Aufsichtsrats-Haftung im Cyber-Kontext — wann das Überwachungsorgan persönlich haftet

1. Worum es geht — das Überwachungsorgan

Ein Cyber-Vorfall macht den Aufsichtsrat nicht automatisch zum Ersatzschuldner. NIS-2 ist die unionsrechtliche Herkunftsschicht; für deutsche Pflichten tragen im Artikel die deutsche BSIG-Umsetzung, insbesondere § 30 BSIG [N-BSIG-30] für Risikomanagementmaßnahmen besonders wichtiger und wichtiger Einrichtungen sowie § 38 BSIG [N-BSIG-38] für Geschäftsleitungen mit Umsetzungs-, Überwachungs- und Schulungspflichten. Der Aufsichtsrat haftet nicht deshalb, weil diese Cyber-Pflichten verletzt wurden, sondern wenn er seine eigene Überwachungspflicht schuldhaft verletzt und daraus ein kausaler Schaden der Gesellschaft entsteht. Die Innenhaftung der Geschäftsleitung steht in Innenhaftung der Geschäftsleitung; die Fünf-Schichten-Haftungskarte steht in Haftung und Sanktionen — Überblick.

Die praktische Frage lautet deshalb nicht: „Hat die Geschäftsleitung Cyber-Compliance verletzt?“ Sie lautet: „Hatte das Überwachungsorgan eine ausreichende Informationsbasis, hat es bei erkennbaren Lücken nachgefasst, hat es die Risikolage angemessen in seine Kontrolle einbezogen und hat es seine Schritte dokumentiert?“ Das ist die Welt der persönlichen Enthaftung: nicht operative IT-Steuerung, sondern nachvollziehbare Überwachung, rechtzeitige Eskalation und belastbare Protokollierung.

Der BSIG-Bezug liefert den Gegenstand dieser Überwachung. § 30 BSIG verlangt von besonders wichtigen Einrichtungen und wichtigen Einrichtungen technische und organisatorische Risikomanagementmaßnahmen, unter anderem Risikoanalyse, Bewältigung von Sicherheitsvorfällen, Betriebskontinuität, Lieferkettensicherheit, Schwachstellenmanagement, Wirksamkeitsbewertung, grundlegende Schulungen und Sensibilisierung, Kryptografie, Personal- und Zugriffskontrolle, Verwaltung von IKT-Systemen sowie Multi-Faktor- beziehungsweise kontinuierliche Authentifizierung einschließlich gesicherter Sprach-, Video-, Text- und Notfallkommunikation. Für die Überwachungsebene ist nicht nur der Maßnahmenkatalog wichtig, sondern auch die Qualität der Maßnahmen: Stand der Technik, einschlägige europäische und internationale Normen sowie der gefahrenübergreifende Ansatz gehören in die Berichtslinie. § 38 BSIG setzt daneben bei der Geschäftsleitung an. Daraus folgt: Das Überwachungsorgan fragt nicht, ob es selbst § 30 BSIG operativ erfüllt, sondern ob die Geschäftsleitung diese Pflichten organisiert, überwacht, finanziert, nachweist und an das Überwachungsorgan berichtet.

„Besonders wichtige Einrichtungen und wichtige Einrichtungen sind verpflichtet, geeignete, verhältnismäßige und wirksame technische und organisatorische Maßnahmen, die in Absatz 2 konkretisiert werden, zu ergreifen, um Störungen der Verfügbarkeit, Integrität und Vertraulichkeit der informationstechnischen Systeme, Komponenten und Prozesse, die sie für die Erbringung ihrer Dienste nutzen, zu vermeiden und Auswirkungen von Sicherheitsvorfällen möglichst gering zu halten.“
„Die Einhaltung der Verpflichtung nach Satz 1 ist durch die Einrichtungen zu dokumentieren.“
— § 30 Abs. 1 Satz 1 und Satz 3 BSIG, konsolidierter Normtext, maßgeblicher Auszug

Für die Überwachung ist zusätzlich § 30 Abs. 2 BSIG wichtig: Der Aufsichtsrat muss nicht jede einzelne technische Maßnahme fachlich nachbauen, aber er sollte erkennen können, ob die Geschäftsleitung Stand der Technik, einschlägige europäische und internationale Normen und den gefahrenübergreifenden Ansatz in eine prüfbare Maßnahmenarchitektur übersetzt.

„Maßnahmen nach Absatz 1 sollen den Stand der Technik einhalten, die einschlägigen europäischen und internationalen Normen berücksichtigen und müssen auf einem gefahrenübergreifenden Ansatz beruhen.“
— § 30 Abs. 2 Satz 1 BSIG, konsolidierter Normtext

„Geschäftsleitungen besonders wichtiger Einrichtungen und wichtiger Einrichtungen sind verpflichtet, die von diesen Einrichtungen nach § 30 zu ergreifenden Risikomanagementmaßnahmen umzusetzen und ihre Umsetzung zu überwachen.“
„Geschäftsleitungen, die ihre Pflichten nach Absatz 1 verletzen, haften ihrer Einrichtung für einen schuldhaft verursachten Schaden nach den auf die Rechtsform der Einrichtung anwendbaren Regeln des Gesellschaftsrechts. Nach diesem Gesetz haften sie nur, wenn die für die Einrichtung maßgeblichen gesellschaftsrechtlichen Bestimmungen keine Haftungsregelung nach Satz 1 enthalten.“
„Die Geschäftsleitungen besonders wichtiger Einrichtungen und wichtiger Einrichtungen müssen regelmäßig an Schulungen teilnehmen, um ausreichende Kenntnisse und Fähigkeiten zur Erkennung und Bewertung von Risiken und von Risikomanagementpraktiken im Bereich der Sicherheit in der Informationstechnik zu erlangen sowie um die Auswirkungen von Risiken sowie Risikomanagementpraktiken auf die von der Einrichtung erbrachten Dienste beurteilen zu können.“
— § 38 Abs. 1 bis Abs. 3 BSIG, konsolidierter Normtext

§ 38 Abs. 2 BSIG ist dabei ein doppelter Filter. Die persönliche Haftung der Geschäftsleitungen richtet sich zuerst nach den auf die Rechtsform der Einrichtung anwendbaren gesellschaftsrechtlichen Regeln; das BSIG ordnet nur ersatzweise eine Haftung nach diesem Gesetz an, wenn die maßgeblichen gesellschaftsrechtlichen Bestimmungen keine Haftungsregelung enthalten. Für A3-03 ist das ein Abgrenzungsanker: Geschäftsleitungshaftung und Überwachungsorganhaftung laufen auf unterschiedlichen Normschienen.

Beirat-Gate: Ein Beirat ist nicht automatisch ein Aufsichtsrat. Bei einem Beirat ist zuerst zu prüfen, ob Satzung, Gesellschaftsvertrag oder tatsächliche Organpraxis ihm echte Überwachungs-, Prüfungs-, Zustimmungs-, Bestellungs- oder Abberufungsrechte geben. Ein rein beratender Beirat bleibt anders zu behandeln als ein organähnliches Überwachungsorgan.

Direktantwort: Ja, persönliche Haftung ist möglich, aber nicht automatisch. Sie setzt eine eigene Pflichtverletzung des Überwachungsorgans, Verschulden beziehungsweise fehlenden Sorgfaltsnachweis, Schaden und Kausalität voraus. Überwacht werden müssen nicht einzelne Tickets der IT-Abteilung, sondern Governance, Risikoerkennung, Maßnahmenstatus, Budget- und Lieferkettenentscheidungen, Incident-Fähigkeit, Schulung der Geschäftsleitung und die Bearbeitung offener Kontrollfeststellungen. Absicherung entsteht durch eine belastbare Berichtslinie, dokumentierte Nachfragen, Eskalation bei Lücken, passende Zustimmungsvorbehalte, Anspruchs- und Verjährungskontrolle sowie eigene Fortbildung.

Begriffsanker: Bringschuld bedeutet, dass der Vorstand der AG die gesetzlich geschuldeten Berichte von sich aus an den Aufsichtsrat geben muss. Holschuld meint hier die ergänzende Pflicht des Überwachungsorgans, fehlende oder unbrauchbare Informationen aktiv einzufordern; sie ersetzt die Bringschuld nicht, sondern reagiert auf deren Ausfall. Ein Zustimmungsvorbehalt ist ein Katalog von Geschäften, die die Geschäftsleitung nur mit Zustimmung des Kontrollorgans vornehmen darf. Ein fakultativer Aufsichtsrat ist ein gesellschaftsvertraglich geschaffener Aufsichtsrat, der nicht schon kraft Gesetzes oder Mitbestimmung vorgeschrieben ist. Die monistische SE hat keinen Vorstand/Aufsichtsrat-Dualismus wie die AG; ihr Verwaltungsrat leitet selbst, bestimmt Grundlinien und überwacht die Umsetzung.

