Die Innenhaftung der Geschäftsleitung nach § 38 Abs. 2 BSIG i.V.m. § 43 GmbHG und § 93 AktG

1. Was die Innenhaftung ist

Die Innenhaftung ist die zivilrechtliche Haftung der Geschäftsleitung gegenüber der eigenen Einrichtung für Schäden, die durch eine schuldhafte Verletzung der Geschäftsleitungs-Pflichten entstanden sind. Im Cyber-Kontext heißt das: Verletzt die Geschäftsleitung ihre Pflichten zum Cyber-Risikomanagement und entsteht der Einrichtung dadurch ein Schaden — etwa durch einen Cyber-Vorfall mit Betriebsunterbrechung, Datenverlust, Lösegeldzahlung oder Reputationsschaden —, kann die Einrichtung ihrerseits Schadensersatz von der Geschäftsleitung fordern. Dieser Anspruch richtet sich gegen das Privatvermögen der Geschäftsleitungsmitglieder.

Die Innenhaftung ist damit der Mechanismus, über den eine Cyber-Compliance-Verletzung wirtschaftlich zur persönlichen Konsequenz wird. Sie ist nicht durch das BSIG selbst neu geschaffen, sondern eine alte Säule des deutschen Gesellschaftsrechts — § 43 GmbHG [N-GmbHG-43] geht in seinem Kern auf das Reichsgesetz von 1892 zurück, § 93 AktG [N-AktG-93] ist seit dem Aktiengesetz von 1937 in vergleichbarer Substanz verankert. Was § 38 Abs. 2 BSIG [N-BSIG-38] bewirkt, ist eine ausdrückliche Verklammerung dieser allgemeinen gesellschaftsrechtlichen Innenhaftung mit der Cyber-spezifischen Pflichtenwelt des BSIG.

Diese Verklammerung hat Konsequenzen, die in der Praxis regelmäßig unterschätzt werden. Die Innenhaftung trifft die Geschäftsleitungsmitglieder unmittelbar mit dem Privatvermögen — ohne gesetzliches Höchstmaß, mit einer Beweislastumkehr zugunsten der Einrichtung (bei der AG ausdrücklich in § 93 Abs. 2 Satz 2 AktG kodifiziert, bei der GmbH nach gefestigter BGH-Rechtsprechung analog angewendet — Details in Abschnitt 7) und mit Verjährungsfristen von fünf oder zehn Jahren je nach Rechtsform und Börsennotierung. Sie wird in der Praxis durch die D&O-Versicherung [M-AVB-OFFEN] (Directors-and-Officers-Versicherung) wirtschaftlich abgesichert — diese Absicherung ist aber nicht voraussetzungslos, weshalb die Versicherbarkeit selbst zur Compliance-Frage geworden ist.

Wichtig zur Einordnung. Die Innenhaftung nach § 38 Abs. 2 BSIG steht neben anderen Sanktions- und Haftungsschichten und ist mit ihnen nicht zu verwechseln. Die folgende Übersicht zeigt das Geflecht.

Tabelle: Sechs haftungspraktische Abgrenzungsschienen der Geschäftsleitungs-Verantwortung im Cyber-Recht

Die Innenhaftung ist für die Geschäftsleitung persönlich regelmäßig eine der wirtschaftlich gefährlichsten Abgrenzungsschienen, weil sie auf das Privatvermögen zielt und keine gesetzliche Haftungshöchstgrenze kennt. Ob sie im Einzelfall gefährlicher ist als Tätigkeitsverbot, persönliches OWi-Bußgeld, § 15b-InsO-Erstattung, Strafverfahren oder Reputations-/Karrierefolgen, hängt von Schadenhöhe, Deckung, Vermögen, Mandatslage und Sanktionsrisiko ab. Wirtschaftlich gewichtiger für die Einrichtung selbst können bei sehr großen Unternehmen die Verbandsgeldbußen oder regulatorische Maßnahmen sein — die persönliche Risikoexposition der Geschäftsleitung läuft aber primär über die Innenhaftung.

Randnotiz zur Tabelle. Aufsichtsratsmitglieder sind keine Geschäftsleitung im Sinne des BSIG und damit nicht Adressaten der hier beschriebenen Innenhaftungs-Brücke. Sie können aber bei Verletzung ihrer Überwachungspflichten gegenüber dem Vorstand eigenständig nach § 116 Satz 1 AktG i.V.m. § 93 AktG haften; § 116 Satz 1 AktG erstreckt die Regeln zur Sorgfaltspflicht und Verantwortlichkeit nach § 93 AktG — mit Ausnahme des § 93 Abs. 2 Satz 3 AktG — sowie § 15b InsO sinngemäß auf Aufsichtsratsmitglieder. Die konkrete Reichweite von § 15b InsO gegenüber Aufsichtsratsmitgliedern bleibt wegen deren Überwachungs- und nicht Geschäftsführungsfunktion gesondert zu prüfen; sie sollte nicht wie eine identische Zahlungspflicht des Vorstands gelesen werden. Für die Cyber-Compliance bedeutet das: Der Aufsichtsrat darf sich nicht auf bloß informelle oder zufällige Informationen verlassen. Nach BGH, Urteil vom 14. Oktober 2025 — II ZR 78/24, ECLI:DE:BGH:2025:141025UIIZR78.24.1, ist die Berichterstattung nach § 90 Absatz 1 Satz 1 Nummer 3, Absatz 2 Nummer 3 AktG eine Bringschuld des Vorstands; sie entfällt nicht dadurch, dass die AG keinen Geschäften nachgeht. Bei unzureichender Berichterstattung muss der Aufsichtsrat durch geeignete Maßnahmen darauf hinwirken, die für eine sinnvolle Überwachung erforderlichen Informationen zu erhalten. Bei einem fakultativen GmbH-Aufsichtsrat ist eine Übertragung nur soweit tragfähig, wie § 52 GmbHG, Satzung, Mitbestimmungsrecht oder konkrete Organverfassung eine AG-ähnliche Überwachungsstellung begründen. Diese Aufsichtsratshaftung wird in einem späteren Cluster-A-Artikel vertieft.

2. Rechtliche Grundlage und Wortlaut

Die Innenhaftung der Geschäftsleitung für eine Cyber-Pflichtverletzung speist sich aus zwei Schichten — einer BSIG-spezifischen Verweisungsnorm und der zugrundeliegenden gesellschaftsrechtlichen Sorgfaltspflicht.

2.1 Die BSIG-Verweisungsnorm in § 38 Abs. 2

Im Dritten Teil des BSIG (Sicherheit in der Informationstechnik von Einrichtungen), Kapitel 2 (Risikomanagement, Melde-, Registrierungs-, Nachweis- und Unterrichtungspflichten), regelt § 38 die Pflichten der Geschäftsleitung. Absatz 2 lautet:

§ 38 Absatz 2 BSIG. Geschäftsleitungen, die ihre Pflichten nach Absatz 1 verletzen, haften ihrer Einrichtung für einen schuldhaft verursachten Schaden nach den auf die Rechtsform der Einrichtung anwendbaren Regeln des Gesellschaftsrechts. Nach diesem Gesetz haften sie nur, wenn die für die Einrichtung maßgeblichen gesellschaftsrechtlichen Bestimmungen keine Haftungsregelung nach Satz 1 enthalten.
Quelle: BSI-Gesetz in der Fassung des NIS-2-Umsetzungs- und Cybersicherheitsstärkungsgesetzes (NIS2UmsuCG), BGBl. 2025 I Nr. 301 vom 5. Dezember 2025, in Kraft seit 6. Dezember 2025; zuletzt geändert durch Art. 4 KRITIS-Dachgesetz vom 11. März 2026, BGBl. 2026 I Nr. 66, mit Wirkung zum 17. März 2026.

Diese Norm hat drei juristisch tragende Eigenschaften, die im Anschluss eigenständig behandelt werden müssen.

Erstens, sie ist im Regelfall eine Verweisungsnorm — mit einer Auffanghaftung nach Satz 2. § 38 Abs. 2 Satz 1 BSIG [N-BSIG-38] schafft selbst keine eigenständige BSIG-Haftung, sondern verweist auf die gesellschaftsrechtliche Innenhaftung der jeweiligen Rechtsform. Materielle Anspruchsgrundlage ist also im Regelfall nicht § 38 Abs. 2 BSIG selbst, sondern § 43 GmbHG [N-GmbHG-43] bei der GmbH, § 93 AktG [N-AktG-93] bei der Aktiengesellschaft, die entsprechenden Vorschriften für SE, Genossenschaft, Personengesellschaft und andere Rechtsformen. § 38 Abs. 2 Satz 2 BSIG enthält jedoch eine Auffanghaftung: „Nach diesem Gesetz haften sie nur, wenn die für die Einrichtung maßgeblichen gesellschaftsrechtlichen Bestimmungen keine Haftungsregelung nach Satz 1 enthalten.“ In Konstellationen, in denen die einschlägige Rechtsform keine entsprechende gesellschaftsrechtliche Haftungsregelung vorsieht (was bei den im Mittelstand verbreiteten Rechtsformen GmbH und AG mit § 43 GmbHG und § 93 AktG nicht der Fall ist, bei einzelnen Sonderformen aber relevant werden kann), kommt eine Haftung nach § 38 Abs. 2 BSIG selbst in Betracht; sie bleibt aber an die Struktur des Satzes 1 gebunden, also an die Verletzung von Pflichten nach Absatz 1, schuldhaft verursachten Schaden und die Einrichtung als Anspruchsinhaberin.

Zweitens, sie knüpft an Pflichten nach Absatz 1 an, nicht an Pflichten nach Absatz 3. § 38 Abs. 1 BSIG verpflichtet die Geschäftsleitung zur Umsetzung und Überwachung der Risikomanagementmaßnahmen. § 38 Abs. 3 BSIG verpflichtet die Geschäftsleitung amtlich zur regelmäßigen Teilnahme an Schulungen, um ausreichende Kenntnisse und Fähigkeiten zur Erkennung und Bewertung von Risiken und von Risikomanagementpraktiken im Bereich der Sicherheit in der Informationstechnik zu erlangen sowie um die Auswirkungen von Risiken sowie Risikomanagementpraktiken auf die von der Einrichtung erbrachten Dienste beurteilen zu können (amtlicher Wortlaut). Praktisch lässt sich diese Pflicht als Management-Urteilsfähigkeit beschreiben; deren Nachweisbarkeit ist eine haftungs- und beweispraktische Folgerung aus der Beweislast-Logik der Innenhaftung, nicht eigener Tatbestandswortlaut. Die Innenhaftungs-Brücke § 38 Abs. 2 bezieht sich ausschließlich auf die Pflichten aus Absatz 1. Eine Verletzung der Schulungspflicht aus Absatz 3 löst also nicht unmittelbar die BSIG-Haftungsbrücke aus — sie wird haftungsrelevant nur mittelbar, wenn eine ungeschulte Geschäftsleitung Cyber-Risiken nicht erkennt, die sie bei ordnungsgemäßer Schulung hätte erkennen müssen, und dadurch ihre Pflichten aus Absatz 1 verletzt. Diese Differenzierung ist in der Praxis bedeutsam und hat zur Folge, dass die Schulungspflicht-Verletzung primär indirekt haftungsrelevant ist — was nicht heißt, dass sie folgenlos bleibt, weil sie im Rahmen des allgemeinen Sorgfaltsmaßstabs nach § 43 GmbHG oder § 93 AktG als Indiz für mangelnde Management-Urteilsfähigkeit, Organisationsdefizite oder fehlende Entlastung berücksichtigt werden kann.

Drittens, sie verlangt Schuldhaftigkeit — Vorsatz oder Fahrlässigkeit. Eine verschuldensunabhängige Erfolgshaftung der Geschäftsleitung für Cyber-Vorfälle besteht nicht. Welche Schuld-Form vorliegt, ist Sache der konkreten Tatsachen-Würdigung und hat Folgen für den Haftungsumfang und für die Frage, ob eine D&O-Versicherung eintritt — vorsätzliches Handeln im Sinne von § 276 BGB und wissentliche Pflichtverletzungen im D&O-Sinn sind sauber zu unterscheiden: Wissentlichkeit in den D&O-AVB ist nicht deckungsgleich mit zivilrechtlichem Vorsatz, sondern ein eigenständiger versicherungsrechtlicher Begriff. Nach BGH-Linie 2025 (IV ZR 66/25 [R-IV-ZR-66-25]) muss sich die Wissentlichkeit auf die konkret haftungsauslösende Pflichtverletzung im konkreten Schadensfall beziehen, wegen der die versicherte Person in Anspruch genommen wird — eine Erweiterung auf vorgelagerte oder verwandte Pflichten trägt den Ausschluss nicht (siehe ausführlich Abschnitt 8.3).

2.2 Die gesellschaftsrechtliche Innenhaftung — § 43 GmbHG

Bei der GmbH ist die maßgebliche Norm § 43 GmbHG, der die Sorgfaltspflicht der Geschäftsführer und ihre Haftung bei Pflichtverletzung regelt:

§ 43 Absatz 1 GmbHG. Die Geschäftsführer haben in den Angelegenheiten der Gesellschaft die Sorgfalt eines ordentlichen Geschäftsmannes anzuwenden.
§ 43 Absatz 2 GmbHG. Geschäftsführer, welche ihre Obliegenheiten verletzen, haften der Gesellschaft solidarisch für den entstandenen Schaden.
§ 43 Absatz 3 GmbHG. Insbesondere sind sie zum Ersatz verpflichtet, wenn den Bestimmungen des § 30 zuwider Zahlungen aus dem zur Erhaltung des Stammkapitals erforderlichen Vermögen der Gesellschaft gemacht oder den Bestimmungen des § 33 zuwider eigene Geschäftsanteile der Gesellschaft erworben worden sind. Auf den Ersatzanspruch finden die Bestimmungen in § 9b Abs. 1 entsprechende Anwendung. Soweit der Ersatz zur Befriedigung der Gläubiger der Gesellschaft erforderlich ist, wird die Verpflichtung der Geschäftsführer dadurch nicht aufgehoben, daß dieselben in Befolgung eines Beschlusses der Gesellschafter gehandelt haben.
§ 43 Absatz 4 GmbHG. Die Ansprüche auf Grund der vorstehenden Bestimmungen verjähren in fünf Jahren.
Quelle: Gesetz betreffend die Gesellschaften mit beschränkter Haftung (GmbHG), aktuelle Fassung; gesetze-im-internet.de/gmbhg/__43.html.

Vier Punkte sind hier von zentraler Bedeutung. § 43 Abs. 1 GmbHG setzt den Sorgfaltsmaßstab des „ordentlichen Geschäftsmannes“ — ein objektivierter Maßstab, der sich an den Anforderungen orientiert, die an einen sorgfältig handelnden Geschäftsführer in vergleichbarer Position zu stellen sind. § 43 Abs. 2 GmbHG regelt die solidarische Haftung mehrerer Geschäftsführer — jeder Geschäftsführer haftet für den vollen Schaden, im Innenverhältnis verteilen sie ihn unter sich. § 43 Abs. 3 GmbHG enthält eine kapitalerhaltungs- und gläubigerschutzspezifische Ersatzpflicht bei Verstößen gegen § 30 oder § 33 GmbHG und begrenzt insoweit die gesellschaftsinterne Dispositionsbefugnis. § 43 Abs. 4 GmbHG legt die Verjährungsfrist auf fünf Jahre fest, einheitlich für alle GmbHs — ohne Differenzierung nach Börsennotierung, die bei der GmbH ohnehin nicht in Betracht kommt.

2.3 Die gesellschaftsrechtliche Innenhaftung — § 93 AktG

Bei der Aktiengesellschaft (und mit Modifikationen bei der SE) ist die maßgebliche Norm § 93 AktG, die strenger formuliert ist als § 43 GmbHG:

§ 93 Absatz 1 Satz 1 AktG. Die Vorstandsmitglieder haben bei ihrer Geschäftsführung die Sorgfalt eines ordentlichen und gewissenhaften Geschäftsleiters anzuwenden.
§ 93 Absatz 2 Satz 1 AktG. Vorstandsmitglieder, die ihre Pflichten verletzen, sind der Gesellschaft zum Ersatz des daraus entstehenden Schadens als Gesamtschuldner verpflichtet.
§ 93 Absatz 2 Satz 2 AktG. Ist streitig, ob sie die Sorgfalt eines ordentlichen und gewissenhaften Geschäftsleiters angewandt haben, so trifft sie die Beweislast.
§ 93 Absatz 5 AktG. Der Ersatzanspruch der Gesellschaft kann auch von den Gläubigern der Gesellschaft geltend gemacht werden, soweit sie von dieser keine Befriedigung erlangen können. Dies gilt jedoch in anderen Fällen als denen des Absatzes 3 nur dann, wenn die Vorstandsmitglieder die Sorgfalt eines ordentlichen und gewissenhaften Geschäftsleiters gröblich verletzt haben; Absatz 2 Satz 2 gilt sinngemäß. Den Gläubigern gegenüber wird die Ersatzpflicht weder durch einen Verzicht oder Vergleich der Gesellschaft noch dadurch aufgehoben, daß die Handlung auf einem Beschluß der Hauptversammlung beruht. Ist über das Vermögen der Gesellschaft das Insolvenzverfahren eröffnet, so übt während dessen Dauer der Insolvenzverwalter oder der Sachwalter das Recht der Gläubiger gegen die Vorstandsmitglieder aus.
§ 93 Absatz 6 AktG. Die Ansprüche aus diesen Vorschriften verjähren bei Gesellschaften, die zum Zeitpunkt der Pflichtverletzung börsennotiert sind, in zehn Jahren, bei anderen Gesellschaften in fünf Jahren.
Quelle: Aktiengesetz (AktG), aktuelle Fassung; § 93 Abs. 6 in der durch das Finanzmarktintegritätsstärkungsgesetz vom 3. Juni 2021 (BGBl. 2021 I S. 1534) geänderten Fassung, in Kraft seit 1. Januar 2022. gesetze-im-internet.de/aktg/__93.html.

Sechs Punkte sind hier von zentraler Bedeutung. § 93 Abs. 1 Satz 1 AktG setzt den Sorgfaltsmaßstab nicht nur des „ordentlichen“, sondern des „ordentlichen und gewissenhaften“ Geschäftsleiters — eine Verschärfung gegenüber § 43 GmbHG. § 93 Abs. 1 Satz 2 AktG enthält die Business Judgment Rule für unternehmerische Entscheidungen auf angemessener Informationsgrundlage zum Wohl der Gesellschaft (vertieft in Abschnitt 7). § 93 Abs. 2 Satz 1 AktG regelt die gesamtschuldnerische Haftung mehrerer Vorstandsmitglieder. § 93 Abs. 2 Satz 2 AktG enthält die für die Praxis entscheidende Beweislastumkehr — Ist streitig, ob der Vorstand die Sorgfalt eines ordentlichen und gewissenhaften Geschäftsleiters angewandt hat, muss der Vorstand dies beweisen (vertieft in Abschnitt 7). § 93 Abs. 3 AktG enthält namentlich benannte Sonderfälle der Ersatzpflicht bei gesetzeswidrigen Kapital- und Vermögensmaßnahmen; für die Gläubiger-Geltendmachung ist dieser Absatz wichtig, weil § 93 Abs. 5 Satz 2 AktG gerade zwischen Fällen des Absatzes 3 und anderen Fällen unterscheidet. § 93 Abs. 5 AktG öffnet den Ersatzanspruch der Gesellschaft unter qualifizierten Voraussetzungen auch für Gläubiger, soweit diese von der Gesellschaft keine Befriedigung erlangen können; zugleich schützt Satz 3 diese Gläubiger-Geltendmachung dagegen, dass die Ersatzpflicht ihnen gegenüber durch Verzicht, Vergleich oder einen Hauptversammlungsbeschluss der Gesellschaft aufgehoben wird. Ist über das Vermögen der Gesellschaft das Insolvenzverfahren eröffnet, übt nach Satz 4 während dessen Dauer der Insolvenzverwalter oder der Sachwalter das Recht der Gläubiger gegen die Vorstandsmitglieder aus. § 93 Abs. 6 AktG differenziert die Verjährung nach Börsennotierung — zehn Jahre bei börsennotierten Gesellschaften, fünf Jahre bei nicht-börsennotierten. Diese Differenzierung gilt seit der Änderung durch das Finanzmarktintegritätsstärkungsgesetz im Januar 2022; in älteren Quellen findet sich noch die einheitliche Zehn-Jahres-Verjährung der davor geltenden Fassung. Vertieft in Abschnitt 9.

2.4 Flankierende Krisenfrüherkennungspflichten — § 91 Abs. 2 AktG und § 1 StaRUG

Über die unmittelbare Innenhaftungs-Brücke aus § 38 Abs. 2 BSIG hinaus existieren rechtsformübergreifende Krisenfrüherkennungspflichten, die für die Cyber-Innenhaftung mittelbar bedeutsam sind. Sie wirken auf den allgemeinen Sorgfaltsmaßstab zurück und können bei Cyber-Vorfällen, die bestandsgefährdend werden, eigenständige Pflichtverletzungs-Tatbestände auslösen.

Für die Aktiengesellschaft: § 91 Abs. 2 AktG [N-AktG-91].

§ 91 Absatz 2 AktG. Der Vorstand hat geeignete Maßnahmen zu treffen, insbesondere ein Überwachungssystem einzurichten, damit den Fortbestand der Gesellschaft gefährdende Entwicklungen früh erkannt werden.
Quelle: Aktiengesetz (AktG), aktuelle Fassung; gesetze-im-internet.de/aktg/__91.html.

Für alle juristischen Personen, einschließlich GmbH: § 1 StaRUG [N-StaRUG-1]. Das Unternehmensstabilisierungs- und -restrukturierungsgesetz, in Kraft seit 1. Januar 2021, hat in § 1 eine rechtsformübergreifende Krisenfrüherkennungs-Pflicht eingeführt, die ausdrücklich auch GmbH-Geschäftsführer trifft:

§ 1 StaRUG (Krisenfrüherkennung und Krisenmanagement bei haftungsbeschränkten Unternehmensträgern). Die Mitglieder des zur Geschäftsführung berufenen Organs einer juristischen Person (Geschäftsleiter) wachen fortlaufend über Entwicklungen, welche den Fortbestand der juristischen Person gefährden können. Erkennen sie solche Entwicklungen, ergreifen sie geeignete Gegenmaßnahmen und erstatten den zur Überwachung der Geschäftsleitung berufenen Organen (Überwachungsorganen) unverzüglich Bericht. Berühren die zu ergreifenden Maßnahmen die Zuständigkeiten anderer Organe, wirken die Geschäftsleiter unverzüglich auf deren Befassung hin.
Quelle: Gesetz über den Stabilisierungs- und Restrukturierungsrahmen für Unternehmen (StaRUG), aktuelle Fassung; gesetze-im-internet.de/starug/__1.html.

Cyber-Risiken können im Sinne dieser beiden Normen bestandsgefährdend sein, wenn ein Vorfall die Geschäftsfähigkeit, Liquidität oder Fortführungsprognose der Einrichtung substanziell bedrohen kann. Bei Ransomware-Vorfällen mit mehrwöchiger Betriebsunterbrechung, reputationsvernichtenden Datenverletzungen oder DSGVO [EU-DSGVO]-Bußgeldern oberhalb der finanziellen Reserven ist diese Einordnung risikokonservativ und gut vertretbar, wenn Liquidität, Lieferfähigkeit, Versicherungsdeckung oder Geschäftsfortführungsprognose ernsthaft betroffen sind; die Schwelle bleibt einzelfallabhängig. Eine Geschäftsleitung, die bei erkennbar bestandsrelevanten Cyber-Risiken keine angemessene Früherkennungs- und Überwachungsstruktur unterhält, kann damit zugleich § 91 Abs. 2 AktG (bei der AG) bzw. § 1 StaRUG (bei der GmbH und anderen juristischen Personen) verletzen. Ob eine solche Pflichtverletzung im Einzelfall vorliegt, hängt von Risikoexposition, Unternehmensgröße, Liquiditätslage, Versicherungsdeckung und Geschäftsfortführungsprognose ab — und ist als zusätzliche Pflichtenschicht in der Sorgfaltsbeurteilung nach § 93 Abs. 1 AktG bzw. § 43 Abs. 1 GmbHG mitzugewichten.

Hinweis für GmbH-Geschäftsführer. Die Krisenfrüherkennungs-Pflicht aus § 1 StaRUG wird in der Beratungs-Praxis bisher weniger prominent diskutiert als § 91 Abs. 2 AktG für Vorstände, hat aber eine vergleichbare Frühwarn- und Reaktionsfunktion. Ihre Reichweite ist gleichwohl eigenständig aus Wortlaut, Rechtsform, Organstruktur und konkreter Bestandsgefährdung zu bestimmen. Für die Cyber-Compliance bedeutet das: GmbH-Geschäftsführer dürfen sich nicht darauf verlassen, dass die Risikofrüherkennungs-Pflicht nur für börsennotierte AGs gilt. Sie trifft auch sie.

§ 1 StaRUG ist seit 1. Januar 2021 in Kraft. Eine höchstrichterliche Rechtsprechung speziell zur Anwendung auf Cyber-Risiken liegt bislang nicht vor — der Bundesgerichtshof hat zur StaRUG-Krisenfrüherkennungs-Pflicht im Cyber-Kontext keine Leitentscheidung getroffen. Cyber-Risiken können unter § 1 StaRUG fallen, wenn sie den Fortbestand der juristischen Person gefährden können — bei Ransomware-Vorfällen mit mehrwöchiger Betriebsunterbrechung, bei reputationsvernichtenden Datenverletzungen oder bei DSGVO-Bußgeldern oberhalb der finanziellen Reserven kann eine solche Bestandsgefährdung im konkreten Einzelfall gegeben sein; eine pauschale Annahme „jeder schwere Cyber-Vorfall ist bestandsgefährdend“ trägt nicht. Die Schwellen-Bewertung hängt von Liquiditätslage, Versicherungs-Deckung, Reservierungs-Polster und der Geschäftsfortführungs-Prognose des konkreten Unternehmens ab. Die Einordnung folgt aus Wortlaut, Zweck und allgemeiner Krisenfrüherkennungspflicht; eine konkrete Cyber-Anwendung ist somit eine plausible Risiko-Lese-Linie, aber noch keine gefestigte Rechtsprechung. Wer als GmbH-Geschäftsführer wartet, bis eine konkrete BGH-Entscheidung vorliegt, läuft Gefahr, im konkreten Fall die Pflicht-Verletzung zugerechnet zu bekommen — die haftungsrelevante Pflicht beruht nicht auf BGH-Bestätigung, sondern auf Norm-Wortlaut und Zweck.

2.5 IKS- und Risikomanagementsystem-Pflicht für börsennotierte AGs — § 91 Abs. 3 AktG

Für börsennotierte Aktiengesellschaften hat der Gesetzgeber mit dem Finanzmarktintegritätsstärkungsgesetz (FISG) vom 3. Juni 2021 eine eigenständige Compliance-Architektur-Pflicht in § 91 AktG eingefügt. Sie ergänzt die Krisenfrüherkennungs-Pflicht aus Absatz 2 um eine ausdrücklich kodifizierte System-Pflicht:

§ 91 Absatz 3 AktG. Der Vorstand einer börsennotierten Gesellschaft hat darüber hinaus ein im Hinblick auf den Umfang der Geschäftstätigkeit und die Risikolage des Unternehmens angemessenes und wirksames internes Kontrollsystem und Risikomanagementsystem einzurichten.
Quelle: Aktiengesetz (AktG), § 91 Abs. 3 in der durch das FISG vom 3.6.2021 (BGBl. 2021 I S. 1534) eingefügten Fassung, in Kraft seit 1. Juli 2021. gesetze-im-internet.de/aktg/__91.html.

Diese Pflicht ist für die Cyber-Innenhaftung relevant, weil das Cyber-Risikomanagement nach § 30 BSIG [N-BSIG-30] einen Teil des Risikomanagementsystems im Sinne des § 91 Abs. 3 AktG bildet — Cyber-Compliance ist nicht ein Insel-Thema, sondern ein Baustein des nach Aktienrecht geforderten Gesamtsystems. Eine Verletzung der § 91 Abs. 3 AktG-Pflicht kann eine Pflichtverletzung im Sinne des § 93 AktG begründen. Eine persönliche Innenhaftung entsteht jedoch erst, wenn zusätzlich ein daraus entstandener Schaden, Kausalität und Verschulden vorliegen und keine Entlastung greift.

Für nicht-börsennotierte AGs und für GmbHs gilt § 91 Abs. 3 AktG nach seinem Wortlaut nicht unmittelbar. Ob und in welchem Umfang einzelne Strukturgedanken auf größere nicht-börsennotierte Gesellschaften übertragen werden können, ist nicht höchstrichterlich geklärt und sollte nicht als gesicherte Vollanalogie behandelt werden. Praktisch bedeutsam ist die zweite Linie: aus der allgemeinen Leitungs-, Organisations- und Sorgfaltspflicht nach § 93 Abs. 1 AktG bzw. § 43 Abs. 1 GmbHG kann sich je nach Größe, Risiko- und Geschäftslage eine Pflicht zur Einrichtung angemessener Compliance-, Kontroll- und Risikomanagement-Strukturen ergeben (siehe Abschnitt 2.6 zur Neubürger [R-Neubuerger]-Linie und OLG Nürnberg, Urteil vom 30.3.2022 — 12 U 1520/19 [R-OLG-Nbg], das die Compliance-Pflicht ausdrücklich aus § 43 Abs. 1 GmbHG ableitet). Wirtschaftlich kommt es im Ergebnis bei größeren Mittelstandsunternehmen häufig auf vergleichbare Strukturen hinaus — die Pflicht-Quelle ist aber eine andere (§ 43 Abs. 1 GmbHG / § 93 Abs. 1 AktG, nicht § 91 Abs. 3 AktG), und Umfang und Tiefe der Strukturen müssen sich nach der konkreten Risiko-Lage des Unternehmens bemessen, nicht nach einem gesetzlich fixierten Vollständigkeits-Standard.

