Wer haftet, wenn die Maschine entscheidet?

In den vergangenen Wochen habe ich hier über Peter Drucker geschrieben, über die Jahrhundertchance, über Angela Merkels „mentale Atrophie“ und über eine Rechtsdatenbank, die wir als Kanzlei aufgebaut haben. Heute wird es konkreter. Ich möchte über einen einzigen Satz sprechen. Er ist kurz, er klingt vernünftig, und ich habe ihn selbst schon gesagt: „Das macht unsere IT.“

Ein Nicken, das später wehtut

In meinem Buch „Zukunft mit der Datenmacht des Mittelstands“ gibt es eine Szene, die ich so oder ähnlich in vielen Unternehmen erlebt habe. Thomas Hartmann, Maschinenbauer, sitzt seinem IT-Leiter Baumann gegenüber. Elf Jahre im Haus, ruhig, zuverlässig, technisch stark. Baumann sagt: „Herr Hartmann, ich kümmere mich darum. Sie müssen sich da nicht einarbeiten.“ Und Hartmann nickt.

Das ist der gefährliche Moment. Nicht, weil Baumann falsch liegt. Kein Geschäftsführer soll nachts Firewall-Regeln prüfen oder Backup-Skripte schreiben. Gefährlich ist etwas anderes: Hartmann hört „ich kümmere mich“ und übersetzt innerlich: erledigt.

Wenig später liest seine kaufmännische Leiterin aus dem Protokoll der letzten Geschäftsleitungsrunde vor. Ein Punkt, fast beiläufig: „IT-Leitung übernimmt NIS-2-/Cyber-Thema.“ Kein böser Satz. Ordentlich. Er klingt nach Zuständigkeit. Aber er zeigt, wie ein Thema verstanden wurde: als IT-Thema. Als operative Aufgabe. Als etwas, das nach unten gegeben wurde. Hartmann fragt, was besser wäre. Die Antwort: „Geschäftsleitung behandelt Cyber-Risiken regelmäßig. IT bereitet Lagebild und Maßnahmen vor. Geschäftsleitung entscheidet und überwacht Umsetzung.“ Das klingt weniger bequem. Aber es ist richtiger.

Aufgabe und Verantwortung sind nicht dasselbe

Wer nicht delegiert, führt nicht. Der Meister verantwortet die Maschine, die Buchhaltung die offenen Posten, die IT die Systeme. Aber es gibt eine Grenze: Man kann Aufgaben delegieren. Man kann Verantwortung nicht einfach mit übergeben.

Die IT kann Risiken aufbereiten, Maßnahmen vorschlagen, Dienstleister steuern, Backups einrichten. Die Geschäftsleitung muss entscheiden, welche Risiken das Unternehmen trägt, welche Maßnahmen finanziert werden und welche Priorität Cyber im Verhältnis zu Produktion, Vertrieb und Personal bekommt. Und sie muss später belegen können, dass sie nicht nur vertraut, sondern geführt hat. Das Gesetz nennt das nüchtern die Sorgfalt eines ordentlichen Geschäftsmannes. Im Alltag heißt es: Wer hat entschieden, dass der alte Fernwartungszugang an der Fertigungsmaschine bleibt, weil der Stillstand am Wochenende teurer wäre? Das ist keine technische Frage. Das ist eine Geschäftsentscheidung. Und die trifft nicht der IT-Leiter, denn – so sagt es Hartmanns kaufmännische Leiterin – „er entscheidet nicht über unser Budget.“

Verantwortung lässt sich nicht automatisieren – und nicht nach unten reichen

Michael Kelly, der Chef des Drucker Institute, hat es in der WirtschaftsWoche auf eine Formel gebracht, die ich hier schon einmal zitiert habe: Wenn KI einen Kredit ablehnt oder eine Krankheit falsch diagnostiziert, liegt die Verantwortung beim Menschen, nicht beim Algorithmus. Ich ergänze: Sie liegt auch nicht beim Serverraum. Wenn nach einem Angriff die Fragen kommen – und sie kommen, von Kunden, Versicherern, Behörden, im Zweifel von den eigenen Gesellschaftern –, dann lauten sie nicht: War der Server sicher? Sie lauten: Was hat die Geschäftsleitung gewusst? Was hat sie beschlossen? Was hat sie kontrolliert? Welche Lücken waren bekannt, und warum wurden sie akzeptiert?

