IT-Sicherheit · Branchen-Briefing

Der Artikel behandelt Cybersecurity-Flow-Down-Klauseln: Vertragsbestimmungen, durch die Kunden ihre eigenen Compliance-Verpflichtungen an Lieferanten weitergeben. Der Text erläutert, welche regulatorischen Anforderungen direkt gelten – etwa NIS2 für wesentliche und wichtige Einrichtungen, GDPR für Datenverarbeiter, die Cyber Resilience Act (CRA) für Hersteller und Distributoren digitaler Produkte ab Dezember 2027, sowie DORA für kritische ICT-Dienstleister. NIS2 verpflichtet Leitungsorgane, Supply-Chain-Sicherheit zu überwachen und Lieferantenverträge entsprechend zu gestalten; DORA schreibt spezifische vertragliche Voraussetzungen vor. Der Artikel unterscheidet zwischen drei Claustypen: gesetzlich vorgeschrieben (wie GDPR Artikel 28, DORA Artikel 30), ergebnisorientiert (Gesetze setzen Ziele ohne Wortlaut vor) und sorgfaltspflichtig (wie CRA Artikel 13(5) zu Third-Party-Komponenten). Die Verhandlung solcher Klauseln sollte Trigger und Häufigkeiten von Audits, Incident-Meldungsfristen und alternative Assurance-Level berücksichtigen; SOC 2 oder ISO-Zertifikate befreien nicht automatisch von Audit- und Inspektionsrechten unter DORA.

Ein Jahr nach einer 500-Millionen-Euro-Strafe gegen Apple wegen Digital-Markets-Act-Verstößen zeigt sich bei der Durchsetzung ein zwiespältiges Bild: Der Epic Games Store ist seit August 2024 auf dem iPhone in der EU verfügbar, bietet aber nur rund 20 Drittanbieter-Spiele. Ein Kommissions-Arbeitsdokument vom 28. April 2026 bestätigt, dass das Verfahren gegen Apples App-Vertrieb noch offen ist. Apple erhebt weiterhin mehrere Gebühren – eine Core Technology Fee von 0,50 Euro pro Installation ab der millionsten Erstinstallation, eine einmalige Acquisition Fee von 5 Prozent und eine laufende Store Services Fee von 10 Prozent auf externe Käufe im ersten Jahr. Die Zulassungshürden für alternative App-Marktplätze bleiben hoch: Entwickler benötigen entweder eine Bankbürgschaft über 1 Million Euro oder zwei Jahre Mitgliedschaft im Apple-Entwicklerprogramm mit mindestens einer Million Installationen in der EU. Für Deutschland, wo der Games-Markt 2025 auf 9,4 Milliarden Euro gewachsen ist, werden solche Provisionsmodelle wirtschaftlich relevant. Der Verbraucherzentrale Bundesverband und der Digitalverband Bitkom fordern eine vollständigere DMA-Umsetzung. Apples Abwehr konzentriert sich auf Sicherheitsargumente, liefert aber laut Bericht keine quantifizierten Daten zu tatsächlichen Sicherheitsvorfällen. Kommissions-Entscheidungen zu Apples Gebührenmodell werden für die zweite Jahreshälfte 2026 erwartet, wobei wiederholte Verstöße gemäß DMA bis zu 20 Prozent des weltweiten Jahresumsatzes kosten können.

Ein 250-Millionen-Dollar-Deal für den KI-Videoclipping-Dienst VideoVerse ist nach weniger als einem Jahr geplatzt. Der Käufer Minute Media beendete den Vertrag im Mai 2026 aufgrund erheblicher Diskrepanzen in den Darstellungen des Unternehmens. Der Gründer Vinayak Shrivastav steht in mehreren Verfahren vor dem Delaware Chancery Court unter Vorwürfen von Betrug und gefälschten Dokumenten, darunter gefälschte Merger-Dokumente, Signaturen und Bankguthaben-Screenshots. Mehrere Kläger, darunter die Investmentfirma Lingotto und das Investitionsunternehmen Bluestone Capital, fordern ausstehende Zahlungen zurück und behaupten, dass Millionenbeträge durch betrügerische Kreditstrukturen und gefälschte Unterlagen des CEO von Minute Media aus dem Unternehmen gezogen wurden. Der Fall verdeutlicht erhebliche Mängel in Due-Diligence-Verfahren bei Startup-M&A-Transaktionen, da die technische Plausibilität des Geschäftsmodells (VideoVerse bedient Kunden wie die indische Premier League und FIFA+) durch unzureichend verifizierte Dokumentation, Zahlungsnachweise und Unterschriften untergraben wird. Die überlagernden Gerichtsverfahren zeigen, wie schwierig es für Investoren ist, den tatsächlichen Unternehmensstand und die Verbindlichkeitsverteilung frühzeitig zu stabilisieren.