einem Bericht von IBM (IBM Security X-Force Threat Intelligence, 2023) ist der Faktor Mensch an über 90 % der Vorfälle beteiligt. Zu beachten ist, dass schwere Unwetter ebenfalls zu den Bedrohungen gehören, da sie die Speicher- und Kommunikationsinfrastruktur beschädigen können.

Man muss zwischen Bedrohungen und Schwachstellen unterscheiden. Bedrohungen sind Risiken, die das IT-System belasten, während Schwachstellen die den Einrichtungen innewohnenden Lücken sind. Bei der Sicherheitsprüfung wird beides analysiert. 

Ein Beispiel ist die Implementierung von Open-Source-Software unter der GNU GPL-, Apache- oder MIT-Lizenz. Die Basissoftware kann vollständig sicher sein, aber die Abhängigkeiten oder angehängten Module können veraltet sein. Dies stellt eine Schwachstelle dar. Unter den menschlichen Faktoren stellt die Identifikationspolitik eine zu berücksichtigende Schwachstelle dar.

Die Sicherheit des Informationssystems erproben

Damit eine Prüfung effektiv ist, muss sie auch die Erprobung des vorhandenen Sicherheitssystems beinhalten. Dies geschieht nicht nur durch Penetrationstests von außen, sondern auch durch aufeinanderfolgende Tests von verschiedenen Computern aus. Je nach Position des Mitarbeiters werden nämlich unterschiedliche Zugriffs- und Kontrollrechte gewährt. Ein Fehler bei der Gewährung dieser Privilegien stellt ein hohes Risiko dar.

Bei der Erprobung eines Informationssystems muss auch die physische und virtuelle Umgebung des Unternehmens berücksichtigt werden. Dann wird z. B. untersucht, ob es ein effektives Backup-System gibt, um die Daten bei Unwetter, Vandalismus, Denial of Service oder Datendiebstahl zu sichern.

Empfehlungen zur Erhöhung der Sicherheit übersichtlich darstellen

Am Ende einer Cybersicherheitsprüfung muss der Experte oder Dienstleister, der sie durchführt, einen umfassenden, aber auch lesbaren und verständlichen Bericht verfassen, in dem die verschiedenen Bedrohungen und Schwachstellen detailliert aufgeführt sind. Für jede erkannte Schwachstelle muss er eine wirksame Lösung vorschlagen und erläutern, wie diese umgesetzt werden kann und welche Maßnahmen ergriffen werden müssen, um ein hohes Sicherheitsniveau zu gewährleisten. Die Verbesserungen betreffen sowohl die Infrastruktur und die Software als auch die Verbindung mit dem Internet, bei der es zu menschlichen Fehlern kommen kann.

Antworten auf Ihre Fragen zur Cybersicherheitsprüfung

Warum sollte eine IT-Prüfung durchgeführt werden ?

Durch die Prüfung der Sicherheit des IT-Systems eines Unternehmens sollen die verschiedenen Bedrohungen und Schwachstellen aufgezeigt werden. Die verschiedenen Tests beziehen sich dabei nicht nur auf die Infrastruktur und die Software, sondern auch auf die Organisation der Anlagen.

Wie wird eine Cybersicherheitsprüfung durchgeführt ?

Um eine Prüfung der IT-Sicherheit durchzuführen, muss man gründlich und schrittweise vorgehen. Angesichts der Komplexität des Themas sollte man sich von einem Experten begleiten lassen. Die erste Phase umfasst eine Analyse mit dem Ziel, alle externen und internen Bedrohungen und Schwachstellen des IT-Systems aufzulisten. Anschließend müssen Tests unter realen Bedingungen oder realistische Simulationen (Pen-Tests) durchgeführt werden, um die vorhandene Sicherheit zu erproben. Schließlich muss auf der Grundlage der Ergebnisse eine Liste mit den erforderlichen Korrekturen und Empfehlungen erstellt werden.

KONTAKTIEREN SIE UNS FÜR IHRE CYBERSICHERHEITSPRÜFUNG

Die Meinungen, Darstellungen, Zahlen und Schätzungen, die auf der Website, einschließlich dieses Blogs, dargelegt werden, dienen nur zu Informationszwecken und sind nicht als Rechtsberatung zu verstehen.  Für eine Rechtsberatung sollten Sie sich an einen Rechtsexperten in Ihrer Gerichtsbarkeit wenden.

Die Verwendung von Inhalten dieser Website, einschließlich dieses Blogs, zu kommerziellen Zwecken, einschließlich des Weiterverkaufs, ist untersagt, es sei denn, es liegt eine Genehmigung von Vaultinum vor.  In der Anfrage um Erlaubnis müssen der Zweck und der Umfang der Reproduktion angegeben werden.  Für nicht-kommerzielle Zwecke darf das gesamte Material dieser Publikation frei zitiert oder nachgedruckt werden, jedoch ist eine Danksagung zusammen mit einem Link zu dieser Website erforderlich.

Philippe ist der CEO von Vaultinum. Als Experte für neue Technologien und Hochfinanz und nach 20 Jahren in der internationalen Fintech-Branche leitet Philippe nun Vaultinum.

Philippe Thomas

Eine Cybersicherheitsprüfung stellt jedes Unternehmen vor große strategische Herausforderungen. Denn in einer extrem vernetzten Welt ist das Informationssystem einer Vielzahl von externen und internen Bedrohungen ausgesetzt. Erfahren Sie, wann Sie diese Analyse durchführen sollten und welche bewährten Verfahren es gibt, um jeden Schritt des Sicherheits-Checks Ihres IT-Systems erfolgreich abzuschließen.

Erfahren Sie alles über die Prüfung der Cybersicherheit für Unternehmen. Wie Sie Schwachstellen aufspüren und mögliche Angriffe verhindern können.

Wie lässt sich eine erfolgreiche Cybersicherheitsprüfung durchführen ?

Wie lässt sich eine erfolgreiche Cybersicherheitsprüfung durchführen?

Der Quellcode eines Computerprogramms wird durch das Gesetz zum Schutz geistigen  Eigentums geschützt. Wie bei jeder Schöpfung kann dieser Quellcode Gegenstand einer  betrügerischen Nachahmung durch Personen mit bösen Absichten sein. Verschiedene  Maßnahmen ermöglichen es, ihn zu schützen und so den Mehrwert des Computerprogramms  oder der Website zu erhalten.

Wem gehört der Quellcode ? Wie steht es um das geistige Eigentum ?

Hinter jeder Software, jeder mobilen Anwendung und jeder Website steht ein Quellcode, der  ihre Ausführung ermöglicht. Wie bei jedem geistigen Werk, ähnlich wie bei einer Erfindung, steht das geistige Eigentum seinem Schöpfer zu. Dies wird als Urheberrecht bezeichnet. In  einer vereinfachten Sicht der Dinge gibt es zwei Arten von Schöpfern. Der Schöpfer kann eine  Privatperson sein, z. B. ein Programmierer, oder eine juristische Person (Unternehmen,  Organisation, Körperschaft ...). 

Neben dem Quellcode sind auch die Architektur der Software, die begleitende Dokumentation  und die Schnittstelle der Software geschützt. Gesetzes über geistiges Eigentum zählt auch das vorbereitende Entwurfsmaterial für die Software zu den urheberrechtlich geschützten Elementen. Mit anderen Worten: Software ist bereits in ihren ersten Test- und Probeversionen geschützt. 

Um als geistige Schöpfung anerkannt zu werden, müssen Software und ihr Quellcode ihre Originalität nachweisen. Das heißt, es muss nachgewiesen werden können, dass das Computerprogramm das Ergebnis einer eigenen geistigen Leistung, einer Anstrengung des  Entwicklers oder des Eigentümerunternehmens ist und eine eigene kreative Entscheidung zum Ausdruck bringt. 

