Der Fall: Warum die BaFin gegen TeamViewer vorgegangen ist
Auslöser war ein Cyberangriff auf die interne IT-Infrastruktur von TeamViewer im Juni 2024. Das Unternehmen vermutete hinter dem Angriff die mutmaßlich russische Gruppe APT29, auch bekannt als „Midnight Blizzard“. Nach eigenen Angaben von TeamViewer war ausschließlich das interne IT-System betroffen – abgegriffen wurden Namen, Kontaktdaten und Passwörter von Mitarbeitenden. Produktumgebung, Kommunikationsplattform und Kundendaten seien nicht betroffen gewesen.
TeamViewer informierte zunächst nur über die eigene Website und das sogenannte „Trust Center“ – nicht über eine formelle Ad-hoc-Mitteilung. Das Unternehmen begründete dies damit, man habe sorgfältig geprüft, ob eine ad-hoc-relevante Information vorliege, und die gewählte Kommunikation über das Trust Center entspreche den Gepflogenheiten der Technologiebranche. Die Aktie verlor im Zuge des Bekanntwerdens zeitweise rund 10 Prozent an Wert.
Die BaFin sah das anders. Nach ihrer Einschätzung war der Cyberangriff – gerade weil TeamViewer ein Softwareunternehmen ist – eine kursrelevante Insiderinformation im Sinne der Marktmissbrauchsverordnung (MAR). Diese hätte unverzüglich veröffentlicht werden müssen. Die Bußgeldentscheidung stützt sich auf Art. 17 Abs. 1 UAbs. 1 MAR, der Bußgeldrahmen reicht bis zu 2,5 Millionen Euro oder bis zu 2 Prozent des Gesamtumsatzes. Gegen die Geldbuße kann TeamViewer noch Rechtsmittel einlegen.
Warum dieser Fall über TeamViewer hinaus relevant ist
Der Fall ist kein isoliertes deutsches Ereignis. Er zeigt eine Aufsichtslinie, die auch für österreichische Unternehmen unmittelbar Bedeutung hat: Ein Cyberangriff kann eine meldepflichtige Insiderinformation sein, selbst wenn zunächst unklar ist, ob Kunden- oder Produktdaten betroffen sind. Entscheidend ist nicht die technische Schwere des Angriffs, sondern seine mögliche Kursrelevanz – also ob die Information, würde sie bekannt, geeignet wäre, den Kurs eines Finanzinstruments erheblich zu beeinflussen.
Für Unternehmensleitungen bedeutet das: Die Entscheidung über eine Ad-hoc-Meldung darf nicht bis zur vollständigen forensischen Aufklärung eines Vorfalls warten. Sie muss auf Basis des jeweiligen Kenntnisstands laufend neu getroffen werden – und sie ist rechtlich, nicht kommunikationsstrategisch zu beurteilen.
Die MAR gilt unmittelbar auch in Österreich
Die Marktmissbrauchsverordnung ist eine EU-Verordnung und gilt daher unmittelbar auch für österreichische Emittenten – ohne nationales Umsetzungsgesetz. Zuständige Aufsichtsbehörde in Österreich ist die Finanzmarktaufsicht (FMA), nicht die BaFin. Die BaFin ist ausschließlich für in Deutschland ansässige bzw. dort primär notierte Emittenten zuständig. Ein börsennotiertes österreichisches Unternehmen, das von einem vergleichbaren Cyberangriff betroffen ist, unterläge denselben materiellen Pflichten aus Art. 17 MAR – nur eben mit der FMA als zuständiger Behörde und unter österreichischem Verwaltungsstrafrecht als Sanktionsrahmen.
Das heißt konkret: Der Fall TeamViewer ist in seiner rechtlichen Logik unmittelbar auf österreichische Emittenten übertragbar, auch wenn die konkrete Bußgeldentscheidung eine deutsche Behörde betrifft.
Cyberangriffe lösen selten nur eine Meldepflicht aus
Der zweite zentrale Punkt: Ein Cyberangriff ist praktisch nie nur kapitalmarktrechtlich relevant. In den meisten Fällen treffen mehrere Meldepflichten gleichzeitig zu, mit unterschiedlichen Fristen, Adressaten und Voraussetzungen. Das erhöht die Komplexität für die Unternehmensleitung erheblich – und genau hier entstehen in der Praxis die größten Fehler.