2.6 Compliance-Pflicht als rechtsformübergreifender Standard — die Neubürger-Linie

Über die ausdrücklich kodifizierten Pflichten hinaus hat die Rechtsprechung eine eigenständige Compliance-Pflicht der Geschäftsleitung herausgearbeitet, die für die Cyber-Innenhaftung methodisch zentral ist. Die häufig zitierte Neubürger-Entscheidung stammt nicht vom Bundesgerichtshof, sondern vom Landgericht München I. Zusammen mit der späteren obergerichtlichen Bestätigung durch OLG Nürnberg, Urteil vom 30. März 2022 — 12 U 1520/19, trägt sie eine belastbare Rechtsprechungs- und Praxislinie: Für AG-Vorstände kann eine risikoadäquate Compliance-Organisationspflicht aus § 93 Abs. 1 AktG folgen; für GmbH-Geschäftsführer bestätigt OLG Nürnberg eine entsprechende Organisations- und Compliance-Pflicht aus § 43 Abs. 1 GmbHG. Als höchstrichterlich abgeschlossener rechtsformübergreifender Standard sollte diese Linie jedoch nicht bezeichnet werden.

Die Neubürger-Leitlinie: LG München I, Urteil vom 10. Dezember 2013 — 5 HK O 1387/10, NZG 2014, 345 — Neubürger. Das Landgericht verurteilte den ehemaligen Finanzvorstand der Siemens AG, Heinz-Joachim Neubürger, auf rund 15 Millionen Euro Schadensersatz wegen Verletzung der Compliance-Pflicht. Die Entscheidung ist erstinstanzlich, nicht höchstrichterlich und nicht als BGH-Leitsatz zu behandeln; die Compliance-Kernsätze sind als gerichtliche Gründe bzw. redaktionell/sekundär aufbereitete Leitlinie zu lesen, nicht als amtlicher Leitsatz/Tenor. Die Kernaussage des Urteils, die seither in Lehre und Rechtsprechung als Leit-Formel geführt wird, lautet im Sinngehalt: Die Geschäftsleitung eines Unternehmens muss ein Compliance-System einrichten, das dafür sorgt, dass das Unternehmen und seine Mitarbeiter keine Gesetzesverletzungen begehen. Der Verzicht auf ein Compliance-System, die Einrichtung eines mangelhaften Compliance-Systems oder dessen unzureichende Überwachung darauf, ob das System auch tatsächlich funktioniert, begründen in der Regel eine Verletzung der Vorstandspflicht aus § 93 Abs. 1 AktG und können dadurch eine Ersatzpflicht nach § 93 Abs. 2 Satz 1 AktG auslösen — die konkrete Pflichtverletzung bleibt im Einzelfall an der Business Judgment Rule nach § 93 Abs. 1 Satz 2 AktG und am konkreten Risiko-Profil der Einrichtung zu prüfen.

Diese Linie ist anschließend auf die GmbH-Geschäftsführung übertragen worden. OLG Nürnberg, Endurteil vom 30. März 2022 — 12 U 1520/19 (Bayern.Recht; in der amtlichen Bayern.Recht-Fassung keine ECLI ausgewiesen) bestätigt das Compliance-Management ausdrücklich als Sorgfalts- und Leitungspflicht der GmbH-Geschäftsführung nach § 43 Abs. 1 GmbHG. Damit ist die Compliance-Pflicht jedenfalls für AG und GmbH eine tragfähige Konkretisierung des jeweiligen gesellschaftsrechtlichen Sorgfaltsmaßstabs; ihre Herleitung bleibt rechtsformbezogen zu trennen (§ 93 Abs. 1 AktG bei der AG, § 43 Abs. 1 GmbHG bei der GmbH) und ist nicht als einheitlich höchstrichterlich geschlossener Vollstandard für alle Rechtsformen zu lesen.

Für die Cyber-Innenhaftung folgt daraus eine tragfähige, aber risikoprofilabhängige Architektur. Cyber-Compliance kann Teil der Gesamt-Compliance der Einrichtung sein. Auch außerhalb des BSIG-Anwendungsbereichs können je nach Rechtsform und Risikolage aus § 43 GmbHG oder § 93 AktG angemessene cyberbezogene Organisations-, Kontroll- und Risikomanagementstrukturen folgen. Für AG-Vorstände kommt § 91 Abs. 2 AktG als Krisenfrüherkennungsnorm hinzu; für haftungsbeschränkte Unternehmensträger einschließlich der GmbH gilt § 1 StaRUG. Bei Verarbeitung personenbezogener Daten wirkt Art. 32 DSGVO als eigenständige TOM-Pflichtenschicht auf den gesellschaftsrechtlichen Sorgfaltsmaßstab zurück. Ob daraus im Einzelfall ein eigenständiges Cyber-Compliance-System folgt, hängt von Größe, Branche, IT-Abhängigkeit, Datenrisiko und erkennbarer Bedrohungslage der Einrichtung ab. Das ist die methodische Brücke, über die auch nicht-NIS-2-pflichtige Mittelstands-Einrichtungen in die Cyber-Compliance-Verantwortung der Geschäftsleitung kommen können.

Praxis-Hinweis für nicht-NIS-2-pflichtige Einrichtungen. Wer kein „besonders wichtiges“ oder „wichtiges“ Unternehmen im Sinne der § 28-Schwellen ist und damit nicht direkter Adressat der § 30 und § 38 BSIG-Pflichten, ist nicht aus der Cyber-Compliance-Verantwortung der Geschäftsleitung entlassen. Über die Neubürger-Linie kann sich aus § 43 GmbHG bzw. § 93 AktG eine Pflicht zu angemessenen Cyber-bezogenen Organisations-, Kontroll- und Risikomanagement-strukturen ergeben. Ob daraus im Einzelfall ein eigenständiges Cyber-Compliance-System folgt, hängt von Größe, Branche, IT-Abhängigkeit, Datenrisiko und erkennbarer Bedrohungslage der Einrichtung ab. Wer als GmbH-Geschäftsführer einer kleineren Einrichtung argumentiert „NIS-2 betrifft uns nicht“, verkennt diese Brücke — die Innenhaftung kann auch ohne BSIG-spezifische Pflichtverletzung greifen, wenn die Cyber-Compliance gemessen am konkreten Risikoprofil erkennbar unzureichend ist und ein Vorfall mit Schaden eintritt.

2.7 Andere Rechtsformen

Bei der Societas Europaea (SE) gelten die Vorschriften des AktG entsprechend, soweit die SE-Verordnung und das SE-Ausführungsgesetz nicht abweichende Regelungen treffen. Bei der monistisch verfassten SE (mit Verwaltungsrat statt Vorstand und Aufsichtsrat, geregelt in §§ 22 ff. SEAG) ist die BSIG-Adressierung anhand der konkreten Organ- und Vertretungsordnung in drei Schritten zu prüfen: Schritt 1 — Organrolle pro Person identifizieren (geschäftsführender Direktor nach § 40 SEAG [N-SEAG-40], Verwaltungsratsmitglied nach §§ 22 ff. SEAG, oder beides nach § 40 Abs. 1 Satz 2 SEAG). Schritt 2 — BSIG-Geschäftsleitung im Sinne des § 2 Nummer 13 BSIG [N-BSIG-2-13] zuordnen: primär die geschäftsführenden Direktoren, weil sie die Geschäfte führen (§ 40 Abs. 2 Satz 1 SEAG) und die Gesellschaft gerichtlich und außergerichtlich vertreten (§ 41 Abs. 1 Satz 1 SEAG); Verwaltungsratsmitglieder fallen nur insoweit unter § 2 Nr. 13 BSIG, wie sie zugleich geschäftsführende Direktoren sind, eine Vertretungs-Sonderlage besteht oder ihnen nach Satzung beziehungsweise Organpraxis Geschäftsführungs- und Vertretungsfunktionen zukommen. Schritt 3 — Sorgfalts- und Haftungsregime pro Organ getrennt anwenden: für Verwaltungsratsmitglieder § 39 SEAG [N-SEAG-39] i.V.m. § 93 AktG entsprechend, für geschäftsführende Direktoren § 40 Abs. 9 SEAG i.V.m. § 93 AktG entsprechend. Auf dieser Basis sind zwei Ebenen zu trennen: Gesellschaftsrechtlich unterliegen Verwaltungsratsmitglieder über § 39 SEAG i.V.m. § 93 AktG eigenen Sorgfalts- und Haftungsregeln und treten insoweit in die Pflichten- und Haftungs-Position des Vorstands ein. BSIG-spezifische Geschäftsleitung im Sinne von § 2 Nummer 13 BSIG sind dagegen grundsätzlich die geschäftsführenden Direktoren, soweit sie zur Führung der Geschäfte und Vertretung berufen sind; Verwaltungsratsmitglieder fallen nur insoweit unter § 2 Nr. 13 BSIG, wie sie selbst diese Geschäftsführungs- und Vertretungsfunktion innehaben. Die direkte Haftungs-Norm für Verwaltungsräte der monistischen SE ist § 39 SEAG, der amtlich lautet: „Für die Sorgfaltspflicht und Verantwortlichkeit der Verwaltungsratsmitglieder gilt § 93 des Aktiengesetzes entsprechend.“ § 22 SEAG [N-SEAG-22] ist demgegenüber die Aufgaben- und Rechte-Norm des Verwaltungsrats (Leitung, Hauptversammlung, Buchführung, Einsicht, Insolvenzantragspflicht) — sie enthält keinen Haftungs-Verweis auf § 93 AktG. Für die geschäftsführenden Direktoren der monistischen SE gilt entsprechend § 40 Abs. 9 SEAG mit Verweis auf § 93 AktG. Für die Cyber-Innenhaftung heißt das: in der monistischen SE haftet der Verwaltungsrat nach § 39 SEAG i.V.m. § 93 AktG entsprechend, nicht nach § 116 AktG [N-AktG-116]. Bei der Genossenschaft regelt § 34 GenG [N-GenG-34] die Sorgfaltspflicht und Haftung der Vorstandsmitglieder in vergleichbarer Substanz wie § 93 AktG, mit einer einheitlichen fünfjährigen Verjährungsfrist nach § 34 Abs. 6 GenG; für Aufsichtsratsmitglieder der Genossenschaft gilt § 34 GenG nach § 41 GenG [N-GenG-41] sinngemäß. Bei der Personengesellschaft (OHG, KG) haftet der vertretungsberechtigte Gesellschafter nach den allgemeinen Sorgfaltsregeln und den jeweiligen Gesellschafterpflichten. Bei der Stiftung ist das Organverhältnis seit der Stiftungsrechtsreform (Stiftungsmodernisierungsgesetz vom 16.7.2021, in Kraft seit 1.7.2023) bundeseinheitlich im BGB geregelt — die landesrechtlichen Stiftungsgesetze sind für das zivilrechtliche Innenverhältnis nicht mehr einschlägig (sie regeln das öffentliche Stiftungsaufsichtsrecht). § 84a Absatz 1 BGB [N-BGB-84a] verweist amtlich auf die §§ 664 bis 670 BGB (Auftragsrecht), § 84a Absatz 2 BGB regelt Sorgfaltsmaßstab und Business-Judgment-Rule-Privileg der Organmitglieder, und § 84a Absatz 3 BGB ordnet nur die entsprechende Anwendung des § 31a BGB [N-BGB-31a] an; § 31b BGB wird dort nicht einbezogen. Beim Verein wird die Geschäftsführung des Vorstands über § 27 Absatz 3 BGB an das Auftragsrecht angebunden; die verschuldensbezogene Privilegierung folgt gesondert aus § 31a BGB. Die zentrale Struktur — Sorgfaltsmaßstab plus Schadensersatzpflicht bei Pflichtverletzung — ist über alle Rechtsformen ähnlich, die Detailausgestaltung variiert.

3. Wer adressiert ist — die Geschäftsleitung

Adressat der spezifischen § 38-Abs.-2-BSIG-Haftungsbrücke ist die Geschäftsleitung im Sinne des § 2 Nummer 13 BSIG [N-BSIG-2-13]. Daneben ist für die allgemeine gesellschaftsrechtliche Cyber-Innenhaftung gesondert zu prüfen, wer nach der jeweiligen Rechtsform Organ, organschaftlich haftender Vertreter oder — bei der GmbH nach obergerichtlicher, aber nicht abschließend höchstrichterlich geschlossener Linie — faktischer Geschäftsführer ist. Diese allgemeine Haftungsspur läuft nicht automatisch über § 2 Nr. 13 BSIG. Erfasst sind somit:

• Bei der GmbH die Geschäftsführer nach § 35 GmbHG
• Bei der Aktiengesellschaft die Vorstandsmitglieder nach § 76 AktG
• Bei der dualistischen SE: die Mitglieder des Leitungsorgans (Vorstand) nach Art. 39 SE-VO i.V.m. dem SEAG
• Bei der monistischen SE: die geschäftsführenden Direktoren nach § 40 Absatz 2 und § 41 SEAG [N-SEAG-41], weil sie die Geschäfte führen und die Gesellschaft gerichtlich und außergerichtlich vertreten; der Verwaltungsrat nach § 22 SEAG [N-SEAG-22] leitet und überwacht die Gesellschaft strategisch, ist aber nicht als solcher Geschäftsleitung im Sinne des § 2 Nummer 13 BSIG, soweit das einzelne Verwaltungsratsmitglied nicht zugleich zur Geschäftsführung und Vertretung berufen ist (für die Sorgfalts- und Haftungsfolgen der Verwaltungsratsmitglieder gilt § 39 SEAG [N-SEAG-39] i.V.m. § 93 AktG [N-AktG-93] entsprechend; für die geschäftsführenden Direktoren § 40 Absatz 9 SEAG [N-SEAG-40] i.V.m. § 93 AktG)
• Bei Personengesellschaften die zur Vertretung berufenen Gesellschafter
• Bei Stiftungen, Vereinen und anderen juristischen Personen die zur Vertretung berufenen Organmitglieder

Die personelle Reichweite ist also identisch mit der personellen Reichweite der Pflichten aus § 38 Abs. 1 BSIG [N-BSIG-38], weil die Haftung aus § 38 Abs. 2 BSIG ausdrücklich an die Verletzung dieser Pflichten anknüpft.

Vernachlässigbarkeitsregel nach § 28 Absatz 3 BSIG. Bei der Zuordnung zu einer der Einrichtungsarten nach den Anlagen 1 und 2 können nach § 28 Absatz 3 BSIG amtlich „solche Geschäftstätigkeiten unberücksichtigt bleiben, die im Hinblick auf die gesamte Geschäftstätigkeit der Einrichtung vernachlässigbar sind“. Bei Mischbetrieben, die zwar formal eine Anlage-1- oder Anlage-2-Tätigkeit ausüben, bei denen diese Tätigkeit aber im Verhältnis zur Gesamttätigkeit nur einen Bagatell-Anteil ausmacht, kann die Zuordnung zur Einrichtungsart entfallen — und damit auch die Innenhaftungs-Brücke aus § 38 Absatz 2 BSIG. Eine gefestigte Auslegungslinie zur Bagatell-Schwelle besteht noch nicht; in der Risikoanalyse ist diese Bagatell-Spur konservativ zu prüfen und zu dokumentieren.
Wichtiger Vorbehalt zum Anwendungsbereich. Die Innenhaftungs-Brücke aus § 38 Abs. 2 BSIG greift nur, wenn § 38 BSIG auf die Einrichtung tatsächlich anwendbar ist. Die Einordnung als besonders wichtige oder wichtige Einrichtung nach § 28 BSIG reicht dafür nicht in jeder Konstellation aus: § 28 Absatz 5 BSIG nimmt bestimmte Telekommunikations- und Energie-Konstellationen ausdrücklich von den §§ 30, 31, 32, 35, 36, 38, 39, 61 und 62 BSIG aus; § 28 Absatz 6 BSIG nimmt Finanzunternehmen nach Artikel 2 Absatz 2 der Verordnung (EU) 2022/2554 und Unternehmen, für die die Anforderungen der Verordnung (EU) 2022/2554 aufgrund von § 1a Absatz 2 und 2a des Kreditwesengesetzes oder § 293 Absatz 5 des Versicherungsaufsichtsgesetzes gelten, sowie bestimmte Telematik-Konstellationen nach § 28 Absatz 6 Nummer 2 BSIG von den §§ 30, 31, 32, 35, 36, 38 und 39 BSIG aus. § 28 Absatz 8 BSIG nimmt außerdem rechtlich unselbstständige Organisationseinheiten von Gebietskörperschaften und juristische Personen, an denen ausschließlich Gebietskörperschaften außer dem Bund beteiligt sind, unter den dort genannten Voraussetzungen vom gesamten Gesetz aus. Greift eine dieser Ausnahmen — bei § 28 Absatz 5 BSIG vorbehaltlich der Rückausnahmen nach § 28 Absatz 5 Satz 2 oder 4 BSIG —, bleibt die Pflicht nach § 38 BSIG und damit auch die spezifische Innenhaftungs-Brücke aus § 38 Absatz 2 BSIG ausgeschlossen. Eine Innenhaftung der Geschäftsleitung kann in diesen Konstellationen weiterhin über die allgemeinen gesellschaftsrechtlichen Sorgfaltspflichten aus § 43 GmbHG / § 93 AktG entstehen. Bei DORA-ausgenommenen Finanzunternehmen ist dabei DORA nicht nur „Außenverhältnis“: Art. 5 Abs. 2 Unterabs. 1 DORA: „Das Leitungsorgan des Finanzunternehmens definiert, genehmigt, überwacht und verantwortet die Umsetzung aller Vorkehrungen im Zusammenhang mit dem IKT-Risikomanagementrahmen nach Artikel 6 Absatz 1.“ Art. 5 Abs. 2 Buchstabe a DORA: „Das Leitungsorgan trägt die letztendliche Verantwortung für das Management der IKT-Risiken des Finanzunternehmens;“ (amtliche deutsche EU-Terminologie „genehmigt“ statt der englischen Rückübersetzung „Billigung“) und kann dadurch den gesellschaftsrechtlichen Sorgfaltsmaßstab konkretisieren. Die Haftungsbrücke läuft dann nicht über § 38 Abs. 2 BSIG, wohl aber über Spezialregime plus § 43/§ 93.
§ 37 BSIG-Ausnahmebescheid als zusätzliche Befreiungs-Spur. Neben den Bereichs-Ausnahmen des § 28 BSIG kennt das BSIG mit § 37 BSIG eine zusätzliche, vorschlags- oder amtswegig geprägte Befreiungs-Spur. Das Bundesministerium des Innern kann nach § 37 Absatz 1 Satz 1 BSIG eine besonders wichtige oder eine wichtige Einrichtung von Verpflichtungen nach dem BSIG teilweise befreien (einfacher Ausnahmebescheid nach Maßgabe des Absatzes 2 — Bereiche nationale Sicherheit, öffentliche Sicherheit, Verteidigung oder Strafverfolgung; Befreiung von § 30 und § 32 BSIG) oder insgesamt befreien (erweiterter Ausnahmebescheid nach Maßgabe des Absatzes 3 — ausschließliche Tätigkeit in relevanten Bereichen; Befreiung zusätzlich von §§ 33 und 34 BSIG), sofern die Einrichtung gleichwertige Vorgaben einhält. Nach § 37 Absatz 4 BSIG gelten die Absätze 1 bis 3 nicht für Vertrauensdiensteanbieter. Greift ein wirksamer Ausnahmebescheid nach § 37 BSIG, ist die Innenhaftungs-Brücke aus § 38 Absatz 2 BSIG nicht deshalb ausgeschlossen, weil § 37 BSIG den § 38 BSIG als solchen suspendierte — § 37 Absatz 2 und Absatz 3 BSIG befreien amtlich von den Risikomanagementmaßnahmen nach § 30 BSIG, den Meldepflichten nach § 32 BSIG sowie den Registrierungspflichten nach §§ 33 und 34 BSIG, nicht von § 38 BSIG. Die § 38-Absatz-2-Brücke kann nur insoweit leer laufen, wie die behauptete Verletzung der Umsetzungs- oder Überwachungspflicht aus § 38 Absatz 1 BSIG gerade auf einer nach § 37 BSIG wirksam befreiten § 30-Pflicht beruht. Die gesellschaftsrechtliche Innenhaftung der Geschäftsleitung nach § 43 GmbHG / § 93 AktG bleibt unberührt; die in § 37 BSIG verlangten gleichwertigen Vorgaben treten als Konkretisierung des Sorgfaltsmaßstabs an die Stelle der suspendierten BSIG-Pflichten. Praktisch ist die § 37-Spur für nicht-staatliche Einrichtungen sehr selten — sie zielt auf staatsnahe oder ausschließlich für Staatsfunktionen tätige Akteure.

Aufsichtsräte, Beiräte und ähnliche überwachende Organe sind keine Geschäftsleitung im Sinne des BSIG und daher nicht Adressaten der hier behandelten Innenhaftung. Sie haben eigene gesellschaftsrechtliche Pflichten und können bei deren Verletzung eigenständig haftbar werden — eine Aufsichtsratshaftung nach § 116 AktG [N-AktG-116] i.V.m. § 93 AktG ist möglich, wenn der Aufsichtsrat seine Überwachungspflichten verletzt. Diese Aufsichtsratshaftung folgt eigenen Regeln, ist mit der Innenhaftung der Geschäftsleitung verwandt aber nicht identisch und wird in einem späteren Artikel behandelt.

Ressortverteilung entlastet nicht vollständig

Wichtig in der praktischen Anwendung. Die Innenhaftung trifft grundsätzlich jedes Geschäftsleitungsmitglied. Eine wirksame Ressortverteilung kann die Verantwortlichkeit des ressortfremden Mitglieds nach gefestigter Rechtsprechung des II. Zivilsenats des BGH zur Ressortverteilung und Horizontal-Überwachungspflicht im Einzelfall beschränken, hebt die Gesamtverantwortung der Geschäftsleitung aber nicht auf.
Das ressortfremde Geschäftsleitungsmitglied darf sich im Grundsatz auf das zuständige Organ verlassen, solange keine Anhaltspunkte für Defizite bestehen. Bei Warnzeichen, ausbleibenden Berichten, kritischen Audit-Befunden oder erkennbaren Cyber-Lücken verdichtet sich die Grundüberwachung anlass- und risikobezogen zur Nachfrage-, Prüfungs- und gegebenenfalls Eingriffspflicht. Eine pauschale, kontinuierliche Fachprüfungspflicht jedes ressortfremden Geschäftsleiters besteht dagegen nicht.
Ausbleibende oder unspezifische Cyber-Berichte können je nach Governance, Risikolage und Ressortzuschnitt ein Warnsignal sein; sie begründen aber nicht automatisch einen Compliance-Defekt. Entscheidend ist, ob die Geschäftsleitung angemessene Grundüberwachung, Reaktion auf Warnzeichen und dokumentierte Befassung nachweisen kann. Prokuristen, Generalbevollmächtigte und geschäftsleitungsnahe Führungskräfte fallen zwar nicht unter § 2 Nr. 13 BSIG, können aber über § 130 OWiG und gegebenenfalls § 9 Abs. 2 OWiG in die Organisations- und Aufsichtspflichten der Geschäftsleitung eingebunden sein.

4. Wer anspruchsberechtigt ist — die Einrichtung selbst

Die Innenhaftung — der Name verrät es — ist eine Haftung im Innenverhältnis. Anspruchsberechtigt ist die Einrichtung selbst, gegen deren Geschäftsleitung sich der Anspruch richtet. Wer den Anspruch konkret für die Einrichtung geltend macht, hängt von der Rechtsform ab:

• Bei der GmbH entscheidet die Gesellschafterversammlung nach § 46 Nr. 8 GmbHG [N-GmbHG-46] über die Geltendmachung von Ersatzansprüchen aus der Geschäftsführung und über die Vertretung der Gesellschaft in Prozessen gegen Geschäftsführer; die konkrete Durchführung kann je nach Konfliktlage durch unbefangene Geschäftsführer oder durch einen Sonder-/besonderen Vertreter erfolgen.
• Bei der Aktiengesellschaft ist es die Gesellschaft, vertreten durch den Aufsichtsrat nach § 112 AktG — der Aufsichtsrat ist also derjenige, der den Innenhaftungsanspruch gegen die Vorstandsmitglieder geltend macht.

Diese Konstruktion hat eine wichtige praktische Folge: Die Geltendmachung der Innenhaftung setzt voraus, dass die anspruchsberechtigte Stelle der Einrichtung den Anspruch tatsächlich verfolgen will.

Die ARAG/Garmenbeck-Verfolgungspflicht

Im Aufsichtsrat einer AG ist die Verfolgung von Innenhaftungs-Ansprüchen gegen den Vorstand keine bloße Ermessensfrage, sondern eine Pflicht — das hat der Bundesgerichtshof im „ARAG/Garmenbeck [R-ARAG]“-Urteil aus dem Jahr 1997 grundlegend entschieden (BGH, Urteil vom 21. April 1997 — II ZR 175/95, BGHZ 135, 244 — ARAG/Garmenbeck). Der Aufsichtsrat muss prüfen, ob ein Anspruch besteht, und wenn ja, ihn grundsätzlich verfolgen; ein Absehen von der Verfolgung ist nur unter engen Voraussetzungen zulässig. Der amtliche BGH-Leitsatz d zu ARAG/Garmenbeck verlangt, dass der Aufsichtsrat „nur dann ausnahmsweise“ von der Anspruchsverfolgung absehen darf, „wenn gewichtige Gründe des Gesellschaftswohls dagegen sprechen und diese Umstände die Gründe, die für eine Rechtsverfolgung sprechen, überwiegen oder ihnen zumindest gleichwertig sind.“ Die Schwelle ist also Überwiegen-oder-Gleichwertigkeit der gegenüberstehenden Interessen, nicht ein einfaches „überwiegende Interessen der Gesellschaft“. Bei der GmbH ist die Lage anders zu formulieren: Die Gesellschafterversammlung entscheidet nach § 46 Nummer 8 GmbHG über die Geltendmachung von Ersatzansprüchen. Je nach Organverfassung, Konfliktlage und zwingenden Grenzen aus Kapitalerhaltung, Gläubigerschutz, Treuepflicht, Stimmverbot und Insolvenzrecht kann eine Anspruchsprüfung oder -verfolgung geboten sein; eine ARAG/Garmenbeck-Gleichsetzung mit der AG trägt aber nicht ohne diesen GmbH-spezifischen Vorbehalt.

Daraus folgt für die Cyber-Praxis: Wenn ein Cyber-Vorfall eintritt und ein erkennbarer Schaden auf eine Pflichtverletzung der Geschäftsleitung zurückgeht, ist die anspruchsberechtigte Stelle der Einrichtung grundsätzlich gehalten, den Innenhaftungs-Anspruch zu prüfen und gegebenenfalls geltend zu machen. Ein „die wollen ihren eigenen Geschäftsführer doch nicht verklagen“-Reflex trägt rechtlich nicht — auf der Aufsichtsrats-Ebene ist die Verfolgung eines erkennbaren Anspruchs Pflichtaufgabe, kein freier Akt der Loyalität.

Insolvenz verschiebt die Anspruchsverfolgung

Eine besondere Konstellation ergibt sich in der Insolvenz der Einrichtung. Wird die Einrichtung insolvent, geht die Verwaltung und Verfügung über die zur Insolvenzmasse gehörenden Vermögensgegenstände auf den Insolvenzverwalter über (§ 80 Abs. 1 InsO). Der Innenhaftungs-Anspruch gegen die ehemalige Geschäftsleitung ist ein solcher Vermögensgegenstand. Die Folge: Insolvenzverwalter-gestützte Anspruchsverfolgung ist eine besonders naheliegende und in der Prozesspraxis häufig beobachtete Verfolgungskonstellation, weil der Insolvenzverwalter Anreize hat, die Masse über die Geltendmachung solcher Ansprüche zu vergrößern, und weil die persönliche Bindung an die ehemalige Geschäftsleitung — die in einer laufenden Einrichtung manchmal die Verfolgung dämpft — in der Insolvenz nicht mehr besteht. Eine empirische Häufigkeitsbehauptung für Cyber-Innenhaftungsprozesse wird damit nicht aufgestellt; konkrete Häufigkeiten bleiben rechtsprechungs-, daten- oder mandatserfahrungsabhängig. Cyber-Vorfälle, die zur Insolvenz der Einrichtung beigetragen haben, sind deshalb ein besonders plausibler Auslöser tatsächlicher Anspruchsprüfung, aber keine automatisch „häufigste“ Fallgruppe. Vertieft in Abschnitt 10.4.

5. Tatbestand der Innenhaftung

Damit die Geschäftsleitung tatsächlich zur Schadensersatzleistung verpflichtet wird, müssen die materiell-rechtlichen Voraussetzungen Pflichtverletzung, Verschulden, Schaden und Kausalität erfüllt sein. Prozessual tritt eine fünfte Verteidigungsschicht hinzu: Die Geschäftsleitung muss — soweit die Beweislastumkehr greift — ihre pflichtgemäße Sorgfalt beziehungsweise fehlende Verantwortlichkeit substantiiert darlegen und beweisen. Diese vier Voraussetzungen sind das klassische Schadensersatz-Schema, das im deutschen Zivilrecht überall gilt. Im Cyber-Kontext haben sie spezifische Konkretisierungen.

