Kategorie: Unternehmen

Ist Datenschutz / DSGVO ein juristisches oder technisches IT Thema?

Datenschutz im Sinne der DSGVO bezieht sich auf den Schutz
von personenbezogenen Daten vor unbefugtem Zugriff, Nutzung, Offenlegung,
Störung, Modifikation, Inspektion, Aufzeichnung oder Zerstörung.

Je nach Gesichtspunkt wird das in manchen Unternehmen aus juristischen
Brille betrachtet, andere Unternehmen sehen die Rolle in der IT.

Die Perspektiven im Vergleich

Perspektive aus IT Sicht:

Technischer Schutz: Datenschutz in der IT beinhaltet
technische Maßnahmen wie Verschlüsselung, Firewalls, Zugriffskontrollen und
Sicherheitsprotokolle.

Verschlüsselung: Die Verwendung von
Verschlüsselungstechnologien ist entscheidend, um Daten während der Übertragung
und Speicherung zu schützen. Starke Verschlüsselungsprotokolle wie AES
(Advanced Encryption Standard) gewährleisten, dass Daten selbst bei einem
Sicherheitsvorfall unlesbar bleiben.

Firewalls und Netzwerksicherheit: Firewalls dienen als
Barriere zwischen vertrauenswürdigen internen Netzwerken und potenziell
unsicheren externen Netzwerken. Moderne Firewalls umfassen auch Funktionen wie
Intrusion Detection Systems (IDS) und Intrusion Prevention Systems (IPS) für
erweiterte Sicherheit.

Datenmanagement: IT spielt eine wesentliche Rolle beim
sicheren Speichern und Verwalten von Daten, insbesondere in einer zunehmend
digitalisierten Welt.

Datenbank-Sicherheit: Sicherheitsmaßnahmen für Datenbanken,
wie Zugriffskontrollen und Audits, verhindern unbefugten Zugriff und Missbrauch
von sensiblen Daten.

Cloud-Sicherheit: Mit der Verlagerung von Daten in die Cloud
müssen IT-Experten Cloud-Sicherheitspraktiken wie die Einrichtung sicherer
API-Zugänge und die Implementierung von Multi-Faktor-Authentifizierung
verstehen und anwenden.

Identitäts- und Zugriffsmanagement: Authentifizierung und Autorisierung: Starke
Authentifizierungsverfahren, wie biometrische Verfahren oder
Zwei-Faktor-Authentifizierung, stellen sicher, dass nur berechtigte Benutzer
Zugang zu sensiblen Daten erhalten.

Rollenbasierte Zugriffskontrolle (RBAC): RBAC gewährleistet,
dass Benutzer nur auf die für ihre Rolle notwendigen Daten zugreifen können,
was das Risiko von Datenlecks minimiert.

Risiko- und Schwachstellenmanagement: Regelmäßige Sicherheitsaudits und -bewertungen: IT-Teams
führen regelmäßige Audits durch, um Schwachstellen in Systemen zu
identifizieren und zu beheben.

Patch-Management: Das regelmäßige Aktualisieren von Software
und Systemen ist entscheidend, um bekannte Sicherheitslücken zu schließen.

Incident Response und Datenwiederherstellung: Reaktionspläne für Sicherheitsvorfälle: IT-Teams entwickeln
und testen Pläne für den Umgang mit Datenlecks oder Cyberangriffen, um den
Schaden zu minimieren und schnell reagieren zu können.

Backup und Recovery: Regelmäßige Backups und effektive
Wiederherstellungsstrategien sind essentiell, um Datenintegrität und
-verfügbarkeit auch im Falle eines Ausfalls zu gewährleisten.

Bewusstseinsbildung und Schulung: Mitarbeiterschulung: IT-Teams führen Schulungen durch, um
das Bewusstsein für Cybersicherheitsrisiken zu schärfen und Best Practices im
Umgang mit sensiblen Daten zu vermitteln.

Zukünftige Trends und Herausforderungen: Künstliche Intelligenz und maschinelles Lernen: Diese
Technologien bieten neue Möglichkeiten zur Verbesserung der Datensicherheit,
stellen aber gleichzeitig neue Herausforderungen in Bezug auf Datenschutz und
ethische Fragen dar.

IoT-Sicherheit: Mit dem Anstieg vernetzter Geräte steigt
auch das Risiko von Datenschutzverletzungen, was eine ständige Anpassung und
Erweiterung der Sicherheitsstrategien erfordert.

Risikomanagement: IT-Fachleute arbeiten daran, Datenlecks
und Cyberangriffe zu verhindern und zu mildern.

Juristische Perspektive:

Gesetzliche
Rahmenbedingungen:

Datenschutzgesetze
und -vorschriften: Juristen müssen sich mit einer Vielzahl von
Datenschutzgesetzen wie der EU-Datenschutz-Grundverordnung (DSGVO), dem
California Consumer Privacy Act (CCPA) in den USA und anderen nationalen und
internationalen Vorschriften auskennen.

Internationale
Datenübertragungen: Juristen beraten Unternehmen bei der Übertragung von Daten
über Landesgrenzen hinweg unter Berücksichtigung internationaler
Datenschutzabkommen und -vorschriften.

Compliance
und Rechtsdurchsetzung:

Überwachung
der Einhaltung von Datenschutzgesetzen: Juristen stellen sicher, dass
Organisationen die geltenden Datenschutzgesetze einhalten, indem sie interne
Richtlinien und Verfahren überprüfen und anpassen.

Reaktion
auf Datenschutzverletzungen: Im Falle einer Datenschutzverletzung beraten
Juristen bezüglich der rechtlichen Verpflichtungen, wie Benachrichtigungen an
Behörden und betroffene Personen.

Vertragsmanagement
und Datenschutzvereinbarungen:

Datenverarbeitungsvereinbarungen:
Juristen gestalten und verhandeln Verträge, die die Verarbeitung
personenbezogener Daten durch Dritte regeln, wie z.B. Cloud-Dienstanbieter oder
Datenanalyseunternehmen.

Einwilligung
und Datenschutzerklärungen: Sie entwerfen klare und rechtlich abgesicherte
Einwilligungserklärungen und Datenschutzerklärungen für Websites und
Anwendungen.

