Cyberangriff und Ad-hoc-Pflicht: Wann ein Hackerangriff als Insiderinformation veröffentlicht werden muss

Der Fall TeamViewer: Was die BaFin entschieden hat

Die BaFin hat gegen die TeamViewer SE eine Geldbuße von 240.000 Euro festgesetzt. Zugrunde liegt ein Cyberangriff auf das Unternehmen im Juni 2024. Nach Einschätzung der Aufsicht hätte die TeamViewer SE die Tatsache, dass sie Opfer eines Cyberangriffs geworden war, unverzüglich als Insiderinformation veröffentlichen müssen. Das Unternehmen hatte den Vorfall zunächst nur auf seiner Homepage in einer Mitteilung an Kunden dargestellt. Die Aktie war zeitweise um rund zehn Prozent gefallen.

Das Unternehmen sieht das anders. Ein Sprecher erklärte, man habe den Vorfall im Juni 2024 sorgfältig auf das Vorliegen einer ad-hoc-relevanten Information geprüft und sich entschieden, die Informationen über das unternehmenseigene „Trust Center“ auf der Homepage zu veröffentlichen, was den Gepflogenheiten im Technologiesektor entspreche. Hinter dem Angriff vermutete das Unternehmen die Gruppe APT29; nach seiner Darstellung war nur das interne IT-System betroffen, nicht die Produktumgebung oder Kundendaten.

Wichtig für die Einordnung: Die BaFin-Entscheidung ist ein Bußgeldbescheid, der nicht bestandskräftig ist; gegen ihn ist der Einspruch nach § 68 OWiG eröffnet. Ob und wie das Unternehmen vorgeht, betrifft den Einzelfall. Für die Allgemeinheit der Emittenten ist nicht der konkrete Ausgang interessant, sondern die dahinterstehende Rechtsfrage.

Wann ein Cyberangriff zur Insiderinformation wird

Ausgangspunkt ist Art. 7 MAR. Die Ad-hoc-Publizität ist Teil des Kapitalmarktstrafrechts; ihre Verletzung ist bußgeldbewehrt. Eine Insiderinformation liegt vor, wenn eine Information vier Voraussetzungen kumulativ erfüllt: Sie ist nicht öffentlich bekannt, sie ist präzise, sie ist kursrelevant — geeignet, den Börsenkurs erheblich zu beeinflussen —, und sie betrifft den Emittenten unmittelbar oder mittelbar. Erst wenn alle vier Merkmale vorliegen, entsteht überhaupt die Ad-hoc-Pflicht.

Ein Cyberangriff erfüllt diese Merkmale nicht automatisch, aber häufig. Die Kursrelevanz ist das entscheidende Merkmal — und im Fall TeamViewer durch die reale Kursreaktion von rund zehn Prozent deutlich indiziert. Die BaFin hält schwerwiegende Cybervorfälle nach ihrer Verwaltungspraxis in aller Regel für ad-hoc-pflichtig, weil der Kapitalmarkt auf solche Vorfälle sensibel reagiert. Bei einem Softwareunternehmen, dessen Geschäftsmodell auf dem Vertrauen in die Sicherheit seiner Produkte beruht, liegt die Kursrelevanz eines Angriffs besonders nahe.

Damit ist zugleich die Grenze markiert: Nicht jeder IT-Sicherheitsvorfall ist ad-hoc-pflichtig. Ein abgewehrter Angriff ohne Schadenswirkung, ein alltäglicher Phishing-Versuch oder ein Vorfall ohne Kurswirkung erreicht die Schwelle der Insiderinformation regelmäßig nicht. Die Prüfung ist eine Einzelfallprüfung entlang der vier Merkmale des Art. 7 MAR — keine pauschale Meldepflicht für jede Cyberattacke.

Warum die Veröffentlichung auf der Homepage nicht genügt

Der Kern des BaFin-Vorwurfs betrifft nicht das Ob der Information, sondern das Wie. Die Ad-hoc-Publizität nach Art. 17 MAR verlangt eine bestimmte Form der Veröffentlichung: Die Information muss über ein Medienbündel europaweit verbreitet werden, vorab ist die BaFin zu informieren, und die Meldung ist dem Unternehmensregister zuzuleiten (§ 26 Abs. 1 WpHG). Sinn der Vorgaben ist die gleichzeitige, diskriminierungsfreie Information aller Marktteilnehmer — kein Anleger soll einen Informationsvorsprung haben.

