Insolvenz und Cyber-Krise — wenn der Cyber-Vorfall zur Insolvenzantragspflicht wird

1. Worum es geht — der Cyber-Vorfall als möglicher Insolvenzauslöser

Ein Ransomware-Angriff ist zunächst ein technischer und operativer Krisenfall. Server stehen, Daten sind verschlüsselt, Lieferketten hängen, Kunden warten, Banken fragen nach. In vielen Fällen bleibt es dabei: Krise, Gegenmaßnahmen, Wiederanlauf. In anderen Fällen schiebt der Angriff die Geschäftsleitung in eine zweite Lage. Dann geht es nicht mehr allein um Forensik, Kommunikation und Wiederherstellung, sondern um Insolvenzreife, Antragspflicht, Zahlungsverbot, Strafbarkeit und persönliche Erstattungspflichten.

Der entscheidende Punkt lautet: Ein Cyber-Vorfall macht eine Einrichtung nicht automatisch insolvenzreif. Er kann aber die Tatsachen schaffen, aus denen Zahlungsunfähigkeit oder Überschuldung werden. Dazwischen liegen fällige Verbindlichkeiten, vorhandene Liquidität, kurzfristig gesicherte Finanzierungsquellen, Umsatzabriss, Wiederherstellungskosten, Forensik, gegebenenfalls Lösegeldforderung und eine belastbare Fortführungsprognose.

A6-03 ist deshalb kein allgemeiner Insolvenzrechts-Kurs. Der Artikel behandelt die Cyber-Schnittstelle: Wann kippt der technische Vorfall in eine insolvenzrechtliche Pflichtenlage? Welche Fristen laufen? Welche Zahlungen sind nach Insolvenzreife riskant? Und warum ist gerade die Lösegeldzahlung in dieser Lage ein Paradoxon?

Die operative Krisenführung in den ersten 72 Stunden ist in Cyber-Vorfall: die ersten 72 Stunden dargestellt. Die vollständige Lösegeld-Entscheidung mit Insolvenz-, Strafrechts-, Sanktions- und Versicherungs-Spur ist in Lösegeld — ja oder nein? vertieft. Die Innenhaftung der Geschäftsleitung — Tatbestand, Beweislast, Verjährung — ist in Innenhaftung der Geschäftsleitung. Die Überwachungspflichten des Aufsichtsrats sind in Aufsichtsrats-Haftung.

Cyber-zur-Insolvenzreife-Kette: Cyber-Vorfall → Betriebsunterbrechung, Umsatzverlust, Wiederherstellungs-, Forensik- und mögliche Lösegeldkosten → Liquiditätsstatus mit Aktiva I/Aktiva II und Passiva I/Passiva II → Finanzierungs- und Fortführungsprognose → Abgrenzung Zahlungsstockung, drohende Zahlungsunfähigkeit, Zahlungsunfähigkeit und Überschuldung → bei § 17 oder § 19 und einschlägiger Rechtsform Antragspflicht nach § 15a InsO [N-InsO-15a] → parallele Zahlungsprüfung nach § 15b InsO [N-InsO-15b], Lohnsteuer-/Sozialversicherungs-Spur und gegebenenfalls Cash-Pool-Sperre → Überwachungs- und Berichtslinie an Aufsichtsrat oder Beirat → bei Pflichtverletzung zivilrechtliche, strafrechtliche und deckungsrechtliche Folgefragen.

Demut-Box: Der technische Schweregrad und der insolvenzrechtliche Schweregrad laufen nicht deckungsgleich. Ein spektakulärer Angriff kann finanziell beherrschbar sein. Ein unauffälliger Angriff kann insolvenzrechtlich tödlich sein, wenn Cash, Kreditlinien und Fortführungsprognose brechen.

2. Wann der Cyber-Vorfall die Insolvenzreife auslöst

Das Insolvenzrecht arbeitet an dieser Stelle mit drei Eröffnungsgründen. Sie sehen ähnlich aus, haben aber unterschiedliche Funktionen. Zahlungsunfähigkeit nach § 17 InsO [N-InsO-17] ist der harte Liquiditätsgrund. Drohende Zahlungsunfähigkeit nach § 18 InsO [N-InsO-18] ist ein Eigenantragsgrund, aber kein §-15a-Pflichtgrund. Überschuldung nach § 19 InsO [N-InsO-19] verbindet Vermögensstatus und Fortführungsprognose.

Normfenster: § 17 InsO — Zahlungsunfähigkeit

§ 17 Zahlungsunfähigkeit
(1) Allgemeiner Eröffnungsgrund ist die Zahlungsunfähigkeit.
(2) 1 Der Schuldner ist zahlungsunfähig, wenn er nicht in der Lage ist, die fälligen Zahlungspflichten zu erfüllen. 2 Zahlungsunfähigkeit ist in der Regel anzunehmen, wenn der Schuldner seine Zahlungen eingestellt hat.

Quelle: Insolvenzordnung, § 17 InsO, amtliche Einzelnorm https://www.gesetze-im-internet.de/inso/__17.html; Kontrollfassung Buzer, Abruf: 5. Juni 2026.

Für die Cyber-Krise bedeutet § 17 InsO: Nicht der Angriff ist der Tatbestand. Der Tatbestand ist die Unfähigkeit, fällige Zahlungspflichten zu erfüllen. Fällig sind zum Beispiel Löhne, Sozialabgaben, Lieferantenforderungen, Mieten, Leasing, Cloud- und Wiederherstellungsleistungen, Steuern und Kreditraten, soweit sie rechtlich fällig und ernsthaft eingefordert sind.

Die Zahlungsstockung ist davon abzugrenzen. Nach gefestigter höchstrichterlicher Rechtsprechung ist eine geringfügige und kurzfristig schließbare Liquiditätslücke anders zu behandeln als eine erhebliche, nicht kurzfristig beherrschbare Lücke. Diese Schwelle ist Rechtsprechungslogik, nicht Gesetzeswortlaut. Der Artikel verwendet sie deshalb nicht als mechanische Formel, sondern als Warnsignal: In der Cyber-Krise gehört sofort ein Liquiditätsstatus mit kurzfristigem Finanzierungsplan in den Krisenstab.

Als Rechtsprechungsanker wird häufig die 10-Prozent-/Drei-Wochen-Linie genannt: Eine geringere Liquiditätslücke kann noch Zahlungsstockung sein, wenn sie kurzfristig geschlossen wird. Eine größere Lücke spricht regelmäßig für Zahlungsunfähigkeit, wenn ihre baldige Beseitigung nicht belastbar gesichert ist. Das ist Richterrecht zur Anwendung des § 17 InsO, nicht der Gesetzeswortlaut.

Für die praktische Prüfung reicht deshalb kein Blick auf den heutigen Kontostand. In der Cyber-Krise braucht die Geschäftsleitung eine stichtagsbezogene Liquiditätsbilanz. Auf der Aktivseite stehen sofort verfügbare Mittel (Aktiva I) und innerhalb von drei Wochen mit hinreichender Wahrscheinlichkeit flüssig zu machende Mittel (Aktiva II). Auf der Passivseite stehen die am Stichtag fälligen und ernsthaft eingeforderten Verbindlichkeiten (Passiva I) sowie die innerhalb von drei Wochen fällig werdenden und eingeforderten Verbindlichkeiten (Passiva II).

Gerade die Passiva II sind Cyber-spezifisch wichtig. Ein Angriff erzeugt oft eine Zahlungs-Bugwelle: Heute sind noch Mittel vorhanden, aber in den nächsten Tagen fallen Löhne, Arbeitnehmeranteile zur Sozialversicherung, Lohnsteuer, Cloud-Notbetrieb, Wiederherstellung, Forensik, Mieten und Kreditraten zusammen. Die Rechtsprechung zu Passiva II verhindert, dass diese Welle aus der §-17-Prüfung herausgerechnet wird.

Praxisanker: Drei-Wochen-Liquiditätsbilanz und Passiva II

Der zentrale Rechtsprechungsanker ist BGH, Urteil vom 19. Dezember 2017 — II ZR 88/16 [R-II-ZR-88-16]. Danach sind bei der Feststellung der Zahlungsunfähigkeit anhand einer Liquiditätsbilanz auch die innerhalb von drei Wochen nach dem Stichtag fällig werdenden und eingeforderten Verbindlichkeiten einzubeziehen. A6-03 verwendet diesen Punkt nicht als neue gesetzliche Frist, sondern als Bilanzierungsregel für § 17 InsO.

Drei-Wochen-Liquiditätsbilanz-Kette: Stichtag nach Cyber-Vorfall → Aktiva I und Aktiva II erfassen → Passiva I und Passiva II erfassen → Liquiditätslücke berechnen → kurzfristig gesicherte Finanzierung und Stundungen prüfen → Zahlungsstockung oder Zahlungsunfähigkeit nach § 17 InsO einordnen → § 15a- und § 15b-Folgen nur bei tatsächlicher Insolvenzreife ziehen.

Banken-/Covenant-Caveat: Aktiva II sind nur belastbar, wenn Kreditlinien tatsächlich verfügbar bleiben. Ein Cyber-Vorfall kann Informationspflichten, MAC-/Default-Klauseln, Waiver-Bedarf, Drawstop-/Drawdown-Sperren, Sicherheitenfragen oder Cash-Pool-Zugriffe auslösen. Diese Bank- und Finanzierungsrealität ist deshalb Teil des Liquiditätsstatus, nicht bloß ein späteres Kommunikationsproblem.

Normfenster: § 18 InsO — drohende Zahlungsunfähigkeit

§ 18 Drohende Zahlungsunfähigkeit
(1) Beantragt der Schuldner die Eröffnung des Insolvenzverfahrens, so ist auch die drohende Zahlungsunfähigkeit Eröffnungsgrund.
(2) 1 Der Schuldner droht zahlungsunfähig zu werden, wenn er voraussichtlich nicht in der Lage sein wird, die bestehenden Zahlungspflichten im Zeitpunkt der Fälligkeit zu erfüllen. 2 In aller Regel ist ein Prognosezeitraum von 24 Monaten zugrunde zu legen.
(3) Wird bei einer juristischen Person oder einer rechtsfähigen Personengesellschaft der Antrag nicht von allen Mitgliedern des Vertretungsorgans, allen persönlich haftenden Gesellschaftern oder allen Abwicklern gestellt, so ist Absatz 1 nur anzuwenden, wenn der oder die Antragsteller zur Vertretung der juristischen Person oder der Gesellschaft berechtigt sind.

Quelle: Insolvenzordnung, § 18 InsO, amtliche Einzelnorm https://www.gesetze-im-internet.de/inso/__18.html; Kontrollfassung Buzer, Abruf: 5. Juni 2026.

§ 18 InsO ist in der Cyber-Krise wichtig, weil er den frühen Sanierungsraum beschreibt. Eine Einrichtung kann heute noch zahlen, aber nach realistischer Planung in den nächsten Monaten nicht mehr. Dann besteht drohende Zahlungsunfähigkeit. Das kann einen Eigenantrag eröffnen und Restrukturierungsoptionen auslösen. Es ist aber nicht die Antragspflicht nach § 15a InsO [N-InsO-15a].

Die 24 Monate gehören zu § 18 Abs. 2 InsO. Sie gehören nicht zur Überschuldungsprüfung. Wer beide Prognosen vermischt, verpasst entweder Sanierungschancen oder verschärft die Antragspflicht falsch.

Normfenster: § 19 InsO — Überschuldung

§ 19 Überschuldung
(1) Bei einer juristischen Person ist auch die Überschuldung Eröffnungsgrund.
(2) 1 Überschuldung liegt vor, wenn das Vermögen des Schuldners die bestehenden Verbindlichkeiten nicht mehr deckt, es sei denn, die Fortführung des Unternehmens in den nächsten zwölf Monaten ist nach den Umständen überwiegend wahrscheinlich. 2 Forderungen auf Rückgewähr von Gesellschafterdarlehen oder aus Rechtshandlungen, die einem solchen Darlehen wirtschaftlich entsprechen, für die gemäß § 39 Abs. 2 zwischen Gläubiger und Schuldner der Nachrang im Insolvenzverfahren hinter den in § 39 Abs. 1 Nr. 1 bis 5 bezeichneten Forderungen vereinbart worden ist, sind nicht bei den Verbindlichkeiten nach Satz 1 zu berücksichtigen.
(3) 1 Ist bei einer rechtsfähigen Personengesellschaft kein persönlich haftender Gesellschafter eine natürliche Person, so gelten die Absätze 1 und 2 entsprechend. 2 Dies gilt nicht, wenn zu den persönlich haftenden Gesellschaftern eine andere Gesellschaft gehört, bei der ein persönlich haftender Gesellschafter eine natürliche Person ist.

Quelle: Insolvenzordnung, § 19 InsO, amtliche Einzelnorm https://www.gesetze-im-internet.de/inso/__19.html; Kontrollfassung Buzer, Abruf: 5. Juni 2026.