Beratung
und Risikomanagement:

Datenschutz-Folgenabschätzung:
Juristen führen Datenschutz-Folgenabschätzungen durch, um die Auswirkungen
neuer Projekte oder Technologien auf den Datenschutz zu bewerten.

Beratung
bei der Entwicklung von Produkten und Dienstleistungen: Juristen beraten
Entwicklerteams, um sicherzustellen, dass neue Produkte und Dienstleistungen
von Anfang an datenschutzkonform sind („Privacy by Design“).

Schulung
und Bewusstseinsbildung:

Mitarbeiterschulungen:
Juristen halten Schulungen ab, um das Bewusstsein für Datenschutzgesetze und
-richtlinien in Unternehmen zu schärfen.

Aktualisierung
des Wissens: Angesichts der ständigen Entwicklung des Datenschutzrechts ist die
kontinuierliche Weiterbildung in diesem Bereich für Juristen unerlässlich.

Kooperation
mit Aufsichtsbehörden:

Kommunikation
mit Datenschutzbehörden: Juristen sind für die Kommunikation mit
Datenschutzbehörden bei Anfragen, Untersuchungen oder Audits verantwortlich.

Herausforderungen
und Zukunftsperspektiven:

Anpassung
an neue Technologien: Juristen müssen die Auswirkungen neuer Technologien wie
KI, Big Data und IoT auf den Datenschutz verstehen und darauf reagieren.

Globale
Trends und Harmonisierung: Sie beobachten globale Trends im Datenschutzrecht
und tragen zur Harmonisierung von Datenschutzstandards bei.

Zusammenfassung und Meinung:

Datenschutz ist ein multidisziplinäres Thema, das sowohl
IT-Kenntnisse als auch juristisches Verständnis erfordert.

Effektiver Datenschutz erfordert eine
Zusammenarbeit zwischen IT-Experten, die technische Lösungen implementieren,
und Juristen, die rechtliche Rahmenbedingungen verstehen und umsetzen.

Die beste Praxis ist ein integrierter Ansatz, bei dem IT-
und Rechtsexperten zusammenarbeiten, um sowohl technische als auch rechtliche
Aspekte des Datenschutzes zu adressieren.

Aber beide Fachbereiche können ihren Ansatz auch „extremistisch“ auslegen, in dem Fall wird Datenschutz einen Bürokratieaufwand mit sich führen, der den Mitarbeitern nur schwer zu kommunizieren sein wird.

Ich sehe einen funktionierenden Datenschutz als essentielle Grundlage für Unternehmen jeder Größe an. Damit ist man letztlich auch in Cybercrime Fragen bestens bedient.

Aber Datenschutz muss akzeptiert werden und ein pragmatischer Ansatz sollte das Spannungsdreieck Recht, IT und Akzeptanz ausgewogen berücksichtigen.

Auf keinen Fall ist Datenschutz ein reines IT-Thema. Aber auch mit einer rein juristischen Abhandlung ist niemanden geholfen.

Ein Moderator, der beide Seiten versteht und beide Sichten in Einklang mit den Unternehmenswerten bringt kann da ein sinnvoller Zugang sein.

10. Dezember 2025
Wie sind mittelständische Unternehmen von Cyber Security Risiko betroffen?

Mittelständische Unternehmen sind heutzutage einer immer größer werdenden Cyber Security Bedrohung ausgesetzt. Die Vielfalt und Komplexität dieser Bedrohungen nehmen stetig zu, während die Cyber-Sicherheitsinfrastruktur vieler dieser Unternehmen diesen Herausforderungen häufig nicht gewachsen ist. Diese kurze Information soll veranschaulichen, dass gerade Mittelständler massiv von dem Risiko Cyber-Crime betroffen sind.

Einleitung

Laut einer Umfrage des Branchenverbands Bitkom aus dem Jahr 2023 sind in Deutschland 75% der Unternehmen schon einmal Opfer von Cyberattacken geworden, ein Anstieg von 10% im Vergleich zu 2022. Der finanzielle Schaden dieser Angriffe beläuft sich auf durchschnittlich 50.000 Euro pro Unternehmen, wobei die tatsächliche Summe stark variieren kann. Für ein mittelständisches Unternehmen kann ein solcher finanzieller Verlust existenzbedrohend sein.

Die Bedrohungslandschaft

Cyberangriffe können verschiedene Formen annehmen. Dazu gehören unter anderem Phishing-Angriffe, Ransomware, Malware, Denial-of-Service-Angriffe (DoS) und Man-in-the-Middle-Angriffe (MitM). Dabei stellen Ransomware-Angriffe eine besonders hohe Bedrohung dar: Laut dem Bundesamt für Sicherheit in der Informationstechnik (BSI) stieg die Anzahl solcher Angriffe im Jahr 2023 um 150% im Vergleich zum Vorjahr. Besonders beunruhigend ist, dass 60% dieser Angriffe auf mittelständische Unternehmen abzielten.

Der Mensch als Schwachstelle

Ein weiterer Aspekt, der die Cyber-Sicherheitslage für mittelständische Unternehmen verschärft, ist der Faktor Mensch. Laut einer Studie von Kaspersky Lab aus dem Jahr 2023 fallen 90% der erfolgreichen Cyberangriffe auf Mitarbeiterfehler zurück. Dabei handelt es sich oft um unwissende Mitarbeiter, die beispielsweise auf betrügerische Phishing-Mails klicken.

Die Rolle von BYOD (Bring Your Own Device) Politiken

Viele mittelständische Unternehmen erlauben ihren Mitarbeitern, ihre eigenen Geräte für die Arbeit zu nutzen. Dies kann jedoch die Cyber-Sicherheitsrisiken erhöhen. Eine Studie von Symantec aus dem Jahr 2023 ergab, dass 60% der mittelständischen Unternehmen, die eine BYOD-Politik haben, in den letzten 12 Monaten einen Sicherheitsvorfall erlebt haben.