Eine Mitteilung im unternehmenseigenen „Trust Center“ auf der Homepage erfüllt diese Anforderungen nicht. Sie erreicht nur, wer die Seite gezielt aufruft, sie durchläuft nicht das vorgeschriebene Verbreitungssystem, und sie stellt die kapitalmarktweite Gleichbehandlung nicht sicher. Das Argument, eine Homepage-Veröffentlichung entspreche den „Gepflogenheiten im Technologiesektor“, betrifft die Kommunikation mit Kunden — es ersetzt nicht die kapitalmarktrechtliche Veröffentlichungsform. Branchenüblichkeit in der Kundenkommunikation und Ad-hoc-Publizität sind zwei verschiedene Regelungsebenen.

Die Sanktion: Bußgeldrahmen und persönliche Haftung

Der Verstoß gegen die Ad-hoc-Pflicht ist eine Ordnungswidrigkeit nach § 120 Abs. 15 WpHG. Erfasst wird nicht nur vorsätzliches, sondern bereits leichtfertiges Handeln. Der Bußgeldrahmen ist gestaffelt: Gegen natürliche Personen — also etwa Vorstandsmitglieder — kann eine Geldbuße bis zu einer Million Euro verhängt werden. Gegen juristische Personen reicht der Rahmen bis zum höheren der beiden Werte aus 2,5 Millionen Euro oder zwei Prozent des Konzernumsatzes des vorangegangenen Geschäftsjahrs.

Vor diesem Hintergrund ordnet sich die Höhe von 240.000 Euro ein: Sie liegt deutlich am unteren Rand des möglichen Rahmens. Für ein Unternehmen der TeamViewer-Größenordnung ist der umsatzbezogene Höchstbetrag maßgeblich, weil er über dem fixen Betrag von 2,5 Millionen Euro liegt; die festgesetzte Buße bleibt damit unter zwei Prozent des rechtlich Möglichen.

Über das eigentliche Bußgeld hinaus kann eine Ordnungswidrigkeit mit einer Abschöpfung bis zum Dreifachen des aus dem Verstoß gezogenen wirtschaftlichen Vorteils geahndet werden (§ 120 Abs. 18 S. 3 WpHG) — beim Opfer eines Angriffs spielt dieser Gesichtspunkt praktisch aber keine Rolle, weil kein Vorteil gezogen wird.

Ein häufig übersehener Punkt betrifft die Zurechnung des Bußgeldrahmens: Ein oft genannter Höchstbetrag von 15 Millionen Euro oder 15 Prozent des Umsatzes gilt für Insiderhandel und Marktmanipulation — nicht für den Ad-hoc-Verstoß. Für die verspätete Veröffentlichung ist der niedrigere Rahmen einschlägig. Neben der Geldbuße wirkt der Reputationseffekt der öffentlichen BaFin-Maßnahme; die Bekanntmachung signalisiert dem Markt, dass ein Emittent in einem sensiblen Moment nicht in der vorgeschriebenen Form transparent war.

Die neue Rechtslage seit dem 5. Juni 2026 — und warum sie den Cyberfall nicht entlastet

Die TeamViewer-Tat aus dem Juni 2024 ist nach dem damals geltenden Recht zu beurteilen. Seit dem 5. Juni 2026 gilt jedoch eine grundlegend reformierte Fassung des Art. 17 MAR, eingeführt durch den EU Listing Act (Verordnung (EU) 2024/2809). Für die Frage, wie ein gleichgelagerter Angriff heute zu behandeln wäre, ist die Neuregelung entscheidend.

Der Kern der Reform: Bei zeitlich gestreckten Vorgängen müssen Zwischenschritte grundsätzlich nicht mehr per Ad-hoc veröffentlicht werden. Veröffentlichungspflichtig ist nur noch das Endereignis, und zwar unverzüglich nach seinem Eintritt (Art. 17 Abs. 1 MAR neuer Fassung). Eine Delegierte Verordnung der EU-Kommission vom 8. April 2026 konkretisiert dies durch eine Liste von 35 typischen finalen Ereignissen in sieben Kategorien. Die praktischen Anwendungsfälle sind durchweg geplante unternehmenseigene Vorgänge: Fusionen und Übernahmen, Kapitalerhöhungen, Dividendenentscheidungen, personelle Veränderungen im Vorstand.