Die Haftungsantwort lässt sich als Prüfpfad lesen: Erstens muss die Rechtsform und Organstellung feststehen. Zweitens braucht es eine eigene Überwachungspflicht des Organs. Drittens muss eine Informations-, Nachfass- oder Eskalationslücke erkennbar gewesen sein oder eine fehlerhafte Überwachungsentscheidung, Zustimmung, Organisation oder Nichtanpassung von Zustimmungsvorbehalten trotz vorhandener Informationen im Raum stehen. Viertens muss das Organmitglied seine Sorgfalt nicht nachweisen können oder schuldhaft gehandelt haben. Fünftens braucht die Gesellschaft einen Schaden. Sechstens muss gerade die Überwachungspflichtverletzung für diesen Schaden kausal sein. Erst dann entsteht persönliche Innenhaftung.

2. Die Überwachungspflicht — § 111 AktG

Für die AG beginnt die Kontrollaufgabe bei § 111 AktG [N-AktG-111]. Die Norm trennt Leitung und Kontrolle: Der Vorstand führt die Geschäfte, der Aufsichtsrat überwacht die Geschäftsführung. Das ist im Cyber-Kontext entscheidend, weil der Aufsichtsrat keine Firewalls konfiguriert und kein Incident-Response-Team führt. Er muss aber überwachen, ob die Geschäftsleitung die Cyber-Risiken kennt, priorisiert, finanziert, nachhält und an das Kontrollorgan berichtet.

„Der Aufsichtsrat hat die Geschäftsführung zu überwachen.“
„Maßnahmen der Geschäftsführung können dem Aufsichtsrat nicht übertragen werden. Die Satzung oder der Aufsichtsrat hat jedoch zu bestimmen, daß bestimmte Arten von Geschäften nur mit seiner Zustimmung vorgenommen werden dürfen.“
— § 111 Abs. 1 und Abs. 4 Satz 1–2 AktG, konsolidierter Normtext

§ 111 Abs. 2 AktG ist im Cyber-Kontext das Eskalationsinstrument der Überwachung. Reichen Berichte nicht aus, kann der Aufsichtsrat Bücher, Schriften und Vermögensgegenstände einsehen und prüfen sowie einzelne Mitglieder oder besondere Sachverständige beauftragen. Bei Cyber-Risiken kann das etwa Sonderberichte, Audit-Unterlagen, Revisionsberichte, Incident-Dokumentationen, Lieferantenlisten, Penetration-Test-Berichte oder externe Cyber-Gutachten betreffen.

„Der Aufsichtsrat kann die Bücher und Schriften der Gesellschaft sowie die Vermögensgegenstände, namentlich die Gesellschaftskasse und die Bestände an Wertpapieren und Waren, einsehen und prüfen. Er kann damit auch einzelne Mitglieder oder für bestimmte Aufgaben besondere Sachverständige beauftragen. Er erteilt dem Abschlußprüfer den Prüfungsauftrag für den Jahres- und den Konzernabschluß gemäß § 290 des Handelsgesetzbuchs. Er kann darüber hinaus eine externe inhaltliche Überprüfung der nichtfinanziellen Erklärung oder des gesonderten nichtfinanziellen Berichts (§ 289b des Handelsgesetzbuchs), der nichtfinanziellen Konzernerklärung oder des gesonderten nichtfinanziellen Konzernberichts (§ 315b des Handelsgesetzbuchs) beauftragen.“
— § 111 Abs. 2 AktG, konsolidierter Normtext

Der Zustimmungsvorbehalt ist dabei ein Überwachungsinstrument, keine Geschäftsführung. Ein Zustimmungsvorbehalt bedeutet: Bestimmte Geschäfte dürfen ohne Zustimmung des Aufsichtsrats nicht vorgenommen werden. Im Cyber-Kontext können darunter etwa wesentliche Outsourcing-Verträge, kritische Cloud-Migrationen, der Wechsel eines Managed-Service-Providers, erhebliche IT-Budgetkürzungen oder Risikotransfers mit wesentlicher Sicherheitsrelevanz fallen. Der Aufsichtsrat sollte den Katalog regelmäßig prüfen, statt nach einem Angriff erstmals zu fragen, ob die kritische Entscheidung überhaupt auf seinem Tisch hätte liegen müssen.

Auch der Prüfungsausschuss ist kein Haftungstransfer. § 107 Abs. 3 AktG [N-AktG-107] erlaubt Ausschüsse und nennt den Prüfungsausschuss als Ort für die Überwachung des Rechnungslegungsprozesses, der Wirksamkeit des internen Kontrollsystems, des Risikomanagementsystems und des internen Revisionssystems. Cyber-Risiken gehören nicht nur in die IT; sie berühren Verfügbarkeit, Integrität, Vertraulichkeit, Lieferkette, Krisenmanagement, Versicherung, Bilanzrisiken und Fortführung. Deshalb kann ein Prüfungsausschuss Cyber-Themen vorbereiten und vertiefen. Das Plenum bleibt aber gesamtverantwortlich. § 107 Abs. 3 Satz 2 AktG ist dabei vor allem ein Organisationsanker: Der Ausschuss kann die Wirksamkeit von IKS, RMS und interner Revision überwachen; er nimmt dem Gesamtaufsichtsrat aber weder die Entscheidung über nicht delegierbare Aufgaben noch die Pflicht, die Ausschussberichte kritisch zur Kenntnis zu nehmen. Für Cyber bedeutet das: Der Ausschuss kann tiefer prüfen, das Plenum muss die Konsequenzen ziehen.

„Der Aufsichtsrat kann aus seiner Mitte einen oder mehrere Ausschüsse bestellen, namentlich, um seine Verhandlungen und Beschlüsse vorzubereiten oder die Ausführung seiner Beschlüsse zu überwachen.“
„Er kann insbesondere einen Prüfungsausschuss bestellen, der sich mit der Überwachung des Rechnungslegungsprozesses, der Wirksamkeit des internen Kontrollsystems, des Risikomanagementsystems und des internen Revisionssystems sowie der Abschlussprüfung, hier insbesondere der Auswahl und der Unabhängigkeit des Abschlussprüfers, der Qualität der Abschlussprüfung und der vom Abschlussprüfer zusätzlich erbrachten Leistungen, befasst.“
„Der Prüfungsausschuss kann Empfehlungen oder Vorschläge zur Gewährleistung der Integrität des Rechnungslegungsprozesses unterbreiten.“
— § 107 Abs. 3 Satz 1–3 AktG, konsolidierter Normtext

Die organisatorische Konsequenz ist zweistufig: Der Ausschuss darf vorbereiten, vertiefen und überwachen; das Plenum muss aber den Zuschnitt des Ausschusses, die Berichtslinie, die Rückkopplung und die nicht delegierbaren Beschlüsse kontrollieren. Ein Cyber-Risiko verschwindet nicht dadurch aus der Plenumsverantwortung, dass es im Audit Committee beraten wurde.

Die Dokumentationsseite hat ebenfalls einen aktienrechtlichen Anker: Nach § 107 Abs. 2 AktG sind Aufsichtsratssitzungen zu protokollieren; die Niederschrift muss Ort, Tag, Teilnehmer, Tagesordnung, wesentlichen Verhandlungsinhalt und Beschlüsse ausweisen. Für Cyber-Themen heißt das nicht, jedes technische Detail aufzunehmen, aber die entscheidenden Kontrollschritte müssen lesbar sein: Bericht erhalten, Lücke erkannt, Nachfrage beschlossen, Sachverständige beauftragt, Wiedervorlage gesetzt oder Risikoentscheidung begründet.

„Über die Sitzungen des Aufsichtsrats ist eine Niederschrift anzufertigen, die der Vorsitzende zu unterzeichnen hat. In der Niederschrift sind der Ort und der Tag der Sitzung, die Teilnehmer, die Gegenstände der Tagesordnung, der wesentliche Inhalt der Verhandlungen und die Beschlüsse des Aufsichtsrats anzugeben. Ein Verstoß gegen Satz 1 oder Satz 2 macht einen Beschluß nicht unwirksam. Jedem Mitglied des Aufsichtsrats ist auf Verlangen eine Abschrift der Sitzungsniederschrift auszuhändigen.“
— § 107 Abs. 2 AktG, konsolidierter Normtext

„Die Aufgaben nach Absatz 1 Satz 1, § 59 Abs. 3, § 77 Abs. 2 Satz 1, § 84 Abs. 1 Satz 1 und 3, Absatz 2, 3 Satz 2 und 3 sowie Absatz 4 Satz 1, § 87 Abs. 1 und Abs. 2 Satz 1 und 2, § 111 Abs. 3, §§ 171, 314 Abs. 2 und 3 sowie Beschlüsse, daß bestimmte Arten von Geschäften nur mit Zustimmung des Aufsichtsrats vorgenommen werden dürfen, können einem Ausschuß nicht an Stelle des Aufsichtsrats zur Beschlußfassung überwiesen werden.“
„Dem Aufsichtsrat ist regelmäßig über die Arbeit der Ausschüsse zu berichten.“
— § 107 Abs. 3 Satz 7–8 AktG, konsolidierter Normtext

Für Unternehmen von öffentlichem Interesse kommt eine zusätzliche Organisationsschicht hinzu. § 107 Abs. 4 Satz 1 AktG macht den Prüfungsausschuss dort nicht nur möglich, sondern ordnet ihn an. Das ist keine eigenständige Cyber-Haftungsnorm, aber ein wichtiger Strukturanker für börsennotierte oder sonst erfasste Unternehmen: Wer einen Pflichtprüfungsausschuss hat, muss dessen Cyber-relevante IKS-/RMS-Arbeit, Berichtslinie und Rückkopplung ins Plenum nachvollziehbar organisieren.

