So sicherst du einen Datenraum für eine Corporate-Development-Transaktion

Bei Corporate-Development-Deals gelangt dein sensibelstes Material zu externen Parteien: bei Akquisitionen, Veräußerungen, Carve-outs, Joint Ventures und strategischen Beteiligungen. Die Gegenpartei ist oft ein Wettbewerber, mehrere Bieter können gleichzeitig im Prozess sein, und Berater auf allen Seiten benötigen jeweils unterschiedliche Ausschnitte des Datenraums. Eine durchgesickerte Kundenliste oder ein geleaktes Preismodell kann dem Unternehmen schaden, selbst wenn der Deal nie zustande kommt.

In diesem Leitfaden gehen wir die Funktionen des Papermark-Datenraums durch, die für Corporate Development am wichtigsten sind – in der Reihenfolge, in der du sie einrichten würdest.

Kurzüberblick: Best Practices für die Datenraum-Sicherheit

1. Begrenze, wer in deinem Team den Datenraum öffnen darf, mit Rollen und der Rolle „Data Room Member“
2. Verifiziere die E-Mail-Adresse jedes Besuchers, bevor er etwas sieht
3. Beschränke den Zugriff per Domain mit Zulassungslisten und halte Wettbewerber mit Sperrlisten fern
4. Verlange eine NDA, bevor die erste Seite geladen wird
5. Vergib für jeden Bieter und jeden Workstream eigene Berechtigungen mit Gruppen
6. Versieh jede Seite mit einem Wasserzeichen mit E-Mail-Adresse, Datum und IP-Adresse des Betrachters
7. Verhindere Screenshots und Drucken bei den sensibelsten Dokumenten
8. Kontrolliere Downloads und verlange für Massen-Downloads ein Einmalpasswort
9. Lege Ablaufdaten fest, damit der Zugriff endet, wenn eine Phase endet
10. Schwärze personenbezogene Daten, bevor du hochlädst
11. Halte Fragen im Datenraum mit Q&A
12. Behalte die Aktivität im Blick mit Analysen auf Seitenebene und Audit-Logs
13. Wähle den Speicherort deiner Dateien für die Datenresidenz
14. Friere den Datenraum beim Closing ein und bewahre ein manipulationssicheres Archiv auf

Sicherheitsfunktionen im Datenraum für Corporate Development

Diese Kontrollen übernehmen in einem Corporate-Development-Datenraum den Großteil der Arbeit. Im weiteren Verlauf dieses Leitfadens zeigen wir dir, wie du sie einrichtest.

• Gruppen und granulare Berechtigungen: Gib jedem Bieter und jedem Workstream eine eigene Gruppe und lege Ordner für Ordner fest, was er sehen oder herunterladen darf.
• E-Mail-Verifizierung: Besucher bestätigen einen Einmalcode, der an ihr Postfach gesendet wird. So lässt sich der Datenraum nicht über einen weitergeleiteten Link öffnen.
• NDA-Vereinbarung: Jeder Besucher akzeptiert deine Vertraulichkeitsvereinbarung, bevor die erste Seite geladen wird. Papermark protokolliert, wer wann zugestimmt hat.
• Dynamische Wasserzeichen: Jede Seite zeigt die E-Mail-Adresse, das Datum oder die IP-Adresse des Betrachters an, sodass sich jede durchgesickerte Kopie zurückverfolgen lässt.
• Screenshot-Schutz: Das Dokument wird unscharf dargestellt, wenn ein Screenshot versucht wird. Ideal für Kundenlisten, Preisinformationen und andere Unterlagen, die für Wettbewerber wertvoll wären.
• Datenraum-Analysen: Sieh, welcher Bieter welche Dokumente geöffnet hat und wie lange er sich mit den einzelnen Seiten beschäftigt hat.
• Audit-Logs: Ein Protokoll von Aufrufen, Downloads, E-Mail-Verifizierungen und NDA-Zustimmungen für deine Deal-Akte.
• Datenraum einfrieren: Beende beim Abschluss den gesamten Besucherzugriff und bewahre ein manipulationssicheres Archiv von Dokumenten, Audit-Log und Q&A auf.

1. Beschränke, wer in deinem Team den Datenraum öffnen kann

Corporate-Development-Datenräume enthalten oft Material, das die meisten Personen in deinem eigenen Unternehmen nicht sehen sollten, etwa Bewertungen von Zielunternehmen, Synergiemodelle oder eine geplante Veräußerung.