Tabelle: Die vier Tatbestand-Voraussetzungen im Cyber-Kontext

5.1 Pflichtverletzung

Für die Cyber-Innenhaftung sind zwei Ebenen zu trennen: Eine Pflichtverletzung im Sinne der direkten § 38-Abs.-2-BSIG-Brücke liegt nur bei Verletzung von Pflichten aus § 38 Abs. 1 BSIG [N-BSIG-38] vor. Daneben können allgemeine gesellschaftsrechtliche, datenschutzrechtliche, insolvenzrechtliche oder sonstige Organisationspflichten eine Innenhaftung nach § 43 GmbHG [N-GmbHG-43] oder § 93 AktG [N-AktG-93] begründen, ohne dass sie selbst über die § 38-Abs.-2-Brücke laufen. Im Cyber-Kontext sind vier Pflichten-Kategorien zentral.

Erstens, die in § 38 Abs. 1 BSIG ausdrücklich genannten Pflichten zur Umsetzung und Überwachung der Risikomanagementmaßnahmen aus § 30 BSIG [N-BSIG-30]. Verletzt die Geschäftsleitung diese Pflichten — indem sie die Maßnahmen nicht oder unzureichend umsetzt, oder indem sie die Umsetzung nicht überwacht — liegt eine Pflichtverletzung im Sinne des § 38 Abs. 1 BSIG vor, an die § 38 Abs. 2 BSIG ausdrücklich anknüpft. Das ist die direkte BSIG-Haftungsbrücke.

Zweitens, die allgemeinen gesellschaftsrechtlichen Sorgfaltspflichten aus § 43 Abs. 1 GmbHG bzw. § 93 Abs. 1 AktG. Auch außerhalb der BSIG-spezifischen Pflichten muss die Geschäftsleitung die Sorgfalt eines ordentlichen Geschäftsmanns oder eines ordentlichen und gewissenhaften Geschäftsleiters anwenden. Ein Cyber-Vorfall, der bei ordentlicher Sorgfalt vermeidbar gewesen wäre — etwa weil offensichtliche Risiken ignoriert wurden, weil dem CISO erkennbar unzureichende Mittel zur Verfügung gestellt wurden, weil bekannte Schwachstellen nicht behoben wurden — kann eine Sorgfaltsverletzung darstellen, auch wenn keine ausdrückliche BSIG-Pflicht direkt verletzt ist. Das ist die mittelbare gesellschaftsrechtliche Haftungsbrücke, über die auch die Verletzung der Schulungspflicht aus § 38 Abs. 3 BSIG haftungsrelevant werden kann.

Drittens, spezielle Pflichten aus anderen Rechtsakten, die die Geschäftsleitung trifft. Bei Aktiengesellschaften kommt § 91 Abs. 2 AktG [N-AktG-91] hinzu, der dem Vorstand die Einrichtung eines Risikofrüherkennungssystems zur Pflicht macht. Verletzt der Vorstand diese Pflicht und entsteht der Gesellschaft daraus ein Schaden — etwa weil ein Cyber-Risiko nicht rechtzeitig erkannt wurde —, kann dies eine innenhaftungsrelevante Pflichtverletzung begründen; eine Ersatzpflicht entsteht aber erst, wenn Kausalität, Verschulden und die Beweislast-/Entlastungsfragen ebenfalls gegen das Organmitglied ausgehen. § 130 OWiG [N-OWiG-130] verlangt vom Inhaber eines Unternehmens die Aufsicht über die Mitarbeiter zur Verhinderung von Pflichtverletzungen — bei Geschäftsleitern juristischer Personen läuft die persönliche OWi-Verantwortung über § 9 OWiG [N-OWiG-9], soweit sie als vertretungsberechtigtes Organ oder Organmitglied für den eigentlichen Normadressaten handeln. Eine Verletzung dieser Aufsichtspflicht kann zwar primär ordnungswidrigkeitenrechtliche Folgen für den Inhaber haben, wirkt aber auch auf den gesellschaftsrechtlichen Sorgfaltsmaßstab zurück. Daneben können in regulierten Branchen branchenspezifische Pflichten bestehen (KWG, VAG, EnWG, TKG), deren Verletzung ebenfalls innenhaftungsrelevant ist.

Viertens, die TOM-Pflicht aus Art. 32 DSGVO [EU-DSGVO] als eigenständige Cyber-Pflicht-Säule. Sobald in der Einrichtung personenbezogene Daten verarbeitet werden — etwa in Personal-, Kunden-, Lieferanten-, Nutzer- oder IT-Logdatenprozessen — trifft Art. 32 Abs. 1 DSGVO nach amtlicher DE-Fassung den Verantwortlichen und den Auftragsverarbeiter; sie treffen unter Berücksichtigung des Stands der Technik, der Implementierungskosten sowie der Art, des Umfangs, der Umstände und der Zwecke der Verarbeitung und der unterschiedlichen Eintrittswahrscheinlichkeit und Schwere des Risikos für die Rechte und Freiheiten natürlicher Personen „geeignete technische und organisatorische Maßnahmen, um ein dem Risiko angemessenes Schutzniveau zu gewährleisten“. Die Norm nennt unter anderem Pseudonymisierung, Verschlüsselung, Verfügbarkeit, Belastbarkeit, Wiederherstellbarkeit und ein Verfahren zur regelmäßigen Wirksamkeits-Überprüfung. Adressaten des Art. 32 Abs. 1 DSGVO sind nach amtlicher DE-Fassung der Verantwortliche und der Auftragsverarbeiter. Für die Organhaftungs-Brücke ist regelmäßig die Einrichtung als Verantwortliche der praktische Anknüpfungspunkt; soweit die Einrichtung selbst als Auftragsverarbeiter handelt, ist auch diese Rolle ausdrücklich mitzudenken. Die Geschäftsleitung trifft als Organ die Pflicht zur Umsetzung im Rahmen ihrer Sorgfaltspflicht; eine Verletzung der TOM-Pflicht durch Untätigkeit oder erkennbar unzureichende Umsetzung ist deshalb eine innenhaftungsrelevante Pflichtverletzung über § 43 GmbHG / § 93 AktG. Diese Pflicht-Säule ist besonders relevant für nicht-NIS-2-pflichtige Einrichtungen, die nicht direkter Adressat der § 30 und § 38 BSIG-Pflichten sind — Art. 32 DSGVO greift unabhängig von den NIS-2-Schwellen und bildet zusammen mit der Neubürger [R-Neubuerger]-Linie (Abschnitt 2.6) die positiv-rechtliche Mindest-Basis der Cyber-Compliance auch unterhalb der NIS-2-Schwelle.

5.2 Verschulden

Die Innenhaftung setzt schuldhaftes Handeln voraus — Vorsatz oder Fahrlässigkeit. Der Vorstand oder Geschäftsführer haftet also nicht für jeden Cyber-Vorfall, sondern nur für solche, die er schuldhaft mitverursacht hat. Vorsatz liegt vor, wenn die Geschäftsleitung die maßgeblichen Umstände der Pflichtverletzung kennt und die Pflichtwidrigkeit ihres Handelns zumindest billigend in Kauf nimmt; ein Vorsatz gerade hinsichtlich des späteren konkreten Schadens ist für die Einordnung der Pflichtverletzung nicht in jeder Konstellation erforderlich. Praxisrelevant bleibt im Cyber-Kontext vor allem die Fahrlässigkeit, also das Außerachtlassen der im Verkehr erforderlichen Sorgfalt nach § 276 Abs. 2 BGB.

Der Maßstab der Sorgfalt ist nicht subjektiv, sondern objektiv: Es kommt darauf an, was ein ordentlicher Geschäftsmann (bei der GmbH) oder ein ordentlicher und gewissenhafter Geschäftsleiter (bei der AG) in derselben Position für erforderlich gehalten hätte. Eine subjektive Entlastung mit „ich habe das nicht gewusst“ oder „ich bin kein IT-Experte“ trägt nicht — die Geschäftsleitung muss sich das Wissen verschaffen oder qualifizierte Berater hinzuziehen. Das ist genau die methodische Grundlage der Schulungspflicht aus § 38 Abs. 3 BSIG: Wer als Geschäftsleiter die Cyber-Risiken nicht versteht, hat sich um die Schulung zu kümmern, die ihm das Verständnis verschafft. Wer das unterlässt, kann sich später nicht auf seine Unkenntnis berufen.

Die D&O-Versicherung bietet hier eine wichtige Differenzierung: Sie deckt regelmäßig fahrlässig verursachte Schäden, kann aber bei vorsätzlich oder wissentlich begangener Pflichtverletzung Leistungs-Einschränkungen oder einen Ausschluss vorsehen. Ob der Versicherungsschutz im Einzelfall tatsächlich entfällt, hängt jedoch von der konkreten Allgemeinen Versicherungsbedingung (AVB) und vom Nachweis ab, dass die versicherte Person die konkret haftungsauslösende Pflicht positiv wissentlich verletzt hat — wie der BGH mit Urteil vom 19.11.2025 (IV ZR 66/25 [R-IV-ZR-66-25]) klargestellt hat. Zivilrechtlicher Vorsatz im Sinne von § 276 BGB, bedingter Vorsatz, grobe Fahrlässigkeit und D&O-rechtliche Wissentlichkeit im Sinne der AVB sind getrennt zu prüfen; bewusste Pflichtverstöße führen daher nicht automatisch zum Versicherungs-Ausschluss. Die Prüfung der D&O-Deckung — einschließlich Cyber-, Insolvenz- und Wissentlichkeitsklauseln, Nachmeldefristen und Anzeigeobliegenheiten — ist keine eigenständige BSIG-Pflicht, kann aber je nach Risikoprofil Teil einer ordnungsgemäßen Risiko- und Vermögensschutzorganisation der Geschäftsleitung sein. Praktisch ist sie vor allem für Verteidigungsfähigkeit, Risikotransfer und persönliche Expositionsbegrenzung bedeutsam (vertieft in Abschnitt 8.3).

Sondertatbestand für ehrenamtliche Organe — § 31a BGB [N-BGB-31a]. In der NIS-2-Adressatenwelt sind in Randkonstellationen auch eingetragene Vereine und Stiftungen erfasst (etwa große Verbände, Sparkassen-Verbände, Wohlfahrtsverbände, die die Schwellen aus § 28 BSIG [N-BSIG-28] erreichen). Für deren Vorstandsmitglieder gilt nach § 31a Absatz 1 Satz 1 BGB ein abgeschwächter Verschuldensmaßstab: Wer als Vorstand eines Vereins unentgeltlich tätig ist oder eine Vergütung erhält, die 3 300 Euro jährlich nicht übersteigt, haftet dem Verein für einen in Wahrnehmung seiner Vorstandspflichten verursachten Schaden nur bei Vorsatz oder grober Fahrlässigkeit. Die Schwelle des § 31a Absatz 1 Satz 1 BGB wurde durch Artikel 7 des Steueränderungsgesetzes 2025 mit Wirkung zum 1. Januar 2026 von 840 Euro auf 3 300 Euro angehoben; der neue Betrag orientiert sich gesetzgeberisch am Übungsleiterfreibetrag nach § 3 Nummer 26 Satz 1 EStG, nicht an der Ehrenamtspauschale nach § 3 Nummer 26a EStG. Über § 84a Abs. 3 BGB [N-BGB-84a] (in der seit 1.7.2023 geltenden Fassung des Stiftungsmodernisierungsgesetzes) ist § 31a BGB auf Stiftungsorgane entsprechend anzuwenden; die Satzung kann die Anwendbarkeit des § 31a BGB jedoch beschränken oder ausschließen. Wichtige Abgrenzung: Diese Privilegierung gilt bei Vereinen für Organmitglieder und besondere Vertreter im Sinne des § 31a Absatz 1 Satz 1 BGB sowie über § 84a Absatz 3 BGB für Stiftungsorgane entsprechend — nicht für GmbH-Geschäftsführer, AG-Vorstandsmitglieder oder SE-Leitungsorgane. Für die typische CyberSchutzEngel-Mittelstands-Zielgruppe (GmbH, AG, SE) bleibt es bei der einfachen Fahrlässigkeit als haftungsbegründender Schwelle.

5.3 Schaden

Schaden im Sinne des § 38 Abs. 2 BSIG i.V.m. § 43 GmbHG / § 93 AktG ist jeder Vermögensnachteil der Einrichtung, der durch die Pflichtverletzung der Geschäftsleitung entstanden ist. Hat eine Cyber-/Eigenschadenversicherung der Einrichtung bereits geleistet, sind Vorteilsausgleich, Anspruchsübergang nach § 86 VVG [N-VVG-86], Regress-/Subrogationsrechte des Versicherers, Koordination mit der D&O-Police und mögliche Doppeldeckungs-/Prioritätsfragen gesondert zu prüfen. Im Cyber-Kontext sind die Schadenstypen vielfältig.

Tabelle: Typische Cyber-Schadensarten im Innenverhältnis

Direkte Schäden umfassen die unmittelbaren wirtschaftlichen Folgen eines Cyber-Vorfalls: Wiederherstellungskosten für IT-Systeme, gezahltes Lösegeld, externe Incident-Response-Kosten, forensische Untersuchungskosten, Ersatz beschädigter Hardware. Diese Posten sind in der Praxis vergleichsweise gut bezifferbar.

Folgeschäden umfassen die mittelbaren Folgen — Betriebsunterbrechung mit Umsatzausfall, Vertragsstrafen wegen Lieferverzug, Kundenabwanderung, Reputationsschäden. Hier wird die Schadenshöhe komplexer und ist im Streit oft umstritten — der Anwalt der Geschäftsleitung wird argumentieren, dass viele dieser Schäden auch ohne Pflichtverletzung eingetreten wären, der Anwalt der Einrichtung das Gegenteil.

Spezifische Cyber-Schadenstypen können zusätzlich ins Gewicht fallen: DSGVO- und BSIG-Bußgelder, die der Einrichtung auferlegt werden, sind hinsichtlich der Regressfähigkeit gegen die Geschäftsleitung rechtlich nicht abschließend geklärt — die Regressfähigkeit von Unternehmensgeldbußen gegen Organmitglieder ist hoch umstritten und im Kartellbußgeld-Bereich vom BGH 2025 dem EuGH zur Klärung vorgelegt worden (siehe ausführlich Abschnitt 11.2). Dogmatisch weniger sanktionszweck-sensibel als die Bußgeld-Hauptforderung sind dagegen die Begleitschäden des Bußgeld-Verfahrens: Kosten der Rechtsverteidigung, Untersuchungs- und Sanierungskosten, Betriebsunterbrechungsschäden oder Reputationsschäden. Auch sie sind aber nur regressfähig, wenn Pflichtverletzung, Schaden, Kausalität, Verschulden und die jeweilige Entlastungs-/Beweislastlage im Einzelfall tragen. Rückgriffsforderungen geschädigter Dritter sind ein eigener, regressfähiger Schadens-Posten: Wenn die Einrichtung Kunden, Lieferanten oder andere Dritte für Cyber-bezogene Schäden entschädigen muss (etwa nach Art. 82 DSGVO oder allgemeinem Zivilrecht), ist diese Entschädigungsleistung ein Schaden der Einrichtung, der im Innenverhältnis nach gesellschaftsrechtlichen Regeln regressfähig sein kann.

5.4 Kausalität

Die Pflichtverletzung der Geschäftsleitung muss kausal für den Schaden gewesen sein. Das ist die letzte und in der Praxis oft härteste Voraussetzung. Es genügt nicht, dass die Geschäftsleitung eine Pflicht verletzt hat und ein Schaden eingetreten ist — es muss gerade die Pflichtverletzung sein, die den Schaden verursacht hat. In der zivilrechtlichen Dogmatik wird unterschieden zwischen haftungsbegründender Kausalität (zwischen Pflichtverletzung und Rechtsgutsverletzung) und haftungsausfüllender Kausalität (zwischen Rechtsgutsverletzung und konkretem Schaden); beide müssen vorliegen.

Im Cyber-Kontext ist die Kausalitätsfrage komplex. Wenn die Geschäftsleitung weder Multi-Faktor-Authentifizierung noch kontinuierliche Authentifizierung oder eine sonst dokumentiert gleichwertige, risikoadäquate Authentifizierungsarchitektur im Sinne des § 30 Abs. 2 Nr. 10 BSIG umgesetzt hat und ein Angreifer mit gestohlenen Passwörtern in das System eindringt, kann die Kausalität auf den ersten Blick naheliegen — die fehlende oder unzureichende Authentifizierungsarchitektur hat das Eindringen erleichtert. Aber: Der Angreifer hätte vielleicht auch andere Angriffswege gefunden. Hätte er das mit hoher Wahrscheinlichkeit getan, fehlt die haftungsbegründende Kausalität. Solche Hypothesen-Vergleiche sind in der Praxis Sachverständigen-Arbeit, und sie bilden den Kernteil vieler Innenhaftungs-Prozesse.

Die Beweislast für die Kausalität liegt grundsätzlich bei der Einrichtung. Bei gravierenden Organisations- oder Sorgfaltsverstößen kann die Einrichtung prozessual versuchen, Beweiserleichterungen, tatsächliche Vermutungen oder einen Anscheinsbeweis aus dem typischen Risiko-Zweck-Zusammenhang herzuleiten. Für die Cyber-Innenhaftung nach § 30 / § 38 BSIG besteht hierzu bislang keine gefestigte höchstrichterliche Spezialrechtsprechung. Die Beweisfigur ist deshalb nur als prozessuales Argument aus allgemeinen Beweisgrundsätzen und konkret zu belegenden Einzelentscheidungen zu behandeln: Erst wenn ein Gericht im Einzelfall eine tatsächliche Vermutung oder einen Anscheinsbeweis akzeptiert, muss die Geschäftsleitung diese Beweiswirkung durch konkreten Vortrag erschüttern. Dafür genügt nach allgemeinen Beweisregeln die Darlegung von Tatsachen, die eine ernsthafte Möglichkeit eines atypischen Geschehensablaufs begründen — etwa, dass der konkrete Angriffsweg auch bei korrekter Umsetzung der verletzten Mindestmaßnahme mit ernsthafter Möglichkeit nicht hätte abgewendet werden können. Pauschale Behauptungen reichen nicht; ein voller Beweis hypothetischer Schadensvermeidung ist für die Erschütterung der Vermutung aber nicht erforderlich. Der Begriff „Schutzgesetz im technischen Sinne“ gehört dogmatisch in die deliktsrechtliche Außenhaftung nach § 823 Abs. 2 BGB und ersetzt im Innenverhältnis nicht die organschaftliche Sonderverbindung.

6. Sorgfaltsmaßstab — der ordentliche Geschäftsleiter im Cyber-Kontext

Der zentrale Anker der Innenhaftung ist der Sorgfaltsmaßstab. Bei der GmbH der „ordentliche Geschäftsmann“ nach § 43 Abs. 1 GmbHG [N-GmbHG-43], bei der AG der „ordentliche und gewissenhafte Geschäftsleiter“ nach § 93 Abs. 1 AktG [N-AktG-93]. Die Differenz ist gradueller Natur — bei der AG ist der Maßstab sprachlich strenger gefasst, weil das „und gewissenhaft“ eine zusätzliche Sorgfaltsdimension anspricht. Beide Maßstäbe bleiben aber objektiviert und richten sich nicht nach den individuellen Fähigkeiten der konkreten Person, sondern danach, was von einem ordentlichen und gewissenhaften Geschäftsleiter in vergleichbarer Lage zu erwarten ist. In der Praxis ist die Differenz in vielen Konstellationen gering.

Im Cyber-Kontext lässt sich der Sorgfaltsmaßstab in fünf konkrete Anforderungs-Cluster konkretisieren.

Tabelle: Fünf Anforderungs-Cluster für den Cyber-Sorgfaltsmaßstab

Die fünf Cluster im Einzelnen:

Erstens, die Risiko-Kenntnis. Ein ordentlich handelnder Geschäftsleiter kennt die wesentlichen Cyber-Risiken seiner Einrichtung — er weiß, welche Geschäftsprozesse besonders IT-abhängig sind, welche Daten besonders schützenswert sind, welche Bedrohungsszenarien plausibel sind. Wer das nicht weiß, hat sich die Kenntnis zu verschaffen — durch eigene Schulung, durch Beratung qualifizierter Sachverständiger oder durch interne Informationsstrukturen. Eine „ich habe das nicht gewusst“-Position trägt nicht.

Zweitens, die Maßnahmen-Adäquanz. Ein ordentlich handelnder Geschäftsleiter sorgt dafür, dass die ergriffenen Cybersicherheits-Maßnahmen dem Risiko angemessen sind. Die zehn Mindestmaßnahmen aus § 30 Abs. 2 BSIG [N-BSIG-30] sind der nationale Mindestkatalog. Für bestimmte digitale Einrichtungsarten — insbesondere DNS-Diensteanbieter, TLD-Name-Registries, Cloud-Computing-Dienstleister, Rechenzentrumsdienste, CDN, MSP, MSSP, Online-Marktplätze, Online-Suchmaschinen, soziale Netzwerke und Vertrauensdiensteanbieter — ist zusätzlich § 30 Abs. 3 und Abs. 4 BSIG mitzulesen: Der einschlägige EU-Durchführungsrechtsakt nach Art. 21 Abs. 5 NIS-2, insbesondere die Durchführungsverordnung (EU) 2024/2690 [EU-DVO-2690], konkretisiert bzw. verdrängt nationale Anforderungen, soweit der Vorrangstatbestand greift. Für diese Einrichtungen genügt eine reine Zehn-Punkte-Checkliste nicht; die anwendbare EU-/BSIG-Schicht ist vor der Haftungsbewertung zu mappen. Die folgende Tabelle zeigt den nationalen Katalog des § 30 Abs. 2 BSIG.

Tabelle: Die zehn Mindestmaßnahmen nach § 30 Abs. 2 BSIG

Quelle: § 30 Abs. 2 BSIG in der seit 6. Dezember 2025 geltenden Neufassung des NIS2UmsuCG, BGBl. 2025 I Nr. 301 vom 5. Dezember 2025, zuletzt geändert durch Art. 4 KRITIS-Dachgesetz vom 11. März 2026, BGBl. 2026 I Nr. 66; gesetze-im-internet.de/bsig_2025/__30.html.

Darüber hinaus verlangt der Sorgfaltsmaßstab eine Anpassung an die spezifische Risikolage — eine Einrichtung mit hohem Datenschutzrisiko oder hoher IT-Abhängigkeit kann je nach konkreter Risikoexposition, Bedrohungslage, Stand der Technik und Zumutbarkeit über die gesetzlichen Mindestmaßnahmen hinausgehende Schutzmaßnahmen schulden. Eine Maßnahmen-Architektur, die offensichtlich hinter dem Stand der Technik zurückbleibt, ist sorgfaltswidrig.

Drittens, die Überwachungspflicht. Ein ordentlich handelnder Geschäftsleiter delegiert die operative Umsetzung der Maßnahmen an die zuständigen Funktionen — IT-Leitung, CISO, externe Dienstleister — überwacht aber deren Umsetzung. Die Letztverantwortung für eine angemessene Überwachung ist nicht vollständig delegierbar; operative Prüf-, Monitoring- und Berichtsaufgaben können delegiert werden, müssen aber von der Geschäftsleitung strukturiert eingefordert, verstanden und bei Warnzeichen aufgegriffen werden. Sie umfasst regelmäßige Berichte, die kritische Auseinandersetzung mit diesen Berichten und das Hinterfragen bei auffälligen Befunden. Eine Geschäftsleitung, die Berichte ohne Auseinandersetzung zur Kenntnis nimmt, ohne Nachfragen, ohne Konsequenzen bei erkennbaren Lücken, handelt sorgfaltswidrig.

Viertens, die Reaktionsfähigkeit im Krisenfall. Tritt ein Cyber-Vorfall ein, muss die Geschäftsleitung in der Lage sein, ihn als solchen zu erkennen, eine geordnete Reaktion zu veranlassen, die Meldepflichten nach § 32 BSIG [N-BSIG-32] einzuhalten und die Auswirkungen zu begrenzen. Wer für den Ernstfall keinerlei Notfallplan vorgesehen hat oder die getroffenen Vorsorge-Maßnahmen nie getestet hat, handelt sorgfaltswidrig — auch dann, wenn der Vorfall im Konkreten nicht vermieden werden konnte.

Fünftens, das Compliance-System als eigenständige Sorgfalts-Säule. Über die einzelnen Maßnahmen hinaus verlangt der Sorgfaltsmaßstab die Einrichtung eines Cyber-Compliance-Systems als organisationale Klammer. Dieser Aspekt folgt aus der Neubürger [R-Neubuerger]-Linie (Abschnitt 2.6), aus § 1 StaRUG [N-StaRUG-1] (rechtsformübergreifende Krisenfrüherkennungs-Pflicht, Abschnitt 2.4) und bei börsennotierten AGs zusätzlich aus § 91 Abs. 3 AktG [N-AktG-91] (Abschnitt 2.5). Konkret bedeutet das: eine zugewiesene Verantwortlichkeit für die Cyber-Compliance (CISO, Informationssicherheits-Beauftragter, Datenschutz-Beauftragter), dokumentierte Richtlinien und Verfahren, regelmäßige Wirksamkeits-Audits, dokumentierte Reaktionen auf Audit-Befunde sowie eine eskalations-fähige Berichts-Linie an die Geschäftsleitung mit nachweisbarer Auseinandersetzung. Eine Geschäftsleitung, die keine erkennbare Compliance-Architektur unterhält oder nur eine offensichtlich unwirksame, setzt sich nach der Neubürger-/OLG-Nürnberg-Linie einem starken Indiz für eine Sorgfaltspflicht-Verletzung aus — die Annahme einer Pflichtverletzung kann in solchen Konstellationen naheliegen, der konkrete Pflicht- und Verschuldensvorwurf bleibt aber an die Einzelfall-Würdigung von Risiko-Profil, Erkennbarkeit, Zumutbarkeit und Reaktionsmöglichkeit geknüpft.

In der gerichtlichen Bewertung des Cyber-Sorgfaltsmaßstabs können externe Maßstäbe eine wichtige Rolle spielen. Je nach Streitgegenstand kommen Sachverständigengutachten, anerkannte Standards der Informationssicherheit wie ISO/IEC 27001 oder BSI-IT-Grundschutz, Branchenpraktiken vergleichbarer Einrichtungen und Empfehlungen zuständiger Behörden als Beurteilungs- und Nachweisanhaltspunkte in Betracht. Eine spezifisch höchstrichterliche Linie des BGH zur Cyber-Sorgfalts-Bewertung anhand dieser Standards besteht bislang nicht; sie ergibt sich aus der allgemeinen Sorgfalts-Dogmatik. Eine Geschäftsleitung, die ein zertifiziertes Informationssicherheits-Managementsystem betreibt und die einschlägigen BSI-Empfehlungen umgesetzt hat, kann ihre Sorgfältigkeit deutlich leichter belegen — was angesichts der Beweislastumkehr (Abschnitt 7) praktisch enorm bedeutsam ist.

7. Beweislastumkehr und ihre Reichweite

Die Beweislastumkehr nach § 93 Abs. 2 Satz 2 AktG [N-AktG-93] ist der praktische Hebel, der die Innenhaftung von einer abstrakten Norm in eine real wirksame Sanktionsbedrohung verwandelt. Sie lautet im Wortlaut: „Ist streitig, ob sie die Sorgfalt eines ordentlichen und gewissenhaften Geschäftsleiters angewandt haben, so trifft sie die Beweislast.“

Im Klartext: Die Aktiengesellschaft muss weiterhin die anspruchsbegründenden Grundlagen darlegen und beweisen — insbesondere die Organstellung des Vorstands, den eingetretenen Schaden und grundsätzlich auch die Kausalität zwischen Pflichtverletzung und Schaden (zu Beweiserleichterungen bei der Kausalität siehe Abschnitt 5.4). Für die Sorgfalts-Frage selbst verlagert § 93 Abs. 2 Satz 2 AktG die Beweislast aber auf den Vorstand: Ist streitig, ob er die Sorgfalt eines ordentlichen und gewissenhaften Geschäftsleiters angewandt hat, muss der Vorstand darlegen und beweisen, dass er pflichtgemäß gehandelt hat. Ein bloßer Cyber-Vorfall mit Schaden genügt deshalb noch nicht; erforderlich sind konkrete Anhaltspunkte für eine mögliche Pflichtverletzung im Verantwortungsbereich der Geschäftsleitung.

Anwendung auf die GmbH

Bei der GmbH ist die Beweislastumkehr nicht im Wortlaut des § 43 GmbHG ausdrücklich kodifiziert. Der Bundesgerichtshof wendet aber eine spiegelbildliche Darlegungs- und Beweislastverteilung auf die GmbH-Geschäftsführerhaftung an: Die Gesellschaft muss im Rechtsstreit um Schadensersatzansprüche aus § 43 Abs. 2 GmbHG [N-GmbHG-43] darlegen und beweisen, dass und inwieweit ihr durch ein Verhalten des Geschäftsführers in dessen Pflichtenkreis ein Schaden erwachsen ist; der Geschäftsführer muss demgegenüber darlegen und erforderlichenfalls beweisen, dass er seinen Sorgfaltspflichten nach § 43 Abs. 1 GmbHG nachgekommen ist, ihn kein Verschulden trifft oder dass der Schaden auch bei pflichtgemäßem Alternativverhalten eingetreten wäre (BGH, Beschluss vom 22. Juni 2021 — II ZR 140/20 [R-II-ZR-140-20], ECLI:DE:BGH:2021:220621BIIZR140.20.0, Rn. 8). In der Praxis gilt damit auch für GmbH-Geschäftsführer eine haftungsprozessual sehr scharfe Beweislastlage — die Gesellschaft muss Pflichtenkreis und Schaden tragen, der Geschäftsführer die Entlastung.

