Die Finanzaufsicht BaFin hat gegen das Softwareunternehmen TeamViewer ein Bußgeld von 240.000 Euro verhängt. Grund für die Sanktion ist eine verspätete Ad-hoc-Mitteilung nach einem Cyberangriff durch die Hackergruppe Midnight Blizzard im Juni 2024. Das Unternehmen betont hingegen, umfassend über sein Trust Center informiert zu haben.
Die Bundesanstalt für Finanzdienstleistungsaufsicht (BaFin) hat gegen die im MDax notierte TeamViewer AG eine Geldbuße in Höhe von 240.000 Euro festgesetzt [1]. Der Grund für die Sanktion ist ein Verstoß gegen die Pflicht zur unverzüglichen Veröffentlichung einer Ad-hoc-Mitteilung nach einem Cyberangriff im Juni 2024 [1].
Verspätete Transparenz am Kapitalmarkt
Die Finanzaufsicht begründet den Schritt mit der fehlenden unverzüglichen Information der Öffentlichkeit über den Sicherheitsvorfall. Kapitalmarktrechtlich sind börsennotierte Unternehmen dazu verpflichtet, kursrelevante Ereignisse – zu denen schwerwiegende Cyberangriffe zählen können – umgehend offenzulegen, um Anleger nicht im Unklaren zu lassen [1]. Im konkreten Fall hatte TeamViewer zwar über den Vorfall berichtet, die Aufsicht bewertete den zeitlichen Ablauf dieser Information jedoch als nicht ausreichend im Sinne der gesetzlichen Anforderungen.
Das nun verhängte Bußgeld von 240.000 Euro erscheint im Vergleich zum theoretisch möglichen Strafrahmen moderat. Rechtlich hätte die BaFin Beträge von bis zu 2,5 Millionen Euro oder bis zu zwei Prozent des gesamten Jahresumsatzes festsetzen können [1].
Stellungnahme von TeamViewer
Das Unternehmen reagierte auf die Entscheidung der Aufsichtsbehörde mit dem Verweis auf seine bereits im Jahr 2024 getroffenen Maßnahmen. Ein Sprecher des Unternehmens erklärte gegenüber den Medien, man nehme die Einschätzung der BaFin zur Kenntnis [1]. Dabei betonte das Unternehmen, dass alle relevanten Informationen für die Öffentlichkeit transparent über das eigene "Trust Center" zur Verfügung gestellt worden seien [1]. Diese Vorgehensweise entspreche dem im Technologiesektor üblichen Standard für sicherheitsrelevante Meldungen [1].
Hintergrund des Sicherheitsvorfalls
Der Angriff, auf den sich das Bußgeld bezieht, ereignete sich im Juni 2024 und wurde der staatlich unterstützten russischen Hackergruppe Midnight Blizzard – auch bekannt als APT29, Cozy Bear oder Nobelium – zugeschrieben [1]. Das Unternehmen hatte damals betont, dass der Angriff auf die interne IT-Umgebung beschränkt geblieben sei [1]. Nach eigenen Angaben waren die Produktumgebungen, die Connection Broker Plattform sowie Kundendaten von dem Eindringen nicht betroffen [1]. Dennoch belastete die Nachricht damals den Aktienkurs, der zeitweise auf ein Jahrestief fiel [1].
Die Entscheidung der BaFin verdeutlicht die gewachsene regulatorische Aufmerksamkeit, die IT-Sicherheitsvorfälle bei börsennotierten Unternehmen erfahren. Die Aufsichtsbehörde signalisiert damit, dass bei Cyberangriffen nicht nur die technische Bewältigung im Vordergrund steht, sondern auch die kommunikative Transparenz gegenüber den Kapitalmärkten streng überwacht wird.