D&O-Versicherung im Cyber-Kontext — Wissentlichkeitsklausel und BGH IV ZR 66/25

1. Was die D&O-Versicherung im Cyber-Kontext ist

Die D&O-Versicherung [M-AVB-OFFEN] (Directors-and-Officers-Versicherung) ist im Cyber-Kontext keine IT-Versicherung. Sie schützt keine Server, ersetzt keine Forensikrechnung, bezahlt nicht den Wiederaufbau verschlüsselter Systeme und ist nicht die Police für Krisenkommunikation, Erpressungszahlung oder Betriebsunterbrechung. Diese Bausteine gehören in die Cyber-Police; die Abgrenzung der drei Versicherungssäulen ist in Cyber-Versicherungs-Architektur dargestellt, die Eigenschaden- und Betriebsunterbrechungsseite in Cyber-Police (Eigenschaden, BU, Erpressung).

Die D&O ist eine Vermögensschaden-Haftpflichtversicherung für Organmitglieder und weitere versicherte Personen. Ihr Thema ist die zivilrechtliche Inanspruchnahme wegen einer behaupteten Organpflichtverletzung. Im Cyber-Vorfall wird sie deshalb relevant, wenn die Gesellschaft, eine Tochtergesellschaft, ein Insolvenzverwalter oder ein anderer anspruchsberechtigter Dritter behauptet, ein Geschäftsführer, Vorstand oder Aufsichtsorgan habe Cyber-Governance-Pflichten verletzt und dadurch einen Vermögensschaden verursacht.

Die Verbandsgeldbuße gegen die Einrichtung nach § 65 BSIG [N-BSIG-65] ist nicht selbst der Freistellungsanspruch des Organs aus der D&O. Sie trifft die Einrichtung. Davon zu trennen sind Abwehrkosten, persönliche Sanktionen, ein möglicher Regress der Einrichtung gegen ein Organmitglied und die Frage, ob eine Police diese Konstellation nach ihrem Bedingungswerk erfasst. Genau diese Trennung entscheidet, ob der D&O-Fall sachlich eröffnet sein kann.

Für die Geschäftsleitung lautet die praktische D&O-Frage daher nicht: „Ist der Cyber-Schaden versichert?“ Die präzisere Frage lautet: „Werde ich persönlich wegen einer Organpflichtverletzung auf Ersatz eines Vermögensschadens in Anspruch genommen, und fällt diese Inanspruchnahme nach Zeitpunkt, Personenkreis, Anspruchsart und Ausschlüssen in die D&O-Deckungsprüfung?“

Demut-Hinweis (M-AVB): Jede Deckungsaussage in diesem Text steht unter dem Vorbehalt der konkreten Police. D&O-Bedingungen unterscheiden sich bei versicherten Personen, Anspruchserhebungsprinzip, Rückwärtsdeckung, Nachmeldefrist, Selbstbehalt, Cyber-Ausschlüssen, Sublimits und Wissentlichkeitsklauseln. Der Artikel ersetzt keine Policenprüfung.

2. Rechtliche Einordnung — D&O als Versicherung für fremde Rechnung

Die gesellschaftsfinanzierte D&O ist typischerweise als Versicherung für fremde Rechnung konstruiert. Versicherungsnehmerin ist die Gesellschaft. Sie schließt den Vertrag und zahlt die Prämie. Versicherte Personen sind die Organmitglieder und weitere im Bedingungswerk genannte Personen. Im Innenhaftungsfall ist die Gesellschaft zugleich die geschädigte Anspruchstellerin. Dadurch entsteht das D&O-Dreieck: Gesellschaft, versicherte Person, Versicherer. In der Prozesspraxis wird daraus häufig ein D&O-Quartett, wenn die Gesellschaft als Versicherungsnehmerin zugleich den abgetretenen Freistellungsanspruch gegen den Versicherer verfolgt.

Der gesetzliche Ausgangspunkt steht in § 43 VVG [N-VVG-43]:

„(1) Der Versicherungsnehmer kann den Versicherungsvertrag im eigenen Namen für einen anderen, mit oder ohne Benennung der Person des Versicherten, schließen (Versicherung für fremde Rechnung).
(2) Wird der Versicherungsvertrag für einen anderen geschlossen, ist, auch wenn dieser benannt wird, im Zweifel anzunehmen, dass der Versicherungsnehmer nicht als Vertreter, sondern im eigenen Namen für fremde Rechnung handelt.
(3) Ergibt sich aus den Umständen nicht, dass der Versicherungsvertrag für einen anderen geschlossen werden soll, gilt er als für eigene Rechnung geschlossen.“
§ 43 VVG, Quelle: gesetze-im-internet.de/vvg_2008/, Abruf: 4. Juni 2026.

§ 44 VVG [N-VVG-44] beschreibt die Grundstellung der versicherten Person:

„(1) Bei der Versicherung für fremde Rechnung stehen die Rechte aus dem Versicherungsvertrag dem Versicherten zu. Die Übermittlung des Versicherungsscheins kann jedoch nur der Versicherungsnehmer verlangen.
(2) Der Versicherte kann ohne Zustimmung des Versicherungsnehmers nur dann über seine Rechte verfügen und diese Rechte gerichtlich geltend machen, wenn er im Besitz des Versicherungsscheins ist.“
§ 44 VVG, Quelle: gesetze-im-internet.de/vvg_2008/, Abruf: 4. Juni 2026.

§ 45 VVG [N-VVG-45] ordnet spiegelbildlich Rechte des Versicherungsnehmers:

„(1) Der Versicherungsnehmer kann über die Rechte, die dem Versicherten aus dem Versicherungsvertrag zustehen, im eigenen Namen verfügen.
(2) Ist ein Versicherungsschein ausgestellt, ist der Versicherungsnehmer ohne Zustimmung des Versicherten zur Annahme der Leistung des Versicherers und zur Übertragung der Rechte des Versicherten nur befugt, wenn er im Besitz des Versicherungsscheins ist.
(3) Der Versicherer ist zur Leistung an den Versicherungsnehmer nur verpflichtet, wenn der Versicherte seine Zustimmung zu der Versicherung erteilt hat.“
§ 45 VVG, Quelle: gesetze-im-internet.de/vvg_2008/, Abruf: 4. Juni 2026.

§ 46 VVG gehört zur Normgruppe dazu. Für die D&O-Praxis steht er nicht so oft im Vordergrund wie §§ 44, 45 und 47 VVG, er darf aber in der Landkarte der Versicherung für fremde Rechnung nicht fehlen:

„Der Versicherungsnehmer ist nicht verpflichtet, dem Versicherten oder, falls über dessen Vermögen das Insolvenzverfahren eröffnet ist, der Insolvenzmasse den Versicherungsschein auszuliefern, bevor er wegen seiner Ansprüche gegen den Versicherten in Bezug auf die versicherte Sache befriedigt ist. Er kann sich für diese Ansprüche aus der Entschädigungsforderung gegen den Versicherer und nach deren Einziehung aus der Entschädigungssumme vor dem Versicherten und dessen Gläubigern befriedigen.“
§ 46 VVG, Quelle: gesetze-im-internet.de/vvg_2008/, Abruf: 4. Juni 2026.

Die praktische Schärfe liegt in § 47 VVG [N-VVG-47]. Bei der D&O ist häufig nicht die Gesellschaft, sondern die versicherte Person Trägerin der entscheidenden Kenntnis. Das ist für Wissentlichkeits-, Vorkenntnis- und Umstandsausschlüsse wesentlich.

„(1) Soweit die Kenntnis und das Verhalten des Versicherungsnehmers von rechtlicher Bedeutung sind, sind bei der Versicherung für fremde Rechnung auch die Kenntnis und das Verhalten des Versicherten zu berücksichtigen.
(2) Die Kenntnis des Versicherten ist nicht zu berücksichtigen, wenn der Vertrag ohne sein Wissen geschlossen worden ist oder ihm eine rechtzeitige Benachrichtigung des Versicherungsnehmers nicht möglich oder nicht zumutbar war. Der Versicherer braucht den Einwand, dass der Vertrag ohne Wissen des Versicherten geschlossen worden ist, nicht gegen sich gelten zu lassen, wenn der Versicherungsnehmer den Vertrag ohne Auftrag des Versicherten geschlossen und bei Vertragsschluss dem Versicherer nicht angezeigt hat, dass er den Vertrag ohne Auftrag des Versicherten schließt.“
§ 47 VVG, Quelle: gesetze-im-internet.de/vvg_2008/, Abruf: 4. Juni 2026.

Der Leistungskern einer Haftpflichtversicherung steht in § 100 VVG [N-VVG-100]. Diese Norm ist für den D&O-Text zentral, weil sie zwei Funktionen enthält: Freistellung von begründeten Ansprüchen und Abwehr unbegründeter Ansprüche.

„Bei der Haftpflichtversicherung ist der Versicherer verpflichtet, den Versicherungsnehmer von Ansprüchen freizustellen, die von einem Dritten auf Grund der Verantwortlichkeit des Versicherungsnehmers für eine während der Versicherungszeit eintretende Tatsache geltend gemacht werden, und unbegründete Ansprüche abzuwehren.“
§ 100 VVG, Quelle: gesetze-im-internet.de/vvg_2008/, Abruf: 4. Juni 2026.

Die D&O darf deshalb nicht auf einen Zahlungsmechanismus reduziert werden. In vielen Fällen ist die Anspruchsabwehr wirtschaftlich ebenso wichtig wie eine spätere Freistellung. Ein Cyber-Vorwurf kann Monate oder Jahre lang Organzeit, Anwaltskosten, Reputation und Bilanzkommunikation binden, bevor feststeht, ob eine Haftung besteht.

Die Kostenseite wird in § 101 VVG ergänzt. Der vollständige Normblock ist wichtig, weil Absatz 2 die Kostenmechanik bei einer bestimmten Versicherungssumme gesondert regelt:

„(1) Die Versicherung umfasst auch die gerichtlichen und außergerichtlichen Kosten, die durch die Abwehr der von einem Dritten geltend gemachten Ansprüche entstehen, soweit die Aufwendung der Kosten den Umständen nach geboten ist. Die Versicherung umfasst ferner die auf Weisung des Versicherers aufgewendeten Kosten der Verteidigung in einem Strafverfahren, das wegen einer Tat eingeleitet wurde, welche die Verantwortlichkeit des Versicherungsnehmers gegenüber einem Dritten zur Folge haben könnte. Der Versicherer hat die Kosten auf Verlangen des Versicherungsnehmers vorzuschießen.
(2) Ist eine Versicherungssumme bestimmt, hat der Versicherer die Kosten eines auf seine Veranlassung geführten Rechtsstreits und die Kosten der Verteidigung nach Absatz 1 Satz 2 auch insoweit zu ersetzen, als sie zusammen mit den Aufwendungen des Versicherers zur Freistellung des Versicherungsnehmers die Versicherungssumme übersteigen. Dies gilt auch für Zinsen, die der Versicherungsnehmer infolge einer vom Versicherer veranlassten Verzögerung der Befriedigung des Dritten diesem schuldet.
(3) Ist dem Versicherungsnehmer nachgelassen, die Vollstreckung einer gerichtlichen Entscheidung durch Sicherheitsleistung oder Hinterlegung abzuwenden, hat der Versicherer die Sicherheitsleistung oder Hinterlegung zu bewirken. Diese Verpflichtung besteht nur bis zum Betrag der Versicherungssumme; ist der Versicherer nach Absatz 2 über diesen Betrag hinaus verpflichtet, tritt der Versicherungssumme der Mehrbetrag hinzu. Der Versicherer ist von der Verpflichtung nach Satz 1 frei, wenn er den Anspruch des Dritten dem Versicherungsnehmer gegenüber als begründet anerkennt.“
§ 101 VVG, Quelle: gesetze-im-internet.de/vvg_2008/, Abruf: 4. Juni 2026.

Daraus folgt: Abwehrkosten, Strafverteidigungskosten auf Weisung des Versicherers, Vorschuss, Versicherungssumme, Aggregatslimit und Sublimits dürfen nicht in einen einzigen Satz „pauschale Zahlung durch die D&O“ zusammengezogen werden. § 101 Abs. 2 VVG kann bei vom Versicherer veranlassten Rechtsstreit- und Verteidigungskosten eine Kostenlast auch oberhalb der Versicherungssumme anordnen. Ob und wie AVB hiervon wirksam abweichen, ist eine eigene Policen- und Wirksamkeitsfrage.

Der Freistellungsanspruch kann in der D&O-Praxis eine besondere Richtung nehmen. Im Innenhaftungsfall nimmt die Gesellschaft ihr eigenes Organ in Anspruch. Die versicherte Person kann ihren Freistellungsanspruch an die geschädigte Gesellschaft abtreten. § 108 VVG [N-VVG-108] begrenzt, was Allgemeine Versicherungsbedingungen gegen diese Abtretung anordnen können:

„(1) Verfügungen des Versicherungsnehmers über den Freistellungsanspruch gegen den Versicherer sind dem Dritten gegenüber unwirksam. Der rechtsgeschäftlichen Verfügung steht eine Verfügung im Wege der Zwangsvollstreckung oder Arrestvollziehung gleich.
(2) Die Abtretung des Freistellungsanspruchs an den Dritten kann nicht durch Allgemeine Versicherungsbedingungen ausgeschlossen werden.“
§ 108 VVG, Quelle: gesetze-im-internet.de/vvg_2008/, Abruf: 4. Juni 2026.