Konsequenz für die Compliance-Architektur

Diese Beweislastumkehr hat eine sehr konkrete Konsequenz für die Cyber-Compliance-Architektur: Sie verschiebt den Stellenwert der internen Dokumentation. In einem Cyber-Vorfalls-Streit muss die Geschäftsleitung zeigen, dass sie ordnungsgemäß gehandelt hat — dass die Risiken erkannt und bewertet wurden, dass angemessene Maßnahmen ergriffen und überwacht wurden, dass auf Hinweise reagiert wurde, dass die nötigen Schulungen erfolgt sind. Ohne entsprechende Dokumentation steht die Geschäftsleitung mit leeren Händen in einem Prozess, in dem sie die Beweislast trägt. Genau das ist der juristische Hintergrund des Begriffs persönliche Enthaftung in der CyberSchutzEngel-Methodik — Dokumentation ist nicht primär Aufsichtsnachweis, sondern Beweismittel im eigenen Haftungsprozess. Ohne dokumentierte Compliance-Architektur ist die Verteidigung im Innenhaftungs-Prozess regelmäßig erheblich erschwert — der Entlastungsbeweis muss dann mit weniger planbaren Ersatzbeweismitteln wie Zeugen, Gutachten, Systemlogs, Anbieterberichten oder E-Mail-Verläufen geführt werden, und scheitert in der Praxis häufig schon an der Beweislast — die aktive Vortrags-Substanz, die der Geschäftsleitung obliegt, kann nicht durch das bloße Bestreiten der gegnerischen Vorwürfe ersetzt werden.

Reichweite und Grenzen der Beweislastumkehr

Die Reichweite der Beweislastumkehr hat Grenzen.

• Erfasst: der Sorgfaltsmaßstab — also die Frage, ob die Geschäftsleitung pflichtgemäß handelte.
• Nicht erfasst: der Schaden selbst (muss die Einrichtung weiter beweisen) und die Kausalität zwischen Pflichtverletzung und Schaden (grundsätzlich auch, wenn auch mit Beweiserleichterung bei gravierenden Sorgfaltsverstößen).
• Praktisch mitgehend: das Verschulden — wer den objektiven Sorgfaltsmaßstab verletzt, handelt regelmäßig zumindest fahrlässig.

Eine weitere wichtige Konkretisierung: Die Business Judgment Rule greift nur dort, wo die Geschäftsleitung eine unternehmerische Entscheidung mit Entscheidungsspielraum trifft. Die Beweislastumkehr zur pflichtgemäßen Sorgfalt nach § 93 Abs. 2 Satz 2 AktG bleibt davon zu unterscheiden: Auch bei gebundenen Pflichtmaßnahmen muss die Geschäftsleitung im Streitfall praktisch belegen können, dass sie die Pflicht erfüllt oder ihre Überwachung ordnungsgemäß organisiert hat. Bei reinen Pflicht-Maßnahmen — etwa der Umsetzung der zehn Mindestmaßnahmen aus § 30 Abs. 2 BSIG [N-BSIG-30] — ist die Frage nicht, ob die Geschäftsleitung das Richtige für richtig gehalten hat, sondern ob sie überhaupt umgesetzt hat. Hier ist die Beweisaufgabe für die Geschäftsleitung praktisch: belegen, dass die Maßnahmen umgesetzt wurden. Bei unternehmerischen Entscheidungen — etwa der Auswahl zwischen verschiedenen Schutzmaßnahmen, der Priorisierung, der Allokation des Sicherheitsbudgets — kommt zusätzlich die Business Judgment Rule nach § 93 Abs. 1 Satz 2 AktG ins Spiel, die unternehmerische Ermessensentscheidungen vor Haftung schützt.

Business Judgment Rule — Voraussetzungen und Reichweite

Aus dem amtlichen Wortlaut des § 93 Abs. 1 Satz 2 AktG ergeben sich vier Kernelemente, die kumulativ vorliegen müssen, damit eine unternehmerische Entscheidung pflichtwidrigkeits-fest wird; daneben sind weitere Grenzen — insbesondere keine Pflichtwidrigkeitskenntnis und keine sachfremde Motivation — dogmatisch aus Sinn und Zweck der Business Judgment Rule und der gesellschaftsrechtlichen Treuepflicht abzuleiten:

§ 93 Absatz 1 Satz 2 AktG. Eine Pflichtverletzung liegt nicht vor, wenn das Vorstandsmitglied bei einer unternehmerischen Entscheidung vernünftigerweise annehmen durfte, auf der Grundlage angemessener Information zum Wohle der Gesellschaft zu handeln.
Quelle: Aktiengesetz (AktG), gesetze-im-internet.de/aktg/__93.html.

Die vier Wortlaut-Elemente plus dogmatische Grenzen im Einzelnen: erstens eine unternehmerische Entscheidung — also keine bloße Pflichterfüllung wie die Umsetzung der § 30 Abs. 2 BSIG-Mindestmaßnahmen, sondern eine Ermessens-Entscheidung; zweitens das vernünftige Annehmen-Dürfen — die Entscheidung muss aus ex-ante-Sicht eines ordentlichen Geschäftsleiters nachvollziehbar gewesen sein; drittens die angemessene Informationsgrundlage — die Entscheidung muss auf einer dem Risiko und der Komplexität angemessenen Informationsbasis stehen; viertens das Handeln zum Wohle der Gesellschaft — die Entscheidung darf nicht von eigennützigen oder sachfremden Interessen geleitet sein; fünftens die Gutglaubens-Lage — kein Wissen um Pflichtwidrigkeit.

Für die Cyber-Praxis hat die Business Judgment Rule eine doppelte Konsequenz. Sie ist für die Geschäftsleitung ein wichtiger Verteidigungs-Hebel bei Allokations-Entscheidungen — etwa der Frage, ob das Cyber-Budget in Maßnahme A oder Maßnahme B fließt, ob ein bestimmtes ISMS-Niveau angestrebt wird, ob eine bestimmte Cyber-Versicherungs-Deckung gewählt wird. Solche Ermessensentscheidungen sind unter den fünf Voraussetzungen pflichtwidrigkeits-fest. Sie ist aber kein Schutzschirm gegen die Pflicht zur Mindestmaßnahmen-Umsetzung selbst — wer die in § 30 Abs. 2 BSIG kodifizierten Maßnahmen gar nicht oder erkennbar unzureichend umsetzt, kann sich nicht auf die Business Judgment Rule berufen, weil dort kein Ermessen besteht. Die Differenzierung ist scharf: Die Business Judgment Rule schützt nicht die bewusste Nichtbefassung mit gesetzlichen Pflichtkategorien. Bei § 30 BSIG sollte das „Ob/Wie“-Schema präzise formuliert werden: § 30 Abs. 1 BSIG verlangt geeignete, verhältnismäßige und wirksame Maßnahmen; § 30 Abs. 2 BSIG nennt Mindestkategorien, deren konkrete Tiefe, Priorisierung, technische Ausgestaltung und teilweise auch Bedarfskomponente („gegebenenfalls“) risikobasiert zu bestimmen sind. Haftungsfest ist daher nicht die pauschale Nichtumsetzung, wohl aber kann innerhalb des gesetzlichen Rahmens eine dokumentierte, informierte und verhältnismäßige Umsetzungsentscheidung BJR-relevant sein. Beim „Ob“ greift sie nicht, weil die § 30 Abs. 2 BSIG-Pflichten gebundene Pflichten ohne Ermessenspielraum (die konkrete technische, organisatorische und zeitliche Ausprägung bleibt aber risikobasiert, verhältnismäßig und einzelfallabhängig — die Business Judgment Rule kann bei Auswahl, Priorisierung, Budgetierung und Umsetzungsweg innerhalb des gesetzlichen Rahmens bedeutsam werden, schützt aber nicht die bewusste Nichtbefassung mit gesetzlichen Pflichtkategorien) sind. Die analoge Anwendung auf die GmbH-Geschäftsführung folgt aus der gefestigten BGH-Rechtsprechung zu § 43 Abs. 1 GmbHG.

Die angemessene Informationsgrundlage ist der praktische Schlüssel. Eine Entscheidung über das Cyber-Budget ohne dokumentierte Risikobewertung, ohne Sachverständigen-Beratung, ohne Berücksichtigung der BSI-Lagebild-Befunde steht im Streit ohne tragfähige Grundlage da. Genau deshalb sind die Dokumentation der Risikobewertung und die dokumentierte Auseinandersetzung mit Cyber-Experten-Empfehlungen nicht nur Compliance-Belege, sondern Bausteine der Business Judgment Rule-Verteidigung.

8. Wirtschaftliche Dimension — kein gesetzliches Höchstmaß

Eine der prägenden Eigenschaften der Innenhaftung ist das Fehlen eines gesetzlichen Höchstmaßes für den Schadensersatzanspruch. Anders als bei der Verbandsgeldbuße nach § 65 BSIG [N-BSIG-65], deren Höchstmaß tatbestandsabhängig gestaffelt ist und bei bestimmten schweren Tatbeständen durch eine umsatzbezogene Stufe geprägt sein kann, kennen § 43 GmbHG [N-GmbHG-43] und § 93 AktG [N-AktG-93] keine Höchstgrenze. Die Geschäftsleitung haftet im Rahmen ihres Verschuldens für den vollen Schaden — was bei Cyber-Vorfällen schnell zweistellige Millionenbereiche, in Konzernverhältnissen auch dreistellige Millionenbereiche erreichen kann.

8.1 Typische Schadenshöhen aus Cyber-Vorfällen

Die in der Praxis erfassten Cyber-Vorfälle der vergangenen Jahre zeigen eine Bandbreite, die für die Cyber-Innenhaftungs-Diskussion einordnend wichtig ist.

Tabelle: Cyber-Schadensbandbreiten nach Vorfalls-Schwere

Methodischer Hinweis zur Tabelle. Die folgenden Bandbreiten sind orientierende Markt- und Fallbeobachtungen aus BSI-Lageberichten, GDV-Schadensstatistiken, dokumentierten Großvorfällen und Versicherer-Veröffentlichungen — sie sind ausdrücklich keine repräsentative statistische Häufigkeitsaussage für eine konkrete Einrichtung. Die tatsächliche Schadenshöhe im Einzelfall hängt von Umsatz, Betriebsunterbrechungsdauer, Datenexfiltrationsumfang, Wiederanlauf- und Forensikkosten, Vertragsstrafen, Versicherungsschutz, Liquiditätslage und regulatorischen Folgekosten ab. Im Mandat sollte jede Range mit konkreten BSI-, GDV-, Versicherer- oder Fallquellen oder einer eigenen Schadensanalyse unterlegt werden.

BSI-Lageberichte 2024 und 2025 als unabhängige Einordnung

Der BSI-Lagebericht zur IT-Sicherheit in Deutschland 2025 (Berichtszeitraum 1. Juli 2024 bis 30. Juni 2025) gibt einige Anhaltspunkte, die für die Innenhaftungs-Risikobewertung im Mittelstand bedeutsam sind. Drei Aussagen sind besonders relevant.

Erstens (BSI-Lagebericht 2025): Rund 80 Prozent der angezeigten Ransomware-Angriffe richteten sich im BSI-Berichtszeitraum 1. Juli 2024 bis 30. Juni 2025 gegen kleine und mittlere Unternehmen. Für diese Fassung ist diese BSI-80-Prozent-KMU-Aussage als Befund des genannten BSI-Berichtszeitraums einzuordnen und durch das Bundeslagebild Cybercrime 2025 zu flankieren: BKA/BMI/Bundesregierung meldeten am 12. Mai 2026 für das Kalenderjahr 2025 1.041 angezeigte Ransomware-Angriffe (+10 Prozent), rund 15,5 Mio. US-Dollar erfasste Lösegeldzahlungen und eine Betroffenheit vor allem von Unternehmen und öffentlichen Einrichtungen. Ein zusätzlich kursierender rund-90-Prozent-KMU-Subclaim wird in diesem Artikel nicht als statusbildender amtlicher Befund verwendet, solange keine konkrete amtliche Seiten- oder Tabellenfundstelle benannt ist. Damit bleibt die BSI-Aussage tragfähig, muss aber als BSI-Berichtszeitraum und nicht als jüngster verfügbarer Gesamtbefund eingeordnet werden. Zweitens (BSI-Lagebericht 2024): Das weltweit erbeutete Lösegeld im Berichtszeitraum belief sich auf rund 1,1 Milliarden US-Dollar, mit vermutlich erheblicher Dunkelziffer — die Erpressungs-Komponente ist also wirtschaftlich substantiell und keine Ausnahme. Drittens (BSI-Lagebericht 2024): Für exfiltrierte Daten wurde im Schnitt fast dreimal so viel gezahlt wie für rein verschlüsselte Daten — die Daten-Exfiltration als zweite Erpressungsstufe verschiebt die Schadenshöhen nach oben und macht Datenschutz-Compliance zur direkt schadensbegrenzenden Maßnahme. Die Zuordnung der jeweiligen Befunde zum BSI-Lagebericht 2024 bzw. 2025 ist gegen die amtlichen BSI-Volltexte (bsi.bund.de) verifiziert; die 80-Prozent-KMU-Aussage ist eine 2025er-Beobachtung, die Lösegeld- und Exfiltrationszahlen stehen in der 2024er-Schadwirkungsschicht.

Diese BSI-Befunde sind für die Innenhaftung als Risikorealitäts- und Vorhersehbarkeitsargument bedeutsam. Sie zeigen erstens, dass insbesondere angezeigte Ransomware-nahe Angriffe gegen KMU kein Randphänomen sind, sondern statistisch häufig — der BSI-Lagebericht 2025 spricht von rund 80 Prozent der angezeigten Angriffe gegen kleine und mittlere Unternehmen. Sie ordnen zweitens die Schadenshöhen in den realen Lösegeld-Markt ein (Lagebericht 2024). Im Innenhaftungs-Prozess können solche Lageberichte als Indiz dafür herangezogen werden, dass Cyber-Risiken bei der Sorgfalts- und Organisationsprüfung nicht als fernliegend behandelt werden durften. Ob daraus im konkreten Fall eine Pflichtverletzung folgt, hängt jedoch von Anwendbarkeit der BSIG-Pflichten, Risikoprofil, Zumutbarkeit, Ressortzuständigkeit, Kausalität und Verschulden ab — die Lageberichte ersetzen nicht die konkrete Tatbestandsprüfung.

Hinweis zur Quelle. Die hier genannten Schadensbandbreiten sind Marktrealitäts-Beobachtungen aus den vergangenen Jahren. Sie stützen sich primär auf den jährlichen BSI-Lagebericht zur IT-Sicherheit in Deutschland (bsi.bund.de) und auf die Cyber-Schadensstatistik des Gesamtverbands der Deutschen Versicherungswirtschaft (GDV, gdv.de) als unabhängige Aufsichts- und Branchenquellen. Ergänzend sind Versicherer-Berichte (Marsh, Munich Re) sowie veröffentlichte Großfall-Berichterstattung in der Wirtschaftspresse herangezogen — diese Versicherer-Quellen sind methodisch mit Vorsicht zu lesen, weil sie aus Sicht des Risikoträgers berichten und nicht aus aufsichtsrechtlicher Neutralität. Die Bandbreiten ersetzen in keinem Fall eine fallspezifische Schadensbezifferung im konkreten Streit, sondern dienen der Größenordnungs-Einordnung.

Diese Größenordnungen sind als realitätsnahe Szenario- und Fallbandbreiten zu verstehen, nicht als statistisch repräsentativer Korridor für jede Einrichtung. Für eine konkrete Innenhaftungsargumentation müssen die jeweiligen Schadensposten mit BSI-/BKA-/GDV-/Versicherer-Daten, dokumentierten Einzelfällen oder einer fallbezogenen Schadensanalyse unterlegt werden. Auch bei einer einzelnen Geschäftsführungs-Person der GmbH kann der titulierte Anspruch damit das Privatvermögen wirtschaftlich weit übersteigen — die Innenhaftung kennt auf Anspruchsebene keine gesetzliche Haftungshöchstgrenze. Schutz für die Geschäftsleitung greift daher nicht auf der Haftungs-, sondern auf der Vollstreckungs- und Insolvenzebene über die allgemeinen Pfändungsschutz-Regeln (insbesondere § 850c ZPO für Arbeitseinkommen) und über die Möglichkeit der Restschuldbefreiung nach § 286 InsO. Diese Aussage ist nicht als Garantie zu lesen: § 302 InsO-Ausnahmen — insbesondere Forderungen aus vorsätzlich begangener unerlaubter Handlung bei entsprechender Feststellung — sowie Geldstrafen, Geldbußen und bestimmte Nebenfolgen bleiben gesondert zu prüfen. Eine schrankenlose Vollstreckbarkeit folgt aus der unbegrenzten Anspruchshöhe also gerade nicht.

8.2 Zugriff auf das Privatvermögen

Wirtschaftlich bedeutet das: Die Innenhaftung greift auf das Privatvermögen der Geschäftsleitung zu. Es gibt keinen „Geschäftsführer-Mantel“, der das Privatvermögen schützt — der Mantel ist die D&O-Versicherung, die wirtschaftlich zwischen Schadensereignis und Privatvermögen tritt, soweit ihre Eintrittsvoraussetzungen erfüllt sind. Wenn die D&O-Versicherung nicht eintritt — sei es wegen Vorsatzausschluss, wegen Deckungs-Lücken, wegen unzureichender Compliance-Architektur beim Vertragsabschluss, wegen Überschreitung der Deckungssumme — bleibt der Geschäftsleitung nur das Privatvermögen.

Das Privatvermögen ist im rechtlichen Sinne alles, was der Geschäftsleitung persönlich gehört: Bankguthaben, Immobilien, Wertpapiere, Beteiligungen, Lebensversicherungen, andere wirtschaftliche Werte. Vermögen, das in einer Familienstiftung oder einer Holding-GmbH gehalten wird, ist von der Innenhaftung als Privatvermögen nicht unmittelbar betroffen, kann aber im Einzelfall über andere Zugriffsschienen erreicht werden: Pfändung von Geschäftsanteilen oder Ausschüttungsansprüchen, Pfändung von Bezugs- oder Herausgabeansprüchen, Anfechtung rechtsmissbräuchlicher Vermögensverschiebungen nach AnfG/InsO, Treuhand- oder Scheinkonstruktionsargumente und nur ausnahmsweise ein echter Durchgriff, wenn der Vermögensschutz selbst rechtsmissbräuchlich konstruiert ist. Asset-Protection-Strukturen sind daher nicht pauschal haftungsfest, aber auch nicht automatisch durchgriffsoffen. Pfändungsschutz für das Existenzminimum besteht im Vollstreckungsrecht, ist aber im Zivilprozess nicht haftungsbegrenzend.

Die wirtschaftliche Dimension ist damit die eigentliche Bedrohlichkeit der Innenhaftung: Sie ist nicht nur eine zivilrechtliche Forderung mit Buchungssummen, sondern eine ganz konkrete Bedrohung des eigenen wirtschaftlichen Lebensentwurfs.

8.3 D&O-Versicherung als Risiko-Transfer

Die wirtschaftliche Folge der Innenhaftung — Zugriff auf das Privatvermögen — kann durch eine Directors-and-Officers-Versicherung wirtschaftlich abgemildert werden. Eine D&O-Versicherung schützt das Vermögen der versicherten Personen vor Schadensersatzforderungen, die sich aus ihrer Organtätigkeit ergeben — also insbesondere aus Innenhaftungs- oder Regresskonstellationen. Davon strikt zu trennen ist die unmittelbare Verbandsgeldbuße gegen die Einrichtung selbst; konkrete Deckungssummen, Annahmepolitik, Cyber-/NIS-2-Fragebögen, Claims-made-Details und Nachmeldefristen sind Markt- und Bedingungsfragen und müssen durch Police, Maklerbestätigung, Underwriting-Fragebogen oder AVB belegt werden: Sie ist keine persönliche Schadensersatzforderung gegen das Organmitglied und damit nicht schon als solche ein D&O-Schadenfall der versicherten Person. Erst ein Regress- oder Innenhaftungsanspruch gegen das Organmitglied eröffnet die D&O-Deckungsprüfung, deren Ergebnis vom konkreten Bedingungswerk abhängt. Üblich sind Deckungssummen im hohen einstelligen bis dreistelligen Millionenbereich, abhängig von Größe und Risikoprofil der Einrichtung.

Drei Aspekte sind in der Praxis besonders relevant.

Erstens, der Ausschluss wissentlicher Pflichtverletzung. D&O-Policen sehen je nach AVB regelmäßig Risikoausschlüsse für vorsätzliches oder wissentlich pflichtwidriges Handeln der versicherten Person vor; Reichweite und Nachweis hängen vom konkreten Bedingungswerk und von der BGH-Linie zur positiven Kenntnis der konkret haftungsauslösenden Pflicht ab. Der Begriff der „wissentlichen Pflichtverletzung“ in den Allgemeinen Versicherungsbedingungen (AVB) der D&O-Versicherer ist dabei eigenständig zu lesen — er ist nicht deckungsgleich mit dem zivilrechtlichen Vorsatzbegriff nach § 276 BGB, sondern AVB-spezifisch zugeschnitten. Nach der jüngeren BGH-Linie (siehe Abschnitt 8.3 zu BGH IV ZR 66/25 [R-IV-ZR-66-25]) verlangt er positive Kenntnis der konkret haftungsauslösenden Pflichtverletzung; bedingter Vorsatz, fahrlässige Unkenntnis oder der Schluss aus einer anderen Kardinalpflichtverletzung genügen für den Wissentlichkeitsausschluss nicht. Dokumentierte CISO-Warnungen, Audit-Befunde oder bewusst zurückgestellte Sicherheitsinvestitionen können wichtige Indizien für die Kenntnis- und Pflichtwidrigkeitsdiskussion sein. Den Wissentlichkeitsausschluss tragen sie nach der BGH-Linie aber nur, wenn der Versicherer beweisen kann, dass die versicherte Person die konkret haftungsauslösende Pflicht positiv kannte und subjektiv wusste, pflichtwidrig zu handeln; bedingter Vorsatz, fahrlässige Unkenntnis, bewusstes Sich-Verschließen oder eine bloße Kardinalpflicht-Argumentation genügen nicht. In der Cyber-Praxis bedeutsam: Wer trotz erkennbarer Schwachstellen, dokumentierter Warnungen des CISO oder vorliegender Audit-Befunde untätig bleibt, kann sich im D&O-Schadensfall mit dem Vorwurf der wissentlichen Pflichtverletzung konfrontiert sehen — auch wenn er den konkreten Vorfall nicht vorsätzlich herbeigeführt hat. Diese AVB-spezifische Hürde ist von der zivilrechtlichen Verschuldensfrage in Abschnitt 5.2 abzugrenzen und sollte beim eigenen D&O-Vertrag konkret eingeholt werden, weil die Versicherer-Wortlaute zwischen den Häusern variieren.

Die Reichweite des AVB-Begriffs hat der Bundesgerichtshof zuletzt im Urteil vom 19. November 2025 — IV ZR 66/25 — präzisiert und dabei eine in der vorinstanzlichen Praxis verbreitete Auslegung zurückgewiesen.

Nach der vom BGH bestätigten Linie muss der Versicherte die verletzte Pflicht positiv gekannt und subjektiv das Bewusstsein gehabt haben, gesetz-, vorschrifts- oder sonst pflichtwidrig zu handeln. Drei Abgrenzungen sind dabei wichtig. Erstens: Bedingter Vorsatz reicht ausdrücklich nicht aus — der BGH stellt klar, dass ein bloß bewusstes Sich-Verschließen vor der Kenntnis von Tatumständen nur die Annahme bedingten Vorsatzes erlaubt, nicht die positive Kenntnis. Wichtige Abgrenzung zur zivilrechtlichen Innenhaftung: Diese BGH-Linie betrifft ausschließlich den Wissentlichkeits-Ausschluss in der D&O-Versicherung. Für die zivilrechtliche Innenhaftung nach § 43 GmbHG / § 93 AktG bleibt bedingter Vorsatz selbstverständlich haftungsbegründend; § 276 BGB unterscheidet nicht zwischen direktem und bedingtem Vorsatz. Der BGH-Schutz wirkt also nicht auf die Anspruchsgrundlage selbst, sondern nur auf die Frage, ob die D&O-Versicherung leistet. Zweitens: Auch fahrlässige Unkenntnis ist unzureichend — bloße Unkenntnis aus Schlamperei, fehlender Auseinandersetzung mit vorliegenden Berichten oder unterbliebener Nachfrage erfüllt die Wissentlichkeits-Schwelle nicht; sie bleibt im Bereich der Fahrlässigkeit, die zwar zur Innenhaftung führt, aber gerade nicht zum Verlust der D&O-Deckung nach dem Wissentlichkeits-Ausschluss. Drittens: Die Wissentlichkeit muss sich auf denjenigen Pflichtenverstoß beziehen, für den der Versicherte konkret in Anspruch genommen wird — eine erweiternde Auslegung auf die wissentliche Verletzung anderer Pflichten ist nicht zulässig.

Mit dem Urteil hat der BGH das Berufungsurteil aufgehoben und zur neuen Verhandlung und Entscheidung an das OLG Frankfurt am Main (Vorinstanzen: LG Wiesbaden, Entscheidung vom 20.10.2023 — 7 O 2521/20; OLG Frankfurt am Main, Entscheidung vom 05.03.2025 — 7 U 134/23) zurückverwiesen — keine abschließende Deckungsentscheidung. Der BGH begrenzt den Wissentlichkeitsausschluss nach Ziffer 6 ULLA auf die konkret haftungsauslösende Pflichtverletzung, wegen der die versicherte Person in Anspruch genommen wird; die Ableitung der Wissentlichkeit aus einer anderen, vorgelagerten oder verwandten Pflicht — insbesondere die von der Vorinstanz aus verspäteter Insolvenzantragstellung gezogene Schlussfolgerung auf eine wissentliche Verletzung der Masseerhaltungspflicht — trägt den Ausschluss nicht. Eine abstrakte Kardinalpflicht-Dogmatik hat der BGH nicht abschließend verworfen; entscheidend bleibt die positive Kenntnis im konkreten Pflichten-Bezug.

Die Beweislast für die subjektiven Tatbestandsmerkmale des Risikoausschlusses trägt der Versicherer. Er muss konkret darlegen und beweisen, dass der Versicherte die verletzte Pflicht positiv kannte — ein Indizien-Schluss aus der bloßen Pflichtverletzung selbst trägt nach der BGH-Linie nicht.

Für die Cyber-Praxis heißt das: Audit-Befunde, CISO-Warnungen und zurückgestellte Sicherheitsinvestitionen sind deckungsrechtlich gefährliche Indizien, aber kein Automatismus. Entscheidend bleibt, ob der Versicherer positive Kenntnis der konkret haftungsauslösenden Pflichtverletzung beweisen kann.

Eine zweite jüngere BGH-Entscheidung ergänzt diese Linie: das Urteil vom 18. Dezember 2024 — IV ZR 151/23 [R-IV-ZR-151-23] — zur AGB-rechtlichen Unwirksamkeit einer insolvenzbezogenen AVB-Klausel über das automatische Vertragsende bei Insolvenzantrag der Versicherungsnehmerin sowie zur Auslegung einer Nachmeldefrist-Klausel im Claims-made-Kontext. Diese Entscheidung zeigt, dass die D&O-Versicherbarkeit in Insolvenz-Konstellationen — die für die Cyber-Praxis besonders relevant ist — gerichtlich aktiv weiterentwickelt wird und im konkreten Schadensfall police-spezifisch geprüft werden muss.

Strategische Cyber-Konsequenz der Insolvenz-Klausel. Viele D&O-Policen enthalten weiterhin Kündigungs-, Nachmelde- oder Leistungs-Einschränkungs-Klauseln bei Insolvenzantrag des Versicherungsnehmers. Die agb-rechtliche Wirksamkeit dieser Klauseln ist police-spezifisch zu prüfen; das BGH-Urteil IV ZR 151/23 vom 18.12.2024 betrifft insolvenzbezogene AVB-Klauseln zum automatischen Vertragsende und zur Nachmeldefrist und darf nicht auf die Aussage verkürzt werden, nur bereits angezeigte Ansprüche seien geschützt. Ob Deckung für nach Insolvenzantrag erhobene Inanspruchnahmen besteht, ist nach Claims-made-Mechanik, Nachmeldefrist, Umstandsmeldung und konkretem Police-Wortlaut zu prüfen. Versicherer können solche nach-Antrag-Anzeigen gleichwohl zum Streit machen. In der Cyber-Krise — wo Insolvenzantrag und neue Inanspruchnahmen zeitlich oft eng zusammenfallen — ist diese Konstellation für die Geschäftsleitung wirtschaftlich besonders gefährlich. Wer das Risiko einer cyber-induzierten Insolvenz erkennt, sollte vor Antragstellung mit dem D&O-Versicherer den Klausel-Wortlaut prüfen und ggf. eine vorgezogene Anzeige aller bekannten Risikolagen erwägen, um den Schutz der laufenden Deckung zu sichern.

Quellen-Pfad für die BGH-Linie. BGH, Urteil vom 19. November 2025 — IV ZR 66/25 — ECLI:DE:BGH:2025:191125UIVZR66.25.0 — D&O-Wissentlichkeitsausschluss nach Ziffer 6 ULLA im Kontext von Ersatzansprüchen wegen Zahlungen nach Insolvenzreife nach § 64 Satz 1 GmbHG a.F.; der BGH hat das Berufungsurteil des OLG Frankfurt am Main vom 5. März 2025 (Az. 7 U 134/23) aufgehoben und zur neuen Verhandlung und Entscheidung an das Berufungsgericht zurückverwiesen — keine abschließende Deckungsentscheidung. Die Übertragung auf Cyber-Krisen mit Zahlungen nach Insolvenzreife bleibt eine versicherungsrechtliche Analogie. Amtlicher Volltext über bundesgerichtshof.de; BGH, Urteil vom 18. Dezember 2024 — IV ZR 151/23 — ECLI:DE:BGH:2024:181224UIVZR151.23.0, bundesgerichtshof.de. Sekundäre Aufbereitung in den Anwalts- und Versicherungs-Fachveröffentlichungen (Noerr, Heuking, ADVANT Beiten, PwC Legal) zur Einordnung in die D&O-Praxis.

