Geschäftsführer-Haftung bei IT-Sicherheit: Chefsache
Wann Geschäftsführer bei IT-Sicherheit persönlich haften: § 43 GmbHG, § 38 BSIG aus NIS2 und DSGVO erklärt, die 8 Pflichten der Leitung und der Weg zur Enthaftung.
- § 43 Abs. 2 GmbHG lässt Geschäftsführer bei Pflichtverletzung der Gesellschaft gegenüber solidarisch mit dem Privatvermögen haften; die Ansprüche verjähren erst nach fünf Jahren.
- § 38 BSIG verpflichtet Geschäftsleitungen NIS2-regulierter Unternehmen, Risikomanagementmaßnahmen umzusetzen, ihre Umsetzung zu überwachen und regelmäßig an Schulungen teilzunehmen – diese drei Pflichten sind nicht delegierbar.
- Nicht der erfolgreiche Angriff begründet die Haftung, sondern die unterlassene oder undokumentierte Vorsorge: § 30 Abs. 1 Satz 3 BSIG macht die Dokumentation selbst zur Pflicht.
- Fehlende oder unvollständige Dokumentation ist nach § 65 BSIG eine eigene Ordnungswidrigkeit – mit einem Bußgeldrahmen bis 10 Mio. Euro für besonders wichtige und bis 7 Mio. Euro für wichtige Einrichtungen.
- Enthaftung entsteht durch nachweisbare Organisation: Sicherheitskonzept, umgesetzte Maßnahmen, protokollierte Kontrollen und lückenlose Schulungsnachweise mit Datum, Zeitraum und Inhalt.
Lange galt IT-Sicherheit als Sache der IT-Abteilung. Diese Zeit ist vorbei. Gesetzgeber und Gerichte machen zunehmend klar: Wer ein Unternehmen leitet, trägt die Verantwortung für dessen IT-Sicherheit – und kann für Versäumnisse persönlich haften, bis hin zum Privatvermögen. Dieser Beitrag erklärt die Rechtsgrundlagen verständlich, zeigt die konkreten Pflichten der Leitung und den Weg zur Enthaftung durch nachweisbare Organisation. (Er ist eine Orientierung, kein Ersatz für individuelle Rechtsberatung.)
Warum IT-Sicherheit rechtlich Chefsache ist
Der Kern ist eine simple juristische Logik: Die Geschäftsführung muss ein Unternehmen sorgfältig führen. Was „sorgfältig” bedeutet, wandelt sich mit der Zeit – und im Jahr 2026 gehört ein angemessener Schutz vor Cyberrisiken selbstverständlich dazu. Ein Geschäftsführer, der IT-Sicherheit ignoriert, verletzt seine Sorgfaltspflicht genauso, wie wenn er die Buchhaltung schleifen ließe.
Der Wortlaut ist knapp und deshalb weit: § 43 Abs. 1 GmbHG verlangt „die Sorgfalt eines ordentlichen Geschäftsmannes”. Wer diese Obliegenheit verletzt, haftet der Gesellschaft nach Absatz 2 solidarisch für den entstandenen Schaden – und zwar mit dem eigenen Vermögen. Absatz 4 gibt der Gesellschaft dafür fünf Jahre Zeit. Ein Vorfall aus 2026 kann also noch 2031 zur Frage werden, ob die Leitung damals genug getan hat.
Die drei Rechtsgrundlagen im Überblick
Die persönliche Haftung speist sich aus drei Quellen, die unterschiedlich greifen: das Gesellschaftsrecht gilt immer, NIS2 nur für regulierte Einrichtungen, die DSGVO überall dort, wo personenbezogene Daten verarbeitet werden.
| Norm | Gilt für | Was verlangt wird | Folge bei Verstoß |
|---|---|---|---|
| § 43 GmbHG (§ 93 AktG) | jede GmbH, jede AG | Sorgfalt eines ordentlichen Geschäftsmannes | persönliche Haftung gegenüber der Gesellschaft, 5 Jahre Verjährung |
| § 38 BSIG (NIS2) | besonders wichtige und wichtige Einrichtungen | Maßnahmen umsetzen, Umsetzung überwachen, sich schulen lassen | Haftung nach Gesellschaftsrecht, Bußgeld gegen die Einrichtung |
| Art. 32 DSGVO | alle Verarbeiter personenbezogener Daten | angemessene technische und organisatorische Maßnahmen | Bußgeld, Schadenersatz nach Art. 82 DSGVO |
Ob Ihr Unternehmen überhaupt unter NIS2 fällt, klärt der NIS2-Check in wenigen Minuten. Wie das NIS2-Umsetzungsgesetz im Detail funktioniert, welche Sektoren erfasst sind und ab welcher Größe, erklärt unser Ratgeber dazu.