Für die Insolvenz der Versicherungsnehmerin enthält § 110 VVG [N-VVG-110] eine eigene Schutzregel:

„Ist über das Vermögen des Versicherungsnehmers das Insolvenzverfahren eröffnet, kann der Dritte wegen des ihm gegen den Versicherungsnehmer zustehenden Anspruchs abgesonderte Befriedigung aus dem Freistellungsanspruch des Versicherungsnehmers verlangen.“
§ 110 VVG, Quelle: gesetze-im-internet.de/vvg_2008/, Abruf: 4. Juni 2026.

Für D&O-Innenhaftungsfälle ist § 110 VVG rollenbezogen zu verwenden. Bei der gesellschaftsfinanzierten D&O ist die Gesellschaft häufig Versicherungsnehmerin, der Haftungsanspruch richtet sich aber gegen die versicherte Person. Dann ist zuerst zu klären, wer Versicherungsnehmerin, wer versicherte Person, wer geschädigte Anspruchstellerin, wer Insolvenzverwalter und wer Zessionarin ist. § 110 VVG ersetzt diese Rollenprüfung nicht; häufig steht im Innenhaftungskontext § 108 VVG mit der Abtretung des Freistellungsanspruchs näher im Vordergrund.

Aus diesen Normen ergibt sich das Trennungsprinzip: Das Haftungsverhältnis zwischen Organ und Gesellschaft ist vom Deckungsverhältnis zwischen versicherter Person und Versicherer zu trennen. Ein Haftungsurteil oder ein Vergleich ersetzt nicht automatisch die Deckungsprüfung. Umgekehrt macht eine streitige Deckung aus einer behaupteten Pflichtverletzung keinen bewiesenen Haftungsfall. Bindungswirkungen entstehen nur in den Grenzen, die das Haftpflicht- und Deckungsrecht zulassen.

Die BGH-Linie zum D&O-Quartett muss präzise, aber nicht überdehnt gelesen werden. In IV ZR 304/13 [R-IV-ZR-304-13] hat der BGH entschieden, dass in Innenhaftungsfällen der D&O auch der geschädigte Versicherungsnehmer oder ein in den Versicherungsschutz einbezogenes Tochterunternehmen als Dritter im Sinne von § 108 Abs. 2 VVG gilt. In IV ZR 51/14 [R-IV-ZR-51-14] hat der BGH die Abtretung des Freistellungsanspruchs an den geschädigten Dritten im Innenhaftungskontext ebenfalls behandelt. In IV ZR 360/15 [R-IV-ZR-360-15] hat der BGH ausdrücklich festgehalten, dass eine D&O-Versicherung, die auch Schadensersatzansprüche der Versicherungsnehmerin und ihrer Tochterunternehmen gegen versicherte Personen deckt, Versicherung für fremde Rechnung im Sinne der §§ 43 ff. VVG ist. In IV ZR 110/19 [R-IV-ZR-110-19] hat der BGH die Verfügungsbefugnis über den Anspruch auf Versicherungsschutz nach den vereinbarten Bedingungen auf die versicherte Person bezogen, wenn nur sie den Anspruch geltend machen kann.

Diese Rechtsprechung trägt die typische D&O-Innenhaftungskette: Innenhaftungsvorwurf gegen die versicherte Person, Gesellschaft als Versicherungsnehmerin und Geschädigte, getrennte Haftungs- und Deckungsverhältnisse, Abtretung des Freistellungsanspruchs nach § 108 VVG, anschließend Deckungsklage oder Deckungsverhandlung im eigenen Namen der Zessionarin. Die Kette ersetzt weder die Haftungsprüfung noch die AVB-Prüfung.

VVG-NormFunktion im D&O-Dreieck§ 43 VVGBegründet die Versicherung für fremde Rechnung und grenzt sie von der Eigenversicherung ab.§ 44 VVGOrdnet die Rechte aus dem Versicherungsvertrag grundsätzlich dem Versicherten zu.§ 45 VVGRegelt Verfügungs- und Leistungsrechte des Versicherungsnehmers.§ 46 VVGRegelt Rechte zwischen Versicherungsnehmer und Versichertem; gehört zur vollständigen Normlandkarte.§ 47 VVGVerknüpft Kenntnis und Verhalten des Versicherten mit der Versicherung für fremde Rechnung.§ 100 VVGEnthält Freistellung begründeter und Abwehr unbegründeter Ansprüche.§ 101 VVGRegelt Abwehrkosten, Strafverteidigungskosten auf Weisung, Vorschuss und Kosten oberhalb der Versicherungssumme.§ 108 VVGSichert die Abtretbarkeit des Freistellungsanspruchs an den Dritten gegen AVB-Ausschluss.§ 110 VVGGibt dem Dritten bei Insolvenz des Versicherungsnehmers abgesonderte Befriedigung aus dessen Freistellungsanspruch; im D&O-Innenhaftungsfall muss vorher geklärt werden, ob der Anspruch tatsächlich gegen die Versicherungsnehmerin oder gegen die versicherte Person gerichtet ist.

Versichert sind nach beobachteter Marktpraxis regelmäßig Mitglieder der Geschäftsleitung, also Vorstand, Geschäftsführer und geschäftsführende Direktoren, außerdem Mitglieder des Aufsichts- oder Verwaltungsorgans. Je nach Bedingungswerk können leitende Angestellte, Compliance-Verantwortliche, Datenschutzfunktionen, Organmitglieder von Tochtergesellschaften, frühere Organmitglieder, Ehegatten- oder Erbenkonstellationen und externe Mandate hinzukommen. Der genaue Kreis ist AVB- und policenabhängig. Für die Insolvenz-Konstellation verweist A5-02 auf Insolvenz in der Cyber-Krise.

Demut-Hinweis (M-AVB): Die Normen der §§ 43 bis 47 VVG erklären die gesetzliche Struktur. Der konkrete Kreis der versicherten Personen, die Geltendmachungsbefugnis, Abtretungsmechanik, Kostenführung und Zurechnung hängen zusätzlich vom Bedingungswerk ab.

3. § 93 Absatz 2 Satz 3 AktG — der gesetzliche Pflicht-Selbstbehalt

Der gesetzliche D&O-Pflichtselbstbehalt steht in § 93 Abs. 2 Satz 3 AktG [N-AktG-93]. Die Norm ist enger, als sie in der Praxis oft gelesen wird. Sie verpflichtet nicht jede Gesellschaft zum Abschluss einer D&O-Versicherung. Sie regelt, was vorzusehen ist, wenn die Gesellschaft eine Versicherung zur Absicherung eines Vorstandsmitglieds gegen Risiken aus dessen beruflicher Tätigkeit abschließt.

„Vorstandsmitglieder, die ihre Pflichten verletzen, sind der Gesellschaft zum Ersatz des daraus entstehenden Schadens als Gesamtschuldner verpflichtet. Ist streitig, ob sie die Sorgfalt eines ordentlichen und gewissenhaften Geschäftsleiters angewandt haben, so trifft sie die Beweislast. Schließt die Gesellschaft eine Versicherung zur Absicherung eines Vorstandsmitglieds gegen Risiken aus dessen beruflicher Tätigkeit für die Gesellschaft ab, ist ein Selbstbehalt von mindestens 10 Prozent des Schadens bis mindestens zur Höhe des Eineinhalbfachen der festen jährlichen Vergütung des Vorstandsmitglieds vorzusehen.“
§ 93 Abs. 2 AktG, Quelle: gesetze-im-internet.de/aktg/, Abruf: 4. Juni 2026.

Der Selbstbehalt (Deductible) ist eine gesetzliche Mindestanforderung, keine Höchstgrenze. Die Police darf im Rahmen des rechtlich und vertraglich Zulässigen einen höheren Selbstbehalt vorsehen. Der Pflichtselbstbehalt gilt unmittelbar für Vorstandsmitglieder der Aktiengesellschaft. Für die GmbH folgt er nicht aus § 93 Abs. 2 Satz 3 AktG. In der monistischen SE und in der GmbH-Praxis können vergleichbare Selbstbehalte vertraglich oder marktüblich auftauchen; das ist eine AVB- und Praxisfrage, kein direkter Gesetzesbefehl aus § 93 Abs. 2 Satz 3 AktG.

Für die Abschlusskompetenz ist bei der Aktiengesellschaft § 112 AktG mitzulesen:

„Vorstandsmitgliedern gegenüber vertritt der Aufsichtsrat die Gesellschaft gerichtlich und außergerichtlich. § 78 Abs. 2 Satz 2 gilt entsprechend.“
§ 112 AktG, Quelle: gesetze-im-internet.de/aktg/, Abruf: 4. Juni 2026.

Daraus folgt für die D&O-Praxis: Wird die D&O-Versicherung für Vorstandsmitglieder abgeschlossen oder angepasst, gehört die Vertretungszuständigkeit des Aufsichtsrats auf die Checkliste. Eine Police, ein Renewal oder ein Vergleich über Deckungsfragen darf nicht losgelöst von den Vertretungsregeln geprüft werden.

Für Aufsichtsräte ist § 116 Satz 1 AktG [N-AktG-116] entscheidend. Die Norm verweist auf § 93 AktG, nimmt den Pflichtselbstbehalt aber ausdrücklich aus:

„Für die Sorgfaltspflicht und Verantwortlichkeit der Aufsichtsratsmitglieder gelten § 93 mit Ausnahme des Absatzes 2 Satz 3 über die Sorgfaltspflicht und Verantwortlichkeit der Vorstandsmitglieder und § 15b der Insolvenzordnung sinngemäß.“
§ 116 Satz 1 AktG, Quelle: gesetze-im-internet.de/aktg/, Abruf: 4. Juni 2026.

Damit gilt der gesetzliche Pflichtselbstbehalt des § 93 Abs. 2 Satz 3 AktG nicht kraft § 116 AktG für Aufsichtsratsmitglieder. Aufsichtsräte können je nach Police versicherte Personen sein. Ob ein vertraglicher Selbstbehalt gilt, steht im Bedingungswerk. Die gesetzliche Mindestselbstbehaltsregel wird durch § 116 Satz 1 AktG gerade nicht auf sie erstreckt.

Streitstand-Hinweis: Ob ein Vorstandsmitglied den gesetzlichen Pflichtselbstbehalt über eine separate Selbstbehalts-Versicherung wirtschaftlich neutralisieren darf, wird kritisch diskutiert. Die risikokonservative Lesart behandelt eine vollständige wirtschaftliche Aushebelung des Pflichtselbstbehalts als Umgehungsproblem. Der konkrete Befund hängt von Struktur, Versicherungsnehmer, Prämientragung und Vertragsinhalt ab.

4. Der Auslöser: Innenhaftung der Geschäftsleitung

Bei einer claims-made-geprägten D&O beginnt der maßgebliche Deckungszugang nicht mit dem Cyber-Angriff selbst. Regelmäßig knüpft er an die erstmalige Inanspruchnahme der versicherten Person wegen eines behaupteten Vermögensschadens an; soweit die AVB dies vorsehen, können auch Umstandsmeldung, Serienfall- oder Nachmeldebausteine relevant werden. Im NIS-2-/BSIG-Kontext liegt der Haftungsanker zunächst bei den Geschäftsleitungspflichten aus § 38 BSIG [N-BSIG-38] und den rechtsformabhängigen Haftungsregeln. Bei Einrichtungen außerhalb des BSIG-Standardpfads oder in Spezialregimen, etwa TKG, EnWG oder DORA [EU-DORA], ist zusätzlich zu prüfen, welche Spezialnorm den konkreten Pflichtenkreis steuert.

§ 38 BSIG lautet auszugsweise:

„(1) Geschäftsleitungen besonders wichtiger Einrichtungen und wichtiger Einrichtungen sind verpflichtet, die von diesen Einrichtungen nach § 30 zu ergreifenden Risikomanagementmaßnahmen umzusetzen und ihre Umsetzung zu überwachen.
(2) Geschäftsleitungen, die ihre Pflichten nach Absatz 1 verletzen, haften ihrer Einrichtung für einen schuldhaft verursachten Schaden nach den auf die Rechtsform der Einrichtung anwendbaren Regeln des Gesellschaftsrechts. Nach diesem Gesetz haften sie nur, wenn die für die Einrichtung maßgeblichen gesellschaftsrechtlichen Bestimmungen keine Haftungsregelung nach Satz 1 enthalten.“
§ 38 Abs. 1 und 2 BSIG, Quelle: gesetze-im-internet.de/bsig_2025/, Abruf: 4. Juni 2026.

Diese Norm darf nicht als pauschale Direktformel gelesen werden. § 38 Abs. 1 BSIG konkretisiert Geschäftsleitungspflichten für die nach § 30 BSIG [N-BSIG-30] zu ergreifenden Risikomanagementmaßnahmen. § 38 Abs. 2 Satz 1 BSIG verweist für schuldhaft verursachte Schäden auf die rechtsformabhängigen gesellschaftsrechtlichen Haftungsregeln. § 38 Abs. 2 Satz 2 BSIG ist eine Auffangregel für Fälle, in denen die maßgeblichen gesellschaftsrechtlichen Bestimmungen keine Haftungsregel im Sinne von Satz 1 enthalten.

