Cyberangriffe zwischen BSI-Meldung und Kapitalmarktinformation
Cyberangriffe sind längst nicht mehr nur technische Störungen innerhalb der IT-Infrastruktur. Sie können Produktionsprozesse unterbrechen, vertrauliche Daten betreffen, erhebliche Kosten auslösen und die Bewertung eines Unternehmens am Kapitalmarkt beeinflussen. Für börsennotierte Emittenten kann ein erheblicher Sicherheitsvorfall daher zugleich aufsichtsrechtliche Meldepflichten nach dem BSI-Gesetz und kapitalmarktrechtliche Veröffentlichungspflichten nach der Marktmissbrauchsverordnung auslösen.
Seit dem 6. Dezember 2025 gilt das neu gefasste BSI-Gesetz. Es setzt die NIS-2-Richtlinie in deutsches Recht um und erweitert den Kreis der regulierten Einrichtungen erheblich. Besonders wichtige und wichtige Einrichtungen müssen erhebliche Sicherheitsvorfälle nach § 32 BSIG in einem gestuften Verfahren melden. Für Emittenten von Finanzinstrumenten tritt daneben Art. 17 MAR, wenn der Vorfall zugleich eine Insiderinformation darstellt.
Beide Regelungssysteme verfolgen unterschiedliche Zwecke. Die Meldung nach § 32 BSIG dient der behördlichen Lageerfassung und Gefahrenabwehr. Die Ad-hoc-Publizität nach Art. 17 MAR schützt die Funktionsfähigkeit des Kapitalmarkts durch gleichzeitige Information des Marktpublikums. Ein gesetzlicher Mechanismus, der beide Pflichten miteinander abstimmt, besteht nicht.
Das Melderegime nach § 32 BSIG
Erheblicher Sicherheitsvorfall als Auslöser
Meldepflichtig sind nach § 32 BSIG besonders wichtige und wichtige Einrichtungen, wenn ein erheblicher Sicherheitsvorfall vorliegt. Erheblich ist ein Vorfall insbesondere dann, wenn er schwerwiegende Betriebsstörungen oder finanzielle Verluste verursacht hat oder verursachen kann. Erfasst sind auch Konstellationen, in denen andere natürliche oder juristische Personen durch erhebliche materielle oder immaterielle Schäden betroffen sind oder betroffen sein können.
Diese Schwelle deckt sich nicht mit der kapitalmarktrechtlichen Kursrelevanz. Ein nach § 32 BSIG meldepflichtiger Vorfall ist nicht automatisch eine Insiderinformation. Umgekehrt kann kapitalmarktrechtliche Insiderrelevanz bereits bestehen, bevor die aufsichtsrechtliche Erheblichkeit abschließend feststeht.
Der Bundestag beschloss das NIS-2-Umsetzungsgesetz am 13. November 2025. Die Verkündung im Bundesgesetzblatt erfolgte am 5. Dezember 2025. Nach den Gesetzesmaterialien wurde der Kreis der erfassten Einrichtungen auf rund 29.500 geschätzt; teils wurden auch höhere Zahlen genannt.
Fristen und Meldestufen nach § 32 BSIG
§ 32 BSIG sieht eine gestufte Meldekaskade vor. Die Meldepflicht gilt nach § 32 Abs. 1 Satz 2 BSIG frühestens ab Einrichtung des Meldewegs. Das BSI-Portal für Registrierung und Meldungen wurde am 6. Januar 2026 freigeschaltet und damit rund einen Monat nach Inkrafttreten des Gesetzes in Betrieb genommen.
Die wesentlichen Stufen sind:
- eine Frühwarnung innerhalb von 24 Stunden ab Kenntnis des erheblichen Sicherheitsvorfalls,
- eine Meldung innerhalb von 72 Stunden mit erster Bewertung von Schweregrad und Auswirkungen sowie, soweit vorhanden, Kompromittierungsindikatoren,
- Zwischenmeldungen auf Ersuchen des BSI,
- eine Abschlussmeldung spätestens einen Monat nach der 72-Stunden-Meldung.
Die Meldungen erfolgen an eine gemeinsame Meldestelle des Bundesamts für Sicherheit in der Informationstechnik und des Bundesamts für Bevölkerungsschutz und Katastrophenhilfe. Damit handelt es sich um ein behördliches Meldeverfahren, nicht um eine Marktveröffentlichung.
