Zum 16. Juli 2026 wurde bekannt dass die Bafin (das ist die Bundesanstalt für Finanzdienstleistungsaufsicht) ein Bußgeld in Höhe von 240.000 Euro gegen den Anbieter von Fernwartungssoftware, TeamViewer, verhängt hat. Grund war eine unzureichende Kommunikation nach einem Cyberangriff 2024.
Es war eine "Fußnote", die mir die Tage untergekommen ist, aber sofort etwas klingeln ließ.
240.000 Eur0 Geldbuße gegen TeamViewer SE
Die Bafin (das ist die Bundesanstalt für Finanzdienstleistungsaufsicht) hat am 16. Juli 2026 eine Geldbuße in Höhe von 240.000 Euro gegen die TeamViewer SE festgesetzt. Das geht aus der Bafin-Mitteilung TeamViewer SE: Bafin setzt Geldbuße fest hervor (ist hier aufgefallen).
Die Bafin begründet die Geldbuße damit, dass das Unternehmen gegen die Marktmissbrauchsverordnung (Market Abuse Regulation – MAR) verstoßen habe. Hintergrund ist ein Cyberangriff auf die TeamViewer SE. Problem war nicht der Cyberangriff an sich, sondern die Kommunikation des Unternehmens. Laut Bafin hätte die TeamViewer SE den Cyberangriff unverzüglich als Insiderinformation transparent machen müssen.
Der Cyberangriff 2024
Ich hatte im Juni 2024 im Beitrag TeamViewer wohl (erneut) gehackt (Juni 2024) berichtet, dass TeamViewer Opfer eines erfolgreichen Cyberangriffs geworden ist. Zum 27. Juni 2024 bestätigte der Fernwartungsanbieter diesen Sachverhalt und legt weitere Informationen vor.
So wurde das Gerücht, dass es sich beim Angreifer um eine staatliche Gruppe (APT29) handelt, bestätigt. APT29 oder Cozy Bear ist die Bezeichnung für eine staatliche russische Hackergruppe, die für viele Angriffe verantwortlich ist. APT29 werden Verbindungen zum russischen Auslandsgeheimdienst (SVR) nachgesagt.
Die späte Offenlegung war das Problem
Die Bafin begründet in ihrer Mitteilung das Bußgeld damit, dass die TeamViewer SE zu spät reagiert habe. Denn Unternehmen wie die TeamViewer SE, die ihren Sitz in Deutschland haben und hier am organisierten Markt Wertpapiere und andere Finanzinstrumente emittieren, unterliegen der Ad-hoc-Publizitätspflicht. Solche Unternehmen müssen Insiderinformationen sofort veröffentlichen.
Unter Insiderinformationen versteht man, so die Bafin, nicht öffentlich bekannte, präzise Informationen, die direkt oder indirekt einen oder mehrere Emittenten oder ein oder mehrere Finanzinstrumente betreffen und die, wenn sie öffentlich bekannt würden, geeignet wären, den Kurs dieser Finanzinstrumente oder den Kurs damit verbundener derivativer Finanzinstrumente erheblich zu beeinflussen.
Auf die TeamViewer SE war ein Cyberangriff verübt worden. Bei der Information über den Cyberangriff handelte es sich – insbesondere auch angesichts der Tatsache, dass die TeamViewer SE ein Softwareunternehmen ist – um eine Insiderinformation.
Wenn ein Unternehmen eine Insiderinformation nicht unverzüglich veröffentlicht, verstößt es gegen die MAR, konkret gegen Artikel 17 Absatz 1 Unterabsatz 1. Die Bafin kann dies mit einer Geldbuße ahnden. Diese beträgt maximal 2,5 Millionen Euro oder bis zu zwei Prozent des Gesamtumsatzes.
Ähnliche Artikel:
TeamViewer wohl (erneut) gehackt (Juni 2024)
TeamViewer gibt Entwarnung: Keine Kundendaten beim Hack im Juni 2024 abgeflossen
MVP: 2013 – 2016
Hoffen wir mal, dass die BaFin genauso reagiert, wenn die ePA mal Daten verliert.
Oh, Moment, Behörden sind ja ausgenommen und falls nicht, wird die Strafe eh vom Steuerzahlergeld bezahlt. Also vielleicht sollte die BaFin bei deutschen DSGVO-Vorfällen die Sorgfalt wie bei Wirecard walten lassen… 😉
Honi soit qui mal y pense!
Dann bin ich mal gespannt ob da auch gegen Anydesk ermittelt wird und der Firma eine Strafe aufgebrummt wird. Details des Vorgangs gibt es hier im Blog. Die Firma Anydesk war auch sehr sparsam mit Informationen
Da die AnyDesk als GmbH fungiert, dürfte die Bafin m.E. nicht zuständig sei.
Zitat : Problem war nicht der Cyberangriff an sich, sondern die Kommunikation des Unternehmens.
Das sagt schon alles : Papier ist in Deutschland wichtiger als der Schutz der Daten selbst.
Es geht hier um die Bafin, die sich nach bestimmten Regeln für Wertpapiergeschäfte zu richten hat. Sollte jedem eigentlich klar sein. Daher ist der Kommentar wenig zielführend.
Da AnyDesk eine GmbH ist und nicht an der Börse gehandelt wird, hat die BaFin gar keinen Grund gegen sie zu ermitteln.