§ 19 InsO trifft vor allem Kapitalgesellschaften und haftungsbeschränkte Personengesellschaften. Cyber-spezifisch wird die Norm relevant, wenn der Angriff nicht bloß Liquidität verschiebt, sondern die Fortführung gefährdet: Produktionsstillstand, Verlust kritischer Kundendaten, Vertragskündigungen, Sanktionsrisiken, massive Wiederherstellungskosten oder ein zerstörter Auftragsbestand können die Fortführungsprognose treffen.

Die Fortführungsprognose nach § 19 Abs. 2 InsO blickt auf die nächsten zwölf Monate. Das ist eine andere Prüfung als der 24-Monats-Zeitraum des § 18 InsO. Bei einem Cyber-Großschaden muss deshalb getrennt gefragt werden: Reichen die liquiden Mittel für fällige Zahlungen? Droht später Zahlungsunfähigkeit? Und ist die Fortführung in den nächsten zwölf Monaten überwiegend wahrscheinlich?

Kunden-/Lieferanten-Caveat: Für die Fortführungsprognose und den Liquiditätsstatus reicht es nicht, nur Wiederherstellungskosten und Kontostand zu betrachten. Lieferstopps, Vorkasseforderungen, Kundenkündigungen, SLA-/Pönalen, Abrufverschiebungen, Umsatzabriss und Sonderkündigungsrechte können aus einem technischen Vorfall eine Finanzierungs- oder Fortführungskrise machen.

3. Die Insolvenzantragspflicht — § 15a InsO vollständig

Die Insolvenzantragspflicht ist rechtsformabhängig. Sie trifft nicht jede wirtschaftliche Einheit. § 15a InsO [N-InsO-15a] erfasst juristische Personen und rechtsfähige Personengesellschaften, bei denen kein persönlich haftender Gesellschafter eine natürliche Person ist. Ein Einzelkaufmann oder eine Personengesellschaft mit natürlicher Person als Vollhafter kann insolvenzreif sein, fällt aber nicht in dieselbe §-15a-Pflichtstruktur.

Normfenster: § 15a InsO — Antragspflicht, Führungslosigkeit und Strafbarkeit

§ 15a Antragspflicht bei juristischen Personen und rechtsfähigen Personengesellschaften
(1) 1 Wird eine juristische Person zahlungsunfähig oder überschuldet, haben die Mitglieder des Vertretungsorgans oder die Abwickler ohne schuldhaftes Zögern einen Eröffnungsantrag zu stellen. 2 Der Antrag ist spätestens drei Wochen nach Eintritt der Zahlungsunfähigkeit und sechs Wochen nach Eintritt der Überschuldung zu stellen. 3 Das Gleiche gilt für die organschaftlichen Vertreter der zur Vertretung der Gesellschaft ermächtigten Gesellschafter oder die Abwickler bei einer rechtsfähigen Personengesellschaft, bei der kein persönlich haftender Gesellschafter eine natürliche Person ist; dies gilt nicht, wenn zu den persönlich haftenden Gesellschaftern eine andere Gesellschaft gehört, bei der ein persönlich haftender Gesellschafter eine natürliche Person ist.
(2) Bei einer Gesellschaft im Sinne des Absatzes 1 Satz 3 gilt Absatz 1 sinngemäß, wenn die organschaftlichen Vertreter der zur Vertretung der Gesellschaft ermächtigten Gesellschafter ihrerseits Gesellschaften sind, bei denen kein persönlich haftender Gesellschafter eine natürliche Person ist, oder sich die Verbindung von Gesellschaften in dieser Art fortsetzt.
(3) Im Fall der Führungslosigkeit einer Gesellschaft mit beschränkter Haftung ist auch jeder Gesellschafter, im Fall der Führungslosigkeit einer Aktiengesellschaft oder einer Genossenschaft ist auch jedes Mitglied des Aufsichtsrats zur Stellung des Antrags verpflichtet, es sei denn, diese Person hat von der Zahlungsunfähigkeit und der Überschuldung oder der Führungslosigkeit keine Kenntnis.
(4) Mit Freiheitsstrafe bis zu drei Jahren oder mit Geldstrafe wird bestraft, wer entgegen Absatz 1 Satz 1 und 2, auch in Verbindung mit Satz 3 oder Absatz 2 oder Absatz 3, einen Eröffnungsantrag

1. nicht oder nicht rechtzeitig stellt oder
2. nicht richtig stellt.
   (5) Handelt der Täter in den Fällen des Absatzes 4 fahrlässig, ist die Strafe Freiheitsstrafe bis zu einem Jahr oder Geldstrafe.
   (6) Im Falle des Absatzes 4 Nummer 2, auch in Verbindung mit Absatz 5, ist die Tat nur strafbar, wenn der Eröffnungsantrag rechtskräftig als unzulässig zurückgewiesen wurde.
   (7) Auf Vereine und Stiftungen, für die § 42 Absatz 2 des Bürgerlichen Gesetzbuchs gilt, sind die Absätze 1 bis 6 nicht anzuwenden.

Quelle: Insolvenzordnung, § 15a InsO, amtliche Einzelnorm https://www.gesetze-im-internet.de/inso/__15a.html; Kontrollfassung Buzer, Abruf: 5. Juni 2026.

Für Geschäftsführer und Vorstände ist der wichtigste Satz nicht die Drei- oder Sechs-Wochen-Zahl. Der wichtigste Satz lautet: ohne schuldhaftes Zögern. Die Fristen sind Höchstfristen. Sie geben keinen komfortablen Prüfungsurlaub. Ist die Insolvenzreife klar und gibt es keine ernsthafte, pflichtgemäß betriebene Beseitigungsperspektive, kann die Pflicht vor Ablauf der Höchstfrist praktisch akut werden.

In einer Cyber-Krise beginnt die Frist nicht erst, wenn der Forensikbericht fertig ist. Sie beginnt mit Eintritt des Insolvenzgrundes. Der Forensikbericht kann Beweis, Ursachenanalyse und Sanierungsbaustein sein. Er ist aber kein Aufschubtatbestand für § 15a InsO.

Die strafrechtliche Dimension gehört in denselben Abschnitt, aber in eine andere Normwelt. § 15a Abs. 4 bis 6 InsO betrifft die Insolvenzverschleppung. Das ist von § 15b InsO [N-InsO-15b] zu trennen. § 15b führt zu Erstattungspflichten gegenüber der juristischen Person. § 15a Abs. 4 bis 6 führt zu strafrechtlichen Risiken bei fehlendem, verspätetem oder unter bestimmten Voraussetzungen unrichtigem Antrag.

Kette Antragspflicht und Strafbarkeit: Eintritt von Zahlungsunfähigkeit oder Überschuldung → einschlägige Rechtsform nach § 15a Abs. 1 bis 3 → Antrag ohne schuldhaftes Zögern, spätestens drei Wochen bei Zahlungsunfähigkeit und sechs Wochen bei Überschuldung → bei nicht, nicht rechtzeitig oder nicht richtig gestelltem Antrag Strafbarkeit nach § 15a Abs. 4 bis 6 InsO → getrennte Prüfung der Erstattungspflicht nach § 15b InsO.

Antragsunterlagen: § 13 InsO als praktische Cyber-Schnittstelle

§ 15a InsO entscheidet, dass und bis wann ein Insolvenzantrag zu stellen ist. § 13 InsO [N-InsO-13] prägt, wie der Eröffnungsantrag praktisch vorbereitet wird. Gerade in der Cyber-Krise ist das kein Formalismus: Wenn Buchhaltung, ERP-Systeme, Forderungslisten oder Kreditorenstämme verschlüsselt sind, muss die Geschäftsleitung trotzdem die Antragstellung und die dafür benötigten Informationen organisieren.

Bei einem Schuldnerantrag verlangt § 13 InsO insbesondere ein Verzeichnis der Gläubiger und ihrer Forderungen. Bei laufendem Geschäftsbetrieb sind bestimmte Gläubigergruppen und Forderungstypen gesondert kenntlich zu machen, etwa höchste Forderungen, gesicherte Forderungen, Forderungen der Finanzverwaltung, Sozialversicherungsträger und betriebliche Altersversorgung. Hinzu kommt die Erklärung, dass die Angaben richtig und vollständig sind.

§-13-InsO-Kette: Cyber-Vorfall → Buchhaltung/ERP/Forderungsdaten prüfen → Gläubiger- und Forderungsverzeichnis vorbereiten → besonders kenntlich zu machende Forderungen identifizieren → Richtigkeits- und Vollständigkeitserklärung dokumentieren → §-15a-Frist und §-13-Antragsunterlagen gemeinsam steuern.

4. Krisenfrüherkennung — § 1 StaRUG plus BSIG-Brücke

Cyber-Risiken gehören nicht erst in die Geschäftsleitungssitzung, wenn Systeme verschlüsselt sind. § 1 StaRUG [N-StaRUG-1] verlangt von Geschäftsleitern haftungsbeschränkter Unternehmensträger eine fortlaufende Beobachtung bestandsgefährdender Entwicklungen. Ein schwerer Cyber-Vorfall kann eine solche Entwicklung sein. Ein schlechter Patch-Stand, fehlende Backups, kritische Abhängigkeiten von Managed Service Providern oder nicht getestete Wiederanlaufpläne können ebenfalls relevant werden, wenn sie bestandsgefährdend sind.

Normfenster: § 1 StaRUG — Krisenfrüherkennung

§ 1 Krisenfrüherkennung und Krisenmanagement bei haftungsbeschränkten Unternehmensträgern
(1) 1 Die Mitglieder des zur Geschäftsführung berufenen Organs einer juristischen Person (Geschäftsleiter) wachen fortlaufend über Entwicklungen, welche den Fortbestand der juristischen Person gefährden können. 2 Erkennen sie solche Entwicklungen, ergreifen sie geeignete Gegenmaßnahmen und erstatten den zur Überwachung der Geschäftsleitung berufenen Organen (Überwachungsorganen) unverzüglich Bericht. 3 Berühren die zu ergreifenden Maßnahmen die Zuständigkeiten anderer Organe, wirken die Geschäftsleiter unverzüglich auf deren Befassung hin.
(2) Bei rechtsfähigen Personengesellschaften im Sinne von § 15a Absatz 1 Satz 3 und Absatz 2 der Insolvenzordnung gilt Absatz 1 entsprechend für die Geschäftsleiter der zur Geschäftsführung berufenen Gesellschafter.
(3) Weitergehende Pflichten, die sich aus anderen Gesetzen ergeben, bleiben unberührt.

Quelle: Unternehmensstabilisierungs- und -restrukturierungsgesetz, § 1 StaRUG, amtliche Einzelnorm https://www.gesetze-im-internet.de/starug/__1.html; Kontrollfassung Buzer, Abruf: 5. Juni 2026.

§ 1 StaRUG bildet die präventive Linie. § 15a InsO [N-InsO-15a] bildet die akute Antragspflichtlinie. Zwischen beiden liegt die Aufgabe der Geschäftsleitung, Cyber-Risiken so zu beobachten, dass eine bestandsgefährdende Lage nicht ohne Liquiditäts-, Fortführungs- und Organbefassung bleibt.

Normfenster: § 38 BSIG und § 30 BSIG — Geschäftsleitungspflicht und Risikomanagement

§ 38 BSIG — Auszug
(1) Geschäftsleitungen besonders wichtiger Einrichtungen und wichtiger Einrichtungen sind verpflichtet, die von diesen Einrichtungen nach § 30 zu ergreifenden Risikomanagementmaßnahmen umzusetzen und ihre Umsetzung zu überwachen.
(2) 1 Geschäftsleitungen, die ihre Pflichten nach Absatz 1 verletzen, haften ihrer Einrichtung für einen schuldhaft verursachten Schaden nach den auf die Rechtsform der Einrichtung anwendbaren Regeln des Gesellschaftsrechts. 2 Nach diesem Gesetz haften sie nur, wenn die für die Einrichtung maßgeblichen gesellschaftsrechtlichen Bestimmungen keine Haftungsregelung nach Satz 1 enthalten.
(3) Die Geschäftsleitungen besonders wichtiger Einrichtungen und wichtiger Einrichtungen müssen regelmäßig an Schulungen teilnehmen, um ausreichende Kenntnisse und Fähigkeiten zur Erkennung und Bewertung von Risiken und von Risikomanagementpraktiken im Bereich der Sicherheit in der Informationstechnik zu erlangen sowie um die Auswirkungen von Risiken sowie Risikomanagementpraktiken auf die von der Einrichtung erbrachten Dienste beurteilen zu können.

