Geschäftsführerhaftung
bei Cyber-Angriffen
In einer zunehmend digitalisierten Welt stehen Unternehmen vor immer größeren Herausforderungen in Sachen IT-Sicherheit. Cyber-Angriffe verursachen nicht nur immense wirtschaftliche Schäden, sondern bergen auch erhebliche rechtliche Risiken für die Geschäftsführung. Dabei wird Cyber-Security längst nicht mehr nur als technische Herausforderung gesehen, sondern ist ein zentrales Thema der Corporate Compliance.
Es liegt in der Verantwortung des Geschäftsführers, diese Gefahren nicht nur zu kennen, sondern auch aktiv Maßnahmen zu ergreifen, um sie zu minimieren. Cyber-Angriffe führen nicht nur zu Schäden an der Reputation, sondern verursachen auch bedeutende wirtschaftliche Einbußen, zum Beispiel kommen Produktionsprozesse kommen zum Erliegen, Kunden oder Zulieferer fordern Schadenersatz, sensible Informationen gelangen an die Öffentlichkeit.
Hintergrund: Die Bedrohungslage und ihre Folgen
Die digitale Bedrohungslage hat sich in den letzten Jahren dramatisch verschärft. Laut dem Bundesamt für Sicherheit in der Informationstechnik (BSI) werden täglich zehntausende neue Schadprogramm-Varianten identifiziert. Ransomware-Angriffe, bei denen Daten verschlüsselt und Lösegeld erpresst wird, sind ein besonders kostspieliges Risiko. Ein Cyber-Angriff kann schnell Millionen kosten – durch Lösegeldzahlungen, Produktionsstillstände oder Reputationsverluste.
Neben diesen direkten Schäden gibt es strenge gesetzliche Anforderungen, wie die NIS-2-Richtlinie der Europäischen Union, die Unternehmen dazu verpflichten, geeignete Maßnahmen zur IT-Sicherheit zu ergreifen. Die Vernachlässigung dieser Pflichten kann für Unternehmen nicht nur in hohen Bußgeldern münden, sondern auch persönliche Haftungsrisiken für die Geschäftsführung mit sich bringen.
Konkretisierung der Geschäftsführerhaftung
Die Verantwortung der Geschäftsführung für die IT-Sicherheit ergibt sich im deutschen Recht aus § 43 Abs. 1 GmbHG und § 93 Abs. 1 S. 1 AktG. Danach sind Geschäftsführer und Vorstände verpflichtet, die „Sorgfalt eines ordentlichen (und gewissenhaften) Geschäftsleiters bzw. Geschäftsmannes“ anzuwenden. Dies umfasst die Pflicht, Maßnahmen zur Gewährleistung der IT-Sicherheit zu implementieren und Risiken durch Cyberangriffe proaktiv zu minimieren. Die Geschäftsführung ist unmittelbar für die IT-Sicherheit des Unternehmens verantwortlich.
Die Geschäftsführerhaftung wird auch im Regierungsentwurf zur Umsetzung der NIS-2-Richtlinie in der geplanten Neufassung von § 38 BSIG (Gesetz über das Bundesamt für Sicherheit in der Informationstechnik und über die Sicherheit in der Informationstechnik von Einrichtungen) geregelt. Der neue § 38 BSIG spiegelt die sich aus § 43 GmbHG und § 93 AktG ergebende Geschäftsführerhaftung wider und sieht einen Auffangtatbestand für solche Rechtsformen vor, für die nach den anwendbaren gesellschaftsrechtlichen Bestimmungen keine solche Binnenhaftung besteht.
Nach den gesetzlichen Regelungen sind Geschäftsführer persönlich haftbar, wenn sie ihre Pflichten zur Implementierung und Überwachung von IT-Sicherheitsmaßnahmen nicht erfüllen. Dies bedeutet, dass sie für Verstöße unmittelbar in die Verantwortung genommen werden können. Die Geschäftsführung ist verpflichtet, proaktive Maßnahmen zur Sicherung der IT-Infrastruktur zu ergreifen. Dazu gehören etwa die Einführung geeigneter IT-Sicherheitsmaßnahmen, die regelmäßige Überprüfung und Überwachung dieser Maßnahmen sowie die Einhaltung branchenspezifischer Standards und gesetzlicher Anforderungen.