Mangel an Ressourcen und Know-How

Viele mittelständische Unternehmen haben nicht die Ressourcen oder das Know-How, um ihre Cyber-Sicherheitsinfrastruktur zu stärken. Laut einer Umfrage des IT-Branchenverbands Bitkom aus dem Jahr 2023 investieren nur 30% der mittelständischen Unternehmen in Deutschland regelmäßig in ihre Cyber-Sicherheit.

Zusammengefasst

Mittelständische Unternehmen stehen vor erheblichen Herausforderungen, wenn es um die Cyber-Sicherheit geht. Sie sind häufig das Ziel von Cyberangriffen und haben oft nicht die Ressourcen, um sich angemessen zu schützen. Daher ist es entscheidend, dass diese Unternehmen eine strategische Herangehensweise an die Cyber-Sicherheit entwickeln und ihre Mitarbeiter entsprechend schulen. Eine Investition in Cyber-Sicherheit ist nicht nur eine Frage der Risikominderung, sondern auch eine Investition in die Zukunft des Unternehmens.

Es wichtig, dass jedes Unternehmen seine spezifischen Risiken identifiziert und entsprechende Schutzmaßnahmen ergreift. Es ist klar, dass das Thema Cyber-Sicherheit in den kommenden Jahren weiterhin von zentraler Bedeutung sein wird. Wegschauen ist aber keine Lösung!!!

4. Dezember 2025
Whistleblowergesetz in Österreich. Betrifft es mein Unternehmen?

Die Frage, ob das österreichische Whistleblower-Gesetz Ihr Unternehmen betrifft, hängt von verschiedenen Faktoren ab. Diese beinhalten, aber beschränken sich nicht auf, die Größe und Art Ihres Unternehmens, die Branche, in der Sie tätig sind, und die Art der Tätigkeiten, die Ihr Unternehmen ausführt.

Zunächst ist es wichtig zu verstehen, was ein Whistleblower ist. Im Allgemeinen ist ein Whistleblower eine Person, die Insiderinformationen über illegale oder unethische Praktiken innerhalb einer Organisation offenlegt. Ein Whistleblower-Gesetz bietet Schutz für Personen, die solche Informationen offenlegen, und legt Verfahren und Richtlinien für die Meldung und Untersuchung solcher Vorfälle fest.

In vielen Ländern, einschließlich Österreich, gibt es Gesetze zum Schutz von Whistleblowern, um sicherzustellen, dass sie nicht für ihre Offenlegung bestraft oder vergeltet werden. Im Jahr 2019 hat die Europäische Union eine Richtlinie zum Whistleblowerschutz verabschiedet, die von ihren Mitgliedstaaten, einschließlich Österreich, umgesetzt werden muss. Diese Richtlinie gilt für eine Vielzahl von Sektoren, einschließlich öffentlichen und privaten Organisationen.

Die Whistleblower-Richtlinie der EU sieht vor, dass Organisationen mit 𝟱𝟬 𝗼𝗱𝗲𝗿 𝗺𝗲𝗵𝗿 Mitarbeitern 𝗶𝗻𝘁𝗲𝗿𝗻𝗲 𝗠𝗲𝗹𝗱𝗲𝘃𝗲𝗿𝗳𝗮𝗵𝗿𝗲𝗻 𝗲𝗶𝗻𝗿𝗶𝗰𝗵𝘁𝗲𝗻 𝗺𝘂̈𝘀𝘀𝗲𝗻. Kleinere Organisationen können aufgrund ihrer Größe und/oder Natur von dieser Anforderung ausgenommen sein, es sei denn, sie sind in bestimmten Hochrisikobereichen tätig, wie dem Finanzsektor. Allerdings können bestimmte Gesetze und Vorschriften auf nationaler Ebene über die Anforderungen der EU hinausgehen, daher ist es wichtig, dass Sie sich mit der spezifischen Gesetzgebung in Österreich vertraut machen.

Die Einrichtung eines Whistleblower-Programms kann Vorteile für Unternehmen jeder Größe bieten, unabhängig davon, ob sie gesetzlich dazu verpflichtet sind oder nicht. Es kann dazu beitragen, ein Umfeld der Transparenz und Rechenschaftspflicht zu schaffen, das Vertrauen unter den Mitarbeitern zu stärken und Risiken zu minimieren, indem potenzielle Probleme frühzeitig erkannt und behoben werden. Ein effektives Whistleblower-Programm umfasst klare Verfahren für die Meldung von Bedenken, Garantien für den Schutz der Identität des Meldenden und Maßnahmen gegen Vergeltung, sowie Richtlinien für die Untersuchung und Behebung von gemeldeten Problemen.

Wenn Sie sich unsicher sind, ob das Whistleblower-Gesetz auf Ihr Unternehmen anwendbar ist, sollten Sie einen Rechtsberater konsultieren. Darüber hinaus können Sie sich an die österreichischen Behörden oder entsprechende Berufsverbände wenden, um weitere Informationen und Ressourcen zu erhalten. Es ist auch wichtig zu beachten, dass sich Gesetze und Vorschriften im Laufe der Zeit ändern können, so dass Sie sicherstellen sollten, dass Sie auf dem Laufenden bleiben, um Compliance zu gewährleisten.

Aus meiner Sicht kann das österreichische Whistleblower-Gesetz ein wichtiger Teil des Rahmens für Unternehmensethik und -integrität sein, wenn es richtig angewendet wird.

Unabhängig davon, ob Ihr Unternehmen direkt davon betroffen ist, sollten Sie die Grundsätze der Transparenz, Rechenschaftspflicht und ethischen Geschäftspraktiken in Ihren Organisationsstrukturen und -prozessen verankern.

