Ein Cyberangriff trifft dein Unternehmen – aber die Haftung trifft am Ende oft dich persönlich. Die meisten Geschäftsführer gehen davon aus, dass die GmbH wie ein Schutzschild wirkt. Bei Sicherheitsvorfällen stimmt das nur bedingt. Wer seine Sorgfaltspflichten verletzt hat, kann mit dem Privatvermögen einstehen müssen. Dieser Artikel erklärt, wann das passiert, welche Gesetze greifen – und wie du dich absicherst.
Das Wichtigste in Kürze
- Die GmbH schützt dich nach außen, aber nicht im Innenverhältnis: Über § 43 GmbHG kann dich die Gesellschaft in Regress nehmen.
- Drei Regelwerke sind entscheidend: § 43 GmbHG, die DSGVO und die NIS2-Richtlinie.
- Entscheidend ist nicht, ob du angegriffen wurdest, sondern ob du angemessene Vorsorge nachweisen kannst.
- Schutz entsteht aus drei Bausteinen: dokumentierte Maßnahmen, technische Mindeststandards und die richtige Versicherung (Cyber + D&O).
Warum dich die GmbH nicht automatisch schützt
Die Haftungsbeschränkung der GmbH wirkt im Außenverhältnis: Gegenüber Lieferanten, Kunden und anderen Dritten haftet die Gesellschaft mit ihrem Vermögen, nicht du privat. Genau deshalb gründen viele eine GmbH.
Im Innenverhältnis sieht es anders aus. Verursacht ein Geschäftsführer der Gesellschaft einen Schaden, weil er seine Pflichten verletzt hat, kann die Gesellschaft – oder im Insolvenzfall der Insolvenzverwalter – Schadenersatz von ihm persönlich verlangen. Und ein Cyberangriff, der das Unternehmen lahmlegt, ist ein solcher Schaden. Wie hoch der ausfallen kann, zeigt unser Artikel zum Betriebsausfall durch Cyberangriff.
Drei Gesetze, die dich persönlich in die Pflicht nehmen
§ 43 GmbHG – die Sorgfaltspflicht
Das GmbH-Gesetz verlangt von dir die „Sorgfalt eines ordentlichen Geschäftsmanns". Übersetzt: Du musst angemessene Vorkehrungen treffen, damit dein Unternehmen vor absehbaren Risiken geschützt ist. Cyberangriffe sind heute kein exotisches, sondern ein absehbares Risiko – Gerichte und Aufsichtsbehörden erwarten entsprechend, dass du dich darum kümmerst.
Kommt nach einem Angriff heraus, dass es keine Backups gab, dass seit Jahren keine Updates eingespielt wurden oder dass Mitarbeiter nie für Phishing sensibilisiert wurden, kann das als Pflichtverletzung gewertet werden. Die Folge: persönliche, der Höhe nach unbegrenzte Haftung.
DSGVO Art. 82 und 83 – Schadenersatz und Bußgeld
Werden bei einem Angriff personenbezogene Daten abgegriffen – Kunden-, Mitarbeiter- oder Patientendaten – wird der Vorfall zum Datenschutzthema. Innerhalb von 72 Stunden muss die zuständige Aufsichtsbehörde informiert werden. Diese prüft anschließend, ob angemessene technische und organisatorische Maßnahmen bestanden.
Die Bußgelder reichen bis zu 20 Millionen Euro oder 4 % des weltweiten Jahresumsatzes – je nachdem, was höher ist. Zusätzlich können betroffene Personen Schadenersatz fordern. Auch hier gilt: Wer Organisationspflichten verletzt hat, gerät schnell in die persönliche Verantwortung.