Registrierungsstand und Sanktionen
Die Zahl der registrierten Einrichtungen blieb zunächst hinter den Erwartungen zurück. Zum Stichtag Juni 2026 waren 17.729 Unternehmen im BSI-Portal registriert, darunter 11.501 wichtige und 6.215 besonders wichtige Einrichtungen. Bis zum 30. September 2026 stieg die Zahl nach amtlicher BSI-Statistik auf 20.141 Einrichtungen, davon 13.252 wichtige und 6.837 besonders wichtige Einrichtungen.
Verstöße gegen Meldepflichten können nach § 65 BSIG bußgeldbewehrt sein. Für besonders wichtige Einrichtungen sieht § 65 BSIG Geldbußen bis zu 10 Mio. Euro oder bis zu 2 Prozent des weltweiten Gesamtumsatzes vor. Für wichtige Einrichtungen beträgt der Rahmen bis zu 7 Mio. Euro oder bis zu 1,4 Prozent des weltweiten Gesamtumsatzes.
Cybervorfall als Insiderinformation nach Art. 7 MAR
Präzise Information trotz unvollständiger Aufklärung
Eine Insiderinformation im Sinne von Art. 7 MAR setzt eine nicht öffentlich bekannte präzise Information voraus, die geeignet ist, den Kurs eines Finanzinstruments erheblich zu beeinflussen. Maßstab ist die Sicht eines verständigen Anlegers. Bei Cybervorfällen können insbesondere Betriebsunterbrechungen, Datenabflüsse, drohende Bußgelder, Erpressungsforderungen und Reputationsschäden kursrelevant sein.
Dass in der Frühphase eines Angriffs häufig noch unklar ist, wie groß der Schaden tatsächlich ist, schließt die Präzision nicht ohne Weiteres aus. Nach der Rechtsprechung des Europäischen Gerichtshofs und des Bundesgerichtshofs können auch Zwischenschritte eines zeitlich gestreckten Geschehens eigenständige Insiderinformationen sein. Entscheidend bleibt, ob die bekannten Tatsachen bereits hinreichend konkret sind und aus Sicht des Marktes erhebliches Gewicht haben können.
Bei einem Cyberangriff kann daher bereits der bestätigte Befund, dass Angreifer Zugriff auf Systeme hatten und das Ausmaß noch ungeklärt ist, kapitalmarktrechtlich relevant sein. Eine vollständig abgeschlossene forensische Untersuchung ist nicht stets Voraussetzung für die Einordnung als Insiderinformation.
Neufassung des Art. 17 MAR durch den Listing Act
Zum 5. Juni 2026 wurden Art. 17 MAR und insbesondere die Regeln zur Ad-hoc-Publizität durch den EU Listing Act geändert. Zwischenschritte zeitlich gestreckter Vorgänge sind grundsätzlich nicht mehr ad-hoc-pflichtig; zu veröffentlichen ist nach der Neufassung regelmäßig das Endereignis. Die Insiderqualität solcher Zwischenschritte bleibt davon zu unterscheiden.
Diese Änderung entlastet Cybervorfälle regelmäßig nicht in gleicher Weise wie klassische mehrstufige Entscheidungs- oder Transaktionsprozesse. Ein Cyberangriff ist häufig bereits eingetreten; nur sein Ausmaß wird schrittweise aufgeklärt. Der Erkenntnisfortschritt der IT-Forensik ist deshalb nicht ohne Weiteres ein Zwischenschritt eines auf ein späteres Endereignis gerichteten Vorgangs im Sinne der Neuregelung.
Unverzügliche Veröffentlichung nach Art. 17 MAR
Art. 17 Abs. 1 MAR verlangt die Veröffentlichung einer Insiderinformation so bald wie möglich. Ein Abwarten bis zur vollständigen technischen Aufklärung ist damit regelmäßig nicht vereinbar, wenn die bekannten Umstände bereits eine Insiderinformation darstellen. Zulässig bleibt nur der Zeitraum, der für eine geordnete Prüfung, Bewertung und Beschlussfassung erforderlich ist.
Die BaFin hat im Jahr 2026 deutlich gemacht, dass Cybervorfälle auch Gegenstand kapitalmarktrechtlicher Sanktionen sein können. Am 16. Juli 2026 setzte sie gegen ein von ihr namentlich genanntes Softwareunternehmen eine Geldbuße von 240.000 Euro fest, weil das Unternehmen nach Auffassung der Behörde die Tatsache, Opfer eines Cyberangriffs geworden zu sein, nicht unverzüglich als Insiderinformation veröffentlicht hatte. Die BaFin stützte die Insiderqualität des Vorfalls ausdrücklich auch darauf, dass es sich um ein Softwareunternehmen handelte.
