Virtuelle Hauptversammlungen: Corona macht DAX-Konzerne verwundbar

Die deutsche Wirtschaft stand mit Corona unvermittelt vor der Frage, wie Hauptversammlungen (HV) digital und rechtssicher abgehalten werden konnten. Der Gesetzgeber reagierte im Eilverfahren und stellte am 27. März 2020 rechtlich die virtuelle HV erstmalig der physischen Präsenzveranstaltung gleich. Dadurch konnte und kann die Handlungs- und Beschlussfähigkeit von Aktiengesellschaften während der Pandemie sichergestellt werden.

Bei sechs von acht Hauptversammlungs-Portalen, mit einem Marktanteil von knapp 72 Prozent, ließen sich kritische Lücken nachweisen, die potenziell von Angreifern ohne Spezialkenntnisse und mit geringen Ressourcen ausgenützt werden konnten.

Das unbemerkte Ändern der Stimmabgabe von Aktionären, die vollständige Übernahme des Aktionärs-Accounts durch den Angreifer, das gezielte Verhindern der virtuellen Hauptversammlungen waren ebenso möglich wie das Auslesen der personenbezogenen Daten von Aktionären. Letztere Sicherheitslücke erlaubte es, mit dem Einsatz von nur 20 Euro, die personenbezogenen Daten (wie Name, Adresse und Geburtsdatum) aller Aktionäre und sämtlicher von dem Dienstleister gehosteten Hauptversammlungen auszulesen - inklusive Abstimmungsverhalten und Anteilsbesitz.

Von den gefundenen Sicherheitslücken waren auch virtuelle Hauptversammlungen von großen DAX- und MDAX-Konzernen betroffen.

Informatik-Professor und IT-Sicherheitsexperte Andreas Mayer von der Hochschule Heilbronn   hat 623 virtuelle Hauptversammlungen untersucht, die im Zeitraum vom 28. April 2020 bis 31. Dezember 2020 stattfanden.