Oberberg - Ein Ransomware-Angriff legt die Produktion lahm, Kundendaten tauchen im Darknet auf, und plötzlich stellt sich eine unangenehme Frage: Haftet eigentlich die Geschäftsleitung persönlich für das, was passiert ist? Die Antwort lautet häufiger "ja", als viele Geschäftsführer und Vorstände denken. Was mit einer technischen Krise beginnt, kann sich schnell in eine Frage des privaten Vermögens verwandeln.

Die rechtliche Grundlage

Eine zentrale Regelung, die die IT-Sicherheitspflichten der Geschäftsleitung abschließend festlegt, gibt es nicht. Die Haftung ergibt sich aus mehreren Bausteinen: der Sorgfaltspflicht aus dem Gesellschaftsrecht (§ 43 GmbHG, § 93 AktG), den Anforderungen der Datenschutzgrundverordnung an angemessene technische und organisatorische Maßnahmen sowie an die kurzfristige Meldung von Datenschutzverletzungen (Art. 5, 32, 33, 34, 82, 83 DSGVO), und der Pflicht, bestandsgefährdende Entwicklungen frühzeitig zu erkennen (§ 91 Abs. 2 AktG, analog auch für die GmbH). Das Landgericht München hat daraus bereits 2013 eine Pflicht zu einer auf Schadensprävention ausgerichteten Compliance-Organisation abgeleitet (LG München, Urt. v. 10.12.2013, Az. 5 HKO 1387/10).

Wann es persönlich eng wird

Eine Pflichtverletzung allein reicht für die persönliche Haftung aber noch nicht aus. Hinzukommen müssen ein Verschulden und ein kausaler Schaden der Gesellschaft. Entscheidend ist zudem, ob die verletzte Pflicht der Organstellung zuzuordnen ist. Das Oberlandesgericht Zweibrücken hat das in der Vergangenheit für eine versehentlich auf eine Phishing-Mail hin ausgeführte Überweisung verneint, da Buchhaltungstätigkeiten nicht der Geschäftsleitung vorbehalten seien (OLG Zweibrücken, Urt. v. 27.10.2022, Az. 4 U 198/21).

Bei grundlegenden Cybersecurity-Entscheidungen, etwa der Einrichtung eines Informationssicherheits-Managementsystems, sieht das anders aus. In der Praxis wiederholen sich die typischen Risikofaktoren: fehlende Risikoanalysen, veraltete Updates, ein ungetesteter Incident-Response-Plan, mangelhafte Dokumentation und schlicht Untätigkeit trotz bekannter Warnsignale.

Der wichtigste Schutz: die Business Judgement Rule

Die Business Judgement Rule (§ 93 Abs. 1 Satz 2 AktG, analog im GmbH-Recht) schützt die Geschäftsleitung vor Haftung, wenn eine unternehmerische Entscheidung auf Grundlage angemessener Informationen und zum Wohle der Gesellschaft getroffen wurde, ohne Interessenkonflikt und ohne Pflichtverletzung. Wer vor einem Angriff nachweislich angemessene Sicherheitsmaßnahmen implementiert, regelmäßig überprüft und auf erkannte Risiken reagiert hat, kann sich darauf berufen, selbst wenn der Angriff am Ende erfolgreich war. Der Haken: Dieser Schutz wirkt nur, wenn er auch belegt werden kann. Fehlende Dokumentation gilt selbst bereits als Pflichtverletzung.

Nicht delegierbar, mehrere Anspruchsteller

Cybersicherheit lässt sich nicht wirksam an ein einzelnes Vorstandsmitglied oder an externe Dienstleister delegieren. Die Kontroll- und Überwachungsverantwortung bleibt beim Gesamtgremium. Anspruch auf Schadenersatz können dabei mehrere Parteien geltend machen: Gesellschafter und Investoren bei organisatorischen Versäumnissen, Kunden und Betroffene bei Datenschutzverletzungen (Art. 82 DSGVO), sowie Aufsichtsbehörden bei fehlenden Sicherheitsmaßnahmen. Der SolarWinds-Hack aus 2020 zeigt beispielhaft, wie aus einem technischen Vorfall eine Klage von Aktionären gegen das Management wurde, die mit einem Millionenvergleich endete.

