Wenn der Hackerangriff zur Chefsache wird: Persönliche Haftung der Geschäftsführung bei Cybervorfällen

Stellen Sie sich vor, Ihr Unternehmen wird Opfer eines Ransomware-Angriffs. Die Produktion steht still, Kundendaten tauchen im Darknet auf, die IT-Abteilung arbeitet im Krisenmodus. Nach ein paar Wochen ist der akute Schaden einigermaßen unter Kontrolle, doch dann stellt sich eine zweite, viel unangenehmere Frage: Haften Sie eigentlich persönlich für das, was passiert ist?  

Die Antwort lautet häufiger „ja“, als viele Geschäftsführer und Vorstände denken. Was mit einer technischen Krise beginnt, kann sich in eine Frage Ihres privaten Vermögens verwandeln. Grund genug, sich mit den Hintergründen auseinanderzusetzen, bevor der Ernstfall eintritt und nicht erst danach. 

Warum es keine einfache Antwort gibt 

Es wäre doch sehr bequem, wenn es eine einzelne Regel gäbe, die schlicht festlegt, wofür Sie als Geschäftsleitung in Sachen IT-Sicherheit haften. Die gibt es aber leider nicht. Stattdessen setzt sich Ihre Haftung aus mehreren Bausteinen zusammen, die ineinandergreifen: 

Den Ausgangspunkt bildet das Gesellschaftsrecht. Als GmbH-Geschäftsführer schulden Sie Ihrem Unternehmen die Sorgfalt eines ordentlichen Geschäftsmannes (§ 43 Abs. 1 GmbHG); verletzen Sie diese Pflicht schuldhaft, haften Sie auf Schadenersatz (§ 43 Abs. 2 GmbHG). Als Vorstandsmitglied einer AG gilt für Sie derselbe Maßstab (§ 93 Abs. 1 Satz 1 AktG), für Aufsichtsräte entsprechend (§ 116 i.V.m. § 93 AktG). 

Hinzu kommt die Datenschutzgrundverordnung, sobald Sie personenbezogene Daten verarbeiten, und das tun heute praktisch alle Unternehmen. Sie sind dabei verpflichtet, angemessene technische und organisatorische Maßnahmen zum Schutz dieser Daten zu treffen, einschließlich der Fähigkeit, den Zugang nach einem Angriff zügig wiederherzustellen (Art. 5 Abs. 1 lit. f, Art. 32 DSGVO). Kommt es zu einer Datenschutzverletzung, müssen Sie kurzfristig Behörde und Betroffene informieren (Art. 33, 34 DSGVO); bei Verstößen drohen sowohl Schadenersatzansprüche als auch empfindliche Bußgelder (Art. 82, 83 DSGVO). 

Und schließlich sind Sie dazu verpflichtet, bestandsgefährdende Entwicklungen frühzeitig zu erkennen (§ 91 Abs. 2 AktG, nach überwiegender Auffassung auch analog auf die GmbH anwendbar). 

Wann es für Sie persönlich wirklich eng wird 

Aber wichtig zu wissen: Eine Pflichtverletzung allein reicht für Ihre persönliche Haftung noch nicht aus. Hinzukommen müssen ein Verschulden Ihrerseits, also vorsätzliches oder fahrlässiges Handeln, sowie ein kausaler Schaden der Gesellschaft. Entscheidend ist außerdem, ob die verletzte Pflicht überhaupt Ihrer Organstellung zuzuordnen ist.  

Beispiel aus der Vergangenheit: Das Oberlandesgericht Zweibrücken hat das in der Vergangenheit für eine versehentlich auf eine Phishing-Mail hin ausgeführte Überweisung verneint: Buchhaltungstätigkeiten seien nicht der Geschäftsleitung vorbehalten (OLG Zweibrücken, Urt. v. 27.10.2022, Az. 4 U 198/21). Bei grundlegenden Cybersecurity-Entscheidungen, etwa ob ein Informationssicherheits-Managementsystem existiert oder nicht, sieht das anders aus. Hier geht die herrschende Meinung von einer organspezifischen Pflicht aus, auch wenn eine gefestigte höchstrichterliche Rechtsprechung dazu noch aussteht. 