Bei einer GmbH ist § 43 GmbHG [N-GmbHG-43] der zentrale Innenhaftungsanker:

„(1) Die Geschäftsführer haben in den Angelegenheiten der Gesellschaft die Sorgfalt eines ordentlichen Geschäftsmannes anzuwenden.
(2) Geschäftsführer, welche ihre Obliegenheiten verletzen, haften der Gesellschaft solidarisch für den entstandenen Schaden.“
§ 43 Abs. 1 und 2 GmbHG, Quelle: gesetze-im-internet.de/gmbhg/__43.html, Abruf: 4. Juni 2026.

Bei der Aktiengesellschaft ist § 93 Abs. 2 AktG [N-AktG-93] maßgeblich. Die Innenhaftung, die den D&O-Fall auslöst, ist in Innenhaftung der Geschäftsleitung vertieft, einschließlich Tatbestand, Beweislast, Schaden, Kausalität und Verjährung. A5-02 behandelt diese Haftung nur so weit, wie sie für die D&O-Deckungsprüfung erforderlich ist.

Die Haftungs- zur Deckungs-Kette lautet präzise: Zuerst steht der Vorwurf einer Organpflichtverletzung. Im Cyber-Kontext kann dieser Vorwurf etwa lauten, dass Risikomanagementmaßnahmen nicht umgesetzt, nicht überwacht oder nicht angemessen dokumentiert wurden. Danach braucht es einen Innenhaftungsanspruch der Gesellschaft nach der anwendbaren Rechtsform, bei der GmbH etwa § 43 GmbHG, bei der AG § 93 AktG, im BSIG-Kontext vermittelt über § 38 Abs. 2 BSIG. Für die eigentliche Haftpflichtleistungsprüfung muss die versicherte Person regelmäßig tatsächlich in Anspruch genommen werden; AVB-wirksame Umstands-, Serienfall- oder Nachmeldebausteine können aber den Zeitbezug für eine spätere Anspruchserhebung sichern. Erst auf dieser Grundlage öffnet sich die D&O-Deckungsprüfung.

Diese Deckungsprüfung hat eigene Stufen: versicherte Person, versicherte Tätigkeit, Anspruchsart, Versicherungsperiode, Anspruchserhebung, Rückwärts- oder Nachmeldebaustein, Versicherungssumme, Selbstbehalt, Ausschlüsse, Obliegenheiten und etwaige Sublimits. Innerhalb dieser Prüfung kommen Freistellung, Abwehr unbegründeter Ansprüche, Vorschuss, Vergleich, Teildeckung oder Ablehnung in Betracht. Eine endgültige Ersatzbelastung des Organs entsteht erst dann, wenn eine durchsetzbare Haftung besteht und keine oder keine ausreichende Deckung greift oder der Selbstbehalt eingreift. Wirtschaftliche Belastungen können aber bereits vorher relevant werden, etwa durch Abwehrkosten, Vorschuss- und Kostendeckungsstreit, Selbstbehalte, nicht freigegebene Vergleiche oder getrennt zu prüfende Straf- und OWi-Verteidigungskosten. Die Verbandsgeldbuße der Einrichtung nach § 65 BSIG [N-BSIG-65] ist kein Glied dieser Haftungs- zur Deckungs-Kette.

5. Der Wissentlichkeitsausschluss — Kern des Artikels

Der Wissentlichkeitsausschluss ist die wichtigste D&O-Schnittstelle zwischen Cyber-Governance und Versicherungsrecht. Er betrifft nicht die Frage, ob ein Organmitglied haftet. Er betrifft die Frage, ob der Versicherer sich im Deckungsverhältnis auf einen Risikoausschluss berufen kann. Deshalb muss die deckungsrechtliche Wissentlichkeit von zivilrechtlichem Vorsatz und Fahrlässigkeit nach § 276 BGB getrennt werden.

Der amtliche Leitsatz des BGH-Urteils vom 19. November 2025 — IV ZR 66/25 [R-IV-ZR-66-25] — lautet:

„Der Ausschluss des Versicherungsschutzes nach Ziffer 6 ULLA setzt voraus, dass gerade die Pflichtverletzung aufgrund gesetzlicher Haftpflichtbestimmungen, wegen der die versicherte Person für einen Vermögensschaden in Anspruch genommen wird, wissentlich erfolgte.“
BGH, Urteil vom 19. November 2025 — IV ZR 66/25, ECLI:DE:BGH:2025:191125UIVZR66.25.0.

Der BGH entschied keinen Cyber-Fall. Der zugrunde liegende Haftungsvorwurf betraf Zahlungen nach Insolvenzreife nach § 64 Satz 1 GmbHG a.F. Der Cyber-Bezug dieses Artikels ist deshalb eine Übertragung der deckungsrechtlichen Struktur auf Cyber-Innenhaftungsvorwürfe. Diese Übertragung ist wichtig, aber sie bleibt eine Übertragung.

Die im Urteil referierte Klausel Ziffer 6 ULLA lautete auszugsweise:

„Ausgeschlossen vom Versicherungsschutz sind Haftpflichtansprüche wegen vorsätzlicher Schadenverursachung oder durch wissentliches Abweichen von Gesetz, Vorschrift, Beschluss, Vollmacht oder Weisung oder durch sonstige wissentliche Pflichtverletzung durch eine versicherte Person. …“
BGH, Urteil vom 19. November 2025 — IV ZR 66/25, Tatbestand zur Ziffer 6 ULLA.

Der Leitsatz verlangt den Bezug auf die konkret haftungsauslösende Pflichtverletzung. Es genügt für sich genommen nicht, dass die versicherte Person allgemeine Cyber-Risiken kannte oder einen nicht auf die konkret haftungsauslösende Pflichtverletzung bezogenen Prüfbericht gesehen hatte. Anders kann es liegen, wenn ein Audit, ein Vorstandsbeschluss, eine behördliche Anordnung oder eine interne Vorlage die konkrete Pflichtverletzung so bestimmt bezeichnet, dass positive Kenntnis gerade dieser Pflichtverletzung naheliegt. Entscheidend ist, ob gerade die Pflichtverletzung, wegen der sie für einen Vermögensschaden in Anspruch genommen wird, wissentlich erfolgte.

Die tragenden Gründe sind vom Leitsatz zu trennen. Der BGH arbeitet mit der Auslegung von AVB aus Sicht eines durchschnittlichen Versicherungsnehmers und eines durchschnittlichen Versicherten. Risikoausschlussklauseln werden eng gelesen. Der Versicherte soll nicht damit rechnen müssen, dass ein Risikoausschluss weiter reicht, als der erkennbare Zweck der Klausel trägt.

Die Gründe des Urteils betonen außerdem die subjektive Seite. Wissentliche Pflichtverletzung verlangt positive Kenntnis der Pflicht und das Bewusstsein, pflichtwidrig zu handeln. Bedingter Vorsatz im zivilrechtlichen Sinn und fahrlässige Unkenntnis reichen nach der BGH-Linie nicht ohne Weiteres. Ein bewusstes Sich-Verschließen kann in der Argumentation des Versicherers eine Rolle spielen, ersetzt aber nicht die Prüfung, ob die konkret haftungsauslösende Pflichtverletzung wissentlich begangen wurde.

§ 276 BGB darf daher nicht mit der Wissentlichkeitsklausel verschmolzen werden. § 276 BGB lautet:

„(1) Der Schuldner hat Vorsatz und Fahrlässigkeit zu vertreten, wenn eine strengere oder mildere Haftung weder bestimmt noch aus dem sonstigen Inhalt des Schuldverhältnisses, insbesondere aus der Übernahme einer Garantie oder eines Beschaffungsrisikos, zu entnehmen ist. Die Vorschriften der §§ 827 und 828 finden entsprechende Anwendung.
(2) Fahrlässig handelt, wer die im Verkehr erforderliche Sorgfalt außer Acht lässt.“
§ 276 Abs. 1 und 2 BGB, Quelle: gesetze-im-internet.de/bgb/, Abruf: 4. Juni 2026.

§ 276 BGB gehört zur zivilrechtlichen Verschuldenswelt. Der Wissentlichkeitsausschluss gehört zur deckungsrechtlichen AVB-Welt. Ein Organ kann zivilrechtlich fahrlässig oder vorsätzlich gehandelt haben, ohne dass damit automatisch die AVB-Wissentlichkeit in Bezug auf die konkret haftungsauslösende Pflichtverletzung bewiesen wäre.

Als gesetzlicher Bezugspunkt für die vorsätzliche und widerrechtliche Herbeiführung des Versicherungsfalls ist § 103 VVG [N-VVG-103] mitzulesen:

„Der Versicherer ist nicht zur Leistung verpflichtet, wenn der Versicherungsnehmer vorsätzlich und widerrechtlich den bei dem Dritten eingetretenen Schaden herbeigeführt hat.“
§ 103 VVG, Quelle: gesetze-im-internet.de/vvg_2008/, Abruf: 4. Juni 2026.

In der D&O als Versicherung für fremde Rechnung spricht § 103 VVG seinem Wortlaut nach vom Versicherungsnehmer. Für versicherte Personen sind deshalb § 47 VVG [N-VVG-47] und die konkrete AVB-Zurechnung entscheidend. Die Police muss daraufhin gelesen werden, ob und wie Verhalten und Kenntnis der versicherten Person den Versicherungsschutz berühren. Eine pauschale Gleichsetzung von § 103 VVG, § 276 BGB und Ziffer 6 ULLA wäre eine Cross-Normwelt-Vermischung.

Für Cyber-Fälle bedeutet das: Ein Versicherer kann den Wissentlichkeitsausschluss nicht tragfähig auf die bloße Behauptung stützen, die Geschäftsleitung habe „von Cyber-Risiken gewusst“. Er muss den Ausschluss auf die Pflichtverletzung beziehen, wegen der die versicherte Person konkret in Anspruch genommen wird. War der Vorwurf etwa, dass ein Vorstand trotz dokumentierter Beschlusslage keine Mindestmaßnahmen umgesetzt hat, ist diese Pflichtverletzung zu prüfen. War der Vorwurf dagegen die unterlassene Kontrolle eines Dienstleisters, ist diese Pflichtverletzung zu prüfen. Eine andere, vorgelagerte oder allgemeinere Pflichtverletzung ersetzt diese Zuordnung nicht.

Prüfpunkt für die Geschäftsleitung: In der D&O-Police ist nicht nur zu lesen, ob es einen Wissentlichkeitsausschluss gibt. Entscheidend sind Wortlaut, Beweislast, Zurechnung, Ausschlussreichweite, Abwehrkostenschutz bis zur Feststellung und der Umgang mit mehreren versicherten Personen. Bei mehreren Organmitgliedern muss die Police zeigen, ob Wissentlichkeit einer Person anderen Personen zugerechnet wird.

6. AVB-Architektur und Claims-made

D&O-Deckung arbeitet in der Marktpraxis regelmäßig mit dem Anspruchserhebungsprinzip (Claims-made). Entscheidend ist nicht schlicht der Zeitpunkt des Cyber-Vorfalls, sondern wann die versicherte Person wegen eines versicherten Vermögensschadens in Anspruch genommen wird. Diese Anspruchserhebung muss in die Versicherungsperiode, eine wirksame Nachmeldefrist (Discovery Period) oder einen Run-off-Baustein fallen. Rückwärtsdeckung kann frühere Pflichtverletzungen einbeziehen, wenn die Police das vorsieht und keine Vorkenntnis- oder Umstandsausschlüsse eingreifen.

Demut-Hinweis (M-AVB): Claims-made, Rückwärtsdeckung, Nachmeldefrist, Umstandsmeldung, Serienklausel, Aggregatslimit und Sublimits sind Bedingungswerk. Sie sind keine gesetzlichen Standardbausteine mit einheitlichem Inhalt. Jede Aussage in dieser Sektion ist daher als Prüfstruktur zu lesen, nicht als Deckungszusage.

Für die Insolvenz- und Nachmeldefristseite ist BGH IV ZR 151/23 [R-IV-ZR-151-23] maßgeblich. Die amtlichen Leitsätze lauten:

„a) Eine Klausel in den Allgemeinen Versicherungsbedingungen einer D&O-Versicherung, die ohne Berücksichtigung der sich aus § 11 Abs. 1 und 3 VVG ergebenden Mindestkündigungsfrist das automatische Ende des Versicherungsvertrages mit dem Ablauf der Versicherungsperiode vorsieht, in welcher der Antrag auf Eröffnung des Insolvenzverfahrens über das Vermögen der Versicherungsnehmerin gestellt worden ist, ist unwirksam.
b) Zur Auslegung einer Klausel in den Allgemeinen Versicherungsbedingungen einer unter Geltung des Anspruchserhebungsprinzips („Claims-made-Prinzip“) geschlossenen D&O-Versicherung, wonach bei einer Beendigung des Vertrages „aus einem anderen Grund als eines Prämienzahlungsverzuges oder der Liquidation, Insolvenz, Verschmelzung oder Neubeherrschung der Versicherungsnehmerin“ eine prämienneutrale Nachmeldefrist besteht.“
BGH, Urteil vom 18. Dezember 2024 — IV ZR 151/23, ECLI:DE:BGH:2024:181224UIVZR151.23.0.

