Die BaFin hat gegen die TeamViewer SE ein Bußgeld von 240.000 Euro verhängt. Der Grund ist nicht der Hackerangriff von 2024 selbst, sondern der Zeitpunkt seiner Veröffentlichung. Für börsennotierte Unternehmen verschiebt der Fall die Grenze zwischen IT-Vorfall und Kapitalmarkt-Pflicht.
drweb.de als bevorzugte Quelle auf Google hinzufügenQualitätsgeprüfte Inhalte direkt in Google News & DiscoverJetzt hinzufügen
Ein Cyberangriff ist für die Finanzaufsicht eine Insiderinformation, und die gehört unverzüglich an den Markt. Genau daran ist TeamViewer gescheitert: Der Softwarekonzern hat den Einbruch mutmaßlich russischer Staatshacker zunächst als reine IT-Angelegenheit behandelt.
Das Wichtigste in Kürze
- 240.000 Euro Bußgeld gegen TeamViewer, festgesetzt am 16. Juli 2026.
- Vorwurf: verspätete Ad-hoc-Meldung des Cyberangriffs nach Artikel 17 der Marktmissbrauchsverordnung.
- Der Angriff der Gruppe APT29 traf im Juni 2024 die interne IT, keine Kundendaten.
- Kernbotschaft: Ein Sicherheitsvorfall kann kapitalmarktrelevant sein und löst dann eine eigene Meldepflicht aus.
Wofür genau zahlt TeamViewer?
TeamViewer zahlt nicht für den Hackerangriff selbst, sondern dafür, ihn nicht rechtzeitig als kursrelevante Insiderinformation per Ad-hoc-Mitteilung veröffentlicht zu haben.
Ende Juni 2024 ist die mutmaßlich russische Gruppe APT29 in die interne Unternehmens-IT eingedrungen und hat Beschäftigtendaten abgegriffen. Den Vorfall hat der Konzern damals vor allem über einen Hinweis an Kunden auf der eigenen Website gemeldet.[1]
Artikel 17 der Marktmissbrauchsverordnung verlangt jedoch, kursrelevante Insiderinformationen unverzüglich per Ad-hoc-Mitteilung zu veröffentlichen. Ein Kundenhinweis auf der Startseite erfüllt diese Pflicht nicht.
Warum ist ein Hackerangriff plötzlich eine Insiderinformation?
Ein Angriff wird zur Insiderinformation, sobald er den Aktienkurs bewegen kann. Mit dem TeamViewer-Bußgeld macht die BaFin klar, dass sie diese Schwelle bei ernsten Cybervorfällen als überschritten ansieht.
Präzedenzfall statt Einzelstrafe: Mit 240.000 Euro bleibt die Buße weit unter dem gesetzlichen Rahmen von 2,5 Millionen Euro oder zwei Prozent des Jahresumsatzes. Die Höhe signalisiert, dass es der Aufsicht um die Regel geht, nicht um Abschreckung im Einzelfall.
Die Linie folgt einem internationalen Muster. In den USA zwingt die Börsenaufsicht SEC seit 2023 dazu, wesentliche Cybervorfälle binnen vier Werktagen zu melden, und ist im SolarWinds-Verfahren gegen verspätete Angaben vorgegangen.
Cybervorfälle bei börsennotierten Anbietern häufen sich, von der ausgenutzten VPN-Lücke bei Palo Alto Networks bis zum Sandbox-Ausbruch bei OpenAI. Jeder dieser Fälle stellt künftig dieselbe Frage: Ab wann bewegt ein Angriff den Kurs?
Ein Cyberangriff ist ab sofort nicht nur ein Fall für die IT-Forensik, sondern für Rechtsabteilung und Investor Relations. Kommt die Ad-hoc-Pflicht erst nach Wochen in den Blick, ist der teuerste Teil des Angriffs längst gelaufen.
— Markus Seyfferth, Chefredakteur Dr. Web
Der Fall TeamViewer und die Ad-hoc-Pflicht nach der Marktmissbrauchsverordnung
Zwei Uhren ab Stunde eins
Ad-hoc-Mitteilung nach der Marktmissbrauchsverordnung, unverzüglich an Markt und BaFin. Adressat sind die Anlegerinnen und Anleger.
Frühwarnung nach der NIS2-Richtlinie binnen 24 Stunden an das BSI. Adressat ist die Sicherheitsbehörde, nicht der Kapitalmarkt.
Was heißt das für deutsche Unternehmen?
Börsennotierte Firmen müssen einen Cybervorfall ab sofort doppelt denken: als Sicherheitsmeldung an das BSI und als mögliche Ad-hoc-Pflicht am Kapitalmarkt. Beide Uhren starten sofort.
Zwei Uhren laufen ab der ersten Stunde eines Vorfalls. Die NIS2-Richtlinie verlangt von wichtigen und besonders wichtigen Einrichtungen eine Frühwarnung binnen 24 Stunden an das BSI. Parallel läuft für börsennotierte Emittenten die kapitalmarktrechtliche Ad-hoc-Uhr nach der Marktmissbrauchsverordnung.
Beide Meldungen haben verschiedene Adressaten und verschiedene Zwecke, und sie schließen einander nicht aus. Betroffen sind auch Mittelständler, die lediglich Anleihen an einer Börse notiert haben, nicht allein die großen DAX-Konzerne.
Der Incident-Response-Plan sollte deshalb ab Stunde eins auch die kapitalmarktrechtliche Bewertung auslösen, nicht erst die Forensik. Entscheidet sich ein Unternehmen bewusst für einen Aufschub, muss es die Selbstbefreiung nach Artikel 17 aktiv beschließen und dokumentieren. Schweigen aus Reflex ist die teuerste Option.
Konkret heißt das: IT-Sicherheit, Recht und Investor Relations definieren gemeinsam die Schwellen, ab denen ein Vorfall meldepflichtig wird, und zwar bevor der Ernstfall eintritt. Ein geübter Meldeprozess kostet weniger als jedes Bußgeld.
Quelle
[1] BaFin: „TeamViewer SE: Bafin setzt Geldbuße fest“ ↩
Mehr Newshunger?
- EuGH-Urteil zu VPNs: Geoblocking schützt Anbieter vor der Urheberrechtshaftung
- Von Stunden auf Minuten: Amazons KI-Agent übernimmt die erste Bedrohungsanalyse
- 172-mal günstiger: Ciscos offene Mini-KI spürt Sicherheitslücken im Code auf
- Apple muss iCloud nicht auf Missbrauchsmaterial scannen: Gericht kippt Milliardenklage
- Gefälschte Vignetten-Shops: Wie Betrüger über gekaufte Anzeigen abkassieren
