Die schwäbische Softwarefirma Teamviewer muss wegen eines Verstoßes gegen die Ad-hoc-Vorschriften eine Geldbuße von 240.000 Euro zahlen. Die Finanzmarktaufseher der Bundesanstalt für Finanzdienstleistungsaufsicht (Bafin) kamen zu dem Schluss, dass der Anbieter von Fernsteuerungs- und Fernwartungs-Software einen Cyber-Angriff vor gut zwei Jahren den Investoren unverzüglich in einer Ad-hoc-Mitteilung hätte mitteilen müssen. Dies sei ein Verstoß gegen die Marktmissbrauchsverordnung (MAR).
Hintergründe des Cyberangriffs
Im Juni 2024 war Teamviewer Ziel eines Hackerangriffs, der die Aktie des Unternehmens zeitweise um zehn Prozent einbrechen ließ. Das Unternehmen hatte den Vorfall zunächst nicht per Ad-hoc-Mitteilung, sondern lediglich auf der eigenen Homepage in einer Mitteilung an die Kunden veröffentlicht. Diese Vorgehensweise stufte die Bafin nun als unzureichend ein.
Die Bundesanstalt für Finanzdienstleistungsaufsicht hält schwerwiegende Cyber-Vorfälle in aller Regel für ad-hoc-pflichtig, weil der Kapitalmarkt darauf sensibel reagiert. Ein Teamviewer-Sprecher erklärte, man habe den Vorfall im Juni 2024 „sorgfältig auf das Vorliegen einer ad-hoc-relevanten Information geprüft“. Man habe sich damals aber entschieden, alle wichtigen Informationen über das „TeamViewer Trust Center“ auf der Homepage zu veröffentlichen, was den Gepflogenheiten im Technologiesektor entspreche.
Details zum Hackerangriff
Hinter dem Hackerangriff vermutete Teamviewer die russische Hackergruppe APT29, die auch als „Midnight Blizzard“ auftritt und angeblich im Auftrag der russischen Regierung handelt. Letztlich sei diese aber nur in das interne IT-System eingedrungen und habe dort Namen, Kontaktinformationen und vertrauliche Passwörter der Belegschaft abgesaugt. Es seien weder die Kommunikationsplattform noch die Produktumgebung noch Kundendaten gehackt worden. Die Server, Netzwerke und Konten würden stets strikt getrennt gehalten.
Die Bafin bewertete den Vorfall jedoch als ad-hoc-pflichtig, da ein Cyberangriff dieser Art erhebliche Auswirkungen auf den Aktienkurs haben kann und somit für Anleger von großer Bedeutung ist. Die Geldbuße von 240.000 Euro soll als Signal an andere Unternehmen dienen, ihre Offenlegungspflichten ernst zu nehmen.
