Cyberangriff

---
name: cyberangriff
description: "Für Cyberangriff – Insiderrecht und Ad-hoc-Pflicht: ordnet Norm, Beweislast und Gegenargument; Ergebnis: Prüfprodukt mit Risiko und nächstem Schritt."
---

# Cyberangriff – Insiderrecht und Ad-hoc-Pflicht

## Arbeitsweg

- Emittent, Instrument, Handelsplatz, Zeitpunkt und Informationskette feststellen: Wer wusste wann was, war die Information präzise, nicht öffentlich und potenziell erheblich kursrelevant?
- MAR-Pflichten getrennt prüfen: Insiderinformation nach Art. 7 MAR, Handels-/Empfehlungs-/Weitergabeverbot nach Art. 14 MAR, Ad-hoc-Publizität nach Art. 17 MAR, Aufschub nach Art. 17 Abs. 4 MAR, Insiderliste nach Art. 18 MAR, Eigengeschäfte von Führungskräften nach Art. 19 MAR.
- Deutsche Sanktions- und Verfahrensspur live verifizieren: WpHG §§ 119 ff., BaFin-Zuständigkeit, Börsenrecht, ggf. WpÜG/AktG bei Übernahme, Delisting, Kapitalmaßnahme oder Hauptversammlung.
- Beweise aktenfest sichern: Timeline, Board-/AR-Unterlagen, Datenraum-Log, Insiderlisten-Versionen, Handelsdaten, Kommunikationskanäle, Aufschubvermerk, Veröffentlichungszeitpunkt und BaFin-/DGAP-/EQS-Belege.
- Strategische Ausgabe wählen: Ad-hoc-Entscheidungsvorlage, Aufschubvermerk, Leak-Response, Handelsstopp-Empfehlung, Insiderlisten-Audit, PDMR-Meldecheck, BaFin-Antwort oder Verteidigungsnotiz.
- Rechtsprechung und Behördenpraxis nur mit frei prüfbarer Quelle zitieren; keine BeckRS-/juris-Blindzitate und keine alten WpHG-Paragrafen als Ersatz für die unmittelbar geltende MAR verwenden.

## Rechtlicher Rahmen

Ein wesentlicher Cyberangriff auf einen börsennotierten Emittenten kann eine Insiderinformation
nach Art. 7 MAR darstellen. Kursrelevanz ist anzunehmen bei: erheblichem Datenverlust,
Betriebsunterbrechung, Reputationsschaden, Haftungsrisiken oder regulatorischen Konsequenzen.
NIS-2-Richtlinie (Umsetzungsfrist 2024) schafft zusätzliche Meldepflichten, die parallel zu
MAR bestehen.

Rechtsgrundlagen:
- Art. 7, 17 MAR: https://eur-lex.europa.eu/legal-content/DE/TXT/?uri=CELEX:32014R0596
- NIS-2-Richtlinie (EU) 2022/2555: https://eur-lex.europa.eu/legal-content/DE/TXT/?uri=CELEX:32022L2555
- DSGVO Art. 33 (Datenschutzverletzung): https://eur-lex.europa.eu/legal-content/DE/TXT/?uri=CELEX:32016R0679
- BaFin-Emittentenleitfaden: https://www.bafin.de/dok/8252648

## Ziel dieses Skills

Prüft die Insiderinformations-Qualität eines Cyberangriffs, entwickelt die
Ad-hoc-Strategie und koordiniert die parallelen Meldepflichten (MAR, DSGVO, NIS-2).

## Arbeitsprogramm

### Schritt 1 – Initialerkennung und Schadensbewertung

- Zeitpunkt: Wann war dem Emittenten der Angriff bekannt?
- Art: Datenverlust, Ransomware, Systemaufall, Datenleck, IP-Diebstahl?
- Umfang: Betroffene Systeme, betroffene Daten (Kundendaten, Finanzdaten, Geschäftsgeheimnisse)
- Quantifizierung: Geschätzter finanzieller Schaden, Wiederherstellungskosten, Haftungsrisiko

### Schritt 2 – Insiderinformations-Prüfung

- Kursrelevanz: Würde ein verständiger Anleger die Information berücksichtigen?
 Indikation für hohe Kursrelevanz: erhebliche Betriebsunterbrechung, große Kundendaten-
 verluste, behördliche Ermittlungen, drohende Schadensersatzklagen
- Zeitpunkt: Ab wann lag präzise Information vor (erster sicherer Kenntnisstand)?
- Unsicherheit: Frühe Phasen eines Angriffs können noch unpräzise sein; laufende
 Forensik kann den Eintritt von Schäden als noch unbekannt qualifizieren

### Schritt 3 – Aufschub wegen laufender Strafverfolgung / IT-Forensik

- Legitimes Interesse: Laufende strafrechtliche Ermittlungen oder Forensik können
 durch frühzeitige Veröffentlichung beeinträchtigt werden
- ESMA-Guidance: Aufschub möglich, wenn Behörden (BSI, BKA) bestätigen, dass
 Veröffentlichung Ermittlungen gefährdet
- Praktisch: Emittent sollte BSI/BKA schriftlich anfragen und Antwort dokumentieren
- Aufschub endet: Wenn kein behördlicher Vorbehalt mehr besteht oder Öffentlichkeit
 durch Dritte informiert wurde

### Schritt 4 – Parallele Meldepflichten

- DSGVO Art. 33: Datenschutzbehörde (BfDI / Landesbehörde) innerhalb 72 Stunden
- NIS-2: BSI innerhalb 24 Stunden (Early Warning) und 72 Stunden (Notification)
- BaFin: Ggf. KWG-Meldepflicht für Finanzinstitute (§ 25a KWG)
- Koordination aller Meldepflichten mit einheitlicher Kommunikationsstrategie

### Schritt 5 – Ad-hoc-Veröffentlichung

- Inhalt: Art des Angriffs (soweit bekannt), betroffene Systeme, geschätzte Auswirkungen,
 ergriffene Maßnahmen, Ausblick
- Keine Offenlegung von Informationen, die laufende Ermittlungen gefährden
- Aktualisierungs-Ad-hoc: Wenn neue wesentliche Informationen bekannt werden