Die Produktion steht still, die Warenwirtschaft ist verschlüsselt, auf dem Bildschirm blinkt eine Lösegeldforderung. Für Geschäftsführer beginnt in diesem Moment eine zweite Krise: die juristische. Denn parallel zur technischen Wiederherstellung stellt sich sofort die Frage, ob die Geschäftsleitung im Vorfeld ihre Sorgfaltspflichten erfüllt hat – oder ob ein Organisationsverschulden vorliegt, das persönlich haftbar macht.
Seit Inkrafttreten des NIS2-Umsetzungsgesetzes im Dezember 2025 ist IT-Sicherheit endgültig Chefsache. Wer als Geschäftsführer glaubt, Cyberrisiken seien allein Aufgabe der IT-Abteilung, unterschätzt sein persönliches Haftungsrisiko erheblich. Dieser Beitrag ordnet ein, wann aus einem technischen Vorfall eine persönliche Haftung nach § 43 GmbHG oder § 93 AktG wird und welche Schritte KMU-Geschäftsführer jetzt absichern sollten.
Was bedeutet Organisationsverschulden bei einem IT-Sicherheitsvorfall?
Organisationsverschulden liegt vor, wenn ein Unternehmen nicht so strukturiert ist, dass zumutbare Sicherheitsstandards eingehalten werden – etwa weil Zuständigkeiten für IT-Sicherheit unklar geregelt sind oder Prüfungspflichten fehlen. Ein Ransomware-Angriff allein begründet noch keine Haftung. Entscheidend ist, ob im Vorfeld angemessene technische und organisatorische Maßnahmen bestanden.
Die rechtliche Bewertung setzt an der Struktur an, nicht am Ergebnis. Ein Verschulden eines Unternehmens bedeutet in der Praxis meistens ein Organisationsverschulden, das dann vorliegt, wenn Entscheidungskompetenzen und Prüfungspflichten nicht bei den zuständigen Organen liegen. Fehlt ein dokumentiertes Patch-Management, existiert kein Notfallplan oder wurden Mitarbeiter nie zu Phishing geschult, wiegt das im Ernstfall schwer.
Praxisbeispiel aus der Beratung: Ein mittelständischer Maschinenbauer aus dem Ruhrgebiet wurde über eine kompromittierte Fernwartungssoftware eines Zulieferers angegriffen. Die Systeme waren zwei Jahre nicht gepatcht, ein Notfallplan existierte nur auf dem Papier. Nach dem Vorfall stellte sich heraus, dass die Geschäftsführung Warnungen der eigenen IT-Abteilung wiederholt zurückgestellt hatte – ein klassisches Muster für ein späteres Organisationsverschulden.
Wichtig für die Bewertung ist der Maßstab der Angemessenheit, nicht der absoluten Sicherheit. Kein Unternehmen kann jeden Angriff verhindern. Verlangt wird eine dem Risiko entsprechende, dokumentierte Sicherheitsarchitektur nach dem Stand der Technik – nicht Perfektion.
Wann haftet der Geschäftsführer persönlich für einen Ransomware-Schaden?
Der Geschäftsführer haftet persönlich, wenn er die Sorgfalt eines ordentlichen Geschäftsmannes verletzt hat und dadurch ein Schaden entstanden ist. Maßstab für die Geschäftsführerpflichten ist auch bei IT-Sicherheit die Sorgfalt eines ordentlichen und gewissenhaften Geschäftsleiters nach § 43 GmbHG. Für Vorstände einer AG gilt die vergleichbare Pflicht aus § 93 AktG – hier zusätzlich mit einer für die Betroffenen ungünstigeren Beweislastregel.
Die Sorgfaltspflicht des GmbH-Geschäftsführers verlangt die Sorgfalt eines ordentlichen Geschäftsmannes und umfasst laut Rechtsprechungspraxis auch die Pflicht, das Unternehmen vor vorhersehbaren Schäden zu schützen. Cyberangriffe gelten inzwischen als vorhersehbares unternehmerisches Risiko, nicht mehr als höhere Gewalt. Diese Einordnung verschärft die Anforderungen an präventive Maßnahmen erheblich.
Zentral ist die Umkehr der Beweislast: Wer nach einem Cyberangriff nicht nachweisen kann, dass angemessene Schutzmaßnahmen bestanden, haftet. Nicht das Unternehmen muss dem Geschäftsführer die Pflichtverletzung nachweisen, sondern der Geschäftsführer muss sein sorgfältiges Handeln aktiv belegen. Ohne Dokumentation von Risikoanalysen, Backup-Konzepten und Schulungsnachweisen wird diese Beweisführung im Ernstfall schwierig.