Was § 38 BSIG von der Geschäftsleitung verlangt
§ 38 BSIG ist die schärfste der drei Normen, weil sie die Leitung direkt adressiert. Absatz 1 verpflichtet Geschäftsleitungen, die Risikomanagementmaßnahmen nach § 30 BSIG „umzusetzen und ihre Umsetzung zu überwachen”. Absatz 2 ordnet die Haftung für schuldhaft verursachte Schäden dem Gesellschaftsrecht zu – der Kreis zu § 43 GmbHG schließt sich also. Absatz 3 verlangt, dass Geschäftsleitungen regelmäßig an Schulungen teilnehmen.
Diese Schulungspflicht ist eine eigene, von den Mitarbeitendenschulungen getrennte Pflicht. In seiner Handreichung zur Geschäftsleitungsschulung stellt das BSI klar, dass die Geschäftsleitung gewährleisten muss, dass Cybersicherheit integraler Bestandteil des Risikomanagements ist, und „diese Aufgabe auch nicht delegieren kann”. Ein fester Turnus steht nicht im Gesetz; das BSI empfiehlt eine ausführliche Erstschulung mit regelmäßigen Folgeschulungen und nennt vier Anlässe zum Nachschulen: Wechsel in der Geschäftsleitung, signifikante Änderungen der Geschäftsprozesse, der Risikoexposition oder der umgesetzten Maßnahmen.
Als Formate akzeptiert das BSI ausdrücklich mehr als Frontalunterricht – etwa ein „Risikomanagement-Quarterly” mit der Informationssicherheitsbeauftragten, Tabletop-Übungen oder eine Audit-Simulation. Entscheidend ist die Dokumentation: Das BSI verlangt „eine lückenlose Dokumentation über Datum, Zeitraum und Inhalte der durchgeführten Schulungen”.
Was ein Verstoß kostet
Die Zahlen stehen in § 65 BSIG: bis zu zehn Millionen Euro bei besonders wichtigen, bis zu sieben Millionen Euro bei wichtigen Einrichtungen. Bei Unternehmen mit mehr als 500 Millionen Euro Gesamtumsatz tritt eine Umsatzgrenze daneben – zwei Prozent beziehungsweise 1,4 Prozent des weltweiten Jahresumsatzes. Diese Bußgelder treffen die Einrichtung; die persönliche Haftung der Leitung läuft daneben über das Gesellschaftsrecht.
Bemerkenswert für die Praxis ist § 65 Abs. 2 Nr. 3 BSIG: Bußgeldbewehrt ist nicht nur, wer keine Maßnahmen ergreift, sondern auch, wer die Einhaltung nicht, nicht richtig oder nicht vollständig dokumentiert. Die Dokumentationspflicht selbst steht in § 30 Abs. 1 Satz 3 BSIG. Derselbe Paragraf listet in Absatz 2 zehn Mindestmaßnahmen auf – darunter Backup-Management und Wiederherstellung, Bewältigung von Sicherheitsvorfällen, Kryptografie, Zugriffskontrolle und ausdrücklich Multi-Faktor-Authentifizierung.
Die acht Pflichten der Leitung
Aus diesen Grundlagen ergeben sich konkrete Handlungspflichten. Die Geschäftsführung sollte:
- IT-Sicherheit zur Chefsache erklären – sie aktiv verantworten, nicht wegschauen.
- Ein angemessenes Schutzniveau sicherstellen – auf dem Stand der Technik.
- Ein Budget bereitstellen, das dem Risiko entspricht.
- Maßnahmen billigen und dokumentieren – Beschlüsse nachvollziehbar festhalten.
- Die Umsetzung überwachen – sich regelmäßig berichten lassen.
- Sich selbst schulen – Grundverständnis für Cyberrisiken aufbauen (bei NIS2 Pflicht).