Der Leitsatz trägt keine Aussage, dass jede Insolvenzklausel in jeder D&O-Police unwirksam wäre. Er betrifft die Inhaltskontrolle und Auslegung konkreter AVB. Der Normenrahmen umfasst § 11 Abs. 1 und 3 VVG [N-VVG-11] sowie § 307 Abs. 1 Satz 1, Abs. 2 Nr. 1 und Abs. 3 Satz 1 BGB. § 307 Abs. 3 Satz 1 BGB ist deshalb in diesem Artikel nicht als isolierter Leitsatzkern, sondern als Kontrollfähigkeits- und Normenrahmen mitzulesen.

§ 11 VVG liefert den Zeitrahmen für Verlängerung und Kündigung. Für IV ZR 151/23 sind Absatz 1 und Absatz 3 gemeinsam wichtig:

„(1) Wird bei einem auf eine bestimmte Zeit eingegangenen Versicherungsverhältnis im Voraus eine Verlängerung für den Fall vereinbart, dass das Versicherungsverhältnis nicht vor Ablauf der Vertragszeit gekündigt wird, ist die Verlängerung unwirksam, soweit sie sich jeweils auf mehr als ein Jahr erstreckt.
(3) Die Kündigungsfrist muss für beide Vertragsparteien gleich sein; sie darf nicht weniger als einen Monat und nicht mehr als drei Monate betragen.“
§ 11 Abs. 1 und 3 VVG, Quelle: gesetze-im-internet.de/vvg_2008/, Abruf: 4. Juni 2026.

§ 307 BGB [N-BGB-307] ist der AGB-Kontrollmaßstab. Für die D&O-Insolvenzklausel sind insbesondere Absatz 1 Satz 1, Absatz 2 Nr. 1 und Absatz 3 Satz 1 zu spiegeln:

„(1) Bestimmungen in Allgemeinen Geschäftsbedingungen sind unwirksam, wenn sie den Vertragspartner des Verwenders entgegen den Geboten von Treu und Glauben unangemessen benachteiligen. Eine unangemessene Benachteiligung kann sich auch daraus ergeben, dass die Bestimmung nicht klar und verständlich ist.
(2) Eine unangemessene Benachteiligung ist im Zweifel anzunehmen, wenn eine Bestimmung

1. mit wesentlichen Grundgedanken der gesetzlichen Regelung, von der abgewichen wird, nicht zu vereinbaren ist oder
2. wesentliche Rechte oder Pflichten, die sich aus der Natur des Vertrags ergeben, so einschränkt, dass die Erreichung des Vertragszwecks gefährdet ist.
   (3) Die Absätze 1 und 2 sowie die §§ 308 und 309 gelten nur für Bestimmungen in Allgemeinen Geschäftsbedingungen, durch die von Rechtsvorschriften abweichende oder diese ergänzende Regelungen vereinbart werden. Andere Bestimmungen können nach Absatz 1 Satz 2 in Verbindung mit Absatz 1 Satz 1 unwirksam sein.“
   § 307 BGB, Quelle: gesetze-im-internet.de/bgb/, Abruf: 4. Juni 2026.

Die Claims-made-Lücke entsteht nicht automatisch dadurch, dass Cyber-Vorfall, Inanspruchnahme und Insolvenzantrag zeitlich nahe beieinanderliegen. Sie entsteht, wenn Anspruchserhebung, Versicherungsperiode, automatische Beendigung, Nachmeldefrist, Run-off-Schutz, Insolvenzereignis und konkrete AVB so zusammenspielen, dass der Versicherer den Zeitbezug bestreitet. IV ZR 151/23 ist deshalb ein Warnsignal für Klauselkontrolle, kein Freibrief für jede Nachmeldung.

Für die Policenprüfung gehören vier Zeitfragen nebeneinander: Erstens, wann wurde die versicherte Person erstmals schriftlich in Anspruch genommen? Zweitens, wann fand die behauptete Pflichtverletzung statt und gibt es Rückwärtsdeckung? Drittens, gab es vor Vertragsschluss oder Renewal bekannte Umstände, die hätten gemeldet werden müssen? Viertens, gibt es eine Nachmeldefrist oder einen Run-off bei Organwechsel, Kontrollwechsel, Insolvenz oder Beendigung der Police?

Die Deckungssumme ist ein eigener Prüfungspunkt. D&O-Policen arbeiten häufig mit einer Jahreshöchstleistung beziehungsweise einem Aggregatslimit. Das bedeutet: Mehrere Ansprüche innerhalb einer Versicherungsperiode können dieselbe Summe verbrauchen. Serien- oder Serienschadenklauseln können mehrere Pflichtverletzungen als einen Versicherungsfall behandeln. Sublimits können einzelne Kostenarten oder besondere Konstellationen begrenzen. Bei einem Cyber-Großschaden kann diese Mechanik wichtiger sein als die nominelle Versicherungssumme auf der ersten Seite der Police.

Besonders sensibel ist der Versichererwechsel. Wer von einer D&O-Police in eine andere wechselt, muss Rückwärtsdeckung, Vorkenntnis, Umstandsmeldung, offene Meldungen, Nachmeldefrist und Run-off lückenlos übereinanderlegen. Eine bekannte Risikolage, ein interner Bericht, eine behördliche Anhörung oder eine noch nicht erhobene Anspruchsdrohung kann im alten Vertrag meldefähig und im neuen Vertrag ausgeschlossen sein. Das ist kein theoretisches Problem, sondern eine typische Lücke bei Cyber-Compliance-Schulden.

7. Obliegenheiten und vorvertragliche Anzeige

Die D&O-Deckung beginnt praktisch schon beim Antrag. § 19 VVG [N-VVG-19] regelt die vorvertragliche Anzeigepflicht des Versicherungsnehmers. Bei D&O-Programmen geht es dabei nicht nur um Bilanzdaten und Organstruktur, sondern zunehmend um Angaben zur IT-Sicherheits- und Compliance-Lage. Cyber-Fragebögen können nach Multifaktor-Authentifizierung, Backup-Reife, Incident-Response-Plan, Patchmanagement, Dienstleistersteuerung, NIS-2-/BSIG-Einordnung, Audits, Vorfällen und bekannten Umständen fragen.

Der entscheidende erste Prüfstein des § 19 VVG ist nicht eine allgemeine Offenbarungspflicht „über alles“, sondern die Antwort auf gefahrerhebliche Fragen des Versicherers in Textform:

„(1) Der Versicherungsnehmer hat bis zur Abgabe seiner Vertragserklärung die ihm bekannten Gefahrumstände, die für den Entschluss des Versicherers, den Vertrag mit dem vereinbarten Inhalt zu schließen, erheblich sind und nach denen der Versicherer in Textform gefragt hat, dem Versicherer anzuzeigen. Stellt der Versicherer nach der Vertragserklärung des Versicherungsnehmers, aber vor Vertragsannahme Fragen im Sinn des Satzes 1, ist der Versicherungsnehmer auch insoweit zur Anzeige verpflichtet.“
§ 19 Abs. 1 VVG, Quelle: gesetze-im-internet.de/vvg_2008/, Abruf: 4. Juni 2026.

§ 21 VVG [N-VVG-21] regelt, wie der Versicherer Rechte aus einer Anzeigepflichtverletzung ausüben muss und welche Kausalitätsgrenzen bestehen:

„(1) Der Versicherer muss die ihm nach § 19 Abs. 2 bis 4 zustehenden Rechte innerhalb eines Monats schriftlich geltend machen. Die Frist beginnt mit dem Zeitpunkt, zu dem der Versicherer von der Verletzung der Anzeigepflicht, die das von ihm geltend gemachte Recht begründet, Kenntnis erlangt. Der Versicherer hat bei der Ausübung seiner Rechte die Umstände anzugeben, auf die er seine Erklärung stützt; er darf nachträglich weitere Umstände zur Begründung seiner Erklärung angeben, wenn für diese die Frist nach Satz 1 nicht verstrichen ist.
(2) Im Fall eines Rücktrittes nach § 19 Abs. 2 nach Eintritt des Versicherungsfalles ist der Versicherer nicht zur Leistung verpflichtet, es sei denn, die Verletzung der Anzeigepflicht bezieht sich auf einen Umstand, der weder für den Eintritt oder die Feststellung des Versicherungsfalles noch für die Feststellung oder den Umfang der Leistungspflicht des Versicherers ursächlich ist. Hat der Versicherungsnehmer die Anzeigepflicht arglistig verletzt, ist der Versicherer nicht zur Leistung verpflichtet.
(3) Die Rechte des Versicherers nach § 19 Abs. 2 bis 4 erlöschen nach Ablauf von fünf Jahren nach Vertragsschluss; dies gilt nicht für Versicherungsfälle, die vor Ablauf dieser Frist eingetreten sind. Hat der Versicherungsnehmer die Anzeigepflicht vorsätzlich oder arglistig verletzt, beläuft sich die Frist auf zehn Jahre.“
§ 21 VVG, Quelle: gesetze-im-internet.de/vvg_2008/, Abruf: 4. Juni 2026.

§ 28 VVG [N-VVG-28] betrifft dagegen vertragliche Obliegenheiten. Er ist von § 19 VVG zu trennen: § 19 blickt auf die vorvertragliche Anzeige; § 28 blickt auf eine vertragliche Obliegenheit, die vor oder nach Eintritt des Versicherungsfalls bestehen kann.

„(1) Bei Verletzung einer vertraglichen Obliegenheit, die vom Versicherungsnehmer vor Eintritt des Versicherungsfalles gegenüber dem Versicherer zu erfüllen ist, kann der Versicherer den Vertrag innerhalb eines Monats, nachdem er von der Verletzung Kenntnis erlangt hat, ohne Einhaltung einer Frist kündigen, es sei denn, die Verletzung beruht nicht auf Vorsatz oder auf grober Fahrlässigkeit.
(2) Bestimmt der Vertrag, dass der Versicherer bei Verletzung einer vom Versicherungsnehmer zu erfüllenden vertraglichen Obliegenheit nicht zur Leistung verpflichtet ist, ist er leistungsfrei, wenn der Versicherungsnehmer die Obliegenheit vorsätzlich verletzt hat. Im Fall einer grob fahrlässigen Verletzung der Obliegenheit ist der Versicherer berechtigt, seine Leistung in einem der Schwere des Verschuldens des Versicherungsnehmers entsprechenden Verhältnis zu kürzen; die Beweislast für das Nichtvorliegen einer groben Fahrlässigkeit trägt der Versicherungsnehmer.
(3) Abweichend von Absatz 2 ist der Versicherer zur Leistung verpflichtet, soweit die Verletzung der Obliegenheit weder für den Eintritt oder die Feststellung des Versicherungsfalles noch für die Feststellung oder den Umfang der Leistungspflicht des Versicherers ursächlich ist. Satz 1 gilt nicht, wenn der Versicherungsnehmer die Obliegenheit arglistig verletzt hat.
(4) Die vollständige oder teilweise Leistungsfreiheit des Versicherers nach Absatz 2 hat bei Verletzung einer nach Eintritt des Versicherungsfalles bestehenden Auskunfts- oder Aufklärungsobliegenheit zur Voraussetzung, dass der Versicherer den Versicherungsnehmer durch gesonderte Mitteilung in Textform auf diese Rechtsfolge hingewiesen hat.
(5) Eine Vereinbarung, nach welcher der Versicherer bei Verletzung einer vertraglichen Obliegenheit zum Rücktritt berechtigt ist, ist unwirksam.“
§ 28 VVG, Quelle: gesetze-im-internet.de/vvg_2008/, Abruf: 4. Juni 2026.

Für den D&O-Cyber-Check entsteht daraus eine Dreistufen-Kette. Erstens: Was hat der Versicherer in Textform gefragt, und war die Antwort auf Grundlage der damals bekannten Gefahrumstände richtig? Zweitens: Macht der Versicherer Rechte aus § 19 VVG innerhalb der Grenzen des § 21 VVG geltend? Drittens: Beruft sich der Versicherer auf eine vertragliche Obliegenheit nach § 28 VVG, und sind Verschulden, Kausalität, Belehrung und konkrete Vertragsgrundlage geprüft?

