Leak Report Logo – Alarmleuchte Leak Report Kostenloser Erst-Check

Haftung des Geschäftsführers bei IT-Sicherheit

Ein Cyber-Vorfall ist kein reines IT-Thema. Wenn im Nachhinein gefragt wird, ob die Geschäftsführung ihre Sorgfaltspflicht erfüllt hat, entscheidet nicht die Technik – sondern was dokumentiert wurde.

Der Kern in einem Satz: Sie haften nicht dafür, dass Sie angegriffen wurden – aber möglicherweise dafür, dass Sie erkennbare Risiken ohne angemessene Vorsorge hingenommen haben.

Was § 43 GmbHG tatsächlich sagt

§ 43 Abs. 1 GmbHG verpflichtet Geschäftsführer, in den Angelegenheiten der Gesellschaft „die Sorgfalt eines ordentlichen Geschäftsmannes“ anzuwenden. Absatz 2 knüpft daran die Rechtsfolge: Wer diese Pflichten verletzt, haftet der Gesellschaft für den entstandenen Schaden – persönlich und mit dem Privatvermögen. Der Gesetzestext erwähnt IT-Sicherheit mit keinem Wort, was viele in Sicherheit wiegt. Der Maßstab ist aber bewusst offen formuliert: Was ein ordentlicher Geschäftsmann tut, bemisst sich an dem, was zum jeweiligen Zeitpunkt als üblich und zumutbar gilt. Und der Umgang mit Cyber-Risiken ist längst Teil dieses Standards.

Bei der Aktiengesellschaft findet sich die Parallelvorschrift in § 93 AktG, ergänzt um die Pflicht zur Risikofrüherkennung nach § 91 Abs. 2 AktG. Für Vorstände ist die Sache damit noch expliziter.

Organisationsverschulden: der eigentliche Haftungsanker

In der Praxis geht es selten um die Frage, ob ein Geschäftsführer selbst einen Fehler gemacht hat. Es geht um Organisationsverschulden: Hat er dafür gesorgt, dass das Unternehmen so aufgestellt ist, dass erkennbare Risiken beherrscht werden? Typische Vorwürfe nach einem Vorfall lauten:

  • Es gab keine Regelungen zum Umgang mit Passwörtern und Zugängen.
  • Bekannte Warnungen – etwa Hinweise auf kompromittierte Zugangsdaten – blieben unbearbeitet.
  • Zuständigkeiten für IT-Sicherheit waren nie klar zugewiesen.
  • Es existierte kein Notfallplan und keine Datensicherung, die im Ernstfall funktioniert.
  • Mitarbeiter wurden nie zu Phishing und Social Engineering geschult.

Auffällig ist: Keiner dieser Punkte ist teuer. Sie kosten Aufmerksamkeit, nicht Budget. Genau deshalb fällt es schwer, ihr Fehlen im Nachhinein zu rechtfertigen.

Delegation entlastet – aber nur mit Nachweis

Viele Geschäftsführer gehen davon aus, mit einem externen IT-Dienstleister sei das Thema erledigt. Das stimmt nur zum Teil. Delegation verlagert die Ausführung, nicht die Verantwortung. Entlastend wirkt sie erst, wenn drei Dinge erfüllt sind: sorgfältige Auswahl des Dienstleisters, klare Beauftragung mit definiertem Leistungsumfang und laufende Überwachung der Umsetzung. Der dritte Punkt wird am häufigsten vernachlässigt – und ist der, nach dem im Streitfall gefragt wird. Ein Wartungsvertrag allein ist kein Nachweis dafür, dass jemand die Ergebnisse kontrolliert hat.

Die zweite Front: DSGVO und Bußgelder

Neben der gesellschaftsrechtlichen Haftung steht das Datenschutzrecht. Art. 32 DSGVO verlangt technische und organisatorische Maßnahmen, die dem Risiko angemessen sind. Verstöße können nach Art. 83 DSGVO mit Bußgeldern bis zu 20 Millionen Euro oder 4 Prozent des weltweiten Jahresumsatzes geahndet werden – der höhere Wert gilt. Diese Bußgelder treffen zunächst das Unternehmen. Der Regress gegen die Geschäftsführung ist damit aber nicht vom Tisch: Ein Bußgeld ist ein Schaden der Gesellschaft, und ob dieser auf eine Pflichtverletzung der Geschäftsführung zurückgeht, ist eine eigene Frage.

