{"id":16061,"date":"2026-08-03T14:53:41","date_gmt":"2026-08-03T14:53:41","guid":{"rendered":"https:\/\/www.forenova.com\/de\/blog\/\/"},"modified":"2026-08-04T07:06:08","modified_gmt":"2026-08-04T07:06:08","slug":"wenn-der-hackerangriff-zur-chefsache-wird-persoenliche-haftung-der-geschaeftsfuehrung-bei-cybervorfaellen","status":"publish","type":"post","link":"https:\/\/www.forenova.com\/de\/blog\/wenn-der-hackerangriff-zur-chefsache-wird-persoenliche-haftung-der-geschaeftsfuehrung-bei-cybervorfaellen\/","title":{"rendered":"Wenn der Hackerangriff zur Chefsache wird: Pers\u00f6nliche Haftung der Gesch\u00e4ftsf\u00fchrung bei Cybervorf\u00e4llen"},"content":{"rendered":"\n

Stellen Sie sich vor, Ihr Unternehmen wird Opfer eines Ransomware-Angriffs. Die Produktion steht still, Kundendaten tauchen im Darknet auf, die IT-Abteilung arbeitet im Krisenmodus. Nach ein paar Wochen ist der akute Schaden einigerma\u00dfen unter Kontrolle, doch dann stellt sich eine zweite, viel unangenehmere Frage: Haften Sie eigentlich pers\u00f6nlich f\u00fcr das, was passiert ist? <\/strong> <\/p>\n\n\n\n

Die Antwort lautet h\u00e4ufiger „ja“, als viele Gesch\u00e4ftsf\u00fchrer und Vorst\u00e4nde denken. Was mit einer technischen Krise beginnt, kann sich in eine Frage Ihres privaten Verm\u00f6gens verwandeln. Grund genug, sich mit den Hintergr\u00fcnden auseinanderzusetzen, bevor der Ernstfall eintritt und nicht erst danach.<\/strong> <\/p>\n\n\n\n

Warum es keine einfache Antwort gibt<\/strong> <\/h2>\n\n\n\n

Es w\u00e4re doch sehr bequem, wenn es eine einzelne Regel g\u00e4be, die schlicht festlegt, wof\u00fcr Sie als Gesch\u00e4ftsleitung in Sachen IT-Sicherheit haften. Die gibt es aber leider nicht. Stattdessen setzt sich Ihre Haftung aus mehreren Bausteinen zusammen, die ineinandergreifen: <\/p>\n\n\n\n

Den Ausgangspunkt bildet das Gesellschaftsrecht. Als GmbH-Gesch\u00e4ftsf\u00fchrer schulden Sie Ihrem Unternehmen die Sorgfalt eines ordentlichen Gesch\u00e4ftsmannes (\u00a7 43 Abs. 1 GmbHG); verletzen Sie diese Pflicht schuldhaft, haften Sie auf Schadenersatz (\u00a7 43 Abs. 2 GmbHG). Als Vorstandsmitglied einer AG gilt f\u00fcr Sie derselbe Ma\u00dfstab (\u00a7 93 Abs. 1 Satz 1 AktG), f\u00fcr Aufsichtsr\u00e4te entsprechend (\u00a7 116 i.V.m. \u00a7 93 AktG). <\/p>\n\n\n\n

Hinzu kommt die Datenschutzgrundverordnung, sobald Sie personenbezogene Daten verarbeiten, und das tun heute praktisch alle Unternehmen. Sie sind dabei verpflichtet, angemessene technische und organisatorische Ma\u00dfnahmen zum Schutz dieser Daten zu treffen, einschlie\u00dflich der F\u00e4higkeit, den Zugang nach einem Angriff z\u00fcgig wiederherzustellen (Art. 5 Abs. 1 lit. f, Art. 32 DSGVO). Kommt es zu einer Datenschutzverletzung, m\u00fcssen Sie kurzfristig Beh\u00f6rde und Betroffene informieren (Art. 33, 34 DSGVO); bei Verst\u00f6\u00dfen drohen sowohl Schadenersatzanspr\u00fcche als auch empfindliche Bu\u00dfgelder (Art. 82, 83 DSGVO). <\/p>\n\n\n\n

