<\/p>\n
<\/p>\n
Ausl\u00f6ser war ein Cyberangriff auf die interne IT-Infrastruktur von TeamViewer im Juni 2024. Das Unternehmen vermutete hinter dem Angriff die mutma\u00dflich russische Gruppe APT29, auch bekannt als \u201eMidnight Blizzard“. Nach eigenen Angaben von TeamViewer war ausschlie\u00dflich das interne IT-System betroffen \u2013 abgegriffen wurden Namen, Kontaktdaten und Passw\u00f6rter von Mitarbeitenden. Produktumgebung, Kommunikationsplattform und Kundendaten seien nicht betroffen gewesen.<\/p>\n
TeamViewer informierte zun\u00e4chst nur \u00fcber die eigene Website und das sogenannte \u201eTrust Center“ \u2013 nicht \u00fcber eine formelle Ad-hoc-Mitteilung. Das Unternehmen begr\u00fcndete dies damit, man habe sorgf\u00e4ltig gepr\u00fcft, ob eine ad-hoc-relevante Information vorliege, und die gew\u00e4hlte Kommunikation \u00fcber das Trust Center entspreche den Gepflogenheiten der Technologiebranche. Die Aktie verlor im Zuge des Bekanntwerdens zeitweise rund 10 Prozent an Wert.<\/p>\n
Die BaFin sah das anders. Nach ihrer Einsch\u00e4tzung war der Cyberangriff \u2013 gerade weil TeamViewer ein Softwareunternehmen ist \u2013 eine kursrelevante Insiderinformation im Sinne der Marktmissbrauchsverordnung (MAR). Diese h\u00e4tte unverz\u00fcglich ver\u00f6ffentlicht werden m\u00fcssen. Die Bu\u00dfgeldentscheidung st\u00fctzt sich auf Art. 17 Abs. 1 UAbs. 1 MAR, der Bu\u00dfgeldrahmen reicht bis zu 2,5 Millionen Euro oder bis zu 2 Prozent des Gesamtumsatzes. Gegen die Geldbu\u00dfe kann TeamViewer noch Rechtsmittel einlegen.<\/p>\n
Der Fall ist kein isoliertes deutsches Ereignis. Er zeigt eine Aufsichtslinie, die auch f\u00fcr \u00f6sterreichische Unternehmen unmittelbar Bedeutung hat: Ein Cyberangriff kann eine meldepflichtige Insiderinformation sein, selbst wenn zun\u00e4chst unklar ist, ob Kunden- oder Produktdaten betroffen sind. Entscheidend ist nicht die technische Schwere des Angriffs, sondern seine m\u00f6gliche Kursrelevanz \u2013 also ob die Information, w\u00fcrde sie bekannt, geeignet w\u00e4re, den Kurs eines Finanzinstruments erheblich zu beeinflussen.<\/p>\n
F\u00fcr Unternehmensleitungen bedeutet das: Die Entscheidung \u00fcber eine Ad-hoc-Meldung darf nicht bis zur vollst\u00e4ndigen forensischen Aufkl\u00e4rung eines Vorfalls warten. Sie muss auf Basis des jeweiligen Kenntnisstands laufend neu getroffen werden \u2013 und sie ist rechtlich, nicht kommunikationsstrategisch zu beurteilen.<\/p>\n
Die Marktmissbrauchsverordnung ist eine EU-Verordnung und gilt daher unmittelbar auch f\u00fcr \u00f6sterreichische Emittenten \u2013 ohne nationales Umsetzungsgesetz. Zust\u00e4ndige Aufsichtsbeh\u00f6rde in \u00d6sterreich ist die Finanzmarktaufsicht (FMA), nicht die BaFin. Die BaFin ist ausschlie\u00dflich f\u00fcr in Deutschland ans\u00e4ssige bzw. dort prim\u00e4r notierte Emittenten zust\u00e4ndig. Ein b\u00f6rsennotiertes \u00f6sterreichisches Unternehmen, das von einem vergleichbaren Cyberangriff betroffen ist, unterl\u00e4ge denselben materiellen Pflichten aus Art. 17 MAR \u2013 nur eben mit der FMA als zust\u00e4ndiger Beh\u00f6rde und unter \u00f6sterreichischem Verwaltungsstrafrecht als Sanktionsrahmen.<\/p>\n
Das hei\u00dft konkret: Der Fall TeamViewer ist in seiner rechtlichen Logik unmittelbar auf \u00f6sterreichische Emittenten \u00fcbertragbar, auch wenn die konkrete Bu\u00dfgeldentscheidung eine deutsche Beh\u00f6rde betrifft.<\/p>\n
Der zweite zentrale Punkt: Ein Cyberangriff ist praktisch nie nur kapitalmarktrechtlich relevant. In den meisten F\u00e4llen treffen mehrere Meldepflichten gleichzeitig zu, mit unterschiedlichen Fristen, Adressaten und Voraussetzungen. Das erh\u00f6ht die Komplexit\u00e4t f\u00fcr die Unternehmensleitung erheblich \u2013 und genau hier entstehen in der Praxis die gr\u00f6\u00dften Fehler.<\/p>\n
