Referenzen

Wo Cybersicherheit über Transaktionen entscheidet.

Woodlands Advisory bewertet Cyber-Risiken in Unternehmenstransaktionen und übernimmt Sicherheitsverantwortung in regulierten Umgebungen. Auf dieser Seite steht, worauf diese Erfahrung beruht, wer sie bezeugen kann und in welcher Beziehung diese Personen zu uns stehen.

Erfahrungshintergrund

Drei Akquisitionen, eine Sicherheitsverantwortung.

Der Konzernbereich Business Transformation Management bei SAP ist nicht organisch gewachsen, sondern durch Zukäufe entstanden: Signavio, LeanIX und WalkMe. Jede dieser Übernahmen brachte eigene Technik mit, eine eigene Organisation und einen eigenen Stand bei der Sicherheit.

Fabian Hausner kam aus dem Incident Response und arbeitete auf der Sicherheitsseite, als Signavio in den Konzern integriert wurde. Später verantwortete er die Security Advisory für den gesamten Bereich, über alle drei Produkte hinweg, als SAP Global Security Advisory Lead.

Wer bei einer Übernahme auf der Sicherheitsseite steht, arbeitet nicht mit dem Bild, das der Datenraum zeichnet, sondern mit dem, was tatsächlich läuft, was davon dokumentiert ist und wo zwischen beidem eine Lücke bleibt. Diese Lücke ist der Gegenstand von Cyber Due Diligence.

Das ist die Perspektive, die Woodlands Advisory heute in Transaktionen einbringt: die der Seite, die das Ergebnis anschließend betreiben muss.

Fabian Hausner bei einem Kundenvortrag zur SAP Signavio Process Transformation Suite — Kundenvortrag zur SAP Signavio Process Transformation Suite.

Akquisitionen im Bereich: Signavio, LeanIX, WalkMe

Global

Security Advisory über alle drei Produkte

Käuferseite

Sicherheitsverantwortung vor, während und nach der Integration

Stimmen aus diesem Umfeld

Drei Personen, die diese Verantwortung aus der Nähe kennen.

„Er hat bei uns die Sicherheitsseite verantwortet, als aus drei Zukäufen ein Bereich wurde.“

Ich habe Fabian bei SAP kennengelernt, zunächst in einem Bereich, den ich verantwortet habe. Danach sind wir uns über mehrere Stationen begegnet, Enterprise Analytics, Signavio, LeanIX. Ich habe also nicht ein Projekt mit ihm gesehen, sondern mehrere Jahre.

Der Bereich, den ich zuletzt geführt habe, ist vollständig durch Akquisitionen entstanden. Signavio, LeanIX, WalkMe, drei Übernahmen in kurzer Zeit, jede mit eigener Technik, eigener Organisation und einem eigenen Stand bei der Sicherheit. Fabian kam aus dem Incident Response zu uns und hat die Integration zunächst im Product Engineering selbst vorangetrieben. Später hat er auf der Go-to-Market-Seite die Security Advisory für den gesamten Bereich verantwortet, über alle drei Produkte.

Wer bei einer Übernahme auf der Sicherheitsseite steht, sieht Dinge, die in keinem Datenraum stehen: was tatsächlich läuft, was dokumentiert ist, und wo dazwischen eine Lücke ist. Er hat das nicht von außen geprüft, er musste es anschließend zum Laufen bringen.

Wir haben außerdem gemeinsam eine Gesellschaft gegründet, ForeYou. Dort hat er die IT-Produkte und den Webauftritt aufgebaut und zusammengeführt, und mit der Zeit hat er die strategischen Entscheidungen mitgetragen. Ich kenne ihn dadurch nicht nur als Sicherheitsfachmann, sondern als Unternehmer, der ein Geschäft von der Technik bis zur Zahl denkt.

„Er hat technische Risiken so eingeordnet, dass unsere Kunden entscheiden konnten.“

Zur Einordnung: Ich verantworte die Sicherheits- und Compliance-Organisation von SAP Signavio nach innen, das Product Security Team. Fabian war das Gegenstück nach außen, als globaler Security Advisor für den Bereich.

Das betraf vor allem Kunden aus dem KRITIS-Umfeld, für die Sicherheit nicht verhandelbar ist: Regierungen, Verteidigung, Gesundheitswesen, daneben kleinere Häuser mit denselben Anforderungen. In diesen Verfahren entscheidet nicht die Darstellung, sondern ob die Antworten einer Prüfung standhalten. Er hat diese Verantwortung für global tätige KRITIS-Organisationen getragen.

Ein größerer Abschluss mit einem internationalen Konzern hing über Monate an offenen Sicherheitsfragen. Fabian hat die Verantwortlichen auf Kundenseite zusammengeführt und die technische Lage so aufbereitet, dass eine Entscheidung möglich wurde. Kurz darauf wurde unterzeichnet.

Der Punkt daran ist nicht Verhandlungsgeschick. Es ist die Fähigkeit, ein technisches Risiko in die Sprache derjenigen zu übersetzen, die dafür geradestehen müssen, ohne dass das Risiko dabei kleiner dargestellt wird.

Dr. Daniel Bernau

Senior Manager, Co-Head of Security, Compliance & Engineering Governance, SAP Signavio

Beziehung: Verantwortet die Sicherheits- und Compliance-Organisation von SAP Signavio. Fabian war marktseitig sein Gegenstück im selben Geschäftsbereich.

