Bafin verhängt Bußgeld gegen TeamViewer nach verspäteter Meldung eines Cyberangriffs

Bafin sieht Verstoß gegen die Marktmissbrauchsverordnung

Die Finanzaufsicht hat die Geldbuße bereits am 16. Juli 2026 festgesetzt und dies nun öffentlich bekannt gemacht. Grundlage ist die europäische Marktmissbrauchsverordnung (Market Abuse Regulation, MAR). Sie verpflichtet börsennotierte Unternehmen dazu, Insiderinformationen unverzüglich zu veröffentlichen, sofern diese geeignet sind, den Aktienkurs erheblich zu beeinflussen. Nach Ansicht der Bafin erfüllte der Cyberangriff diese Voraussetzungen, insbesondere weil TeamViewer als Softwareunternehmen tätig ist und ein Sicherheitsvorfall unmittelbare Auswirkungen auf die Bewertung durch Investoren haben kann.

Die Behörde betont, dass die Ad-hoc-Publizität dem Schutz des Kapitalmarkts dient. Anleger sollen zeitgleich über kursrelevante Informationen verfügen, um Insiderhandel und Informationsvorteile einzelner Marktteilnehmer zu verhindern. Verstöße gegen diese Pflicht können mit Geldbußen von bis zu 2,5 Millionen Euro oder bis zu zwei Prozent des Gesamtumsatzes geahndet werden.

Angriff lag bereits im Jahr 2024

Der zugrunde liegende Sicherheitsvorfall ereignete sich bereits im Juni 2024. Damals machte TeamViewer öffentlich, Ziel der russischen Hackergruppe Midnight Blizzard, auch bekannt als APT29 oder Cozy Bear, geworden zu sein. Die Gruppe gilt als staatlich unterstützt und ist für Angriffe auf Behörden, Forschungseinrichtungen, IT-Unternehmen und kritische Organisationen in Europa und den USA bekannt.

Nach Angaben des Unternehmens blieb der Angriff auf die interne IT-Umgebung beschränkt. Die Produktplattform, Kundendaten und die Fernzugriffsdienste seien zu keinem Zeitpunkt betroffen gewesen. TeamViewer erklärte zudem, den Vorfall gemeinsam mit Microsoft-Sicherheitsexperten untersucht und schnell eingedämmt zu haben.

Was ist TeamViewer?

TeamViewer ist eine weltweit eingesetzte Software für Fernwartung, Fernzugriff und Remote-Support. Unternehmen, IT-Dienstleister und Managed Service Provider nutzen die Lösung, um Computer, Server, mobile Geräte oder industrielle Anlagen aus der Ferne zu administrieren. Auch in Versicherungsunternehmen gehört TeamViewer häufig zur IT-Infrastruktur, etwa wenn externe Dienstleister Arbeitsplätze warten oder Support für Fachanwendungen leisten.

Gerade weil die Software direkten Fernzugriff auf Systeme ermöglicht, zählt sie zu den besonders sensiblen Anwendungen in Unternehmensnetzwerken. Gelangt ein Angreifer an privilegierte Zugänge oder administrative Konten, kann eine Fernwartungslösung theoretisch genutzt werden, um sich im Netzwerk zu bewegen, Daten auszulesen oder weitere Systeme zu kompromittieren. Deshalb stehen Anbieter solcher Software regelmäßig im Fokus professioneller Hackergruppen. Dabei geht es nicht zwingend darum, Schwachstellen in der Software selbst auszunutzen. Häufig sind die Unternehmen hinter den Produkten attraktive Ziele, weil sie Zugang zu sicherheitsrelevanten Informationen oder administrativen Systemen besitzen.

Bedeutung für börsennotierte Technologieunternehmen

Der Fall zeigt, dass Cyberangriffe längst nicht mehr ausschließlich ein Thema der IT-Sicherheit sind. Für börsennotierte Unternehmen können sie zugleich kapitalmarktrechtliche Konsequenzen haben. Entscheidend ist dabei nicht nur, wie ein Sicherheitsvorfall technisch bewältigt wird, sondern auch, ob Investoren rechtzeitig über potenziell kursrelevante Ereignisse informiert werden.

Mit dem Bußgeld macht die Bafin deutlich, dass sie bei der Einhaltung der Ad-hoc-Publizitätspflichten auch Cybervorfälle als mögliche Insiderinformationen bewertet. Für Unternehmen aus der Technologiebranche dürfte dies die Anforderungen an das Zusammenspiel von IT-Sicherheit, Compliance und Investor Relations weiter erhöhen.