DSGVO \u2013 Meldepflicht bei Verletzung des Schutzes personenbezogener Daten<\/strong> Sind personenbezogene Daten betroffen \u2013 wie im Fall TeamViewer die Kontaktdaten und Passw\u00f6rter von Mitarbeitenden \u2013 greift zus\u00e4tzlich Art. 33 DSGVO. Der Verantwortliche muss der zust\u00e4ndigen Datenschutzbeh\u00f6rde die Verletzung grunds\u00e4tzlich binnen 72 Stunden nach Bekanntwerden melden, sofern ein Risiko f\u00fcr die Rechte und Freiheiten der betroffenen Personen besteht. In \u00d6sterreich ist daf\u00fcr die \u00f6sterreichische Datenschutzbeh\u00f6rde zust\u00e4ndig. Bei hohem Risiko kommt zus\u00e4tzlich eine Pflicht zur Benachrichtigung der betroffenen Personen selbst hinzu (Art. 34 DSGVO).<\/p>\n NIS2 \/ NISG 2026 \u2013 die neue Meldepflicht f\u00fcr Cybersicherheitsvorf\u00e4lle in \u00d6sterreich<\/strong> \u00d6sterreich hat die NIS2-Richtlinie der EU mit dem Netz- und Informationssystemsicherheitsgesetz 2026 (NISG 2026) umgesetzt. Das Gesetz wurde im Dezember 2025 im Nationalrat beschlossen und tritt am 1. Oktober 2026 vollst\u00e4ndig in Kraft. Es betrifft mittlere und gro\u00dfe Unternehmen in bestimmten Sektoren \u2013 grob ab 50 Mitarbeitenden oder mehr als 10 Millionen Euro Jahresumsatz bzw. Bilanzsumme. Zust\u00e4ndige Beh\u00f6rde ist das neu geschaffene Bundesamt f\u00fcr Cybersicherheit, dem Bundesministerium f\u00fcr Inneres nachgeordnet; als operative Meldestelle (CSIRT) fungiert CERT.at.<\/p>\n F\u00fcr erhebliche Cybersicherheitsvorf\u00e4lle gilt ab Inkrafttreten ein dreistufiges Meldeverfahren: eine Fr\u00fchwarnung binnen 24 Stunden, eine detailliertere Meldung binnen 72 Stunden und ein Abschlussbericht sp\u00e4testens einen Monat nach der Fr\u00fchwarnung. Betroffene Einrichtungen m\u00fcssen sich zudem bis sp\u00e4testens 31. Dezember 2026 registrieren.<\/p>\n F\u00fcr Unternehmen, die schon jetzt von einem Cybervorfall betroffen sind, bedeutet das: Die NIS2-Meldepflicht ist \u00fcberwiegend eine Frage der nahen Zukunft \u2013 die kapitalmarkt- und datenschutzrechtlichen Pflichten gelten hingegen bereits heute uneingeschr\u00e4nkt.<\/p>\n Hinweis: Die Angaben zum NISG 2026 betreffen ein Gesetz, das erst am 1. Oktober 2026 vollst\u00e4ndig in Kraft tritt. Einzelheiten k\u00f6nnen sich durch noch ausstehende Verordnungen pr\u00e4zisieren.<\/em><\/p>\n Aus der anwaltlichen Begleitung von Cybervorf\u00e4llen lassen sich wiederkehrende Fehlerquellen benennen:<\/p>\n Im Ernstfall z\u00e4hlt jede Stunde. Sinnvoll ist ein strukturiertes Vorgehen:<\/p>\nMeldepflichten im Vergleich: MAR, DSGVO und NIS2\/NISG 2026<\/h2>\n
\n\n
\n \n\u00a0<\/th>\n MAR (Marktmissbrauchsverordnung)<\/th>\n DSGVO (Art. 33\/34)<\/th>\n NIS2 \/ NISG 2026<\/th>\n<\/tr>\n<\/thead>\n \n Wer ist betroffen<\/strong><\/td>\n Emittenten von Finanzinstrumenten an einem organisierten Markt<\/td>\n Jeder Verantwortliche, der personenbezogene Daten verarbeitet<\/td>\n Mittlere und gro\u00dfe Unternehmen in NIS-Sektoren (ab 50 MA bzw. > 10 Mio. \u20ac Umsatz\/Bilanzsumme)<\/td>\n<\/tr>\n \n Was ist zu melden<\/strong><\/td>\n Insiderinformation \u2013 kursrelevante, nicht \u00f6ffentlich bekannte, pr\u00e4zise Information<\/td>\n Verletzung des Schutzes personenbezogener Daten<\/td>\n Erheblicher Cybersicherheitsvorfall gem. NISG 2026<\/td>\n<\/tr>\n \n Frist<\/strong><\/td>\n Unverz\u00fcglich, ohne schuldhaftes Z\u00f6gern<\/td>\n Binnen 72 Stunden nach Bekanntwerden<\/td>\n Fr\u00fchwarnung binnen 24h, Meldung binnen 72h, Abschlussbericht binnen 1 Monat<\/td>\n<\/tr>\n \n Zust\u00e4ndige Beh\u00f6rde in \u00d6sterreich<\/strong><\/td>\n FMA<\/td>\n \u00d6sterreichische Datenschutzbeh\u00f6rde<\/td>\n Bundesamt f\u00fcr Cybersicherheit \/ CERT.at<\/td>\n<\/tr>\n \n Sanktionsrahmen<\/strong><\/td>\n Bis zu 2,5 Mio. \u20ac oder bis zu 2 % des Gesamtumsatzes<\/td>\n Bis zu 20 Mio. \u20ac oder 4 % des weltweiten Jahresumsatzes<\/td>\n Verwaltungsstrafen nach NISG 2026, u. a. bis zu 50.000 \u20ac bzw. 100.000 \u20ac bei Versto\u00df gegen die Registrierungspflicht; weitere Strafen bei Verletzung der Melde- und Risikomanagementpflichten<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n<\/div>\n Typische Fehler in der Praxis<\/h2>\n
\n
Was betroffene Unternehmen jetzt konkret tun sollten<\/h2>\n