Und schlie\u00dflich sind Sie dazu verpflichtet, bestandsgef\u00e4hrdende Entwicklungen fr\u00fchzeitig zu erkennen (\u00a7 91 Abs. 2 AktG, nach \u00fcberwiegender Auffassung auch analog auf die GmbH anwendbar). <\/p>\n\n\n\n

Wann es f\u00fcr Sie pers\u00f6nlich wirklich eng wird<\/strong> <\/h2>\n\n\n\n

Aber wichtig zu wissen: Eine Pflichtverletzung allein reicht f\u00fcr Ihre pers\u00f6nliche Haftung noch nicht aus. Hinzukommen m\u00fcssen ein Verschulden Ihrerseits, also vors\u00e4tzliches oder fahrl\u00e4ssiges Handeln, sowie ein kausaler Schaden der Gesellschaft. Entscheidend ist au\u00dferdem, ob die verletzte Pflicht \u00fcberhaupt Ihrer Organstellung zuzuordnen ist.  <\/p>\n\n\n\n

Beispiel aus der Vergangenheit: Das Oberlandesgericht Zweibr\u00fccken hat das in der Vergangenheit f\u00fcr eine versehentlich auf eine Phishing-Mail hin ausgef\u00fchrte \u00dcberweisung verneint: Buchhaltungst\u00e4tigkeiten seien nicht der Gesch\u00e4ftsleitung vorbehalten (OLG Zweibr\u00fccken, Urt. v. 27.10.2022, Az. 4 U 198\/21). Bei grundlegenden Cybersecurity-Entscheidungen, etwa ob ein Informationssicherheits-Managementsystem existiert oder nicht, sieht das anders aus. Hier geht die herrschende Meinung von einer organspezifischen Pflicht aus, auch wenn eine gefestigte h\u00f6chstrichterliche Rechtsprechung dazu noch aussteht. <\/p>\n\n\n\n

In der Praxis wiederholen sich fast immer dieselben Muster: eine fehlende oder veraltete Risikoanalyse, nicht eingespielte Sicherheitsupdates, ein fehlender oder ungetesteter Incident-Response-Plan, mangelhafte Dokumentation und schlicht Unt\u00e4tigkeit trotz bekannter Warnsignale. Gerade Letzteres gilt als der gr\u00f6\u00dfte Risikofaktor \u00fcberhaupt. Unt\u00e4tigkeit begr\u00fcndet praktisch immer ein erhebliches pers\u00f6nliches Haftungsrisiko f\u00fcr Sie, unabh\u00e4ngig davon, wie die konkrete Ausgestaltung Ihrer Sicherheitsma\u00dfnahmen im Einzelnen aussieht. <\/p>\n\n\n\n

Ihr wichtigster Schutz: die Business Judgement Rule<\/strong> <\/h2>\n\n\n\n

Die gute Nachricht: Wenn Sie sorgf\u00e4ltig handeln, drohen Ihnen keine automatischen Konsequenzen. Ein rechtlicher Grundsatz, die sogenannte Business Judgement Rule (\u00a7 93 Abs. 1 Satz 2 AktG, analog im GmbH-Recht), sch\u00fctzt Sie vor Haftung, wenn Sie bei einer unternehmerischen Entscheidung vern\u00fcnftigerweise annehmen durften, auf Grundlage angemessener Informationen zum Wohle der Gesellschaft zu handeln, ohne Interessenkonflikt und ohne Pflichtverletzung.  <\/p>\n\n\n\n

Auf Cybersicherheit \u00fcbertragen hei\u00dft das: Wenn Sie vor einem Angriff nachweislich angemessene Sicherheitsma\u00dfnahmen implementiert, regelm\u00e4\u00dfig \u00fcberpr\u00fcft und auf erkannte Risiken reagiert haben, greift dieser Schutz, selbst wenn der Angriff am Ende trotzdem erfolgreich war. Wie weit Ihre Ma\u00dfnahmen im Einzelnen reichen m\u00fcssen, bleibt dabei Ihre unternehmerische Ermessensentscheidung und richtet sich nach Ihrem individuellen Risikoprofil. Verarbeiten Sie gro\u00dfe Mengen sensibler Daten, sind die Anforderungen h\u00f6her als bei rein interner B2B-Datenverarbeitung. <\/p>\n\n\n\n