Genau hier liegt das Problem für den Cyberfall. Ein Hackerangriff ist zwar phänomenologisch ein gestreckter Vorgang — auf die Entdeckung folgen forensische Analyse, Feststellung des Ausmaßes und gegebenenfalls die Zuordnung zu einem Angreifer. Aber er ist kein Prozess, auf den das Unternehmen hinarbeitet; er hat kein angestrebtes „Endereignis“ im Sinne eines geplanten Abschlusses. Ob die Zwischenschritt-Ausnahme auf einen von außen zugefügten Angriff überhaupt passt, ist offen — die Kommentarliteratur hat diese Frage für Cybervorfälle noch nicht ausformuliert.

Zwei Lesarten sind denkbar, und sie führen praktisch zum selben Ergebnis. Erste Lesart: Ein Cyberangriff ist kein tauglicher gestreckter Vorgang im Sinne der Neuregelung; dann bleibt es dabei, dass die Information über einen wesentlichen Vorfall unverzüglich zu veröffentlichen ist, sobald sie Insiderqualität erreicht — wie nach altem Recht. Zweite Lesart: Man behandelt den Angriff als gestreckten Vorgang mit dem Abschluss der Aufklärung als Endereignis; dann aber greift der neue Vertraulichkeitsvorbehalt (Art. 17 Abs. 1a MAR), der die Ausnahme entfallen lässt, sobald die Vertraulichkeit nicht mehr gewahrt ist. Bei APT-Angriffen ist das durchsickernde Bekanntwerden — durch Leaks, Erpresserveröffentlichungen oder Medienberichte — eher die Regel als die Ausnahme.

Die praktische Konsequenz ist in beiden Fällen dieselbe: Auf einen wesentlichen Cybervorfall kann sich ein Emittent auch nach neuem Recht nicht darauf verlassen, bis zum Abschluss der Aufklärung schweigen zu dürfen. Die verbreitete Kurzformel, der Listing Act bringe „weniger Ad-hoc“, trifft für geplante Transaktionen zu — für den Cyberfall gerade nicht ohne Weiteres.

Unberührt bleibt zudem die zivilrechtliche Haftung: Bei unterlassener oder verspäteter Veröffentlichung können Anleger nach §§ 97, 98 WpHG Schadensersatz verlangen.

Was Emittenten aus dem Fall ableiten sollten

Der Fall ist weniger ein Sonderfall als eine Bestätigung der aufsichtsbehördlichen Linie. Für börsennotierte Unternehmen lässt sich daraus ein klarer Prüfmaßstab ableiten, ohne dass damit ein Urteil über den konkreten Fall verbunden wäre.

Erstens gehört ein wesentlicher Cybervorfall von Beginn an in die kapitalmarktrechtliche Prüfung, nicht allein in die IT- und Kommunikationsabteilung. Die Frage, ob eine Insiderinformation vorliegt, ist entlang der vier Merkmale des Art. 7 MAR zu dokumentieren. Zweitens ersetzt keine Homepage- oder Kundenmitteilung die kapitalmarktrechtliche Veröffentlichungsform. Drittens ist, wenn nicht sofort veröffentlicht werden soll, eine Aufschubentscheidung nach Art. 17 Abs. 4 MAR zu prüfen und zu dokumentieren — der geordnete Weg des Schweigens auf Zeit, der aber eigene Voraussetzungen hat. Und viertens verlangt die neue Rechtslage seit dem 5. Juni 2026 eine sorgfältige Bestimmung des maßgeblichen Veröffentlichungszeitpunkts; die zuständige Behörde kann vom Emittenten eine Begründung für die Ermittlung des Endereignisses verlangen.

Häufige Fragen

Muss ein börsennotiertes Unternehmen einen Cyberangriff veröffentlichen?

Nur, wenn der Angriff eine Insiderinformation im Sinne des Art. 7 MAR darstellt — also nicht öffentlich bekannt, präzise, kursrelevant und emittentenbezogen ist. Die BaFin hält schwerwiegende Cybervorfälle in aller Regel für ad-hoc-pflichtig, weil der Kapitalmarkt sensibel reagiert. Ein abgewehrter Angriff ohne Kurswirkung erreicht diese Schwelle regelmäßig nicht.

Warum hat die BaFin gegen TeamViewer ein Bußgeld verhängt?