„Der Aufsichtsrat einer Gesellschaft, die Unternehmen von öffentlichem Interesse nach § 316a Satz 2 des Handelsgesetzbuchs ist, hat einen Prüfungsausschuss im Sinne des Absatzes 3 Satz 2 einzurichten.“
— § 107 Abs. 4 Satz 1 AktG, konsolidierter Normtext

3. Information und Bringschuld — § 90 AktG und BGH II ZR 78/24

Überwachung ohne Information ist Fassade. Bei der AG steht § 90 AktG [N-AktG-90] im Zentrum: Der Vorstand hat dem Aufsichtsrat zu berichten. Diese Berichtspflicht ist eine Bringschuld: Der Vorstand muss die relevanten Informationen bringen; der Aufsichtsrat muss sie aber nicht passiv vermissen. Wenn Berichte unklar, unvollständig, verspätet oder erkennbar beschönigend sind, muss der Aufsichtsrat nachfassen. Der BGH hat dies in II ZR 78/24 [R-II-ZR-78-24] vom 14. Oktober 2025 für die AG-Linie geschärft: Berichtspflichten bleiben auch bei geringer oder eingestellter Geschäftstätigkeit relevant; der Aufsichtsrat muss auf brauchbare Informationen hinwirken.

„den Gang der Geschäfte, insbesondere den Umsatz, und die Lage der Gesellschaft;“
„die Berichte nach Nummer 3 regelmäßig, mindestens vierteljährlich;“
„Der Aufsichtsrat kann vom Vorstand jederzeit einen Bericht verlangen über Angelegenheiten der Gesellschaft, über ihre rechtlichen und geschäftlichen Beziehungen zu verbundenen Unternehmen sowie über geschäftliche Vorgänge bei diesen Unternehmen, die auf die Lage der Gesellschaft von erheblichem Einfluß sein können. Auch ein einzelnes Mitglied kann einen Bericht, jedoch nur an den Aufsichtsrat, verlangen.“
„Die Berichte haben den Grundsätzen einer gewissenhaften und getreuen Rechenschaft zu entsprechen.“
— § 90 Abs. 1 Satz 1 Nr. 3, Abs. 2 Nr. 3, Abs. 3 Satz 1–2 und Abs. 4 Satz 1 AktG, konsolidierter Normtext, maßgebliche Auszüge

§ 90 Abs. 5 AktG ist für persönliche Enthaftung praktisch wichtig, weil Berichte nicht im Vorsitzenden-Kanal verschwinden dürfen. Jedes Aufsichtsratsmitglied hat ein eigenes Recht, von den Berichten Kenntnis zu nehmen; der Vorsitzende muss über Berichte aus sonstigen wichtigen Anlässen spätestens in der nächsten Aufsichtsratssitzung unterrichten. Cyber-Berichte gehören deshalb nicht nur in ein bilaterales Gespräch mit dem Vorsitzenden, sondern in eine nachvollziehbare Gremieninformation.

„Jedes Aufsichtsratsmitglied hat das Recht, von den Berichten Kenntnis zu nehmen. Soweit die Berichte in Textform erstattet worden sind, sind sie auch jedem Aufsichtsratsmitglied auf Verlangen zu übermitteln, soweit der Aufsichtsrat nichts anderes beschlossen hat. Der Vorsitzende des Aufsichtsrats hat die Aufsichtsratsmitglieder über die Berichte nach Absatz 1 Satz 3 spätestens in der nächsten Aufsichtsratssitzung zu unterrichten.“
— § 90 Abs. 5 Satz 1–3 AktG, konsolidierter Normtext

§ 90 AktG verlangt Berichte über Geschäftspolitik und Unternehmensplanung, Rentabilität, Gang der Geschäfte, Lage der Gesellschaft und Geschäfte von erheblicher Bedeutung. Für Cyber ist daran nicht nur der akute Sicherheitsvorfall anzuknüpfen. Berichtspflichtig relevant können auch strategische IT-Abhängigkeiten, Outsourcing, erhebliche Schwachstellen, Budgetverschiebungen, Lieferkettenrisiken, Versicherungsdeckung, Notfallfähigkeit und regulatorische Meldefähigkeit sein. Die Holschuld des Aufsichtsrats beginnt praktisch dort, wo die Bringschuld der Geschäftsleitung nicht entscheidungsfähig erfüllt wird: Der Aufsichtsrat muss dann Nachberichte, Unterlagen, Fristen oder externe Prüfung verlangen, statt den Informationsmangel als Geschäftsleitungsproblem stehen zu lassen.

Cyber-Berichte sollten deshalb nicht nur technische Ampeln enthalten. Sie müssen für das Überwachungsorgan entscheidungsfähig machen: wesentliche Bedrohungslage, kritische Systeme, Lieferkettenabhängigkeiten, Reifegrad der § 30-BSIG-Maßnahmen, Stand der § 38-BSIG-Schulungen, offene Audit-Funde, Notfallübungen, Meldefähigkeit, D&O-/Cyber-Versicherungsschnittstellen und Investitionslücken. Diese BSIG-Punkte sind als Pflichtprogramm nur zu lesen, wenn die Einrichtung in den jeweiligen BSIG-Adressatenkreis fällt; außerhalb dieses Pflichtenkreises können sie ein Governance-Vergleichsrahmen sein, ersetzen aber nicht die Anwendungsbereichsprüfung. Die Geschäftsleitungspflichten aus § 38 BSIG [N-BSIG-38] und die Einrichtungs-Pflichten aus § 30 BSIG [N-BSIG-30] werden in NIS-2-Pflichten der Geschäftsleitung (§ 38 BSIG) vertieft; die operative Überwachungs- und Holschuld der Geschäftsleitung steht in Überwachungspflicht der Geschäftsleitung.

Die Informationsanker sind jedoch rechtsformspezifisch. Bei der GmbH verweist § 52 GmbHG [N-GmbHG-52] nicht auf § 90 Abs. 1 und 2 AktG, sondern nur eingeschränkt auf § 90 Abs. 3, 4 und 5 Satz 1 und 2. Deshalb müssen Gesellschaftsvertrag, Aufsichtsratsordnung und Sonderregime gelesen werden. Bei der Genossenschaft trägt § 38 GenG [N-GenG-38] die Überwachungs- und Informationsrechte. Bei der monistischen SE sind § 22 Abs. 4 und 6 SEAG [N-SEAG-22] sowie bei geschäftsführenden Direktoren § 40 Abs. 7 SEAG [N-SEAG-40] mitzudenken. Beim Beirat entscheidet die konkrete Satzungs- und Gesellschaftsvertragslage.

4. Haftungsnorm — § 116 i. V. m. § 93 AktG

Für den AG-Aufsichtsrat ist § 116 AktG [N-AktG-116] der Haftungsanker. Die Norm verweist auf § 93 AktG [N-AktG-93], nimmt aber nur § 93 Abs. 2 Satz 3 aus. Das ist kein Detail: § 93 Abs. 2 Satz 2 bleibt anwendbar. Ist streitig, ob die erforderliche Sorgfalt angewandt wurde, trägt das Organmitglied die Beweislast für die Sorgfalt. Pflichtenkreis, Schaden und Kausalität verschwinden dadurch nicht; sie bleiben eigene Prüfungspunkte.

