Thought Leadership
Die Bundesanstalt für Finanzdienstleistungsaufsicht (BaFin) wirft TeamViewer vor, die Öffentlichkeit zu spät über einen Hackerangriff informiert zu haben. Das Softwareunternehmen muss jetzt zahlen.
Die BaFin hat am 16. Juli 2026 eine Geldbuße in Höhe von 240.000 Euro gegen die TeamViewer SE festgesetzt. Das Unternehmen habe gegen die Marktmissbrauchsverordnung verstoßen, teilte die Behörde mit.
Ad-hoc-Meldung kam zu spät
TeamViewer hätte einen Cyberangriff auf das eigene Unternehmen sofort öffentlich machen müssen. So sieht es die BaFin. Ein solcher Angriff gilt demnach als Insiderinformation, also als Information, die den Kurs einer Aktie deutlich beeinflussen kann. Das gilt laut BaFin besonders für TeamViewer, weil es sich um ein Softwareunternehmen handelt. Bei solchen Firmen können IT-Sicherheitsvorfälle schnell kursrelevant werden.
Nach der MAR, kurz für Marktmissbrauchsverordnung, müssen börsennotierte Unternehmen solche Informationen unverzüglich veröffentlichen. Wer das nicht tut, verstößt gegen Artikel 17 Absatz 1 der Verordnung. Die BaFin kann solche Verstöße mit bis zu 2,5 Millionen Euro oder bis zu zwei Prozent des Jahresumsatzes bestrafen. Mit 240.000 Euro blieb sie deutlich unter diesem Höchstwert.
Der Angriff von 2024
Der Vorfall, um den es geht, liegt inzwischen zwei Jahre zurück. Ende Juni 2024 meldete TeamViewer, das Sicherheitsteam habe eine Unregelmäßigkeit in der internen IT-Umgebung entdeckt. Das Unternehmen aktivierte daraufhin sein Abwehrteam und leitete Untersuchungen ein.
TeamViewer betonte damals, dass die interne IT-Umgebung getrennt von der Produktumgebung laufe. Man teilte mit: „Es gibt keine Anzeichen dafür, dass unsere Produktumgebung oder Kundendaten betroffen sein könnten.“
Berichten zufolge soll hinter dem Angriff eine APT-Gruppe stecken. APT steht für Advanced Persistent Threat und beschreibt Gruppen, die meist im Auftrag von Staaten arbeiten. Konkret soll es sich um die Gruppe Cozy Bear handeln, die dem russischen Auslandsgeheimdienst SWR zugeordnet wird.
TeamViewer selbst wird von zahlreichen Unternehmen genutzt, um sich zum Beispiel bei technischen Problemen aus der Ferne auf Firmenrechner zu schalten. Über solche Zugänge lassen sich im schlimmsten Fall auch sensible Daten abgreifen, was den Angriff besonders brisant machte.
Warum die Meldepflicht wichtig ist
Die Pflicht zur schnellen Veröffentlichung solcher Informationen hat zwei Ziele. Erstens soll verhindert werden, dass jemand mit Insiderwissen beim Aktienhandel einen unfairen Vorteil hat. Zweitens sollen Anlegerinnen und Anleger nicht durch fehlende oder verspätete Informationen in die Irre geführt werden.
(red)