Auslöser war nach Medienberichten ein Cyberangriff im Juni 2024, den das Unternehmen einer russischen Hackergruppe zuordnete. Nach Unternehmensangaben waren weder Kommunikationsplattform noch Produktumgebung noch Kundendaten betroffen. Nach Darstellung der Börsen-Zeitung hatte das Unternehmen den Angriff auf der eigenen Internetseite, nicht aber per Ad-hoc-Mitteilung bekannt gemacht; ein Unternehmenssprecher erklärte, man nehme die Einschätzung der BaFin zur Kenntnis. Der Bußgeldrahmen hätte nach Berichten bis zu 2,5 Mio. Euro oder bis zu 2 Prozent des Gesamtumsatzes betragen können.
Aufschub der Veröffentlichung im Cyberkontext
Berechtigte Interessen nach Art. 17 Abs. 4 MAR
Art. 17 Abs. 4 MAR erlaubt unter bestimmten Voraussetzungen den Aufschub der Veröffentlichung einer Insiderinformation. Erforderlich ist insbesondere, dass die unverzügliche Offenlegung berechtigte Interessen des Emittenten beeinträchtigen würde, die Information nicht im Widerspruch zu früheren öffentlichen Mitteilungen oder sonstiger Kommunikation des Emittenten zur selben Angelegenheit steht und die Vertraulichkeit gewährleistet werden kann. Das frühere Irreführungsverbot wurde durch den Listing Act durch ein konkreteres Widerspruchsverbot ersetzt.
Im Zusammenhang mit Cyberangriffen können berechtigte Interessen etwa dann betroffen sein, wenn die laufende Eindämmung eines Angriffs durch eine sofortige Veröffentlichung gefährdet würde. In Betracht kommen auch Risiken von Nachahmungsangriffen bei Offenlegung einer ausgenutzten Schwachstelle, laufende Kontakte mit den Tätern oder behördliche Ermittlungsinteressen. Diese Gesichtspunkte ersetzen jedoch nicht die Prüfung der weiteren Voraussetzungen des Art. 17 Abs. 4 MAR.
Widerspruchsverbot und frühere Marktkommunikation
Das Widerspruchsverbot kann insbesondere relevant werden, wenn ein Emittent vor dem Vorfall Aussagen veröffentlicht hat, die durch den Cyberangriff in Frage gestellt werden. Das kann etwa bestätigte Prognosen, Aussagen zu Geschäftszielen oder öffentliche Äußerungen zur eigenen Cyberresilienz betreffen. Steht die nicht veröffentlichte Insiderinformation im Widerspruch zu einer solchen Kommunikation, scheidet ein Aufschub bereits tatbestandlich aus.
Die Delegierte Verordnung (EU) 2026/789 konkretisiert hierzu beispielhafte Konstellationen und Kommunikationsformen. Ihr Anhang I enthält eine nicht abschließende Liste von 35 Endereignissen in sieben Kategorien; Sicherheitsvorfälle sind darin nicht aufgeführt. Cyberkonstellationen werden nicht abschließend gesondert aufgeführt.
Vertraulichkeit als besonders anfällige Voraussetzung
Die Vertraulichkeit ist bei Cybervorfällen häufig besonders schwer abzusichern. Bei sogenannten Double-Extortion-Szenarien können Angreifer nicht nur Systeme verschlüsseln, sondern auch mit der Veröffentlichung entwendeter Daten drohen. Werden Daten auf Leak-Seiten eingestellt oder werden Kunden, Medien oder sonstige Dritte kontaktiert, kann die Vertraulichkeit entfallen.
Spätestens bei einem hinreichend präzisen Gerücht kann nach Art. 17 Abs. 7 MAR eine unverzügliche Offenlegung erforderlich werden. Der Aufschub ist im Cyberkontext daher strukturell unsicher, weil sein Fortbestand von Umständen abhängen kann, die außerhalb des Einflussbereichs des Emittenten liegen.
Dokumentation, BaFin-Information und Insiderliste
Wird eine Veröffentlichung aufgeschoben, sind Zeitpunkt, Entscheidungsgrundlage und tragende Erwägungen festzuhalten. Nach der späteren Veröffentlichung ist die BaFin über den Aufschub zu informieren. Für Kredit- und Finanzinstitute enthält Art. 17 Abs. 5 MAR einen Sondertatbestand zur Wahrung der Finanzstabilität.