Zweitens, die Versicherbarkeit beim Vertragsabschluss als Marktrealität. Nach Marktbeobachtung können D&O- und Cyber-Versicherer bei Antrag, Renewal oder Deckungsprüfung das Cyber-Risikoprofil, die Compliance-Architektur, NIS-2-Reife und Schulungsnachweise abfragen. Ob dies bereits flächendeckende D&O-Marktpraxis ist, hängt von Versicherer, Branche, Größe, Police und Maklerfragebogen ab und sollte durch konkrete Underwriting-Fragebögen, AVB, Maklerbestätigung oder belastbare Branchenquelle verifiziert werden. Wer hier wenig vorzeigen kann, muss je nach Risikoprofil, Branche, Versicherer und Marktphase mit Deckungsbeschränkungen, Cyber-Risiko-Ausschlüssen, Prämienzuschlägen oder Annahmeverweigerungen rechnen. Diese Versicherer-Praxis ist nicht gesetzlich kodifiziert, sondern Ausdruck des Cyber-Versicherungsmarktes und im Einzelfall durch den eigenen Versicherungsmakler oder D&O-Versicherer zu klären.

Drittens, der Selbstbehalt nach § 93 Abs. 2 Satz 3 AktG. Bei Vorstandsmitgliedern einer AG muss eine von der Gesellschaft abgeschlossene D&O-Versicherung einen Selbstbehalt von mindestens 10 Prozent des Schadens vorsehen; dieser Eigenanteil muss mindestens bis zur Höhe des Eineinhalbfachen der festen jährlichen Vergütung reichen. Diese Schwelle ist amtlich eine gesetzliche Mindestanforderung an die Ausgestaltung des Selbstbehalts — keine gesetzliche Höchstgrenze. In der Marktpraxis wird der Eigenanteil daher häufig genau auf den 10-Prozent-/1,5-Jahresvergütungs-Mindestwert eingestellt; eine darüber hinausgehende Selbstbehalts-Vereinbarung ist gesellschaftsrechtlich zulässig und im Einzelfall denkbar. Wirtschaftlich trifft Vorstandsmitglieder damit auch bei voller Deckung ein Eigenanteil. Bei GmbH-Geschäftsführern besteht ein solcher gesetzlicher Pflichtselbstbehalt nicht, kann aber vertraglich vereinbart sein.

Viertens, das Claims-made-Prinzip und die Nachmeldefristen. D&O-Verträge sind in der deutschen Marktpraxis typischerweise als Claims-made-Deckungen ausgestaltet (der konkrete Police-Wortlaut zu Nachmeldefrist, Rückwärtsdeckung, Anzeigeobliegenheiten und Cyber-Ausschlüssen ist im Einzelfall zu prüfen): Versicherungsschutz besteht typischerweise für Inanspruchnahmen, die während der Vertragslaufzeit gegen den versicherten Geschäftsleiter erhoben werden; ob frühere Pflichtverletzungen erfasst sind, hängt von Rückwärtsdeckung, Vorkenntnis-/Umstandsausschlüssen, Anzeigeobliegenheiten und dem konkreten Police-Wortlaut ab. Für ausgeschiedene Geschäftsleiter ist die Nachmeldefrist (auch: Nachhaftungs-Frist) zentral: Sie regelt den Zeitraum nach Vertragsende, in dem Inanspruchnahmen für Pflichtverletzungen während der Amtszeit noch unter den Schutz fallen. D&O-Deckung, Nachmeldefristen, Rückwärtsdeckung, Vorkenntnis- und Umstandsausschlüsse, Cyber- und Insolvenz-Ausschlüsse, Abwehrkosten-Anrechnung und Aggregate-Limits sind police- und marktphasenspezifisch. In der Praxis finden sich Claims-made-Strukturen, und typische Nachmeldefristen liegen je nach Police zwischen drei und sechs Jahren, bei Vorstands- und Aufsichtsrats-Verträgen größerer Gesellschaften gelegentlich länger. Wer als Geschäftsleitung ausscheidet, sollte nicht nur die Nachmeldefrist, sondern zuerst den Status als mitversicherte ehemalige Person, die Fortführung der Unternehmens-D&O, Run-off-Regelungen, Rückwärtsdeckung, Umstandsmeldung und Ausschlüsse prüfen. Das Ausscheiden der Person ist nicht dasselbe wie das Ende des Versicherungsvertrags; Nachmeldefristen werden typischerweise erst bei Vertragsende, Nichtverlängerung oder besonderer Run-off-Konstellation kritisch. Der konkrete Police-Wortlaut entscheidet.

Konsequenz: Die Cyber-Compliance wird zur Selbstschutz-Maßnahme. Aus dem Zusammenspiel ergibt sich für die Geschäftsleitung eine zwangsläufige Logik. Eine Pflichtverletzung im Cyber-Risikomanagement kann über § 38 Abs. 2 BSIG in Verbindung mit § 43 GmbHG oder § 93 AktG zur persönlichen Haftung mit dem Privatvermögen führen, mit Beweislast bei der Geschäftsleitung. Wirtschaftlich lässt sich dieses Risiko in nennenswerter Höhe regelmäßig nur über eine passende D&O-Deckung oder andere Risikotransfer- und Vermögensschutzmechanismen abfedern. Fehlende Nachweise zur Cyber-Compliance-Architektur, einschließlich der dokumentierten Schulung der Geschäftsleitung, können je nach Police, Versicherer, Marktphase und Risikoprofil zu Deckungsbeschränkungen, Cyber-Risiko-Ausschlüssen, Prämienzuschlägen oder Annahmeverweigerungen führen. Damit verschiebt sich die Cyber-Compliance für die Geschäftsleitung von einer regulatorischen Pflicht zu einer Voraussetzung des eigenen wirtschaftlichen Schutzes vor Innenhaftungs-Folgen — sie wird zur Selbstschutz-Maßnahme.

9. Verjährung — differenziert nach Rechtsform und Börsennotierung

Die Verjährungsfrist für Innenhaftungs-Ansprüche ist nicht einheitlich. Sie unterscheidet sich nach Rechtsform und, bei der Aktiengesellschaft, nach Börsennotierung.

Tabelle: Verjährungsfristen für Innenhaftungs-Ansprüche

Achtung Sonder-Konstellation Bußgeld-Regress: Bei einem Innenhaftungs-Anspruch wegen eines weitergegebenen Bußgelds (§ 65 BSIG, Art. 83 DSGVO) sind zwei Fragen sauber zu trennen: erstens, ob die Verbandsgeldbuße überhaupt regressfähig ist (höchstrichterlich nicht abschließend geklärt; Kartellsenat hat mit Beschluss vom 11. Februar 2025 — KZR 74/23, ECLI:DE:BGH:2025:110225BKZR74.23.0 — dem EuGH die Frage zu Art. 101 AEUV vorgelegt, ob nationaler Organregress nach einer Kartellgeldbuße wegen eines Art.-101-AEUV-Verstoßes unionsrechtlich zulässig ist); zweitens, wann ein etwaiger Regress-Anspruch im Verjährungs-Sinne entsteht. Der Anspruch kann je nach Schadensposten und dogmatischer Einordnung mit Zahlung, mit Rechtskraft des Bescheids, mit verbindlicher Belastung oder mit bilanziell zu berücksichtigender Verpflichtung entstehen. Hier sind zwei Ebenen sauber zu trennen. Auf Anspruchsebene kann die Geschäftsleitung argumentieren, dass vor Zahlung des Bußgelds noch kein regressfähiger Schaden entstanden ist; gelingt diese Linie, ist sie haftungsbegrenzend günstig. Auf Verjährungsebene ist nach § 200 BGB der Verjährungsbeginn an die Entstehung des Anspruchs geknüpft; ein früherer Entstehungszeitpunkt führt deshalb zu einem früheren Verjährungsbeginn und damit zu einer kürzeren Verfolgungsmöglichkeit für die Einrichtung — verjährungsrechtlich ist also grundsätzlich ein früherer Entstehungszeitpunkt für die Geschäftsleitung günstiger, ein späterer für die Einrichtung. Welche der beiden Linien (Haftungsbegrenzung über „Anspruch noch nicht entstanden“ oder Verjährungsbegrenzung über frühen Entstehungszeitpunkt) im konkreten Fall trägt, hängt vom Vortrag der Parteien und vom Sachverhalt ab und ist für Bußgeld-Regresspositionen nicht abschließend geklärt. Die in der Praxis von Einrichtungen häufig vertretene Position knüpft an die Bußgeld-Zahlung durch die Einrichtung an; diese Zahlungs-Lesart ist auf Verjährungsebene tendenziell einrichtungsfreundlich, weil sie den Verjährungsbeginn nach hinten verschiebt. Eine frühere Entstehungs-Lesart — etwa Rechtskraft des Bußgeldbescheids, verbindliche Belastung oder bilanzielle Berücksichtigung — kann der Einrichtung auf Anspruchsebene helfen, startet die Verjährungsuhr aber früher und ist deshalb auf Verjährungsebene tendenziell geschäftsleitungsfreundlich. Die Regressfähigkeit der Kartellgeldbuße ist zudem höchstrichterlich nicht abschließend geklärt; vgl. BGH-EuGH-Vorlage zu Art. 101 AEUV vom 11. Februar 2025 — KZR 74/23. Für BSIG- oder DSGVO-Bußgelder bleibt die Übertragung offen. Details und Bandbreite in Abschnitt 11.2.

Der Lauf der Verjährung beginnt mit der Entstehung des Anspruchs — also mit dem Eintritt des Schadens und der objektiven Möglichkeit, den Anspruch geltend zu machen, nicht erst mit der Kenntnis der Einrichtung von der Pflichtverletzung oder der Person des Schädigers. Diese Differenzierung zur Regelverjährung ist praktisch bedeutsam.

§ 199 Abs. 1 BGB [N-BGB-199] knüpft die Regelverjährung an den Kenntnis-Beginn — die dreijährige Regelverjährung läuft erst, wenn die Einrichtung Kenntnis vom Anspruch und der Person des Schädigers erlangt. Bei den Sondernormen der Geschäftsleitungs-Innenhaftung gilt dieses Kenntnis-Prinzip nicht. § 43 Abs. 4 GmbHG [N-GmbHG-43] und § 93 Abs. 6 AktG [N-AktG-93] sind eigenständige Verjährungs-Vorschriften, deren Lauf-Beginn nach allgemeinen Regeln (§ 200 BGB [N-BGB-200]) an die Anspruchs-Entstehung anknüpft, nicht an die Kenntnis. Praktisch heißt das: Die Fünf- bzw. Zehn-Jahres-Frist läuft auch dann, wenn die Einrichtung von dem Cyber-Vorfall und seinem Hintergrund noch nichts weiß — etwa weil der Vorfall verdeckt blieb oder die Verbindung zur Pflichtverletzung erst spät erkannt wurde.

Beispiel: Ein Advanced-Persistent-Threat-Angreifer kompromittiert die IT einer GmbH im Jahr 1, exfiltriert über Jahre stillschweigend Daten und wird erst im Jahr 6 entdeckt. Der zugrundeliegende Pflichtverletzungs-Anspruch gegen die damalige Geschäftsleitung kann — je nach Schadensposten — bereits mit der ersten zurechenbaren Schadensrealisierung entstehen. Bei fortlaufender Exfiltration sind Entstehung, Teilverjährung und einheitlicher beziehungsweise fortschreitender Schaden gesondert zu prüfen; die ältesten Schadensanteile können bei Entdeckung im Jahr 6 bereits verjährt sein. Die Einrichtung verliert wirtschaftlich relevante Anspruchs-Teile, ohne dass sie davon je wusste.

Die Einrichtung ist deshalb gehalten, bei Verdachts-Lagen die Sachverhaltsaufklärung zügig voranzutreiben; ein Hinauszögern aus politischen Erwägungen verkürzt im Ergebnis die zur Verfügung stehende Verfolgungs-Zeit.

Bei der AG ist für die Frage der Fünf- oder Zehn-Jahres-Frist die Börsennotierung im Zeitpunkt der Pflichtverletzung maßgeblich, nicht im Zeitpunkt der Geltendmachung. Eine Pflichtverletzung in einer börsennotierten Phase bleibt zehn Jahre verfolgbar, auch wenn die Gesellschaft inzwischen delisted ist.

Wichtiger Querverweis zu Abschnitt 11.2. Die hier genannten Fünf- bzw. Zehn-Jahres-Fristen sind die Fristen für die ursprüngliche Pflichtverletzung. Bei einem Bußgeld-Regress der Einrichtung gegen die Geschäftsleitung sind Anspruchsebene und Verjährungsebene zu trennen. Haftungsbegrenzend ist für die Geschäftsleitung die Linie, dass vor Zahlung noch kein Regressanspruch entstanden ist. Verjährungsrechtlich ist nach § 200 BGB ein früherer Entstehungszeitpunkt für die Geschäftsleitung günstiger (Frist läuft früher ab); die in der Praxis von Einrichtungen häufig vertretene Anknüpfung an die Bußgeld-Zahlung verschiebt den Verjährungsbeginn nach hinten und ist deshalb auf Verjährungsebene tendenziell einrichtungsfreundlich. Eine frühere Entstehungs-Lesart — etwa Rechtskraft des Bescheids oder Belastung mit der Verbindlichkeit — kann der Einrichtung auf Anspruchsebene helfen, startet die Verjährungsuhr aber früher und ist deshalb auf Verjährungsebene tendenziell geschäftsleitungsfreundlich. Die Regressfähigkeit der Verbandsgeldbuße selbst ist zudem höchstrichterlich nicht abschließend geklärt. Wer als ausscheidende Geschäftsleitung den Ablauf der „fünf Jahre“ abwartet, ist möglicherweise weiterhin haftungsexponiert, wenn ein Bußgeldverfahren noch nicht abgeschlossen ist (Details in Abschnitt 11.2).

Die Differenzierung der AG-Fristen war eine bewusste Verschärfung für börsennotierte Gesellschaften durch das Finanzmarktintegritätsstärkungsgesetz (FISG, verkündet im BGBl. 2021 I S. 1534 vom 3. Juni 2021, mit Inkrafttreten der § 93 Abs. 6 AktG-Änderung zum 1.1.2022), weil dort die Komplexität von Schadensentdeckung und Beweisführung typischerweise größer ist und längere Verjährungsfristen für eine effektive Durchsetzung notwendig sind.

Praxis-Folge für die Aufbewahrungsdauer. Zur Verteidigungsfähigkeit sollten GmbH-Geschäftsführer und Vorstände nicht-börsennotierter AGs ihre Compliance-Dokumentation jedenfalls für die Dauer der jeweils einschlägigen Innenhaftungs-Verjährung sicher verfügbar halten, bei GmbH und nicht-börsennotierter AG also regelmäßig mindestens fünf Jahre nach dem jeweiligen Vorgang, bei börsennotierter AG regelmäßig mindestens zehn Jahre. Das ist keine eigenständige gesetzliche Aufbewahrungsfrist aus § 43 GmbHG oder § 93 AktG, sondern eine beweispraktische Konsequenz der Anspruchs- und Beweislastarchitektur. Die CyberSchutzEngel-Empfehlung an die Praxis ist konservativ einheitlich: zehn Jahre für alle Rechtsformen. Mehrkosten der längeren Aufbewahrung sind gering, der Schutz vor einem Beweisnotstand in einem Innenhaftungsprozess überwiegt sie weit. Die Umsetzung braucht ein datenschutz-, geschäftsgeheimnis- und IT-sicherheitskonformes Archivierungskonzept: Zweckbindung, Zugriffskreis, Verschlüsselung, Löschkonzept, Umgang mit personenbezogenen Daten und Incident-Details sowie Unterlagenzugriff ausgeschiedener Organmitglieder sind vorab zu regeln — eine zehnjährige Aufbewahrung ohne Architektur ist im Datenschutz- und Geschäftsgeheimnisrecht selbst angreifbar. Auch nach dem Ausscheiden des Geschäftsleitungsmitglieds aus der Einrichtung sollten die persönlichen Schulungs- und Compliance-Unterlagen für mindestens diese Frist sicher verfügbar bleiben — der Innenhaftungs-Anspruch verfolgt das ausgeschiedene Geschäftsleitungsmitglied, der Zugang zu Unterlagen über die ehemalige Einrichtung tut es nicht zwingend.

10. Besondere Konstellationen

Vier Konstellationen verdienen über die allgemeine Innenhaftungs-Logik hinaus eine eigene Behandlung, weil sie in der Praxis regelmäßig auftreten und die Haftungs-Architektur verschieben.

10.1 Gesamtschuldnerische Haftung mehrerer Geschäftsleitungsmitglieder

§ 43 Abs. 2 GmbHG [N-GmbHG-43] und § 93 Abs. 2 Satz 1 AktG [N-AktG-93] begründen eine gesamtschuldnerische Haftung mehrerer Geschäftsführer oder Vorstandsmitglieder. Das bedeutet: Liegen die Haftungsvoraussetzungen bei mehreren Geschäftsleitungsmitgliedern jeweils vor (zurechenbare Pflichtverletzung, Schaden, Kausalität, Verschulden bzw. fehlende Entlastung), haften sie gegenüber der Einrichtung gesamtschuldnerisch für den vollen Schaden — die Einrichtung kann auswählen, von wem sie den vollen Betrag fordert; im Innenverhältnis zwischen den Geschäftsleitern erfolgt der Ausgleich nach § 426 BGB und nach Verantwortungs- bzw. Verschuldensanteilen, typischerweise zu gleichen Teilen, wenn nicht abweichende Verschuldensanteile festgestellt werden.

Eine interne Ressortverteilung — etwa, dass der eine Geschäftsführer für IT zuständig ist und der andere für Vertrieb — ändert nichts daran, dass bei zurechenbarer Pflichtverletzung eine gesamtschuldnerische Innenhaftung gegenüber der Einrichtung in Betracht kommt. Sie kann aber bei der internen Schadensteilung berücksichtigt werden: Wer ressortzuständig für IT war und seine Pflichten verletzt hat, wird im Innenverhältnis regelmäßig einen größeren Anteil tragen müssen als der ressortfremde Mitgeschäftsführer. Aber: Der ressortfremde Mitgeschäftsführer bleibt nicht vollständig außen vor. Ihn treffen weiterhin ressortübergreifende Überwachungs-, Informations- und Eingriffspflichten, insbesondere bei Warnzeichen oder erkennbaren Defiziten im zuständigen Ressort. Eine eigene Haftung setzt jedoch auch bei ihm eine zurechenbare Pflichtverletzung, Verschulden, Schaden und Kausalität voraus. Eine vollständige Entlastung ist nicht ausgeschlossen, wenn eine wirksame Ressortverteilung besteht, die Grundüberwachung dokumentiert ist, keine Warnzeichen bestanden und anlassbezogene Prüf-/Eingriffspflichten erfüllt wurden; ob das gelingt, ist eine Einzelfall- und Beweisfrage.

10.2 Verzicht und Vergleich der Einrichtung

Die Einrichtung kann auf Innenhaftungs-Ansprüche grundsätzlich nicht jederzeit frei verzichten. Für die Aktiengesellschaft regelt § 93 Abs. 4 Satz 3 AktG ausdrücklich:

§ 93 Absatz 4 Satz 3 AktG. Die Gesellschaft kann erst drei Jahre nach der Entstehung des Anspruchs und nur dann auf Ersatzansprüche verzichten oder sich über sie vergleichen, wenn die Hauptversammlung zustimmt und nicht eine Minderheit, deren Anteile zusammen den zehnten Teil des Grundkapitals erreichen, zur Niederschrift Widerspruch erhebt.
Quelle: Aktiengesetz (AktG), aktuelle Fassung; gesetze-im-internet.de/aktg/__93.html.

Von der strengen Drei-Jahres-Sperre des § 93 Abs. 4 Satz 3 AktG formuliert § 93 Abs. 4 Satz 4 AktG eine Ausnahme: Sie gilt nicht, wenn der Ersatzpflichtige zahlungsunfähig ist und sich zur Abwendung des Insolvenzverfahrens mit seinen Gläubigern vergleicht, oder wenn die Ersatzpflicht in einem Insolvenzplan geregelt wird. Die Drei-Jahres-Sperre läuft also nicht ins Leere, wenn die Insolvenz das ohnehin überholt.

Bei der GmbH ist die rechtliche Konstruktion deutlich anders: Im GmbH-Recht besteht keine § 93 Absatz 4 Satz 3 AktG entsprechende gesetzliche Drei-Jahres-Sperre. § 46 Nummer 8 GmbHG [N-GmbHG-46] weist der Gesellschafterversammlung die Entscheidung über die Geltendmachung von Ersatzansprüchen aus der Geschäftsführung zu; auf dieser Grundlage können die Gesellschafter — vorbehaltlich zwingender Grenzen — über die Verfolgung solcher Ansprüche disponieren und insbesondere durch Entlastung, Generalbereinigung, Erlass oder Vergleich auf Innenhaftungsansprüche gegen den Geschäftsführer verzichten. Zwingende Grenzen ergeben sich vor allem aus Kapitalerhaltungs- und Gläubigerschutzrecht, aus § 43 Absatz 3 GmbHG i.V.m. § 9b Absatz 1 GmbHG, aus Stimmverboten und Treuepflichten sowie — bei Insolvenzreife-Zahlungen — aus der eigenständigen Verzichts- und Vergleichssperre des § 15b Absatz 4 Satz 4 InsO. Diese § 15b-Schiene ist von der allgemeinen GmbH-Innenhaftung zu trennen. Daneben gelten weitere Kapitalerhaltungs- und Gläubigerschutz-Schutzregeln, insbesondere § 43 Absatz 3 GmbHG in Verbindung mit § 9b Absatz 1 GmbHG bei Verstößen gegen § 30 oder § 33 GmbHG, sowie aus Treuepflicht- und Stimmverbotsgrenzen in Konfliktlagen, insbesondere § 47 Absatz 4 GmbHG. Eine vorschnelle, gesellschafterfreundliche Generalbereinigung ist daher in der GmbH gesetzlich nicht durch eine § 93 Absatz 4 Satz 3 AktG entsprechende Drei-Jahres-Sperre gebunden; sie kann aber im Einzelfall an den genannten zwingenden Grenzen scheitern.

Diese Vorschriften haben je nach Rechtsform unterschiedliche Schutzmechaniken. Bei der Aktiengesellschaft sollen Drei-Jahres-Sperrfrist, Hauptversammlungszustimmung und Minderheitswiderspruch verhindern, dass Innenhaftungsansprüche gegen den Vorstand vorschnell aus der Welt geschafft werden. Zusätzlich bleibt § 93 Abs. 5 Satz 3 AktG zu beachten: Den Gesellschaftsgläubigern gegenüber wird die Ersatzpflicht weder durch einen Verzicht oder Vergleich der Gesellschaft noch dadurch aufgehoben, dass die Handlung auf einem Beschluss der Hauptversammlung beruht. Bei der GmbH entsteht ein vergleichbarer Schutz nicht über eine § 93 Absatz 4 Satz 3 AktG entsprechende Sperrfrist, sondern über die Zuständigkeit der Gesellschafterversammlung nach § 46 Nummer 8 GmbHG und über zwingende Grenzen aus Kapitalerhaltung, Gläubigerschutz, Stimmverbot nach § 47 Absatz 4 GmbHG und Treuepflicht. Gerade in mitgesellschafter- oder familiengeprägten Geschäftsführungs-Konstellationen muss deshalb sauber getrennt werden: GmbH-Gesellschafter können grundsätzlich disponieren, aber nicht grenzenlos.

10.3 Aktionärsklage und Gesellschafterklage

Die Innenhaftungs-Ansprüche werden typischerweise von der Einrichtung selbst geltend gemacht — bei der AG durch den Aufsichtsrat und bei der GmbH nach Maßgabe des § 46 Nr. 8 GmbHG durch die von der Gesellschafterversammlung bestimmte Verfolgungs- und Vertretungsspur. In bestimmten Konstellationen können aber auch Gesellschafter oder Aktionärsminderheiten die Ansprüche eigenständig verfolgen.

Bei der Aktiengesellschaft regelt § 148 AktG [N-AktG-148] eine Aktionärsklage zur Geltendmachung von Innenhaftungs-Ansprüchen:

§ 148 Absatz 1 Satz 1 AktG (Auszug — Klagezulassungsverfahren). Aktionäre, deren Anteile im Zeitpunkt der Antragstellung zusammen den einhundertsten Teil des Grundkapitals oder einen anteiligen Betrag von 100 000 Euro erreichen, können die Zulassung beantragen, im eigenen Namen die in § 147 Abs. 1 Satz 1 bezeichneten Ersatzansprüche der Gesellschaft geltend zu machen.
Die weiteren Zulassungsvoraussetzungen des § 148 Absatz 1 AktG bleiben unberührt; die Beteiligungsschwelle ersetzt nicht die gerichtliche Zulassungsprüfung.
Quelle: Aktiengesetz (AktG), aktuelle Fassung; gesetze-im-internet.de/aktg/__148.html.

Eine Aktionärsminderheit, deren Anteile mindestens ein Prozent des Grundkapitals oder einen anteiligen Betrag von 100 000 Euro erreichen, kann nach einem Klagezulassungsverfahren die Ansprüche im eigenen Namen für die Gesellschaft geltend machen. Diese Konstruktion ist in der Praxis selten genutzt, aber sie existiert und ist relevant, wenn der Aufsichtsrat die Verfolgung pflichtwidrig unterlässt.

Bei der GmbH gibt es keine entsprechende kodifizierte Gesellschafterklage. Eine actio pro socio kann im Einzelfall in Betracht kommen, ist aber unter strengen Voraussetzungen zulässig.

10.4 Insolvenz der Einrichtung

Tritt die Insolvenz der Einrichtung ein, geht die Verfügungsbefugnis über die Innenhaftungs-Ansprüche auf den Insolvenzverwalter über, der sie für die Insolvenzmasse verfolgt (§ 80 InsO). Das ist eine besonders naheliegende und in der Prozesspraxis häufig beobachtete Konstellation der tatsächlichen Anspruchsverfolgung; eine repräsentative Häufigkeitsaussage für alle Innenhaftungsprozesse wird damit nicht verbunden. Der Insolvenzverwalter hat strukturelle Anreize, die Ansprüche zu verfolgen — jeder erlöste Euro vergrößert die Masse, und er ist nicht durch persönliche oder geschäftliche Bindungen an die ehemalige Geschäftsleitung gehemmt.

Praxis-Hinweis Insolvenz. Schwere Cyber-Vorfälle können gerade in mittelständischen Einrichtungen ohne ausreichende Reserven zur Insolvenz führen. Ein Ransomware-Vorfall mit mehrwöchiger Betriebsunterbrechung, der Wegfall von Aufträgen wegen Reputationsschäden, DSGVO-Bußgelder, Rückgriffe geschädigter Kunden und die Wiederherstellungskosten zusammen können den finanziellen Spielraum einer mittelständischen Einrichtung schnell überfordern. Wenn die Einrichtung daraufhin in die Insolvenz geht, wird der Insolvenzverwalter prüfen, ob die Geschäftsleitung den Vorfall durch sorgfaltswidriges Handeln mitverursacht hat. Diese Konstellation ist ein besonders naheliegender Auslöser für die tatsächliche Geltendmachung der Innenhaftung; ob sie im jeweiligen Markt- oder Prozessbestand häufig vorkommt, ist ohne belastbare Rechtsprechungs-, Statistik- oder Mandatsdaten nicht als allgemeine Tatsachenbehauptung zu lesen.

Insolvenzantragspflicht und Zahlungsverbot — § 15a und § 15b InsO

Sobald Zahlungsunfähigkeit oder Überschuldung objektiv eingetreten ist, greifen die Antragspflicht nach § 15a InsO [N-InsO-15a] und das Zahlungsverbot nach § 15b InsO [N-InsO-15b]. Zeichnet sich eine Krise lediglich ab, entstehen vorgelagerte Prüf-, Liquiditätsstatus-, Fortführungsprognose-, Überwachungs- und Dokumentationspflichten; sie sind haftungspraktisch hochrelevant, lösen § 15a/§ 15b aber nicht schon als Tatbestand aus.

§ 15a InsO — die drei-/sechswöchige Antragspflicht. Bei Zahlungsunfähigkeit (§ 17 InsO [N-InsO-17]) oder Überschuldung (§ 19 InsO [N-InsO-19]) hat die Geschäftsleitung ohne schuldhaftes Zögern, spätestens innerhalb von drei Wochen nach Eintritt der Zahlungsunfähigkeit beziehungsweise innerhalb von sechs Wochen nach Eintritt der Überschuldung, Insolvenzantrag zu stellen. Eine Verletzung dieser Antragspflicht ist nach § 15a Abs. 4 InsO strafbar und kann eigenständige zivilrechtliche Ersatzansprüche auslösen; diese sind aber dogmatisch von der gesellschaftsrechtlichen Innenhaftung und von § 15b-InsO-Erstattungsansprüchen zu trennen. Insbesondere Gläubiger-/Insolvenzverschleppungshaftung, § 823 Abs. 2 BGB i.V.m. Schutzgesetzen und § 15b InsO sind nicht dieselbe Anspruchsschiene.