„Für die Sorgfaltspflicht und Verantwortlichkeit der Aufsichtsratsmitglieder gelten § 93 mit Ausnahme des Absatzes 2 Satz 3 über die Sorgfaltspflicht und Verantwortlichkeit der Vorstandsmitglieder und § 15b der Insolvenzordnung sinngemäß.“
„Die Aufsichtsratsmitglieder sind insbesondere zur Verschwiegenheit über erhaltene vertrauliche Berichte und vertrauliche Beratungen verpflichtet.“
„Sie sind namentlich zum Ersatz verpflichtet, wenn sie eine unangemessene Vergütung festsetzen (§ 87 Absatz 1).“
— § 116 AktG, konsolidierter Normtext

§ 93 AktG bringt vier Bausteine in die Aufsichtsratsprüfung: Sorgfaltsmaßstab, Business Judgment Rule, Ersatzpflicht für den daraus entstehenden Schaden und Beweislast. Die Business Judgment Rule schützt unternehmerische Entscheidungen, wenn das Organ vernünftigerweise auf Grundlage angemessener Information zum Wohl der Gesellschaft handeln durfte. Für den Aufsichtsrat bedeutet das: Ein dokumentierter, informierter Überwachungsbeschluss ist haftungsfester als ein informelles Abnicken nach einer dünnen Präsentation. § 93 Abs. 2 Satz 1 hält zugleich fest, dass Ersatzpflicht nicht bei abstrakter Pflichtwidrigkeit endet, sondern den daraus entstehenden Schaden voraussetzt. § 116 Satz 3 ist nicht cyber-spezifisch, bleibt aber Teil des vollständigen Normbildes: Auch Vergütungsentscheidungen können Ersatzpflichten auslösen; im Cyber-Kontext wird daraus kein eigener Cyber-Haftungstatbestand, aber ein weiterer Grund, Risiko-, Compliance- und Anreizsysteme nicht unverbunden zu behandeln.

„Die Vorstandsmitglieder haben bei ihrer Geschäftsführung die Sorgfalt eines ordentlichen und gewissenhaften Geschäftsleiters anzuwenden.“
„Eine Pflichtverletzung liegt nicht vor, wenn das Vorstandsmitglied bei einer unternehmerischen Entscheidung vernünftigerweise annehmen durfte, auf der Grundlage angemessener Information zum Wohle der Gesellschaft zu handeln.“
„Vorstandsmitglieder, die ihre Pflichten verletzen, sind der Gesellschaft zum Ersatz des daraus entstehenden Schadens als Gesamtschuldner verpflichtet.“
„Ist streitig, ob sie die Sorgfalt eines ordentlichen und gewissenhaften Geschäftsleiters angewandt haben, so trifft sie die Beweislast.“
— § 93 Abs. 1 Satz 1–2 und Abs. 2 Satz 1–2 AktG, über § 116 AktG sinngemäß für AG-Aufsichtsratsmitglieder

Die Business Judgment Rule ist kein Freibrief für Informationsverzicht und keine Abwahl der Legalitätskontrolle. Wo eine gesetzliche Kontroll-, Berichts- oder Nachfasspflicht besteht, liegt der Entscheidungsspielraum nicht im Ob, sondern im Wie der angemessenen Überwachung. Geschützt ist die informierte, vertretbare Ermessensentscheidung; nicht geschützt ist das bewusste Wegsehen, das Abnicken ohne Entscheidungsgrundlage oder die Protokollierung einer Scheinbefassung.

Die Beweislastumkehr darf nicht überdehnt werden. Sie verschiebt nicht den gesamten Haftungsprozess auf das Organmitglied. Die Gesellschaft muss weiterhin den haftungsbegründenden Pflichtenkreis, den Schaden und die haftungsausfüllende Kausalität darlegen. Streitig wird in der Praxis aber oft, ob das Organmitglied die Sorgfalt eines ordentlichen und gewissenhaften Organmitglieds eingehalten hat. Genau dort wird die Dokumentation zur Verteidigung: Was wurde berichtet, was wurde gefragt, welche Unterlagen wurden verlangt, welche Wiedervorlage wurde gesetzt und warum war die Entscheidung auf dieser Informationsbasis vertretbar?

Verjährung ist ebenfalls aktiv zu führen. § 93 Abs. 6 AktG unterscheidet zwischen börsennotierten und anderen Gesellschaften. Das ist für die spätere Anspruchsverfolgung und für die Dokumentation von Aufsichtsratsentscheidungen erheblich.

„Die Ansprüche aus diesen Vorschriften verjähren bei Gesellschaften, die zum Zeitpunkt der Pflichtverletzung börsennotiert sind, in zehn Jahren, bei anderen Gesellschaften in fünf Jahren.“
— § 93 Abs. 6 AktG, konsolidierter Normtext

Die Haftungskette lautet deshalb: Cyber-/Risikomanagementpflicht der Einrichtung und Geschäftsleitung → rechtsformspezifische Überwachungspflicht des Überwachungsorgans → Informationsbasis → Nachfassen bei Lücken → bei fortbestehenden Defiziten Einsicht, Prüfung oder Sachverständige nach § 111 Abs. 2 AktG [N-AktG-111] beziehungsweise rechtsformspezifischem Äquivalent → eigene schuldhafte Überwachungspflichtverletzung → Schaden → Kausalität → Innenhaftung. Kein Glied ersetzt das andere.

5. Anspruchsverfolgungspflicht — ARAG/Garmenbeck und Verjährungsast

Nach ARAG/Garmenbeck [R-ARAG] muss der AG-Aufsichtsrat durchsetzbare Ersatzansprüche der Gesellschaft gegen Vorstandsmitglieder eigenverantwortlich prüfen und grundsätzlich verfolgen. Die Prüfung ist nicht bloß juristische Kür. Sie gehört zur Überwachungsfunktion. Erkennt der Aufsichtsrat nach einem Cyber-Schaden Anhaltspunkte für Vorstandspflichtverletzungen, muss er prüfen: Besteht ein Anspruch dem Grunde nach? Wie stehen Beweise, Prozessrisiko und Durchsetzbarkeit? Gibt es ausnahmsweise überwiegende Gesellschaftsinteressen gegen eine Anspruchsverfolgung?

Diese Linie ist AG-verankert. Bei der GmbH entscheidet über die Geltendmachung von Ersatzansprüchen aus Gründung oder Geschäftsführung gegen Geschäftsführer oder Gesellschafter grundsätzlich die Gesellschafterversammlung nach § 46 Nr. 8 GmbHG [N-GmbHG-46], soweit keine besonderen Satzungs- oder Organregeln eingreifen. Der GmbH-Aufsichtsrat oder ein Beirat sollte Verdachtsmomente deshalb nicht „wegmoderieren“, sondern rechtsformspezifisch dokumentieren und das zuständige Organ aktivieren.

§ 46 Nr. 8 GmbHG weist die Entscheidung über die Geltendmachung bestimmter Ersatzansprüche gegen Geschäftsführer oder Gesellschafter sowie die Vertretung der Gesellschaft in Prozessen gegen Geschäftsführer der Gesellschafterversammlung zu. Für den GmbH-Aufsichtsrat ist das der zentrale Praxisanker: Verdacht dokumentieren, zuständiges Organ aktivieren und die AG-ARAG-Linie nicht mechanisch übertragen.

„die Geltendmachung von Ersatzansprüchen, welche der Gesellschaft aus der Gründung oder Geschäftsführung gegen Geschäftsführer oder Gesellschafter zustehen, sowie die Vertretung der Gesellschaft in Prozessen, welche sie gegen die Geschäftsführer zu führen hat.“
— § 46 Nr. 8 GmbHG, konsolidierter Normtext

Der Verjährungsast ist besonders gefährlich. Nach BGH II ZR 152/17 [R-II-ZR-152-17] kann ein eigener Sekundäranspruch gegen Aufsichtsratsmitglieder entstehen, wenn Ersatzansprüche gegen Vorstandsmitglieder pflichtwidrig verjähren gelassen werden. Der Verjährungsbeginn dieses Sekundäranspruchs kann erst an die Verjährung des Primäranspruchs gegen das Vorstandsmitglied anknüpfen. Praktisch heißt das: Wer nach dem Cyber-Schaden die Anspruchsprüfung liegen lässt, schafft nicht nur ein Prozessrisiko gegen den Vorstand, sondern ein späteres Haftungsfenster gegen das Überwachungsorgan.

Nach einem Cyber-Schaden sollte das Überwachungsorgan deshalb drei Akten sauber trennen: die Incident-Akte zur technischen und operativen Lage, die Governance-Akte zur Frage eigener Überwachung und die Anspruchsakte zu möglichen Ersatzansprüchen gegen Geschäftsleitung, Dienstleister oder Dritte. Diese Trennung schützt nicht automatisch, verhindert aber, dass Anspruchsprüfung, Versicherungsanzeige, Verjährungskalender und eigene Entlastungsdokumentation ineinander verschwimmen.

6. Rechtsformen — AG, GmbH, Genossenschaft, monistische SE, Beirat

Die gefährlichste Abkürzung lautet: „Aufsichtsrat ist Aufsichtsrat.“ Das stimmt haftungsrechtlich nicht. Jede Aussage braucht zuerst die Rechtsform, dann die Organstellung, dann die anwendbare Haftungsnorm.

Die folgende Übersicht ist eine nicht abschließende Merkkarte. Sie ersetzt nicht die Prüfung von Satzung, Gesellschaftsvertrag, Mitbestimmungsstatut, Spezialregime und tatsächlicher Organpraxis.