Während ein unabhängiger Entwickler automatisch die Rechte an seiner Software besitzt, überträgt ein Arbeitnehmer in einem Unternehmen die Urheberrechte automatisch an die Organisation, bei der er beschäftigt ist. Dass der Arbeitnehmer das geistige Eigentum am Quellcode besitzt, ist nur aufgrund einer besonderen Vereinbarung zwischen ihm und seinem Arbeitgeber möglich. Es wird darauf hingewiesen, dass es einige Sonderfälle bei der  Ermittlung des Urhebers eines Werkes gibt, die in diesem Artikel nicht behandelt werden.

Wie lässt sich ein Quellcode vor Fälschungen schützen ?

Sobald ein Entwickler oder ein Unternehmen eine Software erstellt, besitzt er bzw. es automatisch die Rechte daran. Um jedoch Fälschungen und den Missbrauch des Quellcodes durch Dritte zu verhindern, wird dringend empfohlen, bestimmte Maßnahmen zu ergreifen, die den Schutz des Quellcodes verstärken.

Unabhängig von der Form des Programms können Sie mit einer Software Escrow einen unwiderlegbaren Beweis für den Zeitpunkt ihrer Erstellung erbringen und so im Streitfall das Urheberrecht beanspruchen. Sie können diese Eintragung bei einem spezialisierten  vertrauenswürdigen Dritten vornehmen, noch bevor Sie die Anwendung der breiten  Öffentlichkeit anbieten. Es ist sogar sehr empfehlenswert, diese Eintragung bereits in der  frühen Entwicklungsphase vorzunehmen und regelmäßige Aktualisierungen nicht zu  vergessen. Nach der ersten Eintragung ist es ratsam, die Software bei jeder Korrektur oder  Weiterentwicklung zu aktualisieren. Der vertrauenswürdige Dritte, bei dem der Quellcode  hinterlegt wurde, stellt Ihnen ein mit einem Zeitstempel versehenes Zertifikat aus, das als  Beweis dient, falls die Urheberschaft Ihrer Software in Frage gestellt wird. Neben dem Quellcode sind auch die grafische Oberfläche einer Website, technische  Verfahren, Methoden und Dokumentationen, Datenbanken, Betriebssysteme, 3D-Bilder, Pläne und Zeichnungen von Videospielen usw. urheberrechtlich geschützt, wenn sie die  Voraussetzung der Originalität erfüllen.

Sich die Zeit nehmen, die Nutzungslizenz für das Programm zu erstellen

In der Regel wird Software, eine mobile Anwendung oder eine Webanwendung nicht an den Kunden verkauft. Stattdessen wird dem Kunden eine Nutzungslizenz erteilt, mit der er die mit dem Computerprogramm verbundenen Dienstleistungen in Anspruch nehmen kann. Das  heißt, ihm werden seine Rechte und Grenzen aufgezeigt, insbesondere beim Kopieren und  beim Zugriff auf den Quellcode. Aus Gründen der Interoperabilität sind manche Entwickler gezwungen, ihren Kunden den Quellcode ganz oder teilweise offenzulegen. Das bedeutet jedoch nicht, dass sie ihre Rechte  am geistigen Eigentum verlieren. Im Gegenteil, eine Lizenzvereinbarung führt in keinem Fall  zu einer Übertragung des geistigen Eigentums und das Unternehmen, das die Software herausgibt, behält die Urheberrechte. Wenn er die Nutzung des Quellcodes auch nur teilweise über die im Impressum und in der  Lizenzvereinbarung festgelegten Grenzen hinaus zweckentfremdet, kann der Kunde  strafrechtlich verfolgt werden. Wenn Sie sich über die Grenzen der Rechte und Nutzungen, die mit dem Schutz des Quellcodes Ihrer Software verbunden sind, im Unklaren sind, empfehlen wir Ihnen, sich an einen Patentanwalt zu wenden, der Sie beraten kann.

Ob es sich um eine PC/Mac/Linux-Software, eine mobile iOS/Android-Anwendung, einen  Online-Shop oder SaaS (Software as a Service) handelt, der Quellcode kann eine  Sicherheitslücke darstellen und zum Einfallstor für Hacker in Ihre Systeme werden. Um die Cybersicherheit Ihres Programms zu gewährleisten und Ihre Kunden zu schützen,  sollten Sie so viele Sicherheitstests wie möglich durchführen und sich an die Empfehlungen  Ihrer nationalen Cybersicherheitsbehörde halten, um bewährte Verfahren für die IT-Sicherheit einzuführen. Wenn Sie nicht wissen, wo Sie anfangen sollen, lassen Sie ein  Cybersicherheitsaudit von einem externen Unternehmen durchführen. Führen Sie bei jeder entdeckten Schwachstelle so schnell wie möglich Patches durch. Auch wenn Ihre Softwareerstellung zum Teil auf Software von Drittanbietern, insbesondere Open  Source, beruht, sind Sie für Ihre gesamte Produktion und deren Sicherheitsniveau  verantwortlich. Beachten Sie, dass ein Ansatz zur Cybersicherheit zyklisch ist: Selbst wenn Patches einmal  durchgeführt und veröffentlicht wurden, müssen die Tests regelmäßig fortgesetzt werden, um  zu verhindern, dass Hacker irgendwann eine Schwachstelle in Ihrer Anwendung finden und  sie ausnutzen, um die Daten Ihrer Kunden zu stehlen oder deren Systeme zu blockieren

Zusammenfassung: Antworten auf Ihre Fragen zum geistigen Eigentum am Quellcode

re Fragen zum geistigen Eigentum am Quellcode Wer ist Eigentümer des Quellcodes ?

Seit der Unterzeichnung der Berner Übereinkunft im Jahr 1979 wurde durch  aufeinanderfolgende Entscheidungen des Berufungsgerichts und des Kassationsgerichts  festgestellt, dass Software dem Entwickler gehört, wenn er sie als Privatperson entwickelt hat.  Wenn in einem Unternehmen Angestellte im Rahmen ihrer Funktion und mit den Mitteln des  Unternehmens ein Programm entwickeln, fällt das geistige Eigentum daran vollständig an das  Unternehmen. Wenn ein Arbeitnehmer hingegen außerhalb seiner Arbeitszeit und mit seinen  eigenen Mitteln ein Programm entwickelt, gehört sein Werk ihm, ohne dass der Arbeitgeber  ein Mitspracherecht hat, außer bei Verletzung seiner geistigen Eigentumsrechte. In manchen  Fällen ist die Zuordnung des Urhebers zum Werk komplexer (z. B. im Fall eines freien  Mitarbeiters, im Fall von Co-Autoren) und erfordert einen Vertrag über die Abtretung von  Rechten. Im Zweifelsfall empfehlen wir Ihnen, sich an Ihren Patentanwalt zu wenden.

Die Definition von Quellcode kann vereinfacht als die für den Menschen verständliche  Sprache bezeichnet werden, die zur Erstellung eines Computerprogramms verwendet wird. Er  kann dem Objektcode gegenübergestellt werden, der die maschinenverständliche Sprache ist.  Alle Softwareprogramme, mobilen Anwendungen, Webseiten oder SaaS (Software As A  Service, in der Cloud) enthalten Quellcode.

Wie lässt sich der Quellcode schützen ?

Der erste Schutz des Quellcodes ist vor allem ein rechtlicher. Als Originalproduktion ist dieser  nämlich automatisch durch Artikel L112-2 des französischen Gesetzes über geistiges  Eigentum geschützt. Jeder, der Ihren Code oder Ihre Software ohne Ihre Zustimmung kopiert,  verwendet, übersetzt oder verwertet, kann also gerichtlich belangt werden. Sie können  Schadensersatz in Höhe des erlittenen Schadens verlangen. Um die Urheberschaft Ihres  Computerprogramms zu beweisen, hinterlegen Sie es bei einer zertifizierten  Vertrauensperson, die es mit einem zertifizierten Zeitstempel versieht. Diese Hinterlegung  kann bereits bei den ersten Prototypen und Testversionen der Software erfolgen.