Im Schadensfall kommt zusätzlich § 104 VVG als haftpflichtversicherungsrechtliche Anzeigepflicht hinzu. Diese Norm ist von bloßen AVB-Meldeklauseln zu unterscheiden:

„(1) Der Versicherungsnehmer hat dem Versicherer innerhalb einer Woche die Tatsachen anzuzeigen, die seine Verantwortlichkeit gegenüber einem Dritten zur Folge haben könnten. Macht der Dritte seinen Anspruch gegenüber dem Versicherungsnehmer geltend, ist der Versicherungsnehmer zur Anzeige innerhalb einer Woche nach der Geltendmachung verpflichtet.
(2) Wird gegen den Versicherungsnehmer ein Anspruch gerichtlich geltend gemacht, Prozesskostenhilfe beantragt oder wird ihm gerichtlich der Streit verkündet, hat er dies dem Versicherer unverzüglich anzuzeigen. Dies gilt auch, wenn gegen den Versicherungsnehmer wegen des den Anspruch begründenden Schadensereignisses ein Ermittlungsverfahren eingeleitet wird.
(3) Zur Wahrung der Fristen nach den Absätzen 1 und 2 genügt die rechtzeitige Absendung der Anzeige. § 30 Abs. 2 ist entsprechend anzuwenden.“
§ 104 VVG, Quelle: gesetze-im-internet.de/vvg_2008/, Abruf: 4. Juni 2026.

Bei einer D&O als Versicherung für fremde Rechnung muss zusätzlich die konkrete AVB-Struktur gelesen werden: Wer ist zur Anzeige verpflichtet, wer darf melden, welche Meldung wahrt die Frist, und wie wirken § 44, § 45, § 47 und § 104 VVG zusammen? Ein Anspruchsschreiben der Gesellschaft, eine gerichtliche Klage, ein Streitverkündungsfall, eine behördliche Anhörung oder ein Ermittlungsverfahren kann für unterschiedliche Policen unterschiedliche Meldepfade auslösen.

Besonders wichtig ist das Anerkenntnis- und Vergleichsthema. Typisch sind Abstimmungs-, Anzeige-, Mitwirkungs- und Auskunftsobliegenheiten. Eine pauschale Aussage, wonach jede Anerkennung oder Befriedigung ohne Zustimmung des Versicherers automatisch den Versicherungsschutz zerstört, wäre aber falsch. § 105 VVG lautet:

„Eine Vereinbarung, nach welcher der Versicherer nicht zur Leistung verpflichtet ist, wenn ohne seine Einwilligung der Versicherungsnehmer den Dritten befriedigt oder dessen Anspruch anerkennt, ist unwirksam.“
§ 105 VVG, Quelle: gesetze-im-internet.de/vvg_2008/, Abruf: 4. Juni 2026.

Das bedeutet nicht, dass Vergleiche, Anerkenntnisse und Schadensteuerung folgenlos sind. Es bedeutet, dass § 105 VVG als gesetzliches Korrektiv mitzulesen ist. Vergleiche, Anerkenntnisse, Schuldeingeständnisse, Kostenfreigaben und Kommunikationslinien bleiben nach AVB, § 28 VVG, § 104 VVG, § 105 VVG und Einzelfall zu prüfen.

Der Abwehrkosten-Vorschuss nach § 101 Abs. 1 Satz 3 VVG ist praktisch wichtig. Eine Organperson muss eine Deckungsdiskussion nicht erst am Ende eines jahrelangen Haftungsstreits führen. Der Vorschussanspruch kann die Verteidigung ermöglichen, sofern die Voraussetzungen des Versicherungsvertrags und des VVG erfüllt sind. Die Abstimmung mit einem eigenständigen Straf- und OWi-Rechtsschutz bleibt davon getrennt; dieser Baustein wird in Strafrechtsschutz für die Cyber-Verteidigung vertieft.

Für den Antrag und das Renewal gilt als Praxisempfehlung: Cyber-Angaben sollten nicht isoliert durch IT oder Einkauf beantwortet werden. Geschäftsleitung, Recht, Datenschutz, Informationssicherheit, Versicherungsmakler und gegebenenfalls externe Beratung sollten dieselbe Tatsachengrundlage verwenden. Was der Versicherer im Antrag prüft und wie Deckung zustande kommt, ist in Antrag & Anzeigepflicht (Underwriting) vertieft.

8. Regress und Forderungsübergang

§ 86 VVG [N-VVG-86] regelt den Übergang von Ersatzansprüchen auf den Versicherer. Für den D&O-Cyber-Kontext ist nicht nur Absatz 1 relevant, sondern auch die Wahrungs- und Mitwirkungsobliegenheit aus Absatz 2:

„(1) Steht dem Versicherungsnehmer ein Ersatzanspruch gegen einen Dritten zu, geht dieser Anspruch auf den Versicherer über, soweit der Versicherer den Schaden ersetzt. Der Übergang kann nicht zum Nachteil des Versicherungsnehmers geltend gemacht werden.
(2) Der Versicherungsnehmer hat seinen Ersatzanspruch oder ein zur Sicherung dieses Anspruchs dienendes Recht unter Beachtung der geltenden Form- und Fristvorschriften zu wahren und bei dessen Durchsetzung durch den Versicherer soweit erforderlich mitzuwirken. Verletzt der Versicherungsnehmer diese Obliegenheit vorsätzlich, ist der Versicherer zur Leistung insoweit nicht verpflichtet, als er infolgedessen keinen Ersatz von dem Dritten erlangen kann. Im Fall einer grob fahrlässigen Verletzung der Obliegenheit ist der Versicherer berechtigt, seine Leistung in einem der Schwere des Verschuldens des Versicherungsnehmers entsprechenden Verhältnis zu kürzen; die Beweislast für das Nichtvorliegen einer groben Fahrlässigkeit trägt der Versicherungsnehmer.
(3) Richtet sich der Ersatzanspruch des Versicherungsnehmers gegen eine Person, mit der er bei Eintritt des Schadens in häuslicher Gemeinschaft lebt, kann der Übergang nach Absatz 1 nicht geltend gemacht werden, es sei denn, diese Person hat den Schaden vorsätzlich verursacht.“
§ 86 VVG, Quelle: gesetze-im-internet.de/vvg_2008/, Abruf: 4. Juni 2026.

Im D&O-Cyber-Kontext kann § 86 VVG relevant werden, wenn nach einer Versicherungsleistung ein eigener Ersatzanspruch des Versicherungsnehmers gegen einen Dritten besteht und gerade dieser Schaden ersetzt wurde. Bei externen Dienstleistern, früheren Verantwortlichen oder anderen Schädigern ist daher zuerst zu klären, wessen Anspruch betroffen ist, in welchem Versicherungsverhältnis gezahlt wurde und ob der Anspruch zur D&O-, Cyber-Police- oder Dienstleisterhaftungsschiene gehört. Für die Organperson ist wichtig: Der Forderungsübergang ersetzt nicht die Haftungsprüfung. Er beantwortet die nachgelagerte Frage, wer nach einer Leistung wirtschaftlich einen Ersatzanspruch verfolgen darf.

Die Gesellschaft sollte Regress- und Subrogationsrechte nicht versehentlich schwächen. Unbedachte Verzichtserklärungen, schlecht formulierte Dienstleisterverträge oder vorschnelle Vergleiche können später Versicherungs- und Regressfragen berühren. Ein gesellschaftsrechtlicher Verzicht auf Organregress, ein Vergleich mit einem Dienstleister und ein Forderungsübergang nach § 86 VVG sind aber unterschiedliche Normwelten und dürfen nicht zu einer pauschalen Subrogationsformel verschmolzen werden.

9. Grenzen der Versicherbarkeit

Die D&O hat harte Grenzen. Diese Grenzen sind nicht alle gleich. Manche folgen aus Gesetz und Sanktionszweck, manche aus AVB, manche aus Selbstbehalt, manche aus Zeitbezug und manche aus der Struktur der Haftpflichtversicherung.

GrenzeRechtsgrundlage / AnkerFolge für den D&O-Cyber-CheckGeldstrafehöchstpersönliche strafrechtliche Sanktion; SanktionszweckDie Zahlung der Strafe ist nach der bislang überwiegend vertretenen Lesart nicht als Sanktionszahlung versicherbar. Verteidigungskosten sind getrennt zu prüfen.Verbandsgeldbuße gegen die Einrichtung§ 65 BSIG als Bußgeldnorm für die EinrichtungDie Geldbuße gegen die Einrichtung ist nicht selbst der Freistellungsanspruch des Organs. Ein möglicher Regress gegen ein Organ ist eine gesonderte, offene Frage.Wissentlichkeit / vorsätzliche und widerrechtliche HerbeiführungZiffer 6 ULLA / AVB, § 103 VVG, § 47 VVGDer Ausschluss verlangt die Prüfung der konkret haftungsauslösenden Pflichtverletzung und der subjektiven Kenntnis.Pflichtselbstbehalt§ 93 Abs. 2 Satz 3 AktGBeim AG-Vorstand ist ein gesetzlicher Mindestselbstbehalt vorzusehen, wenn eine D&O abgeschlossen wird.Claims-made und NachmeldefristAVB, BGH IV ZR 151/23, § 11 VVG, § 307 BGBSpäte Anspruchserhebung kann außerhalb der Versicherungsperiode liegen; Nachmelde- und Run-off-Bausteine sind kritisch.Cyber-Ausschluss / Cyber-SublimitAVB / MarktrealitätManche Policen grenzen Cyber-Sachverhalte ausdrücklich oder indirekt ein. „Silent cyber“ muss geprüft werden.Insured-versus-InsuredAVB / MarktrealitätInnenhaftung braucht regelmäßig eine Ausnahme oder sachgerechte Einordnung; sonst würde ein zentraler D&O-Anwendungsfall gefährdet.

Geldstrafen sind von Abwehr- und Verteidigungskosten zu trennen. Eine strafrechtliche Sanktion verfolgt einen höchstpersönlichen Sanktionszweck. Demgegenüber können Kosten der Verteidigung nach § 101 VVG oder nach einem eigenständigen Straf- und OWi-Rechtsschutz versicherungsrechtlich anders zu beurteilen sein. § 101 Abs. 2 VVG ist zusätzlich mitzulesen, wenn der Versicherer den Rechtsstreit oder die Verteidigung veranlasst und Kosten zusammen mit Freistellungsaufwendungen die Versicherungssumme überschreiten. Das bedeutet nicht, dass jede Verteidigungskostenposition automatisch übernommen wird. Es bedeutet, dass Sanktionszahlung, Abwehr, Verteidigung, Vorschuss, Versicherungssumme und AVB-Limit verschiedene Fragen sind.

Das Bußgeld gegen die Einrichtung nach § 65 BSIG [N-BSIG-65] trifft die Einrichtung. Es ist nicht der Vermögensschaden-Haftpflichtanspruch gegen das Organ. Denkbar ist, dass eine Einrichtung versucht, ein gegen sie verhängtes Bußgeld oder bußgeldbezogene Schäden im Innenverhältnis gegen ein Organmitglied geltend zu machen. Ob und in welchem Umfang ein solcher Bußgeldregress zulässig ist, ist für § 65 BSIG nicht abschließend höchstrichterlich geklärt.

Der Vorlagebeschluss KZR 74/23 [R-KZR-74-23] ist in diesem Zusammenhang nur eine Analogie- und Prozessvariante. Der BGH hat dort dem EuGH eine Frage zur Regressfähigkeit von Kartellgeldbußen gegen Leitungsorgane vorgelegt. KZR 74/23 ist keine Entscheidung zu § 65 BSIG und keine Entscheidung zur D&O-Deckung von BSIG-Geldbußen.

Beim Insured-versus-Insured-Ausschluss geht es um Ansprüche eines Versicherten gegen einen anderen Versicherten oder verwandte Konstellationen. Nach beobachteter Marktpraxis enthalten deutsche D&O-Programme für Innenhaftungsfälle häufig Ausnahmen oder Formulierungen, die eine gesellschaftsfinanzierte Inanspruchnahme nicht leerlaufen lassen. Maßgeblich ist die konkrete Police. Ein Ausschluss, der Gesellschaftsinnenansprüche weit erfasst und keine tragfähige Ausnahme enthält, gehört auf die rote Prüfliste.

Cyber-Ausschlüsse und Cyber-Sublimits sind besonders heikel, weil D&O ursprünglich nicht als IT-Eigenschadenversicherung gebaut ist. Manche Bedingungswerke enthalten Cyber-Ausschlüsse, Daten-Ausschlüsse, Infrastruktur-Ausschlüsse oder Sublimits für cyberbezogene Ansprüche. Andere Policen schweigen zu Cyber und erzeugen „silent cyber“: Der Sachverhalt ist cyberbezogen, der Anspruch aber organhaftungsrechtlich formuliert. Gerade dann entscheidet die genaue Anspruchsbegründung.

10. Wann die D&O im Cyber-Vorfall greift — und wann nicht

Die D&O kommt im Cyber-Vorfall in Betracht, wenn aus dem technischen Ereignis ein zivilrechtlicher Vermögensschaden-Haftpflichtanspruch gegen eine versicherte Person wird. Sie ist dagegen nicht die Police für den unmittelbaren Eigenschaden der Gesellschaft. Der gleiche Ransomware-Vorfall kann deshalb drei Versicherungssäulen berühren: Cyber-Police für Forensik, Wiederherstellung, Krisenkommunikation und Betriebsunterbrechung; D&O für die persönliche Organ-Inanspruchnahme; Straf- und OWi-Rechtsschutz für Ermittlungs- und Verteidigungskosten.