§ 30 BSIG — Auszug mit vollständiger Mindestmaßnahmenliste aus Abs. 2 Satz 2
(1) 1 Besonders wichtige Einrichtungen und wichtige Einrichtungen sind verpflichtet, geeignete, verhältnismäßige und wirksame technische und organisatorische Maßnahmen, die in Absatz 2 konkretisiert werden, zu ergreifen, um Störungen der Verfügbarkeit, Integrität und Vertraulichkeit der informationstechnischen Systeme, Komponenten und Prozesse, die sie für die Erbringung ihrer Dienste nutzen, zu vermeiden und Auswirkungen von Sicherheitsvorfällen möglichst gering zu halten. 2 Bei der Bewertung der Verhältnismäßigkeit der Maßnahmen nach Satz 1 sind das Ausmaß der Risikoexposition, die Größe der Einrichtung, die Umsetzungskosten und die Eintrittswahrscheinlichkeit und Schwere von Sicherheitsvorfällen sowie ihre gesellschaftlichen und wirtschaftlichen Auswirkungen zu berücksichtigen. 3 Die Einhaltung der Verpflichtung nach Satz 1 ist durch die Einrichtungen zu dokumentieren.
(2) 1 Maßnahmen nach Absatz 1 sollen den Stand der Technik einhalten, die einschlägigen europäischen und internationalen Normen berücksichtigen und müssen auf einem gefahrenübergreifenden Ansatz beruhen. 2 Die Maßnahmen müssen zumindest Folgendes umfassen:

1. Konzepte in Bezug auf die Risikoanalyse und auf die Sicherheit in der Informationstechnik,
2. Bewältigung von Sicherheitsvorfällen,
3. Aufrechterhaltung des Betriebs, wie Backup-Management und Wiederherstellung nach einem Notfall, und Krisenmanagement,
4. Sicherheit der Lieferkette einschließlich sicherheitsbezogener Aspekte der Beziehungen zu unmittelbaren Anbietern oder Diensteanbietern,
5. Sicherheitsmaßnahmen bei Erwerb, Entwicklung und Wartung von informationstechnischen Systemen, Komponenten und Prozessen, einschließlich Management und Offenlegung von Schwachstellen,
6. Konzepte und Verfahren zur Bewertung der Wirksamkeit von Risikomanagementmaßnahmen im Bereich der Sicherheit in der Informationstechnik,
7. grundlegende Schulungen und Sensibilisierungsmaßnahmen im Bereich der Sicherheit in der Informationstechnik,
8. Konzepte und Prozesse für den Einsatz von kryptographischen Verfahren,
9. Erstellung von Konzepten für die Sicherheit des Personals, die Zugriffskontrolle und für die Verwaltung von IKT-Systemen, -Produkten und -Prozessen,
10. Verwendung von Lösungen zur Multi-Faktor-Authentifizierung oder kontinuierlichen Authentifizierung, gesicherte Sprach-, Video- und Textkommunikation sowie gegebenenfalls gesicherte Notfallkommunikationssysteme innerhalb der Einrichtung.

Quelle: BSIG 2025, §§ 30, 38, amtliche Einzelnormen https://www.gesetze-im-internet.de/bsig_2025/; Kontrollfassung Buzer, Abruf: 5. Juni 2026.

§ 38 BSIG [N-BSIG-38] ist keine pauschale Sonderhaftung, die jede insolvenzrechtliche Prüfung ersetzt. Die Norm verweist primär auf die nach der Rechtsform anwendbaren Regeln des Gesellschaftsrechts. Erst wenn dort keine Haftungsregelung besteht, kommt eine Haftung nach dem BSIG selbst in Betracht.

Die Schulungspflicht aus § 38 Abs. 3 BSIG ist kein insolvenzrechtlicher Antragstatbestand. Sie ist aber ein Organisationsanker dafür, dass Geschäftsleitungen Cyber-Risiken und deren mögliche bestandsgefährdende Wirkung rechtzeitig erkennen und bewerten können.

Für besonders wichtige Einrichtungen und wichtige Einrichtungen ist die Brücke dennoch wichtig. Cyber-Risikomanagement, Dokumentation und Geschäftsleitungsüberwachung sind nicht bloß IT-Themen. Die volle Mindestmaßnahmenliste zeigt, dass A6-03 nicht nur Incident Response betrifft. Für die Insolvenzlogik sind vor allem Nr. 1 bis 4 operativ: Risikoanalyse, Informationssicherheit, Bewältigung von Sicherheitsvorfällen, Aufrechterhaltung des Betriebs, Backup, Wiederherstellung, Krisenmanagement und Lieferkette. Die übrigen Nummern stützen die Dokumentations- und Organisationsspur, etwa Wirksamkeitsbewertung, Schulungen und Sensibilisierung, kryptographische Verfahren, Personal-/Zugriffssicherheit, Verwaltung von IKT-Systemen, -Produkten und -Prozessen sowie gesicherte Notfallkommunikation.

StaRUG-Schnittstelle: § 42 StaRUG

A6-03 vertieft kein Restrukturierungsverfahren. Läuft aber eine StaRUG-Restrukturierungssache, ist § 42 StaRUG [N-StaRUG-42] mitzudenken. Die Norm ist keine allgemeine Schonfrist. Sie ersetzt die ruhende Antragspflicht für die Dauer der Rechtshängigkeit durch eine unverzügliche Anzeige des Eintritts von Zahlungsunfähigkeit oder Überschuldung beim Restrukturierungsgericht.

§ 42 StaRUG — Anzeige von Zahlungsunfähigkeit und Überschuldung; Strafvorschrift
(1) 1 Während der Rechtshängigkeit der Restrukturierungssache ruht die Antragspflicht nach § 15a Absatz 1 bis 3 der Insolvenzordnung und § 42 Absatz 2 des Bürgerlichen Gesetzbuchs. 2 Die Antragspflichtigen sind jedoch verpflichtet, dem Restrukturierungsgericht den Eintritt einer Zahlungsunfähigkeit im Sinne des § 17 Absatz 2 der Insolvenzordnung oder einer Überschuldung im Sinne des § 19 Absatz 2 der Insolvenzordnung ohne schuldhaftes Zögern anzuzeigen.
(2) Die Stellung eines den Anforderungen des § 15a der Insolvenzordnung genügenden Insolvenzantrags gilt als rechtzeitige Erfüllung der Anzeigepflicht nach Absatz 1 Satz 2.
(3) 1 Mit Freiheitsstrafe bis zu drei Jahren oder mit Geldstrafe wird bestraft, wer entgegen Absatz 1 Satz 2 den Eintritt der Zahlungsunfähigkeit oder der Überschuldung nicht oder nicht rechtzeitig anzeigt. 2 Handelt der Täter fahrlässig, ist die Strafe Freiheitsstrafe bis zu einem Jahr oder Geldstrafe. 3 Die Sätze 1 und 2 sind nicht anzuwenden auf Vereine und Stiftungen, für die die Pflicht nach Absatz 1 Satz 1 gilt.
(4) Wenn die Anzeige der Restrukturierungssache nach § 31 Absatz 4 ihre Wirkung verliert, leben die nach Absatz 1 Satz 1 ruhenden Antragspflichten wieder auf.

Quelle: StaRUG § 42, amtliche Einzelnorm https://www.gesetze-im-internet.de/starug/__42.html; Kontrollfassung NWB/Buzer, Abruf: 5. Juni 2026.

Praktisch heißt das: Ein ordnungsgemäßer Insolvenzantrag erfüllt die Anzeigepflicht rechtzeitig. Wird die Anzeige unterlassen oder verspätet vorgenommen, enthält § 42 Abs. 3 StaRUG eine eigene Strafvorschrift. Verliert die Anzeige der Restrukturierungssache ihre Wirkung, leben die ruhenden Antragspflichten wieder auf. Diese Mechanik gehört in die Sanierungsberatung und ändert nichts daran, dass § 15b-InsO-Zahlungen gesondert geprüft werden müssen.

StaRUG-Schnittstelle: § 43 StaRUG

Wenn eine Restrukturierungssache rechtshängig ist, reicht der Blick auf § 42 StaRUG nicht. § 43 StaRUG [N-StaRUG-43] setzt eine eigene Geschäftsleiterpflicht für das Betreiben der Restrukturierungssache. Der Maßstab ist nicht „Rettung um jeden Preis“, sondern Sorgfalt eines ordentlichen und gewissenhaften Geschäftsleiters und Wahrung der Interessen der Gesamtheit der Gläubiger.

§ 43 StaRUG — Pflichten und Haftung der Organe
(1) 1 Handelt es sich bei dem Schuldner um eine juristische Person oder um eine rechtsfähige Personengesellschaft im Sinne des § 15a Absatz 1 Satz 3, Absatz 2 der Insolvenzordnung, wirken dessen Geschäftsleiter darauf hin, dass der Schuldner die Restrukturierungssache mit der Sorgfalt eines ordentlichen und gewissenhaften Geschäftsleiters betreibt und die Interessen der Gesamtheit der Gläubiger wahrt. 2 Für die Verletzung dieser Pflicht haften sie dem Schuldner in Höhe des den Gläubigern entstandenen Schadens, es sei denn sie haben die Pflichtverletzung nicht zu vertreten.
(2) 1 Ein Verzicht des Schuldners auf Ansprüche nach Absatz 1 Satz 2 oder ein Vergleich über diese Ansprüche ist unwirksam, soweit der Ersatz zur Befriedigung der Gläubiger erforderlich ist. 2 Dies gilt nicht, wenn sich der Ersatzpflichtige zur Abwendung eines Insolvenzverfahrens über sein Vermögen mit seinen Gläubigern vergleicht, wenn die Ersatzpflicht in einem Insolvenzplan geregelt wird oder wenn für den Ersatzberechtigten ein Insolvenzverwalter handelt.
(3) 1 Ansprüche nach Absatz 1 Satz 2 verjähren in fünf Jahren. 2 Ist der Schuldner zum Zeitpunkt der Pflichtverletzung eine börsennotierte Gesellschaft, verjähren die Ansprüche in zehn Jahren.

Quelle: StaRUG § 43, amtliche Einzelnorm https://www.gesetze-im-internet.de/starug/__43.html; Kontrollfassung Buzer, Abruf: 5. Juni 2026.

Für A6-03 bleibt § 43 StaRUG eine Schnittstellen-Norm. Sie wird relevant, wenn Cyber-Sanierung, Restrukturierungsrahmen und Insolvenzreife gleichzeitig laufen. Dann müssen Krisenstab und Beratung nicht nur § 15a und § 15b InsO [N-InsO-15b], sondern auch die Gläubigergesamtheit in der Restrukturierungssache sichtbar dokumentieren.

5. Das Zahlungsverbot nach Insolvenzreife — § 15b InsO vollständig

§ 15b InsO [N-InsO-15b] ist der Kern der persönlichen Erstattungslage. Die Norm soll die Masse sichern, sobald Zahlungsunfähigkeit oder Überschuldung eingetreten ist. Sie enthält aber kein ausnahmsloses Zahlungsverbot. Das ist in der Cyber-Krise entscheidend, weil bestimmte Zahlungen den Betrieb überhaupt erst stabilisieren können.

Normfenster: § 15b InsO — Zahlungen bei Zahlungsunfähigkeit und Überschuldung; Verjährung