Beim Beirat ist die wichtigste Arbeit nicht die Paragraphensuche, sondern die Qualifikation des Gremiums. Ein beratender Familienbeirat, ein Investorenbeirat mit Zustimmungsvorbehalten und ein gesellschaftsvertraglich eingerichteter Aufsichtsrat sind haftungsrechtlich nicht gleich. Maßgeblich sind Bestellung, Kompetenzkatalog, Informationsrechte, Zustimmungspflichten, tatsächliche Übung und die Erwartung, ob das Gremium Geschäftsleitung nur berät oder tatsächlich überwacht. Die Einzelfall-Matrix lautet: Wird der Beirat im Gesellschaftsvertrag als Organ bezeichnet? Hat er Informations- und Einsichtsrechte? Muss die Geschäftsleitung bestimmte Geschäfte vorlegen? Kann der Beirat Geschäftsführer bestellen, abberufen oder Weisungen vorbereiten? Wird seine Zustimmung tatsächlich als verbindlich behandelt? Je mehr diese Fragen mit Ja beantwortet werden, desto eher entsteht eine organähnliche Überwachungsnähe. Bei einem rein beratenden Beirat fehlt diese Gleichsetzung.

Für den GmbH-Aufsichtsrat ist § 52 GmbHG [N-GmbHG-52] ein Verweisungs- und zugleich ein Warnschild. Er gilt für den gesellschaftsvertraglich bestellten Aufsichtsrat, soweit nicht im Gesellschaftsvertrag ein anderes bestimmt ist. Bei gesetzlichen oder mitbestimmten GmbH-Aufsichtsräten ist zunächst das jeweilige Sonderregime — etwa DrittelbG [N-Mitbest], MitbestG, MontanMitbestG oder MitbestErgG — vorzuschalten.

„Ist nach dem Gesellschaftsvertrag ein Aufsichtsrat zu bestellen, so sind § 90 Abs. 3, 4, 5 Satz 1 und 2, § 95 Satz 1, § 100 Abs. 1 und 2 Nr. 2 und Abs. 5, § 101 Abs. 1 Satz 1, § 103 Abs. 1 Satz 1 und 2, §§ 105, 107 Absatz 3 Satz 2 und 3 und Absatz 4, §§ 110 bis 114, 116 des Aktiengesetzes in Verbindung mit § 93 Abs. 1 und 2 Satz 1 und 2 des Aktiengesetzes, § 124 Abs. 3 Satz 2, §§ 170, 171, 394 und 395 des Aktiengesetzes entsprechend anzuwenden, soweit nicht im Gesellschaftsvertrag ein anderes bestimmt ist.“
— § 52 Abs. 1 GmbHG, konsolidierter Normtext

Die Verjährung ist bei der GmbH gesondert zu prüfen: § 52 Abs. 4 GmbHG enthält für Ersatzansprüche gegen Aufsichtsratsmitglieder eine fünfjährige Frist.

„Schadensersatzansprüche gegen die Mitglieder des Aufsichtsrats wegen Verletzung ihrer Obliegenheiten verjähren in fünf Jahren.“
— § 52 Abs. 4 GmbHG, konsolidierter Normtext

Für die Genossenschaft gilt nicht § 116 AktG [N-AktG-116], sondern § 38 GenG [N-GenG-38] für die Überwachung und § 41 GenG [N-GenG-41] i. V. m. § 34 GenG [N-GenG-34] für Sorgfalt und Verantwortlichkeit.

„Der Aufsichtsrat hat den Vorstand bei dessen Geschäftsführung zu überwachen. Er kann zu diesem Zweck von dem Vorstand jederzeit Auskünfte über alle Angelegenheiten der Genossenschaft verlangen und die Bücher und Schriften der Genossenschaft sowie den Bestand der Genossenschaftskasse und die Bestände an Wertpapieren und Waren einsehen und prüfen. Er kann einzelne seiner Mitglieder beauftragen, die Einsichtnahme und Prüfung durchzuführen. Auch ein einzelnes Mitglied des Aufsichtsrats kann Auskünfte, jedoch nur an den Aufsichtsrat, verlangen.“
— § 38 Abs. 1 Satz 1–4 GenG, konsolidierter Normtext

Auch in der Genossenschaft kann Cyber-Risiko über Ausschussarbeit und Systemüberwachung laufen. § 38 Abs. 1a GenG nennt den Prüfungsausschuss mit Blick auf Rechnungslegung, internes Kontrollsystem, Risikomanagementsystem, internes Revisionssystem und Abschlussprüfung. Das ersetzt nicht die GenG-Haftungsnorm, zeigt aber, dass IKS/RMS-Themen auch hier nicht aus dem Überwachungsprogramm herausfallen.

„Der Aufsichtsrat kann einen Prüfungsausschuss bestellen, der sich mit der Überwachung des Rechnungslegungsprozesses sowie der Wirksamkeit des internen Kontrollsystems, des Risikomanagementsystems und des internen Revisionssystems sowie der Abschlussprüfung befasst.“
— § 38 Abs. 1a Satz 1 GenG, konsolidierter Normtext

„Für die Sorgfaltspflicht und Verantwortlichkeit der Aufsichtsratsmitglieder gilt § 34 über die Verantwortlichkeit der Vorstandsmitglieder sinngemäß.“
— § 41 GenG, konsolidierter Normtext

Für die Genossenschaft sind außerdem § 34 Abs. 2 und Abs. 6 GenG mitzulesen. § 34 Abs. 2 trägt den Sorgfaltsnachweis; § 34 Abs. 6 führt die fünfjährige Verjährung.

„Vorstandsmitglieder, die ihre Pflichten verletzen, sind der Genossenschaft zum Ersatz des daraus entstehenden Schadens als Gesamtschuldner verpflichtet. Ist streitig, ob sie die Sorgfalt eines ordentlichen und gewissenhaften Geschäftsleiters einer Genossenschaft angewandt haben, tragen sie die Beweislast. Wenn ein Vorstandsmitglied im Wesentlichen unentgeltlich tätig ist, muss dies bei der Beurteilung seiner Sorgfalt zu seinen Gunsten berücksichtigt werden.“
„Die Ansprüche aus diesen Vorschriften verjähren in fünf Jahren.“
— § 34 Abs. 2 und Abs. 6 GenG, über § 41 GenG sinngemäß für Genossenschafts-Aufsichtsratsmitglieder

Die monistische SE ist nochmals anders. Der Verwaltungsrat ist nicht nur ein Aufsichtsrat mit anderem Namen. Er leitet die Gesellschaft, bestimmt die Grundlinien und überwacht deren Umsetzung.

„Der Verwaltungsrat leitet die Gesellschaft, bestimmt die Grundlinien ihrer Tätigkeit und überwacht deren Umsetzung.“
„Der Verwaltungsrat hat geeignete Maßnahmen zu treffen, insbesondere ein Überwachungssystem einzurichten, damit den Fortbestand der Gesellschaft gefährdende Entwicklungen früh erkannt werden. Der Verwaltungsrat einer börsennotierten Gesellschaft hat darüber hinaus ein im Hinblick auf den Umfang der Geschäftstätigkeit und die Risikolage des Unternehmens angemessenes und wirksames internes Kontrollsystem und Risikomanagementsystem einzurichten.“
— § 22 Abs. 1 und Abs. 3 Satz 2–3 SEAG, konsolidierter Normtext

Für die Informations- und Prüfungsseite der monistischen SE sind außerdem § 22 Abs. 4 und Abs. 6 SEAG wichtig. § 22 Abs. 4 trägt Einsichts- und Prüfungsrechte; § 22 Abs. 6 ordnet an, dass Rechte und Pflichten, die außerhalb des SEAG dem Vorstand oder Aufsichtsrat einer Aktiengesellschaft zugewiesen sind, beim Verwaltungsrat liegen, soweit das SEAG keine besondere Regelung enthält.

„Der Verwaltungsrat kann die Bücher und Schriften der Gesellschaft sowie die Vermögensgegenstände, namentlich die Gesellschaftskasse und die Bestände an Wertpapieren und Waren, einsehen und prüfen. Er kann damit auch einzelne Mitglieder oder für bestimmte Aufgaben besondere Sachverständige beauftragen. Er erteilt dem Abschlussprüfer den Prüfungsauftrag für den Jahres- und Konzernabschluss gemäß § 290 des Handelsgesetzbuchs.“
„Rechtsvorschriften, die außerhalb dieses Gesetzes dem Vorstand oder dem Aufsichtsrat einer Aktiengesellschaft Rechte oder Pflichten zuweisen, gelten sinngemäß für den Verwaltungsrat, soweit nicht in diesem Gesetz für den Verwaltungsrat und für geschäftsführende Direktoren besondere Regelungen enthalten sind.“
— § 22 Abs. 4 und Abs. 6 SEAG, konsolidierter Normtext

„Für die Sorgfaltspflicht und Verantwortlichkeit der Verwaltungsratsmitglieder gilt § 93 des Aktiengesetzes entsprechend.“
— § 39 SEAG, konsolidierter Normtext

Wenn geschäftsführende Direktoren bestellt sind, ergänzt § 40 Abs. 7 SEAG [N-SEAG-40] die Informationskette: Geschäftsführende Direktoren berichten dem Verwaltungsrat entsprechend § 90 AktG [N-AktG-90], sofern Satzung oder Geschäftsordnung nichts anderes vorsehen.

