Share Deal in Aerospace & Defense: Data Valuation, Informationssicherheit und ISO 27001

Share Deal: Kontinuität der Gesellschaft, nicht der Datennutzung

Ein Share Deal ist datenschutzrechtlich kein Freifahrtschein. Zwar bleibt die Zielgesellschaft dieselbe juristische Person und damit grundsätzlich Verantwortliche für ihre Datenverarbeitungen. Der Investor erwirbt aber nicht automatisch ein eigenes Zugriffs- oder Nutzungsrecht an operativen Daten. Bereits die Offenlegung im Datenraum, spätere Reporting-Linien, zentrale Plattformen oder konzernweite Analysen sind eigenständige Verarbeitungsvorgänge, die nach Zweck, Erforderlichkeit, Rollenmodell und Sicherheit geprüft werden müssen.

Im Aerospace-&-Defense-Umfeld treten weitere Grenzen hinzu. Technische Daten können vertraglich dem Kunden, einem OEM, einer Behörde oder einem Konsortium zugeordnet sein. Sie können Geheimhaltungsstufen, Exportkontrollen, Standortvorgaben oder besondere Sicherheitsanforderungen unterliegen. Ein Kontrollwechsel kann außerhalb des Datenschutzrechts Anzeige-, Zustimmungs- oder Prüfpflichten auslösen. Deshalb ist die Frage, ob das Target nach Closing fortbesteht, nur der erste Schritt, nicht die Antwort auf die Nutzbarkeit seiner Daten.

Informationssicherheit ist Teil der Produkt- und Lieferfähigkeit

Bei technischen Daten ist Vertraulichkeit nur eine Dimension. Falsche Versionen, manipulierte Parameter, lückenhafte Änderungsverläufe oder nicht verfügbare PLM-, Test- und Wartungssysteme können Zulassungsnachweise, Produktionsentscheidungen und sichere Instandhaltung beeinträchtigen. Datenintegrität und Verfügbarkeit sind deshalb unmittelbar mit Umsatz, Haftungsrisiko und Lieferfähigkeit verbunden.

Die information security due diligence muss Office-IT, Engineering-Netze, Entwicklungs- und Testumgebungen, Produktions- und OT-nahe Systeme, Fernwartung, Cloud-Dienste und Lieferantenzugänge gemeinsam betrachten. Ein Angreifer oder fehlerhafter privilegierter Zugriff kann nicht nur Daten entwenden, sondern Konfigurationen verändern, Entwicklungsprogramme verzögern oder die Wiederaufnahme des Betriebs erschweren.

Welche Datenassets den Unternehmenswert treiben

Eine sector-specific data asset valuation sollte technische, operative und regulatorische Evidenz getrennt erfassen. Besonders relevant sind:

• Konstruktions-, CAD-, PLM- und Konfigurationsdaten einschließlich Versionen und Änderungshistorie.
• Test-, Qualifikations-, Zertifizierungs- und Nachweisdaten mit belastbarer Traceability.
• Digitale Zwillinge, Simulationsmodelle und Engineering-Bibliotheken.
• Wartungs-, MRO-, Zuverlässigkeits- und Zustandsdaten für predictive maintenance.
• Lieferanten-, Material-, Qualitäts- und Seriennummerndaten entlang der Supply Chain.
• Sicherheits-, Incident- und Schwachstellendaten sowie Informationen zur cyber resilience.
• Vertrags- und Rechteinformationen, die festlegen, ob und wie Daten wiederverwendet oder an Dritte weitergegeben werden dürfen.

Der value of data steigt mit Einzigartigkeit, Verlässlichkeit, Langzeitnutzen und direkter Einbindung in Umsatz oder Kostenersparnis. Er sinkt, wenn Dateien ohne Kontext, Rechtekennzeichnung, Versionshistorie oder technische Lesbarkeit vorliegen. Bei langlaufenden Plattformen ist zudem entscheidend, ob Daten über Jahrzehnte migrierbar und nachvollziehbar bleiben.