KonstellationKann die D&O-Deckungsprüfung eröffnen?Zentraler VorbehaltGesellschaft nimmt GmbH-Geschäftsführer nach Ransomware-Vorfall auf Innenregress in Anspruch.Ja, wenn versicherte Person, versicherte Tätigkeit, Vermögensschadenanspruch und Claims-made-Zeitbezug passen.§ 43 GmbHG / § 38 BSIG, Wissentlichkeit, Cyber-Ausschluss, Limits, Obliegenheiten.AG nimmt Vorstand wegen wissentlicher Missachtung eines Cyber-Beschlusses in Anspruch.Ja, aber der Wissentlichkeitsausschluss wird zum Kernstreit.IV ZR 66/25: konkret haftungsauslösende Pflichtverletzung, positive Kenntnis; § 93 Abs. 2 Satz 3 AktG.Insolvenzverwalter verfolgt Ansprüche nach Cyber-Schaden und späterer Insolvenz.Ja, je nach Rollenverteilung, Anspruch, Versicherungsperiode, Nachmeldung und Abtretung.Zuerst Rollenprüfung: Versicherungsnehmerin, versicherte Person, geschädigte Anspruchstellerin, Insolvenzverwalter und Zessionarin; danach § 108 VVG, § 110 VVG, IV ZR 151/23, Run-off und Nachmeldefrist.Einrichtung erhält BSIG-Verbandsgeldbuße.Die Geldbuße selbst ist kein D&O-Freistellungsanspruch des Organs.Regress gegen Organ gesondert und offen; Verteidigungskosten getrennt prüfen.Gesellschaft ersetzt Server, bezahlt Forensik und Krisenkommunikation.Für diese Eigenschäden ist die D&O nicht die richtige Säule.Cyber-Police, siehe

Cyber-Police (Eigenschaden, BU, Erpressung)

.

Szenario 1: GmbH-Geschäftsführer, Innenregress nach Ransomware-Vorfall

Eine mittelständische GmbH wird durch Ransomware mehrere Wochen operativ gestört. Nach dem Vorfall stellt sich heraus, dass ein externer Bericht schon vor Monaten erhebliche Schwächen im Backup-Konzept und in der Rechteverwaltung beschrieben hatte. Die Gesellschaft nimmt den Geschäftsführer auf Ersatz eines Vermögensschadens in Anspruch und verweist auf § 38 BSIG [N-BSIG-38], § 30 BSIG [N-BSIG-30] und § 43 GmbHG [N-GmbHG-43].

Die D&O-Prüfung beginnt nicht mit der Ransomware, sondern mit der Inanspruchnahme. Zuerst ist zu prüfen, ob der Geschäftsführer versicherte Person ist und ob der Anspruch ein Vermögensschaden-Haftpflichtanspruch wegen beruflicher Tätigkeit ist. Danach folgt der Zeitbezug: Wurde der Anspruch in der Versicherungsperiode oder innerhalb einer Nachmeldefrist erhoben? Gab es vor Vertragsschluss bekannte Umstände, die hätten angezeigt werden müssen?

Danach kommen die Ausschlüsse. Der Versicherer kann den Wissentlichkeitsausschluss nicht tragfähig mit dem Satz begründen, der Geschäftsführer habe „von Cyber-Risiken gewusst“. Nach IV ZR 66/25 [R-IV-ZR-66-25] muss die konkret haftungsauslösende Pflichtverletzung geprüft werden. War der Vorwurf die Nichtumsetzung bestimmter Risikomanagementmaßnahmen, muss sich die Wissentlichkeit auf diese Pflichtverletzung beziehen. War der Vorwurf die fehlende Überwachung eines Ressorts, ist diese Pflichtverletzung gesondert zu prüfen.

Verteidigungskosten können nach § 100 und § 101 VVG eine eigenständige Bedeutung haben. Selbst wenn die Haftung streitig bleibt, kann die Abwehr unbegründeter Ansprüche Teil der Haftpflichtversicherungsleistung sein. Ob und wie ein Cyber-Ausschluss, ein Sublimit oder ein Aggregatslimit eingreift, steht im Bedingungswerk.

Szenario 2: AG-Vorstand, Vorwurf der wissentlichen Pflichtverletzung

Eine Aktiengesellschaft hatte nach einem Audit einen Vorstandsbeschluss zur Umsetzung bestimmter Sicherheitsmaßnahmen gefasst. Nach einem Cyber-Vorfall behauptet die Gesellschaft, ein Vorstandsmitglied habe die Umsetzung bewusst blockiert oder nicht überwacht. Der Versicherer beruft sich auf einen Wissentlichkeitsausschluss.

Die Haftungsseite läuft über § 93 AktG und gegebenenfalls § 38 BSIG. Die Deckungsseite läuft über VVG und AVB. Der Pflichtselbstbehalt nach § 93 Abs. 2 Satz 3 AktG [N-AktG-93] ist in der Vorstands-D&O zu berücksichtigen. Für die Wissentlichkeit reicht es nicht, dass das Organ den Audit kannte. Entscheidend ist, ob gerade die Pflichtverletzung, wegen der es für einen Vermögensschaden in Anspruch genommen wird, wissentlich erfolgte.

In der Praxis entscheidet die Dokumentation. Ein Beschluss, eine Budgetablehnung, eine Risikobewertung, ein Vorstandsvortrag, ein Ressortvermerk oder eine ausdrücklich ignorierte Maßnahme kann für die subjektive Kenntnis relevant werden. Gleichzeitig ist die Beweislast für den Ausschlusstatbestand als deckungsrechtliche Prozessfrage vom Haftungstatbestand zu trennen. Der Versicherer muss den Ausschluss substantiiert auf die richtige Pflichtverletzung beziehen.

Szenario 3: Insolvenz der Einrichtung nach Cyber-Vorfall

Eine Einrichtung erleidet einen Cyber-Großschaden, verliert Kunden, gerät in Liquiditätsnot und stellt später Insolvenzantrag. Nach Insolvenzeröffnung prüft der Insolvenzverwalter Ansprüche gegen frühere Organmitglieder. Parallel läuft die D&O-Police aus oder der Versicherer beruft sich auf eine Insolvenzklausel.

Hier treffen mehrere Zeitachsen aufeinander. Bei Insolvenz ist zuerst die Rollenverteilung zu klären: Versicherungsnehmerin, versicherte Person, geschädigte Anspruchstellerin, Insolvenzverwalter und Zessionarin können auseinanderfallen. § 110 VVG [N-VVG-110] schützt den Dritten bei Insolvenz des Versicherungsnehmers, löst aber nicht automatisch jeden D&O-Innenhaftungsfall bei Insolvenz der Gesellschaft. § 108 VVG [N-VVG-108] kann für die Abtretung des Freistellungsanspruchs relevant sein. Das Claims-made-Prinzip fragt nach der Anspruchserhebung oder nach einem wirksamen Umstands-/Nachmeldebaustein. IV ZR 151/23 [R-IV-ZR-151-23] fragt, ob eine automatische Vertragsendeklausel die Mindestkündigungsfrist nach § 11 Abs. 1 und 3 VVG [N-VVG-11] missachtet und ob eine Nachmeldefristklausel im konkreten Bedingungswerk greift.

Die Lücke entsteht nicht aus dem Wort „Insolvenz“. Sie entsteht aus dem Zusammenspiel von Anspruchserhebung, Versicherungsperiode, Nachmeldefrist, automatischer Beendigung, Run-off und AVB-Auslegung. Diese Konstellation ist in Insolvenz in der Cyber-Krise mit § 15b InsO [N-InsO-15b] und der IV-ZR-66/25-Linie weiter zu vertiefen.

Cyber-Ausschluss, „silent cyber“ und Doppelversicherung

D&O und Cyber-Police können denselben Lebenssachverhalt berühren, ohne denselben Schaden zu versichern. Die Cyber-Police kann die unmittelbaren Eigenschäden der Gesellschaft adressieren. Die D&O kann die persönliche Inanspruchnahme des Organs adressieren. Problematisch wird es, wenn beide Policen Abgrenzungs-, Subsidiaritäts- oder Anrechnungsklauseln enthalten.

§ 78 VVG kann als möglicher Bezugspunkt für Mehrfachversicherung erscheinen:

„Ist bei mehreren Versicherern ein Interesse gegen dieselbe Gefahr versichert und übersteigen die Versicherungssummen zusammen den Versicherungswert oder übersteigt aus anderen Gründen die Summe der Entschädigungen, die von jedem Versicherer ohne Bestehen der anderen Versicherung zu zahlen wären, den Gesamtschaden (Mehrfachversicherung), haften die Versicherer in der Weise als Gesamtschuldner, dass jeder Versicherer den von ihm nach dem Vertrag zu leistenden Betrag zu zahlen hat, der Versicherungsnehmer aber insgesamt nicht mehr als den Betrag des Schadens verlangen kann.“
§ 78 Abs. 1 VVG, Quelle: gesetze-im-internet.de/vvg_2008/, Abruf: 4. Juni 2026.

Die Übertragbarkeit auf die D&O-Vermögensschaden-Haftpflicht und ihr Zusammenspiel mit einer Cyber-Police ist gesondert zu prüfen. Häufig geht es weniger um echte Mehrfachversicherung als um verschiedene Interessen, verschiedene versicherte Personen und verschiedene Schadenskategorien. Deshalb ist die Koordination der Policen kein Summenvergleich, sondern eine Strukturprüfung.

Für Geschäftsführer und Vorstände hat der Cyber-D&O-Fall acht Folgen-Dimensionen: direkte wirtschaftliche Belastung, indirekte Finanzierungskosten, rechtliche Verteidigung, Reputationsschaden, operative Ablenkung, mentale Belastung, gesellschaftliche Kontroll- und Berichtspflichten sowie zeitliche Langläufer durch Claims-made, Verjährung und Deckungsprozess.

11. Verjährung und zeitlicher Bezug der Deckung

Drei Zeit-Ebenen dürfen nicht vermischt werden.

Die erste Ebene ist der Claims-made-Zeitbezug der Police. Hier geht es darum, wann der Anspruch gegen die versicherte Person erhoben wird und ob die Versicherungsperiode, Rückwärtsdeckung, Nachmeldefrist oder Run-off die Anspruchserhebung erfassen. Diese Ebene ist bedingungsabhängig.

Die zweite Ebene ist die Verjährung des versicherungsvertraglichen Deckungsanspruchs gegen den Versicherer. Der gesetzliche Ausgangspunkt ist die Regelverjährung des BGB:

„Die regelmäßige Verjährungsfrist beträgt drei Jahre.“
§ 195 BGB, Quelle: gesetze-im-internet.de/bgb/, Abruf: 4. Juni 2026.

§ 199 Abs. 1 BGB [N-BGB-199] bestimmt den Regelbeginn:

„Die regelmäßige Verjährungsfrist beginnt, soweit nicht ein anderer Verjährungsbeginn bestimmt ist, mit dem Schluss des Jahres, in dem

1. der Anspruch entstanden ist und
2. der Gläubiger von den den Anspruch begründenden Umständen und der Person des Schuldners Kenntnis erlangt oder ohne grobe Fahrlässigkeit erlangen müsste.“
   § 199 Abs. 1 BGB, Quelle: gesetze-im-internet.de/bgb/, Abruf: 4. Juni 2026.

Für Versicherungsansprüche ist § 15 VVG wichtig:

„Ist ein Anspruch aus dem Versicherungsvertrag beim Versicherer angemeldet worden, ist die Verjährung bis zu dem Zeitpunkt gehemmt, zu dem die Entscheidung des Versicherers dem Anspruchsteller in Textform zugeht.“
§ 15 VVG, Quelle: gesetze-im-internet.de/vvg_2008/, Abruf: 4. Juni 2026.

Die dritte Ebene ist die materielle Innenhaftungsverjährung. § 43 Abs. 4 GmbHG [N-GmbHG-43] sieht für die Ansprüche aus § 43 GmbHG eine fünfjährige Verjährung vor. Bei § 93 AktG differenziert § 93 Abs. 6 AktG [N-AktG-93]: Bei Gesellschaften, die zum Zeitpunkt der Pflichtverletzung börsennotiert sind, verjähren die Ansprüche in zehn Jahren; bei anderen Gesellschaften in fünf Jahren. Diese Haftungsverjährung ist nicht dasselbe wie die versicherungsvertragliche Verjährung und nicht dasselbe wie der Claims-made-Zeitbezug. Die Vertiefung gehört in Innenhaftung der Geschäftsleitung.

Für die Praxis heißt das: Ein Anspruch kann haftungsrechtlich noch nicht verjährt sein, aber deckungsrechtlich wegen Claims-made oder Nachmeldefrist problematisch werden. Umgekehrt kann ein Deckungsanspruch angemeldet und nach § 15 VVG gehemmt sein, obwohl die Haftungsseite noch streitig ist. Zeitmanagement ist deshalb ein eigener Bestandteil persönlicher Enthaftung.