Die Innenhaftung trifft dabei nicht nur den amtierenden Geschäftsführer. Auch bei ausgeschiedenen Organmitgliedern kann eine Haftung fortwirken, wenn die Gefahrenlage zum Zeitpunkt der Pflichtverletzung bereits angelegt war. Die Rechtsprechung des BGH zeigt in ähnlich gelagerten Organhaftungsfällen, dass ein Fortbestehen der Gefahrenlage über den Zeitpunkt des Ausscheidens hinaus haftungsrechtlich relevant bleiben kann.
Praktisch bedeutet das: Die Gesellschafterversammlung ist bei einem größeren Schaden sogar verpflichtet zu prüfen, ob ein Regressanspruch gegen die Geschäftsführung besteht. Geschäftsführer können also nicht darauf hoffen, ein Schadensfall werde intern stillschweigend verbucht.
Praxis-Tipp
Geschäftsführer haften nach § 43 GmbHG persönlich, wenn sie die Sorgfalt eines ordentlichen Geschäftsmannes bei der IT-Sicherheit missachtet haben.
Welche Rolle spielt die DSGVO bei der Haftung nach einer Datenschutzverletzung?
Werden bei einem Ransomware-Angriff personenbezogene Daten verschlüsselt, gestohlen oder unbefugt offengelegt, entsteht zusätzlich eine eigenständige datenschutzrechtliche Haftungsebene. Nach Art. 33 DSGVO muss der Verantwortliche die Datenpanne unverzüglich und möglichst binnen 72 Stunden nach Bekanntwerden an die zuständige Aufsichtsbehörde melden. Diese Frist läuft ohne Unterbrechung, auch an Wochenenden.
Ein Verstoß gegen die Meldepflicht ist eigenständig bußgeldbewehrt. Verstöße gegen die Meldepflicht des Art. 33 DSGVO können nach Art. 83 Abs. 4 DSGVO mit Bußgeldern von bis zu 10 Millionen Euro oder 2 Prozent des weltweiten Jahresumsatzes geahndet werden – je nachdem, welcher Betrag höher liegt. Wird zusätzlich ein hohes Risiko für Betroffene festgestellt, verlangt Art. 34 DSGVO eine direkte Benachrichtigung der betroffenen Personen.
Für die Geschäftsführung bedeutet das eine doppelte Exponierung: Das Unternehmen haftet gegenüber der Aufsichtsbehörde und gegenüber Betroffenen, die Geschäftsleitung haftet intern gegenüber der Gesellschaft, wenn die Meldepflichten schuldhaft versäumt wurden. Fehlende technische und organisatorische Maßnahmen nach Art. 32 DSGVO wie Verschlüsselung, Zugriffskontrollen und regelmäßige Backups erhöhen zudem das Risiko einer Datenpanne von vornherein und wirken sich bußgeldverschärfend aus.
In der Praxis entscheidet häufig die Reaktionsgeschwindigkeit über die Höhe eines Bußgelds. Eine dokumentierte, zügige Meldung mit nachvollziehbarer Risikobewertung wird von Aufsichtsbehörden deutlich milder bewertet als ein verspätetes oder unterlassenes Vorgehen. Ein etabliertes Incident-Response-Team mit klarer Rollenverteilung zwischen IT-Sicherheitsbeauftragtem, Datenschutzbeauftragtem und Geschäftsführung ist deshalb kein Luxus, sondern Haftungsvermeidung.
Wichtig zu wissen
Seit dem NIS2-Umsetzungsgesetz vom Dezember 2025 ist die Verantwortung der Geschäftsleitung für Cybersicherheit gesetzlich verankert und nicht delegierbar.
Wie verschärft die NIS2-Richtlinie die Geschäftsführerhaftung seit 2026?
Das NIS2-Umsetzungsgesetz hat die persönliche Haftung der Geschäftsleitung für IT-Sicherheit auf eine neue Stufe gehoben und ausdrücklich als nicht delegierbare Pflicht ausgestaltet. Das NIS2-Umsetzungsgesetz ist seit dem 6. Dezember 2025 in Deutschland in Kraft und betrifft nach aktuellen Schätzungen rund 29.500 Unternehmen in Deutschland, längst nicht mehr nur Großkonzerne oder klassische kritische Infrastruktur.
Betroffene Unternehmen mussten sich zudem bis zum 6. März 2026 beim Bundesamt für Sicherheit in der Informationstechnik registrieren, diese Frist ist inzwischen abgelaufen. Wer die Registrierung versäumt hat, sollte sie umgehend nachholen, denn bereits das Fehlen der Registrierung stellt einen eigenständigen Bußgeldtatbestand dar. Für KMU mit 50 oder mehr Mitarbeitern in einschlägigen Sektoren lohnt sich eine kurzfristige Betroffenheitsprüfung.