2. Dezember 2025
Was ist eine Datenschutz-Folgenabschätzung und wie mache ich das?
Eine Datenschutz-Folgenabschätzung (DSFA) ist laut Artikel
35 der EU-Datenschutz-Grundverordnung (DSGVO) in bestimmten Fällen
erforderlich. Die DSFA ist insbesondere dann durchzuführen, wenn eine Art der
Datenverarbeitung, insbesondere unter Verwendung neuer Technologien, aufgrund
ihrer Art, ihres Umfangs, ihrer Umstände und ihrer Zwecke voraussichtlich ein
hohes Risiko für die Rechte und Freiheiten natürlicher Personen birgt. Einige
konkrete Beispiele, bei denen eine DSFA erforderlich sein könnte, sind:
Systematische und umfassende Bewertung persönlicher Aspekte:
Dies bezieht sich auf Verarbeitungsvorgänge, die darauf abzielen, Aspekte der
Persönlichkeit oder des Verhaltens einer natürlichen Person zu bewerten oder zu
analysieren (z.B. Profiling).
Großangelegte Verarbeitung besonderer Kategorien von Daten: Dies umfasst die Verarbeitung sensibler Daten wie Gesundheitsdaten, genetische Daten, biometrische Daten, Daten über sexuelle Orientierung, religiöse oder politische Überzeugungen in großem Umfang.
Überwachung öffentlich zugänglicher Bereiche in großem
Umfang: Dazu gehört insbesondere die systematische Überwachung eines öffentlich
zugänglichen Bereichs, wie z.B. die umfangreiche Videoüberwachung.
Verwendung neuer Technologien: Die Einführung einer neuen
Technologie kann zusätzliche Risiken mit sich bringen, die eine DSFA
erforderlich machen.
Datenverarbeitung, die das Ausschließen von Personen von
Rechten, Dienstleistungen oder Verträgen zur Folge hat: Hierbei geht es um
Entscheidungsfindungsprozesse, die auf automatisierter Verarbeitung beruhen,
wie z.B. Online-Kreditentscheidungen oder E-Recruiting-Praktiken ohne
menschliche Intervention.
Die DSGVO empfiehlt, dass Verantwortliche vor Beginn
derartiger Verarbeitungsvorgänge eine DSFA durchführen, um die mit der
Verarbeitung verbundenen Risiken zu identifizieren und zu mindern. Es ist zu
beachten, dass diese Liste nicht erschöpfend ist, und in bestimmten Fällen
können die nationalen Datenschutzbehörden weitere Verarbeitungstätigkeiten
definieren, für die eine DSFA erforderlich ist.
Vorgehensweise:
Identifizierung des Verarbeitungsvorgangs: Definieren
Sie, welche Art der Datenverarbeitung bewertet wird.
Ermittlung des Bedarfs einer DSFA: Prüfen Sie, ob die Art
der Verarbeitung eine hohe Wahrscheinlichkeit und Schwere für die Rechte und
Freiheiten natürlicher Personen birgt. Siehe oben
Beschreibung der Datenverarbeitung: Detaillierte
Beschreibung des Verarbeitungsvorgangs, einschließlich Zweck, Umfang, Kontext
und Datenkategorien.
Bewertung der Notwendigkeit und Verhältnismäßigkeit:
Bewertung, ob die Verarbeitungsvorgänge notwendig und verhältnismäßig im
Hinblick auf den Zweck sind.
Bewertung der Risiken für die Rechte und Freiheiten der
Betroffenen: Identifizierung und Bewertung der potenziellen Risiken.
Maßnahmen zur Risikominderung: Festlegung von Maßnahmen
zur Behandlung identifizierter Risiken und zum Schutz personenbezogener Daten.
Konsultation der Aufsichtsbehörde (falls erforderlich):
Bei hohem Risiko, das nicht gemindert werden kann, ist eine Konsultation der
Datenschutzaufsichtsbehörde erforderlich.
Dokumentation und Überprüfung: Dokumentieren Sie den
Prozess und die Ergebnisse und überprüfen Sie die DSFA regelmäßig.
Besonders hilfreich finde ich eine Risikobewertungsmatrix, welche z.B. in Excel erstellt wird. Die Vorgehensweise ist denkbar einfach.
Auf der horizontalen Achse bewerten Sie in 5 Schritten das Risiko für einen Betroffenen, sollte ein Datenverlust auftreten. Das reicht von geringem Risiko, wenn z.B. nur Informationen preisgegeben werden, welche ohnedies bekannt sind bis hin zu einem so hohen Risiko, dass ein massiver Nachteil für den Betroffenen eintreten würde.
Auf der vertikalen Achse bewerten Sie die Eintrittswahrscheinlichkeit. Von faktisch ausgeschlossen bis hin zu großer Eintrittswahrscheinlichkeit. Der Schnittpunkt ergibt das Risiko. Je weiter oben rechts dieser Schnittpunkt ist, desto höher das Gesamtrisiko der Verarbeitung.
17. November 2025
IT-Gutachten bei Unternehmenskauf

Die Einbeziehung eines IT-Gutachtens, eines IT-Sachverständigen bei einem Unternehmenskauf, einer Unternehmensübernahme oder einer M&A-Transaktion (Mergers & Acquisitions) ist aus mehreren wichtigen Gründen entscheidend:

1. Aufdeckung versteckter Risiken: IT-Systeme sind oft komplex und können versteckte Risiken beinhalten, wie veraltete Software, unzureichende Sicherheitsmaßnahmen oder nicht konforme Datenpraktiken. Ein IT-Gutachten kann solche Risiken identifizieren, bevor sie zu einem Problem werden.

2. Bewertung der IT-Infrastruktur: Das Gutachten bietet eine detaillierte Bewertung der vorhandenen IT-Infrastruktur, inklusive Hardware, Software, Netzwerken und Datenmanagement. Dies hilft zu verstehen, ob die vorhandene IT für die zukünftigen Pläne und Ziele des Unternehmens geeignet ist.

3. Einschätzung der Compliance und Sicherheit: Die Einhaltung gesetzlicher Datenschutz- und Sicherheitsvorschriften ist entscheidend. Ein IT-Gutachten prüft, ob das Zielunternehmen geltende Datenschutzgesetze und Sicherheitsstandards einhält, was finanzielle und rechtliche Risiken minimiert.

4. Analyse der IT-Kosten: Ein Gutachten kann auch eine Analyse der laufenden und zukünftigen IT-Kosten bieten, was für die finanzielle Planung der Post-Merger-Integration entscheidend ist.

5. Identifizierung von Synergiepotentialen: Bei M&A-Transaktionen ist die IT-Integration ein wichtiger Schritt. Ein IT-Gutachten kann aufzeigen, wo Synergien durch die Integration von Technologien und Systemen realisiert werden können.