DSGVO – Meldepflicht bei Verletzung des Schutzes personenbezogener Daten Sind personenbezogene Daten betroffen – wie im Fall TeamViewer die Kontaktdaten und Passwörter von Mitarbeitenden – greift zusätzlich Art. 33 DSGVO. Der Verantwortliche muss der zuständigen Datenschutzbehörde die Verletzung grundsätzlich binnen 72 Stunden nach Bekanntwerden melden, sofern ein Risiko für die Rechte und Freiheiten der betroffenen Personen besteht. In Österreich ist dafür die österreichische Datenschutzbehörde zuständig. Bei hohem Risiko kommt zusätzlich eine Pflicht zur Benachrichtigung der betroffenen Personen selbst hinzu (Art. 34 DSGVO).
NIS2 / NISG 2026 – die neue Meldepflicht für Cybersicherheitsvorfälle in Österreich Österreich hat die NIS2-Richtlinie der EU mit dem Netz- und Informationssystemsicherheitsgesetz 2026 (NISG 2026) umgesetzt. Das Gesetz wurde im Dezember 2025 im Nationalrat beschlossen und tritt am 1. Oktober 2026 vollständig in Kraft. Es betrifft mittlere und große Unternehmen in bestimmten Sektoren – grob ab 50 Mitarbeitenden oder mehr als 10 Millionen Euro Jahresumsatz bzw. Bilanzsumme. Zuständige Behörde ist das neu geschaffene Bundesamt für Cybersicherheit, dem Bundesministerium für Inneres nachgeordnet; als operative Meldestelle (CSIRT) fungiert CERT.at.
Für erhebliche Cybersicherheitsvorfälle gilt ab Inkrafttreten ein dreistufiges Meldeverfahren: eine Frühwarnung binnen 24 Stunden, eine detailliertere Meldung binnen 72 Stunden und ein Abschlussbericht spätestens einen Monat nach der Frühwarnung. Betroffene Einrichtungen müssen sich zudem bis spätestens 31. Dezember 2026 registrieren.
Für Unternehmen, die schon jetzt von einem Cybervorfall betroffen sind, bedeutet das: Die NIS2-Meldepflicht ist überwiegend eine Frage der nahen Zukunft – die kapitalmarkt- und datenschutzrechtlichen Pflichten gelten hingegen bereits heute uneingeschränkt.
Meldepflichten im Vergleich: MAR, DSGVO und NIS2/NISG 2026
| MAR (Marktmissbrauchsverordnung) | DSGVO (Art. 33/34) | NIS2 / NISG 2026 | |
|---|---|---|---|
| Wer ist betroffen | Emittenten von Finanzinstrumenten an einem organisierten Markt | Jeder Verantwortliche, der personenbezogene Daten verarbeitet | Mittlere und große Unternehmen in NIS-Sektoren (ab 50 MA bzw. > 10 Mio. € Umsatz/Bilanzsumme) |
| Was ist zu melden | Insiderinformation – kursrelevante, nicht öffentlich bekannte, präzise Information | Verletzung des Schutzes personenbezogener Daten | Erheblicher Cybersicherheitsvorfall gem. NISG 2026 |
| Frist | Unverzüglich, ohne schuldhaftes Zögern | Binnen 72 Stunden nach Bekanntwerden | Frühwarnung binnen 24h, Meldung binnen 72h, Abschlussbericht binnen 1 Monat |
| Zuständige Behörde in Österreich | FMA | Österreichische Datenschutzbehörde | Bundesamt für Cybersicherheit / CERT.at |
| Sanktionsrahmen | Bis zu 2,5 Mio. € oder bis zu 2 % des Gesamtumsatzes | Bis zu 20 Mio. € oder 4 % des weltweiten Jahresumsatzes | Verwaltungsstrafen nach NISG 2026, u. a. bis zu 50.000 € bzw. 100.000 € bei Verstoß gegen die Registrierungspflicht; weitere Strafen bei Verletzung der Melde- und Risikomanagementpflichten |
Hinweis: Die Angaben zum NISG 2026 betreffen ein Gesetz, das erst am 1. Oktober 2026 vollständig in Kraft tritt. Einzelheiten können sich durch noch ausstehende Verordnungen präzisieren.
Typische Fehler in der Praxis
Aus der anwaltlichen Begleitung von Cybervorfällen lassen sich wiederkehrende Fehlerquellen benennen:
- Kommunikation über die Website statt formelle Meldung. Eine Information auf der eigenen Homepage ersetzt keine gesetzlich vorgeschriebene Ad-hoc-Mitteilung, keine DSGVO-Meldung und keine NIS2-Meldung. Genau dieser Fehler stand im Zentrum des Falls TeamViewer.
- Abwarten bis zur vollständigen forensischen Klärung. Die Meldepflicht knüpft regelmäßig an die Kenntnisnahme eines Vorfalls an – nicht an dessen vollständige Aufklärung. Wer die Meldung bis zum Abschluss der forensischen Untersuchung zurückstellt, riskiert eine Fristverletzung.
