Aretea baut Cybersecurity-Gruppe auf: YPOG berät Buy-and-Build

Die Cybersecurity-Plattform Aretea wächst als Unternehmensgruppe, und die Kanzlei YPOG begleitet diesen Aufbau rechtlich und steuerlich. Das teilte YPOG Rechtsanwälte Steuerberater mit. Die Berater strukturierten die Gruppe gesellschafts- und steuerrechtlich, betreuten eine Finanzierungsrunde im Sommer 2025 und den Erwerb von fünf Portfolio-Unternehmen. An der Runde beteiligten sich Cherry Ventures und Tengelmann Ventures. YPOG beriet außerdem zur Akquisitionsfinanzierung, zum Aufbau einer MEP KG sowie zu aufsichtsrechtlichen und laufenden steuerrechtlichen Fragen.

Unter dem Dach von Aretea arbeiten fünf spezialisierte Unternehmen: RedTeam Pentesting, iTentity, ujima, ERNW Netzwerke und ERNW Research. Sie decken Risikoanalysen, Security-Audits und Sicherheitskonzepte ab, dazu Pentests und Identity and Access Management (IAM). Hinzu kommen Managed Security Services und ein rund um die Uhr betriebenes Security Operations Center (SOC). Daneben zählen Incident Response, die Untersuchung digitaler Spuren, die Analyse von Schadsoftware, die Absicherung von Cloud-Umgebungen sowie Compliance zu den Tätigkeitsfeldern. Außerdem berät das Unternehmen Kunden bei gesetzlichen Vorgaben wie NIS2 und DORA und unterstützt bei Normen wie ISO 27001.

Gegründet wurde Aretea von Max Brückner und Max Blome, die zuvor als Investoren bei Cherry Ventures tätig waren. Der Konzern setzt auf ein unternehmerisches Buy-and-Build-Modell und strebt an, weitere auf Cybersecurity spezialisierte Firmen unter seinem Dach zu vereinen.

Dr. Frederik Gärtner, Partner bei YPOG, sagte: „Das Zusammenspiel von VC-Setup und unternehmerischer Buy-and-Build-Strategie erlaubt Aretea dabei eine besondere Agilität.“ Sjard Seeger, Senior Associate bei YPOG, sagte, Aretea führe zuvor fragmentierte Dienstleistungen unter einem Dach zusammen und ermögliche so digitale Sicherheit aus einer Hand.

Das YPOG-Team umfasste Fachleute aus den Bereichen Corporate, Tax, Debt, IP/Data Protection und Regulatory an den Standorten Berlin, Hamburg und München.

Hintergrund

Bei Buy-and-Build werden weitere Zukäufe bestehenden Beteiligungen angegliedert. Am Beispiel von Mutares erklärt Wikipedia das Prinzip: Durch Restrukturierungsmaßnahmen, Investitionen und strategische Neu-Angliederungen sollen die Unternehmen wieder profitabel werden. Solche Neuerwerbungen heißen Add-on-Akquisitionen.

Zwei der von Aretea genannten Regelwerke sind EU-Recht. Die NIS-2-Richtlinie wurde laut Wikipedia am 14. Dezember 2022 verabschiedet. Sie unterscheidet wesentliche und wichtige Einrichtungen, vornehmlich nach Mitarbeiterzahl oder Umsatz. Betroffene Institutionen müssen die nationale Cybersicherheitsbehörde unverzüglich über signifikante Störungen und Vorfälle ihrer kritischen Dienstleistungen informieren, ein Risikomanagement einrichten und den Stand der Technik in der IT-Sicherheit umsetzen.

DORA gilt dagegen für bestimmte Finanzunternehmen aus dem Europäischen Wirtschaftsraum. Die Verordnung enthält Vorgaben für die Resilienz von IKT-Systemen bei Finanzunternehmen wie Kreditinstituten und Versicherungen sowie für deren IKT-Dienstleister. Nach Wikipedia betrifft sie in der Europäischen Union schätzungsweise 22.000 Finanzunternehmen, davon 3.600 in Deutschland. Im Gegensatz zur NIS-2-Richtlinie greift DORA direkt und einheitlich in sämtlichen EU-Staaten, da es sich um eine Verordnung handelt.

Eigene Einschätzung

Für Gründer ist das Modell interessant, weil es zeigt, dass Venture-Geld auch in Zukäufe statt nur in Produktentwicklung fließen kann. Die Mitteilung stammt von der beratenden Kanzlei und sagt nichts über Umsatz, Kaufpreise oder Finanzierungsvolumen. Ob die Bündelung kleiner Spezialisten im Alltag besser funktioniert als einzelne Anbieter, müssen Kunden und die Gruppe erst noch zeigen.