Risikofelder der M&A due diligence

Cyber due diligence ist Wertprüfung, nicht nur Compliance

In diesem Sektor kann ein Sicherheitsmangel den Datenwert unmittelbar vernichten. Betroffen sind nicht nur personenbezogene Daten, sondern auch Geschäftsgeheimnisse, technische Spezifikationen und operative Systeme. Die cybersecurity due diligence sollte deshalb Identitäten, privilegierte Zugriffe, Segmentierung, Schwachstellenmanagement, Lieferantenzugänge, Backup, Wiederanlauf und Incident-Historie zusammen betrachten.

Besonders aussagekräftig ist, ob das Target kritische Datenklassen kennt und Zugriffe tatsächlich danach steuert. Ein formal vorhandenes data governance framework ohne technische Durchsetzung bietet wenig Schutz. Umgekehrt kann eine klare Klassifizierung mit belastbarer Protokollierung den digital trust und damit die Verhandlungsposition des Verkäufers stärken.

ISO/IEC 27001 prüfen: Scope, Wirksamkeit und sektorspezifische Lücken

ISO/IEC 27001:2022 schafft einen risikobasierten Rahmen für ein Information Security Management System. In der M&A due diligence ist das Zertifikat jedoch nur der Einstieg. Zu prüfen ist, ob der Scope die relevanten Gesellschaften, Standorte, Engineering-Netze, PLM- und Lifecycle-Systeme, Testumgebungen, Cloud-Dienste und Serviceprozesse umfasst. Ein sauberer Office-Scope sagt wenig über die Sicherheit eines werttragenden technischen Datenbestands aus.

Zusätzlich können Kunden-, Programm-, Geheimhaltungs-, Export-, Standort- oder sonstige sektorale Anforderungen über ISO 27001 hinausgehen. Die Due Diligence sollte daher das ISMS mit den konkreten Datenklassen, Verträgen und Betriebsbedingungen abgleichen. Relevante Nachweise sind insbesondere Risikoanalyse, Statement of Applicability, Risikobehandlung, interne Audits, Management Review, Korrekturmaßnahmen, Schwachstellenmanagement, Incident Response, Wiederanlauf- und Restore-Tests sowie die Steuerung kritischer Lieferanten.

Datenschutz im Datenraum: weniger ist mehr

Auch im reinen Share Deal bleibt die Offenlegung im Datenraum ein eigener Prüfpunkt. Personenbezogene Daten können sich in Wartungsberichten, Incident-Tickets, Zugriffslogs, Lieferantenkontakten oder Testdokumentationen befinden. Für die investment decision sind in der Regel aggregierte Reifegradwerte, anonymisierte Incident-Statistiken, Systemlisten und Stichproben ausreichend. Namen, Zugangsdaten, operative Netzwerkdetails oder vollständige sicherheitskritische Dokumente sollten nicht breit offengelegt werden.

• Mehrstufiger Datenraum mit sektorspezifischen Freigabestufen.
• Clean Team für besonders sensible technische, wettbewerbliche oder sicherheitsrelevante Informationen.
• Keine operativen Zugangsdaten, Secrets oder verwertbaren Angriffsinformationen im Datenraum.
• Nachvollziehbare Protokollierung, Download-Beschränkung und Löschung bei Abbruch.
• Gesonderte Prüfung von grenzüberschreitenden Zugriffen und der Personenkreise auf Investorenseite.
• ISO-Zertifikat, Scope, hochrangige Statement-of-Applicability-Informationen und Auditstatus kontrolliert bereitstellen; detaillierte Schwachstellen- oder Angriffsinformationen nur im Clean Team.

Chancen: Daten als Engineering- und Aftermarket-Hebel

Werden technische Daten sauber beherrscht, entstehen erhebliche Chancen. Digitale Zwillinge und verknüpfte Lifecycle-Daten können Entwicklungszyklen verkürzen, Testaufwand fokussieren und Änderungen nachvollziehbarer machen. MRO- und Zustandsdaten ermöglichen predictive maintenance, bessere Ersatzteilplanung und neue Serviceangebote. Lieferketten- und Qualitätsdaten können Ausschuss, Stillstand und Beschaffungsrisiken reduzieren.