In der Praxis wiederholen sich fast immer dieselben Muster: eine fehlende oder veraltete Risikoanalyse, nicht eingespielte Sicherheitsupdates, ein fehlender oder ungetesteter Incident-Response-Plan, mangelhafte Dokumentation und schlicht Untätigkeit trotz bekannter Warnsignale. Gerade Letzteres gilt als der größte Risikofaktor überhaupt. Untätigkeit begründet praktisch immer ein erhebliches persönliches Haftungsrisiko für Sie, unabhängig davon, wie die konkrete Ausgestaltung Ihrer Sicherheitsmaßnahmen im Einzelnen aussieht. 

Ihr wichtigster Schutz: die Business Judgement Rule 

Die gute Nachricht: Wenn Sie sorgfältig handeln, drohen Ihnen keine automatischen Konsequenzen. Ein rechtlicher Grundsatz, die sogenannte Business Judgement Rule (§ 93 Abs. 1 Satz 2 AktG, analog im GmbH-Recht), schützt Sie vor Haftung, wenn Sie bei einer unternehmerischen Entscheidung vernünftigerweise annehmen durften, auf Grundlage angemessener Informationen zum Wohle der Gesellschaft zu handeln, ohne Interessenkonflikt und ohne Pflichtverletzung.  

Auf Cybersicherheit übertragen heißt das: Wenn Sie vor einem Angriff nachweislich angemessene Sicherheitsmaßnahmen implementiert, regelmäßig überprüft und auf erkannte Risiken reagiert haben, greift dieser Schutz, selbst wenn der Angriff am Ende trotzdem erfolgreich war. Wie weit Ihre Maßnahmen im Einzelnen reichen müssen, bleibt dabei Ihre unternehmerische Ermessensentscheidung und richtet sich nach Ihrem individuellen Risikoprofil. Verarbeiten Sie große Mengen sensibler Daten, sind die Anforderungen höher als bei rein interner B2B-Datenverarbeitung. 

Der Haken dabei: Dieser Schutz wirkt nur, wenn Sie ihn auch belegen können. Fehlt die Dokumentation Ihrer Entscheidungen, erschwert das nicht nur den Entlastungsbeweis im Ernstfall. Schon die fehlende Dokumentation selbst gilt als eigenständige Pflichtverletzung. 

Cybersicherheit können Sie nicht wegdelegieren 

Ein verbreiteter Irrglaube ist, man könne sich durch den Verweis auf die fehlende Ressortzuständigkeit im Kollegialorgan, durch eine Versicherung oder durch die Auslagerung der IT an externe Dienstleister aus der Haftung ziehen. Das trägt rechtlich nicht. Zwar können Sie die operative Zuständigkeit für IT-Sicherheit einem einzelnen Mitglied der Geschäftsleitung übertragen, die Kontroll- und Überwachungsverantwortung bleibt aber bei allen Mitgliedern gemeinsam.  

Als Gesamtgremium müssen Sie sich regelmäßig vom zuständigen Ressort berichten lassen und gezielt nachfragen, um sich ein eigenes Bild machen zu können. Auch wenn Sie Ihre IT an externe Dienstleister auslagern, bleiben die Auswahl qualifizierter Partner, die Bereitstellung ausreichender Ressourcen und die laufende Kontrolle bei Ihnen. 

Wer gegen Sie Ansprüche stellen kann 

Die Haftungsfrage stellt sich in der Praxis meist aus mehreren Richtungen gleichzeitig. Ihre Gesellschafter oder Investoren können prüfen, ob ein Cybervorfall auf organisatorische Versäumnisse zurückzuführen ist, etwa wenn notwendige Sicherheitsinvestitionen über Jahre aus Kostengründen verschoben wurden und ein Ransomware-Angriff anschließend den Betrieb tagelang lahmlegt. Kunden und andere Betroffene einer Datenschutzverletzung können Schadenersatz verlangen (Art. 82 DSGVO); richten sich diese Ansprüche zunächst gegen Ihr Unternehmen, wird im Anschluss häufig geprüft, ob organisatorische Versäumnisse Ihrerseits dazu beigetragen haben, mit der Folge von Innenhaftungsansprüchen der Gesellschaft gegen Sie persönlich.  

