Cyber-Sicherheit als Managementaufgabe: Wann haften Geschäftsleiter für „Hackerangriffe“?

1. Die gesetzliche Ausgangslage: Organisationspflichten ohne „Blaupause“

Das Gesetz bietet zwar keine konkrete technische Anleitung für die erforderliche IT-Infrastruktur im Unternehmen, verankert aber unmissverständliche Organisationspflichten. Ein Geschäftsleiter trägt die fundamentale Verantwortung dafür, dass Aufgaben auf nachgelagerten Ebenen nach klaren Regeln erledigt und die Einhaltung dieser regelmäßig überwacht werden. Das gilt auch für den IT-Bereich. Er muss zwar nicht jeden technischen Prozess selbst beherrschen, ist aber verpflichtet, geeignete Prozesse einzurichten und qualifiziertes, vertrauenswürdiges Personal einzusetzen.

2. Das Interne Kontrollsystem (IKS) als Schutzwall gegen Cyber-Betrug

Eine zentrale gesetzliche Pflicht ist die Einrichtung eines internen Kontrollsystems (IKS) gemäß § 22 GmbHG bzw. § 82 AktG. Das IKS umfasst alle im Unternehmen koordinierten Methoden und Maßnahmen, die dazu dienen, das Vermögen zu sichern, die Genauigkeit und Zuverlässigkeit der Abrechnungsdaten zu gewährleisten und die Einhaltung der vorgeschriebenen Geschäftspolitik zu unterstützen, das Vermögen zu schützen. Das IKS dient damit in erster Linie der Rechnungslegung und soll sicherstellen, dass der finanzielle Status eines Unternehmens transparent und nachvollziehbar abgebildet wird.

Ein funktionierendes IKS beinhaltet etwa

• Berichtslinien,
• Vier-Augen-Prinzip,
• Trennung von Funktionen,
• sowie klare Pouvoirgrenzen (Zahlungslimits).

Bei Cyberangriffen gewinnt der „Faktor Mensch“ zunehmend an Bedeutung, insbesondere bei Angriffen durch Social Engineering, Spoofing oder Deep Fakes. Der Geschäftsleiter hat, was rechnungslegungsbezogene Aufgaben eines Unternehmens und den Zahlungsverkehr betrifft, besonders wachsam zu agieren. Die Einrichtung eines geeigneten IKS ist daher auch ein wichtiger Bestandteil von effektiven Schutzmaßnahmen gegen derartige Cyberangriffe.

Haftungsfalle: Unterlässt ein Geschäftsleiter die Einrichtung eines geeigneten IKS schuldhaft, haftet er der Gesellschaft für daraus resultierende Schäden. Werden jedoch trotz eines korrekt etablierten Systems Fehler durch Mitarbeiter begangen, führt dies nicht zwingend zur persönlichen Haftung des Geschäftsleiters.

3. IT-Compliance

Zusätzlich zum IKS ist auch ein effektives Compliance-Management-System (CMS) in der Abwehr von Haftungsfolgen iZm Cyberangriffen unabdingbar. Es dient nicht nur der Schadens- und Haftungsprävention, sondern im Ernstfall mitunter auch vor strafrechtlichen Konsequenzen:

1. Unternehmensstrafrecht (VbVG): Geldbußen für Straftaten von Mitarbeitern können reduziert werden, wenn das Unternehmen nachweislich Vorkehrungen zur Verhinderung solcher Taten getroffen hat (§ 5 Abs 3 Z 1 VbVG).
2. Verwaltungsstrafrecht: Auch im Verwaltungsrecht dienen Compliance-Systeme der Reduzierung oder auch Beseitigung eigener Strafbarkeits- oder Haftungsrisiken von Unternehmen. Ein effektives Compliance-System kann etwa nicht nur einen verwaltungsstrafrechtlich Verantwortlichen iSd § 9 VStG vor Strafen schützen, sondern auch das Unternehmen vor einer Solidarhaftung gem. § 9 Abs 7 VStG.
3. DSGVO-Sanktionen: Bei Datenpannen drohen Bußgelder von bis zu EUR 10 Mio. oder 2 % des weltweiten Jahresumsatzes. Werden angemessene technische und organisatorische Maßnahmen (TOMs) gem. Art 32 DSGVO implementiert, kann dies aber zur Exkulpation (Entlastung) des Verantwortlichen führen.

4. Spezifische gesetzliche Grundlagen für die IT-Organisation

Für bestimmte Unternehmen gelten zudem ergänzend spezifische Pflichten für die IT-Organisation:

• NIS-2-Richtlinie und NISG 2026: Bereits 2018 schuf das Netz- und Informationssicherheitsgesetz (NISG) in Österreich erste umfassende Regeln für Sektoren wie Energie, Bankwesen oder Gesundheit. Mit der neuen NIS-2-Richtlinie und deren Umsetzung in Österreich durch das Netz- und Informationssystemsicherheitsgesetz 2026 (NISG 2026) wird der Anwendungsbereich ab 1.10.2026 nun massiv ausgeweitet. Allein in Österreich sind mehrere tausend Unternehmen betroffen, für die Cybersicherheits-Compliance (einschließlich IT-Sicherheitsmanagementsystemen) einen völlig neuen Stellenwert bekommt.
• Regulierte Unternehmen im Finanzsektor: Für Kreditinstitute, Versicherungen und Zahlungsdienstleister bestehen bereits seit mehreren Jahren strenge sondergesetzliche Vorschriften zur IT-Sicherheit (zB § 39 Abs 2b BWG, § 110 Abs 2 VAG 2016 oder § 85 ZaDiG 2018). Diese Unternehmen sind verpflichtet, wirksame Risikomanagementsysteme zu etablieren, um „operationelle Risiken“ – also Verluste durch das Versagen interner Systeme oder menschliches Fehlverhalten – zu begrenzen.