§ 15b InsO — das Zahlungsverbot nach Insolvenzreife. Nach § 15b Abs. 1 Satz 1 InsO dürfen die nach § 15a Abs. 1 Satz 1 antragspflichtigen Mitglieder des Vertretungsorgans und Abwickler einer juristischen Person nach Eintritt der Zahlungsunfähigkeit oder Überschuldung keine Zahlungen mehr für diese vornehmen; nach Satz 2 sind Zahlungen ausgenommen, die mit der Sorgfalt eines ordentlichen und gewissenhaften Geschäftsleiters vereinbar sind. § 15b Abs. 2 InsO konkretisiert dies für Zahlungen im ordnungsgemäßen Geschäftsgang und während der Phase der nachhaltigen Beseitigung der Insolvenzreife oder der Insolvenzantragsvorbereitung; § 15b Abs. 3 InsO verschärft die Bewertung nach Ablauf der maßgeblichen Antragsfrist. Werden entgegen Absatz 1 Zahlungen geleistet, sind die Antragspflichtigen nach § 15b Abs. 4 Satz 1 InsO zur Erstattung verpflichtet; bei geringerem Gläubigerschaden beschränkt Satz 2 die Ersatzpflicht auf den Ausgleich dieses Schadens. § 15b Abs. 4 Satz 4 InsO sperrt Verzicht und Vergleich der juristischen Person über Erstattungs- oder Ersatzansprüche; Satz 5 enthält drei Alternativen: Zahlungsunfähigkeit des Erstattungs- oder Ersatzpflichtigen und Vergleich mit seinen Gläubigern zur Abwendung des Insolvenzverfahrens, Regelung der Erstattungs- oder Ersatzpflicht in einem Insolvenzplan oder Handeln eines Insolvenzverwalters für die juristische Person. § 15b Abs. 5 InsO erstreckt Absatz 1 Satz 1 und Absatz 4 auf bestimmte Zahlungen an an der juristischen Person beteiligte Personen; § 15b Abs. 6 InsO erstreckt die Absätze 1 bis 5 auf organschaftliche Vertreter der zur Vertretung der Gesellschaft ermächtigten Gesellschafter. § 15b InsO hat die alte Geschäftsführer-Erstattungspflicht aus § 64 GmbHG a.F. seit dem SanInsFoG 2021 ersetzt und vereinheitlicht.

Für die Cyber-Praxis ist diese Kombination besonders heikel: Genau in der akuten Cyber-Krise — wenn Lösegeld verhandelt wird, externe Berater eingebunden werden, parallel die Liquidität schwindet — können Zahlungen nach § 15b InsO erstattungspflichtig werden, ohne dass die Geschäftsleitung den Verfahrens-Eintritt zu diesem Zeitpunkt klar erfasst hat. Auch eine erfolgreiche Lösegeld-Zahlung ist nach Insolvenzreife haftungskritisch — sie ist aber nicht allein wegen der Insolvenzreife automatisch ersatzpflichtig. § 15b Abs. 1 Satz 2 InsO nimmt Zahlungen, die mit der Sorgfalt eines ordentlichen und gewissenhaften Geschäftsleiters vereinbar sind, ausdrücklich aus; § 15b Abs. 2 InsO privilegiert insbesondere Zahlungen im ordnungsgemäßen Geschäftsgang und Zahlungen zur Aufrechterhaltung des Geschäftsbetriebs während der Sanierungs- bzw. Antragsvorbereitungs-Phase. Unabhängig von § 15b InsO ist vor jeder Lösegeldzahlung eine gesonderte straf-, terrorismusfinanzierungs-, geldwäsche-, sanktions- und außenwirtschaftsrechtliche Risikoprüfung erforderlich; insbesondere EU-/UN-Sanktionslisten und bei US-Bezug auch OFAC-Risiken können Zahlungsentscheidung, D&O-Deckung und Organpflichten eigenständig prägen. Daraus folgt kein Automatismus, dass jede Lösegeldzahlung unzulässig ist; entscheidend sind Empfänger, Zahlungsweg, Listungs-/Embargobezug, Kenntnisstand, Behördenkommunikation und dokumentierte Krisenabwägung. Entscheidend ist deshalb, ob die konkrete Zahlung im konkreten Zeitpunkt mit dieser Sorgfalt vereinbar war — insbesondere ob sie ex ante der Masseerhaltung, der Vorbereitung eines Insolvenzantrags oder einer realistischen Sanierungs-Perspektive diente. § 15b Abs. 3 InsO verschärft die Lage nach Ablauf der Antragsfrist erheblich: Dann spricht die gesetzliche Regelwertung regelmäßig gegen die Vereinbarkeit weiterer Zahlungen mit der Sorgfalt eines ordentlichen Geschäftsleiters. Auch bei erfolgreicher Lösegeld-Zahlung bleibt jedoch die konkrete Zahlung, ihr Zeitpunkt, ihr Zweck und eine mögliche Rechtfertigung im Einzelfall zu prüfen. Juristisch ist die Lösegeld-Zahlung in dieser Konstellation masseschmälernd: Sie reduziert das Vermögen der späteren Insolvenz-Masse und schadet damit den Gläubigern. Wer als Geschäftsleitung in der Cyber-Krise zahlt, rettet möglicherweise die Einrichtung — kann aber dem Insolvenzverwalter persönlich ersatzpflichtig sein, wenn die Insolvenzreife im Zahlungszeitpunkt objektiv bereits vorlag und die konkrete Zahlung nicht nach § 15b Abs. 1 Satz 2, Abs. 2 oder Abs. 3 InsO gerechtfertigt war. Dieses Haftungs-Paradoxon ist für die Geschäftsleitung der gefährlichste Aspekt der Cyber-Lösegeld-Konstellation. Die D&O-Versicherung steht zu solchen § 15b-Erstattungsansprüchen in besonderem Spannungsverhältnis, weil sie nach BGH IV ZR 66/25 [R-IV-ZR-66-25] vom 19.11.2025 nicht schon deshalb von ihrer Eintrittspflicht frei wird, weil die Insolvenzantragspflicht verletzt wurde — die Wissentlichkeit der Pflichtverletzung muss vom Versicherer positiv bewiesen werden. Diese BGH-Linie stärkt die Deckungsposition der versicherten Person, weil der Wissentlichkeitsausschluss nicht pauschal aus einer anderen Pflichtverletzung oder aus bedingtem Vorsatz hergeleitet werden darf. Ob die D&O-Versicherung im konkreten Fall leistet, bleibt aber vom festgestellten Haftungstatbestand, der konkreten AVB-Klausel, Anzeigeobliegenheiten und sonstigen Deckungseinwendungen abhängig.

Für Ansprüche aus § 15b InsO selbst gilt nach § 15b Abs. 7 InsO eine eigenständige Verjährungsregel: fünf Jahre, bei Börsennotierung der Gesellschaft im Zeitpunkt der Pflichtverletzung zehn Jahre. Inhaltlich entspricht das den Fristen aus § 93 Abs. 6 AktG, die Normquelle ist aber § 15b Abs. 7 InsO. Für die parallel laufenden gesellschaftsrechtlichen Innenhaftungs-Ansprüche aus § 43 GmbHG / § 93 AktG gelten die dort kodifizierten Fristen (§ 43 Abs. 4 GmbHG fünf Jahre einheitlich; § 93 Abs. 6 AktG fünf bzw. zehn Jahre je nach Börsennotierung). Beide Verjährungs-Schienen können nebeneinander laufen. Allerdings können bestimmte Hemmungstatbestände eingreifen, die die effektive Verfolgungsdauer verlängern.

Zentral sind drei Hemmungs-Konstellationen. Erstens, § 203 BGB Hemmung durch Verhandlungen — wenn zwischen Insolvenzverwalter und ehemaliger Geschäftsleitung über den Anspruch verhandelt wird, ist die Verjährung gehemmt, solange die Verhandlungen andauern. Zweitens, § 204 BGB Hemmung durch Rechtsverfolgung — die Klageerhebung, der Mahnbescheid oder die Anmeldung im Insolvenzverfahren der ehemaligen Geschäftsleitung selbst (sofern auch diese insolvent wird) hemmen die Verjährung. Drittens, § 206 BGB Hemmung bei höherer Gewalt — in seltenen Konstellationen, etwa wenn die Anspruchsverfolgung wegen tatsächlicher Hindernisse vorübergehend unmöglich ist.

Für die ehemalige Geschäftsleitung bedeutet das: Auch nach dem Ausscheiden aus der Einrichtung kann sie noch jahrelang dem Innenhaftungs-Risiko ausgesetzt sein, mit dem Insolvenzverwalter als Gegner. Insolvenzverfahren können die praktische Anspruchsverfolgung verlängern, hemmen die Verjährung aber nicht schon als solche. Eine Verlängerung der effektiven Verfolgungsdauer tritt erst ein, wenn ein gesetzlicher Hemmungstatbestand erfüllt ist — etwa Verhandlungen nach § 203 BGB, Rechtsverfolgungsmaßnahmen nach § 204 BGB oder die Hemmung nach § 206 BGB. Die bloße Sichtung von Unterlagen oder die Erstellung eines Sachverständigen-Gutachtens durch den Insolvenzverwalter genügt dafür nicht.

10.5 Konzern-Konstellationen

In Konzern-Strukturen verschiebt sich die Innenhaftung in zwei Richtungen, die in der Cyber-Praxis regelmäßig unterschätzt werden.

Erstens, die Tochter-Innenhaftung. Jede Konzern-Tochter ist eine eigene Rechtsperson, und ihre Geschäftsleitung schuldet ihrer eigenen Gesellschaft die volle Sorgfalt — auch dort, wo die Cyber-Strategie de facto von der Mutter vorgegeben oder zentralisiert wird. Ein Tochter-Geschäftsführer, der die zentral verordnete Cyber-Architektur als unzureichend erkennt und nicht eskaliert, verletzt seine Sorgfaltspflicht gegenüber seiner eigenen Tochter — auch wenn das im Konzern-Kontext politisch heikel ist. Die Innenhaftung der Tochter trifft ihn dann persönlich, unabhängig von der Mutter-Konzernpolitik.

Zweitens, die Mutter-Innenhaftung wegen unzureichender Konzern-Compliance. Die Mutter-Geschäftsleitung ist gegenüber der Mutter-Gesellschaft verpflichtet, die Konzern-Beteiligungen sorgfältig zu verwalten. Wenn ein Cyber-Vorfall in einer Tochter die Mutter wirtschaftlich substanziell trifft — über Wertberichtigungen, Reputations-Übertragung, Haftungs-Durchgriffe — kann die Mutter-Geschäftsleitung intern auf Schadensersatz in Anspruch genommen werden, sofern sie die Konzern-Cyber-Strategie sorgfaltswidrig gestaltet hat. Bei börsennotierten Konzern-Müttern kann § 91 Abs. 3 AktG [N-AktG-91] diese Pflicht verschärfen: Das interne Kontroll- und Risikomanagementsystem des Vorstands ist amtlich „im Hinblick auf den Umfang der Geschäftstätigkeit und die Risikolage des Unternehmens“ angemessen und wirksam einzurichten. Daraus kann folgen, dass wesentliche Cyber-Risiken aus Tochter- und Beteiligungsgesellschaften im Risikomanagementsystem der Mutter angemessen abgebildet werden müssen — eine pauschal konzernweite Cyber-Compliance-Pflicht der Mutter folgt nicht aus § 91 Abs. 3 AktG allein, sondern aus dem Zusammenspiel mit Beteiligungsverwaltung, Konzernleitung und konkreter Risikolage der Mutter.

In Cyber-Vorfällen, die in einer Konzern-Tochter ausgelöst werden und auf die Mutter durchschlagen, sind damit potenziell zwei Innenhaftungs-Ansprüche aktiviert — der eine zwischen Tochter und Tochter-Geschäftsleitung, der andere zwischen Mutter und Mutter-Geschäftsleitung. Die juristische Verflechtung ist regelmäßig komplex und sollte bei der Cyber-Compliance-Architektur von Anfang an mitgedacht sein.

10.6 Outsourcing der Cybersicherheit an externe Dienstleister

In der Mittelstands-Praxis ist die operative Cyber-Sicherheit häufig an externe Dienstleister ausgelagert — Managed Security Service Provider (MSSP), Managed Detection and Response (MDR), externe Incident-Response-Berater, Cloud-Provider mit Sicherheits-Funktionen. Diese Auslagerung ist nicht haftungsneutral; sie verändert die Sorgfaltsanforderungen an die Geschäftsleitung, hebt sie aber nicht auf.

Der Sorgfaltsmaßstab im Outsourcing-Kontext gliedert sich in drei Pflicht-Schichten: die sorgfältige Auswahl des Dienstleisters (Eignung, Zertifizierungen, Reputation, finanzielle Tragfähigkeit), die klare Anweisungsbefugnis und Vertragsgestaltung (Leistungsumfang, Sicherheits-Anforderungen, Berichtspflichten, Audit-Rechte, Haftungs-Regeln) und die laufende Überwachung der Dienstleister-Leistung (Reporting-Auswertung, Stichproben-Audits, Reaktion auf erkennbare Schwächen). Diese drei Pflichten sind in der gesellschaftsrechtlichen Sorgfaltspflicht der Geschäftsleitung verankert, in der BSIG-spezifischen Pflicht zur Lieferketten-Sicherheit nach § 30 Abs. 2 Nr. 4 BSIG sowie in der ordnungswidrigkeitenrechtlichen Aufsichtspflicht nach § 130 OWiG [N-OWiG-130].

Eine fehlerhafte Dienstleister-Auswahl, eine vertragliche Lücke oder ein Versagen der Überwachung kann die Innenhaftung der Geschäftsleitung auslösen — auch wenn die operative Sicherheits-Leistung durch den Dienstleister erbracht wird. Die Möglichkeit, den Dienstleister im Außenverhältnis in Regress zu nehmen, ersetzt den eigenen Sorgfalts-Beleg der Geschäftsleitung nicht. Sie kann aber für Schaden, Vorteilsausgleich, Kausalität oder wirtschaftliche Vergleichsüberlegungen relevant werden.

Praxis-Hinweis Outsourcing-Vertrag. Bei wesentlichem oder risikorelevantem Cyber- oder Cloud-Outsourcing ist ein Vertrag ohne konkrete Sicherheits-Niveau-Vereinbarungen (Service Level Agreements), Berichtspflichten, angemessene Kontroll-/Nachweisrechte und Haftungsregelung nicht nur betriebswirtschaftlich riskant, sondern kann haftungsrelevant werden. Ob eine Sorgfaltspflichtverletzung vorliegt, hängt von Kritikalität, Aufsichtsregime, Vertragsmodell, Scope, Carve-outs, Subservice-Organisationen, Risikoprofil und dokumentierter Auswertung ab. Angemessene Kontroll-, Nachweis-, Berichts- und Eskalationsmechanismen sind Voraussetzung der eigenen Überwachungsfähigkeit; sie können aber je nach Anbieter und Regime unterschiedlich ausgestaltet sein. Individuelle Audit-Rechte sind ein starkes Steuerungsinstrument; bei standardisierten Cloud-Anbietern können sie durch belastbare Prüfberichte, Zertifizierungen, vertragliche Informations- und Eskalationsrechte sowie deren dokumentierte Auswertung ersetzt oder ergänzt werden. Marktrealität bei Cloud-Providern: Bei Hyperscaler-Anbietern (AWS, Microsoft Azure, Google Cloud) werden individuelle Audit-Rechte häufig durch standardisierte Prüfberichte wie SOC-2-Type-II- oder ISAE-3402-Reports ersetzt. Diese Aussage ist als Marktbeobachtung zu verstehen und im konkreten Mandat durch Vertrag, Anbieterunterlagen oder Prüfbericht zu belegen. Akzeptabel ist nur der konkrete, dokumentiert geprüfte Report im passenden Scope. Die passive Annahme eines SOC-2-Reports ohne erkennbare Auseinandersetzung erfüllt die Überwachungspflicht nicht — ein ungelesener SOC-2-Report im Archiv enthaftet nicht. Wer im Innenhaftungs-Prozess seinen Sorgfalts-Beweis führen muss, kann ohne erkennbare Auseinandersetzung mit dem Report regelmäßig nicht darlegen, dass er die Dienstleister-Auswahl und -Überwachung ordnungsgemäß behandelt hat; die bloße Existenz des Reports im Archiv reicht als Beweismittel nicht.

11. Abgrenzungen zu anderen Haftungstypen

Die Innenhaftung steht in einem Geflecht anderer Haftungs- und Sanktionsschichten, die nicht miteinander verwechselt werden dürfen. Die folgende Übersicht stellt die sechs haftungspraktischen Abgrenzungsschienen gegenüber:

Tabelle: Die sechs Haftungs- und Sanktionsschichten im Vergleich

11.1 Außenhaftung gegenüber geschädigten Dritten

Die Außenhaftung gegenüber Dritten — Kunden, Lieferanten, Geschäftspartnern, betroffenen Personen — folgt nicht aus § 38 Abs. 2 BSIG [N-BSIG-38]. Sie folgt aus deliktischen Anspruchsgrundlagen und aus eigenständigen Schutzgesetzen. Drei Schichten sind im Cyber-Kontext praktisch relevant.

Erste Schicht: deliktische Haftung der Einrichtung. Im Regelfall haftet die Einrichtung selbst — nicht ihre Organe persönlich — nach § 823 Abs. 1 BGB (Verletzung absoluter Rechte), § 823 Abs. 2 BGB i.V.m. einem Schutzgesetz oder § 826 BGB [N-BGB-826] (vorsätzliche sittenwidrige Schädigung). Die Außenhaftung des Geschäftsleiters persönlich gegenüber Dritten ist die Ausnahme und kommt nur unter besonderen Voraussetzungen in Betracht — etwa bei deliktisch-eigenständigem Handeln, bei einer im Außenverhältnis gegenüber Dritten übernommenen persönlichen Garantie oder bei Verletzung eines unmittelbar gegenüber Dritten greifenden Schutzgesetzes. Auch für DSGVO [EU-DSGVO]-Betroffene gilt: Eine persönliche Außenhaftung der Geschäftsleitung gegenüber DSGVO-Betroffenen bleibt die Ausnahme und setzt eine eigenständige haftungsbegründende Stellung oder ein eigenes deliktisches Verhalten voraus. Art. 82 DSGVO richtet sich gegen Verantwortliche und Auftragsverarbeiter; bei organschaftlichem Handeln ist regelmäßig die Gesellschaft die Verantwortliche, nicht automatisch das einzelne Geschäftsleitungsmitglied persönlich. Die praktisch wichtigere Linie ist deshalb der Innenregress der Einrichtung, wenn diese selbst nach Art. 82 DSGVO in Anspruch genommen wird (siehe Abschnitt 5.3 oben).

Zweite Schicht: DSGVO Art. 82 — Schadensersatz bei Datenschutzverletzungen. Die Datenschutz-Grundverordnung enthält in Art. 82 Abs. 1 einen eigenständigen Schadensersatz-Anspruch jeder Person, der wegen eines Verstoßes gegen die DSGVO ein materieller oder immaterieller Schaden entstanden ist. Adressat dieses Anspruchs sind der Verantwortliche und gegebenenfalls der Auftragsverarbeiter — also primär die Einrichtung. Der Europäische Gerichtshof hat den Schadensbegriff in mehreren Urteilen aus 2023 und 2024 weit ausgelegt; Nach EuGH, Urteil vom 4. Oktober 2024 — C-200/23 [R-EuGH-C-200-23], Agentsia po vpisvaniyata, ECLI:EU:C:2024:827, CELEX:62023CJ0200, kann ein zeitlich begrenzter Verlust der Kontrolle der betroffenen Person über ihre personenbezogenen Daten einen immateriellen Schaden im Sinne von Artikel 82 Absatz 1 DSGVO verursachen, sofern diese Person nachweist, dass sie tatsächlich einen solchen Schaden – so geringfügig er auch sein mag – erlitten hat; ein Nachweis zusätzlicher spürbarer negativer Folgen ist nach dem Tenor nicht erforderlich.

Für die Cyber-Innenhaftung ist DSGVO Art. 82 deshalb relevant, weil Cyber-Vorfälle mit Datenexfiltration regelmäßig zu Massenklagen-Konstellationen führen können — viele Betroffene, jeweils geringer Einzelschaden, in Summe wirtschaftlich substanziell. In Deutschland verschärft sich dieses Risiko seit dem Verbraucherrechtedurchsetzungsgesetz (VDuG) vom 8. Oktober 2023 (BGBl. 2023 I Nr. 272), das die EU-Verbandsklagenrichtlinie umsetzt und qualifizierten Einrichtungen über § 1 VDuG die gebündelte Geltendmachung gleichartiger Verbraucher-Ansprüche im Wege der Abhilfeklage ermöglicht. Bei Datenleck-Konstellationen mit sehr großer Betroffenenzahl kann eine einzelne Verbandsklage in einem Worst-Case-Szenario wirtschaftlich erheblich werden; ob sie einer mittelgroßen Bußgeldentscheidung nahekommt, hängt von Betroffenenzahl, Schadensnachweis, gerichtlicher Bemessung, Zulässigkeit und Bündelung der Ansprüche, Vergleichsquote und Verteidigungskosten ab. Diese Formulierung ist Szenario-Risiko, keine Baseline.

Diese Schadensersatz-Zahlungen der Einrichtung an Dritte (Art. 82 DSGVO) können im Innenverhältnis einen ersatzfähigen Schaden bilden. Ist § 38 BSIG anwendbar und beruht die Datenschutzverletzung auf einer Verletzung von § 38 Abs. 1 BSIG, kann die § 38-Abs.-2-Brücke eine Rolle spielen; unabhängig davon kommt eine Innenhaftung nach den allgemeinen gesellschaftsrechtlichen Regeln des § 43 GmbHG [N-GmbHG-43] oder § 93 AktG [N-AktG-93] in Betracht — und zwar nach gesellschaftsrechtlichen Regeln, weil es sich nicht um eine behördliche Sanktion gegen die Einrichtung handelt, sondern um eine zivilrechtliche Schadensersatzpflicht gegenüber Dritten. Soweit die Datenschutzverletzung auf eine Sorgfaltspflicht-Verletzung der Geschäftsleitung zurückgeht und die Voraussetzungen (Pflichtverletzung, Schaden, Kausalität, Verschulden) erfüllt sind, kann diese Art-82-Schadensersatz-Schiene nach allgemeinen gesellschaftsrechtlichen Innenhaftungsregeln regressfähig sein — anders als die DSGVO-Bußgeld-Linie nach Art. 83, deren Regressfähigkeit höchstrichterlich nicht abschließend geklärt ist (siehe Abschnitt 11.2). Wer die DSGVO-Bußgeld-Linie aus Art. 83 separat betrachtet, übersieht diese parallele Schadensersatz-Schiene aus Art. 82 — die in Massenkonstellationen wirtschaftlich erheblich werden kann — ob sie gegenüber einer behördlichen Geldbuße wirtschaftlich schwerer wiegt, hängt von Betroffenenzahl, Schadensnachweis, Anspruchsbündelung, Vergleichsquote, Verteidigungskosten und der konkreten gerichtlichen Bemessung immaterieller Schäden ab, weil sie nicht behördlich gedeckelt, sondern individuell-additiv aufaddiert wird.

Dritte Schicht: Haftung der natürlichen Person Geschäftsleiter gegenüber Betroffenen. Eine direkte Haftung der Geschäftsleitung selbst gegenüber DSGVO-Betroffenen über § 823 Abs. 2 BGB i.V.m. einer DSGVO-Norm als Schutzgesetz kommt allenfalls in Ausnahmefällen in Betracht und ist dogmatisch sorgfältig zu begründen — die Schutzgesetz-Qualität einzelner DSGVO-Normen und die persönliche Geschäftsführer-Außenhaftung sind höchstrichterlich nicht abschließend geklärt und in der Lehre differenziert. Regelmäßig steht Art. 82 DSGVO gegen die verantwortliche Einrichtung bzw. den Auftragsverarbeiter im Vordergrund; die wirtschaftlich wichtigere Spur ist der Innenregress der Einrichtung gegen die Geschäftsleitung, wenn die Datenschutzverletzung auf eine zurechenbare Organpflichtverletzung zurückgeht. Wahrscheinlicher ist die mittelbare Wirkung über die zweite Schicht — die Einrichtung wird verurteilt und holt sich den Schaden im Innenverhältnis zurück.

Diese Abgrenzung ist wichtig, weil in der Diskussion häufig „die Haftung der Geschäftsleitung“ undifferenziert verwendet wird. Wer einen Cyber-Vorfall hat und in der Außenwirkung von „Haftung der Geschäftsleitung“ liest, denkt häufig an persönliche Klagen Geschädigter — die sind direkt rechtlich die Ausnahme. Die praktisch tragende Haftungsschicht ist die Innenhaftung gegenüber der eigenen Einrichtung — die aber genau die Art. 82-DSGVO-Zahlungen als weitergereichten Schaden trägt.

11.2 Verbandsgeldbuße nach § 65 BSIG

Die Verbandsgeldbuße nach § 65 BSIG [N-BSIG-65] ist eine öffentlich-rechtliche, ordnungswidrigkeitenrechtliche Sanktion gegen die Einrichtung — nicht gegen die natürliche Person. Sie wird durch die nach § 65 Abs. 10 BSIG zuständige Verwaltungsbehörde in einem Verwaltungsverfahren festgesetzt und trifft die Einrichtungs-Bilanz. Die Bußgeldhöhe ist nach § 65 BSIG tatbestandsabhängig gestaffelt; für die hier im Cyber-Pflichten-Kern besonders relevanten schweren Tatbestände ist vor allem die Pauschal-/Umsatzstufe maßgeblich:

• Pauschalbeträge nach § 65 Abs. 5 Satz 1 Nr. 1 BSIG: bis zu 10 Millionen Euro bei besonders wichtigen Einrichtungen (Buchstabe a), bis zu 7 Millionen Euro bei wichtigen Einrichtungen (Buchstabe b). Diese Höchstmaße gelten für die schweren Tatbestände des § 65 Abs. 2 Nr. 1 Buchstabe d (Zuwiderhandlung gegen vollziehbare Anordnungen nach § 35 oder § 36 Abs. 2 BSIG), Nr. 2 (Versäumnis der Risikomanagementmaßnahmen nach § 30), Nr. 3 (fehlende Dokumentation), Nr. 4 und 5 (fehlende oder verspätete Melde- bzw. Abschlussmeldung nach § 32) sowie Nr. 9 (versäumte Mitteilungen nach § 35). Für andere Tatbestände greifen die gestaffelten niedrigeren Höchstmaße der Nummern 2 bis 6 (5 Millionen Euro, 2 Millionen Euro, 1 Million Euro, 500 000 Euro beziehungsweise 100 000 Euro).
• Umsatzbezogene Höchstbeträge nach § 65 Abs. 6 und 7 BSIG: Bei besonders wichtigen Einrichtungen mit weltweitem Gesamtumsatz über 500 Millionen Euro kann abweichend von § 65 Abs. 5 Satz 1 Nr. 1 Buchstabe a BSIG — auch in Verbindung mit § 30 Absatz 2 Satz 2 OWiG — eine Geldbuße bis zu 2 Prozent des Gesamtumsatzes verhängt werden; bei wichtigen Einrichtungen mit Gesamtumsatz über 500 Millionen Euro kann abweichend von Buchstabe b — ebenfalls auch in Verbindung mit § 30 Absatz 2 Satz 2 OWiG — eine Geldbuße bis zu 1,4 Prozent des Gesamtumsatzes verhängt werden. Diese umsatzbezogene Stufe ersetzt für die einschlägigen schweren Tatbestände (§ 65 Abs. 2 Nr. 1 Buchst. d, Nrn. 2-5, 9 BSIG — Risikomanagement, Dokumentation, Meldungen, Mitteilungen, vollziehbare Anordnungen nach § 35 oder § 36 Abs. 2 BSIG) den Eurowert-Höchstbetrag aus Absatz 5 Satz 1 Nr. 1. Da 2 Prozent von mehr als 500 Millionen Euro automatisch über 10 Millionen Euro liegen (bzw. 1,4 Prozent über 7 Millionen Euro), führt die umsatzbezogene Stufe ab der Schwelle praktisch zu höheren Maximalbeträgen — sie ist aber dogmatisch kein „höherer von zwei Beträgen“, sondern ein abweichender Anwendungsbereich ab Überschreitung der 500-Millionen-Schwelle. Unterhalb der Schwelle bleibt es bei den Pauschalbeträgen aus § 65 Abs. 5 Satz 1 Nr. 1 BSIG.

Keine Halbierung bei Fahrlässigkeit in der schweren Pauschal-/Umsatzstufe: § 65 Absatz 9 BSIG nimmt § 17 Absatz 2 OWiG [N-OWiG-17] in den Fällen des Absatzes 5 Satz 1 Nummer 1 sowie der Absätze 6 und 7 ausdrücklich aus. Die allgemeine OWiG-Halbierungsregel für fahrlässiges Handeln reduziert die 10-/7-Millionen-Euro-Stufe und die 2-Prozent-/1,4-Prozent-Umsatzstufe daher nicht. Für die übrigen niedrigeren § 65-Absatz-5-Stufen bleibt die allgemeine OWiG-Systematik gesondert zu prüfen.

Bei einer Einrichtung mit 1 Milliarde Euro weltweitem Gesamtumsatz liegt die umsatzbezogene Höchstgrenze nach § 65 Abs. 6 BSIG bei 20 Millionen Euro — die abweichende Stufe ersetzt in dieser Konstellation den Eurowert-Höchstbetrag aus Absatz 5 Satz 1 Nr. 1 Buchstabe a vollständig.

