Materialitäts-Sprint: Wenn IR zur Börsenpflicht wird
05.09.2026 sec-disclosurematerialityincident-responseregulatory-reporting
Am 7. Mai 2026 stellte ein US-Pharmakonzern fest, dass er einen materiellen Cyberangriff erlitten hatte – Daten waren exfiltriert, Systeme verschlüsselt. Drei Tage zuvor, am 4. Mai, war der Einbruch erstmals entdeckt worden. In dieser kurzen Zeitspanne musste das Unternehmen nicht nur technisch reagieren, sondern parallel eine juristisch belastbare Entscheidung treffen: Ist dieser Vorfall “material” im Sinne der SEC-Offenlegungsregeln? Der Fall zeigt exemplarisch, was seit Ende 2023 für börsennotierte US-Unternehmen gilt und 2026 endgültig in der IR-Praxis angekommen ist: Nachdem der Konzern feststellte, einen materiellen Cyberangriff erlitten zu haben, bei dem Daten exfiltriert und Systeme verschlüsselt wurden, aktivierte er umgehend seine Incident-Response-Protokolle, nahm Systeme global vom Netz und schaltete externe Forensiker ein.
Die Uhr tickt ab der Entscheidung, nicht ab der Entdeckung
Der entscheidende Denkfehler vieler Teams: Die Vier-Tage-Frist beginnt nicht mit der Entdeckung des Vorfalls, sondern mit der Feststellung der Materialität. Öffentliche Unternehmen müssen die erforderliche Offenlegung eines Cybersicherheitsvorfalls innerhalb von vier Geschäftstagen nach Feststellung der Materialität vorlegen – die Frist beginnt also nicht vier Geschäftstage nach dem Auftreten oder der Entdeckung des Vorfalls, da Unternehmen die Materialität oft nicht am selben Tag feststellen können. Das klingt nach Entlastung, ist aber eine Falle: Die Materialitätsfeststellung selbst muss ohne unangemessene Verzögerung nach der Entdeckung erfolgen – Unternehmen dürfen einen Vorfall nicht liegen lassen, um den Beginn der Frist zu verzögern.
Genau hier entsteht der neue IR-Prozess, der bislang in Playbooks fehlt. Die wichtigste operative Veränderung ist, die Materialitätsbewertung als parallelen Prozess zur technischen Untersuchung zu behandeln – nicht als Schritt, der erst nach Abschluss der Untersuchung erfolgt. Playbooks sollten einen expliziten Materialitätsbewertungsschritt bei der 24-Stunden-Marke für jeden P1- oder P2-Vorfall vorsehen. Wer diesen Track erst im laufenden Vorfall improvisiert, verliert wertvolle Zeit.
Wer sitzt am Tisch – und warum das trainiert werden muss
Die Materialitätsbewertung ist keine rein juristische oder rein technische Entscheidung. Zu den wesentlichen Gruppen, die einen organisierten Prozess zur Materialitätsfeststellung etablieren sollten, zählen das Team unter CISO, CIO und CTO, das CFO-Team sowie die Rechtsabteilung – die neue Regel testet, wie effizient diese drei Funktionsbereiche kommunizieren und koordinieren. In der Praxis bedeutet das: Die Materialitätsfeststellung erfordert Input von Recht, Finanzen, Sicherheit und Führungsebene – das ist kein Meeting, das man ohne vorher etablierten Prozess kurzfristig ansetzen kann. Wenn CISO, Justiziar und CFO sich zum ersten Mal im selben Raum über den Vorfall unterhalten, nachdem er bereits passiert ist, hinkt der Prozess bereits hinterher.
Die reale Marktpraxis zeigt zudem eine bemerkenswerte Verschiebung: Freiwillige Item-8.01-Meldungen (bei denen Materialität noch nicht festgestellt wurde) haben Item-1.05-Meldungen für materielle Vorfälle deutlich überholt, und die meisten zunächst unter Item 8.01 offengelegten Vorfälle führten später nicht zu einer Item-1.05-Meldung. Konservative Materialitätsanalyse ist also gelebte Praxis geworden, nicht die Ausnahme.
Drei Änderungen, die jetzt ins Playbook gehören
Wer sein IR-Playbook 2026 nicht anpasst, riskiert Enforcement-Aufmerksamkeit – die SEC hat inzwischen eine eigene Durchsetzungseinheit für den Bereich geschaffen und bereits mehrfach Bußgelder verhängt. Drei konkrete Prozessänderungen sollten Priorität haben:
Erstens: Die Materialitätsbewertung wird explizite Playbook-Phase mit fester Zeitmarke (24–48 Stunden), nicht optionaler Nachgang. Jeder größere Vorfall erfordert nun einen Materialitätsbewertungs-Track mit Einbindung von Rechtsabteilung und CFO innerhalb der ersten 48 Stunden, und Board-Eskalationspfade müssen vor einem Vorfall etabliert sein.
Zweitens: Dokumentation muss von Beginn an dual-use-fähig sein – für interne Untersuchung und für die aufsichtsrechtliche Offenlegung gleichermaßen. Jede Zeitleisten-Eintragung, Scope-Bewertung und Impact-Schätzung kann später in SEC-Filings auftauchen.
Drittens: Kommunikationskanäle für Board und Rechtsabteilung müssen isoliert und vorab getestet sein. Incident-Response-Kommunikation mit Board und Rechtsabteilung sollte einen separaten, isolierten Kanal nutzen, der vor einem Vorfall etabliert und getestet wurde.
Der Fall des Pharmakonzerns zeigt, dass diese Prozesse funktionieren können, wenn sie geübt sind. Für alle anderen gilt: Die Tabletop-Übung des nächsten Quartals sollte nicht nur Containment und Forensik simulieren, sondern auch den Moment, in dem CISO, CFO und Justiziar gemeinsam ein Adjektiv verhandeln müssen – “material” oder nicht.
← Zurück zur Übersicht