§ 15b Zahlungen bei Zahlungsunfähigkeit und Überschuldung; Verjährung
(1) 1 Die nach § 15a Absatz 1 Satz 1 antragspflichtigen Mitglieder des Vertretungsorgans und Abwickler einer juristischen Person dürfen nach dem Eintritt der Zahlungsunfähigkeit oder der Überschuldung der juristischen Person keine Zahlungen mehr für diese vornehmen. 2 Dies gilt nicht für Zahlungen, die mit der Sorgfalt eines ordentlichen und gewissenhaften Geschäftsleiters vereinbar sind.
(2) 1 Zahlungen, die im ordnungsgemäßen Geschäftsgang erfolgen, insbesondere solche Zahlungen, die der Aufrechterhaltung des Geschäftsbetriebs dienen, gelten vorbehaltlich des Absatzes 3 als mit der Sorgfalt eines ordentlichen und gewissenhaften Geschäftsleiters vereinbar. 2 Im Rahmen des für eine rechtzeitige Antragstellung maßgeblichen Zeitraums nach § 15a Absatz 1 Satz 1 und 2 gilt dies nur, solange die Antragspflichtigen Maßnahmen zur nachhaltigen Beseitigung der Insolvenzreife oder zur Vorbereitung eines Insolvenzantrags mit der Sorgfalt eines ordentlichen und gewissenhaften Geschäftsleiters betreiben. 3 Zahlungen, die im Zeitraum zwischen der Stellung des Antrags und der Eröffnung des Verfahrens geleistet werden, gelten auch dann als mit der Sorgfalt eines ordentlichen und gewissenhaften Geschäftsleiters vereinbar, wenn diese mit Zustimmung eines vorläufigen Insolvenzverwalters vorgenommen wurden.
(3) Ist der nach § 15a Absatz 1 Satz 1 und 2 für eine rechtzeitige Antragstellung maßgebliche Zeitpunkt verstrichen und hat der Antragspflichtige keinen Antrag gestellt, sind Zahlungen in der Regel nicht mit der Sorgfalt eines ordentlichen und gewissenhaften Geschäftsleiters vereinbar.
(4) 1 Werden entgegen Absatz 1 Zahlungen geleistet, sind die Antragspflichtigen der juristischen Person zur Erstattung verpflichtet. 2 Ist der Gläubigerschaft der juristischen Person ein geringerer Schaden entstanden, beschränkt sich die Ersatzpflicht auf den Ausgleich dieses Schadens. 3 Soweit die Erstattung oder der Ersatz zur Befriedigung der Gläubiger der juristischen Person erforderlich ist, wird die Pflicht nicht dadurch ausgeschlossen, dass dieselben in Befolgung eines Beschlusses eines Organs der juristischen Person gehandelt haben. 4 Ein Verzicht der juristischen Person auf Erstattungs- oder Ersatzansprüche oder ein Vergleich der juristischen Person über diese Ansprüche ist unwirksam. 5 Dies gilt nicht, wenn der Erstattungs- oder Ersatzpflichtige zahlungsunfähig ist und sich zur Abwendung des Insolvenzverfahrens mit seinen Gläubigern vergleicht, wenn die Erstattungs- oder Ersatzpflicht in einem Insolvenzplan geregelt wird oder wenn ein Insolvenzverwalter für die juristische Person handelt.
(5) 1 Absatz 1 Satz 1 und Absatz 4 gelten auch für Zahlungen an Personen, die an der juristischen Person beteiligt sind, soweit diese zur Zahlungsunfähigkeit der juristischen Person führen mussten, es sei denn, dies war auch bei Beachtung der in Absatz 1 Satz 2 bezeichneten Sorgfalt nicht erkennbar. 2 Satz 1 ist auf Genossenschaften nicht anwendbar.
(6) Die Absätze 1 bis 5 gelten auch für die nach § 15a Absatz 1 Satz 3 und Absatz 2 zur Stellung des Antrags verpflichteten organschaftlichen Vertreter der zur Vertretung der Gesellschaft ermächtigten Gesellschafter.
(7) 1 Die Ansprüche aufgrund der vorstehenden Bestimmungen verjähren in fünf Jahren. 2 Besteht zum Zeitpunkt der Pflichtverletzung eine Börsennotierung, verjähren die Ansprüche in zehn Jahren.
(8) 1 Eine Verletzung steuerrechtlicher Zahlungspflichten liegt nicht vor, wenn zwischen dem Eintritt der Zahlungsunfähigkeit nach § 17 oder der Überschuldung nach § 19 und der Entscheidung des Insolvenzgerichts über den Insolvenzantrag Ansprüche aus dem Steuerschuldverhältnis nicht oder nicht rechtzeitig erfüllt werden, sofern die Antragspflichtigen ihren Verpflichtungen nach § 15a nachkommen. 2 Wird entgegen der Verpflichtung nach § 15a ein Insolvenzantrag verspätet gestellt, gilt dies nur für die nach Bestellung eines vorläufigen Insolvenzverwalters oder Anordnung der vorläufigen Eigenverwaltung fällig werdenden Ansprüche aus dem Steuerschuldverhältnis. 3 Wird das Insolvenzverfahren nicht eröffnet und ist dies auf eine Pflichtverletzung der Antragspflichtigen zurückzuführen, gelten die Sätze 1 und 2 nicht.

Quelle: Insolvenzordnung, § 15b InsO, amtliche Einzelnorm https://www.gesetze-im-internet.de/inso/__15b.html; Kontrollfassung Buzer, Abruf: 5. Juni 2026.

Die Praxisfrage von Rosa, Geschäftsführerin einer mittelständischen GmbH, lautet: Darf sie während der Cyber-Krise noch zahlen? Die korrekte Antwort ist gestuft.

Nach Eintritt von Zahlungsunfähigkeit oder Überschuldung gilt der Grundsatz des § 15b Abs. 1 Satz 1 InsO. Zahlungen werden gefährlich. § 15b Abs. 1 Satz 2 und Abs. 2 eröffnen aber einen Sorgfaltsraum. Zahlungen im ordnungsgemäßen Geschäftsgang, insbesondere zur Aufrechterhaltung des Geschäftsbetriebs, können während der Antragsfrist sorgfaltsgemäß sein. Dazu können je nach Lage Löhne, kritische Betriebsleistungen, Wiederherstellung, Forensik, Ersatzhardware, Notfallkommunikation oder betriebsnotwendige Dienstleister gehören.

Dieser Sorgfaltsraum ist bedingt. § 15b Abs. 2 Satz 2 InsO verlangt, dass die Antragspflichtigen Maßnahmen zur nachhaltigen Beseitigung der Insolvenzreife oder zur Vorbereitung eines Insolvenzantrags mit der Sorgfalt eines ordentlichen und gewissenhaften Geschäftsleiters betreiben. Untätigkeit in der Antragsfrist schützt nicht.

Nach Ablauf der Antragsfrist verschärft § 15b Abs. 3 InsO die Lage. Wenn kein Antrag gestellt wurde, sind Zahlungen in der Regel nicht mehr sorgfaltsgemäß. Dann kann § 15b Abs. 4 InsO zu Erstattungspflichten führen. Diese Ansprüche verjähren nach § 15b Abs. 7 InsO in fünf Jahren, bei Börsennotierung in zehn Jahren.

§ 15b Abs. 8 InsO ist für Steuern praktisch bedeutsam. Er schützt vor einer Verletzung steuerrechtlicher Zahlungspflichten in der dort geregelten Konstellation, wenn die Antragspflichtigen ihren §-15a-Pflichten nachkommen. Das ist kein Freibrief zur Passivität. Wer den Antrag verspätet stellt, verliert Schutzbereiche.

Der Begriff der Zahlung darf praktisch nicht zu eng gelesen werden. Für die §-15b-Prüfung zählt nicht nur die klassische Überweisung. In Cyber-Lagen können auch Lastschriften, Kartenzahlungen, Schecks, Krypto-Transfers, Verrechnungen, Aufrechnungen, Belastungen debitorischer Konten, automatische Cash-Pool-Sweeps, Konzernumlagen und sonstige masseschmälernde Vermögensbewegungen in die Prüfung gehören. Entscheidend ist die Massewirkung, nicht die technische Zahlungsform.

§ 15b Abs. 4 Satz 2 und Satz 3 sind in der Praxis mehr als Nachsatz. Ist der Gläubigerschaft ein geringerer Schaden entstanden, kann die Ersatzpflicht auf diesen Schaden beschränkt sein. Umgekehrt schützt ein Organbeschluss die handelnden Personen nicht einfach, soweit Erstattung oder Ersatz zur Befriedigung der Gläubiger erforderlich ist. Ein protokollierter Beschluss ersetzt also nicht die §-15b-Sorgfaltsprüfung.

§ 15b Abs. 5 InsO gehört in jede Konzern- und Cash-Pool-Lage. Zahlungen an Beteiligte können schon dann erfasst sein, wenn sie zur Zahlungsunfähigkeit führen mussten und die fehlende Erkennbarkeit nicht greift. In der Cyber-Krise betrifft das vor allem automatische Cash-Pool-Abflüsse, Treasury-Sweeps, Gesellschafterumlagen, Darlehensbedienung gegenüber Beteiligten und konzerninterne Service Fees.

Cash-Pool-Kette: Cyber-Liquiditätsabriss in einer Tochtergesellschaft → automatischer Cash-Pool-Abfluss oder Konzernumlage → Prüfung, ob die Zahlung nach Insolvenzreife oder als beteiligtenbezogene Zahlung § 15b Abs. 1, Abs. 4 oder Abs. 5 berührt → Treasury-Sperre, Umstellung auf dokumentierte Einzel-Freigaben oder Antragspfad → D&O- und Verwalterspur sichern.

Pflichtenkollision: Steuern, Sozialversicherung und § 266a StGB

Steuern und Sozialversicherungsbeiträge dürfen nicht in einen Topf geworfen werden. § 15b Abs. 8 InsO spricht vom Steuerschuldverhältnis. Arbeitnehmeranteile zur Sozialversicherung sind damit nicht ausdrücklich erfasst. Zugleich kann ihre Nichtabführung strafrechtlich nach § 266a StGB [N-StGB-266a] relevant werden.

§ 266a StGB — Auszug
(1) Wer als Arbeitgeber der Einzugsstelle Beiträge des Arbeitnehmers zur Sozialversicherung einschließlich der Arbeitsförderung, unabhängig davon, ob Arbeitsentgelt gezahlt wird, vorenthält, wird mit Freiheitsstrafe bis zu fünf Jahren oder mit Geldstrafe bestraft.
(2) Ebenso wird bestraft, wer als Arbeitgeber

1. der für den Einzug der Beiträge zuständigen Stelle über sozialversicherungsrechtlich erhebliche Tatsachen unrichtige oder unvollständige Angaben macht oder
2. die für den Einzug der Beiträge zuständige Stelle pflichtwidrig über sozialversicherungsrechtlich erhebliche Tatsachen in Unkenntnis lässt
   und dadurch dieser Stelle vom Arbeitgeber zu tragende Beiträge zur Sozialversicherung einschließlich der Arbeitsförderung, unabhängig davon, ob Arbeitsentgelt gezahlt wird, vorenthält.
   (6) 1 In den Fällen der Absätze 1 und 2 kann das Gericht von einer Bestrafung nach dieser Vorschrift absehen, wenn der Arbeitgeber spätestens im Zeitpunkt der Fälligkeit oder unverzüglich danach der Einzugsstelle schriftlich
3. die Höhe der vorenthaltenen Beiträge mitteilt und
4. darlegt, warum die fristgemäße Zahlung nicht möglich ist, obwohl er sich darum ernsthaft bemüht hat.
   2 Liegen die Voraussetzungen des Satzes 1 vor und werden die Beiträge dann nachträglich innerhalb der von der Einzugsstelle bestimmten angemessenen Frist entrichtet, wird der Täter insoweit nicht bestraft. 3 In den Fällen des Absatzes 3 gelten die Sätze 1 und 2 entsprechend.

Quelle: StGB § 266a, amtliche Einzelnorm https://www.gesetze-im-internet.de/stgb/__266a.html; Kontrollfassung Buzer, Abruf: 5. Juni 2026.

§ 266a Abs. 1 StGB betrifft vor allem Arbeitnehmeranteile. § 266a Abs. 2 StGB erweitert die Spur auf vom Arbeitgeber zu tragende Beiträge, wenn sozialversicherungsrechtlich erhebliche Tatsachen unrichtig, unvollständig oder pflichtwidrig gar nicht mitgeteilt werden. Ob § 15b Abs. 8 InsO auf Arbeitnehmeranteile zur Sozialversicherung analog angewendet werden kann, ist streitig. A6-03 entscheidet diesen Streit nicht. Für die Erstprüfung ist wichtig: Sozialversicherung ist keine bloße Unterposition des Steuerprivilegs. In einer Cyber-Insolvenzlage muss die Geschäftsleitung Lohnsteuer, Arbeitnehmeranteile, Arbeitgeberanteile, Antragspfad, §-15b-Sorgfaltsraum und §-266a-Risiko getrennt prüfen.

Lohnsteuer-/Sozialversicherungs-Kette: Payroll-Fälligkeit in der Cyber-Krise → Lohnsteuer und Steuerschuldverhältnis unter § 15b Abs. 8 InsO gesondert prüfen → Arbeitnehmeranteile zur Sozialversicherung und § 266a StGB gesondert prüfen → bei Insolvenzreife § 15a-Antragspfad und § 15b-Zahlungsraum sichern → Einzugsstelle, vorläufiger Insolvenzverwalter oder vorläufige Eigenverwaltung nur nach konkreter Beratung einbinden → keine pauschale Zahlungsanweisung.

Zahlungsverbots-Kette: Eintritt der Insolvenzreife → § 15b Abs. 1 Satz 1 als Grundsatz → Sorgfalts-Ausnahme nach Abs. 1 Satz 2 → Geschäftsbetriebsregel nach Abs. 2 Satz 1 → Bedingung aktiver Beseitigung oder Antragsvorbereitung nach Abs. 2 Satz 2 → Verschärfung nach Fristablauf nach Abs. 3 → Erstattung nach Abs. 4 mit Schadensbegrenzung und Organbeschluss-Grenze → Beteiligtenzahlungen nach Abs. 5 und organschaftliche Vertreter nach Abs. 6 → Verjährung nach Abs. 7 → steuerrechtliche Sonderregel nach Abs. 8 und separate Sozialversicherungsprüfung.

6. Das Lösegeld-Paradoxon

Die Lösegeldfrage ist die zentrale Cyber-Konstellation in der Insolvenz. Sie ist unangenehm, weil zwei Pflichtenwelten gleichzeitig auf die Geschäftsleitung drücken.