6. Unterstützung bei der Preisgestaltung: Die Erkenntnisse aus einem IT-Gutachten können entscheidend bei der Verhandlung des Kaufpreises sein. Bei identifizierten Mängeln oder notwendigen Investitionen kann dies zur Anpassung des Preises führen.

7. Grundlage für die Post-Merger-Integration: Ein IT-Gutachten liefert wichtige Informationen für die Planung und Durchführung der Post-Merger-IT-Integration, was den Prozess effizienter und effektiver macht.

8. Ermittlung des Innovationspotenzials: Die Bewertung der IT-Landschaft kann auch Aufschluss darüber geben, inwieweit das Unternehmen in der Lage ist, neue Technologien zu adaptieren und zukünftige Innovationen zu unterstützen.

Insgesamt dient ein IT-Gutachten dazu, ein vollständiges und genaues Bild der IT-Landschaft eines Zielunternehmens zu erhalten, was für eine fundierte Entscheidungsfindung bei M&A-Transaktionen unerlässlich ist.

Ablauf

Der Ablauf eines IT-Gutachtens im Rahmen eines Unternehmenskaufs, einer Unternehmensübernahme oder einer M&A-Transaktion umfasst mehrere Schlüsselschritte, um eine umfassende und genaue Bewertung der IT-Landschaft des Zielunternehmens sicherzustellen:

Vorbereitungsphase

Zieldefinition: Klärung des Umfangs und der Ziele des Gutachtens.

Dokumentensammlung: Anfordern relevanter IT-Dokumente, wie Netzwerkdiagramme, Software-Lizenzen, Wartungsverträge, Datenschutzrichtlinien etc.

Stakeholder-Identifikation: Festlegung der Ansprechpartner im Unternehmen, wie IT-Leitung, Datenschutzbeauftragter, etc.

Analysephase

Erstbewertung: Sichtung und erste Analyse der gesammelten Unterlagen.

Vor-Ort-Prüfungen: Durchführung von Inspektionen der IT-Infrastruktur, Interviews mit IT-Personal und anderen relevanten Mitarbeitern.

Sicherheits- und Compliance-Prüfung: Beurteilung der IT-Sicherheit und Überprüfung auf Einhaltung relevanter Datenschutz- und Compliance-Vorschriften.

Bewertungsphase

Technische Bewertung: Detaillierte Analyse der IT-Hardware, Software, Netzwerke und Datenverwaltung.

Risikoanalyse: Identifizierung potenzieller IT-Risiken, einschließlich Sicherheitslücken, veralteter Technologie und Compliance-Problemen.

Kostenanalyse: Einschätzung der aktuellen und zukünftigen IT-Kosten.

Berichterstellungsphase

Erstellung des Gutachtens: Zusammenfassung der Ergebnisse und Empfehlungen in einem umfassenden Bericht.

Präsentation der Ergebnisse: Vorstellung des Gutachtens bei den Auftraggebern, oft in einer Präsentation mit anschließender Diskussion.

Nachbereitungsphase

Aktionsplan: Entwicklung eines Plans für die Behebung identifizierter Probleme oder für die Integration der IT-Systeme nach der Übernahme.

Beratung und Unterstützung: Bereitstellung von Beratungsdienstleistungen für die Umsetzung der Empfehlungen und zur Unterstützung während der Post-Merger-Integration.

Follow-up

Nachkontrolle: Überprüfung der Umsetzung der Empfehlungen und ggf. Anpassung der Strategie.

Kosten

Das Ziel dieses Prozesses ist es, ein umfassendes Verständnis der IT-Landschaft des Zielunternehmens zu erlangen, Risiken und Chancen aufzuzeigen und eine fundierte Entscheidungsgrundlage für den M&A-Prozess zu bieten.

Die Kosten für ein IT-Gutachten im Rahmen eines Unternehmenskaufs, einer Übernahme oder einer M&A-Transaktion können stark variieren und hängen von verschiedenen Faktoren ab. Hier sind einige Schlüsselkomponenten, die die Kosten beeinflussen:

1. Umfang und Komplexität des Unternehmens: Größere Unternehmen mit umfangreichen IT-Systemen und komplexen Netzwerkstrukturen erfordern in der Regel detailliertere Analysen, was zu höheren Kosten führt.

2. Tiefe der Analyse: Eine tiefgreifende technische Analyse, die beispielsweise detaillierte Sicherheitsaudits und Compliance-Prüfungen umfasst, ist kostspieliger als eine oberflächliche Überprüfung.

3. Erfahrung und Expertise des Gutachters: Hochqualifizierte und spezialisierte IT-Sachverständige verlangen in der Regel höhere Honorare.

4. Geografische Lage: Die Kosten können je nach Standort des Unternehmens und des Sachverständigen variieren, insbesondere wenn Reisen oder mehrere Standortbesuche erforderlich sind.

5. Zeitrahmen und Dringlichkeit: Ein beschleunigter Prozess oder enge Deadlines können zu höheren Kosten führen, da zusätzliche Ressourcen oder Überstunden erforderlich sein könnten.

6. Nachfolgende Beratung und Unterstützung: Eventuelle Zusatzleistungen, wie die Unterstützung bei der Implementierung von Empfehlungen oder Nachkontrollen, können zusätzliche Kosten verursachen.

Im Allgemeinen können die Kosten für ein IT-Gutachten in einem mittelständischen Unternehmen im unteren bis mittleren fünfstelligen Bereich liegen. Für größere, komplexere Projekte oder spezialisierte Analysen können die Kosten auch deutlich höher sein.

Kommen Sie mit Ihrer Anforderung auf mich zu und ich werde Ihnen ein entsprechendes Angebot vorlegen. Aus meiner Erfahrung bin ich jedoch überzeugt, dass der Aufwand für ein proaktives Gutachten und die Beratung Risiken minimieren wird und ihnen auch helfen wird den erworbenen Wert, das übernommene Unternehmen zu sichern.