Man kann einen Quellcode analysieren, um technische Fehler festzustellen und diese  anschließend zu korrigieren. Man kann einen Quellcode auch analysieren, um festzustellen,  ob ein Plagiat durch ein Konkurrenzprogramm oder eine Konkurrenzseite vorliegt. Die Prüfung  eines Quellcodes kann vor allem auch dazu dienen, sein Sicherheitsniveau zu bestimmen und  festzustellen, ob der Code bekannte Schwachstellen enthält. Entwicklerteams können ihren  Code mit Hilfe von Tools wie Review Board oder Crucible analysieren, aber nur Tools zum  Scannen von Quellcode, wie sie z. B. Vaultinum anbietet, können auf umfassende Weise alle  Schwachstellen in Bezug auf Cybersicherheit und geistiges Eigentum im Zusammenhang mit  dem Code aufdecken.

Marine ist unsere Marketingdirektorin. Sie ist Spezialistin für Branding und Markenaktivierung und verfügt über internationale Erfahrung im BtoB- und BtoC-Bereich.

Marine YBORRA

Die Durchführung eines Cybersicherheitsaudits ist heutzutage ein wichtiger Schritt für jede Organisation, deren Informationssystem mit dem globalen Netzwerk verbunden ist. Auf diese Weise lassen sich Lücken aufdecken, die von Personen mit bösen Absichten.

Geistiges Eigentum an Quellcode: Wie kann man sich schützen?

Allein in Deutschland haben Open-Source-Lizenzen ein Marktvolumen von 5,2 Milliarden Euro, wenn man die vom CNLL (Conseil National du Logiciel Libre) veröffentlichten Zahlen für das Jahr 2022 zugrunde legt. Bevor Sie sich für eine solche Lösung entscheiden, müssen Sie unbedingt alle Sicherheits-, Rechts- und praktischen Risiken berücksichtigen.

Definition von Open-Source-Lizenz zum besseren Verständnis des Konzept

Laut Definition ist Open-Source-Software ein Programm, dessen Code offen ist, im Gegensatz zu proprietärer Software, deren Code vollständig gesperrt ist. Vereinfacht gesagt ist eine Software mit einer Open-Source-Lizenz ein Programm, dessen Quellcode der Allgemeinheit zugänglich gemacht wird.

Es gibt einen begrifflichen Unterschied zwischen Open-Source-Software und freier Software. Geht man von den Regeln aus, die Richard Stallman, einer der Initiatoren der Freien-Software-Bewegung, aufgestellt hat, ist ein Programm frei, wenn es vier Hauptkriterien erfüllt :

- das Programm isst für jeden uneingeschränkt nutzbar, 

- die Funktionsweise des Programms kann frei analysiert werden,

- Kopien des Programms können frei geteilt und weiterverbreitet werden, 

- der Quellcode kann frei verbessert werden und möglichst viele Menschen können davon profitieren.

Bei der Verwendung einer Open-Source-Lizenz in Unternehmen muss besonders darauf geachtet werden, welche Art von Lizenz das Programm hält. Nachstehend sind die drei wichtigsten Arten von Open-Source-Lizenzen, die derzeit auf dem Markt erhältlich sind, und ihre Hauptmerkmale aufgeführt : 

Durch die Veröffentlichung eines Programms in der Public Domain verzichtet der Programmierer oder Entwickler auf sein Urheberrecht. So kann jeder die Software frei nutzen, weitergeben, aber auch verändern. Dies ist insbesondere bei der CC0-Lizenz (Creative Commons Zero) der Fall

Es gibt viele Lizenzen, die den Nutzern erweiterte Rechte einräumen, allerdings ohne dass der Lizenzinhaber auf das Urheberrecht oder den durch die Lizenz gewährten Schutz verzichtet. Unter bestimmten Bedingungen ist es möglich, ein Programm unter einer freizügigen Lizenz zu vermarkten. Ebenso gewährt die große Mehrheit dieser Art von Lizenzen keine Garantie für die Nutzung. Die MIT- und BSD-Lizenzen gehören zur Kategorie der freizügigen Lizenzen.

Im Gegensatz zur landläufigen Meinung bedeutet Copyleft nicht, dass man sein Urheberrecht an einer Software aufgibt. Die Idee von Copyleft ist es, das Kopieren und Weitergeben eines Programms zu erleichtern, ohne die der Lizenz innewohnenden Rechte aufzugeben. Je nach Grad des Copylefts (schwach oder stark) bedeutet eine Copyleft-Lizenz, dass der gesamte oder ein Teil des um den Open-Source-Baustein herum entwickelten Codes die gleichen Anforderungen erfüllt wie die Lizenz, aus der die Open-Source-Lizenz stammt. Selbst abgeleitete Programme (Forks) müssen sich an die Ursprungslizenz halten. Dies gilt insbesondere für die GNU GPL-Lizenzen.

Wie lassen sich die Risiken bei der Verwendung einer Open-Source-Lizenz minimieren

Immer mehr Unternehmen integrieren Open-Source-Lösungen in ihre Strukturen. Dies gilt insbesondere für die Verwaltung von Servern durch die Apache-Lizenz oder auch für die Verwaltung von Datenbanken. Auch CMS wie Wordpress, Joomla oder Prestashop, die zur Gestaltung von Webseiten dienen, sind unter einer freien Lizenz erhältlich.

Tausende von Softwareprogrammen sind heute als Open Source für Unternehmen verfügbar und bieten besonders günstige Zugangskosten. Folgende Aspekte sollten vor der Einführung einer Lösung mit Open-Source-Lizenz beachtet werden :

Sich mit der geltenden Lizenz vertraut machen

Software, die kostenlos heruntergeladen werden kann, bedeutet nicht zwangsläufig, dass es sich um freie Software handelt. So sind einige nicht kostenpflichtige Programme proprietär und nur in bestimmten Kontexten nutzbar (persönliche Nutzung, beschränkt auf kleine und mittelständische Unternehmen...). Für eine Nutzung in größerem Umfang muss man oft bezahlen.

Einige Open-Source-Systeme laufen unter einer doppelten Lizenz aus Open Source und proprietärer Lizenz, wie z. B. MySQL. Wenn Sie die Lizenzen nicht kennen, drohen Ihnen Geldstrafen für die Nichteinhaltung der Nutzungslizenz oder sogar Strafverfolgung. Vor jeder neuen Implementierung sollten Sie sich die Zeit nehmen, jede einzelne Klausel der Lizenz zu lesen.

Bevor Sie sich für eine Open-Source-Lizenz entscheiden, sollten Sie sich auch über die Lizenzierung der Dokumentationen und die Langfristigkeit des technischen Supports informieren. Beispielsweise gibt es bei den Ubuntu-basierten Distributionen (Linux) LTS-Versionen, die sowohl von einer umfangreicheren Dokumentation als auch von einem längerfristigen Support durch ihre Initiatoren profitieren.

Bei CRM- und ERP-Programmen für die Online-Verwaltung kollaborativer Projekte ändert sich die Lizenz je nach Anzahl der Nutzer. So ist bei ERPNext in der Version mit Open-Source-Lizenz und kostenloser Nutzung keine Garantie enthalten. Bei einem Bug oder einem Absturz, der zu Schäden in Ihrer Datenbank führt, müssen Sie selbst für technischen Support sorgen. Bei Odoo ist die Basisversion (Fakturierung und Buchhaltung) kostenlos, aber für die Zusatzmodule (HRM, Lagerverwaltung, Multi-User-Projektmanagement...) ist der Zugang zu den Diensten kostenpflichtig.