Der zentrale Value-Creation-Hebel ist enterprise data governance: einheitliche Klassifizierung, data lineage, klare data ownership, definierte Austauschformate und abgestufte Security Controls. Diese Grundlagen erhöhen nicht nur operative Effizienz. Sie schaffen auch die Voraussetzung, Daten für Simulation, Analytics und AI governance verantwortbar einzusetzen. Ein tragfähiger ISO-27001-Scope kann zusätzlich Kunden-Assessments, Lieferantenqualifizierung und die Integration neuer Standorte beschleunigen. Der Wert liegt in der nachweisbaren Beherrschung der Risiken, nicht im Zertifikat allein.

Data Valuation: vom Bruttowert zum risikobereinigten Wert

Ertragswert

Der ertragsorientierte Ansatz bewertet zusätzliche Cashflows aus Wartungsservices, höherer Verfügbarkeit, weniger Ausschuss, schnelleren Entwicklungszyklen oder besserer Angebotsqualität. Bei langen Produktlebenszyklen sind realistische Nutzungsdauern und Abzinsung besonders wichtig.

Wiederbeschaffungs- und Reproduktionskosten

Für Testreihen, Betriebsdaten und langjährig kuratierte Engineering-Bibliotheken kann der Aufwand einer Neuerhebung enorm sein. Der Kostenansatz muss jedoch berücksichtigen, ob eine Reproduktion technisch, zeitlich und regulatorisch überhaupt möglich wäre. Unwiederholbare Daten können einen hohen strategischen Wert besitzen.

Rechte-, Security- und Integritätsabschlag

Vom Bruttowert sind Kosten für Rechteklärung, Re-Klassifizierung, Security-Sanierung, Scope-Erweiterung des ISMS, Formatmigration und Rekonstruktion der Traceability abzuziehen. Zusätzlich ist ein Risikoabschlag für Cybervorfälle, Produktions- oder Serviceausfälle, Lieferantenabhängigkeit, Export- und Standortbeschränkungen, Wiederanlaufdefizite oder unsichere Langzeitlesbarkeit anzusetzen.

Prüfprogramm für Data Due Diligence und technology due diligence

1. Welche Datenbestände sind für Produkte, Zertifizierungen, Wartung und Lieferfähigkeit geschäftskritisch?
2. Welche Klassifizierungen, Export-, Standort-, Geheimhaltungs- oder Kundenbeschränkungen gelten?
3. Sind Rechte, Herkunft, Version, Freigabe und Änderungshistorie pro kritischem Datensatz nachvollziehbar?
4. Welche Systeme speichern kritische Daten, wie lange sind sie unterstützt und wie ist der Wiederanlauf getestet?
5. Wer besitzt privilegierte Zugriffe: intern, beim Lieferanten, beim Kunden oder beim Cloud- und Serviceprovider?
6. Welche Incidents, Schwachstellen, Meldeereignisse oder regulatorischen Feststellungen bestehen?
7. Welche Standorte, Engineering-, Test-, Produktions- und Serviceumgebungen liegen im Scope der ISO-27001-Zertifizierung?
8. Sind Statement of Applicability, Risikobehandlung, Auditfeststellungen und Korrekturmaßnahmen aktuell und auf die kritischen Datenklassen ausgerichtet?
9. Wann wurden Incident Response, Backup, Restore und Wiederanlauf zuletzt unter realistischen Bedingungen getestet?
10. Welche Synergien setzen eine Migration, einen grenzüberschreitenden Zugriff oder eine gemeinsame Plattform voraus?
11. Welche Investitionen sind erforderlich, um das Zielniveau für cyber resilience und operational resilience zu erreichen?

Die Ergebnisse sollten in ein gemeinsames governance risk and compliance Bild überführt werden. Der Investor benötigt keine isolierten Listen, sondern eine Priorisierung: Welche Risiken bedrohen Closing, Kaufpreis, laufende Programme, Kundenbeziehungen oder die geplante Wertsteigerung?