Nach Auffassung der BaFin hätte die TeamViewer SE einen Cyberangriff aus dem Juni 2024 unverzüglich als Insiderinformation per Ad-hoc-Mitteilung veröffentlichen müssen, statt nur auf der Homepage zu informieren. Die Geldbuße beträgt 240.000 Euro (Bescheid vom 16. Juli 2026). Die Entscheidung ist nicht bestandskräftig; der Einspruch nach § 68 OWiG ist eröffnet.

Genügt eine Mitteilung auf der Unternehmens-Homepage?

Nein. Die Ad-hoc-Publizität nach Art. 17 MAR verlangt die europaweite Verbreitung über ein vorgeschriebenes Medienbündel, die Vorabinformation der BaFin und die Zuleitung an das Unternehmensregister (§ 26 Abs. 1 WpHG). Eine Homepage-Mitteilung erreicht nur gezielte Besucher und stellt die gleichzeitige Information aller Marktteilnehmer nicht sicher.

Welches Bußgeld droht bei einem Verstoß gegen die Ad-hoc-Pflicht?

Gegen natürliche Personen bis zu einer Million Euro, gegen juristische Personen bis zum höheren Wert aus 2,5 Millionen Euro oder zwei Prozent des Konzernumsatzes (§ 120 Abs. 15, Abs. 18 WpHG). Bereits leichtfertiges Handeln genügt. Der höhere Rahmen von 15 Millionen Euro beziehungsweise 15 Prozent gilt für Insiderhandel und Marktmanipulation, nicht für Ad-hoc-Verstöße.

Haften Vorstandsmitglieder persönlich?

Ja, eine Geldbuße kann auch gegen natürliche Personen festgesetzt werden — für Ad-hoc-Verstöße bis zu einer Million Euro. Daneben kommt die zivilrechtliche Anlegerhaftung des Emittenten nach §§ 97, 98 WpHG in Betracht, die durch die Reform von 2026 unberührt bleibt.

Hat der EU Listing Act die Ad-hoc-Pflicht bei Cyberangriffen gelockert?

Nicht ohne Weiteres. Seit dem 5. Juni 2026 müssen Zwischenschritte gestreckter Vorgänge grundsätzlich nicht mehr veröffentlicht werden — pflichtig ist nur das Endereignis. Diese Erleichterung ist aber auf geplante unternehmenseigene Vorgänge wie M&A oder Kapitalmaßnahmen zugeschnitten. Ein von außen zugefügter Cyberangriff passt in dieses Schema nicht ohne Weiteres; zudem entfällt die Ausnahme, sobald die Vertraulichkeit nicht mehr gewahrt ist (Art. 17 Abs. 1a MAR).

Was ist ein gestreckter Vorgang im Sinne des neuen Art. 17 MAR?

Ein zeitlich gestreckter Prozess, der auf ein bestimmtes Endereignis zuläuft — etwa eine M&A-Transaktion oder eine Kapitalerhöhung. Seit dem 5. Juni 2026 ist bei solchen Vorgängen nur noch das finale Ereignis veröffentlichungspflichtig. Eine Delegierte Verordnung vom 8. April 2026 nennt 35 typische finale Ereignisse in sieben Kategorien.

Quellen

• Verordnung (EU) Nr. 596/2014 (Marktmissbrauchsverordnung, MAR), Art. 7 und Art. 17 (Fassung nach dem EU Listing Act)
• Verordnung (EU) 2024/2809 (EU Listing Act); Delegierte Verordnung der EU-Kommission vom 8. April 2026 (finale Ereignisse bei gestreckten Vorgängen)
• Wertpapierhandelsgesetz (WpHG), §§ 26, 97, 98, 120
• BaFin, Maßnahmenmeldung vom 20. Juli 2026 (Geldbuße gegen die TeamViewer SE)
• BaFin, Emittentenleitfaden, Modul C (Ad-hoc-Publizität nach Art. 17 MAR)
• BVerfG, Beschl. v. 13.06.2018 – 2 BvR 375/17; BGH, Beschl. v. 10.01.2017 – 5 StR 532/16 (Verweisungstechnik WpHG/MAR)

Dieser Beitrag dient der allgemeinen fachlichen Information und bewertet kein konkretes Verfahren. Die BaFin-Entscheidung ist nicht bestandskräftig; es gilt die Unschuldsvermutung, soweit ein Ordnungswidrigkeitenvorwurf im Raum steht.

Dieser Beitrag dient der allgemeinen Information und ersetzt keine Rechtsberatung im Einzelfall.