Eine vorherige Simulation der tatsächlichen Betriebskosten ausgehend von den Möglichkeiten der Open-Source-Lizenz sollte unabhängig von der geplanten Softwareimplementierung durchgeführt werden.

Berücksichtigung der Schwachstellen von Open-Source-Software

Keine Software, ob proprietär oder unter einer Open-Source-Lizenz, kann von sich behaupten, in puncto Sicherheit perfekt zu sein. Deshalb werden regelmäßig Updates veröffentlicht, um alle Schwachstellen zu beheben, die es böswilligen Personen ermöglichen würden, Daten zu stehlen oder die Software, die Saas-Lösung oder die Website funktionsunfähig zu machen.

Laut einer Studie von OSSRA (Open Source Security and Risk Analysis in 2022) enthalten 80 % der Programme Schwachstellen, die mit der Implementierung einer Open-Source-Lösung zusammenhängen, und über 50 % werden als hochriskant eingestuft.

Bei proprietärer Software liegt die Verantwortung für die Veröffentlichung eines Sicherheitspatches oder eines Updates bei den Entwicklern. Umgekehrt sollen Sicherheitslücken bei von Open-Source-Lösungen auf Grund ihres kollaborativen Charakters von der Gemeinschaft oder Stiftungen behoben werden, gleichgültig ob sie unter GNU GPL-, Copyleft- oder MIT-Lizenz genutzt werden. Der Zugang zum Quellcode wurde früher als Vorteil angesehen, da man Probleme sofort beheben konnte. Gegenwärtig belastet der wachsende Umfang der Open-Source-Bibliothek die Reaktionsfähigkeit der Entwickler bei der Veröffentlichung von Patches. Wenn eine Software, die für Ihr Unternehmen eine wichtige Rolle spielt, nur zögerlich die notwendigen Updates erhält, besteht für Sie ein erhebliches Risiko.

In vielen Fällen sind es die Verantwortlichen für das Informationssystem und die IT-Techniker selbst, die die Ursache für das Sicherheitsproblem sind. Sie vergessen nämlich manchmal die notwendigen Aktualisierungen. Solche Programmaktualisierungen betreffen nicht unbedingt die Hauptsoftware, sondern manchmal auch Nebenprogramme, die nicht immer überwacht werden.

Um die Sicherheitsrisiken von Software unter Open-Source-Lizenz zu minimieren, sollte vor der Installation von Open-Source-Software ein Schwachstellentest durchgeführt werden. Anschließend sollte eine klare Sicherheitspolitik festgelegt werden. Es muss festgelegt werden, wie oft Updates durchgeführt werden müssen, und es muss ein Überwachungssystem eingerichtet werden, um über erkannte Schwachstellen Bescheid zu wissen. Ziel ist es, während der gesamten Nutzungsdauer der Software optimale Sicherheit zu gewährleisten. Dies ist umso wichtiger, wenn die installierte Anwendung kritische Funktionen für die Entwicklung des Unternehmens übernimmt.

Antworten auf Ihre Fragen zu Open-Source-Software

Open-Source-Software ist eine Anwendung, deren Quellcode der Allgemeinheit zugänglich ist. Das bedeutet nicht, dass das Programm kostenlos ist, obwohl die meisten Open-Source-Lösungen ohne Zugangsgebühren verfügbar sind. Unternehmen müssen unbedingt die rechtlichen Aspekte einer Lizenz analysieren, um eine ungehinderte Nutzung der gewählten Lösung zu gewährleisten.

Open-Source-Software ist in den allermeisten Fällen kostenlos und frei nutzbar und bietet gleichzeitig zahlreiche Funktionen. Sie reduziert daher die Kosten für den Zugang und den Betrieb des Informationssystems in Unternehmen. Dennoch ist besonders auf die Sicherheit und die Art der Lizenz zu achten, um den vollen Nutzen daraus zu ziehen.

Kontaktieren Sie uns für eine Audit des IP

Software mit einer Open-Source-Lizenz hat viele Vorteile. Dennoch müssen Sie die Risiken dieser Nutzung erkennen, um Sicherheitsprobleme zu vermeiden.

Wie lassen sich die Risiken von Open-Source-Lizenzen vermeiden ?

Wie lassen sich die Risiken von Open-Source-Lizenzen vermeiden?

Due Diligence ist ein Instrument zur Risikobewertung, das vor einem Erwerb oder einer Investition unterschiedlicher Art eingesetzt wird. Diese Sorgfaltspflicht besteht vor allem bei der Übernahme von Zielunternehmen. Im Rahmen solcher großen Transaktionen ist es notwendig, eine eingehende Prüfung durchzuführen, um die mit dieser Operation verbundenen Akquisitionsrisiken zu begrenzen. Die Due-Diligence-Prüfung untersucht das gesamte Leben des Zielunternehmens und ermöglicht die Validierung oder Anpassung des Wertes. Diese Prüfung muss nach ethischen Grundsätzen und unabhängig durchgeführt werden.

Die Due-Diligence-Prüfung ist das Verfahren, mit dem ein Unternehmen den finanziellen, rechtlichen und administrativen Status jedes Unternehmens überprüft, das im Rahmen einer Fusion erworben oder assimiliert werden soll. Bei der Prüfung werden die Vorgeschichte des Zielunternehmens, seine aktuellen Maßnahmen und auch seine Prognosen berücksichtigt.

Die Due-Diligence-Prüfung ist ein Vorsorgeprinzip. Der Erwerb eines oder mehrerer Unternehmen ist ein komplexer Vorgang, an dem verschiedene Parteien mit möglicherweise divergierenden Interessen beteiligt sind. Außerdem erfordert die eingehende Prüfung heterogener Elemente besondere Aufmerksamkeit von den beteiligten Parteien. Die Einhaltung der Due-Diligence-Prüfung ist daher von entscheidender Bedeutung für den Erwerber, der sich nicht auf seine Unwissenheit berufen kann, um sich im Falle eines Problems nach dem Erwerb rechtlich zu schützen. Dieser Grundsatz spiegelt den Gedanken des "caveat emptor" wider, der den Käufer zur Vorsicht mahnt.

Obwohl die Due-Diligence-Prüfung keine rechtliche Verpflichtung darstellt, ist sie dennoch Teil einer Vorsorgestrategie zum besseren Schutz des in einer großen Transaktion investierten Kapitals.

DUE-DILIGENCE-PRÜFUNG, EIN STRATEGISCHES INSTRUMENT

Neben der Sorgfaltspflicht eines jeden Unternehmens, das eine Transaktion mit hohem Kapitaleinsatz durchführt, ist die Due Diligence Teil einer globalen strategischen Maßnahme. Die durchgeführte Prüfung ermöglicht es, den Stand der Dinge und die Prognosen des Zielunternehmens besser zu erkennen und festzustellen, ob sie mit der Realität vor Ort übereinstimmen. Man kann auch ein Sozialaudit durchführen, um die Stärke des Humankapitals zu ermitteln, oder eine finanzielle Due Diligence, um die wichtigsten wirtschaftlichen Elemente des Zielunternehmens zu untersuchen. Die Prüfung sollte auch die Bewertung der Aktiva und Passiva, der Ergebnisse und der Höhe der Verschuldung umfassen. Stimmen einige Elemente nicht mit den Informationen überein, die bei den vorangegangenen Verhandlungen vorgelegt wurden, öffnet dies die Tür für einen Preisnachlass.

Idealerweise sollte die Due-Diligence-Prüfung auch eine industrielle Prüfung der technologischen Risiken und des Risikos einer Verletzung der Rechte an geistigem Eigentum umfassen. Dadurch wird festgestellt, ob das Unternehmen Eigentümer der immateriellen Vermögenswerte ist, und es können geeignete Maßnahmen ergriffen werden, falls dies nicht der Fall ist (Übertragung, Abtretung usw.). Die Rechte an geistigem Eigentum spielen in den meisten Unternehmen eine zentrale Rolle, und ihr Schutz ist daher unerlässlich.