Diese Fragen kann die IT technisch vorbereiten. Beantworten muss sie am Ende der Geschäftsführer.

Ich spreche nicht aus der Theorie

Unsere Kanzlei ist selbst zweimal Ziel von Cyberangriffen geworden. Ich sage das nicht, weil es sich gut anhört. Ich sage es, weil ich weiß, wie sich der Moment anfühlt, in dem man begreift, dass „darum kümmert sich jemand“ keine Antwort ist, wenn man selbst gefragt wird. Die Folgen haben uns lange beschäftigt und am Ende zu einer grundlegenden Neuaufstellung geführt, in Sachen Cybersicherheit und in Sachen Künstliche Intelligenz. Der wichtigste Schritt war nicht technisch. Er war eine Änderung der Tagesordnung: Cyber, Datenschutz und KI stehen bei uns in der Geschäftsleitung, wiederkehrend, neben Liquidität, Personal und Investitionen. Die IT bereitet vor. Die Leitung führt.

Was entlastet – und was nicht

Im Buch fragt Hartmann seinen Anwalt, was ihn im Ernstfall wirklich entlasten könne. Die Antwort war nicht: Perfektion. Kein Unternehmen setzt jede Maßnahme perfekt um, kein Geschäftsführer kennt jedes Detail. Entlastend ist etwas anderes: eine angemessene Organisation, informierte Entscheidungen, regelmäßige Überwachung, dokumentierte Nachweise, eine ehrliche Risikobewertung. Wer zeigen kann, dass er diese Punkte ernst genommen hat, steht anders da als jemand, der nur sagt: „Das müsste unsere IT gemacht haben.“

Hartmanns kaufmännische Leiterin nennt die Sammlung dieser Nachweise nicht Haftungsordner. Sie nennt sie Cockpit-Unterlagen. Als Hartmann stöhnt, das sei viel Papier, antwortet sie: „Nein. Das ist unsere Geschichte, falls jemand fragt.“ Ich finde, das ist der Satz, den sich jeder Unternehmer merken sollte. Nachweise erzählen die Geschichte der Sorgfalt. Ohne Nachweise erzählen andere die Geschichte für Sie.

Meine Frage – und Ihre

Ich habe kein Rezept, das für jeden Betrieb passt. Aber ich habe eine Frage, die Sie in fünf Minuten beantworten können: Welcher Satz steht in Ihrem letzten Geschäftsleitungsprotokoll zum Thema Cyber? Wenn dort „IT macht das“ steht – oder gar nichts –, dann wissen Sie, womit Sie am Montag anfangen. Nicht mit Technik. Mit einem Tagesordnungspunkt.

Und eine zweite Frage hebe ich mir für den Januar auf. Vom 28. bis 30. Januar 2027 heißt ein Programmpunkt unserer Mandelblüte auf Mallorca „Wenn der Bildschirm schwarz wird – wie ein Cyberangriff ein Familienunternehmen trifft und wie man ihn übersteht“. Auf dem Podium: Thomas Tschersich, Chief Security Officer der Deutschen Telekom, Elke Anderl aus der Geschäftsführung von T-Systems, und Prof. Dr. Marco Gercke, Rechtsanwalt und Direktor des Cybercrime Research Institute in Köln, der die Europäische Union, den Europarat und die Vereinten Nationen in Rechtsfragen zu Cyberangriffen berät. Also genau die Leute, die nach einem Angriff die Protokolle lesen. Ich werde sie fragen: Wie viele Geschäftsleitungen haben Cyber wirklich auf der Tagesordnung – und nicht nur im Protokoll? Wenn Sie eine Frage haben, die dort beantwortet werden sollte, schreiben Sie sie unter diesen Beitrag. Ich stelle sie im Januar auf dem Podium.

Am nächsten Sonntag geht es um die Tür, durch die die meisten Angreifer kommen. Sie ist nicht aus Stahl, und sie hat keinen Server. Sie heißt Hilfsbereitschaft.

Quellen: Willi Plattes, „Zukunft mit der Datenmacht des Mittelstands“, Kapitel 5 und 11; Michael Kelly nach Jannik Deters, „Jüngster Geist, immer noch“, WirtschaftsWoche Nr. 29/2026; § 43 Abs. 1 GmbHG; Programm Mandelblüte 2027, Stand 10.09.2026.