Prozessual kann § 215 VVG [N-VVG-215] relevant werden, wenn der Deckungsanspruch gerichtlich durchgesetzt werden muss. Für A5-02 bleibt das ein Randpunkt, weil der Schwerpunkt auf Deckungsvoraussetzungen und nicht auf Prozessstrategie liegt:

„(1) Für Klagen aus dem Versicherungsvertrag oder der Versicherungsvermittlung ist auch das Gericht örtlich zuständig, in dessen Bezirk der Versicherungsnehmer zur Zeit der Klageerhebung seinen Wohnsitz, in Ermangelung eines solchen seinen gewöhnlichen Aufenthalt hat. Für Klagen gegen den Versicherungsnehmer ist dieses Gericht ausschließlich zuständig.
(2) § 33 Abs. 2 der Zivilprozessordnung ist auf Widerklagen der anderen Partei nicht anzuwenden.“
§ 215 VVG, Quelle: gesetze-im-internet.de/vvg_2008/, Abruf: 4. Juni 2026.

Bei D&O-Konstellationen mit versicherter Person, Versicherungsnehmerin, Abtretung und Insolvenz sollte der Gerichtsstand nicht schematisch behandelt werden. Wer klagt, aus welchem Recht geklagt wird und ob der Anspruch abgetreten ist, gehört in die prozessuale Einzelfallprüfung.

12. Praktische Konsequenz — was die Geschäftsleitung prüfen sollte

Die Geschäftsleitung sollte die D&O-Police nicht erst nach dem Cyber-Vorfall lesen. Für den präventiven Absicherungs-Check reichen zehn Fragen, um die kritischen Lücken zu finden.

Erstens: Wer ist versichert? Der Kreis der versicherten Personen muss Vorstand, Geschäftsführer, Aufsichts- oder Verwaltungsorgane, frühere Organmitglieder, leitende Angestellte, Organmitglieder von Tochtergesellschaften und Sondermandate ausdrücklich oder hinreichend klar erfassen. Tochtergesellschaften selbst sind nicht automatisch „versicherte Personen“, können aber als Versicherungsnehmerinnen, mitversicherte Unternehmen, geschädigte Anspruchstellerinnen oder Bezugsgrößen im D&O-Programm eine Rolle spielen.

Zweitens: Welche Anspruchsarten sind erfasst? Der Text muss Innenhaftungsansprüche der Gesellschaft gegen Organmitglieder tragen. Bei Insured-versus-Insured-Klauseln sind Ausnahmen für gesellschaftsfinanzierte Innenansprüche zu prüfen.

Drittens: Welche Deckungssumme steht wirklich zur Verfügung? Die Jahreshöchstleistung, das Aggregatslimit, Sublimits, Serienklauseln, Mitversicherung mehrerer Organpersonen und parallele Großschäden können die verfügbare Summe deutlich verändern.

Viertens: Wie lautet der Wissentlichkeitsausschluss? Die Klausel ist mit IV ZR 66/25 [R-IV-ZR-66-25] zu lesen: konkret haftungsauslösende Pflichtverletzung, positive Kenntnis, Zurechnung, Abwehrkostenschutz und Trennung von § 276 BGB.

Fünftens: Welche Selbstbehalte gelten? Beim AG-Vorstand ist § 93 Abs. 2 Satz 3 AktG [N-AktG-93] Mindeststandard. Bei Aufsichtsräten, GmbH-Geschäftsführern und SE-Konstellationen entscheidet die konkrete rechtliche und vertragliche Struktur.

Sechstens: Welche Claims-made-Daten sind kritisch? Versicherungsperiode, Rückwärtsdeckung, Nachmeldefrist, Run-off, Organwechsel, Kontrollwechsel, Insolvenzantrag und Renewal müssen chronologisch auf einer Seite dargestellt werden.

Siebtens: Welche bekannten Umstände gibt es? Interne Cyber-Audits, Vorstandsvorlagen, Datenschutzvorfälle, behördliche Anhörungen, kritische Dienstleisterberichte oder noch nicht geltend gemachte Anspruchsdrohungen können melde- oder anzeigerelevant sein. Datenschutzvorfälle sind zusätzlich als eigene DSGVO [EU-DSGVO]-Spur zu behandeln; Art. 33 und Art. 34 DSGVO, mögliche Art.-82-DSGVO-Ansprüche und D&O-/Cyber-Police-Meldungen laufen nicht automatisch in derselben Melde- oder Deckungsschiene. Wenn TKG, EnWG, DORA [EU-DORA] oder ein vergleichbares Spezialregime einschlägig sein können, ist diese Spezialregime-Spur daneben getrennt zu führen.

Achtens: Gibt es Cyber-Ausschlüsse, Cyber-Sublimits oder silent-cyber-Unklarheiten? Der gleiche Sachverhalt kann technisch cyberbezogen und rechtlich organhaftungsbezogen sein. Die Police muss auf beides reagieren.

Neuntens: Wie greifen D&O, Cyber-Police und Strafrechtsschutz ineinander? Forensik, Wiederherstellung und Betriebsunterbrechung gehören in die Cyber-Police. Organ-Inanspruchnahme gehört in die D&O. Straf- und OWi-Verteidigung gehört in den Strafrechtsschutz oder in gesonderte Kostenbausteine.

Zehntens: Wer entscheidet im Schadensfall? Die Einrichtung braucht vor dem Vorfall eine Melde- und Freigabelogik: Wer informiert welchen Versicherer? Wer darf Anerkenntnisse abgeben, und wie wird § 105 VVG berücksichtigt? Wer koordiniert D&O, Cyber-Police, Strafrechtsschutz, Datenschutzmeldungen nach DSGVO, Behörde und Kommunikation?

Praxisempfehlung: Eine D&O-Prüfung sollte als Matrix geführt werden: Person, Anspruch, Zeitpunkt, Police, Ausschluss, Selbstbehalt, Limit, Kosten, Schnittstelle. Ohne diese Matrix bleiben Cyber-D&O-Lücken häufig unsichtbar.

13. Schnittstellen

Die Gesamtarchitektur der drei Versicherungssäulen ist im Pillar Cyber-Versicherungs-Architektur dargestellt. A5-02 vertieft daraus die D&O-Säule.

Was die Cyber-Police an Eigenschäden, Erpressung, Forensik, Krisenkommunikation und Betriebsunterbrechung adressiert, ist in Cyber-Police (Eigenschaden, BU, Erpressung) ausgeführt.

Der eigenständige Straf- und OWi-Rechtsschutz für die Geschäftsleitung ist in Strafrechtsschutz für die Cyber-Verteidigung.

Was der Versicherer im Antrag prüft und wie D&O-Deckung zustande kommt, ist in Antrag & Anzeigepflicht (Underwriting).

Die Innenhaftung, die den D&O-Fall auslöst, ist in Innenhaftung der Geschäftsleitung vertieft. Dort gehören Tatbestand, Beweislast, Schaden, Kausalität und materielle Verjährung hin.

Die Insolvenz-Konstellation mit § 15b InsO [N-InsO-15b] und der IV-ZR-66/25-Linie ist in Insolvenz in der Cyber-Krise.

14. Kurzantworten auf die 24 Lese-Fragen

1. Was ist die D&O-Versicherung im Cyber-Kontext? Eine Vermögensschaden-Haftpflichtversicherung für Organmitglieder, keine IT- oder Eigenschadenversicherung. Sie greift bei der zivilrechtlichen Inanspruchnahme wegen einer behaupteten Organpflichtverletzung, die einen Vermögensschaden verursacht hat — Forensik, Wiederherstellung und Betriebsunterbrechung gehören dagegen in die Cyber-Police.
2. Welche Frage ist für die Geschäftsleitung entscheidend? Nicht „Ist der Cyber-Schaden versichert?“, sondern: „Werde ich persönlich wegen einer Organpflichtverletzung auf Ersatz eines Vermögensschadens in Anspruch genommen, und fällt diese Inanspruchnahme nach Zeitpunkt, Personenkreis, Anspruchsart und Ausschlüssen in die D&O-Deckungsprüfung?“
3. Wie ist die D&O rechtlich konstruiert? Typischerweise als Versicherung für fremde Rechnung (§§ 43 ff. VVG): Versicherungsnehmerin ist die Gesellschaft, versicherte Personen sind die Organmitglieder. Im Innenhaftungsfall ist die Gesellschaft zugleich Geschädigte — daraus entsteht das D&O-Dreieck bzw. -Quartett.
4. Warum ist § 47 VVG so wichtig? Bei der Versicherung für fremde Rechnung sind auch Kenntnis und Verhalten der versicherten Person zu berücksichtigen, nicht nur die der Gesellschaft. Das ist für Wissentlichkeits-, Vorkenntnis- und Umstandsausschlüsse entscheidend.
5. Was leistet § 100 VVG? Zwei Funktionen: Freistellung von begründeten Ansprüchen und Abwehr unbegründeter Ansprüche. Die D&O ist deshalb kein bloßer Zahlungsmechanismus — die Anspruchsabwehr kann wirtschaftlich ebenso wichtig sein.
6. Was regelt § 101 VVG zur Kostenseite? Gerichtliche und außergerichtliche Abwehrkosten, Strafverteidigungskosten auf Weisung des Versicherers und eine Vorschusspflicht. Nach Abs. 2 können vom Versicherer veranlasste Kosten sogar oberhalb der Versicherungssumme anzusetzen sein; ob AVB davon wirksam abweichen, ist eine eigene Frage.
7. Was sagt § 93 Abs. 2 Satz 3 AktG zum Selbstbehalt? Schließt die AG eine D&O für ein Vorstandsmitglied ab, ist ein Selbstbehalt von mindestens 10 Prozent des Schadens bis mindestens zur Höhe des Eineinhalbfachen der festen jährlichen Vergütung vorzusehen. Das ist eine Mindest-, keine Höchstgrenze und gilt nicht kraft Gesetzes für die GmbH.
8. Gilt der Pflicht-Selbstbehalt auch für Aufsichtsräte? Nein. § 116 Satz 1 AktG verweist auf § 93 AktG, nimmt Abs. 2 Satz 3 aber ausdrücklich aus. Ein vertraglicher Selbstbehalt kann gleichwohl im Bedingungswerk stehen.
9. Wer schließt die Vorstands-D&O ab und vertritt die AG? Gegenüber Vorstandsmitgliedern vertritt der Aufsichtsrat die Gesellschaft (§ 112 AktG). Police, Renewal oder Deckungsvergleich dürfen nicht losgelöst von dieser Vertretungszuständigkeit geprüft werden.
10. Was löst den D&O-Fall aus? Die Innenhaftung der Geschäftsleitung: Vorwurf einer Organpflichtverletzung, Innenhaftungsanspruch nach der Rechtsform (§ 43 GmbHG, § 93 AktG, vermittelt über § 38 Abs. 2 BSIG), danach erst die Deckungsprüfung. § 38 Abs. 2 Satz 1 BSIG verweist auf das Gesellschaftsrecht, Satz 2 ist Auffangregel.
11. Was ist der Wissentlichkeitsausschluss — und was nicht? Ein deckungsrechtlicher Risikoausschluss (Ziffer 6 ULLA / AVB), zu trennen vom zivilrechtlichen Vorsatz/Fahrlässigkeit (§ 276 BGB) und von § 103 VVG. Er betrifft nicht das Ob der Haftung, sondern ob der Versicherer sich auf den Ausschluss berufen kann.
12. Was verlangt BGH IV ZR 66/25? Der Ausschluss nach Ziffer 6 ULLA setzt voraus, dass gerade die konkret haftungsauslösende Pflichtverletzung wissentlich erfolgte (positive Kenntnis). Dass die versicherte Person „von Cyber-Risiken wusste“, genügt nicht; bedingter Vorsatz und fahrlässige Unkenntnis reichen nicht ohne Weiteres. Der BGH entschied keinen Cyber-Fall (Zahlungen nach Insolvenzreife, § 64 Satz 1 GmbHG a.F.) — es ist eine Übertragung.
13. Wie funktioniert das Claims-made-Prinzip? Maßgeblich ist die erstmalige Inanspruchnahme der versicherten Person, nicht der Vorfallszeitpunkt. Sie muss in die Versicherungsperiode, eine wirksame Nachmeldefrist (Discovery) oder einen Run-off fallen; Rückwärtsdeckung nur, soweit die Police sie vorsieht und keine Vorkenntnis-/Umstandsausschlüsse greifen.
14. Was sagt BGH IV ZR 151/23 zu Insolvenz und Nachmeldefrist? Eine AVB-Klausel über das automatische Vertragsende bei Insolvenzantrag ohne Beachtung der Mindestkündigungsfrist aus § 11 Abs. 1 und 3 VVG ist unwirksam; daneben die Auslegung der prämienneutralen Nachmeldefrist. Es ist Inhaltskontrolle (§ 307 BGB) konkreter AVB, kein Pauschalurteil über jede Insolvenzklausel.
15. Was prüft § 19 VVG bei der vorvertraglichen Anzeige? Die Antwort auf die in Textform gestellten gefahrerheblichen Fragen des Versicherers — bei D&O zunehmend Cyber-Fragebögen (Multifaktor-Authentifizierung, Backup-Reife, Incident-Response-Plan, Patchmanagement, NIS-2-/BSIG-Einordnung, Vorfälle). Keine allgemeine Offenbarungspflicht „über alles“.
16. Wie grenzen sich § 19, § 21 und § 28 VVG ab? § 19 betrifft die vorvertragliche Anzeige; § 21 die Ausübungsfrist und Kausalitätsgrenzen der Versichererrechte (Monatsfrist, Erlöschen nach fünf bzw. zehn Jahren); § 28 die vertragliche Obliegenheit mit Verschuldens-, Kausalitäts- und Belehrungserfordernis (Abs. 4).
17. Welche Anzeigepflicht gilt im Schadensfall? § 104 VVG: Anzeige binnen einer Woche, sobald eine Verantwortlichkeit drohen kann bzw. der Dritte den Anspruch geltend macht, und unverzüglich bei gerichtlicher Geltendmachung oder Ermittlungsverfahren. Bei fremder Rechnung ist zusätzlich das Zusammenspiel von §§ 44, 45, 47 und 104 VVG sowie der AVB-Meldepfad zu lesen.
18. Zerstört ein Anerkenntnis oder Vergleich ohne Zustimmung des Versicherers die Deckung? Nicht pauschal: § 105 VVG erklärt eine entsprechende Leistungsfreiheits-Vereinbarung für unwirksam. Anerkenntnisse, Vergleiche und Kostenfreigaben bleiben aber nach AVB, § 28 VVG, § 104 VVG und Einzelfall zu prüfen.
19. Was regelt § 108 VVG zur Abtretung? Die Abtretung des Freistellungsanspruchs an den Dritten kann nicht durch Allgemeine Versicherungsbedingungen ausgeschlossen werden (Abs. 2). Im Innenhaftungsfall tritt die versicherte Person an die geschädigte Gesellschaft ab (D&O-Quartett; BGH IV ZR 304/13, IV ZR 51/14).
20. Was gilt bei Insolvenz der Versicherungsnehmerin (§ 110 VVG)? Der Dritte kann wegen seines Anspruchs abgesonderte Befriedigung aus dem Freistellungsanspruch verlangen. § 110 ersetzt aber nicht die Rollenprüfung (Versicherungsnehmerin, versicherte Person, Anspruchstellerin, Insolvenzverwalter, Zessionarin) und löst nicht automatisch jeden Innenhaftungsfall; häufig steht § 108 VVG näher im Vordergrund.
21. Was regelt § 86 VVG zu Regress und Forderungsübergang? Ein Ersatzanspruch des Versicherungsnehmers gegen einen Dritten geht auf den Versicherer über, soweit dieser den Schaden ersetzt (Abs. 1); hinzu tritt eine Wahrungs- und Mitwirkungsobliegenheit (Abs. 2). Der Forderungsübergang ersetzt nicht die Haftungsprüfung und ist nicht mit gesellschaftsrechtlichem Regressverzicht oder Vergleich zu vermischen.
22. Wo hat die D&O harte Grenzen? Geldstrafen (höchstpersönlicher Sanktionszweck — nach überwiegender Lesart nicht versicherbar; Verteidigungskosten getrennt), die Verbandsgeldbuße nach § 65 BSIG (trifft die Einrichtung, ist kein D&O-Freistellungsanspruch; Organregress offen — KZR 74/23 ist nur eine Analogie-/Vorlagefrage, keine § 65-BSIG- oder D&O-Entscheidung), Wissentlichkeit, Pflicht-Selbstbehalt, Claims-made/Nachmeldefrist, Cyber-Ausschluss bzw. „silent cyber“ und Insured-versus-Insured.
23. Welche drei Zeit-Ebenen dürfen nicht vermischt werden? Erstens der Claims-made-Zeitbezug der Police (bedingungsabhängig); zweitens die Verjährung des Deckungsanspruchs (§ 195/§ 199 BGB, Hemmung nach § 15 VVG); drittens die materielle Innenhaftungsverjährung (§ 43 Abs. 4 GmbHG fünf Jahre; § 93 Abs. 6 AktG zehn Jahre bei Börsennotierung, sonst fünf).
24. Was sollte die Geschäftsleitung präventiv prüfen? Einen Zehn-Punkte-Check als Matrix: versicherte Personen, Anspruchsarten (Insured-versus-Insured), verfügbare Deckungssumme/Aggregat/Sublimits, Wissentlichkeitsausschluss (mit IV ZR 66/25), Selbstbehalte, Claims-made-Daten, bekannte Umstände — inklusive getrennter DSGVO-Spur (Art. 33/34/82) und Spezialregime-Spur (TKG/EnWG/DORA) —, Cyber-Ausschluss/„silent cyber“, Zusammenspiel von D&O, Cyber-Police und Strafrechtsschutz sowie eine Melde- und Freigabelogik (§ 105 VVG). Das ist keine Deckungszusage; die konkrete Police-/AVB-/Einzelfallprüfung bleibt erforderlich.