Nehmen wir das Beispiel eines Unternehmens, dessen wichtigstes Gut Software ist. Der Erwerb eines solchen Unternehmens erfordert eine gründliche Untersuchung der Software, insbesondere ihres Inhalts, der Verwendung von Open-Source-Lizenzen, des Eigentums am Quellcode und der Wartung. Um diese komplexe Bewertung zu unterstützen, hat Vaultinum eine Reihe von Lösungen zur Prüfung von Software entwickelt: “Know-Your-Software” (Kennen Sie Ihre Software).

DUE-DILIGENCE-PRÜFUNG, EINE UMFASSENDE ANWENDUNG

Ursprünglich für den Erwerb oder die Fusion von Unternehmen eingesetzt, erstreckt sich die Due Diligence heute auch auf andere Bereiche wie Banken und Kreditinstitute.

Bevor ein Kreditgeber einen Kredit gewährt, muss er sich u. a. von der Zahlungsfähigkeit seines Kunden überzeugen. In den meisten Ländern sind Finanz- und Bankinstitute verpflichtet, die Herkunft und den Bestimmungsort der von ihnen verwalteten Gelder genau zu prüfen. Ziel der Sorgfaltspflicht ist es, den Anteil toxischer Kredite sowie die Risiken der Geldwäsche und der Finanzierung krimineller Organisationen zu verringern.

Gewerbliche Schutzrechte und Urheberrechte

Die Sorgfaltspflicht gilt auch im Bereich des geistigen Eigentums (IP), sei es bei der Bewertung von gewerblichen Schutzrechten (Marken, Entwürfe und Patente) oder von literarischen und künstlerischen Eigentumsrechten (Urheberrecht, insbesondere für Software).  Alle diese Rechte stellen für ein Unternehmen ein erhebliches immaterielles Kapital dar, das oft schwer zu bewerten ist. Die Due-Diligence-Prüfung ermöglicht es daher, die Rechte an geistigem Eigentum eines Zielunternehmens aufzuzeigen und etwaigen Schwierigkeiten, die sich aus einem schlechten Management ergeben können, vorzugreifen. Die Prüfung ermöglicht es, Probleme zu erkennen, die z. B. durch eine Übertragung von Rechten gelöst werden können, um Rechtsstreitigkeiten zu vermeiden.

Im Rahmen der Due-Diligence-Prüfung muss auch festgestellt werden, ob das Zielunternehmen ein System zum Schutz der persönlichen und beruflichen Daten eingerichtet hat. Die Überprüfung der Sicherheit von Informationssystemen ist heutzutage ein unverzichtbarer Schritt in jedem Due-Diligence-Verfahren. Ein Versäumnis kann rechtliche und finanzielle Folgen für das neue Unternehmen haben. Die Analyse der Risiken im Zusammenhang mit der Sicherheit von Informationen, insbesondere von vertraulichen Informationen, ist daher unerlässlich.

DUE-DILIGENCE-PRÜFUNG, EINE PRÜFUNG, DIE VON EINER UNABHÄNGIGEN STELLE DURCHZUFÜHREN IST

Damit die Due-Diligence-Prüfung in vollem Umfang genutzt werden kann, muss sie von einer Einrichtung durchgeführt werden, die von den beteiligten Unternehmen völlig unabhängig ist. Je nach Größe der zu prüfenden Organisation sollte das Verfahren von einem Berater oder einer spezialisierten Firma durchgeführt werden. Der Prüfer darf keine Verbindung zu der geprüften Struktur haben. Andernfalls bestünde ein Interessenkonflikt und die Schlussfolgerungen würden als voreingenommen gelten.

Die Wahl des Prüfers ist von entscheidender Bedeutung für einen Bericht, der die Realität so getreu wie möglich wiedergibt. Es ist wichtig, die früheren Arbeiten des Prüfers zu konsultieren, um sicherzustellen, dass sein Fachgebiet mit dem des zu prüfenden Unternehmens übereinstimmt.

Due Diligence ist ein Instrument zur Risikobewertung, das vor einem Erwerb oder einer Investition unterschiedlicher Art eingesetzt wird. Diese Sorgfaltspflicht besteht vor allem bei der Übernahme von Zielunternehmen. Im Rahmen solcher großen Transaktionen ist es notwendig, eine eingehende Prüfung durchzuführen, um die mit dieser Operation verbundenen Akquisitionsrisiken zu begrenzen.

Erfahren Sie mehr darüber, warum die Sorgfaltspflicht im Geschäftsleben so wichtig ist

Due Diligence: Das Vorsichtsprinzip In Der Wirtschaft

Fusionen und Übernahmen sind ein fruchtbarer Boden für Cyber-Kriminelle, der ihnen sowohl kurz- als auch langfristige Möglichkeiten bietet. 

Kurzfristig sind die Daten in der Übergangsphase des Geschäftsbetriebs anfälliger und einem höheren Angriff-Risiko ausgesetzt.  Mehr als eine von drei von IBM befragten Führungskräften gab an, dass sie von Datenverletzungen betroffen waren, die auf Fusionen und Übernahmen während der Integration zurückgeführt werden können. [2]

Langfristig gesehen bieten Fusionen und Übernahmen eine hervorragende Gelegenheit, in die Netzwerke des fusionierten oder übernommenen Unternehmens einzudringen, häufig unter Einsatz von ‘Advanced Persistent Threats’ (APT; deutsch „fortgeschrittene andauernde Bedrohung“), um sich über einen längeren Zeitraum Zugang zur Umgebung und zu den Informationen des Zielunternehmens zu verschaffen.

Schockierenderweise warten mehr als 50 Prozent der von IBM befragten Unternehmen, bis die Due-Diligence-Prüfung abgeschlossen ist, bevor sie eine technische Bewertung von M&A-Transaktionen vornehmen.[3] Die Cyber-Bedrohungen, denen diese Transaktionen ausgesetzt sind, machen deutlich, wie wichtig es ist, bereits vor der Übernahme eine Software-Due-Diligence-Prüfung durchzuführen, um versteckte Schwachstellen aufzudecken.

Ein Unternehmen kann zwar über modernste Cybersicherheit verfügen, doch wenn es ein anderes Unternehmen mit schwacher Sicherheit oder bestehenden Schwachstellen erwirbt, könnte es für Schäden aus Vorfällen haften, die sich vor der Fusion ereignet haben, wie die Datenschutzverletzung bei der Hotelgruppe Marriott zeigt. 

Obwohl die Datenschutzverletzung erst 2018 entdeckt wurde, wurde sie auf einen Cyberangriff zurückgeführt, der 2014 bei der 2016 übernommenen Hotelgruppe Starwood stattfand [4]. Hätte Marriot vor der Übernahme eine Software-Due-Diligence-Prüfung durchgeführt, hätte diese Schwachstelle entdeckt werden können und/oder es hätten Maßnahmen ergriffen werden können, die mit einer geänderten Bewertung einhergegangen wären.  Außerdem kann die Übernahme eines Unternehmens, das möglicherweise Schwachstellen aufweist, der Integration eines trojanischen Pferdes gleichkommen.

Von Europa über die USA bis hin zur ganzen Welt sind die Datenschutzbestimmungen und die Gesetze zur Offenlegung von Sicherheitsverletzungen sehr unterschiedlich, so dass eine marktübergreifende Due-Diligence-Prüfung für Unternehmen und insbesondere für multinationale Konzerne unerlässlich ist.  Die Hotelgruppe Marriott war Gegenstand zahlreicher Gerichtsverfahren und behördlicher Maßnahmen in mehreren Ländern, wobei Marriott allein im Vereinigten Königreich wegen des Datenschutzverstoßes mit einer Geldstrafe in Höhe von 130 Millionen Dollar rechnen muss [5].  