„Ich komme aus der Prüfung. Seine Unterlagen waren die, die man einem Auditor vorlegen kann.“

Ich komme aus der Prüfung, zuvor KPMG und öffentlicher Dienst. In dieser Schule liest man jede Aussage mit der Rückfrage mit, die sie zerlegen würde.

Fabian und ich haben bei SAP in denselben Kundenprojekten gearbeitet, an Dokumentation, die einer Prüfung standhalten muss: Governance, Risiko, Compliance und zunehmend die europäische KI-Regulierung. In diesem Umfeld gibt es Unterlagen, die gut aussehen, und Unterlagen, die man einem Auditor vorlegen kann. Seine gehörten zur zweiten Art.

Beim Vertrieb von KI-Lizenzen war er die letzte fachliche Station vor dem Abschluss, die Sicherheits- und Compliance-Validierung, global und insbesondere im europäischen Regulierungsumfeld. Sein Urteil hat Abschlüsse ermöglicht und uns vor Entscheidungen bewahrt, die regulatorisch teuer geworden wären.

Für meine Doktorarbeit zu AI Governance war er eines der Interviews, auf die ich mich fachlich gestützt habe.

Dr. Joshua Nganyadi

Sr. Strategic Advisor, SAP · ISO/IEC 42001 Lead Auditor · zuvor Sr. Auditor & Corporate Governance Services, KPMG

Beziehung: Langjähriger Kollege aus der gemeinsamen Signavio-Zeit, gemeinsame Kundenprojekte.

Mandat

Sicherheit in einem Betrieb, der keine IT-Abteilung dafür hat.

Rahmen

AuftraggeberRiedel GmbH, produzierender Betrieb, Eschbach

AusgangslageKeine eigene Funktion für Informationssicherheit im Haus

ThemenDatensicherung, Sicherheit im laufenden Betrieb, Einsatz von KI in den Abläufen

StandProjekt abgeschlossen, laufende Zusammenarbeit

riedel-schmierstoffe.de

„Er hat sich zuerst angesehen, wie wir tatsächlich arbeiten, und dann gesagt, was nicht nötig ist.“

Wir sind ein produzierender Betrieb, kein IT-Unternehmen, und wir haben niemanden im Haus, dessen Aufgabe Informationssicherheit wäre. An dem Thema kommt man trotzdem nicht vorbei.

Es ging um unsere Datensicherung, um Sicherheitsfragen im laufenden Betrieb und um die Frage, wie wir künstliche Intelligenz sicherheitskonform in unsere Informationssicherheits-Abläufe bringen.

Was ich sagen kann: Er hat sich zuerst angesehen, wie wir tatsächlich arbeiten, bevor er etwas vorgeschlagen hat. Er hat die Themen so erklärt, dass ich sie beurteilen konnte. Und er hat benannt, was wir nicht brauchen. Das Projekt ist abgeschlossen.

Christian Scholz

Geschäftsführender Gesellschafter, Riedel GmbH · Eschbach

Beziehung: Auftraggeber. Abgeschlossenes Projekt, seitdem laufende Zusammenarbeit bei Sicherheitsfragen.

Partnernetzwerk

Wenn aus einem Vorfall ein Verfahren wird.

Für strafrechtliche Fragestellungen nach einem Sicherheitsvorfall arbeiten wir mit einer spezialisierten Kanzlei zusammen.

„Nach einem Vorfall laufen zwei Verfahren gleichzeitig, ein technisches und ein juristisches.“

Wenn ein Angriff oder ein Datenabfluss aufgedeckt wird, beginnen beide zur selben Zeit. Ermittlungsbehörden stellen Fragen, Fristen laufen, und was in den ersten Tagen gesichert und dokumentiert wird, entscheidet später über Verantwortung und Haftung.

Fabian und ich arbeiten an dieser Schnittstelle zusammen: Regulatorik, strafrechtliche Abläufe nach Vorfällen, und die Frage, wie technische Feststellungen aufbereitet sein müssen, damit sie vor Behörden und Gerichten Bestand haben.

Als Strafverteidiger empfehle ich selten. Mit Woodlands Advisory arbeite ich zusammen, weil ich im Ernstfall unmittelbar auf die Ergebnisse aufbauen kann.

Relevanz

Von der technischen Feststellung zur Entscheidung.

In einer Transaktion ist eine Sicherheitsfeststellung erst dann verwertbar, wenn sie beantwortet, was sie für den Kaufpreis, für die Verhandlung und für die Zeit nach dem Closing bedeutet. An dieser Übersetzung scheitern rein technische Prüfungen regelmäßig.

Die hier dokumentierte Erfahrung deckt diese Kette vollständig ab: die Bewertung technischer Risiken, ihre Einordnung für Entscheidungsträger, Verfahren, in denen ein Abschluss von Sicherheitsfragen abhing, und die Integration nach dem Kauf.

Auf dieser Grundlage bieten wir Cyber Due Diligence in Transaktionen sowie Sicherheits- und AI-Governance-Verantwortung in regulierten Umgebungen an. Die Delivery erfolgt durch ein kuratiertes Team aus Senior-Praktikern, ergänzt um ein Partnernetzwerk für Recht, Tooling und Forensik.

Wachstum braucht Sicherheit. Nicht irgendwann – jetzt.

Ob Sie vor einer Transaktion stehen, eine Zertifizierung brauchen oder Ihre Sicherheitsstrategie professionalisieren wollen – Woodlands liefert planbare Ergebnisse mit Boutique-Geschwindigkeit.

Erstgespräch vereinbaren →

20 Minuten. Vertraulich. Unverbindlich.