Hinzu kommen je nach Branche und Größe weitere Anforderungen. Unternehmen, die unter die NIS-2-Richtlinie beziehungsweise deren deutsche Umsetzung fallen, treffen ausdrückliche Pflichten zum Risikomanagement, und die Leitungsebene steht dabei explizit in der Verantwortung. Ob Ihr Unternehmen betroffen ist, hängt von Sektor und Größe ab – das sollten Sie prüfen lassen, falls noch nicht geschehen.

Was D&O-Versicherungen leisten – und was nicht

Eine D&O-Versicherung deckt typischerweise Vermögensschäden ab, die aus Pflichtverletzungen der Organe entstehen. Sie ist sinnvoll, aber kein Freibrief. Übliche Ausschlüsse betreffen vorsätzliches Handeln und wissentliche Pflichtverletzungen. Wer über Jahre dokumentierte Warnungen ignoriert hat, bewegt sich argumentativ in Richtung dieser Ausschlüsse. Prüfen Sie den konkreten Deckungsumfang Ihrer Police mit einem spezialisierten Makler – die Unterschiede zwischen Anbietern sind erheblich.

Praktische Checkliste zur Dokumentation

Was im Ernstfall zählt, ist nicht, was Sie getan haben, sondern was Sie belegen können. Diese Punkte sollten schriftlich vorliegen und datiert sein:

  • Eine Passwort- und Zugangsrichtlinie, nachweislich an die Belegschaft kommuniziert.
  • Ein Verzeichnis der Verarbeitungstätigkeiten nach Art. 30 DSGVO.
  • Belege über Schulungen zu Phishing und Social Engineering, mit Datum und Teilnehmerliste.
  • Nachweise über getestete Datensicherungen – ein Backup, das nie zurückgespielt wurde, ist kein Backup.
  • Ein Notfallplan mit Zuständigkeiten und Meldewegen für den Ernstfall.
  • Protokolle der Überwachung Ihrer IT-Dienstleister, etwa Jour-fixe-Notizen oder Berichte.
  • Dokumentation eines laufenden Monitorings kompromittierter Zugangsdaten und der daraufhin ergriffenen Maßnahmen.

Monitoring, das sich dokumentieren lässt

Leak Report liefert monatliche Reports zu kompromittierten Zugangsdaten Ihrer Domain – nachvollziehbar, datiert und archivierbar. Damit belegen Sie, dass Sie hinsehen. Starten Sie mit dem kostenlosen Erst-Check.

Erst-Check anfordern

Häufige Fragen

Haftet ein Geschäftsführer persönlich für einen Hackerangriff?

Nicht für den Angriff selbst, aber möglicherweise für unzureichende Vorsorge. Wer erkennbare IT-Risiken ignoriert und keine angemessenen Maßnahmen trifft, riskiert eine persönliche Innenhaftung gegenüber der Gesellschaft nach § 43 Abs. 2 GmbHG.

Schützt eine D&O-Versicherung vor IT-Haftung?

Teilweise. Übliche Policen decken Vermögensschäden aus Pflichtverletzungen, schließen aber vorsätzliches Handeln und wissentliche Pflichtverletzungen aus. Der konkrete Umfang gehört im Einzelfall geprüft.

Kann ich IT-Sicherheit vollständig an einen Dienstleister delegieren?

Die Ausführung ja, die Verantwortung nein. Entlastend wirkt Delegation nur bei sorgfältiger Auswahl, klarer Beauftragung und nachweisbarer Überwachung.

Gilt das auch für kleine Unternehmen?

Ja, allerdings mit angepasstem Maßstab. Von einem Handwerksbetrieb mit acht Mitarbeitern wird kein Security Operations Center erwartet – wohl aber Grundlagen wie Passwortregeln, Zwei-Faktor-Authentifizierung, funktionierende Backups und Reaktion auf konkrete Warnungen.

Dieser Beitrag stellt allgemeine Informationen bereit und ist keine Rechtsberatung. Haftungsfragen hängen stark vom Einzelfall ab – für eine verbindliche Einschätzung wenden Sie sich bitte an einen Fachanwalt für Gesellschafts- oder IT-Recht.