Die Umsetzung der Datenschutz-Grundverordnung in Europa hat zu einem Anstieg der Schadensmeldungen geführt. Nach Angaben der Anwaltskanzlei Pinsent Manson wurden zwischen März 2019 und Mai 2020 von den europäischen Datenschutzbehörden insgesamt 190 DSGVO-Bußgelder im Wert von fast 500 Millionen US-Dollar verhängt [6]. Zu den bemerkenswert hohen Bußgeldern für Verstöße gehören 57 Millionen US-Dollar für Google in Frankreich und 41 Millionen US-Dollar für H&M in Deutschland [7].

In den USA nimmt die Zahl der Rechtsstreitigkeiten wegen Datenschutzverletzungen zu, da Anwaltskanzleien und Rechtsfinanzierungsunternehmen aktiv versuchen, Sammelklagen einzureichen, was durch jüngste Gerichtsentscheidungen wie das Urteil zum Datenschutzverstoß bei Capital One begünstigt wurde, bei dem ein nach einem Datenschutzverstoß erstellter forensischer Bericht verwendet wurde, um das Unternehmen haftbar zu machen.  Diese Berichte sind für ein geschädigtes Unternehmen hilfreich, ja sogar notwendig, um zu verstehen, was schief gelaufen ist,  und gleichzeitig bedeutet dieses Urteil, dass auch andere, z. B. Kunden oder Nutzer, auf einen solchen Bericht zugreifen können, um Unternehmen für Datenschutzverletzungen haftbar zu machen.

3.     Besitz geistigen Eigentums und Skalierbarkeit

Die Bedeutung von Rechten des geistigen Eigentums für die Gesamtbewertung von Unternehmen gewinnt weltweit immer mehr Anerkennung.  Im Jahr 1975 machten immaterielle Vermögenswerte des geistigen Eigentums nur etwa 17 % des Marktwerts der S&P-500-Unternehmen aus, 2015 waren es bereits 87 %, und einer Analyse aus dem Jahr 2019 zufolge erwirtschaften Branchen, die Rechte des geistigen Eigentums intensiv nutzen, rund 45 % des BIP in der EU (6,6 Mio. EUR).[8]

Wenn Sie ein Unternehmen erwerben oder in ein Unternehmen investieren, das Software vertreibt, müssen Sie unbedingt überprüfen, ob das Unternehmen tatsächlich Eigentümer der Software ist.  Software wird in rasantem Tempo erstellt, aber selten ist diese Software zu 100 % Eigentum des Erstellers. Bei kommerzieller Software wird es immer üblicher, Teile von Software-Code aus anderen Programmen zu integrieren.

Die Verwendung von fremdem Code, ob kommerziell oder Open Source, spart zwar Zeit und senkt die Kosten, schafft aber auch potentielle Probleme, die die Freiheit der Vermarktung des Endprodukts einschränken können. Diese Einschränkungen können ein Softwareunternehmen daran hindern, den vollen Nutzen aus seinen eigenen Entwicklungen zu ziehen.  Darüber hinaus kann die missbräuchliche Verwendung von Drittanbieter-Software oder eine zu große Abhängigkeit von dieser das Wachstum eines Unternehmens behindern und sogar sein Überleben gefährden.

Auch wenn das Zielunternehmen keine Software vertreibt, kann es bei der Verwendung von Software, die Drittanbieter-Software integriert, zu ernsthaften Problemen mit der Skalierbarkeit und Wartbarkeit kommen.   Solche Software wird in Form von herunterladbaren Programmen für Maschinen oder Dienste oder als gehosteter Dienst bereitgestellt und wird in der Regel an Unternehmen lizenziert und nicht verkauft. Mit anderen Worten: Die Unternehmen sind auf Software angewiesen, die sie nicht besitzen, sondern mieten. 

Dies hat mehrere Auswirkungen, die die Vorteile der Nutzung der Software zunichte machen können. 

1) Dies bedeutet, dass für die Nutzung und den Einsatz der Software Beschränkungen gelten. 

2) Es erzeugt Abhängigkeiten zwischen dem Unternehmen und seinem Softwareanbieter und wirft die Frage auf, was passiert, wenn der Anbieter in Konkurs geht oder die Software einstellt.

3) Es erzeugt Sicherheitsrisiken.  Der fehlende Zugriff auf den Quellcode oder die fehlende Möglichkeit, ihn auf Fehler oder Probleme zu überprüfen, stellt ein inhärentes Risiko für den Betrieb des Unternehmens dar, welches die Software einsetzt.

Die Technologie oder Software eines Unternehmens besteht ebenso wie Finanzunterlagen oder juristische Verträge aus verschiedenen Komponenten, die einzeln und in ihrer Gesamtheit betrachtet ihre Robustheit gegenüber einer Vielzahl von Risiken zeigen werden. 

Da sich immer mehr Unternehmen auf Software verlassen, sei es für den Betrieb oder als Endprodukt, reicht es für einen potentiellen Investor nicht aus, die rechtlichen, finanziellen und strategischen Überlegungen zu analysieren.  Die technologische Due Diligence ist eine systematische Methode zur Bewertung und Abschwächung technischer Risiken aus der Geschäfts- oder Investitionsperspektive. 

Ein umfassender Tech-Due-Diligence-Bericht sollte Einblicke in die Stärken eines Unternehmens, umsetzbare Empfehlungen für Verbesserungen und Anleitungen zur Bewältigung allgemeiner Risiken bieten.

Ob es darum geht, den Verkauf eines Unternehmens vorzubereiten, Investitionen zu tätigen, neue Kunden zu gewinnen oder die betrieblichen Strukturen zu verbessern - das Ziel der Know-Your-Software-Lösungsreihe ist es, Unternehmen und Investoren die Werkzeuge an die Hand zu geben, mit denen sie kritisches Wissen über die Technologie eines Unternehmens erlangen, Risiken mindern und das Wachstum erleichtern können.

Die Know Your Software-Lösung von Vaultinum ist ein mehrgleisiger Ansatz für Software-Audits.  Auf einer Ebene bewerten die Online-Selbsteinschätzung-Fragebögen von Know-Your-Software die Verwaltung, den Betrieb und die Nutzung von Software und decken potentielle Probleme in Bezug auf geistiges Eigentum, Cybersicherheit, Skalierbarkeit und Wartbarkeit auf.  Auf der nächsten Stufe überprüft Know-Your-Software den Quellcode auf gängige Bedrohungen und Schwachstellen. 

Zusammengenommen liefert Know-Your-Software ein vollständiges Bild der Software und der Technologie-Managementprozesse des Unternehmens.

[1] Institute for Mergers, Acquisitions and Alliances (IMAA), https://imaa-institute.org/m-and-a-by-industries/

[2] Benchmark Insights (2020) Assessing cyber risk in M&A. IBM Corporation.

[4] Brewster, T. “Revealed: Marriott's 500 Million Hack Came After A String Of Security Breaches”. Forbes, 3 Dec. 2018, https://www.forbes.com/sites/thomasbrewster/2018/12/03/revealed-marriotts-500-million-hack-came-after-a-string-of-security-breaches/

[5] Dobie, G., Whitehead, J. (2020). Managing the impact of increasing interconnectivity: Trends in Cyber Risk. Allianz Global Corporate & Specialty.

[6] Dobie, G., Whitehead, J. (2020). Managing the impact of increasing interconnectivity: Trends in Cyber Risk. Allianz Global Corporate & Specialty.

[8] International Chamber of Commerce (ICC). “The ICC Intellectual Property Roadmap”, 14th edition, 2020.