Auch Aufsichtsbehörden werden aktiv, insbesondere bei Datenschutzverletzungen: Fehlen grundlegende Sicherheitsmaßnahmen oder werden bekannte Lücken ignoriert, drohen Bußgelder, und im Anschluss wiederum ein Regress gegen die Geschäftsleitung. Ein bekanntes Beispiel für diese Dynamik ist der SolarWinds-Hack aus 2020. Nach dem Vorfall verklagten Aktionäre das Management, weil bekannte Sicherheitsprobleme angeblich über längere Zeit ignoriert worden waren. Der Fall endete mit einem Millionenvergleich. 

NIS-2 verschärft die Lage weiter 

Was lange als Entwurf diskutiert wurde, ist inzwischen geltendes Recht: Seit dem 6. Dezember 2025 ist das NIS2-Umsetzungsgesetz in Kraft, ohne Übergangsfrist. Es hat das BSI-Gesetz um einen eigenen Paragrafen für die Geschäftsleitung ergänzt (§ 38 BSIG). Wer als „wichtige“ oder „besonders wichtige“ Einrichtung eingestuft ist, muss die Risikomanagementmaßnahmen zur Cybersicherheit als Geschäftsleitung persönlich billigen und deren Umsetzung aktiv überwachen, nicht delegierbar.  

Hinzu kommt eine ebenfalls nicht delegierbare Pflicht zur regelmäßigen Weiterbildung der Geschäftsleitung selbst, das BSI geht von einem Schulungsaufwand von rund einem halben Tag alle drei Jahre aus. Bei Pflichtverletzungen haftet die Geschäftsleitung der Einrichtung nach den bekannten gesellschaftsrechtlichen Grundsätzen persönlich, zusätzlich drohen dem Unternehmen Bußgelder von bis zu 10 Millionen Euro oder 2 Prozent des weltweiten Jahresumsatzes. Betroffen sind schätzungsweise 29.500 Unternehmen in Deutschland, deutlich mehr als nur die klassischen KRITIS-Sektoren, darunter auch viele Betriebe aus Produktion, Chemie und digitalen Diensten ab etwa 50 Mitarbeitenden und 10 bzw. 50 Millionen Euro Jahresumsatz.  

Wenn Sie noch nicht geprüft haben, ob das eigene Unternehmen betroffen ist und was eigentlich zu tun ist, sollten Sie das über die offizielle Betroffenheitsprüfung des BSI oder unseren eigenen NIS-2-Check nachholen. 

Versicherungen helfen, sind aber kein Freifahrtschein 

Sowohl eine Cyberversicherung als auch eine D&O-Versicherung (Directors-and-Officers-Versicherung oder Manager-Haftpflichtversicherung) gehören zu einem durchdachten Risikomanagement, verfolgen dabei aber unterschiedliche Schutzrichtungen. Die Cyberversicherung adressiert die unmittelbaren finanziellen Folgen eines Angriffs für Ihr Unternehmen, die D&O-Versicherung schützt Sie als Entscheidungsträger persönlich bei Haftungsansprüchen aus Ihrer Organfunktion.  

Wichtig dabei: Beide Policen kennen typische Deckungslücken. Innenhaftungsansprüche der Gesellschaft gegen die eigene Geschäftsleitung sind nach den gängigen Musterbedingungen für Cyberversicherungen ausdrücklich von der Deckung ausgenommen (AVB Cyber, Ziff. A3-7.2a), und auch D&O-Versicherungen enthalten für Cyberschäden nicht selten eigene Ausschlüsse. Zudem kann ein Cyber-Versicherer, der den Schaden reguliert hat, unter Umständen bei Ihnen Regress nehmen (§ 86 Abs. 1 VVG), gerade weil die eigentlichen Angreifer meist nicht greifbar sind und Mitarbeitende, die den Angriff etwa durch Fahrlässigkeit ermöglicht haben, durch das Arbeitnehmerprivileg geschützt sind.  

In der Praxis bleiben Sie damit häufig als letzter erreichbarer Haftungsschuldner übrig. Eine Versicherung kann also flankieren, ersetzt aber kein wirksames IT-Compliance-System. 