„Bitte zögern Sie nicht, mich mit Ihren spezifischen Anforderungen zu kontaktieren. Ich werde Ihnen daraufhin ein maßgeschneidertes Angebot unterbreiten. Basierend auf meiner umfassenden Erfahrung bin ich überzeugt, dass der Einsatz eines proaktiven Gutachtens und die damit verbundene Beratung entscheidend dazu beitragen werden, potenzielle Risiken zu minimieren. Darüber hinaus unterstützt dieser Schritt Sie effektiv dabei, den Wert des erworbenen Unternehmens zu bewahren und zu sichern.“

11. November 2025
NIS 2 – Wie gut sind Sie vorbereitet?
NIS 2 Ist Die Neue EU-Richtlinie Für Netzwerk- Und Informationssicherheit. Sie Trat Am 16. Januar 2023 In Kraft Und Muss Bis Zum 17. Oktober 2024 Von Den Mitgliedstaaten In Nationales Recht Umgesetzt Werden. Die Richtlinie Soll Die Resilienz Und Die Reaktionsfähigkeit Von Unternehmen Und Organisationen Im Bereich Der Cybersicherheit Verbessern.

NIS 2 ist die neue EU-Richtlinie für Netzwerk- und Informationssicherheit. Sie trat am 16. Januar 2023 in Kraft und muss bis zum 17. Oktober 2024 von den Mitgliedstaaten in nationales Recht umgesetzt werden. Die Richtlinie soll die Resilienz und die Reaktionsfähigkeit von Unternehmen und Organisationen im Bereich der Cybersicherheit verbessern.

NIS 2 gilt für eine breite Palette von Unternehmen und Organisationen, darunter kritische Infrastrukturbetreiber, Betreiber wichtiger Dienste, Betreiber von öffentlichen IT-Netzwerken und Anbieter von Cloud-Diensten. Die Richtlinie enthält eine Reihe von Anforderungen an diese Unternehmen und Organisationen, darunter die Einführung von Sicherheitsmaßnahmen, die Meldung von Sicherheitsvorfällen und die Zusammenarbeit mit den Behörden.

NIS 2 ist ein wichtiger Schritt zur Verbesserung der Cybersicherheit in der EU. Die Richtlinie wird die Unternehmen und Organisationen in der EU dazu anhalten, ihre Cybersicherheit zu verbessern und sich besser auf Cyberangriffe vorzubereiten.

Hier sind einige Tipps für Unternehmen und Organisationen, wie sie sich auf NIS 2 vorbereiten können:
- Erstellen Sie ein Cybersicherheits-Risikomanagement-Programm.
- Implementieren Sie Sicherheitsmaßnahmen, um Ihre Systeme und Daten zu schützen.
- Melden Sie Sicherheitsvorfälle an die Behörden.
- Bauen Sie eine Zusammenarbeit mit anderen Unternehmen und Organisationen im Bereich der Cybersicherheit auf.
- Bilden Sie Ihre Mitarbeiter in Cybersicherheit weiter.
NIS 2 ist eine wichtige Herausforderung für Unternehmen und Organisationen in der EU. Die Richtlinie wird jedoch auch die Cybersicherheit in der EU verbessern und Unternehmen und Organisationen besser vor Cyberangriffen schützen.

NIS 2: Die wichtigsten Änderungen

NIS 2 ist eine umfassende Überarbeitung der NIS-Richtlinie von 2016. Die Richtlinie enthält eine Reihe von Änderungen, die die Anforderungen an die Unternehmen und Organisationen im Bereich der Cybersicherheit erhöhen. Zu den wichtigsten Änderungen gehören:
- Eine Ausweitung des Anwendungsbereichs der Richtlinie: NIS 2 gilt nun für eine breitere Palette von Unternehmen und Organisationen, darunter kritische Infrastrukturbetreiber, Betreiber wichtiger Dienste, Betreiber von öffentlichen IT-Netzwerken und Anbieter von Cloud-Diensten.
- Erhöhte Anforderungen an die Sicherheitsmaßnahmen: Die Richtlinie enthält eine Reihe von neuen Anforderungen an die Sicherheitsmaßnahmen, die Unternehmen und Organisationen implementieren müssen. Diese Anforderungen umfassen beispielsweise die Einführung eines Cybersicherheits-Risikomanagement-Programms, die Implementierung von Sicherheitsmaßnahmen zur Abwehr von Cyberangriffen und die Meldung von Sicherheitsvorfällen an die Behörden.
- Verstärkte Zusammenarbeit zwischen den Unternehmen und Organisationen: Die Richtlinie enthält eine Reihe neuer Anforderungen an die Zusammenarbeit zwischen den Unternehmen und Organisationen im Bereich der Cybersicherheit. Diese Anforderungen umfassen beispielsweise den Austausch von Informationen über Cyberbedrohungen und die Zusammenarbeit bei der Reaktion auf Cyberangriffe.
- Verstärkte Überwachung und Durchsetzung: Die Richtlinie enthält eine Reihe neuer Maßnahmen zur Überwachung und Durchsetzung der Anforderungen. Diese Maßnahmen umfassen beispielsweise die Möglichkeit für die Behörden, Sanktionen gegen Unternehmen und Organisationen zu verhängen, die die Anforderungen nicht erfüllen.
Die Auswirkungen von NIS 2

NIS 2 wird erhebliche Auswirkungen auf Unternehmen und Organisationen in der EU haben. Die Richtlinie wird die Unternehmen und Organisationen dazu anhalten, ihre Cybersicherheit zu verbessern und sich besser auf Cyberangriffe vorzubereiten. Dies wird zu höheren Kosten für die Unternehmen und Organisationen führen, aber es wird auch zu einer verbesserten Cybersicherheit in der EU führen.

NIS 2 ist ein wichtiger Schritt zur Verbesserung der Cybersicherheit in der EU. Die Richtlinie wird die Unternehmen und Organisationen in der EU dazu anhalten, ihre Cybersicherheit zu verbessern und sich besser auf Cyberangriffe vorzubereiten. Dies wird zu einer verbesserten Cybersicherheit in der EU führen und die EU vor den negativen Folgen von Cyberangriffen schützen.

