Die Bundesanstalt für Finanzdienstleistungsaufsicht verhängt ein Bußgeld gegen TeamViewer, weil das Unternehmen einen schwerwiegenden Cyberangriff nicht fristgerecht nach den Ad-hoc-Vorschriften gemeldet hat. Die Details werfen Fragen zur Meldepflicht auf
Die Bundesanstalt für Finanzdienstleistungsaufsicht (BaFin) hat gegen die TeamViewer Germany GmbH ein Bußgeld in Höhe von 240.000 Euro verhängt. Hintergrund ist ein Cyberangriff auf das Unternehmen, der nach Einschätzung der Aufsicht nicht unverzüglich gemäß den Ad-hoc-Pflichten der Marktmissbrauchsverordnung (MAR) an die Kapitalmärkte kommuniziert wurde. Die Entscheidung wurde im Juni 2026 öffentlich bekanntgegeben und betrifft einen Vorfall, der bereits rund zwei Jahre zurückliegt.
Hintergrund des Cyberangriffs
TeamViewer, ein Anbieter von Fernwartungs- und Fernzugriffssoftware mit Sitz in Göppingen, war Ziel eines Cyberangriffs, bei dem Angreifer in interne IT-Systeme eindrangen. Nach Angaben des Unternehmens wurden dabei Namen, Kontaktinformationen und vertrauliche Passwörter von Beschäftigten abgegriffen. Die Produktumgebung, Kommunikationsplattformen und Kundendaten seien laut TeamViewer nicht betroffen gewesen. Die Angreifergruppe APT29, auch bekannt als "Midnight Blizzard", wird von TeamViewer als mutmaßlich verantwortlich genannt. Diese Gruppe wird international mit staatlich gesteuerten Angriffen in Verbindung gebracht, eine unabhängige Bestätigung für die Täterschaft liegt jedoch nicht vor.
Regulatorische Bewertung und Meldepflicht
Die BaFin sieht in dem Vorfall einen schwerwiegenden Cyberangriff, der nach geltender Rechtslage als ad-hoc-pflichtige Information einzustufen ist. Die Marktmissbrauchsverordnung (MAR) verpflichtet börsennotierte Unternehmen, kursrelevante Ereignisse unverzüglich zu melden. TeamViewer hatte den Vorfall zunächst lediglich über das "TeamViewer Trust Center" auf der eigenen Website kommuniziert und eine gezielte Ad-hoc-Mitteilung an den Kapitalmarkt unterlassen. Die BaFin begründet das Bußgeld damit, dass der Kapitalmarkt auf Cybervorfälle sensibel reagiere und eine zeitnahe Information für die Marktintegrität erforderlich sei.
Reaktion des Unternehmens und wirtschaftliche Folgen
TeamViewer erklärte, man habe den Vorfall zum Zeitpunkt des Angriffs sorgfältig auf seine Ad-hoc-Relevanz geprüft und sich für eine Veröffentlichung über die eigene Plattform entschieden. Das Unternehmen verweist darauf, dass diese Praxis im Technologiesektor verbreitet sei. Nach Bekanntwerden des Angriffs kam es zu einem deutlichen Kursrückgang der TeamViewer-Aktie um zeitweise rund zehn Prozent. Ob und in welchem Umfang der Angriff langfristige Auswirkungen auf das operative Geschäft oder die Kundenbeziehungen hatte, ist bislang nicht öffentlich dokumentiert. Die Trennung von Servern, Netzwerken und Konten wurde laut TeamViewer als Sicherheitsmaßnahme beibehalten.
Die Marktmissbrauchsverordnung (MAR) ist ein zentrales europäisches Regelwerk zur Sicherstellung von Transparenz und Integrität an den Finanzmärkten. Sie verpflichtet Unternehmen, kursrelevante Informationen unverzüglich öffentlich zu machen, um Insiderhandel und Marktmanipulation zu verhindern. Die Einordnung, ob ein Cyberangriff als ad-hoc-pflichtig gilt, hängt von der potenziellen Relevanz für den Aktienkurs und die Marktteilnehmer ab. Die BaFin betont, dass insbesondere schwerwiegende IT-Sicherheitsvorfälle regelmäßig unter diese Meldepflicht fallen. Für Unternehmen bedeutet dies, dass interne Bewertungen und Kommunikationswege im Krisenfall regulatorisch überprüfbar sind.