Wie Sie sich konkret absichern 

Aus den genannten Grundlagen lässt sich ein praktikables Grundgerüst ableiten: 

• Bauen Sie ein Informationssicherheits-Managementsystem nach anerkannten Standards auf, etwa orientiert an ISO 27001 oder dem BSI-IT-Grundschutz. Die BSI-Standards und das IT-Grundschutz-Kompendium bieten dafür eine praxiserprobte Grundlage; eine Zertifizierung kann im Ernstfall zusätzlich als Nachweis dienen. 

• Führen Sie regelmäßige Risikoanalysen, Penetrationstests und externe Audits durch, statt sich auf einmalige Maßnahmen zu verlassen. 

• Erstellen Sie einen Incident-Response-Plan, testen Sie ihn mit klaren Zuständigkeiten und aktivieren Sie ihn im Ernstfall auch tatsächlich. 

• Etablieren Sie Awareness-Schulungen für Ihre Mitarbeitenden, und ausdrücklich auch für sich selbst als Geschäftsleitung. 

• Dokumentieren Sie jede sicherheitsrelevante Entscheidung nachvollziehbar, um im Streitfall die Business Judgement Rule tatsächlich in Anspruch nehmen zu können. 

• Prüfen Sie Ihren Versicherungsschutz regelmäßig auf Deckungsausschlüsse. 

Wo MDR ansetzt 

Genau an diesem letzten Punkt, der Frage, wie Sie belegen, dass Sie angemessen und informiert gehandelt haben, wird es für viele Mittelständler in der Praxis schwierig. Ein ISMS auf dem Papier hilft wenig, wenn niemand rund um die Uhr erkennt, ob gerade ein Angriff läuft, und wenn im Ernstfall keine belastbare Dokumentation existiert, wer wann was unternommen hat. 

Hier setzt MDR an. Ein Managed-Detection-and-Response-Service übernimmt die kontinuierliche Überwachung Ihrer IT-Umgebung, erkennt Angriffe frühzeitig und reagiert, bevor aus einer Anomalie ein bestandsgefährdender Vorfall wird, rund um die Uhr, auch dann, wenn in Ihrem Unternehmen kein eigenes SOC-Team zur Verfügung steht.  

Für Ihre persönliche Haftung als Geschäftsleitung ist dabei besonders relevant: Unsere Lösung NovaMDR™ liefert Ihnen fortlaufende, nachvollziehbare Nachweise über Ihre Sicherheitslage, erkannte Vorfälle und ergriffene Gegenmaßnahmen. Genau diese Dokumentation ist es, die im Ernstfall darüber entscheidet, ob Sie sich auf die Business Judgement Rule berufen können oder nicht. 

Mit anderen Worten: NovaMDR™ ersetzt weder Ihre unternehmerische Entscheidung noch Ihre Verantwortung als Geschäftsleitung, liefert Ihnen aber die technische Grundlage und den Nachweis, um genau diese Verantwortung wahrzunehmen und im Zweifel auch belegen zu können. Für den deutschen Mittelstand, der oft weder das Budget noch das Personal für ein eigenes 24/7-Security-Team hat, ist das häufig der pragmatischste und auch realistischste Weg, um die genannten Anforderungen tatsächlich zu erfüllen, statt sie nur auf dem Papier zu erfüllen. 

Fazit 

Ein Cyberangriff ist längst nicht mehr nur ein IT-Problem, er ist ein Führungsthema mit persönlichen Konsequenzen. Ob Sie am Ende haften, entscheidet sich nicht danach, ob ein Angriff erfolgreich war, sondern danach, ob Sie vorher angemessen, informiert und nachvollziehbar dokumentiert gehandelt haben.  

Die Business Judgement Rule gibt Ihnen dafür den Rahmen, NIS-2 wird die Anforderungen absehbar weiter verschärfen, und Versicherungen können Sie dabei unterstützen, ersetzen aber keine funktionierende Sicherheitsorganisation. Wer heute in ein ISMS, klare Prozesse und lückenlose Dokumentation investiert, schützt damit also nicht nur das Unternehmen, sondern auch sich selbst.