Deal-Schutz und 100-Tage-Plan

Im Kaufvertrag können bekannte Lücken durch spezifische Garantien, Freistellungen, Covenants und Bedingungen adressiert werden. Relevant sind Aussagen zu Datenrechten, Klassifizierung, Cybervorfällen, kritischen Drittparteien, Vollständigkeit der technischen Dokumentation und Einhaltung wesentlicher Sicherheitsvorgaben.

• Tag 1: keine automatischen Gruppen-, Netzwerk- oder Identitätsfreigaben; kritische Zugriffe, Fernwartung und privilegierte Konten bestätigen und protokollieren.
• Bis Tag 30: Critical-Data-Register mit Owner, System, Schutzklasse, Jurisdiktion und Rechteprofil erstellen; ISO-27001-Scope, Risikoregister und offene Findings gegen die werttragenden Umgebungen spiegeln.
• Bis Tag 60: privilegierte Konten, externe Zugänge, kritische Schwachstellen, Segmentierungs- und Backup-/Recovery-Lücken priorisiert schließen; Restore-Test durchführen.
• Bis Tag 100: Zielbild für PLM-, Engineering- und Lifecycle-Daten sowie ISMS und ISO-27001-Scope einschließlich Migrations-, Integrations- und Langzeitarchivierungsplan verabschieden.
• Value-Creation-KPIs: Datenintegrität, Traceability, Systemverfügbarkeit, Restore-Erfolgsquote, Patch- und Access-Review-Abdeckung, offene Hochrisiken, Security-Reife und Anteil nutzbarer Lifecycle-Daten.

Fazit: Der wertvollste Datensatz ist der beherrschte Datensatz

Im Aerospace-&-Defense-Share-Deal ist data valuation untrennbar mit Nutzungsrechten, Datenintegrität, Informationssicherheit und Cybersecurity verbunden. Die Gesellschaft bleibt zwar bestehen, doch die geplante Nutzung kann durch Verträge, Sicherheitsvorgaben, Jurisdiktionen und technische Altlasten begrenzt sein. Eine integrierte data due diligence prüft deshalb ISO 27001 nicht als Häkchen, sondern als evidenzbasiertes ISMS. So werden Risiken kaufpreisrelevant und Chancen von Engineering-Effizienz bis Aftermarket-Services belastbar.

FAQ: Share Deal, Datenschutz und Data Valuation

Warum reicht eine klassische IT due diligence nicht aus?

Weil der Wert technischer Daten nicht nur von Systemen abhängt. Rechte, Klassifizierung, Traceability, Langzeitlesbarkeit, Drittparteien und konkrete Nutzungsbeschränkungen müssen gemeinsam bewertet werden.

Darf der PE-Sponsor nach Closing technische Daten zentral analysieren?

Nicht automatisch. Der Zugriff ist nach Rollen, Zweck, Vertraulichkeit, Jurisdiktion und gegebenenfalls weiteren sektoralen Anforderungen zu gestalten. Besonders sensible Daten können innerhalb des Targets verbleiben müssen.

Wie werden digitale Zwillinge bewertet?

Über die erwarteten Cashflows und Kostenersparnisse aus Entwicklung, Wartung und Verfügbarkeit sowie über Wiederbeschaffungskosten. Abgezogen werden Rechte-, Qualitäts-, Security- und Integrationsrisiken.

Welche Red Flag wirkt am stärksten auf den Kaufpreis?

Ein kritischer Datenbestand ohne nachvollziehbare Rechte, Versionen und Traceability, insbesondere dann, wenn er für Zulassung, Betrieb oder Wartung unverzichtbar ist.

Reicht ein ISO-27001-Zertifikat für die Cyber Due Diligence aus?

Nein. Entscheidend sind Scope und operative Wirksamkeit. Ein Zertifikat kann Office-IT abdecken, während Engineering-, Test-, Produktions- oder Serviceumgebungen außerhalb liegen. Zusätzlich sind sektorale und vertragliche Sicherheitsanforderungen zu prüfen.