BaFin verhängt Bußgeld für Teamviewer. Was IT-Dienstleister jetzt wissen müssen.

Ein Cybervorfall bei einem der bekanntesten Fernwartungs-Tools, ein Bußgeld von 240.000 Euro und eine Erklärung, dass Kundendaten angeblich nicht betroffen waren. Klingt nach einem Fall, der Sie als mittelständischer IT-Dienstleister nicht betrifft? Genau da liegt der Denkfehler. Der TeamViewer-Vorfall zeigt exemplarisch, wie schnell aus einem rein technischen Problem eine rechtliche, vertragliche und kommunikative Krise werden kann. Das gilt längst nicht nur für börsennotierte Konzerne.

Zur Einordnung: Die Geldbuße der BaFin gegen TeamViewer war im Kern zwar kein DSGVO-Verstoß, aber eine Sanktion wegen verspäteter Ad-hoc-Mitteilung nach der Marktmissbrauchsverordnung. Für Sie als IT-Admin ist trotzdem die Lehre daraus entscheidend: Es kommt nicht nur darauf an, was technisch passiert ist, sondern vor allem darauf, wie schnell und wie sauber Sie darüber kommunizieren. Wer hier ins Stolpern gerät, riskiert nicht nur Bußgelder, sondern auch das Vertrauen seiner Kunden.

Warum ein Angriff mehr ist als ein IT-Problem

Ein Sicherheitsvorfall ist nicht erst dann relevant, wenn Kundendaten öffentlich im Netz auftauchen. Auch der Zugriff auf interne Systeme, Mitarbeiterdaten, Zugangsdaten oder Protokolle kann bereits eine ernsthafte Datenschutz- und Sicherheitslage darstellen. TeamViewer erklärte seinerzeit, der Angriff habe nur die interne IT betroffen, nicht aber die Produktumgebung oder Kundendaten. Trotzdem verhängte die BaFin die Geldbuße, weil der Kapitalmarkt zu spät informiert wurde.

Daraus lässt sich eine wichtige Regel ableiten: Die Aussage „Es wurden keine Kundendaten gestohlen“ ist niemals das Ende einer Prüfung, sondern lediglich ein erstes Zwischenergebnis. Während Ihre IT-Abteilung oder ein externer Forensik-Dienstleister noch mitten in der Analyse steckt, laufen möglicherweise bereits Meldefristen. Bei einer möglichen Datenschutzverletzung muss die zuständige Aufsichtsbehörde grundsätzlich unverzüglich und in der Regel innerhalb von 72 Stunden informiert werden, sofern ein Risiko für die betroffenen Personen besteht.

Auch der Glaube, eine Veröffentlichung im Trust Center oder auf der eigenen Website reiche im Ernstfall automatisch aus, trügt. TeamViewer hatte den Angriff genau dort kommuniziert, der BaFin genügte das im konkreten Fall trotzdem nicht. Für nicht börsennotierte Mittelständler gilt zwar keine automatische Ad-hoc-Pflicht, doch Kundenverträge, Versicherungsbedingungen und das Datenschutzrecht können ebenfalls eine schnelle, dokumentierte Kommunikation verlangen. Wer erst im Krisenfall klärt, wer überhaupt entscheiden darf, wen man informieren muss und welche Systeme betroffen sind, verliert wertvolle Zeit und im schlimmsten Fall Vertrauen, Kunden und Geld.

Die Ablenkung durch neue Technik

Es ist verständlich, dass nach solchen Meldungen der Impuls entsteht, in neue Sicherheitstechnik zu investieren. Ein neues SIEM-System, ein KI-gestütztes SOC, Zero Trust Architekturen, eine ISO-27001-Zertifizierung oder eine Cyberversicherung können Risiken durchaus reduzieren. Keine dieser Lösungen entscheidet jedoch automatisch, ob ein konkreter Vorfall meldepflichtig ist oder nicht.

Technik erkennt Auffälligkeiten im System. Sie beantwortet aber nicht die entscheidenden Fragen: Welche Kunden müssen informiert werden? Sind personenbezogene Daten betroffen? Welche öffentliche Aussage ist rechtlich und tatsächlich überhaupt belastbar? Selbst ein perfekt segmentiertes Netzwerk schützt Sie nicht vor organisatorischem Versagen - vor fehlenden Zuständigkeiten, unklaren Eskalationswegen, unvollständigen Protokollen oder schlicht verspäteter Kommunikation.

Die eigentlich entscheidende Frage lautet deshalb nicht „Welche Sicherheitslösung kaufen wir noch?“, sondern vielmehr: Was passiert bei Ihnen konkret in den ersten 60 Minuten nach Entdeckung eines Vorfalls, am ersten Tag und innerhalb der ersten 72 Stunden?

So bauen Sie einen belastbaren Vorfallprozess auf

Ein klarer Vorfallprozess bringt IT, Geschäftsführung, Datenschutzbeauftragten, Kommunikationsverantwortliche und gegebenenfalls externe Forensiker an einen Tisch. Und zwar bevor der Ernstfall eintritt. Dieser Prozess muss mehrere Bausteine sinnvoll miteinander verbinden: die technische Eindämmung des Angriffs, die datenschutzrechtliche Prüfung, die Information der Kunden, die Sicherung von Beweisen und eine vollständige, lückenlose Dokumentation aller Schritte.

Im Detail lauern zahlreiche Stolperfallen: unklare Rollen, verpasste Fristen, vertragliche Lücken bei Dienstleistern, unzureichender Versicherungsschutz und eine fehlende Abgrenzung zwischen einem reinen Sicherheitsvorfall und einer echten Datenschutzverletzung. Klären Sie diese Punkte am besten schon im Erstgespräch mit Ihrem Kunden, Ihrer Versicherung und Ihrem Datenschutzbeauftragten. Nicht erst, wenn es bereits brennt.

Verantwortung als Wettbewerbsvorteil

Ein Unternehmen, das seine Hausaufgaben gemacht hat, weiß im Ernstfall sofort, wer entscheidet, welche Daten möglicherweise betroffen sind und wen es informieren muss. Es kommuniziert schnell, sachlich und nachvollziehbar und wird gerade deshalb von Kunden als verlässlicher Partner wahrgenommen, nicht als Risikofaktor. So wird Digitalisierung nicht zur Wette auf eine hoffentlich funktionierende Technik, sondern zum sichtbaren Ausdruck eines Unternehmens, das auch unter Druck Verantwortung übernimmt.

Der TeamViewer-Fall sollte für Sie kein Grund zur Beruhigung sein, weil es Sie ja nicht betrifft. Er sollte vielmehr der Anlass sein, jetzt, bevor ein eigener Vorfall eintritt, zu prüfen, ob Ihr Unternehmen auf die ersten 72 Stunden nach einem Cyberangriff wirklich vorbereitet ist. Nehmen Sie sich in den kommenden Wochen bewusst Zeit dafür, gemeinsam mit IT, Geschäftsführung und Datenschutzbeauftragtem einen klaren Ablaufplan zu erarbeiten und mit Ihren wichtigsten Dienstleistern entsprechende Informationspflichten vertraglich festzuhalten.