Personen, die Zugang zur Insiderinformation haben, sind nach Art. 18 MAR in die Insiderliste aufzunehmen. Das kann auch externe IT-Forensiker, Kommunikationsberater und weitere in die Incident Response eingebundene Personen betreffen. Eine selektive Vorabinformation einzelner Stakeholder ist nur in den engen Grenzen des Art. 17 Abs. 8 MAR zulässig.
Koordinationsfragen zwischen § 32 BSIG und Art. 17 MAR
Kein Gleichlauf der Fristen
Die 24-Stunden-Frühwarnung nach § 32 BSIG und die Veröffentlichungspflicht nach Art. 17 MAR laufen nicht parallel. In einzelnen Fällen kann die Ad-hoc-Pflicht bereits vor Ablauf der 24 Stunden entstehen, wenn die Kursrelevanz des Vorfalls evident ist. Umgekehrt entlastet eine fristgerechte Meldung an das BSI den Emittenten kapitalmarktrechtlich nicht.
Die BSI-Meldung ist keine öffentliche Bekanntgabe im Sinne der MAR. Sie schafft weder eine Bereichsausnahme noch einen Safe Harbour für Art. 17 MAR. Ebenso suspendiert ein Aufschub nach Art. 17 Abs. 4 MAR nicht die Fristen des § 32 BSIG.
Unterschiedliche Inhalte, einheitlicher Sachverhalt
Die Meldung an das BSI betrifft vor allem technische und sicherheitsbezogene Angaben. Die Ad-hoc-Mitteilung richtet sich dagegen auf bewertungsrelevante Umstände für den Kapitalmarkt. Gleichwohl betreffen beide Kommunikationsstränge denselben Sachverhalt.
Widersprüche zwischen behördlicher Sachverhaltsdarstellung und Marktkommunikation können erhebliche Risiken auslösen. Sie können die Glaubwürdigkeit des Emittenten beeinträchtigen und die Voraussetzungen eines Aufschubs nachträglich in Frage stellen. Hinzu kommen mögliche Mitteilungen nach Art. 33 und Art. 34 DSGVO, wenn personenbezogene Daten betroffen sind.
Sanktions- und Haftungsrisiken
Verstöße können sowohl nach dem BSI-Gesetz als auch kapitalmarktrechtlich sanktioniert werden. Neben § 65 BSIG kommen Art. 30 MAR in Verbindung mit § 120 WpHG in Betracht. Bei unterlassener oder unrichtiger Ad-hoc-Publizität können außerdem Emittentenhaftungsrisiken nach §§ 97, 98 WpHG bestehen.
Die BaFin setzte am 23. Juni 2026 gegen ein von ihr namentlich genanntes Industrieunternehmen Geldbußen von insgesamt 620.000 Euro fest. Nach der Behördenmitteilung betraf dies unter anderem eine nicht unverzüglich bekannt gegebene Insiderinformation sowie einen nicht veröffentlichten Halbjahresfinanzbericht 2024. Der Fall zeigt, dass die kapitalmarktrechtliche Veröffentlichungspraxis auch außerhalb reiner Cyberkonstellationen weiterhin eng überwacht wird.
Rechtsvergleichend sieht das US-amerikanische Kapitalmarktrecht seit Ende 2023 für wesentliche Cybervorfälle eine Offenlegung innerhalb von vier Geschäftstagen nach Feststellung der Wesentlichkeit vor. Für bestimmte ausländische Emittenten gilt dagegen ein flexibleres „promptly“-Regime. Das europäische Recht bleibt mit dem Merkmal „so bald wie möglich“ stärker einzelfallbezogen.
Organisatorische Einordnung bei Emittenten
Incident Response und Kapitalmarktkommunikation
Für börsennotierte Unternehmen berührt ein Cybervorfall nicht nur IT-Sicherheit und Krisenreaktion. Er kann zugleich Kapitalmarktkommunikation, Datenschutzrecht, Aufsichtsrecht und Organverantwortung betreffen. Besonders deutlich wird dies, wenn unterschiedliche Pflichten unterschiedliche Rechtsträger innerhalb eines Konzerns treffen, etwa die regulierte Tochtergesellschaft einerseits und die börsennotierte Muttergesellschaft andererseits.