- Getrennte Betrachtung der Meldepflichten. MAR, DSGVO und künftig NIS2 laufen parallel und mit unterschiedlichen Fristen. Eine isolierte Prüfung nur einer Rechtsmaterie übersieht regelmäßig weitere Pflichten.
- Fehlende Dokumentation der Entscheidungsfindung. Ob und wann eine Information als Insiderinformation oder als meldepflichtiger Vorfall eingestuft wurde, sollte lückenlos dokumentiert werden – auch um eine spätere aufsichtsrechtliche Prüfung nachvollziehbar zu belegen.
Was betroffene Unternehmen jetzt konkret tun sollten
Im Ernstfall zählt jede Stunde. Sinnvoll ist ein strukturiertes Vorgehen:
- Sofortige Einschätzung, ob eine Insiderinformation im Sinne der MAR vorliegen könnte – unabhängig vom Stand der technischen Aufklärung.
- Parallele Prüfung, ob personenbezogene Daten betroffen sind und eine DSGVO-Meldung binnen 72 Stunden erforderlich wird.
- Bei Unternehmen im Anwendungsbereich des NISG 2026: rechtzeitige Vorbereitung interner Meldeprozesse auf das ab 1. Oktober 2026 geltende Verfahren.
- Lückenlose Dokumentation aller Entscheidungen, Zeitpunkte und Prüfungsschritte.
- Frühzeitige Einbindung von auf Cybercrime und Kapitalmarktrecht spezialisierten Rechtsberatern, um Fristen, Meldeinhalte und Kommunikation nach außen abzustimmen.
Fazit: Rechtssicherheit im Ernstfall braucht Vorbereitung
Der Fall TeamViewer zeigt, dass Aufsichtsbehörden Cybervorfälle zunehmend konsequent an kapitalmarktrechtlichen Meldepflichten messen. Für österreichische Unternehmen gilt: Die MAR wirkt bereits heute unmittelbar, die DSGVO-Meldepflicht ist etablierte Praxis, und mit dem NISG 2026 kommt ab Oktober 2026 eine dritte, eigenständige Meldeebene hinzu. Wer im Ernstfall nicht vorbereitet ist, verliert wertvolle Zeit – genau die Zeit, die für eine fristgerechte und rechtssichere Meldung entscheidend ist.
ATB.LAW begleitet Unternehmen in Österreich bei der rechtlichen Bewertung und Bewältigung von Cybervorfällen – von der ersten Risikoeinschätzung über die Abstimmung mit Datenschutzbehörde, FMA und CSIRT bis zur Kommunikation gegenüber Kunden und Investoren. Bei einem akuten Ransomware- oder Cybervorfall ist ATB.LAW rund um die Uhr erreichbar. Kontaktieren Sie uns frühzeitig – gerade in den ersten Stunden nach einem Vorfall werden die Weichen für die spätere rechtliche Bewertung gestellt.
Betroffene können sich 24/7 an ATB.LAW wenden – wir stehen Ihnen jederzeit telefonisch zur Verfügung.
FAQ:
Nein, nicht jeder Cyberangriff ist automatisch meldepflichtig. Entscheidend ist jeweils, ob die rechtlichen Voraussetzungen der jeweiligen Regelung erfüllt sind – etwa ob eine kursrelevante Insiderinformation im Sinne der MAR vorliegt, ob personenbezogene Daten betroffen sind (DSGVO) oder ob ein erheblicher Cybersicherheitsvorfall im Sinne des NISG 2026 vorliegt. In der Praxis sind schwere Vorfälle jedoch häufig aus mehreren dieser Perspektiven gleichzeitig relevant.
Welche Frist gilt für die Meldung eines Cyberangriffs?
Das hängt von der jeweiligen Rechtsgrundlage ab. Nach der MAR muss eine Insiderinformation unverzüglich, ohne schuldhaftes Zögern, veröffentlicht werden. Nach der DSGVO gilt grundsätzlich eine Frist von 72 Stunden ab Bekanntwerden einer Datenschutzverletzung. Nach dem NISG 2026 gilt ab 1. Oktober 2026 ein dreistufiges Verfahren mit einer ersten Frühwarnung binnen 24 Stunden.
Was passiert, wenn ein Cyberangriff nicht rechtzeitig gemeldet wird?
Es drohen aufsichtsrechtliche Sanktionen, deren Höhe je nach Rechtsgrundlage stark variiert – von Geldbußen im hohen fünf- bis sechsstelligen Bereich nach der MAR bis zu Bußgeldern von bis zu 20 Millionen Euro oder 4 Prozent des weltweiten Jahresumsatzes nach der DSGVO. Hinzu kommen regelmäßig Reputationsschäden und ein Vertrauensverlust bei Investoren, Kunden und Aufsichtsbehörden.