Nach Angaben des ‘Institute for Mergers, Acquisitions and Alliances (IMAA)’ rangieren Fusionen und Übernahmen im Hightech-Bereich seit 1985 an zweiter Stelle der gesamten Fusionen und Übernahmen mit einem Gesamtwert von fast 5 Billionen USD. [i] Der kontinuierliche Anstieg der Investitionen und Übernahmen von Hightech-Unternehmen hat die mit diesen Geschäften verbundenen Risiken und die Notwendigkeit, die Due-Diligence-Vorgänge um umfassende, automatisierte Software-Audits zu erweitern, in den Fokus gerückt. 

Dieser Artikel wirft einen Blick auf die drei größten Risiken, die potentielle Investoren und Übernehmer bei diesen Geschäften beachten müssen, und zeigt auf, wie sie diese Risiken mindern können.

Erfahren Sie mehr über Die 3 größten Risiken bei Fusions- und Übernahmegeschäften im High-Tech-Sektor

Die 3 Grössten Risiken Bei M&A-Transaktionen Im Tech-Bereich

Die 3 Grössten Risiken Bei M&A-Transaktionen Im High-Tech-Bereich

Die Schlagzeilen sind bezeichnend: "Verlorene Passwörter bringen Millionäre um ihr Bitcoin-Vermögen"[1] "Eine Krypto-Börse hat möglicherweise 145 Millionen Dollar verloren, nachdem ihr CEO plötzlich verstorben ist"[2] Ob Sie nun CEO einer Krypto-Börse, passiver Investor oder neu auf dem Krypto-Markt sind, wir alle unterliegen der gleichen menschlichen Fehlbarkeit, nämlich dem Verlust oder der Verlegung des Passworts, und sind daher alle gleichermaßen dem Risiko eines finanziellen Verlusts ausgesetzt.  Passwort verlieren und Millionen verlieren? Es stellt sich die Frage, wie wir unser digitales Vermögen in Kryptowährungen sicher schützen können, damit wir nicht aufgeschmissen sind, wenn uns das Gedächtnis verlässt oder ein unvorhergesehenes Ereignis eintritt.  

Trotz der erheblichen Folgen ist das Problem einfach und es gibt eine einfache Lösung.  Um besser zu verstehen, worum es hier geht, lassen Sie uns zunächst einen Crash-Kurs über Kryptowährungen absolvieren, lernen, wie Kryptowährungen über digitale Geldbörsen eingesetzt werden, einige der größeren Risiken dieser Geldbörsen prüfen und schließlich sehen, welche Schritte wir unternehmen können, um unsere digitalen Vermögenswerte besser zu schützen.  

In der heutigen Welt sind die Vermögenswerte zunehmend digital ("Digital Assets").  Bitcoin, Etherum, Litecoin, Cardano, Stellar - das sind nur einige der mehr als 4.000 Kryptowährungen, die im Januar 2021[3] existieren.  Wir werden nicht zu sehr in die Hintergründe von Kryptowährungen eintauchen, es gibt viele Artikel und YouTube-Videos, die in dieser Hinsicht hervorragende Arbeit leisten. Im Grunde ist Kryptowährung die virtuelle oder digitale Darstellung von Währung in bestimmten Umgebungen oder Situationen, oft in Form von virtuellen "Münzen" oder "Token".  Letztere beschränken sich nicht nur auf die bloße Darstellung einer Währung, sondern dienen auch als Anlageinstrument zur Kommerzialisierung digitaler Werke. 

Die bekannteste und am weitesten verbreitete dieser Kryptowährungen ist Bitcoin.  Dieses Beispiel eines digitalen Vermögenswerts und ähnliche werden größtenteils von einem dezentralen Netzwerk von Computern verwaltet, die Blockchain-Protokolle und Open-Source-Software verwenden, die alle dieselben vordefinierten Regeln für Kryptowährungen befolgen.   Mit dieser Software kann man eine digitale Brieftasche erstellen, in der die sogenannten "Schlüssel" zu den Bitcoins gespeichert werden.    

Um den Mechanismus von Krypto-Schlüsseln besser zu erklären, nehmen wir die Analogie zu einer traditionellen Bank, bei der man eine Kontonummer, eine Sicherheits-PIN-Nummer (Identifikationsnummer, engl. personal identification umber) und im heutigen digitalen Zeitalter einen passwortgeschützten Zugang zu einem Online-Konto erhält.  Bei der Kryptowährung haben wir statt Konten, Pins und Passwörtern Schlüssel und einen Seed.    

Genauergesagtgibt es einenöffentlichenSchlüssel und einenprivatenSchlüssel.Der öffentlicheSchlüsselistwieeineKontonummer, die der Empfänger dem Sender mitteilt, damitdieserweiß, wohin er das Geld schickensoll.Der private Schlüsselistvergleichbarmiteiner Bank-PIN-Nummer oder der Zahlenreihe, die Sie eingeben, um beispielsweisezubeweisen, dass das Geld auf der Kreditkarte, die Sie benutzen, tatsächlich Ihnen gehört.

Der letzte Punkt, der uns heute beschäftigt, ist das Passwort oder der "Seed", mit dem Sie Zugang zu Ihrer digitalen Brieftasche erhalten, indem Sie Ihren privaten Schlüssel entschlüsseln. Dieses Passwort besteht aus einer Abfolge von 12 bis 24 automatisch generierten Wörtern, die nur Ihnen, dem Besitzer, bekannt sind.    

Wenn also in unserem Beispiel der traditionellen Bank der öffentliche Schlüssel eine Kontonummer und der private Schlüssel die PIN-Nummer ist, dann ist der Seed Ihr Passwort, das Sie "freischaltet" und Ihnen Zugang zu Ihrem Online-Konto gibt.    Im Gegensatz zu einem normalen Online-Bankkonto gibt es jedoch keine Möglichkeit, ein vergessenes Passwort wiederherzustellen.  Wenn das Passwort oder der Seed verloren geht, ist alles verloren, auch Ihre Millionen! 

Kryptowährungstransaktionen über digitale geldbörsen 

Wie bereitserwähnt, könnenKryptowährungenwiejedeandereWährungzum Kauf von Produkten und Dienstleistungenoder für andereArten von Transaktionenverwendetwerden.Aber da wir es nichtmitkaltem, hartemBargeldzu tun haben, wiefunktioniert das genau?Die typische Praxis für Inhaber von Kryptowährungenist die Verwendung von ‘Cold Wallets’ (dtsch. kalteGeldbörsen), ‘Hot Wallets’(dtsch. warmeGeldbörsen) odereinerKombinationausbeidem.

Cold Wallets für sicherheitsbewusste Menschen

Cold Wallets  (dtsch. kalte Geldbörsen) oder "Hardware"-Wallets befinden sich auf greifbaren Geräten wie einem USB-Stick. Das Gerät muss zunächst mit dem Internet verbunden werden, das Passwort muss eingegeben werden, um den privaten Schlüssel zu entschlüsseln, und dann wird eine geräteinterne Signatur erstellt, mit der sichere Transaktionen durchgeführt werden können.  Der private Schlüssel verlässt nie das Gerät, so dass keine heute existierende Malware seine Signatur fälschen kann. Trezor und Ledger sind zwei beliebte Marken von Cold Wallets.    

Cold Wallets sind zwar sicherer, erfordern aber im Gegensatz zu Hot Wallets den Zwischenschritt, sich mit dem Internet zu verbinden, um z. B. eine Zahlung zu tätigen, und gelten daher als weniger benutzerfreundlich.   

Hot Wallets für Transaktionen von unterwegsaus

Hot Wallets  (dtsch. warme Geldbörse) sind ein Online-Speichersystem, ob webbasiert, mobil oder auf einem Desktop, das sowohl den privaten als auch den öffentlichen Schlüssel enthält und einen einfachen Zugriff auf die gespeicherte Kryptowährung ermöglicht, um den Austausch zwischen Währungen, Produkten oder Dienstleistungen von unterwegs aus durchzuführen.  Da Hot Wallets beide Schlüssel enthalten und immer online sind, daher das "hot", muss kein separates Gerät mit dem Internet verbunden werden, um eine Kryptowährungstransaktion durchzuführen.  MetaMask und Crypto.com sind zwei Beispiele für diese Art von digitalen Geldbörsen.  

