Die Bundesanstalt für Finanzdienstleistungsaufsicht (BaFin) hat gegen die TeamViewer SE eine Geldbuße in Höhe von 240.000 Euro verhängt. Nach Auffassung der Finanzaufsicht informierte das Softwareunternehmen den Kapitalmarkt nicht rechtzeitig über einen Cyberangriff – obwohl dieser als sogenannte Insiderinformation unverzüglich hätte veröffentlicht werden müssen. Der Fall verdeutlicht, welche hohen Anforderungen börsennotierte Unternehmen bei der Kommunikation sicherheitsrelevanter Vorfälle erfüllen müssen.
Wie die BaFin mitteilte, wurde die Geldbuße bereits am 16. Juli 2026 festgesetzt. Nach Ansicht der Behörde verstieß die TeamViewer SE gegen die europäische Marktmissbrauchsverordnung (Market Abuse Regulation – MAR), weil sie den Cyberangriff nicht unverzüglich im Wege einer Ad-hoc-Mitteilung bekannt machte.
Gerade bei börsennotierten Unternehmen gelten strenge Transparenzpflichten. Sobald Informationen vorliegen, die den Aktienkurs erheblich beeinflussen könnten, müssen diese grundsätzlich ohne schuldhaftes Zögern veröffentlicht werden. Ziel dieser Regelung ist es, allen Marktteilnehmern gleichzeitig Zugang zu kursrelevanten Informationen zu verschaffen und Insiderhandel zu verhindern.
Im vorliegenden Fall bewertet die BaFin den Cyberangriff als eindeutig kursrelevant. Insbesondere bei einem international tätigen Softwareunternehmen wie TeamViewer könne ein erfolgreicher Angriff auf die IT-Systeme das Vertrauen von Kunden, Geschäftspartnern und Investoren erheblich beeinflussen. Aus Sicht der Aufsicht handelte es sich deshalb um eine Insiderinformation im Sinne der Marktmissbrauchsverordnung.
Die Ad-hoc-Publizität zählt zu den zentralen Pflichten kapitalmarktorientierter Unternehmen. Sie soll sicherstellen, dass Anleger ihre Investitionsentscheidungen auf Grundlage vollständiger und aktueller Informationen treffen können. Werden wesentliche Ereignisse zurückgehalten oder verspätet veröffentlicht, besteht die Gefahr, dass einzelne Marktteilnehmer über einen Wissensvorsprung verfügen und daraus Vorteile beim Handel mit Wertpapieren ziehen.
Verstöße gegen die Marktmissbrauchsverordnung können empfindliche Sanktionen nach sich ziehen. Die BaFin kann Geldbußen von bis zu 2,5 Millionen Euro oder – abhängig von der Unternehmensgröße – bis zu zwei Prozent des jährlichen Gesamtumsatzes verhängen. Die nun festgesetzte Geldbuße in Höhe von 240.000 Euro liegt deutlich unter diesem gesetzlichen Höchstbetrag, macht jedoch deutlich, dass die Finanzaufsicht Verstöße gegen die Transparenzpflichten konsequent verfolgt.
Der Fall zeigt zugleich, dass Cyberangriffe längst nicht mehr ausschließlich ein IT- oder Datenschutzproblem darstellen. Für börsennotierte Unternehmen können sie erhebliche kapitalmarktrechtliche Folgen haben. Neben möglichen wirtschaftlichen Schäden und Reputationsverlusten müssen Unternehmen prüfen, ob ein Sicherheitsvorfall unverzüglich veröffentlicht werden muss, weil er den Aktienkurs beeinflussen könnte.
Für Investoren ist die Entscheidung der BaFin ebenfalls von Bedeutung. Sie unterstreicht, dass Unternehmen sicherheitsrelevante Vorfälle nicht eigenständig zurückhalten dürfen, wenn diese geeignet sind, die Bewertung des Unternehmens an der Börse wesentlich zu beeinflussen. Transparenz gilt als grundlegende Voraussetzung für einen funktionierenden und fairen Kapitalmarkt.
Fazit: Mit der Geldbuße gegen die TeamViewer SE setzt die BaFin ein deutliches Signal für mehr Transparenz am Kapitalmarkt. Cyberangriffe können – insbesondere bei Technologieunternehmen – kursrelevante Insiderinformationen darstellen und müssen daher grundsätzlich unverzüglich veröffentlicht werden. Die Entscheidung verdeutlicht, dass Verstöße gegen die Ad-hoc-Publizitätspflicht erhebliche finanzielle und reputationsbezogene Konsequenzen nach sich ziehen können.
