Die BaFin hat gegen die TeamViewer SE eine Geldbuße von 240.000 Euro festgesetzt. Auslöser ist nicht der Cyberangriff selbst gewesen, sondern das Schweigen danach. Für börsennotierte Softwarehäuser verschiebt der Fall die Schwelle, ab der ein Sicherheitsvorfall an den Kapitalmarkt gehört.
drweb.de als bevorzugte Quelle auf Google hinzufügenQualitätsgeprüfte Inhalte direkt in Google News & DiscoverJetzt hinzufügen
240.000 Euro kostet die TeamViewer SE die verspätete Ad-hoc-Meldung eines Cyberangriffs. Die Finanzaufsicht hat die Geldbuße am 16. Juli 2026 festgesetzt und die Maßnahme am 20. Juli veröffentlicht[1]. Interessant ist weniger die Summe als die Begründung, denn die Aufsicht knüpft die Meldepflicht ausdrücklich an das Geschäftsmodell des Unternehmens.
Das Wichtigste in Kürze
- Rechtsgrundlage ist Artikel 17 Absatz 1 Unterabsatz 1 der Marktmissbrauchsverordnung, also die Ad-hoc-Publizitätspflicht.
- Die BaFin wertet die bloße Tatsache des Angriffs als Insiderinformation, ausdrücklich auch deshalb, weil TeamViewer ein Softwareunternehmen ist.
- Der Bußgeldrahmen reicht bis 2,5 Millionen Euro oder bis zu 2 % des Gesamtumsatzes.
- Drei Wochen zuvor hat dieselbe Vorschrift die VARTA AG 620.000 Euro gekostet.
Warum wird ein Cyberangriff zur Insiderinformation?
Weil der Angriff bei einem Softwareanbieter das Produktversprechen selbst trifft. Die BaFin begründet die Kursrelevanz ausdrücklich damit, dass TeamViewer ein Softwareunternehmen ist. Nicht die Schadenshöhe entscheidet, sondern das Geschäftsmodell.
Branchenabhängige Schwelle: Genau hier liegt der Mechanismus, den die Meldung nicht ausbuchstabiert. Ein Fernwartungsanbieter verkauft Zugriff auf fremde Rechner, sein Kapital ist Vertrauen.
Ein Angriff auf die eigene IT beschädigt damit die Substanz des Angebots, selbst wenn keine Kundendaten abfließen. Bei einem Maschinenbauer kann derselbe Vorfall unterhalb der Kursrelevanz bleiben.
Wiederholungsmuster: Der Fall steht nicht allein. Am 23. Juni 2026 hat die BaFin gegen die VARTA AG 620.000 Euro festgesetzt, ebenfalls wegen einer nicht unverzüglich bekannt gegebenen Insiderinformation[2]. Wie sehr die Aufsicht Meldedisziplin inzwischen als eigenständiges Risiko behandelt, hat zuletzt auch der Blick auf die Meldesysteme der Deutschen Bank gezeigt.
Welche Frist gilt: Behörde oder Börse?
Beide, und sie laufen getrennt. Die Aufsichtsmeldung nach NIS2 verlangt eine Erstmeldung binnen 24 Stunden an die Cybersicherheitsbehörde. Die Ad-hoc-Pflicht nach MAR kennt keine Stundenzahl, sondern nur das Wort unverzüglich.
Zwei Uhren: Viele Krisenpläne kennen bislang nur den ersten Weg. Seit dem Start der neuen Meldepflichten haben sich vor allem IT-Abteilungen darauf eingestellt, was NIS2 von jedem betroffenen Unternehmen verlangt.
Die kapitalmarktrechtliche Uhr hängt aber nicht am Sicherheitsteam, sondern am Vorstand. Ein Aufschub der Veröffentlichung bleibt möglich, verlangt aber enge Voraussetzungen und eine Dokumentation gegenüber der Aufsicht.
Die eigentliche Botschaft der BaFin lautet nicht, dass Cyberangriffe teuer sind, sondern dass die Kommunikationsentscheidung nach dem Angriff selbst bußgeldbewehrt geworden ist.
— Markus Seyfferth, Chefredakteur Dr. Web
Aufsichtsmeldung nach NIS2
Betroffene Einrichtungen melden einen erheblichen Sicherheitsvorfall an die zuständige Behörde. Adressat ist die Cybersicherheitsaufsicht, nicht der Kapitalmarkt.
Erstmeldung binnen 24 Stunden
Ad-hoc-Meldung nach MAR
Börsennotierte Emittenten veröffentlichen kursrelevante Insiderinformationen. Adressat sind alle Anlegerinnen und Anleger gleichzeitig.
unverzüglich, ohne feste StundenzahlWas Entscheider jetzt im Krisenplan ändern sollten
Vorstandspflicht: Die Bewertung, ob ein Vorfall kursrelevant ist, gehört in den ersten Stunden auf den Tisch der Geschäftsleitung, nicht ans Ende der forensischen Analyse. Bis ein vollständiges Lagebild vorliegt, ist die Frist meist längst verstrichen.
- Den Incident-Response-Plan um einen kapitalmarktrechtlichen Prüfpunkt ergänzen, mit benannter verantwortlicher Person.
- Die Kursrelevanz-Frage anhand des eigenen Geschäftsmodells vorab beantworten, nicht erst im Ernstfall.
- Aufschubentscheidungen samt Begründung und Zeitstempel dokumentieren.
- Rechtsabteilung und Sicherheitsteam auf denselben Alarmierungsverteiler setzen.
Für nicht börsennotierte Unternehmen bleibt der Fall trotzdem lehrreich, weil dieselbe Logik über Vertragsstrafen und Versicherungsbedingungen zurückkommt. Wie lückenhaft der Schutz im Mittelstand tatsächlich ist, zeigt der Blick auf den wachsenden Markt für Cyberversicherungen. Die Grundbegriffe dazu sortiert unser Cybersecurity-Glossar, die Mindestausstattung beschreiben die Cybersecurity-Grundlagen für KMU.
Prüfen Sie diese Woche, ob Ihr Notfallplan überhaupt eine Zeile zur Ad-hoc-Pflicht enthält. Fehlt sie, ist das der kleinste und billigste Fix in Ihrem gesamten Sicherheitsbudget.
Quellen
[1] Bundesanstalt für Finanzdienstleistungsaufsicht: „TeamViewer SE: Bafin setzt Geldbuße fest“ ↩
[2] Bundesanstalt für Finanzdienstleistungsaufsicht: „VARTA AG: Bafin setzt Geldbußen fest“ ↩
Mehr Newshunger?
- Datenleck bei Netze BW: Wie Kriminelle über einen Zähler-Dienstleister an Stromkundendaten kamen
- Erst zwei Opfer, dann die Deutsche Bank: Was hinter der Erpressergruppe UnSafe steckt
- Nagarro-Chef fordert BaFin-Ermittlungen wegen mutmaßlichen Insiderhandels
- 45 Patente, keine Kunden: Die Schwarz Gruppe gibt XM Cyber an CrowdStrike ab
- Vom Fernwartungs-Tool zur Arbeitsplatz-Analyse: TeamViewers Wette auf DEX zahlt sich aus
- Cybersecurity-Grundlagen: Was KMU 2026 können müssen