NIS2 – die Geschäftsleitung in der Verantwortung
Die NIS2-Richtlinie verschärft die Lage zusätzlich. Sie verpflichtet die Geschäftsleitung direkt, Risikomanagement-Maßnahmen nicht nur umzusetzen, sondern aktiv zu genehmigen und zu überwachen. Wer das einfach an die IT delegiert und wegschaut, kann persönlich belangt werden. Welche technischen Maßnahmen dahinterstehen, liest du im Detail in unserem Leitfaden zum Ransomware-Schutz für KMU.
Was „angemessene" Cybersicherheit konkret bedeutet
Der Begriff klingt vage, lässt sich aber in handfeste Punkte übersetzen. Als Mindeststandard gilt heute:
- Multi-Faktor-Authentifizierung für alle wichtigen Zugänge
- Regelmäßige, getestete Backups nach der 3-2-1-Regel
- Zeitnahes Einspielen von Updates und Sicherheits-Patches
- Mitarbeiter-Sensibilisierung gegen Phishing und Social Engineering
- Ein dokumentierter Notfallplan mit klaren Zuständigkeiten
- Nachvollziehbare Dokumentation aller getroffenen Maßnahmen
Der letzte Punkt ist juristisch der wichtigste: Was du nachweisbar getan hast, kann dir niemand als Versäumnis auslegen. Dokumentation ist im Ernstfall dein bester Verteidiger.
Ein realistisches Szenario: vom Angriff zur Regressforderung
Montag, 7:42 Uhr. Ransomware hat über Nacht alle Systeme verschlüsselt. Kein Zugriff auf Kundendaten, keine E-Mails, keine Rechnungen.
Mittwoch. Die 72-Stunden-Frist gegenüber der Datenschutzbehörde ist gerade noch gewahrt. Die Behörde fragt nach dem Sicherheitskonzept.
Nach zwei Monaten. Die Prüfung ergibt: keine dokumentierten Sicherheitsmaßnahmen, kein Notfallplan, veraltete Backups. Es folgt ein Bußgeldbescheid – und der Gesellschafter prüft Regressansprüche gegen den Geschäftsführer persönlich.
Das ist kein konstruierter Worst Case, sondern ein typischer Verlauf. Genau dieses Szenario kannst du auf unserer Seite zur Geschäftsführer-Haftung Schritt für Schritt durchgehen.
So schützt du dich – und dein Privatvermögen
1. Sorgfalt dokumentieren
Halte fest, welche Maßnahmen wann umgesetzt und überprüft wurden. Ein kurzer, regelmäßiger Sicherheits-Check reicht oft schon, um im Ernstfall handlungsfähig und nachweisbar sorgfältig zu sein.
2. Technische Mindeststandards umsetzen
MFA, Backups, Updates, Awareness – die oben genannten Punkte sind kein Hexenwerk und auch ohne eigene IT-Abteilung machbar. Wichtig ist, dass sie tatsächlich gelebt und nicht nur auf dem Papier existieren.
3. Das Restrisiko versichern
Eine Cyberversicherung fängt im Ernstfall die Kosten für Forensik, Wiederherstellung, Rechtsberatung und entgangenen Umsatz auf. Eine D&O-Versicherung schützt zusätzlich deine persönliche Haftung als Organ. Zusammen schließen sie die Lücke, die auch die beste Technik offenlässt.
Fazit
Die persönliche Haftung des Geschäftsführers bei Cyberangriffen ist real – aber beherrschbar. Wer angemessene Maßnahmen umsetzt, sie dokumentiert und das Restrisiko versichert, nimmt dem Thema seinen Schrecken. Der erste Schritt ist, ehrlich zu prüfen, wo du gerade stehst.
Dieser Artikel ist eine allgemeine Einordnung und ersetzt keine individuelle Rechtsberatung.
Wo stehst du gerade? Mach den kostenlosen Cyber-Check und finde in zwei Minuten heraus, ob deine Vorsorge ausreicht.
Wie sicher ist dein Unternehmen?
Du hast Fragen zu grundlegenden Vorsorgethemen in deinem Unternehmen? Melde dich unverbindlich bei uns.