Neu ist außerdem eine gesetzliche Schulungspflicht für Geschäftsführer und Vorstände nach § 38 Abs. 3 BSIG: Die Geschäftsleitung muss regelmäßig an Schulungen teilnehmen, um Cyberrisiken bewerten und Abwehrmaßnahmen billigen zu können. Bei Pflichtverletzungen droht die persönliche Haftung mit dem Privatvermögen. Cybersicherheit lässt sich damit nicht mehr allein an die IT-Leitung delegieren, auch wenn die operative Umsetzung selbstverständlich dort verbleibt.
Für die D&O-Versicherung hat diese Verschärfung unmittelbare Folgen. Versicherer leisten regelmäßig nur bei einfacher Fahrlässigkeit, argumentieren bei ignorierten gesetzlichen Vorgaben aber häufig mit wissentlicher Pflichtverletzung oder grob fahrlässigem Organisationsverschulden und verweigern dann die Zahlung. Wer sich allein auf seine D&O-Police verlässt, ohne die zugrundeliegenden Compliance-Pflichten zu erfüllen, verschiebt das Risiko nur auf den Schadensfall.
So sichern Geschäftsführer ihre Position nach einem IT-Sicherheitsvorfall ab
Nach einem Ransomware-Vorfall zählt zuerst die lückenlose Dokumentation aller Entscheidungen und Maßnahmen – sie ist die Grundlage jeder späteren Beweisführung zur eigenen Sorgfalt. Wer erst im Streitfall rekonstruieren muss, welche Sicherheitsmaßnahmen vor dem Angriff bestanden, gerät strukturell in die Defensive.
Konkret empfiehlt sich ein Vorgehen in klaren Schritten: forensische Sicherung der Beweise vor jeder Systembereinigung, unverzügliche Prüfung der 72-Stunden-Meldepflicht nach Art. 33 DSGVO, Information der Gesellschafter beziehungsweise des Aufsichtsrats über den Sachverhalt sowie eine strukturierte Risikoanalyse der Schadensursache. Jeder dieser Schritte sollte schriftlich mit Datum und Verantwortlichkeit festgehalten werden.
Vorbeugend zahlt sich ein aufgebautes Informationssicherheits-Managementsystem nach BSI-Standard oder ISO 27001 aus. Unternehmen mit einem etablierten ISMS erfüllen erfahrungsgemäß einen erheblichen Teil der NIS2-Anforderungen bereits im Vorfeld. Ergänzend gehört die regelmäßige Überprüfung der D&O-Vertragsklauseln dazu – insbesondere die Frage, ob grobe Fahrlässigkeit im Cyber-Kontext ausgeschlossen ist.
Rechtlich ist es ratsam, sowohl präventiv als auch akut nach einem Vorfall spezialisierte Beratung einzubinden. Die Bewertung, ob ein Organisationsverschulden vorliegt, hängt von vielen Einzelfaktoren ab – von der Branche über die Unternehmensgröße bis zur konkreten Angriffsart. Eine frühzeitige anwaltliche Einschätzung der eigenen Sorgfaltslage schafft Klarheit, bevor Aufsichtsbehörden oder Gesellschafter Fragen stellen.
Ihre Checkliste auf einen Blick
- Geschäftsführer haften nach § 43 GmbHG persönlich, wenn sie die Sorgfalt eines ordentlichen Geschäftsmannes bei der IT-Sicherheit missachtet haben.
- Seit dem NIS2-Umsetzungsgesetz vom Dezember 2025 ist die Verantwortung der Geschäftsleitung für Cybersicherheit gesetzlich verankert und nicht delegierbar.
- Nach einer Datenschutzverletzung muss die Meldung an die Aufsichtsbehörde gemäß Art. 33 DSGVO grundsätzlich binnen 72 Stunden erfolgen.
- Bei der GmbH und der AG liegt die Beweislast beim Geschäftsführer beziehungsweise Vorstand – er muss sein sorgfältiges Handeln aktiv nachweisen.
- D&O-Versicherungen greifen bei grob fahrlässigem Organisationsverschulden häufig nicht, weshalb dokumentierte Schutzmaßnahmen über den Versicherungsschutz mitentscheiden.
Fazit
Ein Ransomware-Angriff trifft jedes Unternehmen unvorbereitet – die Frage der Geschäftsführerhaftung entscheidet sich jedoch nicht am Tag des Angriffs, sondern an den Monaten und Jahren davor. Wer Risikoanalysen, Notfallpläne und Schulungen dokumentiert vorweisen kann, steht rechtlich deutlich besser da als eine Geschäftsführung, die IT-Sicherheit stillschweigend der Fachabteilung überlassen hat.
Mit dem NIS2-Umsetzungsgesetz und der verschärften DSGVO-Praxis wird diese Vorsorge 2026 zur unmittelbaren persönlichen Verpflichtung der Geschäftsleitung. Wer jetzt handelt, reduziert nicht nur das Bußgeldrisiko für das Unternehmen, sondern schützt auch das eigene Privatvermögen.
