Seit Dezember 2023 müssen börsennotierte Unternehmen in den USA wesentliche Cybervorfälle innerhalb von vier Geschäftstagen offenlegen. Damit ist Cyberrisiko zu einem Ereignis mit festem Termin geworden. Für Portfolio Manager stellt sich die Frage, welche Signale vor dieser Meldung sichtbar sind und wie verlässlich sie sind.
Die Regel: Item 1.05 im Formular 8-K
Die SEC hat die Offenlegungspflicht am 26. Juli 2023 beschlossen. Nach Item 1.05 des Formulars 8-K muss ein Unternehmen einen Cybervorfall innerhalb von vier Geschäftstagen melden, nachdem es ihn als wesentlich eingestuft hat. Die Einstufung selbst muss ohne unangemessene Verzögerung nach der Entdeckung erfolgen. Die Pflicht gilt für Vorfälle ab dem 18. Dezember 2023, für kleinere Berichtspflichtige seit dem 15. Juni 2024.
Wie der Markt reagiert
Eine Studie auf arXiv hat 54 Meldungen nach Item 1.05 von 36 Unternehmen bis zum 12. November 2025 ausgewertet. Gemessen wurde die Kursentwicklung vom Schlusskurs vor der Meldung bis fünf Handelstage danach.
- Im Durchschnitt fiel der Kurs um 3,07 Prozent.
- Bei Unternehmen mit weniger als 2 Milliarden US-Dollar Marktkapitalisierung lag der Rückgang bei 7,49 Prozent.
- Größere Unternehmen zeigten im Mittel keinen Rückgang, sondern ein Plus von 0,43 Prozent.
- Zwischen Technologie- und anderen Sektoren gab es keinen signifikanten Unterschied.
Die Stichprobe ist klein, die Richtung aber deutlich. Für Small Caps ist eine Cybermeldung ein kursrelevantes Ereignis.
Was vor der Meldung sichtbar wird
Ransomware-Gruppen veröffentlichen ihre Opfer auf Leak-Seiten, oft zuerst als Andeutung ohne Namen. 2025 wurden dort nach Auswertung von GuidePoint Security 7.515 Opfer öffentlich beansprucht, 58 Prozent mehr als im Vorjahr, verteilt auf 124 Gruppen. Hinzu kommen weitere Quellen:
- Leak-Teaser: Dateinamen, Projektcodes oder Lieferantenbezüge in Datenproben, die eine Zuordnung erlauben.
- Access Broker: Angebote von Zugängen zu Unternehmen mit Angabe von Branche, Region und Umsatzklasse.
- Stealer-Logs: kompromittierte Zugangsdaten von Mitarbeitenden oder Dienstleistern.
- Öffentliche Indizien: unveränderte Risikofaktoren in Pflichtberichten oder Stellenanzeigen für veraltete Systeme.
Warum Signale allein nicht reichen
Nicht jede Behauptung einer Gruppe ist wahr, und nicht jeder Vorfall ist wesentlich. Erst die Prüfung von Quelle, Datenprobe und früherem Verhalten der Gruppe macht aus einem Signal eine belastbare Einschätzung. Ebenso wichtig ist der Zeitstempel: Für Backtests und Compliance zählt, was zu welchem Zeitpunkt bekannt war.
Was das für Portfolio Manager bedeutet
- Cyberrisiko als eigenen Faktor betrachten, besonders bei Small Caps.
- Emittenten mit schwacher Offenlegung und hoher Untergrundaktivität gesondert beobachten.
- Nur geprüfte Signale mit Zeitstempel in Entscheidungen einfließen lassen.
CTFI von NEXGAP verbindet Untergrundsignale, Angriffsfläche und Fundamentaldaten je Emittent. Jede Einschätzung ist von Analysten geprüft und mit Zeitstempel versehen.
Dieser Beitrag dient der allgemeinen Information und stellt keine Anlageberatung dar.
Die Inhalte dienen der Information und ersetzen keine rechtliche Bewertung oder Anlageberatung.