- Für Notfallvorsorge sorgen – Notfallplan, Meldewege, Wiederanlauf.
- Alles nachweisbar dokumentieren – denn im Ernstfall zählt der Nachweis.
Punkt 2 und 3 hängen zusammen: Das BSI hält in der Handreichung fest, dass die Geschäftsleitung Risiken einschätzen können muss, „auch deshalb …, damit sie ausreichend finanzielle und personelle Ressourcen zur Umsetzung bereitstellen kann”. Ein zu knappes IT-Budget ist damit keine kaufmännische Entscheidung mehr, sondern potenziell eine Pflichtverletzung.
Enthaftung durch nachweisbare Organisation
Die gute Nachricht: Wer seine Pflichten erfüllt, ist geschützt. Die Haftung trifft nicht den, der einen Vorfall trotz sorgfältiger Vorsorge erleidet, sondern den, der die Vorsorge unterlassen hat. Der Schlüssel zur Enthaftung ist deshalb nachweisbare Organisation: ein dokumentiertes IT-Sicherheitskonzept, belegte Maßnahmen, protokollierte Kontrollen und Schulungsnachweise.
Genau das ist der Unterschied zwischen „wir machen schon was” und einem Nachweis, der einer Prüfung standhält: eine Zahl, ein Stand, ein Datum. Wer zeigen kann, dass er die IT-Sicherheit strukturiert und mit angemessenem Aufwand betrieben hat, hat seine Sorgfaltspflicht erfüllt – auch wenn trotzdem etwas passiert. Im kjello-Portal für Sicherheit und Compliance entsteht dieser Nachweis nebenbei aus dem laufenden Betrieb, statt vor einem Audit rekonstruiert zu werden.
Der Unterschied zwischen Haftung und Enthaftung ist oft die Dokumentation. Nicht getroffene Maßnahmen schaden – aber getroffene, undokumentierte Maßnahmen helfen im Zweifel auch nicht. Was nicht nachweisbar ist, gilt vor Gericht schnell als nicht geschehen.
Wo es in der Praxis scheitert
In den Erstgesprächen sehen wir selten böse Absicht. Wir sehen gewachsene Landschaften, in denen jede einzelne Maßnahme irgendwann einmal sinnvoll war – aber niemand je ein Gesamtbild aufgeschrieben hat.
Es ist immer nur ein Pflaster auf die Wunde geklebt worden, statt dass wir ein Konzept hatten.
Der zweite typische Befund ist die Berichtslücke. Die IT arbeitet, die Geschäftsführung hört nichts – und beide halten das für ein gutes Zeichen. Für die Überwachungspflicht aus § 38 Abs. 1 BSIG ist es das Gegenteil: Wer nichts berichtet bekommt, kann nichts überwachen und nichts nachweisen. Ein Quartalsbericht mit Patchstand, Backup-Prüfung, MFA-Abdeckung und offenen Findings kostet eine halbe Stunde und ist der billigste Enthaftungsbaustein, den es gibt.
Wir starten jede Zusammenarbeit mit einer Risikoanalyse gemeinsam mit der Geschäftsführung. Nicht um Angst zu machen, sondern um ehrlich zu sehen, wo Sie stehen und was zuerst dran ist.
Jens HagelGründer & Geschäftsführer
Haftungsrisiken gezielt minimieren
Die Haftung der Geschäftsführung bei IT-Sicherheit ist real, aber die Risiken lassen sich gezielt senken. Der Hebel ist eine umfassend implementierte Informationssicherheit: technische und organisatorische Maßnahmen, die dem Risiko angemessen sind und dokumentiert werden. Für personenbezogene Daten schreibt Art. 32 DSGVO das ohnehin vor, unabhängig von jeder NIS2-Betroffenheit, und nennt Verschlüsselung, Verfügbarkeit und ein Verfahren zur regelmäßigen Überprüfung der Wirksamkeit.
Zur Absicherung gehört ein Bündel: die Umsetzung der Handlungsempfehlungen aus dem Sicherheitskonzept, wirksamer Schutz vor Ransomware und moderne Endpoint Detection and Response auf den Geräten, eine Cyber-Versicherung als zusätzliches Netz und ein klarer Vertrag mit dem IT-Dienstleister, der Verantwortlichkeiten regelt.