Auf der einen Seite kann die Zahlung den Betrieb wiederherstellen. Produktionsdaten, ERP-Systeme, medizinische Leistungen, Lieferfähigkeit oder Abrechnungsdaten können davon abhängen. Auf der anderen Seite ist eine Zahlung nach Insolvenzreife ein Abfluss aus der Masse. Sie kann nach § 15b Abs. 4 InsO zu einer Erstattungspflicht führen, wenn sie nicht durch die Sorgfalts-Ausnahme getragen wird.

Es wäre falsch, daraus eine pauschale Aussage zu bauen. Eine Lösegeldzahlung nach Insolvenzreife ist nicht automatisch zulässig. Sie ist aber auch nicht schon deshalb ausgeschlossen, weil § 15b InsO [N-InsO-15b] existiert. Die Frage lautet: Ist die konkrete Zahlung mit der Sorgfalt eines ordentlichen und gewissenhaften Geschäftsleiters vereinbar? Dazu gehören Alternativen, Erfolgswahrscheinlichkeit, Zahlungsweg, Straf- und Sanktionsrisiken, Versicherungsbedingungen, Zeitdruck, Gläubigerinteresse, Dokumentation und die laufende Antragspflicht.

Demut-Box: Ob eine Lösegeldzahlung nach Eintritt der Insolvenzreife unter § 15b Abs. 1 Satz 2 und Abs. 2 InsO sorgfaltsgemäß sein kann, ist eine offene Einzelfallfrage. A6-03 gibt keine pauschale Freigabe und keine pauschale Untersagung. Die Entscheidung gehört in eine dokumentierte Vier-Spuren-Prüfung.

Strafrechtliche und sanktionsrechtliche Spur

Die strafrechtliche Spur darf nicht auf einen Satz verkürzt werden. § 129 StGB [N-StGB-129] kann bei kriminellen Vereinigungen relevant werden. § 129b StGB [N-StGB-129b] erweitert die Betrachtung auf Vereinigungen im Ausland. Daneben können Geldwäsche, Terrorismusfinanzierung, Außenwirtschaftsrecht, EU-/US-Sanktionen, Zahlungsdienstleisterregeln und Versicherungsobliegenheiten relevant werden.

Vor einer Zahlung müssen deshalb Empfänger, Wallet, Exchange, Zahlungsdienstleister und mögliche Listungen getrennt geprüft und dokumentiert werden. Die offene §-15b-Sorgfaltsfrage ist kein Freibrief: Sanktionsscreening, Strafanzeige-/Behördenstrategie, Chain of Custody, Zahlungsweg und Versicherungsobliegenheiten laufen als eigene Prüfspur neben Insolvenzrecht und Sanierung.

§ 129 StGB — Auszug
(1) 1 Mit Freiheitsstrafe bis zu fünf Jahren oder mit Geldstrafe wird bestraft, wer eine Vereinigung gründet oder sich an einer Vereinigung als Mitglied beteiligt, deren Zweck oder Tätigkeit auf die Begehung von Straftaten gerichtet ist, die im Höchstmaß mit Freiheitsstrafe von mindestens zwei Jahren bedroht sind. 2 Mit Freiheitsstrafe bis zu drei Jahren oder mit Geldstrafe wird bestraft, wer eine solche Vereinigung unterstützt oder für sie um Mitglieder oder Unterstützer wirbt.
(2) Eine Vereinigung ist ein auf längere Dauer angelegter, von einer Festlegung von Rollen der Mitglieder, der Kontinuität der Mitgliedschaft und der Ausprägung der Struktur unabhängiger organisierter Zusammenschluss von mehr als zwei Personen zur Verfolgung eines übergeordneten gemeinsamen Interesses.

§ 129b StGB — Abs. 1 und 2
(1) 1 Die §§ 129 und 129a gelten auch für Vereinigungen im Ausland. 2 Bezieht sich die Tat auf eine Vereinigung außerhalb der Mitgliedstaaten der Europäischen Union, so gilt dies nur, wenn sie durch eine im räumlichen Geltungsbereich dieses Gesetzes ausgeübte Tätigkeit begangen wird oder wenn der Täter oder das Opfer Deutscher ist oder sich im Inland befindet. 3 In den Fällen des Satzes 2 wird die Tat nur mit Ermächtigung des Bundesministeriums der Justiz und für Verbraucherschutz verfolgt. 4 Die Ermächtigung kann für den Einzelfall oder allgemein auch für die Verfolgung künftiger Taten erteilt werden, die sich auf eine bestimmte Vereinigung beziehen. 5 Bei der Entscheidung über die Ermächtigung zieht das Ministerium in Betracht, ob die Bestrebungen der Vereinigung gegen die Grundwerte einer die Würde des Menschen achtenden staatlichen Ordnung oder gegen das friedliche Zusammenleben der Völker gerichtet sind und bei Abwägung aller Umstände als verwerflich erscheinen.
(2) In den Fällen der §§ 129 und 129a, jeweils auch in Verbindung mit Absatz 1, ist § 74a anzuwenden.

Quelle: StGB §§ 129, 129b, amtliche Einzelnormen https://www.gesetze-im-internet.de/stgb/__129.html und https://www.gesetze-im-internet.de/stgb/__129b.html; Kontrollfassung Buzer, Abruf: 5. Juni 2026.

Lösegeld-Paradoxon-Kette: Lösegeldforderung → Zahlung kann Wiederherstellung ermöglichen → nach Insolvenzreife masseschmälernder Abfluss → mögliche Erstattungspflicht nach § 15b Abs. 4 InsO → Sorgfalts-Ausnahme denkbar, aber offen → parallele Strafrechts-, Sanktions-, Geldwäsche-, Zahlungsweg- und Versicherungsprüfung → dokumentierte Organentscheidung mit Alternativen und Insolvenzantragspfad.

Die vollständige Lösegeld-Entscheidung mit Insolvenz-, Strafrechts-, Sanktions- und Versicherungs-Spur ist in Lösegeld — ja oder nein? vertieft.

7. D&O-Deckung in der Insolvenz

Die D&O-Spur beginnt nicht mit der Frage, ob „die Versicherung zahlt“. Sie beginnt mit drei getrennten Prüfungen. Erstens: Welcher Haftungsanspruch steht im Raum? Zweitens: Ist dieser Anspruch nach dem konkreten Bedingungswerk ein versicherter Vermögensschaden? Drittens: Greift ein Ausschluss, etwa wegen Wissentlichkeit?

Bei Zahlungen nach Insolvenzreife ist heute § 15b InsO [N-InsO-15b] das geltende Zahlungsverbot. Historisch standen auf der GmbH-Seite § 64 GmbHG a.F., auf der AG-Seite § 92 Abs. 2 AktG a.F. und für Genossenschaften § 99 GenG a.F. Diese alten Normen sind nicht als geltendes Recht zu zitieren. Sie bleiben nur wichtig, weil ältere Sachverhalte und BGH-Entscheidungen noch auf ihnen beruhen.

BGH IV ZR 66/25 — Wissentlichkeitsausschluss bei Zahlungen nach Insolvenzreife

BGH, Urteil vom 19. November 2025 — IV ZR 66/25, Leitsatz
Der Ausschluss des Versicherungsschutzes nach Ziffer 6 ULLA setzt voraus, dass gerade die Pflichtverletzung aufgrund gesetzlicher Haftpflichtbestimmungen, wegen der die versicherte Person für einen Vermögensschaden in Anspruch genommen wird, wissentlich erfolgte.

Quelle: BGH, Urteil vom 19. November 2025 — IV ZR 66/25 [R-IV-ZR-66-25], ECLI:DE:BGH:2025:191125UIVZR66.25.0, PDF-Fassung, Abruf: 5. Juni 2026.

Der Sachverhalt betraf § 64 Satz 1 GmbHG a.F. und damit Zahlungen nach Insolvenzreife. Der BGH trennt klar: Eine mögliche Verletzung der Insolvenzantragspflicht ist nicht automatisch die Pflichtverletzung, wegen der der Geschäftsführer auf Ersatz masseschmälernder Zahlungen in Anspruch genommen wird. Für den Wissentlichkeitsausschluss muss die konkret haftungsauslösende Pflichtverletzung wissentlich begangen worden sein.

Der BGH formuliert zudem ausdrücklich, dass aus der Insolvenzreife einer Gesellschaft nicht folgt, dass alle danach geleisteten Zahlungen verboten wären. Jede Zahlung ist darauf zu prüfen, ob sie nach der maßgeblichen Regelung verboten war. Diese Aussage passt heute dogmatisch zur Struktur des § 15b InsO: Grundsatz, Sorgfalts-Ausnahme, Geschäftsbetriebsregel, Verschärfung und Erstattung.

Für den Wissentlichkeitsausschluss genügt nicht, dass Insolvenzreife möglich war oder sich die Geschäftsleitung einer Kenntnis bewusst verschlossen haben soll. Erforderlich sind positive Kenntnis der verletzten Pflicht und das subjektive Bewusstsein, pflichtwidrig zu handeln. Bedingter Vorsatz und fahrlässige Unkenntnis reichen dafür nicht ohne Weiteres. Deshalb muss die D&O-Prüfung zahlungsbezogen und nicht nur krisenbezogen geführt werden.

Demut-Box: IV ZR 66/25 entscheidet die Reichweite des Wissentlichkeitsausschlusses im konkreten §-64-GmbHG-a.F.-Sachverhalt. Das Urteil ist keine pauschale Deckungszusage für alle §-15b-Ansprüche. Die grundsätzliche Einordnung von §-15b-Erstattungsansprüchen im jeweiligen D&O-Bedingungswerk bleibt bedingungs- und einzelfallabhängig.

BGH IV ZR 151/23 — Insolvenz-AVB und Nachmeldefrist

BGH, Urteil vom 18. Dezember 2024 — IV ZR 151/23, Leitsätze

1. Eine Klausel in den Allgemeinen Versicherungsbedingungen einer D&O-Versicherung, die ohne Berücksichtigung der sich aus § 11 Abs. 1 und 3 VVG ergebenden Mindestkündigungsfrist das automatische Ende des Versicherungsvertrages mit dem Ablauf der Versicherungsperiode vorsieht, in welcher der Antrag auf Eröffnung des Insolvenzverfahrens über das Vermögen der Versicherungsnehmerin gestellt worden ist, ist unwirksam.
2. Zur Auslegung einer Klausel in den Allgemeinen Versicherungsbedingungen einer unter Geltung des Anspruchserhebungsprinzips („Claims-made-Prinzip“) geschlossenen D&O-Versicherung, wonach bei einer Beendigung des Vertrages „aus einem anderen Grund als eines Prämienzahlungsverzuges oder der Liquidation, Insolvenz, Verschmelzung oder Neubeherrschung der Versicherungsnehmerin“ eine prämienneutrale Nachmeldefrist besteht.

Quelle: BGH, Urteil vom 18. Dezember 2024 — IV ZR 151/23 [R-IV-ZR-151-23], ECLI:DE:BGH:2024:181224UIVZR151.23.0, BGH-PDF/NWB-Volltext, Abruf: 5. Juni 2026.

IV ZR 151/23 betrifft den Schutz der D&O-Deckung in der Insolvenz. Eine insolvenzantragsabhängige automatische Beendigungsklausel kann unwirksam sein, wenn sie die Mindestkündigungsfrist nach § 11 Abs. 1 und 3 VVG [N-VVG-11] missachtet. Für die Praxis ist zugleich die Nachmeldefrist wichtig, weil Ansprüche des Insolvenzverwalters oft erst nach Verfahrenseröffnung und interner Prüfung erhoben werden.

Normfenster: VVG und BGB

§ 11 VVG — Auszug
(1) Wird bei einem auf eine bestimmte Zeit eingegangenen Versicherungsverhältnis im Voraus eine Verlängerung für den Fall vereinbart, dass das Versicherungsverhältnis nicht vor Ablauf der Vertragszeit gekündigt wird, ist die Verlängerung unwirksam, soweit sie sich jeweils auf mehr als ein Jahr erstreckt.
(3) Die Kündigungsfrist muss für beide Vertragsparteien gleich sein; sie darf nicht weniger als einen Monat und nicht mehr als drei Monate betragen.

§ 108 VVG
(1) 1 Verfügungen des Versicherungsnehmers über den Freistellungsanspruch gegen den Versicherer sind dem Dritten gegenüber unwirksam. 2 Der rechtsgeschäftlichen Verfügung steht eine Verfügung im Wege der Zwangsvollstreckung oder Arrestvollziehung gleich.
(2) Die Abtretung des Freistellungsanspruchs an den Dritten kann nicht durch Allgemeine Versicherungsbedingungen ausgeschlossen werden.

§ 110 VVG
Ist über das Vermögen des Versicherungsnehmers das Insolvenzverfahren eröffnet, kann der Dritte wegen des ihm gegen den Versicherungsnehmer zustehenden Anspruchs abgesonderte Befriedigung aus dem Freistellungsanspruch des Versicherungsnehmers verlangen.