„Geschäftsführende Direktoren berichten dem Verwaltungsrat entsprechend § 90 des Aktiengesetzes, sofern die Satzung oder die Geschäftsordnung nichts anderes vorsieht.“
— § 40 Abs. 7 SEAG, konsolidierter Normtext

7. Folgen und Insolvenzlage

Die persönliche Innenhaftung trifft das Organmitglied mit seinem Privatvermögen, aber nicht voraussetzungslos. Erforderlich bleiben eigene Pflichtverletzung, Sorgfalts-/Verschuldensprüfung, Schaden und Kausalität. Die Beweislastregel verschärft die Verteidigungslage bei der Sorgfalt, ersetzt aber nicht den Schaden und auch nicht die Kausalität. Die D&O-Versicherung [M-AVB-OFFEN] — auch für Aufsichtsräte — wird in D&O-Versicherung im Cyber-Kontext vertieft.

Diese Haftung ist im Regelfall eine Innenhaftung gegenüber der Gesellschaft. Kunden, Lieferanten, Beschäftigte oder Behörden werden dadurch nicht automatisch zu unmittelbaren Anspruchstellern gegen das Aufsichtsratsmitglied. Außenhaftung, Bußgeldadressierung oder deliktische Sonderkonstellationen brauchen jeweils eine eigene Anspruchs- oder Sanktionsgrundlage und gehören nicht in die verkürzte Formel „Cyber-Vorfall = persönliche Außenhaftung des Aufsichtsrats“.

Für die D&O-Schnittstelle ist die §-116-Ausnahme wichtig: § 93 Abs. 2 Satz 3 AktG [N-AktG-93], also der gesetzliche Selbstbehalt für Vorstands-D&O, wird gerade nicht über § 116 AktG [N-AktG-116] auf Aufsichtsratsmitglieder übertragen. Das heißt nicht, dass Aufsichtsratsmitglieder immer ohne Selbstbehalt versichert sind. AVB, Vertragsbedingungen, versicherte Personen, Claims-made-/Anzeigeobliegenheiten, Vor- und Nachmeldefristen, Ausschlüsse, Satzung, Vergütungssystem, Konzernpolicy und Versicherungsanzeige bleiben gesondert zu prüfen. D&O ist außerdem kein Ersatz für Überwachung: Eine Police ersetzt keine rechtzeitige Berichtsanforderung, keine Anspruchsprüfung und keinen Verjährungskalender.

Im Insolvenzkontext ist besonders sauber zu trennen. Für den AG-Aufsichtsrat verweist § 116 AktG auf § 15b InsO [N-InsO-15b] sinngemäß. Für die monistische SE enthält § 22 Abs. 5 Satz 2 SEAG [N-SEAG-22] eine eigene Insolvenzbrücke. Für GmbH, Genossenschaft und Beirat darf daraus kein pauschaler §-116-Transfer gebaut werden. Bei GmbH-Konstellationen, insbesondere mit fakultativem Aufsichtsrat und Zahlungen nach Insolvenzreife, ist ein eigenes Insolvenz-Gate erforderlich. Die Insolvenzlage und § 15b InsO stehen in Insolvenz in der Cyber-Krise.

„Bei Zahlungsunfähigkeit oder Überschuldung der Gesellschaft hat der Verwaltungsrat den Insolvenzantrag nach § 15a Abs. 1 der Insolvenzordnung zu stellen; § 15b der Insolvenzordnung gilt entsprechend.“
— § 22 Abs. 5 Satz 2 SEAG, konsolidierter Normtext

8. Wie du als Aufsichtsrat überwachst — Praxis

Persönliche Enthaftung entsteht nicht durch ein einzelnes Protokollwort. Sie entsteht durch ein wiederholbares Kontrollsystem: klare Berichte, klare Nachfragen, klare Beschlüsse, klare Nachverfolgung. Das folgende Raster ist kein Ersatz für Rechtsberatung, aber ein belastbarer Prüfpfad. Vor Anwendung des Rasters sind zwei Gates zu klären: Erstens gilt die § 30-/§ 38-BSIG-Spur als Pflichtprogramm nur bei erfasster wichtiger oder besonders wichtiger Einrichtung; außerhalb dieses Kreises ist sie ein Governance- oder Benchmark-Rahmen. Zweitens sind AG-Anker wie § 107, § 111 oder § 90 AktG [N-AktG-90] nur für die AG oder für ausdrücklich verweisende Rechtsformen zu verwenden; sonst ist das rechtsformspezifische Äquivalent zu prüfen.

Zusätzlich braucht das Überwachungsorgan eine Red-Flag-Liste. Sie muss nicht technisch perfekt sein, aber sie muss die Punkte erfassen, bei denen Schweigen gefährlich wird.

Demut-Box Marktrealität: In vielen Mittelstandsstrukturen beginnt das Cyber-Reporting mit Folien aus der IT und endet mit einem Satz der Geschäftsleitung: „Alles im Griff.“ Das genügt im Haftungsprozess selten als tragfähige Informationsbasis. Der Aufsichtsrat muss nicht selbst CISO werden; er muss aber verstehen, welche Fragen offen sind.

Grenze der Aufsicht: Das Überwachungsorgan muss keine einzelnen Schwachstellen priorisieren, keine Firewall-Regeln schreiben und keine Incident-Response-Runbooks bedienen. Es muss aber erkennen können, ob die Geschäftsleitung priorisiert, Risiken bewertet, Restrisiken bewusst akzeptiert oder abbaut, Budgets und Lieferketten steuert, Übungen auswertet und offene Findings terminiert. Detailflucht entlastet nicht: Wer sich mit Technikdetails überfordert fühlt, muss die Berichtsebene so umstellen, dass Governance-Entscheidungen möglich werden.

Das Mindestprogramm pro Berichtszyklus besteht aus fünf Fragen, jeweils nach vorgelagertem Anwendungsbereichs- und Rechtsform-Gate: Welche wesentlichen Cyber-Risiken haben sich seit der letzten Sitzung geändert? Welche § 30-BSIG-Maßnahmen sind bei erfassten Einrichtungen offen, überfällig oder unwirksam? Welche Geschäftsleitungs-Schulungen und Entscheidungen nach § 38 BSIG [N-BSIG-38] sind dokumentiert, soweit die Einrichtung dem BSIG-Pflichtenregime unterliegt? Welche Vorfälle, Beinahe-Vorfälle, Lieferantenrisiken und Audit-Findings bestehen? Welche Entscheidung oder Eskalation wird vom Überwachungsorgan verlangt?

Was nicht reicht: ein jährlicher IT-Vortrag ohne Maßnahmenstatus, eine Ampel ohne Kriterien, ein Bericht ohne Verantwortliche, ein Prüfungsausschuss ohne Rückbericht an das Plenum, eine D&O-Police ohne Governance-Nachweis oder ein Protokoll, das nur „Cyber wurde besprochen“ sagt. Persönliche Enthaftung braucht eine Spur, die ein Dritter lesen kann.

Der wichtigste praktische Satz lautet: Alles, was im Haftungsprozess später entlasten soll, muss vorher nachvollziehbar entstanden sein. Nachträgliche Erinnerung ersetzt keine Beschlusslage. Wer Berichte einfordert, Lücken benennt, Wiedervorlagen setzt und Verjährungstermine kontrolliert, baut persönliche Enthaftung auf. Wer Cyber nur als „IT-Thema“ behandelt, sammelt Compliance-Schulden.

9. Schnittstellen

Die Fünf-Schichten-Haftungskarte steht im Pillar Haftung und Sanktionen — Überblick. Die Innenhaftung der Geschäftsleitung ist in Innenhaftung der Geschäftsleitung. Die Geschäftsleitungspflichten aus § 38 BSIG [N-BSIG-38] und die Einrichtungs-Pflichten aus § 30 BSIG [N-BSIG-30] sind in NIS-2-Pflichten der Geschäftsleitung (§ 38 BSIG). Die operative Überwachungs- und Holschuld der Geschäftsleitung ist in Überwachungspflicht der Geschäftsleitung. Die D&O-Versicherung — auch für Aufsichtsräte — ist in D&O-Versicherung im Cyber-Kontext. Die Insolvenzlage, § 15b InsO [N-InsO-15b] und rechtsformspezifische Insolvenzbesonderheiten sind in Insolvenz in der Cyber-Krise. Datenschutzvorfälle sind daneben als eigene DSGVO [EU-DSGVO]-Spur zu führen; bei Finanzunternehmen, Telekommunikations-/Energie-Konstellationen oder IKT-Spezialregimen kann zusätzlich DORA [EU-DORA], TKG, EnWG oder ein anderes sektorspezifisches Regime neben die BSIG-/Gesellschaftsrechtsschiene treten. Diese Spezialregime ersetzen die rechtsformspezifische Überwachungspflicht nicht, begrenzen aber, welche Normschiene im Einzelfall als Pflicht- oder Vergleichsmaßstab trägt.