• Nutze Teamrollen, damit nur das Deal-Team Links erstellen, Berechtigungen ändern oder Analysen einsehen kann.
• Lade Integrationsverantwortliche sowie Kolleginnen und Kollegen aus Finance oder Legal als Data Room Member ein. Sie können in den ihnen zugewiesenen Datenräumen arbeiten und sehen sonst nichts in deinem Workspace. Mehr dazu findest du unter So lädst du Teammitglieder ein.
• Wenn dein Unternehmen einen Identity Provider nutzt, verbinde SAML SSO und SCIM, damit der Zugriff automatisch endet, sobald jemand das Unternehmen verlässt.

2. Verifiziere die E-Mail-Adresse jedes Besuchers

Aktiviere die E-Mail-Verifizierung für jeden Link. Besucher erhalten per E-Mail einen Einmalcode, bevor sich der Datenraum öffnet. So ist ein weitergeleiteter Link für alle ohne Zugriff auf dieses Postfach nutzlos. Jede Ansicht in deinen Analysen und im Audit-Log ist dann einer verifizierten Person zugeordnet und nicht nur einer eingetippten Adresse.

3. Beschränke den Zugriff nach Domain

• Füge eine Zulassungsliste mit den E-Mail-Domains der Gegenpartei und ihrer Berater hinzu, zum Beispiel @acquirer.com und @theirbank.com, damit niemand außerhalb dieser Unternehmen selbst mit dem Link Zugriff erhält.
• Füge direkte Wettbewerber und Parteien, die du ausgeschlossen hast, einer Sperrliste hinzu oder einer globalen Sperrliste, damit sie bei allen Links in deinem Workspace blockiert sind.

Wenn jemandem der Zugriff verweigert wird, benachrichtigt dich Papermark. So siehst du versuchte Zugriffe, statt nur zu raten.

4. NDA verlangen, bevor die erste Seite geladen wird

Hänge deine Vertraulichkeitsvereinbarung mit NDA-Vereinbarungen an den Link an. Jeder Besucher muss sie akzeptieren, bevor er das Dokument ansehen kann. Die Zustimmung wird mit der verifizierten E-Mail-Adresse und einem Zeitstempel protokolliert. Das ist wichtig, wenn Bieter in unterschiedlichen Phasen dazukommen und du nachweisen musst, wer welcher Vereinbarung zugestimmt hat. Du kannst Vereinbarungen hinzufügen und sie immer wieder verwenden oder eine One-Click-NDA nutzen.

5. Vergib für jeden Bieter und jeden Workstream eigene Berechtigungen

Teile niemals einen einzigen Link mit allen Parteien. Erstelle für jeden Bieter eine Gruppe und für jeden Workstream auf dessen Seite eine weitere (Recht, Finanzen, Vertrieb, Technik). Nutze dann granulare Dateiberechtigungen, um Ordner für Ordner festzulegen:

• welche Ordner jede Gruppe sehen kann
• ob jede Gruppe Dateien nur ansehen oder auch herunterladen darf

Ein typisches Setup teilt in der ersten Runde das Teaser-Dokument und die Managementpräsentation, ergänzt für die engere Auswahl Finanzdaten und Verträge und öffnet die sensibelsten Ordner (Kundenverträge, Mitarbeiterdaten, geistiges Eigentum) nur für die namentlich benannten Berater des finalen Bieters. Lege Standardberechtigungen für neue Dokumente fest, damit Dateien, die du später hinzufügst, verborgen bleiben, bis du sie gezielt freigibst. Mehr dazu unter granulare Berechtigungen.

6. Jede Seite mit einem Wasserzeichen versehen

Aktiviere für jeden Link ein dynamisches Wasserzeichen. Papermark versieht jede Seite beim Ansehen mit den Angaben, die du auswählst: E-Mail-Adresse des Betrachters, Datum und Uhrzeit, Link oder IP-Adresse, zum Beispiel Confidential {{email}} {{date}}. Falls eine Seite an Unbefugte gelangt, zeigt das Wasserzeichen, wessen Kopie es war. Mehr dazu unter dynamische Wasserzeichen.

7. Screenshots und Drucken verhindern

Für die Dokumente, die für einen Wettbewerber am wertvollsten wären, etwa Kundenlisten, Preisgestaltung und Produkt-Roadmaps:

• Aktiviere den Screenshot-Schutz für den Link.
• Nutze die vertrauliche Ansicht, die beim Scrollen jeweils nur einen kleinen Teil der Seite anzeigt.
• Deaktiviere das Drucken.

Diese Einstellungen erschweren das massenhafte Erfassen von Inhalten, und das Wasserzeichen identifiziert weiterhin jede Person, die den Bildschirm fotografiert.