§ 307 BGB — Auszug
(1) 1 Bestimmungen in Allgemeinen Geschäftsbedingungen sind unwirksam, wenn sie den Vertragspartner des Verwenders entgegen den Geboten von Treu und Glauben unangemessen benachteiligen. 2 Eine unangemessene Benachteiligung kann sich auch daraus ergeben, dass die Bestimmung nicht klar und verständlich ist.
(2) Eine unangemessene Benachteiligung ist im Zweifel anzunehmen, wenn eine Bestimmung

1. mit wesentlichen Grundgedanken der gesetzlichen Regelung, von der abgewichen wird, nicht zu vereinbaren ist oder
2. wesentliche Rechte oder Pflichten, die sich aus der Natur des Vertrags ergeben, so einschränkt, dass die Erreichung des Vertragszwecks gefährdet ist.

Quellen: VVG §§ 11, 108, 110 und BGB § 307, amtliche Einzelnormen https://www.gesetze-im-internet.de/vvg_2008/ und https://www.gesetze-im-internet.de/bgb/; Kontrollfassung Buzer, Abruf: 5. Juni 2026.

Rollenbezogen heißt: § 110 VVG [N-VVG-110] schützt den Dritten, wenn über das Vermögen des Versicherungsnehmers das Insolvenzverfahren eröffnet ist. § 108 VVG [N-VVG-108] betrifft die Verfügung über den Freistellungsanspruch und dessen Abtretung. In der D&O-Insolvenzlage können Versicherungsnehmerin, versicherte Organperson, Gesellschaft, Insolvenzverwalter und geschädigter Dritter auseinanderfallen. Der Artikel darf diese Rollen nicht schematisch gleichsetzen.

Side-A-Deckung, non-indemnifiable loss, Insolvenz der Versicherungsnehmerin und Inanspruchnahme der Organperson sind zusätzlich getrennt zu prüfen. § 110 VVG ersetzt diese Rollenprüfung nicht. In D&O-Konstellationen können Versicherungsnehmerin, versicherte Person, Haftpflichtschuldner, Anspruchstellerin, Insolvenzverwalter und Dritter auseinanderfallen.

D&O-in-der-Insolvenz-Kette: Vorwurf Zahlung nach Insolvenzreife → Haftungsanspruch nach § 15b InsO oder historisch § 64 GmbHG a.F./§ 92 Abs. 2 AktG a.F. → deckungsrechtliche Einordnung als Vermögensschaden nach konkretem Bedingungswerk → Prüfung von Side-A/non-indemnifiable loss, Nachmeldung, Claims-made und Ausschlüssen, insbesondere Wissentlichkeit → positive Kenntnis der konkret haftungsauslösenden Pflichtverletzung nach IV ZR 66/25 → IV ZR 151/23 zu Insolvenz-AVB und Nachmeldefrist → § 108/§ 110 VVG rollenbezogen prüfen.

Die D&O-Deckung im Cyber-Kontext, einschließlich Wissentlichkeitsausschluss und Nachmeldefrist, ist in D&O-Versicherung im Cyber-Kontext.

8. Innenhaftung in der Insolvenz

Nach Eröffnung des Insolvenzverfahrens prüft der Insolvenzverwalter, ob frühere Organmitglieder Ansprüche der Gesellschaft ausgelöst haben. In der Cyber-Krise geht es typischerweise um zwei Spuren: Pflichtverletzungen vor dem Angriff, etwa unzureichendes Risikomanagement, und Pflichtverletzungen nach Eintritt der Insolvenzreife, etwa Zahlungen entgegen § 15b InsO [N-InsO-15b].

Normfenster: § 43 GmbHG, § 93 AktG und § 116 AktG

§ 43 GmbHG — Auszug
(1) Die Geschäftsführer haben in den Angelegenheiten der Gesellschaft die Sorgfalt eines ordentlichen Geschäftsmannes anzuwenden.
(2) Geschäftsführer, welche ihre Obliegenheiten verletzen, haften der Gesellschaft solidarisch für den entstandenen Schaden.

§ 93 AktG — Auszug
(1) 1 Die Vorstandsmitglieder haben bei ihrer Geschäftsführung die Sorgfalt eines ordentlichen und gewissenhaften Geschäftsleiters anzuwenden. 2 Eine Pflichtverletzung liegt nicht vor, wenn das Vorstandsmitglied bei einer unternehmerischen Entscheidung vernünftigerweise annehmen durfte, auf der Grundlage angemessener Information zum Wohle der Gesellschaft zu handeln.
(2) 1 Vorstandsmitglieder, die ihre Pflichten verletzen, sind der Gesellschaft zum Ersatz des daraus entstehenden Schadens als Gesamtschuldner verpflichtet. 2 Ist streitig, ob sie die Sorgfalt eines ordentlichen und gewissenhaften Geschäftsleiters angewandt haben, so trifft sie die Beweislast.

§ 116 AktG — Sorgfaltspflicht und Verantwortlichkeit der Aufsichtsratsmitglieder
1 Für die Sorgfaltspflicht und Verantwortlichkeit der Aufsichtsratsmitglieder gelten § 93 mit Ausnahme des Absatzes 2 Satz 3 über die Sorgfaltspflicht und Verantwortlichkeit der Vorstandsmitglieder und § 15b der Insolvenzordnung sinngemäß. 2 Die Aufsichtsratsmitglieder sind insbesondere zur Verschwiegenheit über erhaltene vertrauliche Berichte und vertrauliche Beratungen verpflichtet. 3 Sie sind namentlich zum Ersatz verpflichtet, wenn sie eine unangemessene Vergütung festsetzen (§ 87 Absatz 1).

Quellen: GmbHG § 43, AktG §§ 93, 116, amtliche Einzelnormen https://www.gesetze-im-internet.de/gmbhg/__43.html, https://www.gesetze-im-internet.de/aktg/__93.html und https://www.gesetze-im-internet.de/aktg/__116.html; Kontrollfassung Buzer, Abruf: 5. Juni 2026.

§ 43 GmbHG [N-GmbHG-43] und § 93 AktG [N-AktG-93] bilden die gesellschaftsrechtliche Innenhaftung der Geschäftsleitung. § 38 Abs. 2 BSIG [N-BSIG-38] verweist bei besonders wichtigen Einrichtungen und wichtigen Einrichtungen primär auf diese rechtsformbezogenen Regeln. A6-03 vertieft nicht die gesamte Innenhaftungsdogmatik. Für diesen Artikel reicht: In der Insolvenz wird die Prüfung praktisch aktiviert, weil der Insolvenzverwalter die Ansprüche der Gesellschaft bündeln und verfolgen kann.

Für Aufsichtsräte ist § 116 AktG [N-AktG-116] der direkte Anker. Die Norm verweist auf § 93 AktG und auf § 15b InsO sinngemäß. Das macht den Aufsichtsrat nicht automatisch zum Insolvenzantragsteller. Eine Antragspflicht aus § 15a Abs. 3 InsO entsteht für Aufsichtsratsmitglieder nur in der dort geregelten Führungslosigkeitssituation und bei Kenntnis. Unabhängig davon muss der Aufsichtsrat überwachen, ob Vorstand, Krisenstab und Berater Insolvenzreife, Antragspfad und Zahlungsverbote pflichtgemäß behandeln.

Die Business Judgment Rule aus § 93 Abs. 1 Satz 2 AktG bleibt eine wichtige Enthaftungslinie für unternehmerische Entscheidungen. Sie ersetzt aber nicht die gebundene insolvenzrechtliche Prüfung. Ob Server wiederhergestellt, Ersatzsysteme angemietet oder Kunden priorisiert werden, kann unternehmerisch geprägt sein. Ob Zahlungsunfähigkeit oder Überschuldung eingetreten ist, ob § 15a einen Antrag verlangt und ob § 15b eine Zahlung erfasst, ist keine freie Business-Judgment-Entscheidung.

Bei § 15b InsO kommt eine eigene Anspruchslogik hinzu. Die Zahlung entgegen § 15b Abs. 1 InsO löst nach Abs. 4 eine Erstattungspflicht aus. Die Verjährung folgt für diese Ansprüche aus § 15b Abs. 7 InsO. Für börsennotierte Gesellschaften ist der Zehn-Jahres-Zeitraum besonders wichtig.

Innenhaftungs-in-der-Insolvenz-Kette: Insolvenzeröffnung → Insolvenzverwalter prüft Organhandeln vor und nach Cyber-Vorfall → gesellschaftsrechtliche Innenhaftung nach § 43 GmbHG oder § 93 AktG, im BSIG-Kontext über § 38 Abs. 2 BSIG rechtsformbezogen → Aufsichtsratsverantwortung bei AG über § 116 AktG mit § 15b InsO sinngemäß → daneben § 15b-Erstattung für Zahlungen nach Insolvenzreife → D&O-, Verjährungs- und Dokumentationsspur getrennt prüfen.

Aufsichtsrats-Kette: Cyber-Krise mit bestandsgefährdender Wirkung → Berichtspflicht der Geschäftsleitung nach § 1 StaRUG [N-StaRUG-1] → Aufsichtsrat verlangt Liquiditätsstatus, §-15a- und §-15b-Prüfung → § 116 AktG verweist auf § 93 AktG und § 15b InsO sinngemäß → keine automatische Antragspflicht, außer Sonderfall Führungslosigkeit nach § 15a Abs. 3 InsO → eigene Überwachungs- und Dokumentationsspur.

Die Innenhaftung der Geschäftsleitung — Tatbestand, Beweislast, Verjährung — ist in Innenhaftung der Geschäftsleitung.

9. Wann die Lage eskaliert — und was die Geschäftsleitung tun sollte

Die folgenden Szenarien sind keine Musterlösung. Sie zeigen die Prüfstationen, die in einer Cyber-Liquiditätskrise in den Krisenstab gehören.

Szenario 1: GmbH, Ransomware-Betriebsunterbrechung und knappe Liquidität

Eine mittelständische GmbH produziert drei Tage nicht. Das ERP-System ist verschlüsselt, Rechnungen können nicht geschrieben werden, Kunden verschieben Abrufe. Gleichzeitig werden Löhne, Sozialabgaben, Miete, Cloud-Notbetrieb, Forensik und Ersatzhardware fällig. Die Täter fordern Lösegeld.

Die Geschäftsleitung darf jetzt nicht vom Cyber-Schweregrad auf Zahlungsunfähigkeit springen. Zuerst braucht sie eine Liquiditätsbilanz: Aktiva I, Aktiva II, Passiva I und Passiva II. Dazu gehören fällige Verbindlichkeiten, innerhalb von drei Wochen fällig werdende Verbindlichkeiten, verfügbare Mittel, bestätigte Kreditlinien, realistische Zahlungseingänge, Stundungen und kurzfristige Finanzierungsquellen. Dann wird geprüft, ob eine Zahlungsstockung oder Zahlungsunfähigkeit nach § 17 InsO [N-InsO-17] vorliegt.

Ist Zahlungsunfähigkeit eingetreten, läuft § 15a InsO [N-InsO-15a]. Die Geschäftsleitung muss ohne schuldhaftes Zögern handeln und die Drei-Wochen-Höchstfrist beachten. Parallel greift § 15b InsO [N-InsO-15b]. Laufende Zahlungen zur Aufrechterhaltung des Betriebs können im Sorgfaltsraum liegen, wenn die Geschäftsleitung zugleich aktiv die Insolvenzreife beseitigt oder den Antrag vorbereitet. Payroll muss zusätzlich auf Lohnsteuer, Arbeitnehmeranteile zur Sozialversicherung und § 266a StGB [N-StGB-266a] gesplittet werden. Die Lösegeldzahlung bleibt eine eigene, offene Einzelfallprüfung.

Drei heutige Schritte für die Beraterin: Liquiditätsstatus in den Cyber-Krisenstab holen. §-15a-/§-15b-Entscheidung dokumentieren. Vor Lösegeldzahlung Insolvenz-, Straf-, Sanktions-, Zahlungsweg- und Versicherungsprüfung abschließen.

Szenario 2: AG, Cyber-Großschaden und Überschuldungsgefahr

Eine AG verliert nach einem Angriff die Verfügbarkeit zentraler Kundendaten. Großkunden kündigen Rahmenverträge. Die Wiederherstellungskosten sind hoch, und die Fortführung des Geschäftsmodells ist für die nächsten zwölf Monate fraglich. Zahlungsunfähigkeit liegt noch nicht sicher vor, aber der Vermögensstatus ist angespannt.

Hier steht § 19 InsO [N-InsO-19] im Vordergrund. Die Frage ist nicht, ob in 24 Monaten Zahlungsunfähigkeit droht. Das ist die §-18-Perspektive. Für Überschuldung zählt, ob die Fortführung des Unternehmens in den nächsten zwölf Monaten nach den Umständen überwiegend wahrscheinlich ist.