Der Haken dabei: Dieser Schutz wirkt nur, wenn Sie ihn auch belegen k\u00f6nnen. Fehlt die Dokumentation Ihrer Entscheidungen, erschwert das nicht nur den Entlastungsbeweis im Ernstfall. Schon die fehlende Dokumentation selbst gilt als eigenst\u00e4ndige Pflichtverletzung. <\/p>\n\n\n\n

Cybersicherheit k\u00f6nnen Sie nicht wegdelegieren<\/strong> <\/h2>\n\n\n\n

Ein verbreiteter Irrglaube ist, man k\u00f6nne sich durch den Verweis auf die fehlende Ressortzust\u00e4ndigkeit im Kollegialorgan, durch eine Versicherung oder durch die Auslagerung der IT an externe Dienstleister aus der Haftung ziehen. Das tr\u00e4gt rechtlich nicht. Zwar k\u00f6nnen Sie die operative Zust\u00e4ndigkeit f\u00fcr IT-Sicherheit einem einzelnen Mitglied der Gesch\u00e4ftsleitung \u00fcbertragen, die Kontroll- und \u00dcberwachungsverantwortung bleibt aber bei allen Mitgliedern gemeinsam.  <\/p>\n\n\n\n

Als Gesamtgremium m\u00fcssen Sie sich regelm\u00e4\u00dfig vom zust\u00e4ndigen Ressort berichten lassen und gezielt nachfragen, um sich ein eigenes Bild machen zu k\u00f6nnen. Auch wenn Sie Ihre IT an externe Dienstleister auslagern, bleiben die Auswahl qualifizierter Partner, die Bereitstellung ausreichender Ressourcen und die laufende Kontrolle bei Ihnen. <\/p>\n\n\n\n

Wer gegen Sie Anspr\u00fcche stellen kann<\/strong> <\/h2>\n\n\n\n

Die Haftungsfrage stellt sich in der Praxis meist aus mehreren Richtungen gleichzeitig. Ihre Gesellschafter oder Investoren k\u00f6nnen pr\u00fcfen, ob ein Cybervorfall auf organisatorische Vers\u00e4umnisse zur\u00fcckzuf\u00fchren ist, etwa wenn notwendige Sicherheitsinvestitionen \u00fcber Jahre aus Kostengr\u00fcnden verschoben wurden und ein Ransomware-Angriff anschlie\u00dfend den Betrieb tagelang lahmlegt. Kunden und andere Betroffene einer Datenschutzverletzung k\u00f6nnen Schadenersatz verlangen (Art. 82 DSGVO); richten sich diese Anspr\u00fcche zun\u00e4chst gegen Ihr Unternehmen, wird im Anschluss h\u00e4ufig gepr\u00fcft, ob organisatorische Vers\u00e4umnisse Ihrerseits dazu beigetragen haben, mit der Folge von Innenhaftungsanspr\u00fcchen der Gesellschaft gegen Sie pers\u00f6nlich.  <\/p>\n\n\n\n

Auch Aufsichtsbeh\u00f6rden werden aktiv, insbesondere bei Datenschutzverletzungen: Fehlen grundlegende Sicherheitsma\u00dfnahmen oder werden bekannte L\u00fccken ignoriert, drohen Bu\u00dfgelder, und im Anschluss wiederum ein Regress gegen die Gesch\u00e4ftsleitung. Ein bekanntes Beispiel f\u00fcr diese Dynamik ist der SolarWinds-Hack aus 2020. Nach dem Vorfall verklagten Aktion\u00e4re das Management, weil bekannte Sicherheitsprobleme angeblich \u00fcber l\u00e4ngere Zeit ignoriert worden waren. Der Fall endete mit einem Millionenvergleich. <\/p>\n\n\n\n