Im Verhältnis zur Innenhaftung: Ob und in welchem Umfang eine gegen die Einrichtung verhängte Verbandsgeldbuße im Innenverhältnis als Schaden gegenüber der Geschäftsleitung regressfähig ist, ist rechtlich nicht abschließend geklärt. Die Frage hängt von Normzweck, Sanktionscharakter und dem jeweiligen Bußgeldregime ab. Im Kartellbußgeld-Bereich hat der BGH die Frage der Regressfähigkeit gegen Geschäftsleiter 2025 dem EuGH vorgelegt — es ist offen, ob ein Regress die unionsrechtlich gewollte abschreckende Wirkung der Verbandsgeldbuße beeinträchtigen könnte. Für BSIG- und DSGVO-Bußgelder gibt es bislang keine gesicherte höchstrichterliche Spezialrechtsprechung; eine Übertragung der Kartellbußgeld-Linie ist methodisch denkbar, aber rechtlich nicht entschieden. Konsequenz für die Praxis: Eine pauschale Annahme „BSIG-Bußgeld = ersatzfähiger Schaden im Innenverhältnis“ trägt nicht. Sicherer regressfähig können je nach Fall die Begleitschäden sein — Kosten der Rechtsverteidigung, Untersuchungs- und Sanierungskosten, Betriebsunterbrechungsschäden, Reputationsschäden oder sonstige Vermögensschäden — sofern Pflichtverletzung, Schaden, Kausalität und Verschulden im Einzelfall nachgewiesen sind. Verjährungs-Mechanik der Weitergabe (für regressfähige Schäden): Bei Regresspositionen, die aus Drittverbindlichkeiten oder behördlichen Sanktionen folgen, ist der Entstehungszeitpunkt des Innenhaftungs-Anspruchs gesondert zu bestimmen: Je nach Schadensposten und dogmatischer Einordnung kann der Anspruch bereits mit Belastung der Einrichtung, mit Rechtskraft eines Bescheids, mit bilanzieller Passivierung, mit Freistellungsbedarf oder erst mit Zahlung im Sinne der §§ 249 ff. BGB entstehen. Erst ab dem maßgeblichen Entstehungszeitpunkt beginnt die fünf- bzw. zehnjährige Verjährungsfrist nach § 43 Abs. 4 GmbHG bzw. § 93 Abs. 6 AktG. Damit kann sich die effektive Verfolgungsdauer der Geschäftsleitung über die 5/10-Jahres-Frist nach der ursprünglichen Pflichtverletzung hinaus erstrecken — ob diese Mechanik für das Bußgeld selbst greift, hängt aber von der noch offenen höchstrichterlichen Klärung der Regressfähigkeit ab.

Beispiel-Konstellation (mit Vorbehalt, siehe Folgehinweis). Cyber-Pflichtverletzung nach Inkrafttreten der neuen BSIG-Fassung, etwa im Januar 2026; BSI-Bußgeld gegen die Einrichtung wird 2030 festgesetzt, Bußgeld-Zahlung erfolgt 2031. Wann der Regress-Anspruch gegen die Geschäftsleitung im Sinne von § 200 BGB entsteht und damit die Verjährungsuhr in Gang setzt, ist nicht abschließend geklärt. Wird auf die Bußgeld-Zahlung abgestellt — die in der Praxis von Einrichtungen häufig vertretene Position —, liefe die Verfolgungsmöglichkeit bei einer GmbH je nach konkretem Zahlungstag bis in das Jahr 2036 und bei einer börsennotierten AG bis in das Jahr 2041. Diese Lesart ist verjährungsrechtlich nicht die für die Geschäftsleitung günstigste; sie verschiebt den Verjährungsbeginn nach § 200 BGB nach hinten und ist deshalb auf Verjährungsebene tendenziell einrichtungsfreundlich. Verjährungsrechtlich günstiger für die Geschäftsleitung wäre ein früherer Entstehungszeitpunkt; haftungsbegrenzend günstig wäre dagegen die Linie, dass vor Zahlung noch gar kein Regressanspruch entstanden ist (Anspruchsebene). Eine frühere Entstehungs-Lesart knüpft an die Rechtskraft des Bußgeldbescheides oder bereits an die Belastung mit der Verbindlichkeit an; bezogen auf die Beispielsdaten kann die Frist dann bereits im Jahr 2030 beginnen. Wer als Geschäftsleitung 2026 oder kurz nach dem Pflichtverstoß ausscheidet und sich auf den Ablauf der „fünf Jahre“ ab Pflichtverstoß verlässt, geht ein offenes Risiko ein — je nach Entstehungs-Lesart kann die Verjährungsuhr bereits mit Rechtskraft oder Belastung, in der Zahlungs-Lesart erst mit Bußgeld-Zahlung laufen.
Methodischer Folgehinweis. Organhaftungs-Ansprüche nach § 43 GmbHG und § 93 AktG verjähren nach amtlichem Wortlaut kenntnisunabhängig ab Entstehung des Anspruchs (§ 200 BGB). Wann ein Bußgeld-Regress-Anspruch dem Grunde nach entsteht, hängt vom konkreten Schadensposten ab und ist bei Verbandsgeldbußen mangels höchstrichterlicher Klärung umstritten — der Kartellsenat des BGH hat mit Beschluss vom 11. Februar 2025 — KZR 74/23, ECLI:DE:BGH:2025:110225BKZR74.23.0 — dem EuGH eine Vorlagefrage zu Art. 101 AEUV vorgelegt: Es geht darum, ob Art. 101 AEUV einer nationalen Organhaftungsregel entgegensteht, nach der eine juristische Person, gegen die eine nationale Wettbewerbsbehörde wegen eines durch ihr Leitungsorgan begangenen Art.-101-AEUV-Verstoßes ein Bußgeld verhängt hat, diesen Schaden vom Leitungsorgan ersetzt verlangen kann. Das Beispiel oben darf deshalb nicht als sicherer Mechanismus gelesen werden, sondern als Verteidigungs-Risiko-Bandbreite.

Prozessuale Warnung — Anspruchs- und Verjährungsebene auseinanderhalten. Wer als ausscheidende Geschäftsleitung nur „fünf Jahre ab Pflichtverstoß“ im Blick hat, übersieht die offene Entstehungsfrage bei Bußgeld-Regresspositionen. Wird der Regressanspruch erst mit der Zahlung des Bußgelds angenommen, beginnt die Verjährung später und die Verfolgungsmöglichkeit der Einrichtung reicht weiter. Wird der Anspruch bereits mit Rechtskraft des Bußgeldbescheids, verbindlicher Belastung oder bilanzieller Passivierung angenommen, entsteht der Anspruch früher; das kann der Einrichtung auf Anspruchsebene helfen, startet aber auch die Verjährungsuhr früher. Vorsorglich sollten beide Varianten (frühere und spätere Anspruchs-Entstehung) als Enthaftungs-Szenarien mitgedacht und die Schulungs- und Compliance-Dokumentation so gesichert werden, dass sie für beide Varianten verfügbar bleibt.

Wichtig zur Begriffs-Disziplin: Die Verbandsgeldbuße ist NICHT „Außenhaftung“. Sie ist eine öffentlich-rechtliche Sanktion gegen das Verband-Subjekt (die Einrichtung), nicht ein Schadensersatz-Anspruch eines außenstehenden Dritten gegen die Geschäftsleitung. Der gelegentlich in Sekundärquellen verwendete Begriff „Außenhaftung — Bußgeld“ verschleift diese juristische Differenzierung.

Zusammenspiel mit § 30 OWiG und § 130 OWiG

Neben der spezialgesetzlichen Verbandsgeldbuße nach § 65 BSIG existiert die allgemeine Verbandsgeldbuße nach § 30 OWiG [N-OWiG-30], die in Verbindung mit § 130 OWiG [N-OWiG-130] (Aufsichtspflichtverletzung) im Cyber-Kontext eine eigene Sanktions-Schiene bilden kann. Die Konstruktion ist mehrstufig: § 130 OWiG sanktioniert die Aufsichtspflichtverletzung der Leitungsperson persönlich, sofern eine betriebliche Zuwiderhandlung begangen wurde, die durch gehörige Aufsicht verhindert oder wesentlich erschwert worden wäre. § 30 OWiG kann daran anknüpfen, ist aber als „kann“-Geldbuße ausgestaltet und setzt zusätzlich voraus, dass eine zurechenbare Straftat oder Ordnungswidrigkeit einer Leitungsperson Pflichten des Verbandes verletzt oder den Verband bereichert hat bzw. zu bereichern bestimmt war. Die Verbandsgeldbuße nach § 30 OWiG folgt also nicht automatisch jeder § 130-Sanktion gegen den Geschäftsleiter — die Voraussetzungen sind eigenständig zu prüfen. Damit können im Umfeld derselben Cyber-Pflichtverletzung mehrere ordnungswidrigkeitenrechtliche Anknüpfungen relevant werden. Sauber zu trennen sind: (1) das persönliche § 130-OWiG-Bußgeld der Leitungsperson nach § 130 Abs. 3 OWiG (Satz 1: bis 1 Mio. Euro bei strafbedrohten Pflichtverletzungen; Satz 2: amtlicher Verweis „§ 30 Absatz 2 Satz 3 ist anzuwenden“; Satz 3: bei Ordnungswidrigkeits-Pflichtverletzungen Höchstmaß nach dem für die Zuwiderhandlung selbst angedrohten Höchstmaß; ob und in welchem Umfang die umsatzbezogenen Höchstbeträge aus § 65 Abs. 6 und Abs. 7 BSIG über § 130 Abs. 3 OWiG durchschlagen, ist höchstrichterlich nicht abschließend geklärt), (2) eine Verbandsgeldbuße gegen die Einrichtung nach § 30 OWiG, wenn eine Leitungsperson eine zurechenbare Straftat oder Ordnungswidrigkeit begeht, und (3) der jeweilige materielle Bußgeldtatbestand, etwa § 65 BSIG bzw. Art. 83 DSGVO. § 30 OWiG ist dabei regelmäßig Zurechnungs- und Verbandsgeldbußenmechanik, nicht automatisch eine zusätzliche, neben § 65 BSIG kumulierende Verbandsschiene für dieselbe Anknüpfungstat. Ob mehrere Verbandsgeldbußen nebeneinander in Betracht kommen, hängt von Anknüpfungstat, Handlungseinheit/Tatmehrheit, Sanktionssubjekt und Konkurrenzregeln ab. Die erste Schiene trifft die Geschäftsleitung unmittelbar persönlich; die beiden Verbandsschienen treffen zunächst die Einrichtung und werden für die Geschäftsleitung vor allem über Regress-, Organpflicht- und Verteidigungsfolgen relevant. Diese parallelen Schienen treffen wirtschaftlich teilweise dieselbe Pflichtverletzung — sie sind konstruktiv eigenständig und können bei unterschiedlichen Verstößen, unterschiedlichen Verhaltensweisen oder unterschiedlichen Sanktionssubjekten nebeneinander verfolgt werden. Für denselben datenschutzrelevanten Sachverhalt enthält § 65 Absatz 11 BSIG jedoch eine ausdrückliche Doppelbußgeld-Sperre: Hat eine nach Artikel 55 oder 56 DSGVO zuständige Aufsichtsbehörde wegen desselben Verhaltens bereits eine Geldbuße nach Artikel 58 Absatz 2 Buchstabe i DSGVO verhängt, darf keine weitere Geldbuße nach dem BSIG für denselben Verstoß verhängt werden. § 65 BSIG und Art. 83 DSGVO sind damit nicht beliebig kumulativ.

Konkurrenz-Hinweis § 19 OWiG. Soweit dieselbe Handlung mehrere Bußgeldtatbestände verwirklicht (Tateinheit), wird nach § 19 Abs. 1 OWiG nur eine einzige Geldbuße festgesetzt; nach § 19 Abs. 2 OWiG richtet sich die Bußgeldhöhe nach dem Gesetz mit der höchsten Bußgeldandrohung. Praktisch bedeutet das: Wenn die persönliche Aufsichtspflichtverletzung nach § 130 OWiG und ein nach § 65 BSIG sanktionsbedrohter Verstoß auf derselben Handlung der Leitungsperson beruhen, ist gegen die Person nicht in jedem Fall eine kumulative Buße zu erwarten; die Verbandsgeldbuße gegen die Einrichtung nach § 30 OWiG / § 65 BSIG bleibt davon unberührt, weil sie ein anderes Sanktionssubjekt trifft. Trifft Tatmehrheit zu (§ 20 OWiG), bleibt es bei gesonderter Festsetzung je Tat. Bei Zusammentreffen von Straftat und Ordnungswidrigkeit greift § 21 OWiG: dann verdrängt das Strafgesetz die Ordnungswidrigkeit; eine Ahndung als Ordnungswidrigkeit kommt nur in Betracht, wenn keine Strafe verhängt wird.

11.3 Tätigkeitsverbot nach § 61 Abs. 9 BSIG und § 62 BSIG

Das Tätigkeitsverbot nach § 61 Abs. 9 Satz 2 Nr. 2 BSIG ist eine aufsichtsrechtliche Maßnahme, die nach § 61 BSIG [N-BSIG-61] unmittelbar bei besonders wichtigen Einrichtungen greift; bei wichtigen Einrichtungen kann § 62 BSIG [N-BSIG-62] die Maßnahmen nach § 61 BSIG nur anlassbezogen eröffnen, wenn Tatsachen die Annahme rechtfertigen, dass Verpflichtungen nach § 30 Abs. 1 Satz 1, § 32 Abs. 1 bis 3 oder § 38 Abs. 3 BSIG nicht oder nicht richtig umgesetzt werden. Ob die Schiene im Einzelfall greift, ist zusätzlich mit den § 28-BSIG-Ausnahmen abzugleichen. Wenn die Einrichtung den Anordnungen des Bundesamtes trotz Fristsetzung nicht nachkommt, kann die zuständige Aufsichtsbehörde auf Mitteilung des Bundesamtes als letztes Mittel der unzuverlässigen Geschäftsleitung die Ausübung ihrer Tätigkeit vorübergehend untersagen. Es ist weder ein Schadensersatz noch ein Bußgeld, sondern eine konkret-mandatsbezogene Untersagung. Es trifft die Person, nicht die Einrichtung, anders als die Verbandsgeldbuße. Es trifft die persönliche Berufsausübungs-Freiheit, nicht das Privatvermögen, anders als die Innenhaftung. Es ist nur solange zulässig, bis die Einrichtung den Anordnungen nachkommt, wegen deren Nichtbefolgung es ausgesprochen wurde — also kein dauerhaftes Berufsverbot im strafrechtlichen Sinne.

11.4 Straf- und ordnungswidrigkeitenrechtliche Verantwortung

Die straf- und ordnungswidrigkeitenrechtliche Verantwortung der Geschäftsleitung folgt eigenen Tatbeständen, die konstruktiv von der zivilrechtlichen Innenhaftung getrennt sind. § 130 OWiG ist dabei keine Strafnorm, sondern eine Ordnungswidrigkeit nach dem OWiG; § 266 StGB [N-StGB-266] ist eine echte Strafnorm. Zwei Tatbestände sind im Cyber-Kontext praktisch relevant:

• § 130 OWiG (Aufsichtspflichtverletzung): Wer als Inhaber eines Unternehmens vorsätzlich oder fahrlässig die Aufsichtsmaßnahmen unterlässt, die erforderlich sind, um in dem Unternehmen Zuwiderhandlungen gegen Pflichten zu verhindern, handelt ordnungswidrig. Bei juristischen Personen wie GmbH, AG und SE trifft § 130 OWiG die Geschäftsleitungsmitglieder nicht unmittelbar als „Inhaber“, sondern über die Zurechnungsbrücke des § 9 Abs. 1 Nr. 1 OWiG (vertretungsberechtigtes Organ oder Mitglied eines solchen Organs). Prokuristen, Generalbevollmächtigte und sonstige Beauftragte können nach § 9 Abs. 2 OWiG ebenfalls erfasst sein, wenn sie zur Betriebs- oder Teilbetriebsleitung beauftragt sind oder ausdrücklich in eigener Verantwortung Aufgaben des Inhabers wahrnehmen; andernfalls ist ihre Einbindung vor allem Teil der Aufsichts- und Organisationspflicht der Geschäftsleitung selbst. § 130 Abs. 3 OWiG baut seine Systematik für Bußgelder im Wesentlichen über die ersten drei seiner vier Sätze auf (Satz 4 enthält eine Sonderregel für die Kollision von Straf- und Bußgeldhöchstmaßen): Satz 1 setzt das Höchstmaß bei einer Million Euro an, wenn die Zuwiderhandlung mit Strafe bedroht ist; Satz 2 enthält den amtlichen Verweis „§ 30 Absatz 2 Satz 3 ist anzuwenden“ (dieser Verweis übernimmt für § 130 OWiG eine Höchstmaßregel aus § 30 Abs. 2 OWiG, koppelt aber nicht die OWiG-Haftung selbst an die Verbandsgeldbuße); Satz 3 koppelt das Höchstmaß bei Ordnungswidrigkeits-Pflichtverletzungen an das für die Zuwiderhandlung selbst angedrohte Höchstmaß — bei NIS-2-Verstößen im Sinne des § 65 BSIG [N-BSIG-30] damit jedenfalls im Bereich des dort angedrohten Bußgeldrahmens. Ob und in welchem Umfang die umsatzbezogenen Höchstbeträge aus § 65 Abs. 6 und Abs. 7 BSIG über § 130 Abs. 3 OWiG auf die persönliche Aufsichtspflichtverletzung durchschlagen, ist höchstrichterlich nicht abschließend geklärt. § 130 OWiG kann bei systematisch unzureichender Cyber-Compliance einschlägig sein.
• § 266 StGB (Untreue): Bei vorsätzlicher Verletzung einer Vermögensbetreuungspflicht mit zurechenbarem Vermögensnachteil für die Einrichtung kann der Untreue-Tatbestand in Betracht kommen; bloß vorsätzliche Cyber-Compliance-Fehlsteuerung genügt dafür nicht ohne die weiteren objektiven und subjektiven Tatbestandsmerkmale des § 266 StGB. In der Cyber-Praxis selten, aber möglich bei systematischer Vernachlässigung trotz erkennbaren Risikos.

Die straf- und ordnungswidrigkeitenrechtliche Verantwortung ist konstruktiv und tatbestandlich von der zivilrechtlichen Innenhaftung getrennt. Wer ein Strafverfahren hat, hat noch keine Innenhaftung — und umgekehrt; die Voraussetzungen sind unterschiedlich, die Beweisstandards sind unterschiedlich, die Folgen sind unterschiedlich. In der Praxis können beide Schichten parallel laufen.

12. Was du als Geschäftsleitung praktisch tun kannst

Aus der Innenhaftungs-Konstruktion ergeben sich — soweit § 30 und § 38 BSIG auf die konkrete Einrichtung anwendbar sind — fünf konkrete praktische Konsequenzen. Vorgelagert gehört als Schritt 0 eine Melde- und Regime-Mapping-Architektur dazu: Betroffenheit und Ausnahmen nach § 28/§ 37 BSIG [N-BSIG-37], zuständiger Meldekanal, § 32-BSIG-Fristen (24 Stunden / 72 Stunden / Abschlussmeldung), parallele DSGVO [EU-DSGVO]-Meldungen und Eskalationsbefugnisse müssen vor dem Vorfall dokumentiert und geübt sein. In ausgenommenen TK-, Energie- oder DORA-Konstellationen nach § 28 Absatz 5 und Absatz 6 BSIG [N-BSIG-28] bleiben vergleichbare Dokumentations- und Überwachungspflichten über das jeweilige Spezialregime und über die allgemeine Sorgfaltspflicht aus § 43 GmbHG [N-GmbHG-43] / § 93 AktG [N-AktG-93] relevant, laufen dann aber nicht über die spezifische § 38 Absatz 2 BSIG [N-BSIG-38]-Brücke. Die folgenden Schritte sind daher ein Praxisprogramm für jede Geschäftsleitung im Sinne des § 2 Nummer 13 BSIG [N-BSIG-2-13] einer von NIS-2 erfassten Einrichtung, soweit § 38 BSIG auf diese Einrichtung anwendbar ist. Nicht jeder Schritt ist eine eigenständige § 38-Abs.-2-BSIG-Pflicht; einige Schritte dienen vor allem der Erfüllung, Überwachung und Beweisbarkeit der Pflichten aus § 38 Abs. 1 BSIG sowie der allgemeinen gesellschaftsrechtlichen Sorgfalt. Sie sind in der CyberSchutzEngel-Sprechweise zusammen als „persönliche Enthaftung“ benannt — gemeint ist eine Verteidigungs- und Beweisarchitektur, mit der Innenhaftungsrisiken dokumentiert reduziert und im Einzelfall abgewehrt werden können, nicht eine garantierte Haftungsfreiheit. Sie spiegeln die fünf Anforderungs-Cluster des Sorgfaltsmaßstabs aus Abschnitt 6 in operativ-dokumentierte Schritte.

Tabelle: Schritt 0 plus fünf Verteidigungsbausteine zur persönlichen Enthaftungs-Dokumentation

Die fünf Verteidigungsbausteine im Einzelnen:

1. Risikoerkennung und Risikobewertung dokumentieren. Schreibe auf, welche Cyber-Risiken in deiner Einrichtung identifiziert wurden, mit welcher Methodik, mit welcher Frequenz die Risikobewertung aktualisiert wird, wer beteiligt ist. Ohne diese Dokumentation wird der Entlastungsbeweis im Innenhaftungs-Prozess erheblich erschwert; andere Beweismittel — Zeugenaussagen, externe Gutachten, E-Mail-Verläufe, Systemlogs, Anbieterreports — können im Einzelfall helfen, sind aber weniger planbar und häufig schwächer als eine fortlaufende, entscheidungsnahe Compliance-Dokumentation. Kannst du nicht belegen, dass du die Risiken kanntest und bewertet hattest, trifft dich die Beweislast praktisch besonders hart. Bei der GmbH ist diese Dokumentation besonders wichtig, weil die Beweislastumkehr aus § 93 Abs. 2 Satz 2 AktG analog angewendet wird, ohne dass es einen expliziten Gesetzes-Wortlaut gibt — was im Streitfall heißt: Ohne Dokumentation wird der Entlastungsbeweis erheblich erschwert und muss mit weniger planbaren Ersatzbeweismitteln geführt werden.

2. Maßnahmen-Umsetzung und Überwachung dokumentieren. Welche der zehn Mindestmaßnahmen aus § 30 Abs. 2 BSIG [N-BSIG-30] sind umgesetzt? Wer hat die Umsetzung beauftragt? Welche Berichte gibt es zur Wirksamkeit? Welche kritischen Auseinandersetzungen mit den Berichten sind dokumentiert? Diese Belege sind im Streitfall dein Beweismittel. Gerade die Überwachungs-Dokumentation ist oft schwächer als die Umsetzungs-Dokumentation — Reportings ohne sichtbare Auseinandersetzung der Geschäftsleitung mit dem Inhalt tragen nicht, weil sie nur belegen, dass berichtet wurde, nicht aber dass die Geschäftsleitung den Bericht gewürdigt hat. Beweislast-Relevant ist auch die negative Überwachung: Wenn ein CISO-Bericht oder ein Audit-Befund keine Folge-Maßnahmen ausgelöst hat, muss in der Dokumentation begründet sein, warum die Geschäftsleitung das Risiko als hinnehmbar bewertet hat. Eine unbegründet abgelegte Risiko-Meldung kann im Innenhaftungs-Prozess ein starkes Indiz für eine Sorgfaltsverletzung sein, auch wenn der Vorfall am Ende anders eintrat; entscheidend bleibt, ob die damalige Nichtreaktion ex ante vertretbar dokumentiert war.

3. Eigene Schulung und Auseinandersetzung dokumentieren. Die Schulungspflicht nach § 38 Abs. 3 BSIG ist zwar nicht direkt haftungsbegründend, aber sie ist Beweismittel für die Erfüllung des Sorgfaltsmaßstabs. Wer als Geschäftsleiter dokumentieren kann, dass er sich regelmäßig zu Cyber-Risiken hat schulen lassen, hat einen wichtigen Baustein für die Verteidigung im Streitfall.

4. Compliance-System dokumentieren. Über die einzelnen Maßnahmen hinaus muss die Cyber-Compliance als organisationale Klammer dokumentiert sein — die Neubürger [R-Neubuerger]-Linie aus § 43 GmbHG / § 93 AktG und bei börsennotierten AGs § 91 Abs. 3 AktG [N-AktG-91] verlangt eine zugewiesene Verantwortlichkeit (CISO, Informationssicherheits-Beauftragter, Datenschutz-Beauftragter), dokumentierte Richtlinien und Verfahren, regelmäßige Wirksamkeits-Audits, dokumentierte Reaktionen auf Audit-Befunde sowie eine eskalations-fähige Berichts-Linie an die Geschäftsleitung. Allein die Existenz einer Compliance-Funktion reicht nicht — sie muss arbeiten, berichten und nachverfolgbar von der Geschäftsleitung gewürdigt werden. Eine Geschäftsleitung, die Compliance-Berichte ohne erkennbare Auseinandersetzung zur Kenntnis nimmt oder Audit-Befunde unbeantwortet lässt, hat das Compliance-System nicht im Neubürger-Sinn dokumentiert, sondern nur formal aufgebaut.

5. Versicherbarkeit der D&O-Konstruktion prüfen. Lass deinen Versicherungsmakler die aktuellen Markt-Anforderungen prüfen. Ein D&O-Vertrag, der vor zehn Jahren geschlossen wurde und seitdem nicht aktualisiert wurde, deckt die heutige Cyber-Innenhaftungs-Realität möglicherweise nicht. Versicherbarkeits-Checks vor Vertragsabschluss oder -verlängerung sind in der gegenwärtigen Marktpraxis ein gängiges Instrument, mit dem die eigene Compliance-Architektur gegen Versicherer-Anforderungen abgeglichen wird. Beim Ausscheiden aus einem Mandat: Verhandle explizit über die Länge der persönlichen Nachmeldefrist im D&O-Vertrag. Typische Nachmeldefristen liegen je nach Police häufig im Bereich von drei bis sechs Jahren, bei Vorstands- und Aufsichtsrats-Mandaten größerer Gesellschaften gelegentlich länger — bei langjährigen Mandaten oder hohem Cyber-Risikoprofil kann eine deutlich längere Nachhaftungs-Frist sinnvoll sein, weil Innenhaftungs-Inanspruchnahmen nach dem oben dargestellten Verjährungs-Mechanismus (insbesondere bei Bußgeld-Regress) erst Jahre nach Mandats-Ende eintreten können.

Die CyberSchutzEngel-Marken-DNA fasst diese fünf Punkte unter der Maxime der persönlichen Enthaftung zusammen: Eine Geschäftsleitung, die alle fünf Punkte dokumentiert und mit nachweisbarer Praxis unterlegt hat, hat in einem späteren Innenhaftungs-Prozess deutlich bessere Verteidigungs-Substanz. Eine Geschäftsleitung, die das nicht hat, bleibt beweisbelastet und muss ihre Entlastung mit anderen, häufig schwächeren Beweismitteln führen — eine deutlich ungünstigere Position.

Verteidigung im laufenden Innenhaftungs-Prozess — fünf Praxis-Punkte

Sollte trotz aller Vorsorge ein Innenhaftungs-Vorwurf in den Raum gestellt sein, sind fünf Verteidigungs-Schritte zeitkritisch und prägen die Ausgangslage des Verfahrens.

Erstens, sofortiger anwaltlicher Rat mit Cyber- und D&O-Spezialisierung. Die Innenhaftung im Cyber-Kontext ist juristisch komplex und entwickelt sich rechtsprechungs-aktiv weiter (siehe BGH IV ZR 66/25 [R-IV-ZR-66-25] zum D&O-Wissentlichkeits-Ausschluss). Der erste anwaltliche Schritt sollte ein Berater mit Erfahrung in Cyber-, Versicherungs- und Gesellschaftsrecht sein — diese Schnittstellen-Kompetenz ist nicht in jedem Wirtschaftsstrafrechts- oder Wirtschaftszivilrechts-Mandat selbstverständlich.

Zweitens, unverzügliche Anzeige der Inanspruchnahme (Anzeigeobliegenheit). Die Allgemeinen Versicherungsbedingungen der D&O-Verträge regeln diese Pflicht typischerweise als Anzeigeobliegenheit. In Cyber-Konstellationen sollte daneben ausdrücklich die getrennte Anzeige- und Mitwirkungslogik der Cyber-/Eigenschadenversicherung, Vertrauensschaden-, Betriebsunterbrechungs- oder IT-Dienstleisterdeckung geprüft werden: Eine versäumte oder widersprüchliche Anzeige gegenüber dem falschen Risikoträger kann Deckungsstreit, Liquiditätslücke und späteren Innenhaftungsvorwurf auslösen. Wer diese Frist versäumt oder unklar erfüllt, riskiert Deckungs-Probleme — auch wenn der materielle Anspruch begründet erscheint. Die Anzeige sollte schriftlich, mit Datumsbeleg, und vor inhaltlicher Stellungnahme erfolgen.

Drittens, vollständige Beweismittel-Sicherung. Die Beweislast trifft im Innenhaftungs-Prozess die Geschäftsleitung beim Sorgfaltsmaßstab (Abschnitt 7). Vollständige Sicherung der eigenen Compliance-Dokumentation — Risikobewertungen, Maßnahmen-Berichte, Schulungsnachweise, dokumentierte Auseinandersetzungen mit CISO-Berichten, Sitzungs-Protokolle — ist deshalb der praktische Schlüssel. Diese Sicherung sollte auch persönliche Dokumente einschließen, soweit sie eigene Sorgfalts-Akte belegen (E-Mail-Archive, Notizen, Schulungs-Bestätigungen). Eine spätere Rekonstruktion ist schwer.

Viertens, Differenzierung zwischen Innenhaftungs-Verteidigung und D&O-Deckungs-Verteidigung. Diese zwei Linien folgen unterschiedlichen Logiken und können sogar gegeneinander stehen. Im Innenhaftungs-Prozess will man Sorgfaltsmaßstab-Einhaltung belegen. Im D&O-Deckungs-Verfahren will man zeigen, dass die behauptete Pflichtverletzung nicht wissentlich (im AVB-Sinn) war. Diese Linien sollten von Anfang an strategisch koordiniert geführt werden, idealerweise mit getrennten Anwälten.