8. Downloads kontrollieren

Lass Downloads standardmäßig deaktiviert und erlaube sie nur für die Gruppen, die Offline-Kopien benötigen, in der Regel die Rechts- und Finanzberater des finalen Bieters. Lies dazu So erlaubst du Downloads aus einem Datenraum.

Wenn du Massendownloads erlaubst, senden OTP-verifizierte Massendownloads ein Einmalpasswort an die verifizierte E-Mail-Adresse des Besuchers, bevor die ZIP-Datei erstellt wird. Mit einem weitergeleiteten Link lässt sich somit nicht der gesamte Datenraum herunterladen.

9. Ablaufdaten festlegen

Versieh jeden Link mit einem Ablaufdatum, das zur jeweiligen Phase des Prozesses passt, zum Beispiel dem Ende der Angebotsfrist der ersten Runde. Bieter, die ausscheiden, verlieren automatisch den Zugriff, ohne dass du daran denken musst, ihn zu widerrufen. Du kannst einen Link außerdem jederzeit deaktivieren. Bieter auf diese Weise durch die Runden zu führen funktioniert genauso wie bei einem Verkaufsprozess im Rahmen von M&A.

10. Personenbezogene Daten vor dem Hochladen schwärzen

Mitarbeiterakten, Kundenverträge und Personalunterlagen enthalten Namen, E-Mail-Adressen und Kontonummern, die die Gegenseite vor der Unterzeichnung selten benötigt. Nutze die KI-Schwärzung, um personenbezogene Daten zu finden und zu schwärzen, bevor die Dokumente in den Datenraum gelangen. Das verringert das DSGVO-Risiko und senkt die Folgen, falls doch etwas an die Öffentlichkeit gelangt.

11. Behalte Fragen innerhalb des Datenraums

Nutze Q&A-Konversationen, damit Bieter ihre Fragen direkt beim jeweiligen Dokument stellen, statt per E-Mail. Fragen und Antworten bleiben innerhalb der Zugriffskontrollen des Datenraums, und du hast beim Abschluss des Deals eine vollständige Dokumentation. Um Dokumente von der Gegenseite einzuholen, nutze die Anforderungsliste.

12. Behalte die Aktivitäten im Blick

• Die Analysen auf Seitenebene zeigen, welcher Bieter welche Dokumente gelesen hat und wie lange. Ein plötzlicher Anstieg bei Kundenverträgen oder ein Bieter, der die Finanzunterlagen nie öffnet, verrät dir viel über seine Absichten.
• Audit-Logs erfassen Aufrufe, Downloads, E-Mail-Verifizierungen und NDA-Zustimmungen, die du für die Deal-Akte und für mögliche spätere Streitfälle benötigst.
• Exportiere Datenraum-Besuche als CSV für deine Unterlagen.
• Schließe interne Besuche aus, damit dein eigenes Team die Zahlen nicht verfälscht.

13. Wähle den Speicherort deiner Dateien

Wenn die Transaktion EU-Unternehmen betrifft oder deine Rechtsabteilung Datenresidenz verlangt, wähle deine Speicherregion, bevor du etwas hochlädst.

14. Friere den Datenraum beim Abschluss ein

Wenn der Deal unterzeichnet, abgeschlossen oder abgebrochen wird, friere den Datenraum ein. Durch das Einfrieren wird jeglicher Besucherzugriff dauerhaft beendet, jeder Link archiviert und ein Archiv der Dokumente, des vollständigen Audit-Logs und aller Q&A erstellt, inklusive SHA-256-Hash, damit du später nachweisen kannst, dass die Dokumentation nicht verändert wurde. Wenn du der Erwerber bist und das Zielunternehmen dir seine Dateien übermittelt, richte deinen eigenen Datenraum ein, wie in M&A-Due-Diligence beschrieben.

Empfohlene Einrichtung nach Phase

Einige Kontrollfunktionen hängen von deinem Tarif ab. Was jeder Tarif enthält, siehst du unter Preise. Wie Papermark im Vergleich zu den Anbietern abschneidet, die Corporate-Development-Teams nutzen, erfährst du in unserem Beitrag zu den besten virtuellen Datenräumen für das Finanz-Deal-Management.

Alle in diesem Leitfaden verwendeten Papermark-Funktionen

Weiterführende Anleitungen

• Gruppen und detaillierte Berechtigungen in Datenräumen
• So verlangst du vor dem Ansehen von Dokumenten eine NDA-Zustimmung
• So frierst du einen Datenraum ein
• M&A-Datenraum
• Datenraum für die Due Diligence