Da das Speichersystem jedoch digitalisiert ist, ist diese Form der Geldbörse, wie Sie vielleicht schon erraten haben, anfällig für Malware, Hackerangriffe und Cyberattacken.  

KombinierteGeldbörsen für den versiertenAnleger

Vereinfacht ausgedrückt ist der Unterschied zwischen Hot Wallets und Cold Wallets vergleichbar mit dem Unterschied zwischen dem Abheben von Bargeld an einem Bankschalter oder dem Durchziehen einer Kreditkarte - das Abheben von Bargeld erfordert physische Anwesenheit und einen gültigen Ausweis, während eine Kreditkarte zwar effizient und schnell ist, aber nicht immer zusätzliche Sicherheitsebenen erfordert, wie im Fall von kontaktlosen Zahlungen, und anfälliger für Diebstahl oder Missbrauch ist.    

Einige versierte Inhaber von Kryptowährungen nutzen eine Kombination aus beidem, indem sie nur einen Teil ihres wertvollen Vermögens in einer "Hot Wallet", z. B. auf einem mobilen Gerät, und den verbleibenden, größeren Teil in einer "Cold Wallet" aufbewahren und bei Bedarf Geldtransfers zwischen den beiden vornehmen.  

Verorene passwörter und unzugängliche geldbörsen

Wenn Sicherheit an erster Stelle steht, ist die beste Wahl für eine digitale Geldbörse zweifellos eine Cold Wallet.  Aber selbst in diesem Fall stellt sich die Frage, was passiert, wenn Sie Ihr Passwort verlieren, verlegen oder vergessen?  Oder wenn Ihre Hardware bei einem Brand oder beim Neuformatieren beschädigt wird? In Anbetracht der ungewöhnlichen Beschaffenheit von Kryptowährungen besteht die Folge darin, dass Sie dauerhaft von Ihren Kryptowährungsinvestitionen ausgeschlossen werden und in den meisten Fällen keinen Regressanspruch haben.     

Ein ergreifendes Beispiel ist der Fall von Stefan Thomas, einem in Deutschland geborenen und in San Francisco lebenden Programmierer, der eine digitale Geldbörse in Form einer kleinen Festplatte - eine Cold Wallet - besitzt, die über 7.000 Bitcoin im Wert von mehr als 200 Millionen USD enthält.  Diese digitale Brieftasche lässt den Benutzer 10 Mal raten, bevor sie ihn endgültig aussperrt und der Inhalt für immer verschlüsselt bleibt.  Das Problem ist, dass Mr. Thomas sein Passwort auf ein Stück Papier geschrieben und es vor Jahren verloren hat.  Zwei weitere Fehlversuche und er wird seine Bitcoin-Investition nicht mehr auszahlen können.  

Verlorene Passwörter sind nicht das einzige Risiko.  Ein britischer Mann entdeckte kürzlich, dass er seine Bitcoin-Festplatte versehentlich in den Müll geworfen hatte und bot der Stadt 25 % des Wertes, damals etwa 91 Millionen USD, an, um die Mülldeponie auszugraben. Sein Antrag wurde abgelehnt.    

Dabei handelt es sich nicht um einige wenige unglückliche oder vom Pech verfolgte Seelen.  Nach Angaben der New York Times, die sich auf Daten des Kryptowährungsdatenunternehmens Chainalyis stützt, scheinen sich von den 18,5 Millionen Bitcoin etwa 20 Prozent - zu einem bestimmten Zeitpunkt etwa 140 Milliarden US-Dollar wert - in verlorenen oder anderweitig unzugänglichen Geldbörsen zu befinden[4].   

Mit diesen Beispielen schließt sich der Kreis zu der eingangs gestellten Frage: Wie können wir unser digitales Vermögen in Kryptowährungen sicher schützen, damit wir nicht auf verlorenem Posten stehen, wenn uns das Gedächtnis versagt oder ein unvorhergesehenes Ereignis eintritt?  

Schützen sie ihr digitales vermögen mit dem krypto-safe

Viele Kryptowährungsexperten plädieren für eine altbewährte Schutzmethode: ein Bankschließfach.  Aber leider muss man auch dann den Schlüssel im Auge behalten.  Anders ausgedrückt: Es hat sieben Jahre gedauert, bis der Bitcoin vom Nichts zum Ritterschlag für frischgebackene Millionäre wurde.  Wenn Sie damals nur ein passiver Anleger gewesen wären, wo hätten Sie dann 7 Jahre lang ein Passwort aufbewahrt, ohne im Voraus zu wissen, ob die Kryptowährung sich jemals zu einer ernstzunehmenden Investition entwickeln würde, geschweige denn zu einer millionenfachen?  Wie man sagt, erfordern moderne Probleme moderne Lösungen.    

Hier kommt der Krypto-Safe von Vaultinum ins Spiel. Vaultinum, ein unabhängiger Dritter, der sich seit 1978 dem Schutz digitaler Vermögenswerte widmet, bemüht sich seitdem intensiv den Herausforderungen neuer Verwendungszwecke für Aufbewahrungsdienste in einer sich ständig verändernden Welt zu begegnen.  Mehr als 3.500 Kunden aus der ganzen Welt haben Vaultinum den Schutz und die Sicherheit ihres geistigen Eigentums sowie ihrer strategischen immateriellen digitalen Vermögenswerte anvertraut, wie z. B. Know-how, Laborberichte, Algorithmen, Geschäftsgeheimnisse, Vertriebsmethoden, private Schlüssel usw.    

Vaultinum hat seine sichere Deposit-Lösung, die die wertvollen digitalen Vermögenswerte einer Person oder eines Unternehmens schützt, weiterentwickelt und den Krypto-Safe entwickelt, um den Inhabern von Kryptowährungen das gleiche Maß an Schutz zu bieten, sei es eine Kopie ihres Passworts oder eine Cold Wallet.    

Wie funktionierenEinzahlungen in Vaultinum's Crypto-Safe?

Einzahlungen in den Krypto-Safe sind in zwei Formen möglich: physische Einzahlungen, z. B. auf einen USB-Stick, wobei das Speichermedium in einem sicheren Tresor in der Schweiz versiegelt wird, oder Online-Einzahlungen über ein sicheres VPN (virtuelles privates Netzwerk) und eine militärische Verschlüsselung.  

Nach der Hinterlegung wird der digitale Vermögenswert durch asymmetrische Verschlüsselung auf der Grundlage von Blockchain-Algorithmen, Hash-Funktionen/Fingerprint-Erstellung und elektronischer Zeitstempelung gesichert, um die Integrität der übertragenen Elemente zu gewährleisten. Die juristischen und technischen Experten von Vaultinum führen dann folgende Schritte aus, sie:    

Der Verlust von Bitcoin-Passwörtern führt zum Verlust von Kryptowährungs-Vermögen.  Wie ist dies überhaupt möglich und, was noch wichtiger ist, wie kann es vermieden werden?

Zertifizierter Zeitstempel

Eine flexible Zeitstempel-Lösung, die Ihren geschäftlichen Anforderungen Rechnung trägt

Nachweis der Compliance von Rabatten

Sicherstellung der Rückverfolgbarkeit der Lieferkette

Erbringung von Nachweisen für bestimmte Ereignisse

Gewährleistung der Einhaltung von Normen und Vorbereitung auf Audits

Haben Sie einen anderen Bedarf?

Wie funktioniert die Zeitstempelung?

Zeitstempel: einfach zu implementieren, einfach zu nutzen

Möchten Sie mehr über unsere Timestamping-Lösung erfahren?