In solchen Konstellationen kommt es auf einen belastbaren Informationsfluss an. Die technische Bewertung des Vorfalls und die kapitalmarktrechtliche Einordnung müssen zeitlich eng beieinanderliegen. Andernfalls besteht das Risiko, dass Melde- und Veröffentlichungspflichten nicht im jeweils maßgeblichen Zeitfenster bewertet werden.
Einordnung der BSI-Meldung im Verhältnis zur Ad-hoc-Mitteilung
§ 32 BSIG und Art. 17 MAR dienen verschiedenen Schutzrichtungen. Die BSI-Meldung ermöglicht der Behörde, Lagebilder zu erstellen und auf sicherheitsrelevante Entwicklungen zu reagieren. Die Ad-hoc-Mitteilung soll dem Kapitalmarkt kursrelevante Informationen gleichmäßig zugänglich machen.
Daraus folgt keine Rangfolge im Sinne eines Vorrangs der einen Pflicht vor der anderen. Die behördliche Meldung ersetzt die Marktinformation nicht. Die Marktinformation ersetzt umgekehrt nicht die Meldung an die gemeinsame Meldestelle von BSI und BBK.
Besondere Bedeutung der Branche
Die Bewertung eines Cybervorfalls kann von der Branche des betroffenen Unternehmens abhängen. Die BaFin hat im Verfahren gegen das von ihr namentlich genannte Softwareunternehmen die Insiderqualität ausdrücklich auch mit dessen Tätigkeit als Softwareunternehmen begründet. Daraus lässt sich nicht ableiten, dass nur Technologieunternehmen betroffen sein können.
Auch bei Unternehmen anderer Branchen können Cybervorfälle kursrelevant sein. Maßgeblich bleiben die konkreten Auswirkungen oder möglichen Auswirkungen auf Geschäftsbetrieb, Vermögenslage, Reputation, regulatorische Risiken und Markterwartungen. Die Erheblichkeit nach § 32 BSIG und die Kursrelevanz nach Art. 7 MAR sind dabei weiterhin getrennt zu beurteilen.
Häufige Fragen
Ist ein erheblicher Sicherheitsvorfall nach § 32 BSIG automatisch eine Insiderinformation nach Art. 7 MAR?
Nein. Die Meldepflicht nach § 32 BSIG und die Insiderinformation nach Art. 7 MAR haben unterschiedliche Voraussetzungen; ein meldepflichtiger Sicherheitsvorfall ist nicht zwingend kursrelevant, während Insiderrelevanz auch vor abschließender aufsichtsrechtlicher Einordnung bestehen kann.
Muss ein Cyberangriff nach Art. 17 MAR per Ad-hoc-Mitteilung veröffentlicht werden?
Eine Ad-hoc-Mitteilung ist erforderlich, wenn der Cyberangriff eine Insiderinformation darstellt und kein wirksamer Aufschub nach Art. 17 Abs. 4 MAR vorliegt. Die BaFin hat 2026 in einem veröffentlichten Bußgeldfall betont, dass Cybervorfälle kapitalmarktrechtlich veröffentlichungspflichtig sein können.
Welche praktischen Folgen haben § 32 BSIG und Art. 17 MAR für börsennotierte Unternehmen?
Börsennotierte Unternehmen können denselben Cybervorfall gegenüber dem BSI melden und zugleich kapitalmarktrechtlich bewerten müssen. Die Fristen, Adressaten und Inhalte beider Pflichten unterscheiden sich, sodass eine BSI-Meldung die Ad-hoc-Publizität nicht ersetzt.
Einordnung für kapitalmarktrechtliche Fragestellungen
Cybervorfälle können für Emittenten eine komplexe Schnittstelle zwischen IT-Sicherheitsrecht, Datenschutzrecht und Kapitalmarktrecht bilden. § 32 BSIG und Art. 17 MAR stehen dabei nebeneinander: Die Meldung an das BSI bewirkt keine Veröffentlichung gegenüber dem Markt, während eine Ad-hoc-Mitteilung keine behördliche Sicherheitsmeldung ersetzt. Unternehmen, Investoren und Organmitglieder, die kapitalmarktrechtliche Fragen zu Cybervorfällen, Insiderinformationen oder Ad-hoc-Publizität einordnen lassen möchten, finden bei MTR Legal Unterstützung im Bereich Rechtsberatung im Kapitalmarktrecht.