15. Quellen

Der Quellenapparat ordnet die im Text mit sichtbaren Quellenankern gekennzeichneten Belege den amtlichen Fundstellen zu. Die Anker stehen bei der ersten tragenden Nennung pro Abschnitt und springen auf den jeweiligen Eintrag in diesem Apparat.

15.1 Nationale Normen

• [N-BSIG-30] § 30 BSIG — Risikomanagementmaßnahmen. Fundstelle: https://www.gesetze-im-internet.de/bsig_2025/__30.html
• [N-BSIG-38] § 38 BSIG — Geschäftsleitungspflichten (Umsetzen, Überwachen, Schulen). Fundstelle: https://www.gesetze-im-internet.de/bsig_2025/__38.html
• [N-BSIG-65] § 65 BSIG — Bußgeldvorschriften. Fundstelle: https://www.gesetze-im-internet.de/bsig_2025/__65.html
• [N-GmbHG-43] § 43 GmbHG — Haftung der Geschäftsführer. Fundstelle: https://www.gesetze-im-internet.de/gmbhg/__43.html
• [N-AktG-93] § 93 AktG — Sorgfaltspflicht und Verantwortlichkeit des Vorstands. Fundstelle: https://www.gesetze-im-internet.de/aktg/__93.html
• [N-AktG-116] § 116 AktG — Sorgfaltspflicht und Verantwortlichkeit der Aufsichtsratsmitglieder. Fundstelle: https://www.gesetze-im-internet.de/aktg/__116.html
• [N-InsO-15b] § 15b InsO — Zahlungen nach Eintritt der Insolvenzreife. Fundstelle: https://www.gesetze-im-internet.de/inso/__15b.html
• [N-VVG-19] § 19 VVG — Anzeigepflicht. Fundstelle: https://www.gesetze-im-internet.de/vvg_2008/__19.html
• [N-VVG-21] § 21 VVG — Ausübung der Rechte des Versicherers. Fundstelle: https://www.gesetze-im-internet.de/vvg_2008/__21.html
• [N-VVG-28] § 28 VVG — Verletzung einer vertraglichen Obliegenheit. Fundstelle: https://www.gesetze-im-internet.de/vvg_2008/__28.html
• [N-VVG-43] § 43 VVG — Begriffsbestimmung Versicherung für fremde Rechnung. Fundstelle: https://www.gesetze-im-internet.de/vvg_2008/__43.html
• [N-VVG-44] § 44 VVG — Rechte des Versicherten. Fundstelle: https://www.gesetze-im-internet.de/vvg_2008/__44.html
• [N-VVG-45] § 45 VVG — Rechte des Versicherungsnehmers. Fundstelle: https://www.gesetze-im-internet.de/vvg_2008/__45.html
• [N-VVG-47] § 47 VVG — Kenntnis und Verhalten des Versicherten. Fundstelle: https://www.gesetze-im-internet.de/vvg_2008/__47.html
• [N-VVG-86] § 86 VVG — Übergang von Ersatzansprüchen. Fundstelle: https://www.gesetze-im-internet.de/vvg_2008/__86.html
• [N-VVG-100] § 100 VVG — Leistung des Versicherers (Haftpflicht). Fundstelle: https://www.gesetze-im-internet.de/vvg_2008/__100.html
• [N-VVG-103] § 103 VVG — Herbeiführung des Versicherungsfalles (Haftpflicht). Fundstelle: https://www.gesetze-im-internet.de/vvg_2008/__103.html
• [N-VVG-108] § 108 VVG — Verfügung über den Freistellungsanspruch. Fundstelle: https://www.gesetze-im-internet.de/vvg_2008/__108.html
• [N-VVG-110] § 110 VVG — Insolvenz des Versicherungsnehmers. Fundstelle: https://www.gesetze-im-internet.de/vvg_2008/__110.html
• [N-VVG-215] § 215 VVG — Gerichtsstand. Fundstelle: https://www.gesetze-im-internet.de/vvg_2008/__215.html
• [N-BGB-199] § 199 BGB — Beginn der regelmäßigen Verjährungsfrist und Höchstfristen. Fundstelle: https://www.gesetze-im-internet.de/bgb/__199.html
• [N-VVG-11] § 11 VVG — Verlängerung, Kündigung (Mindestkündigungsfrist Abs. 1 und 3). Fundstelle: https://www.gesetze-im-internet.de/vvg_2008/__11.html
• [N-BGB-307] § 307 BGB — Inhaltskontrolle Allgemeiner Geschäftsbedingungen. Fundstelle: https://www.gesetze-im-internet.de/bgb/__307.html

15.2 EU-Recht

• [EU-DORA] Verordnung (EU) 2022/2554 (DORA). Fundstelle: https://eur-lex.europa.eu/eli/reg/2022/2554/oj
• [EU-DSGVO] Verordnung (EU) 2016/679 (DSGVO); deutsche Berichtigungen ABl. L 314 vom 22.11.2016, ABl. L 127 vom 23.5.2018 und ABl. L 74 vom 4.3.2021 (konsolidierte Fassung CELEX 02016R0679). Fundstelle: https://eur-lex.europa.eu/eli/reg/2016/679/oj

15.3 Rechtsprechung

• [R-IV-ZR-66-25] BGH, Urteil vom 19.11.2025 — IV ZR 66/25 — ECLI:DE:BGH:2025:191125UIVZR66.25.0. Fundstelle: https://www.bundesgerichtshof.de/
• [R-IV-ZR-304-13] BGH, Urteil vom 13.04.2016 — IV ZR 304/13 — ECLI:DE:BGH:2016:130416UIVZR304.13.0 (D&O-Innenhaftung/Abtretung). Fundstelle: https://www.bundesgerichtshof.de/
• [R-IV-ZR-51-14] BGH, Urteil vom 13.04.2016 — IV ZR 51/14 — ECLI:DE:BGH:2016:130416UIVZR51.14.0 (D&O-Innenhaftung). Fundstelle: https://www.bundesgerichtshof.de/
• [R-IV-ZR-360-15] BGH, Urteil vom 05.04.2017 — IV ZR 360/15 — ECLI:DE:BGH:2017:050417UIVZR360.15.0 (D&O, Versicherung für fremde Rechnung). Fundstelle: https://www.bundesgerichtshof.de/
• [R-IV-ZR-110-19] BGH, Urteil vom 04.03.2020 — IV ZR 110/19 — ECLI:DE:BGH:2020:040320UIVZR110.19.0 (D&O, Verfügungsbefugnis). Fundstelle: https://www.bundesgerichtshof.de/
• [R-IV-ZR-151-23] BGH, Urteil vom 18.12.2024 — IV ZR 151/23 — ECLI:DE:BGH:2024:181224UIVZR151.23.0 — OLG Frankfurt am Main (D&O-Versicherung, AVB-Auslegung). Fundstelle: https://www.bundesgerichtshof.de/
• [R-KZR-74-23] BGH, Beschluss vom 11.02.2025 — KZR 74/23 — ECLI:DE:BGH:2025:110225BKZR74.23.0 (Vorlage an den EuGH zur Regressfähigkeit kartellrechtlicher Bußgelder; berichtigt durch Beschluss vom 02.07.2025). Fundstelle: https://www.bundesgerichtshof.de/

15.4 Behörden und amtliche Praxis

• [B-BAFIN] BaFin — Aufsicht über DORA-Finanzunternehmen. Fundstelle: https://www.bafin.de/ (ergänzende Quelle, im Body nicht eigens verankert)
• [B-BSI] Bundesamt für Sicherheit in der Informationstechnik (BSI) — FAQ zu NIS-2, Betroffenheitsprüfung, MUK-Portal, Registrierung/Meldung. Fundstelle: https://www.bsi.bund.de/DE/Themen/Regulierte-Wirtschaft/NIS-2-regulierte-Unternehmen/ (ergänzende Quelle, im Body nicht eigens verankert)

15.5 Markt, AVB, Versicherer und Banken

• [M-AVB-OFFEN] Markt-, AVB-, Versicherer-, Banken- und Termsheet-Aussagen sind bewusst nicht als allgemeiner Marktstandard freigegeben. Sie sind bedingungs-, marktstands- und einzelfallabhängig und ersetzen keine konkrete AVB-, Policen- oder Termsheet-Prüfung und keine Deckungszusage.

15.6 Prüfstatus und Schlusssatz

Maßgeblich sind die amtlichen deutschen Gesetzesfassungen (gesetze-im-internet.de) beziehungsweise die konsolidierten EU-Fassungen (EUR-Lex) sowie für Rechtsprechung die amtlichen Volltexte und Leitsätze.

16. CyberSchutzEngel-Hinweis

Plattes Group bietet im Rahmen des CyberSchutzEngel-Pakets eine begleitende Prüfung der D&O- und Cyber-Versicherungs-Architektur für die Geschäftsleitung an.