Wie Sie sich auf NIS 2 vorbereiten können

Wenn Sie ein Unternehmen oder eine Organisation sind, das von NIS 2 betroffen ist, sollten Sie sich jetzt auf die Richtlinie vorbereiten. Hier sind einige Tipps, wie Sie sich auf NIS 2 vorbereiten können:
- Erstellen Sie ein Cybersicherheits-Risikomanagement-Programm.
- Implementieren Sie Sicherheitsmaßnahmen, um Ihre Systeme und Daten zu schützen.
- Melden Sie Sicherheitsvorfälle an die Behörden.
- Bauen Sie eine Zusammenarbeit mit anderen Unternehmen und Organisationen im Bereich der Cybersicherheit auf.
- Bilden Sie Ihre Mitarbeiter in Cybersicherheit weiter.
Indem Sie sich jetzt auf NIS 2 vorbereiten, können Sie sich vor den negativen Folgen von Cyberangriffen schützen und die Cybersicherheit Ihres Unternehmens oder Ihrer Organisation verbessern.
21. Oktober 2025
Warum bei DSGVO Themen externe Beratung hilft.
IT-Beratung im Zusammenhang mit der DSGVO und dem Datenschutz bezieht sich auf Dienstleistungen, die darauf abzielen, Unternehmen dabei zu unterstützen, die Anforderungen der DSGVO und anderer Datenschutzgesetze zu verstehen und einzuhalten. Dies kann eine Reihe von Aktivitäten beinhalten, darunter:
1. Beratung und Sensibilisierung: IT-Berater können Unternehmen dabei helfen, die Anforderungen der DSGVO zu verstehen und ihre Mitarbeiter für Datenschutzfragen zu sensibilisieren.
2. Datenschutz-Audits: IT-Berater können Datenschutz-Audits durchführen, um zu beurteilen, ob die aktuellen Praktiken und Prozesse eines Unternehmens den Anforderungen der DSGVO entsprechen.
3. Datenschutz-Folgenabschätzung (DPIA): IT-Berater können Unternehmen dabei unterstützen, DPIAs durchzuführen, um die potenziellen Auswirkungen bestimmter Datenverarbeitungsaktivitäten auf die Rechte und Freiheiten von Einzelpersonen zu beurteilen.
4. Implementierung von Datenschutzmaßnahmen: Auf der Grundlage der Ergebnisse der Audits und DPIAs können IT-Berater Unternehmen dabei unterstützen, die notwendigen Änderungen vorzunehmen, um die Datenschutzgesetze einzuhalten. Dies kann die Implementierung technischer und organisatorischer Maßnahmen beinhalten, um die Sicherheit der personenbezogenen Daten zu gewährleisten.
5. Meldung von Datenschutzverletzungen: IT-Berater können Unternehmen dabei helfen, Prozesse für die Meldung von Datenschutzverletzungen an die zuständige Datenschutzbehörde und die betroffenen Personen zu entwickeln und umzusetzen.
6. Beratung bei der Ernennung eines Datenschutzbeauftragten (DPO): Wenn ein Unternehmen einen DPO ernennen muss, können IT-Berater bei der Definition der Rolle und Verantwortlichkeiten des DPO sowie bei der Auswahl und Schulung des geeigneten Kandidaten helfen.
7. Beratung zu datenschutzfreundlichen Technologien und Praktiken: IT-Berater können auch Ratschläge und Empfehlungen zu datenschutzfreundlichen Technologien und Praktiken geben, wie zum Beispiel Datenschutz durch Design und Standardmäßige Datenschutzeinstellungen.
Die Einhaltung der DSGVO und anderer Datenschutzgesetze kann eine komplexe Aufgabe sein, insbesondere für Unternehmen, die nicht über die notwendigen Ressourcen oder Fachkenntnisse verfügen. In solchen Fällen kann die Beauftragung eines IT-Beraters, der auf Datenschutz spezialisiert ist, eine wertvolle Hilfe sein.

Ich stehe für Rückfragen dazu natürlich gerne zur Verfügung!
10. November 2023
Lizenzmanagement / Kopierschutz
Im Zuge eines Gutachtes musste ich bewerten, ob es branchenüblich ist einen Kopierschutz einzusetzen. Dazu stellte sich grundsätzlich die Frage welche Systeme es gibt um anschließend darüber eine Bewertung zu treffen

Kopierschutzmechanismen sind ein häufig
genutztes Instrument von Softwareherstellern bzw. Softwarelieferanten davor zu
schützen, dass deren Software missbräuchlich verwendet wird.

Es muss dabei unterschieden werden in
welcher Form die Software lizensiert wird.

Zeitlich begrenzte Lizenzen

Merkmale:
- Abonnement-Modell: Nutzer zahlen in der Regel eine wiederkehrende Gebühr (monatlich oder jährlich) für die Nutzung der Software.
- Befristete Nutzung: Die Nutzung der Software ist zeitlich begrenzt auf die Dauer des Abonnements.
- Upgrades inbegriffen: Aktualisierungen und Upgrades sind oft im Abonnementpreis inbegriffen und werden automatisch zur Verfügung gestellt.
- Niedrigere Vorabkosten: Im Allgemeinen sind die anfänglichen Kosten für eine zeitbezogene Lizenz niedriger als bei einer Perpetuum-Lizenz.
- Stetiger Support: Oftmals sind kontinuierlicher Support und regelmäßige Updates im Abonnement-Modell enthalten.
- Abhängigkeit vom Anbieter: Da der Zugang zur Software nach Ablauf der Lizenz gesperrt wird, sind Nutzer mehr auf den Anbieter angewiesen.
Solche Abonnementmodelle sind bei Software,
bei welchen der Lizenzgeber auch den Betrieb liefert (Cloud- oder gehostete
Dienste) der Normalfall. Aber auch bei Installationen auf
Lizenznehmerinfrastruktur sind diese Abonnementmodelle anzutreffen.