NIS-2 versch\u00e4rft die Lage weiter<\/strong> <\/h2>\n\n\n\n

Was lange als Entwurf diskutiert wurde, ist inzwischen geltendes Recht: Seit dem 6. Dezember 2025 ist das NIS2-Umsetzungsgesetz in Kraft, ohne \u00dcbergangsfrist. Es hat das BSI-Gesetz um einen eigenen Paragrafen f\u00fcr die Gesch\u00e4ftsleitung erg\u00e4nzt (\u00a7 38 BSIG). Wer als „wichtige“ oder „besonders wichtige“ Einrichtung eingestuft ist, muss die Risikomanagementma\u00dfnahmen zur Cybersicherheit als Gesch\u00e4ftsleitung pers\u00f6nlich billigen und deren Umsetzung aktiv \u00fcberwachen, nicht delegierbar.  <\/p>\n\n\n\n

Hinzu kommt eine ebenfalls nicht delegierbare Pflicht zur regelm\u00e4\u00dfigen Weiterbildung der Gesch\u00e4ftsleitung selbst, das BSI geht von einem Schulungsaufwand von rund einem halben Tag alle drei Jahre aus. Bei Pflichtverletzungen haftet die Gesch\u00e4ftsleitung der Einrichtung nach den bekannten gesellschaftsrechtlichen Grunds\u00e4tzen pers\u00f6nlich, zus\u00e4tzlich drohen dem Unternehmen Bu\u00dfgelder von bis zu 10 Millionen Euro oder 2 Prozent des weltweiten Jahresumsatzes. Betroffen sind sch\u00e4tzungsweise 29.500 Unternehmen in Deutschland, deutlich mehr als nur die klassischen KRITIS-Sektoren, darunter auch viele Betriebe aus Produktion, Chemie und digitalen Diensten ab etwa 50 Mitarbeitenden und 10 bzw. 50 Millionen Euro Jahresumsatz.  <\/p>\n\n\n\n

Wenn Sie noch nicht gepr\u00fcft haben, ob das eigene Unternehmen betroffen ist und was eigentlich zu tun ist, sollten Sie das \u00fcber die offizielle Betroffenheitspr\u00fcfung des BSI oder unseren eigenen NIS-2-Check<\/a> <\/strong>nachholen.\u00a0<\/p>\n\n\n\n

Versicherungen helfen, sind aber kein Freifahrtschein<\/strong> <\/h2>\n\n\n\n

Sowohl eine Cyberversicherung als auch eine D&O-Versicherung (Directors-and-Officers-Versicherung oder Manager-Haftpflichtversicherung) geh\u00f6ren zu einem durchdachten Risikomanagement, verfolgen dabei aber unterschiedliche Schutzrichtungen. Die Cyberversicherung adressiert die unmittelbaren finanziellen Folgen eines Angriffs f\u00fcr Ihr Unternehmen, die D&O-Versicherung sch\u00fctzt Sie als Entscheidungstr\u00e4ger pers\u00f6nlich bei Haftungsanspr\u00fcchen aus Ihrer Organfunktion.  <\/p>\n\n\n\n

Wichtig dabei: Beide Policen kennen typische Deckungsl\u00fccken. Innenhaftungsanspr\u00fcche der Gesellschaft gegen die eigene Gesch\u00e4ftsleitung sind nach den g\u00e4ngigen Musterbedingungen f\u00fcr Cyberversicherungen ausdr\u00fccklich von der Deckung ausgenommen (AVB Cyber, Ziff. A3-7.2a), und auch D&O-Versicherungen enthalten f\u00fcr Cybersch\u00e4den nicht selten eigene Ausschl\u00fcsse. Zudem kann ein Cyber-Versicherer, der den Schaden reguliert hat, unter Umst\u00e4nden bei Ihnen Regress nehmen (\u00a7 86 Abs. 1 VVG), gerade weil die eigentlichen Angreifer meist nicht greifbar sind und Mitarbeitende, die den Angriff etwa durch Fahrl\u00e4ssigkeit erm\u00f6glicht haben, durch das Arbeitnehmerprivileg gesch\u00fctzt sind.  <\/p>\n\n\n\n

In der Praxis bleiben Sie damit h\u00e4ufig als letzter erreichbarer Haftungsschuldner \u00fcbrig. Eine Versicherung kann also flankieren, ersetzt aber kein wirksames IT-Compliance-System. <\/p>\n\n\n\n

Wie Sie sich konkret absichern<\/strong> <\/h2>\n\n\n\n

Aus den genannten Grundlagen l\u00e4sst sich ein praktikables Grundger\u00fcst ableiten: <\/p>\n\n\n\n