Der Vorstand muss zugleich § 1 StaRUG [N-StaRUG-1] beachten. Erkennt er bestandsgefährdende Entwicklungen, muss er geeignete Gegenmaßnahmen ergreifen und dem Überwachungsorgan unverzüglich berichten. Für den Aufsichtsratsvorsitzenden Dr. Schmidt ist das der Moment, in dem die Überwachungslinie aktiv wird. § 116 AktG [N-AktG-116] verweist für Aufsichtsratsmitglieder auf § 93 AktG [N-AktG-93] und § 15b InsO sinngemäß. Die Überwachungspflichten des Aufsichtsrats sind in Aufsichtsrats-Haftung dargestellt.

Reform-Drift ist hier gefährlich. Für aktuelle Zahlungen nach Insolvenzreife wird nicht § 92 Abs. 2 AktG a.F. zitiert. Geltendes Zahlungsverbot ist § 15b InsO.

Szenario 3: Insolvenzeröffnung nach Cyber-Vorfall

Nach dem Angriff scheitert die Sanierung. Das Insolvenzverfahren wird eröffnet. Der Insolvenzverwalter rekonstruiert die letzten Monate: Wann trat Zahlungsunfähigkeit ein? Wann lag Überschuldung vor? Welche Zahlungen wurden danach geleistet? Wurde Lösegeld gezahlt, und war diese Zahlung nach § 15b InsO sorgfaltsgemäß oder erstattungspflichtig? Wurden Steuern nicht gezahlt? Welche Forensik- und Recovery-Rechnungen waren betriebsnotwendig?

Die Prüfung richtet sich nicht allein auf die Antragstellung. Sie richtet sich auch auf jede Zahlung nach Insolvenzreife. § 15b Abs. 4 InsO kann Rückzahlung an die juristische Person verlangen. Bei der D&O-Prüfung wird anschließend getrennt: Haftungsanspruch, Deckung, Ausschluss.

IV ZR 66/25 [R-IV-ZR-66-25] hilft gegen pauschale Wissentlichkeitsannahmen. Die Versicherung kann den Wissentlichkeitsausschluss nicht allein daraus herleiten, dass Insolvenzreife oder eine Antragspflicht im Raum stand. Entscheidend bleibt die konkret haftungsauslösende Pflichtverletzung und die positive Kenntnis davon. IV ZR 151/23 [R-IV-ZR-151-23] schützt zusätzlich gegen bestimmte insolvenzantragsabhängige Beendigungsmechaniken und macht Nachmeldefristen relevant.

Szenario 4: Führungslosigkeit nach Angriff

Der Angriff trifft ein Unternehmen organisatorisch so hart, dass die Geschäftsleitung nicht handlungsfähig ist. In einer GmbH kann bei Führungslosigkeit jeder Gesellschafter in die Antragspflicht geraten. Bei einer AG oder Genossenschaft kann jedes Mitglied des Aufsichtsrats nach § 15a Abs. 3 InsO betroffen sein, wenn die weiteren Voraussetzungen vorliegen.

Das ist keine pauschale Aufsichtsratshaftung. Es ist eine Sonderadressatenregel bei Führungslosigkeit. Die Kenntnisvoraussetzung des § 15a Abs. 3 InsO ist mitzulesen. Für Aufsichtsratsüberwachung und Krisenkommunikation bleibt Aufsichtsrats-Haftung die Vertiefung.

Szenario 5: Payroll, Lohnsteuer und Sozialversicherung

Die GmbH kann nach dem Angriff für zwei Wochen nicht produzieren. Die Lohnabrechnung ist vorbereitet. Zugleich ist unklar, ob die nächsten Kundenzahlungen eingehen. Die Geschäftsleitung fragt, ob sie Löhne, Lohnsteuer und Sozialversicherungsbeiträge noch zahlen darf oder zahlen muss.

Die Antwort ist nicht ein einziger Satz. Löhne können als Zahlung zur Aufrechterhaltung des Geschäftsbetriebs in den Sorgfaltsraum des § 15b Abs. 1 und 2 InsO fallen. Lohnsteuer ist unter § 15b Abs. 8 InsO gesondert zu prüfen. Arbeitnehmeranteile zur Sozialversicherung lösen zusätzlich die §-266a-StGB-Spur aus. Deshalb braucht die Payroll-Entscheidung einen eigenen Vermerk: Insolvenzreife ja/nein, §-15a-Antragspfad, §-15b-Zahlungsprüfung, Steuerstatus, Sozialversicherungsstatus, Kommunikation mit Einzugsstellen und Beratung.

Das ist keine pauschale Zahlungsanweisung. Gerade weil die Analogie von § 15b Abs. 8 InsO auf Sozialversicherungsbeiträge streitig ist, muss die Geschäftsleitung die Pflichtenkollision offen dokumentieren. In einer akuten Lage kann auch die Abstimmung mit Sanierungsberatung, vorläufigem Insolvenzverwalter oder vorläufiger Eigenverwaltung entscheidend sein.

Szenario 6: Konzern, Cash Pool und automatische Sweeps

Eine operative Tochtergesellschaft ist nach einem Ransomware-Angriff liquide angespannt. Nach dem Cash-Pool-Vertrag werden täglich Guthaben auf das Treasury-Konto der Muttergesellschaft abgeführt. Gleichzeitig werden Forensik, Wiederherstellung, Löhne und Sozialabgaben fällig.

Der Krisenstab darf automatische Sweeps nicht als bloße Buchungstechnik behandeln. Nach Eintritt von Insolvenzreife können sie masseschmälernde Zahlungen sein. Zusätzlich kann § 15b Abs. 5 InsO berührt sein, wenn Zahlungen an Beteiligte zur Zahlungsunfähigkeit führen mussten. Die praktische Konsequenz ist eine Treasury-Sperre oder Einzel-Freigabe mit Liquiditätsbilanz, §-15b-Vermerk und Dokumentation.

10. Schnittstellen

Die operative Krisenführung in den ersten 72 Stunden ist in Cyber-Vorfall: die ersten 72 Stunden dargestellt. A6-03 ersetzt diese operative Steuerung nicht. Es ergänzt sie um Liquiditätsstatus, Insolvenzreifeprüfung, Zahlungsentscheidung und Dokumentation.

Meldewege-Caveat: Insolvenzrechtliche Fristen und Cyber-Meldewege laufen nebeneinander. § 15a InsO [N-InsO-15a], § 15b InsO [N-InsO-15b] und Sanierungsentscheidungen suspendieren weder die deutsche BSIG-Meldekaskade nach § 32 BSIG [N-BSIG-32] noch Datenschutzmeldungen nach Art. 33/34 DSGVO [EU-DSGVO], DORA [EU-DORA]-Meldungen nach Art. 19 DORA oder sektorspezifische Telekommunikations-/Energie-Meldewege. Je nach Adressat sind BSI, Datenschutzaufsicht, BaFin/Bundesbank, BNetzA oder weitere Fachaufsichten getrennt zu mappen.

Die vollständige Lösegeld-Entscheidung mit Insolvenz-, Strafrechts-, Sanktions- und Versicherungs-Spur ist in Lösegeld — ja oder nein? vertieft. A6-03 behandelt die Insolvenzspur ausführlich und die weiteren Spuren als Warn- und Prüfanker.

Die Innenhaftung der Geschäftsleitung — Tatbestand, Beweislast, Verjährung — ist in Innenhaftung der Geschäftsleitung. Die Überwachungspflichten des Aufsichtsrats sind in Aufsichtsrats-Haftung. Für Dr. Schmidt sind § 1 StaRUG [N-StaRUG-1] und § 116 AktG [N-AktG-116] relevant: bestandsgefährdende Cyber-Entwicklungen müssen die Überwachungsorgane erreichen, und § 15b InsO gilt für Aufsichtsratsverantwortlichkeit sinngemäß.

Die D&O-Deckung im Cyber-Kontext, einschließlich Wissentlichkeitsausschluss und Nachmeldefrist, ist in D&O-Versicherung im Cyber-Kontext. A6-03 trifft keine Deckungszusage. Die konkrete Police, AVB, Anspruchserhebung, Nachmeldefrist und Ausschlüsse entscheiden.

Der Überblick über die NIS-2-Sonderkonstellationen findet sich im Pillar Konzern, DORA & Insolvenz — Sonderfälle. Die Geschäftsleitungspflichten aus § 38 BSIG [N-BSIG-38] sind in NIS-2-Pflichten der Geschäftsleitung (§ 38 BSIG) dargestellt. Die StaRUG-Verfahrensspur bleibt auf § 42 und § 43 StaRUG [N-StaRUG-43] beschränkt und wird nicht zum allgemeinen Restrukturierungsartikel ausgeweitet.

DORA, sektorale Spezialregeln und Finanzaufsicht können zusätzliche Pflichten setzen. Sie suspendieren das Gesellschafts- und Insolvenzrecht nicht. Eine Finanz- oder DORA-Einrichtung muss deshalb weiterhin § 17, § 18, § 19, § 15a und § 15b InsO rechtsformscharf prüfen.