10. Kurzantworten auf die 24 Lese-Fragen

1. Haftet der Aufsichtsrat automatisch, wenn das Unternehmen gehackt wird? Nein. Die Cyber-Pflichten treffen zuerst Einrichtung und Geschäftsleitung (§ 30, § 38 BSIG). Der Aufsichtsrat haftet nur, wenn er seine eigene Überwachungspflicht schuldhaft verletzt und daraus ein kausaler Schaden der Gesellschaft entsteht.
2. Sind § 30 und § 38 BSIG immer Pflichtprogramm? Nur bei erfasster besonders wichtiger oder wichtiger Einrichtung. Außerhalb dieses Adressatenkreises taugen die BSIG-Punkte als Governance-Vergleichsrahmen, ersetzen aber nicht die Anwendungsbereichsprüfung.
3. Was verlangt § 111 AktG vom AG-Aufsichtsrat? Überwachung der Geschäftsführung — nicht deren Übernahme. Maßnahmen der Geschäftsführung können dem Aufsichtsrat nicht übertragen werden; Satzung oder Aufsichtsrat müssen aber Zustimmungsvorbehalte für bestimmte Geschäfte bestimmen.
4. Was kann der Aufsichtsrat tun, wenn Berichte nicht reichen? § 111 Abs. 2 AktG: Bücher, Schriften und Vermögensgegenstände einsehen und prüfen, einzelne Mitglieder oder besondere Sachverständige beauftragen — bei Cyber etwa Audit-Unterlagen, Incident-Dokumentationen oder externe Gutachten.
5. Entlastet ein Prüfungsausschuss das Plenum? Nein. Der Ausschuss kann vorbereiten und vertiefen (§ 107 Abs. 3 AktG); zentrale Aufgaben sind nicht delegierbar (Satz 7), und dem Aufsichtsrat ist regelmäßig über die Ausschussarbeit zu berichten (Satz 8).
6. Wann ist ein Prüfungsausschuss Pflicht? Bei Gesellschaften, die Unternehmen von öffentlichem Interesse nach § 316a Satz 2 HGB sind (§ 107 Abs. 4 Satz 1 AktG).
7. Was gehört ins Aufsichtsratsprotokoll? Nach § 107 Abs. 2 AktG Ort, Tag, Teilnehmer, Tagesordnung, wesentlicher Verhandlungsinhalt und Beschlüsse — für Cyber zählt die lesbare Kontrollspur: Bericht erhalten, Lücke erkannt, Nachfrage beschlossen, Wiedervorlage gesetzt.
8. Was bedeutet Bringschuld — und was folgt aus BGH II ZR 78/24? Der Vorstand muss die Berichte von sich aus liefern (§ 90 AktG). Der BGH hat 2025 geschärft: Berichtspflichten bleiben auch bei geringer oder eingestellter Geschäftstätigkeit relevant, und der Aufsichtsrat muss bei unzureichender Berichterstattung auf brauchbare Informationen hinwirken.
9. Was muss ein entscheidungsfähiger Cyber-Bericht enthalten? Bedrohungslage, kritische Systeme, Lieferkettenabhängigkeiten, Reifegrad der § 30-BSIG-Maßnahmen, Stand der § 38-BSIG-Schulungen, offene Audit-Funde, Notfallübungen, Meldefähigkeit, D&O-/Cyber-Versicherungsschnittstellen und Investitionslücken — bei BSIG-erfassten Einrichtungen als Pflichtprogramm, sonst als Benchmark.
10. Gilt die AG-Berichtslinie auch in der GmbH? Nur eingeschränkt: § 52 GmbHG verweist nicht auf § 90 Abs. 1 und 2 AktG, sondern nur auf § 90 Abs. 3, 4 und 5 Satz 1 und 2 — Gesellschaftsvertrag, Aufsichtsratsordnung und Sonderregime sind zu lesen.
11. Welche Norm trägt die Haftung des AG-Aufsichtsrats? § 116 i. V. m. § 93 AktG sinngemäß — ausgenommen ist nur § 93 Abs. 2 Satz 3; die Beweislastregel des § 93 Abs. 2 Satz 2 bleibt anwendbar.
12. Was bedeutet die Beweislastumkehr praktisch? Ist streitig, ob die erforderliche Sorgfalt angewandt wurde, trägt das Organmitglied die Beweislast. Pflichtenkreis, Schaden und haftungsausfüllende Kausalität muss weiterhin die Gesellschaft darlegen.
13. Schützt die Business Judgment Rule den Aufsichtsrat? Nur die informierte, vertretbare Ermessensentscheidung. Wo eine gesetzliche Kontroll-, Berichts- oder Nachfasspflicht besteht, liegt der Spielraum nicht im Ob, sondern im Wie; bewusstes Wegsehen und Abnicken ohne Grundlage sind nicht geschützt.
14. Wie verjähren Ansprüche gegen AG-Aufsichtsräte? Nach § 93 Abs. 6 AktG in zehn Jahren bei zum Zeitpunkt der Pflichtverletzung börsennotierten Gesellschaften, sonst in fünf Jahren.
15. Was verlangt ARAG/Garmenbeck? Der AG-Aufsichtsrat muss durchsetzbare Ersatzansprüche der Gesellschaft gegen Vorstandsmitglieder eigenverantwortlich prüfen und grundsätzlich verfolgen; absehen darf er nur ausnahmsweise bei überwiegenden Gesellschaftsinteressen.
16. Wer entscheidet in der GmbH über die Anspruchsverfolgung? Grundsätzlich die Gesellschafterversammlung nach § 46 Nr. 8 GmbHG. Aufsichtsrat oder Beirat sollten Verdachtsmomente dokumentieren und das zuständige Organ aktivieren, statt die AG-Linie mechanisch zu übertragen.
17. Warum ist der Verjährungsast so gefährlich? Nach BGH II ZR 152/17 kann ein eigener Sekundäranspruch gegen Aufsichtsratsmitglieder entstehen, wenn Ersatzansprüche gegen Vorstandsmitglieder pflichtwidrig verjähren gelassen werden — der Verjährungsbeginn knüpft erst an die Verjährung des Primäranspruchs an.
18. Gilt „Aufsichtsrat ist Aufsichtsrat“ über alle Rechtsformen? Nein. Erst Rechtsform, dann Organstellung, dann Norm: Genossenschaft über § 41 i. V. m. § 34 GenG und § 38 GenG, monistische SE über § 39 SEAG i. V. m. § 93 AktG, GmbH über § 52 GmbHG (abdingbar; Mitbestimmungsregime vorschalten). Die Übersicht im Text ist eine nicht abschließende Merkkarte.
19. Wie wird ein Beirat eingeordnet? Über das Beirat-Gate: bloß beratend oder organähnlich? Maßgeblich sind Bestellung, Kompetenzkatalog, Informationsrechte, Zustimmungspflichten und tatsächliche Übung — nicht der Name des Gremiums.
20. Haften Aufsichtsräte Kunden oder Behörden direkt? Im Regelfall nein: Die Haftung ist Innenhaftung gegenüber der Gesellschaft. Außenhaftung, Bußgeldadressierung oder deliktische Sonderkonstellationen brauchen jeweils eine eigene Grundlage.
21. Gilt der gesetzliche D&O-Selbstbehalt auch für Aufsichtsräte? § 93 Abs. 2 Satz 3 AktG wird gerade nicht über § 116 AktG übertragen. Das heißt nicht automatisch „ohne Selbstbehalt“: AVB, versicherte Personen, Claims-made-/Anzeigeobliegenheiten, Nachmeldefristen und Ausschlüsse sind gesondert zu prüfen — eine Police ersetzt keine Überwachung.
22. Was gilt im Insolvenzkontext? Für den AG-Aufsichtsrat verweist § 116 AktG sinngemäß auf § 15b InsO; die monistische SE hat in § 22 Abs. 5 Satz 2 SEAG eine eigene Insolvenzbrücke. Ein pauschaler Transfer auf GmbH, Genossenschaft oder Beirat ist unzulässig.
23. Wie überwacht der Aufsichtsrat praktisch enthaftungsfest? Vorab zwei Gates klären (BSIG-Anwendungsbereich; Rechtsform-Äquivalent), dann wiederholbares Kontrollsystem: Berichtslinie, Nachfassen mit Fristen, Zustimmungsvorbehalte, Anspruchsprüfung mit Verjährungskalender, Red-Flag-Liste und das Fünf-Fragen-Mindestprogramm pro Berichtszyklus.
24. Was reicht im Haftungsprozess nicht? Ein jährlicher IT-Vortrag ohne Maßnahmenstatus, Ampeln ohne Kriterien, Berichte ohne Verantwortliche, ein Ausschuss ohne Rückbericht, eine D&O-Police ohne Governance-Nachweis oder ein Protokoll, das nur „Cyber wurde besprochen“ sagt — was später entlasten soll, muss vorher nachvollziehbar entstanden sein, sonst entstehen Compliance-Schulden.