5. Digitale Sorgfaltspflicht: Die „Business Judgment Rule“ in der IT

Für nicht-regulierte Unternehmen – also solche, die nicht unter spezifische Gesetze wie die NIS-2-Richtlinie oder sondergesetzliche Vorschriften fallen – ist die Rechtslage bezüglich der IT-Sicherheit auf den ersten Blick weniger explizit, aber dennoch verbindlich. Auch wenn das GmbHG und das AktG keine spezifischen „IT-Paragrafen“ enthalten, müssen Geschäftsleiter sicherstellen, dass die Gesellschaft Risiken erkennt und diese bestmöglich einschränkt.

Da die Möglichkeiten der IT-Absicherung hier nahezu grenzenlos sind, stellt sich die Frage nach dem geforderten Sorgfaltsmaßstab. Hier greift die Business Judgment Rule (BJR) (§ 25 Abs 1a GmbHG, § 84 Abs 1a AktG). Ein Geschäftsleiter haftet nicht für unternehmerische Entscheidungen, wenn er:

• auf Grundlage angemessener Informationen handelt,
• keine sachfremden Interessen verfolgt,
• und gutgläubig zum Wohle der Gesellschaft agiert.

Das gänzliche Versäumnis, notwendige Digitalisierungsschritte zu setzen, kann unter bestimmten Voraussetzungen als Verletzung der Sorgfaltspflicht gewertet werden. Geschäftsleiter müssen technologische Trends aktiv verfolgen und digitale Innovationen nutzen, um die Wettbewerbsfähigkeit und Sicherheit des Unternehmens zu gewährleisten

Wichtig für die Praxis: Ein Geschäftsleiter muss kein IT-Experte sein, er muss sich aber eine angemessene Informationsgrundlage verschaffen, indem er fachkundige Personen (ggf. externe Experten) hinzuzieht. Haftungskritisch ist hierbei eine unvollständige Risikoanalyse – wer beispielsweise nur den Web-Shop, aber nicht das interne Netzwerk oder interne Gefahren durch Mitarbeiter prüft, handelt nicht auf Basis angemessener Informationen.

6. Wann wird es für den Geschäftsleiter gefährlich?

Eine Haftung droht insbesondere bei unvertretbaren Entscheidungen. Dazu zählen laut unter anderem:

• Ignoranz: Das bewusste Ignorieren bekannter Sicherheitslücken nach erfolgter Risikoanalyse.
• Budgetverweigerung: Wenn Budget für einfache, kostengünstige, aber hochwirksame Maßnahmen wie Multi-Faktor-Authentifizierung (MFA), regelmäßige Backups oder Mitarbeiterschulungen verweigert wird.
• Delegationsfehler: Die Übertragung von Sicherheitsagenden an offensichtlich ungeeignete oder unqualifizierte Mitarbeiter.

7. Cyber-Versicherungen: Nur ein Teil der Lösung

Cyber-Versicherungen sind eine sinnvolle Ergänzung, um finanzielle Folgen (zB Betriebsunterbrechung, Datenwiederherstellung) abzufedern. Sie sind jedoch kein Ersatz für ein technisches Sicherheitskonzept. Geschäftsleiter können das Risiko nicht einfach „auslagern“; die Pflicht zur proaktiven Sicherung des Unternehmens bleibt bestehen.

8. Fazit und Handlungsempfehlung

Ein erfolgreicher Cyberangriff führt nicht automatisch zur Haftung. Das Gesetz verlangt keine 100-prozentige Sicherheit, wohl aber einen angemessenen Schutz. Dieser mussdem Stand der Technik und der Unternehmensgröße entsprechen. Besonders kritisch ist das Untätigbleiben bei offensichtlichen Risiken.

9. Checkliste für Geschäftsleiter:

• Regelmäßige Risikoanalysen: Wann wurde das gesamte System (inkl. interner Gefahren) zuletzt durch Fachleute geprüft? Wurden Learnings aus der letzten Risikoanalyse umgesetzt?

• Stand der Technik: Entsprechen Firewalls, Verschlüsselungen und Authentifizierungsmethoden (MFA) aktuellen Standards?

• Mitarbeiter-Awareness: Werden regelmäßige Schulungen zu Phishing, Fake President Fraud und Ransomware durchgeführt?

• Notfallmanagement: Existiert ein aktueller Disaster Recovery Plan zur raschen Wiederherstellung der Daten?

Benötigen Sie rechtliche Unterstützung?

Dann melden Sie sich gerne bei LEUKOS. Wir unterstützen Sie dabei:

• Ihr Haftungsrisiko zu minimieren, indem wir Ihnen helfen, Entscheidungen über IT-Sicherheitsmaßnahmen so vorzubereiten und zu dokumentieren, dass sie den strengen Anforderungen der Business Judgment Rule entsprechen,
• ein maßgeschneidertes Internes Kontrollsystem (IKS) und/oder ein Compliance-Management-System (CMS) zu etablieren und
• begleiten fundierte Risikoanalysen Ihrer IT-Infrastruktur aus rechtlicher Sicht, um eine geeignete Informationsgrundlage für Ihre Managemententscheidungen zu schaffen.