11. Kurzantworten auf die 24 Lese-Fragen

1. Ist das ein Insolvenzrechts-Kurs? Nein. A6-03 behandelt die Cyber-Schnittstelle: wann ein technischer Vorfall in eine insolvenzrechtliche Pflichtenlage kippt, welche Fristen laufen, welche Zahlungen nach Insolvenzreife riskant sind und warum gerade die Lösegeldzahlung in dieser Lage ein Paradoxon ist.
2. Wann macht ein Cyber-Vorfall die Insolvenzreife? Nicht der Angriff ist der Tatbestand, sondern seine Finanzwirkung: Wenn Betriebsunterbrechung, Umsatzverlust und Wiederherstellungs-, Forensik- oder Lösegeldkosten die Liquidität oder den Vermögensstatus so treffen, dass Zahlungsunfähigkeit (§ 17 InsO) oder Überschuldung (§ 19 InsO) eintritt.
3. Was ist Zahlungsunfähigkeit nach § 17 InsO? Die Unfähigkeit, die fälligen Zahlungspflichten zu erfüllen; in der Regel anzunehmen bei Zahlungseinstellung. Maßgeblich ist die Liquidität, nicht der Angriff selbst.
4. Wie grenzt man Zahlungsstockung von Zahlungsunfähigkeit ab? Über die Richterrechts-Linie zu § 17 InsO: eine innerhalb von drei Wochen nicht schließbare Liquiditätslücke unter 10 Prozent spricht in der Regel noch für Zahlungsstockung, ab 10 Prozent in der Regel für Zahlungsunfähigkeit (BGH IX ZR 123/04). Das ist Richterrecht, kein Gesetzeswortlaut.
5. Was bedeutet Passiva II? In die Liquiditätsbilanz sind nach BGH II ZR 88/16 auch die innerhalb von drei Wochen nach dem Stichtag fällig werdenden und eingeforderten Verbindlichkeiten einzubeziehen — eine Cyber-typische Zahlungs-Bugwelle (Löhne, Sozialabgaben, Cloud-Notbetrieb, Wiederherstellung) wird so nicht herausgerechnet.
6. Ist drohende Zahlungsunfähigkeit (§ 18 InsO) eine Antragspflicht? Nein. Sie ist ein Eigenantragsgrund mit einem Prognosezeitraum von in der Regel 24 Monaten, aber kein § 15a-Pflichtgrund.
7. Was ist Überschuldung nach § 19 InsO? Das Vermögen deckt die Verbindlichkeiten nicht mehr, es sei denn, die Fortführung des Unternehmens ist in den nächsten zwölf Monaten überwiegend wahrscheinlich (Fortführungsprognose).
8. Wer muss wann den Insolvenzantrag stellen (§ 15a InsO)? Die Mitglieder des Vertretungsorgans ohne schuldhaftes Zögern, spätestens drei Wochen nach Eintritt der Zahlungsunfähigkeit und sechs Wochen nach Eintritt der Überschuldung. Die Wochenfristen sind Höchstfristen, nicht frei verfügbare Wartezeiten.
9. Was gilt bei Führungslosigkeit nach einem Angriff? Nach § 15a Abs. 3 InsO kann die Antragspflicht bei Führungslosigkeit auch Gesellschafter (GmbH) bzw. Mitglieder des Aufsichtsrats (AG/Genossenschaft) treffen, wenn die weiteren Voraussetzungen vorliegen.
10. Ist verspäteter Antrag strafbar? Ja, Insolvenzverschleppung ist nach § 15a Abs. 4 und 5 InsO straf- bzw. bußgeldbewehrt — eine persönliche, nicht nur zivilrechtliche Folge.
11. Warum ist § 13 InsO in der Cyber-Krise relevant? § 15a entscheidet, dass und bis wann zu beantragen ist; § 13 InsO prägt, wie: Dem Schuldnerantrag ist ein Verzeichnis der Gläubiger und ihrer Forderungen beizufügen, mit gesonderter Kenntlichmachung bestimmter Gruppen. Bei verschlüsselten Buchhaltungs-/ERP-Daten muss die Geschäftsleitung diese Informationen trotzdem organisieren.
12. Was verlangt § 1 StaRUG und wie hängt er mit dem BSIG zusammen? Geschäftsleiter haftungsbeschränkter Unternehmensträger müssen bestandsgefährdende Entwicklungen fortlaufend überwachen; ein schwerer Cyber-Vorfall oder schlechte IT-Resilienz kann dazugehören. Die Cyber-Pflichten aus § 30 und § 38 BSIG verzahnen sich mit dieser Früherkennung.
13. Was regeln § 42 und § 43 StaRUG? § 42 StaRUG die Anzeige von Zahlungsunfähigkeit und Überschuldung in der Restrukturierungssache nebst Strafvorschrift; § 43 StaRUG die Pflichten und die Haftung der Organe gegenüber dem Schuldner, mit eigener Verjährung.
14. Was verbietet § 15b InsO? Nach Eintritt der Insolvenzreife dürfen die Antragspflichtigen grundsätzlich keine Zahlungen mehr für die juristische Person leisten; Ausnahme sind Zahlungen, die mit der Sorgfalt eines ordentlichen und gewissenhaften Geschäftsleiters vereinbar sind.
15. Welche Zahlungen bleiben erlaubt? Nach § 15b Abs. 2 InsO Zahlungen im ordnungsgemäßen Geschäftsgang, insbesondere zur Aufrechterhaltung des Geschäftsbetriebs, solange im Antragszeitraum Maßnahmen zur Beseitigung der Insolvenzreife oder zur Antragsvorbereitung mit der gebotenen Sorgfalt betrieben werden.
16. Was ist mit Cash-Pool und automatischen Treasury-Sweeps? Konzern-Cash-Pool-Abflüsse und automatische Sweeps nach Insolvenzreife sind als mögliche verbotene Zahlungen kritisch zu prüfen (§ 15b InsO); die Sperrung ist Teil der Krisensteuerung (Szenario 6).
17. Wie verjährt der § 15b-Erstattungsanspruch? In fünf Jahren, bei Börsennotierung zum Zeitpunkt der Pflichtverletzung in zehn Jahren (§ 15b Abs. 7 InsO).
18. Warum ist die Lösegeldzahlung ein Paradoxon? Sie kann betriebswirtschaftlich zur Fortführung nötig erscheinen, zugleich aber als verbotene Zahlung nach Insolvenzreife, als straf- und sanktionsrechtliches Risiko und als Deckungsproblem wirken. A6-03 gibt dazu weder Freigabe noch pauschale Untersagung, sondern eine gestufte Prüfung mit Sicherheitsgrad.
19. Welche straf- und sanktionsrechtlichen Spuren hat Lösegeld? § 129 StGB (kriminelle Vereinigungen) und § 129b StGB (Vereinigungen im Ausland) können relevant werden; daneben Geldwäsche, Außenwirtschafts- und EU-/US-Sanktionsrecht sowie ein Empfänger-/Wallet-/Exchange-/Zahlungsdienstleister-Screening. Das ist Prüfspur, keine Zahlungsfreigabe.
20. Wer greift in der Insolvenz auf die D&O-Versicherung zu? § 110 VVG ermöglicht dem geschädigten Dritten bei eröffnetem Insolvenzverfahren über das Vermögen des Versicherungsnehmers abgesonderte Befriedigung aus dem Freistellungsanspruch; § 108 VVG betrifft Verfügung und Abtretung. Side-A-Deckung, Versicherungsnehmerin, versicherte Person und Insolvenzverwalter sind getrennt zu prüfen.
21. Was sagt die D&O-Rechtsprechung für die Insolvenzlage? Der Wissentlichkeitsausschluss verlangt nach BGH IV ZR 66/25, dass gerade die haftungsauslösende Pflichtverletzung wissentlich erfolgte; BGH IV ZR 151/23 schützt gegen bestimmte insolvenzantragsabhängige Beendigungsklauseln (§ 11 VVG, § 307 BGB) und macht Nachmeldefristen relevant. Beides ist einzelfall- und bedingungsabhängig, keine pauschale Deckungszusage.
22. Wie haftet die Geschäftsleitung im Innenverhältnis? Über § 43 GmbHG bzw. § 93 AktG, im BSIG-Kontext rechtsformbezogen über § 38 Abs. 2 BSIG; daneben die § 15b-Erstattung für Zahlungen nach Insolvenzreife. Voraussetzung bleiben Pflichtverletzung, Schaden, Kausalität und Verschulden.
23. Welche Rolle hat der Aufsichtsrat? § 116 AktG verweist auf § 93 AktG; in der Insolvenzlage gilt § 15b InsO sinngemäß. Eine automatische Antragspflicht außerhalb der Führungslosigkeit nach § 15a Abs. 3 InsO folgt daraus nicht.
24. Was gilt für Löhne, Lohnsteuer und Sozialversicherung? Die Sozialversicherungsbeiträge sind über § 266a StGB strafbewehrt und von der streitigen Behandlung unter § 15b InsO zu trennen; für steuerrechtliche Zahlungspflichten enthält § 15b Abs. 8 InsO eine eigene Wertung. Payroll-Entscheidungen nach Insolvenzreife sind gesondert und sorgfältig zu dokumentieren.

12. Quellen

Der Quellenapparat ordnet die im Text mit sichtbaren Quellenankern gekennzeichneten Belege den amtlichen Fundstellen zu. Die Anker stehen bei der ersten tragenden Nennung pro Abschnitt und springen auf den jeweiligen Eintrag in diesem Apparat.

12.1 Nationale Normen

• [N-BSIG-32] § 32 BSIG — Meldepflichten / Meldekaskade. Fundstelle: https://www.gesetze-im-internet.de/bsig_2025/__32.html
• [N-BSIG-38] § 38 BSIG — Geschäftsleitungspflichten (Umsetzen, Überwachen, Schulen). Fundstelle: https://www.gesetze-im-internet.de/bsig_2025/__38.html
• [N-GmbHG-43] § 43 GmbHG — Haftung der Geschäftsführer. Fundstelle: https://www.gesetze-im-internet.de/gmbhg/__43.html
• [N-AktG-93] § 93 AktG — Sorgfaltspflicht und Verantwortlichkeit des Vorstands. Fundstelle: https://www.gesetze-im-internet.de/aktg/__93.html
• [N-AktG-116] § 116 AktG — Sorgfaltspflicht und Verantwortlichkeit der Aufsichtsratsmitglieder. Fundstelle: https://www.gesetze-im-internet.de/aktg/__116.html
• [N-InsO-15a] § 15a InsO — Antragspflicht bei Insolvenzreife. Fundstelle: https://www.gesetze-im-internet.de/inso/__15a.html
• [N-InsO-15b] § 15b InsO — Zahlungen nach Eintritt der Insolvenzreife. Fundstelle: https://www.gesetze-im-internet.de/inso/__15b.html
• [N-VVG-108] § 108 VVG — Verfügung über den Freistellungsanspruch. Fundstelle: https://www.gesetze-im-internet.de/vvg_2008/__108.html
• [N-VVG-110] § 110 VVG — Insolvenz des Versicherungsnehmers. Fundstelle: https://www.gesetze-im-internet.de/vvg_2008/__110.html
• [N-StaRUG-1] § 1 StaRUG — Krisenfrüherkennung und Krisenmanagement (Pflicht des Geschäftsleiters). Fundstelle: https://www.gesetze-im-internet.de/starug/__1.html
• [N-StGB-129] § 129 StGB — Bildung krimineller Vereinigungen. Fundstelle: https://www.gesetze-im-internet.de/stgb/__129.html
• [N-InsO-17] § 17 InsO — Zahlungsunfähigkeit. Fundstelle: https://www.gesetze-im-internet.de/inso/__17.html
• [N-InsO-19] § 19 InsO — Überschuldung. Fundstelle: https://www.gesetze-im-internet.de/inso/__19.html
• [N-InsO-13] § 13 InsO — Eröffnungsantrag; Gläubiger- und Forderungsverzeichnis. Fundstelle: https://www.gesetze-im-internet.de/inso/__13.html
• [N-InsO-18] § 18 InsO — drohende Zahlungsunfähigkeit (Eigenantragsgrund, Prognosezeitraum 24 Monate). Fundstelle: https://www.gesetze-im-internet.de/inso/__18.html
• [N-StaRUG-42] § 42 StaRUG — Anzeige von Zahlungsunfähigkeit und Überschuldung; Strafvorschrift. Fundstelle: https://www.gesetze-im-internet.de/starug/__42.html
• [N-StaRUG-43] § 43 StaRUG — Pflichten und Haftung der Organe. Fundstelle: https://www.gesetze-im-internet.de/starug/__43.html
• [N-StGB-266a] § 266a StGB — Vorenthalten und Veruntreuen von Arbeitsentgelt. Fundstelle: https://www.gesetze-im-internet.de/stgb/__266a.html
• [N-StGB-129b] § 129b StGB — kriminelle und terroristische Vereinigungen im Ausland. Fundstelle: https://www.gesetze-im-internet.de/stgb/__129b.html
• [N-VVG-11] § 11 VVG — Verlängerung, Kündigung (Mindestkündigungsfrist Abs. 1 und 3). Fundstelle: https://www.gesetze-im-internet.de/vvg_2008/__11.html
• [N-BSIG-30] § 30 BSIG — Risikomanagementmaßnahmen. Fundstelle: https://www.gesetze-im-internet.de/bsig_2025/__30.html (ergänzende Quelle, im Body nicht eigens verankert)
• [N-BGB-307] § 307 BGB — Inhaltskontrolle Allgemeiner Geschäftsbedingungen. Fundstelle: https://www.gesetze-im-internet.de/bgb/__307.html (ergänzende Quelle, im Body nicht eigens verankert)

12.2 EU-Recht

• [EU-DORA] Verordnung (EU) 2022/2554 (DORA). Fundstelle: https://eur-lex.europa.eu/eli/reg/2022/2554/oj
• [EU-DSGVO] Verordnung (EU) 2016/679 (DSGVO); Berichtigung ABl. L 74 vom 4.3.2021. Fundstelle: https://eur-lex.europa.eu/eli/reg/2016/679/oj

12.3 Rechtsprechung

• [R-IV-ZR-66-25] BGH, Urteil vom 19.11.2025 — IV ZR 66/25 — ECLI:DE:BGH:2025:191125UIVZR66.25.0. Fundstelle: https://www.bundesgerichtshof.de/
• [R-IV-ZR-151-23] BGH, Urteil vom 18.12.2024 — IV ZR 151/23 — ECLI:DE:BGH:2024:181224UIVZR151.23.0 — OLG Frankfurt am Main (D&O-Versicherung, AVB-Auslegung). Fundstelle: https://www.bundesgerichtshof.de/
• [R-II-ZR-88-16] BGH, Urteil vom 19.12.2017 — II ZR 88/16 — BGHZ 217, 129 (Liquiditätsbilanz, Passiva II, § 17 Abs. 2 Satz 1 InsO). Fundstelle: https://www.bundesgerichtshof.de/
• [R-IX-ZR-123-04] BGH, Urteil vom 24.05.2005 — IX ZR 123/04 — BGHZ 163, 134 (Abgrenzung Zahlungsunfähigkeit/Zahlungsstockung, 10-Prozent-/Drei-Wochen-Linie zu § 17 InsO). Fundstelle: https://www.bundesgerichtshof.de/ (ergänzende Quelle, im Body nicht eigens verankert)

12.4 Behörden und amtliche Praxis

• [B-BAFIN] BaFin — Aufsicht über DORA-Finanzunternehmen. Fundstelle: https://www.bafin.de/ (ergänzende Quelle, im Body nicht eigens verankert)
• [B-BSI] Bundesamt für Sicherheit in der Informationstechnik (BSI) — FAQ zu NIS-2, Betroffenheitsprüfung, MUK-Portal, Registrierung/Meldung. Fundstelle: https://www.bsi.bund.de/DE/Themen/Regulierte-Wirtschaft/NIS-2-regulierte-Unternehmen/ (ergänzende Quelle, im Body nicht eigens verankert)

12.5 Markt, AVB, Versicherer und Banken

• [M-AVB-OFFEN] Markt-, AVB-, Versicherer-, Banken- und Termsheet-Aussagen sind bewusst nicht als allgemeiner Marktstandard freigegeben. Sie sind bedingungs-, marktstands- und einzelfallabhängig und ersetzen keine konkrete AVB-, Policen- oder Termsheet-Prüfung und keine Deckungszusage. (ergänzende Quelle, im Body nicht eigens verankert)

12.6 Prüfstatus und Schlusssatz

Maßgeblich sind die amtlichen deutschen Gesetzesfassungen (gesetze-im-internet.de) beziehungsweise die konsolidierten EU-Fassungen (EUR-Lex) sowie für Rechtsprechung die amtlichen Volltexte und Leitsätze.

13. CyberSchutzEngel-Hinweis

CyberSchutzEngel ordnet Cyber-Krisen nicht allein technisch, sondern entlang der persönlichen Enthaftung: Krisenstab, Liquiditätsstatus, Organentscheidung, Normwelt-Trennung und Dokumentation.