Geschäftsführungen können zur Erfüllung ihrer Compliance-Pflichten Dritte hinzuziehen, sie können ihre Haftung jedoch nicht auf IT-Manager oder externe Dienstleister abwälzen. Auch wenn diese operativ zuständig sind, bleibt die rechtliche und organisatorische Gesamtverantwortung in der Chefetage.
Ein Verstoß gegen diese Pflichten kann gravierende Folgen haben:
- Zivilrechtliche Haftung: Geschäftsführer können gegenüber dem Unternehmen oder Dritten auf Schadensersatz haften, wenn sie ihre Compliance-Pflichten verletzen.
- Strafrechtliche Konsequenzen: In schweren Fällen, etwa bei grob fahrlässigem oder vorsätzlichem Verhalten, können strafrechtliche Ermittlungen eingeleitet werden.
- Bußgelder: Das BSIG sieht Bußgelder von bis zu 10 Millionen Euro oder 2 % des weltweiten Jahresumsatzes für Unternehmen vor, wenn Compliance-Pflichten nicht eingehalten werden. Ob Unternehmen ihre Geschäftsführer für diese Bußgelder in Regress nehmen können, ist bislang noch nicht entschieden.
Zusätzlich sieht § 38 Abs. 3 BSIG vor, dass Geschäftsführungen besonders wichtiger Einrichtungen und wichtiger Einrichtungen nach dem geplanten BSIG regelmäßig an Schulungen im Bereich der Sicherheit in der Informationstechnik teilnehmen müssen.
Praxishinweise: So reduzieren Sie Risiken und Haftung
Die persönliche Haftung der Geschäftsführung kann durch eine klare Organisation und kontinuierliche Überwachung minimiert werden. Dies erfordert insbesondere ein Risikomanagement-System, das regelmäßig auf den neuesten Stand gebracht wird. Um die IT-Sicherheit zu gewährleisten und Haftungsrisiken zu minimieren, ist die Umsetzung folgender Maßnahmen empfehlenswert:
- Etablierung eines effektiven Risikomanagement-Systems: Ein umfassendes Risikomanagement bildet die Grundlage jeder Digital-Compliance. Unternehmen sollten systematisch Bedrohungen analysieren, bewerten und geeignete Gegenmaßnahmen einleiten.
- Regelmäßige Überprüfung und Anpassung der IT-Sicherheitsstandards: Da sich die Bedrohungslage ständig verändert, ist es entscheidend, IT-Sicherheitsmaßnahmen kontinuierlich zu überprüfen und anzupassen, um stets auf dem neuesten Stand der Technik zu bleiben.
- Schulung und Sensibilisierung der Mitarbeitenden: Menschen sind oft die größte Schwachstelle in der Cyber-Abwehr. Regelmäßige Schulungen und ein Bewusstsein für Risiken wie Phishing-E-Mails oder Social Engineering können Sicherheitslücken schließen.
- Implementierung moderner Technologien zur Angriffserkennung und ‑abwehr: Neben der klassischen IT-Sicherheitsinfrastruktur sollten Unternehmen auf fortschrittliche Tools setzen, die Anomalien erkennen und frühzeitig Alarm schlagen.
- Zusammenarbeit mit externen Spezialisten: Angesichts der Komplexität moderner Cyber-Angriffe kann die Zusammenarbeit mit externen IT-Sicherheitsdienstleistern oder Beratern sinnvoll sein, um die interne Expertise zu ergänzen.
- Abschluss einer Cyberversicherung: Eine Cyberversicherung kann helfen, finanzielle Folgen eines Angriffs abzufedern. Sie ersetzt jedoch nicht die Pflicht, die IT-Sicherheit nach gesetzlichen Vorgaben zu gewährleisten.
- Notfallpläne entwickeln und regelmäßig testen: Um im Falle eines Angriffs schnell handlungsfähig zu sein, sollten Notfall- und Wiederherstellungspläne etabliert und regelmäßig getestet werden.
Fazit: Vorsorge ist der beste Schutz
Das Haftungsrisiko der Geschäftsführer für die Cyber-Compliance ist hoch, auch kleine Nachlässigkeiten können zu unternehmensbedrohenden Schäden führen. Ein ganzheitlicher Ansatz, der technische, organisatorische und personelle Maßnahmen kombiniert, ist unerlässlich, um IT-Sicherheit zu gewährleisten und Haftungsrisiken zu minimieren. Mit einer durchdachten Strategie und konsequenter Umsetzung können Unternehmen ihre digitale Resilienz stärken und sich auf ihr Kerngeschäft konzentrieren.