Eine Pflichtverletzung liegt nicht schon dann vor, wenn ein Angriff erfolgreich war, sondern erst dann, wenn die Leitung erkennbar zu wenig zum Schutz unternommen hat. Relevant ist nicht der Erfolg des Angriffs, sondern ob die getroffenen Maßnahmen angemessen und dokumentiert waren. Ein erfolgreicher Ransomware-Vorfall führt also nicht automatisch zur Haftung – entscheidend bleibt der Nachweis der Vorsorge.
„Dafür haben wir kein Budget” – die Kostenfrage
Der häufigste Einwand in Geschäftsführungsgesprächen ist der Preis. Er lässt sich rechnen: kjello kostet 29 € pro User und Monat für den laufenden Betrieb inklusive Portal, Geräte-Management, Support und Dokumentation, optional +10 € pro User und Monat für Antivirus und EDR. Bei 40 Arbeitsplätzen sind das rund 1.560 € im Monat für einen belegbaren Sicherheits- und Betriebsstand – die vollständige Preisübersicht steht offen auf der Website. Dem gegenüber steht ein Bußgeldrahmen in Millionenhöhe und eine persönliche Haftung ohne Deckel. Wer zusätzlich Struktur braucht, findet in unserer IT-Sicherheits-Checkliste für den Mittelstand den Einstieg ohne Beratungstermin.
30 Minuten mit der Geschäftsführung: Wo stehen Sie, was fehlt zum Nachweis, was ist zuerst dran. Kostenlos, ohne Vertriebsdruck.
Gespräch vereinbarenSofort-Checkliste für die Geschäftsführung
- Betroffenheit geklärt. Fällt das Unternehmen unter NIS2 – und ist das Ergebnis schriftlich festgehalten?
- Sicherheitskonzept vorhanden. Dokumentiert, aktuell, von der Geschäftsführung freigegeben.
- Grundschutz nachweislich umgesetzt. MFA, geprüfte Backups, Patchstand, EDR – mit Abdeckungsgrad, nicht mit Bauchgefühl.
- Berichtsrhythmus etabliert. Mindestens quartalsweise ein Sicherheitsbericht an die Leitung.
- Notfallplan mit Meldewegen. Wer entscheidet, wer meldet, in welcher Frist, an wen.
- Beschlüsse und Kontrollen dokumentiert. Protokolle, Freigaben, Prüfergebnisse – auffindbar, nicht im Postfach.
- Schulungen der Leitung belegt. Datum, Zeitraum und Inhalte lückenlos festgehalten.
Fazit: Verantwortung annehmen, Nachweis führen
Die persönliche Haftung von Geschäftsführern bei IT-Sicherheit ist kein Schreckgespenst, sondern die logische Folge einer digitalen Wirtschaft: Wer ein Unternehmen führt, verantwortet auch dessen Schutz. Die Antwort darauf ist nicht Angst, sondern Struktur – ein Sicherheitskonzept, umgesetzte Maßnahmen und ein Nachweis, dass die Leitung ihre Pflicht ernst nimmt. Genau dabei unterstützt kjello die Geschäftsführung: IT-Sicherheit nachweisbar erfüllen, damit aus der Chefsache kein Haftungsfall wird.
Geschrieben von
Jens Hagel
Gründer & Geschäftsführer
Jens Hagel gründete 2004 das Systemhaus hinter kjello und betreut mit seinem Team über 150 mittelständische Unternehmen. Er schreibt über das, was er in echten Firmen erlebt – praxisnah, ehrlich und ohne Fachchinesisch.
Häufige Fragen
Haftet ein Geschäftsführer bei IT-Sicherheitsvorfällen persönlich?
Reicht es, die IT-Sicherheit an die IT-Abteilung zu delegieren?
Schützt eine D&O-Versicherung vor der Haftung?
Was verlangt NIS2 konkret von der Geschäftsführung?
Wie oft muss sich die Geschäftsleitung zur Cybersicherheit schulen lassen?
Haftet die Geschäftsführung auch ohne NIS2-Betroffenheit?
IT-Sicherheit als Chefsache absichern
kjello hilft der Geschäftsführung, ihre Sorgfaltspflicht nachweisbar zu erfüllen – mit dokumentierten Maßnahmen, Sicherheitskonzept und laufender Kontrolle. Sehen Sie, wie.