Fünftens, frühzeitige Vergleichs-Sondierung mit Augenmaß. Innenhaftungs-Prozesse dauern oft mehrere Jahre, sind öffentlich sichtbar und binden Aufmerksamkeit. Ein früh ausgeloteter Vergleich kann wirtschaftlich vernünftig sein — er ist aber bei der AG nach § 93 Abs. 4 Satz 3 AktG für drei Jahre nach Anspruchs-Entstehung gesperrt und an die Zustimmung der Hauptversammlung gebunden, mit einer Minderheits-Widerspruchs-Hürde von einem Zehntel des Grundkapitals; § 93 Abs. 4 Satz 4 AktG lässt die zeitliche Beschränkung nur entfallen, wenn der Ersatzpflichtige zahlungsunfähig ist und sich zur Abwendung des Insolvenzverfahrens mit seinen Gläubigern vergleicht oder wenn die Ersatzpflicht in einem Insolvenzplan geregelt wird (Abschnitt 10.2). Diese Schwelle nimmt einen frühen Vergleich oft tatsächlich vom Tisch — was im Übrigen bewusst so konstruiert ist und die Bedeutung der Verteidigungs-Substanz unterstreicht.

Die Folgen-Dimension jenseits des Vermögens

Eine Innenhaftungs-Konstellation greift nicht nur auf das Privatvermögen zu, sondern hat weitere Dimensionen, die in der praktischen Mandatswirklichkeit ebenfalls bedeutsam werden. Ein Innenhaftungs-Prozess kann mehrere Jahre dauern; zwei bis fünf Jahre sind als anwaltliche Erfahrungsbandbreite zu kennzeichnen und hängen von Instanzenzug, Sachverständigenbedarf, D&O-Deckungsstreit, Insolvenzkontext und Vergleichsbereitschaft ab. In dieser Zeit bindet er Aufmerksamkeit, finanzielle Mittel für die eigene Verteidigung, und er ist öffentlich sichtbar — Handelsregister-Eintragungen zum Ausscheiden, Berichterstattung in Wirtschaftspresse bei größeren Vorfällen, Sichtbarkeit gegenüber anderen Mandaten als Aufsichtsrat, Beirat oder Geschäftsführer in anderen Gesellschaften. Wer ein offenes Innenhaftungs-Verfahren hat, wird in vielen Fällen aus weiteren Mandaten ausscheiden müssen, weil die D&O-Versicherer auch dort die Versicherbarkeit infrage stellen. Die mentale Belastung — Sorge um das Privatvermögen, um die Familie, um den eigenen Lebensentwurf — ist eine reale Folge-Dimension, die im Gespräch mit Geschäftsleitern, die ein solches Verfahren durchlaufen, regelmäßig offen ausgesprochen wird. Compliance vor dem Vorfall hat damit nicht nur die juristische Funktion der Beweislast-Umkehrung, sondern auch die Schutzfunktion gegenüber einer mehrjährigen Lebens-Disruption.

13. Kurzantworten auf die 24 Lese-Fragen

1. Was ist die Innenhaftung? Die zivilrechtliche Haftung der Geschäftsleitung gegenüber der eigenen Einrichtung für schuldhaft verursachte Schäden; sie greift auf das Privatvermögen zu. § 38 Abs. 2 BSIG verklammert die allgemeine gesellschaftsrechtliche Innenhaftung (§ 43 GmbHG, § 93 AktG) ausdrücklich mit der Cyber-Pflichtenwelt des BSIG.
2. Schafft § 38 Abs. 2 BSIG eine eigene Haftung? Im Regelfall ist sie eine Verweisungsnorm auf das Gesellschaftsrecht der jeweiligen Rechtsform; materielle Anspruchsgrundlage ist § 43 GmbHG bzw. § 93 AktG. § 38 Abs. 2 Satz 2 BSIG enthält eine Auffanghaftung nur für Rechtsformen ohne eigene gesellschaftsrechtliche Haftungsregelung.
3. Knüpft die Haftungsbrücke an alle Pflichten des § 38 BSIG an? Nein. Sie knüpft amtlich nur an Pflichten nach Absatz 1 an (Umsetzen und Überwachen der Risikomanagementmaßnahmen). Die Schulungspflicht aus Absatz 3 fällt nicht unter die Brücke; sie wirkt nur mittelbar über den allgemeinen Sorgfaltsmaßstab.
4. Wer ist Adressat? Die Geschäftsleitung im Sinne des § 2 Nummer 13 BSIG: GmbH-Geschäftsführer (§ 35 GmbHG), AG-Vorstand (§ 76 AktG), geschäftsführende Direktoren der monistischen SE (§ 40, § 41 SEAG), vertretungsberechtigte Gesellschafter und Organmitglieder. Die allgemeine gesellschaftsrechtliche Haftungsspur läuft nicht automatisch über § 2 Nr. 13 BSIG.
5. Wer macht den Anspruch geltend? Die Einrichtung selbst — bei der AG vertreten durch den Aufsichtsrat (§ 112 AktG), bei der GmbH über die Gesellschafterversammlung (§ 46 Nummer 8 GmbHG). Im Insolvenzfall übt der Insolvenzverwalter das Recht aus (§ 80 InsO); bei der AG können unter den Voraussetzungen des § 93 Abs. 5 AktG auch Gläubiger und über § 148 AktG eine Aktionärsminderheit verfolgen.
6. Welche Voraussetzungen muss der Tatbestand erfüllen? Pflichtverletzung, Verschulden (Vorsatz oder Fahrlässigkeit nach § 276 BGB), Schaden und Kausalität; prozessual tritt die Beweislast-/Entlastungsfrage hinzu. Eine verschuldensunabhängige Erfolgshaftung für Cyber-Vorfälle besteht nicht.
7. Was ist der Sorgfaltsmaßstab? Bei der GmbH der „ordentliche Geschäftsmann“ (§ 43 Abs. 1 GmbHG), bei der AG der „ordentliche und gewissenhafte Geschäftsleiter“ (§ 93 Abs. 1 AktG) — jeweils objektiviert. Im Cyber-Kontext konkretisiert er sich in fünf Clustern: Risiko-Kenntnis, Maßnahmen-Adäquanz, Überwachung, Reaktionsfähigkeit und Compliance-System.
8. Was bedeutet die Beweislastumkehr? Nach § 93 Abs. 2 Satz 2 AktG muss das Vorstandsmitglied beweisen, dass es die Sorgfalt eines ordentlichen und gewissenhaften Geschäftsleiters angewandt hat. Bei der GmbH wendet der BGH eine spiegelbildliche Verteilung an (BGH II ZR 140/20): Die Gesellschaft trägt Pflichtenkreis und Schaden, der Geschäftsführer die Entlastung. Die Kausalität liegt grundsätzlich bei der Einrichtung.
9. Gibt es ein Haftungshöchstmaß? Nein. Anders als die Verbandsgeldbuße nach § 65 BSIG kennen § 43 GmbHG und § 93 AktG keine Höchstgrenze; die Geschäftsleitung haftet im Rahmen ihres Verschuldens für den vollen Schaden — bei Cyber-Vorfällen schnell zweistellige, in Konzernverhältnissen dreistellige Millionenbeträge.
10. Wo greift dann überhaupt Schutz? Nicht auf der Haftungs-, sondern auf der Vollstreckungs- und Insolvenzebene: über den Pfändungsschutz (insbesondere § 850c ZPO) und die Restschuldbefreiung nach § 286 InsO. § 302 InsO nimmt jedoch Forderungen aus vorsätzlich begangener unerlaubter Handlung sowie Geldstrafen und Geldbußen aus — eine schrankenlose Vollstreckbarkeit folgt aus der unbegrenzten Anspruchshöhe gerade nicht.
11. Welche Rolle spielt die D&O-Versicherung? Sie ist Risiko-Transfer für Innenhaftungs- und Regressansprüche und tritt wirtschaftlich zwischen Schaden und Privatvermögen. Sie trägt nicht die Verbandsgeldbuße der Einrichtung und deckt regelmäßig fahrlässig verursachte Schäden; ob sie im Einzelfall leistet, hängt vom konkreten Bedingungswerk ab.
12. Was besagt der Wissentlichkeitsausschluss nach BGH IV ZR 66/25? Die AVB-Wissentlichkeit ist nicht mit dem zivilrechtlichen Vorsatz nach § 276 BGB gleichzusetzen. Der Ausschluss nach Ziffer 6 ULLA setzt positive Kenntnis gerade der konkret haftungsauslösenden Pflichtverletzung voraus; bedingter Vorsatz, fahrlässige Unkenntnis, bewusstes Sich-Verschließen oder ein Schluss aus einer anderen Pflichtverletzung genügen nicht. Die Beweislast trägt der Versicherer.
13. Was gilt zum Selbstbehalt? Nach § 93 Abs. 2 Satz 3 AktG muss eine von der Gesellschaft abgeschlossene D&O-Versicherung für Vorstandsmitglieder einen Selbstbehalt von mindestens 10 Prozent des Schadens bis mindestens zur Höhe des Eineinhalbfachen der festen jährlichen Vergütung vorsehen. Das ist eine gesetzliche Mindest-, keine Höchstgrenze; bei GmbH-Geschäftsführern besteht kein gesetzlicher Pflichtselbstbehalt.
14. Was bedeuten Claims-made und Nachmeldefrist? D&O-Verträge sind in der deutschen Marktpraxis typischerweise Claims-made-Deckungen; geschützt sind regelmäßig während der Vertragslaufzeit erhobene Inanspruchnahmen. Für ausgeschiedene Organe ist die Nachmeldefrist zentral. BGH IV ZR 151/23 hat eine insolvenzbezogene AVB-Klausel zum automatischen Vertragsende ohne Beachtung der Mindestkündigungsfrist aus § 11 Abs. 1 und 3 VVG für unwirksam erklärt. Der konkrete Police-Wortlaut entscheidet.
15. Wie wird die Schulungspflicht aus § 38 Abs. 3 BSIG haftungsrelevant? Nicht über die Brücke des Absatzes 2, sondern mittelbar: Eine ungeschulte Geschäftsleitung, die Cyber-Risiken nicht erkennt, die sie bei ordnungsgemäßer Schulung hätte erkennen müssen, verletzt dadurch ihre Pflichten aus Absatz 1 bzw. den allgemeinen Sorgfaltsmaßstab nach § 43 GmbHG / § 93 AktG.
16. Greift die Innenhaftung auch ohne NIS-2-Pflicht? Ja. Über die Neubürger-Linie (LG München I 5 HK O 1387/10; OLG Nürnberg 12 U 1520/19) kann sich aus § 43 GmbHG bzw. § 93 AktG eine Pflicht zu angemessenen Cyber-Organisations- und Kontrollstrukturen ergeben; Art. 32 DSGVO greift unabhängig von den § 28-Schwellen. Die Tiefe richtet sich nach dem konkreten Risikoprofil.
17. Welche flankierenden Krisenfrüherkennungspflichten bestehen? § 91 Abs. 2 AktG (Risikofrüherkennung bei der AG), § 1 StaRUG (rechtsformübergreifend für haftungsbeschränkte Träger, auch GmbH) und § 91 Abs. 3 AktG (internes Kontroll- und Risikomanagementsystem börsennotierter AGs). Cyber-Risiken können bestandsgefährdend sein; das ist einzelfallabhängig und keine pauschale Annahme.
18. Wie lange ist die Verjährung? GmbH: fünf Jahre (§ 43 Abs. 4 GmbHG). AG: zehn Jahre bei zum Zeitpunkt der Pflichtverletzung börsennotierten Gesellschaften, sonst fünf Jahre (§ 93 Abs. 6 AktG, FISG-Fassung seit 1.1.2022). Genossenschaft: fünf Jahre (§ 34 Abs. 6 GenG). § 15b-InsO-Ansprüche haben eine eigene Frist (§ 15b Abs. 7 InsO).
19. Beginnt die Verjährung erst mit Kenntnis? Nein. § 43 Abs. 4 GmbHG und § 93 Abs. 6 AktG knüpfen über § 200 BGB an die Entstehung des Anspruchs an, nicht an die Kenntnis; das Kenntnis-Prinzip des § 199 BGB gilt nur für die dreijährige Regelverjährung. Die Frist kann laufen, ohne dass die Einrichtung vom Vorfall weiß.
20. Wie haften mehrere Geschäftsleitungsmitglieder? Gesamtschuldnerisch (§ 43 Abs. 2 GmbHG, § 93 Abs. 2 Satz 1 AktG); der Innenausgleich erfolgt nach § 426 BGB und Verschuldensanteilen. Eine Ressortverteilung entlastet nicht automatisch — ressortübergreifende Überwachungs-, Informations- und Eingriffspflichten bleiben, besonders bei Warnzeichen.
21. Was gilt in Konzern-Konstellationen? Jede Tochter-Geschäftsleitung schuldet ihrer eigenen Gesellschaft die volle Sorgfalt, auch bei zentral vorgegebener Cyber-Strategie; wer eine erkennbar unzureichende Architektur nicht eskaliert, haftet persönlich. Die Mutter-Geschäftsleitung kann wegen sorgfaltswidriger Konzern-Cyber-Strategie haften; bei börsennotierten Müttern kann § 91 Abs. 3 AktG dies verschärfen — eine pauschal konzernweite Pflicht folgt daraus nicht.
22. Was ist bei Insolvenz und Lösegeldzahlung nach Insolvenzreife heikel? Bei Zahlungsunfähigkeit (§ 17 InsO) oder Überschuldung (§ 19 InsO) greifen die Antragspflicht (§ 15a InsO) und das Zahlungsverbot (§ 15b InsO). Eine Lösegeldzahlung nach Insolvenzreife ist masseschmälernd und kann erstattungspflichtig sein, ist aber nicht automatisch unzulässig (§ 15b Abs. 1 Satz 2, Abs. 2). Zusätzlich ist vor jeder Zahlung eine straf-, sanktions- und außenwirtschaftsrechtliche Prüfung erforderlich.
23. Wie grenzt sich die Innenhaftung von anderen Schichten ab? Von der Außenhaftung gegenüber Dritten (§ 823, § 826 BGB, Art. 82 DSGVO — primär die Einrichtung), der Verbandsgeldbuße (§ 65 BSIG — Einrichtung), dem Tätigkeitsverbot (§ 61 Abs. 9 BSIG — Person), der OWi-Aufsichtspflichtverletzung (§ 130 i.V.m. § 9 OWiG) und dem Strafrecht (z. B. § 266 StGB). Die Regressfähigkeit von Verbandsgeldbußen gegen Organe ist höchstrichterlich nicht abschließend geklärt (BGH-EuGH-Vorlage KZR 74/23).
24. Was sollte die Geschäftsleitung praktisch tun? Vorgelagert ein Melde- und Regime-Mapping (Schritt 0), dann fünf Verteidigungsbausteine: die Umsetzungs- und Überwachungspflicht aus § 38 Abs. 1 BSIG beweisfest dokumentieren, die Schulung nach § 38 Abs. 3 BSIG nachweisen, eine Cyber-Compliance- und Überwachungsarchitektur belegen (ein ungelesener SOC-2-Report enthaftet nicht), D&O-Deckung und Versicherbarkeit prüfen und die Dokumentation konservativ zehn Jahre aufbewahren. Das ist keine Haftungsgarantie, sondern verbessert die Verteidigungsfähigkeit.

14. Quellen

Der Quellenapparat ordnet die im Text mit sichtbaren Quellenankern gekennzeichneten Belege den amtlichen Fundstellen zu. Die Anker stehen bei der ersten tragenden Nennung pro Abschnitt und springen auf den jeweiligen Eintrag in diesem Apparat.

14.1 Nationale Normen

• [N-BSIG-2-13] § 2 Nummer 13 BSIG — Geschäftsleitung. Fundstelle: https://www.gesetze-im-internet.de/bsig_2025/__2.html
• [N-BSIG-28] § 28 BSIG — besonders wichtige und wichtige Einrichtungen, Schwellen, Bereichs-Ausnahmen. Fundstelle: https://www.gesetze-im-internet.de/bsig_2025/__28.html
• [N-BSIG-30] § 30 BSIG — Risikomanagementmaßnahmen. Fundstelle: https://www.gesetze-im-internet.de/bsig_2025/__30.html
• [N-BSIG-32] § 32 BSIG — Meldepflichten / Meldekaskade. Fundstelle: https://www.gesetze-im-internet.de/bsig_2025/__32.html
• [N-BSIG-37] § 37 BSIG — Ausnahmebescheid. Fundstelle: https://www.gesetze-im-internet.de/bsig_2025/__37.html
• [N-BSIG-38] § 38 BSIG — Geschäftsleitungspflichten (Umsetzen, Überwachen, Schulen). Fundstelle: https://www.gesetze-im-internet.de/bsig_2025/__38.html
• [N-BSIG-61] § 61 BSIG — Aufsicht besonders wichtiger Einrichtungen; Krankenhaus-Schonfrist (Abs. 3 S. 5), Leitungsuntersagung (Abs. 9). Fundstelle: https://www.gesetze-im-internet.de/bsig_2025/__61.html
• [N-BSIG-62] § 62 BSIG — Aufsicht wichtiger Einrichtungen. Fundstelle: https://www.gesetze-im-internet.de/bsig_2025/__62.html
• [N-BSIG-65] § 65 BSIG — Bußgeldvorschriften. Fundstelle: https://www.gesetze-im-internet.de/bsig_2025/__65.html
• [N-OWiG-9] § 9 OWiG — Handeln für einen anderen. Fundstelle: https://www.gesetze-im-internet.de/owig_1968/__9.html
• [N-OWiG-17] § 17 OWiG — Höhe der Geldbuße. Fundstelle: https://www.gesetze-im-internet.de/owig_1968/__17.html
• [N-OWiG-30] § 30 OWiG — Geldbuße gegen juristische Personen und Personenvereinigungen. Fundstelle: https://www.gesetze-im-internet.de/owig_1968/__30.html
• [N-OWiG-130] § 130 OWiG — Verletzung der Aufsichtspflicht. Fundstelle: https://www.gesetze-im-internet.de/owig_1968/__130.html
• [N-GmbHG-43] § 43 GmbHG — Haftung der Geschäftsführer. Fundstelle: https://www.gesetze-im-internet.de/gmbhg/__43.html
• [N-AktG-91] § 91 AktG — Organisation, Risikofrüherkennung, internes Kontrollsystem. Fundstelle: https://www.gesetze-im-internet.de/aktg/__91.html
• [N-AktG-93] § 93 AktG — Sorgfaltspflicht und Verantwortlichkeit des Vorstands. Fundstelle: https://www.gesetze-im-internet.de/aktg/__93.html
• [N-AktG-116] § 116 AktG — Sorgfaltspflicht und Verantwortlichkeit der Aufsichtsratsmitglieder. Fundstelle: https://www.gesetze-im-internet.de/aktg/__116.html
• [N-AktG-148] § 148 AktG — Klagezulassungsverfahren. Fundstelle: https://www.gesetze-im-internet.de/aktg/__148.html
• [N-SEAG-22] § 22 SEAG — Aufgaben des Verwaltungsrats (monistische SE). Fundstelle: https://www.gesetze-im-internet.de/seag/__22.html
• [N-SEAG-40] § 40 SEAG — geschäftsführende Direktoren. Fundstelle: https://www.gesetze-im-internet.de/seag/__40.html
• [N-SEAG-41] § 41 SEAG — Vertretung durch geschäftsführende Direktoren. Fundstelle: https://www.gesetze-im-internet.de/seag/__41.html
• [N-BGB-31a] § 31a BGB — Haftung von Organmitgliedern und besonderen Vertretern. Fundstelle: https://www.gesetze-im-internet.de/bgb/__31a.html
• [N-BGB-84a] § 84a BGB — Rechte und Pflichten der Stiftungsvorstandsmitglieder. Fundstelle: https://www.gesetze-im-internet.de/bgb/__84a.html
• [N-BGB-826] § 826 BGB — sittenwidrige vorsätzliche Schädigung. Fundstelle: https://www.gesetze-im-internet.de/bgb/__826.html
• [N-InsO-15a] § 15a InsO — Antragspflicht bei Insolvenzreife. Fundstelle: https://www.gesetze-im-internet.de/inso/__15a.html
• [N-InsO-15b] § 15b InsO — Zahlungen nach Eintritt der Insolvenzreife. Fundstelle: https://www.gesetze-im-internet.de/inso/__15b.html
• [N-VVG-86] § 86 VVG — Übergang von Ersatzansprüchen. Fundstelle: https://www.gesetze-im-internet.de/vvg_2008/__86.html
• [N-StGB-266] § 266 StGB — Untreue. Fundstelle: https://www.gesetze-im-internet.de/stgb/__266.html
• [N-StaRUG-1] § 1 StaRUG — Krisenfrüherkennung und Krisenmanagement (Pflicht des Geschäftsleiters). Fundstelle: https://www.gesetze-im-internet.de/starug/__1.html
• [N-GmbHG-46] § 46 GmbHG — Aufgabenkreis der Gesellschafter (u. a. Nr. 8: Geltendmachung von Ersatzansprüchen gegen Geschäftsführer; Nr. 5: Entlastung). Fundstelle: https://www.gesetze-im-internet.de/gmbhg/__46.html
• [N-BGB-199] § 199 BGB — Beginn der regelmäßigen Verjährungsfrist und Höchstfristen. Fundstelle: https://www.gesetze-im-internet.de/bgb/__199.html
• [N-BGB-200] § 200 BGB — Beginn anderer Verjährungsfristen. Fundstelle: https://www.gesetze-im-internet.de/bgb/__200.html
• [N-InsO-17] § 17 InsO — Zahlungsunfähigkeit. Fundstelle: https://www.gesetze-im-internet.de/inso/__17.html
• [N-InsO-19] § 19 InsO — Überschuldung. Fundstelle: https://www.gesetze-im-internet.de/inso/__19.html
• [N-GenG-34] § 34 GenG — Sorgfaltspflicht und Verantwortlichkeit der Vorstandsmitglieder (über § 41 GenG sinngemäß für Aufsichtsratsmitglieder). Fundstelle: https://www.gesetze-im-internet.de/geng/__34.html
• [N-GenG-41] § 41 GenG — Sorgfaltspflicht und Verantwortlichkeit der Aufsichtsratsmitglieder. Fundstelle: https://www.gesetze-im-internet.de/geng/__41.html
• [N-SEAG-39] § 39 SEAG — Sorgfaltspflicht und Verantwortlichkeit der Verwaltungsratsmitglieder (monistische SE). Fundstelle: https://www.gesetze-im-internet.de/seag/__39.html
• [N-BSIG-35] § 35 BSIG — Unterrichtungspflichten. Fundstelle: https://www.gesetze-im-internet.de/bsig_2025/__35.html (ergänzende Quelle, im Body nicht eigens verankert)
• [N-BSIG-36] § 36 BSIG — Rückmeldungen des Bundesamtes. Fundstelle: https://www.gesetze-im-internet.de/bsig_2025/__36.html (ergänzende Quelle, im Body nicht eigens verankert)
• [N-BSIG-39] § 39 BSIG — Nachweispflichten für Betreiber kritischer Anlagen. Fundstelle: https://www.gesetze-im-internet.de/bsig_2025/__39.html (ergänzende Quelle, im Body nicht eigens verankert)
• [N-GmbHG-35] § 35 GmbHG — Vertretung der GmbH. Fundstelle: https://www.gesetze-im-internet.de/gmbhg/__35.html (ergänzende Quelle, im Body nicht eigens verankert)
• [N-GmbHG-52] § 52 GmbHG — Aufsichtsrat der GmbH (Verweisungsnorm Abs. 1; Verjährung Abs. 4). Fundstelle: https://www.gesetze-im-internet.de/gmbhg/__52.html (ergänzende Quelle, im Body nicht eigens verankert)
• [N-VVG-100] § 100 VVG — Leistung des Versicherers (Haftpflicht). Fundstelle: https://www.gesetze-im-internet.de/vvg_2008/__100.html (ergänzende Quelle, im Body nicht eigens verankert)

14.2 EU-Recht

• [EU-DVO-2690] Durchführungsverordnung (EU) 2024/2690 der Kommission vom 17.10.2024. Fundstelle: https://eur-lex.europa.eu/eli/reg_impl/2024/2690/oj
• [EU-DSGVO] Verordnung (EU) 2016/679 (DSGVO); deutsche Berichtigungen ABl. L 314 vom 22.11.2016, ABl. L 127 vom 23.5.2018 und ABl. L 74 vom 4.3.2021 (konsolidierte Fassung CELEX 02016R0679). Fundstelle: https://eur-lex.europa.eu/eli/reg/2016/679/oj
• [EU-CRA] Verordnung (EU) 2024/2847 (Cyberresilienz-Verordnung, CRA). Fundstelle: https://eur-lex.europa.eu/eli/reg/2024/2847/oj (ergänzende Quelle, im Body nicht eigens verankert)
• [EU-DORA] Verordnung (EU) 2022/2554 (DORA). Fundstelle: https://eur-lex.europa.eu/eli/reg/2022/2554/oj (ergänzende Quelle, im Body nicht eigens verankert)
• [EU-KIVO] Verordnung (EU) 2024/1689 (KI-Verordnung). Fundstelle: https://eur-lex.europa.eu/eli/reg/2024/1689/oj (ergänzende Quelle, im Body nicht eigens verankert)
• [EU-NIS2] Richtlinie (EU) 2022/2555 (NIS-2-Richtlinie), ABl. L 333 vom 27.12.2022, S. 80. Fundstelle: https://eur-lex.europa.eu/eli/dir/2022/2555/oj (ergänzende Quelle, im Body nicht eigens verankert)

14.3 Rechtsprechung

• [R-ARAG] BGH, Urteil vom 21.04.1997 — II ZR 175/95 — BGHZ 135, 244 — ARAG/Garmenbeck. Fundstelle: https://www.bundesgerichtshof.de/
• [R-IV-ZR-66-25] BGH, Urteil vom 19.11.2025 — IV ZR 66/25 — ECLI:DE:BGH:2025:191125UIVZR66.25.0. Fundstelle: https://www.bundesgerichtshof.de/
• [R-II-ZR-140-20] BGH, Beschluss vom 22.06.2021 — II ZR 140/20 — ECLI:DE:BGH:2021:220621BIIZR140.20.0. Fundstelle: https://www.bundesgerichtshof.de/
• [R-Neubuerger] LG München I, Urteil vom 10.12.2013 — 5 HK O 1387/10 — Siemens/Neubürger (nicht rechtskräftig; ECLI im amtlichen Entscheidungsumdruck nicht ausgewiesen). Fundstelle: amtlicher Volltext (Bibliothek); Parallelfundstelle NZG 2014, 345.
• [R-OLG-Nbg] OLG Nürnberg, Endurteil vom 30.03.2022 — 12 U 1520/19 (ECLI im amtlichen Entscheidungsumdruck nicht ausgewiesen). Fundstelle: amtlicher Volltext (Bibliothek).
• [R-EuGH-C-200-23] EuGH, Urteil vom 04.10.2024 — C-200/23 — ECLI:EU:C:2024:827. Fundstelle: https://eur-lex.europa.eu/legal-content/DE/TXT/?uri=CELEX:62023CJ0200
• [R-IV-ZR-151-23] BGH, Urteil vom 18.12.2024 — IV ZR 151/23 — ECLI:DE:BGH:2024:181224UIVZR151.23.0 — OLG Frankfurt am Main (D&O-Versicherung, AVB-Auslegung). Fundstelle: https://www.bundesgerichtshof.de/
• [R-II-ZR-11-17] BGH, Urteil vom 06.11.2018 — II ZR 11/17 — ECLI:DE:BGH:2018:061118UIIZR11.17.0 (Ressortverteilung und Horizontal-Überwachung der Geschäftsführer; BGHZ-Aufnahme: ja). Fundstelle: https://www.bundesgerichtshof.de/ (ergänzende Quelle, im Body nicht eigens verankert)
• [R-II-ZR-78-24] BGH, Urteil vom 14.10.2025 — II ZR 78/24 — ECLI:DE:BGH:2025:141025UIIZR78.24.1. Fundstelle: https://www.bundesgerichtshof.de/ (ergänzende Quelle, im Body nicht eigens verankert)
• [R-KZR-74-23] BGH, Beschluss vom 11.02.2025 — KZR 74/23 — ECLI:DE:BGH:2025:110225BKZR74.23.0 (Vorlage an den EuGH zur Regressfähigkeit kartellrechtlicher Bußgelder; berichtigt durch Beschluss vom 02.07.2025). Fundstelle: https://www.bundesgerichtshof.de/ (ergänzende Quelle, im Body nicht eigens verankert)

14.4 Behörden und amtliche Praxis

• [B-BAFIN] BaFin — Aufsicht über DORA-Finanzunternehmen. Fundstelle: https://www.bafin.de/ (ergänzende Quelle, im Body nicht eigens verankert)
• [B-BSI] Bundesamt für Sicherheit in der Informationstechnik (BSI) — FAQ zu NIS-2, Betroffenheitsprüfung, MUK-Portal, Registrierung/Meldung. Fundstelle: https://www.bsi.bund.de/DE/Themen/Regulierte-Wirtschaft/NIS-2-regulierte-Unternehmen/ (ergänzende Quelle, im Body nicht eigens verankert)

14.5 Markt, AVB, Versicherer und Banken

• [M-AVB-OFFEN] Markt-, AVB-, Versicherer-, Banken- und Termsheet-Aussagen sind bewusst nicht als allgemeiner Marktstandard freigegeben. Sie sind bedingungs-, marktstands- und einzelfallabhängig und ersetzen keine konkrete AVB-, Policen- oder Termsheet-Prüfung und keine Deckungszusage.

14.6 Prüfstatus und Schlusssatz

Maßgeblich sind die amtlichen deutschen Gesetzesfassungen (gesetze-im-internet.de) beziehungsweise die konsolidierten EU-Fassungen (EUR-Lex) sowie für Rechtsprechung die amtlichen Volltexte und Leitsätze.

15. CyberSchutzEngel-Hinweis

Plattes Group begleitet im Rahmen des CyberSchutzEngel-Pakets die Cyber-Compliance- und Haftungs-Architektur der Geschäftsleitung — von der beweisfesten Pflichten- und Schulungsdokumentation über die Überwachungs- und Meldeprozesse bis zur Vorbereitung auf Innenhaftungs- und Aufsichtsfragen.