NIS-2 verschärft die Lage

Mit der Umsetzung der NIS-2-Richtlinie muss die Geschäftsleitung "wichtiger" und "besonders wichtiger" Einrichtungen Risikomanagementmaßnahmen zur Cybersicherheit nun persönlich billigen und deren Umsetzung überwachen. Nicht delegierbar und mit Schulungspflicht. Betroffen sind Unternehmen ab etwa 50 Mitarbeitenden und 10 (wichtige Einrichtungen) bzw. 50 (besonders wichtige Einrichtungen) Millionen Euro Jahresumsatz. Falls noch nicht geschehen, können Sie Ihre Betroffenheit inkl. erster Handlungsempfehlungen kostenlos bei unserem Partner ForeNova in wenigen Minuten prüfen (Link).

Versicherungen als Ergänzung, nicht als Ersatz

Cyberversicherung und D&O-Versicherung verfolgen unterschiedliche Schutzrichtungen und ergänzen sich sinnvoll. Beide kennen jedoch typische Deckungslücken: Innenhaftungsansprüche der Gesellschaft gegen die eigene Geschäftsleitung sind in gängigen Cyber-Versicherungsbedingungen meist ausgeschlossen (AVB Cyber, Ziff. A3-7.2a), und ein Versicherer kann nach Regulierung eines Schadens unter Umständen bei der Geschäftsleitung Regress nehmen (§ 86 Abs. 1 VVG). Eine Versicherung ersetzt daher kein wirksames IT-Compliance-System.

Konkrete Schutzmaßnahmen

• Ein Informationssicherheits-Managementsystem nach anerkannten Standards aufbauen (ISO 27001, BSI-IT-Grundschutz)
• Regelmäßige Risikoanalysen, Penetrationstests und externe Audits durchführen
• Einen getesteten Incident-Response-Plan mit klaren Zuständigkeiten vorhalten
• Awareness-Schulungen für Mitarbeitende und Geschäftsleitung etablieren
• Sicherheitsrelevante Entscheidungen nachvollziehbar dokumentieren
• Versicherungsschutz regelmäßig auf Deckungsausschlüsse prüfen

Wo NovaMDR™ ansetzt

Genau bei der Dokumentation und dem Nachweis angemessenen Handelns wird es für viele Mittelständler in der Praxis schwierig. Ein ISMS auf dem Papier hilft wenig, wenn niemand rund um die Uhr erkennt, ob gerade ein Angriff läuft, und wenn im Ernstfall keine belastbare Dokumentation existiert.

Unser Partner ForeNova bietet mit NovaMDR™ genau hier eine praxisnahe Lösung. Als Managed-Detection-and-Response-Service übernimmt NovaMDR™ die kontinuierliche Überwachung der IT-Umgebung, erkennt Angriffe frühzeitig und ermöglicht eine schnelle Reaktion, bevor aus einer Anomalie ein bestandsgefährdender Vorfall wird, auch ohne eigenes SOC-Team. Für die persönliche Haftung der Geschäftsleitung ist dabei besonders relevant: NovaMDR™ liefert fortlaufende, nachvollziehbare Nachweise über die Sicherheitslage, erkannte Vorfälle und ergriffene Gegenmaßnahmen, also genau die Dokumentation, die im Ernstfall über die Berufung auf die Business Judgement Rule entscheidet.

Für Mittelstandsunternehmen, denen oft Budget und Personal für ein eigenes 24/7-Security-Team fehlen, ist NovaMDR™ also ein pragmatischer Weg, die genannten Anforderungen nicht nur auf dem Papier, sondern tatsächlich zu erfüllen.

Fazit

Ein Cyberangriff ist ein Führungsthema mit persönlichen Konsequenzen. Ob die Geschäftsleitung am Ende haftet, entscheidet sich nicht danach, ob ein Angriff erfolgreich war, sondern danach, ob vorher angemessen, informiert und nachvollziehbar dokumentiert gehandelt wurde. Wer heute in ein ISMS, klare Prozesse und lückenlose Dokumentation investiert, schützt damit nicht nur das Unternehmen, sondern auch sich selbst.

Mehr zu aktuellen Themen finden Sie auf der Seite von ForeNova

Eine Beratung zu NovaMDR gibt es gerne bei Oberberg-Online Informationssysteme GmbH