11. Quellen

Der Quellenapparat ordnet die im Text mit sichtbaren Quellenankern gekennzeichneten Belege den amtlichen Fundstellen zu. Die Anker stehen bei der ersten tragenden Nennung pro Abschnitt und springen auf den jeweiligen Eintrag in diesem Apparat.

11.1 Nationale Normen

• [N-BSIG-30] § 30 BSIG — Risikomanagementmaßnahmen. Fundstelle: https://www.gesetze-im-internet.de/bsig_2025/__30.html

• [N-BSIG-38] § 38 BSIG — Geschäftsleitungspflichten (Umsetzen, Überwachen, Schulen). Fundstelle: https://www.gesetze-im-internet.de/bsig_2025/__38.html

• [N-AktG-90] § 90 AktG — Berichte an den Aufsichtsrat. Fundstelle: https://www.gesetze-im-internet.de/aktg/__90.html

• [N-AktG-93] § 93 AktG — Sorgfaltspflicht und Verantwortlichkeit des Vorstands. Fundstelle: https://www.gesetze-im-internet.de/aktg/__93.html

• [N-AktG-111] § 111 AktG — Aufgaben und Rechte des Aufsichtsrats. Fundstelle: https://www.gesetze-im-internet.de/aktg/__111.html

• [N-AktG-116] § 116 AktG — Sorgfaltspflicht und Verantwortlichkeit der Aufsichtsratsmitglieder. Fundstelle: https://www.gesetze-im-internet.de/aktg/__116.html

• [N-SEAG-22] § 22 SEAG — Aufgaben des Verwaltungsrats (monistische SE). Fundstelle: https://www.gesetze-im-internet.de/seag/__22.html

• [N-SEAG-40] § 40 SEAG — geschäftsführende Direktoren. Fundstelle: https://www.gesetze-im-internet.de/seag/__40.html

• [N-InsO-15b] § 15b InsO — Zahlungen nach Eintritt der Insolvenzreife. Fundstelle: https://www.gesetze-im-internet.de/inso/__15b.html

• [N-GmbHG-46] § 46 GmbHG — Aufgabenkreis der Gesellschafter (u. a. Nr. 8: Geltendmachung von Ersatzansprüchen gegen Geschäftsführer; Nr. 5: Entlastung). Fundstelle: https://www.gesetze-im-internet.de/gmbhg/__46.html

• [N-AktG-107] § 107 AktG — Innere Ordnung des Aufsichtsrats (Niederschrift Abs. 2; Ausschüsse/Prüfungsausschuss Abs. 3; Pflichtprüfungsausschuss Abs. 4). Fundstelle: https://www.gesetze-im-internet.de/aktg/__107.html

• [N-GmbHG-52] § 52 GmbHG — Aufsichtsrat der GmbH (Verweisungsnorm Abs. 1; Verjährung Abs. 4). Fundstelle: https://www.gesetze-im-internet.de/gmbhg/__52.html

• [N-GenG-34] § 34 GenG — Sorgfaltspflicht und Verantwortlichkeit der Vorstandsmitglieder (über § 41 GenG sinngemäß für Aufsichtsratsmitglieder). Fundstelle: https://www.gesetze-im-internet.de/geng/__34.html

• [N-GenG-38] § 38 GenG — Aufgaben des Aufsichtsrats der Genossenschaft (Überwachung; Abs. 1a Prüfungsausschuss). Fundstelle: https://www.gesetze-im-internet.de/geng/__38.html

• [N-GenG-41] § 41 GenG — Sorgfaltspflicht und Verantwortlichkeit der Aufsichtsratsmitglieder. Fundstelle: https://www.gesetze-im-internet.de/geng/__41.html

• [N-Mitbest] DrittelbG, MitbestG, MontanMitbestG, MitbestErgG — Mitbestimmungs-Routing für gesetzliche oder mitbestimmte GmbH-Aufsichtsräte (nur einzelfallbezogen). Fundstelle: https://www.gesetze-im-internet.de/

• [N-InsO-15a] § 15a InsO — Antragspflicht bei Insolvenzreife (im Body nur im Wortlaut des § 22 Abs. 5 Satz 2 SEAG zitiert). Fundstelle: https://www.gesetze-im-internet.de/inso/__15a.html (ergänzende Quelle, im Body nicht eigens verankert)

• [N-TKG-165] § 165 TKG — technische und organisatorische Schutzmaßnahmen (TK-Spezialregime-Spur). Fundstelle: https://www.gesetze-im-internet.de/tkg_2021/__165.html (ergänzende Quelle, im Body nicht eigens verankert)

• [N-EnWG-5c-5e] §§ 5c bis 5e EnWG — IT-Sicherheit, Melde- und Leitungspflichten Energie (Energie-Spezialregime-Spur). Fundstelle: https://www.gesetze-im-internet.de/enwg_2005/ (ergänzende Quelle, im Body nicht eigens verankert)

11.2 EU-Recht

• [EU-DORA] Verordnung (EU) 2022/2554 (DORA). Fundstelle: https://eur-lex.europa.eu/eli/reg/2022/2554/oj

• [EU-DSGVO] Verordnung (EU) 2016/679 (DSGVO); Berichtigung ABl. L 74 vom 4.3.2021. Fundstelle: https://eur-lex.europa.eu/eli/reg/2016/679/oj

• [EU-NIS2] Richtlinie (EU) 2022/2555 (NIS-2-Richtlinie), ABl. L 333 vom 27.12.2022, S. 80 — unionsrechtliche Herkunftsschicht; für deutsche Pflichten trägt die BSIG-Umsetzung. Fundstelle: https://eur-lex.europa.eu/eli/dir/2022/2555/oj (ergänzende Quelle, im Body nicht eigens verankert)

11.3 Rechtsprechung

• [R-ARAG] BGH, Urteil vom 21.04.1997 — II ZR 175/95 — BGHZ 135, 244 — ARAG/Garmenbeck. Fundstelle: https://www.bundesgerichtshof.de/
• [R-II-ZR-78-24] BGH, Urteil vom 14.10.2025 — II ZR 78/24 — ECLI:DE:BGH:2025:141025UIIZR78.24.1. Fundstelle: https://www.bundesgerichtshof.de/
• [R-II-ZR-152-17] BGH, Urteil vom 18.09.2018 — II ZR 152/17 — ECLI:DE:BGH:2018:180918UIIZR152.17.0 — BGHZ-Leitsatzentscheidung; Verjährungsbeginn des Sekundäranspruchs gegen Aufsichtsratsmitglieder (§ 200 Satz 1 BGB). Fundstelle: https://www.bundesgerichtshof.de/

11.4 Behörden und amtliche Praxis

• [B-BAFIN] BaFin — Aufsicht über DORA-Finanzunternehmen. Fundstelle: https://www.bafin.de/ (ergänzende Quelle, im Body nicht eigens verankert)
• [B-BSI] Bundesamt für Sicherheit in der Informationstechnik (BSI) — FAQ zu NIS-2, Betroffenheitsprüfung, MUK-Portal, Registrierung/Meldung. Fundstelle: https://www.bsi.bund.de/DE/Themen/Regulierte-Wirtschaft/NIS-2-regulierte-Unternehmen/ (ergänzende Quelle, im Body nicht eigens verankert)

11.5 Markt, AVB, Versicherer und Banken

• [M-AVB-OFFEN] Markt-, AVB-, Versicherer-, Banken- und Termsheet-Aussagen sind bewusst nicht als allgemeiner Marktstandard freigegeben. Sie sind bedingungs-, marktstands- und einzelfallabhängig und ersetzen keine konkrete AVB-, Policen- oder Termsheet-Prüfung und keine Deckungszusage.

11.6 Prüfstatus und Schlusssatz

Maßgeblich sind die amtlichen deutschen Gesetzesfassungen (gesetze-im-internet.de) beziehungsweise die konsolidierten EU-Fassungen (EUR-Lex) sowie für Rechtsprechung die amtlichen Volltexte und Leitsätze.

12. CyberSchutzEngel-Hinweis

CyberSchutzEngel behandelt Aufsichtsrats-Haftung im Cyber-Kontext als Governance-Frage, nicht als IT-Randthema. Der Nutzen liegt in einer sauberen Trennung: Geschäftsleitungspflichten aus BSIG und Gesellschaftsrecht einerseits, eigene Überwachungspflicht des Aufsichtsrats, Verwaltungsrats oder organähnlichen Beirats andererseits. Der Pfad ist präventiv: Berichtslinien, Nachfasspflicht, Zustimmungsvorbehalte, Anspruchsprüfung und Dokumentation so bauen, dass persönliche Enthaftung nicht erst nach dem Vorfall gesucht werden muss.