Dauerhafte Perpetuum (Dauerhafte)
Lizenzen

Merkmale:
- Einmalige Zahlung: Ein wesentliches Merkmal von Perpetuum-Lizenzen ist, dass die Nutzer eine einmalige Gebühr für die Software entrichten.
- Unbegrenzte Nutzungsdauer: Einmal erworben, kann die Software auf unbegrenzte Zeit genutzt werden, ohne dass weitere Zahlungen erforderlich sind.
- Upgrades können kostenpflichtig sein(und sind es meist auch): Software-Updates oder Upgrades sind in der Regel nicht inbegriffen und können zusätzlich erworben werden. Teilweise ist der Erwerb eines Software-Support Vertrages für eine bestimmte Zeit obligat.
- Höhere Vorabkosten: In der Regel sind die Vorabkosten für eine Perpetuum-Lizenz höher als die anfänglichen Kosten einer zeitbezogenen Lizenz.
- Weniger Abhängigkeit vom Anbieter: Nutzer sind in geringerem Maße vom Softwareanbieter abhängig, da sie die Software auch ohne fortlaufenden Support nutzen können.
Dieses Lizenzmodell ist heute noch oft bei lizenznehmerseitiger Installation anzutreffen, obwohl auch hier die
Softwarehersteller versuchen, vermehrt auf Abonnement-Modelle zu setzen.

Auswirkungen auf die Entscheidung eines
Kopierschutzes:

Zeitlich begrenzte Nutzungsvereinbarungen
ergeben sich bei Cloud oder vom Softwarelieferanten gehosteten Modellen schon
allein durch die Bereitstellung der Software für eine bestimmte Zeit und eine
bestimmte Anzahl der Nutzer oder sonstiger Workloads (Arbeitspakete). Wenn der
Service abgestellt wird, ist die Nutzung nicht mehr möglich.

Bei Installationen, welche nicht in der
Hand des Softwarelieferanten liegen (Private Cloud oder on Premise) hat der
Softwarehersteller bzw. Lieferant die Herausforderung, dass er seine Rechte auf
andere Weise schützen muss.

Das kann auf der einen Seite durch
vertragliche Maßnahmen geschehen, aber auch durch Mechanismen, welche die
Softwarenutzung so weit einschränken, dass diese nicht über das vereinbarte Maß
hinaus genutzt wird. Oft erlauben die Vereinbarungen aber auch ein
Überschreiten der zugewiesenen Lizenzen für eine bestimmte Zeit oder für eine
bestimmte Anzahl von Nutzern.

Typen von Kopierschutz in
On-Premise-Perpetuum-Lizenzen:
- Hardwareschlüssel (Dongles):
  Ein physisches Gerät, das an den Computer angeschlossen wird und die Software
  aktiviert. Ohne den Dongle ist der Zugang zur Software eingeschränkt oder
  unmöglich.
- Softwarebasierte
  Lizenzschlüssel: Eindeutige Codes, die während der Installation oder
  Aktivierung eingegeben werden müssen und die Software an einen bestimmten
  Computer oder Nutzer binden.
- Lizenzserver: In
  Netzwerkumgebungen häufig genutzt, um sicherzustellen, dass die maximale Anzahl
  gleichzeitiger Nutzer nicht überschritten wird.
- Digitale Rechteverwaltung
  (DRM): Technologien, die die Nutzung, Modifikation und Verteilung von
  urheberrechtlich geschützter Software kontrollieren.
Unabhängig der Art des Kopierschutzes
stellen sich für den Softwarehersteller einige Herausforderungen.
- Geschützte Software ist in der
  Handhabung in der Softwareentwicklung mit zusätzlichen Maßnahmen verbunden. Je
  höher das Schutzlevel ist, desto mühsamer kann das Einspielen neuer
  Softwaremodule sein und desto höher ist der Testaufwand.
- Ja nach Art des Kopierschutzes
  können teils maßgebliche Kosten (oft durch Dritthersteller) entstehen. Der
  Softwarehersteller wird diese Kosten den Kunden direkt oder indirekt
  weitergeben, was zu einem Wettbewerbsnachteil führen kann.
- Softwarekopierschutz erfordert
  zusätzliches Knowhow in der Entwicklung, sondern auch beim Support.
- Oft, im Besonderen bei ERP-Software,
  werden 2-3 Systeme eingesetzt. Neben dem produktiven System ist oft parallel
  ein Entwicklungs- und/oder ein Test-/Qualitätsmanagement- System im Einsatz,
  was zusätzlichen Aufwand in Schutzmaßnahmen bedeuten kann.
- Sollten Prozesse auf Grund
  Fehler in der Lizenzumgebung gestoppt werden müssen (Produktion steht still,
  weil kein Softwarezugriff möglich) stehen Schadenersatzanforderungen im Raum
Für den Kunden, welcher eine dauerhafte
Lizenz erwirbt, ergeben sich ebenfalls Herausforderungen, welche beachtet
werden müssen.
- Der Kunde befürchtet
  Betriebsausfälle bzw. Betriebsunterbrechungen, wenn der Kopierschutz auf Grund
  Einflüssen, welche nicht mit einer unsachgemäßen Verwendung der Software zu tun
  haben, die Software stoppt oder den Zugriff einschränkt. Z.B. nach einem Software-Update,
  (Not-) Migration des produktiven Systems auf ein anderes System (z.B. bei
  hardwarebezogenem Schutz und Dongles) oder bei Kommunikationsproblemen des
  Lizenzservers.
- Der Kunde hat oft höhere Kosten
  zu tragen.
- Der Kunde hat Unsicherheit
  darüber ob die Dauerhaftigkeit der Lizenz tatsächlich gegeben ist, wenn der
  Softwarehersteller aus welchen Gründen auch immer kein Vertragspartner des
  Softwarenutzers mehr ist (Supportvertrag wird beendet, Softwarelieferant stellt
  Betrieb ein oder ändert Geschäftsmodell, etc.).
- Darüber hinaus können auch
  Sicherheitsbedenken des Kunden eine Rolle spielen, da wirksame
  Kopierschutzsysteme meist eine Verbindung zu einem fremden System voraussetzen.
  Daraus kann sogar ein zusätzlicher Vektor für Angriffe durch Hacker entstehen
  (aber auch genau das Gegenteil, das die Software dadurch sicherer wird, je nach
  Implementierung des Kopierschutzes).
14. Oktober 2023