Geschäftsführerhaftung Cybersecurity 2026: Wann Sie persönlich haften

Ein Ransomware-Befall trifft die IT. Und zunehmend das Privatvermögen der Geschäftsführung. Seit dem 6. Dezember 2025 novelliert das NIS2-Umsetzungsgesetz das BSI-Gesetz: Wer als Geschäftsleitung die geforderten Cyberrisiko-Maßnahmen nicht nachweislich umsetzt und überwacht, haftet der eigenen Gesellschaft mit dem Privatvermögen. Geschäftsführerhaftung Cybersecurity ist damit für viele Mittelständler keine abstrakte Compliance-Frage mehr, sondern eine sehr konkrete. Dieser Beitrag zeigt, wer betroffen ist, was § 38 BSIG und § 43 GmbHG fordern und mit welchen Managed-Security-Services sich dokumentierte Schutzmaßnahmen im Alltag nachweisen lassen.

Was bedeutet Geschäftsführerhaftung Cybersecurity nach NIS2 konkret?

Vor NIS2 stützte sich die Geschäftsführerhaftung bei IT-Sicherheitsmängeln vor allem auf die allgemeine Sorgfaltspflicht nach § 43 GmbHG beziehungsweise § 93 AktG: Wer nicht die Sorgfalt eines „ordentlichen Geschäftsmannes“ walten lässt, haftet der Gesellschaft für den entstandenen Schaden. Diese Pflicht war schon vor 2025 nicht neu, blieb in der Praxis aber oft folgenlos, weil sich ein Verstoß schwer nachweisen ließ.

Das ändert sich mit § 38 BSIG. Für die rund 29.500 als „besonders wichtig“ oder „wichtig“ eingestuften Einrichtungen in Deutschland gilt seit dem 6. Dezember 2025 eine konkrete, nicht delegierbare Pflicht: Die Geschäftsleitung muss die Risikomanagementmaßnahmen nach § 30 BSIG aktiv umsetzen, ihre Umsetzung fortlaufend überwachen und regelmäßig an Cybersicherheitsschulungen teilnehmen. Ein informelles Nicken im Meeting reicht nicht: Die Umsetzung muss dokumentiert sein, etwa als Geschäftsleitungsbeschluss mit Datum und den konkret freigegebenen Maßnahmen.

Wann haftet der Geschäftsführer persönlich für einen Cyber-Vorfall?

Der Geschäftsführer haftet persönlich, wenn er schuldhaft gegen die Umsetzungs- oder Überwachungspflicht aus § 38 BSIG oder gegen die allgemeine Sorgfaltspflicht aus § 43 GmbHG verstößt. Praktisch bedeutet das: Kann nach einem Angriff niemand belegen, dass angemessene, dokumentierte Schutzmaßnahmen vorhanden waren, gilt das als Indiz für eine Pflichtverletzung. Die Beweislast liegt faktisch bei der Geschäftsführung.

Für wen gilt die verschärfte Haftung, und welche Bußgelder drohen?

Die NIS2-Pflichten treffen nicht jedes Unternehmen gleich stark. Die folgende Übersicht ordnet die beiden wichtigsten Haftungsgrundlagen ein:

Wichtig für die Einordnung: Das Unternehmensbußgeld trifft die Gesellschaft, die Innenhaftung nach § 38 Abs. 2 BSIG trifft die Geschäftsführung persönlich gegenüber der eigenen Gesellschaft, nicht gegenüber Dritten. Beides kann parallel entstehen, wenn ein Vorfall auf eine versäumte Umsetzung oder Überwachung zurückgeht.

Ob ein Unternehmen überhaupt als „wichtige“ oder „besonders wichtige“ Einrichtung zählt, hängt von Größe und Sektor ab: Als „wichtig“ gelten Betriebe der NIS2-Sektoren bereits ab 50 Mitarbeitenden oder mehr als 10 Millionen Euro Jahresumsatz und Bilanzsumme, eine Schwelle, die kleinere Mittelständler oft überschreiten, ohne es zu wissen. „Besonders wichtig“ sind grundsätzlich nur größere Unternehmen ab 250 Mitarbeitenden beziehungsweise über 50 Millionen Euro Umsatz und 43 Millionen Euro Bilanzsumme, plus bestimmte kritische Sektoren unabhängig von der Größe.

Kann ich die Verantwortung an den IT-Leiter delegieren?

Nein, nicht vollständig. Die operative Umsetzung, also Firewall-Konfiguration, Patch-Management und Monitoring, lässt sich an die IT-Abteilung oder einen Managed-Service-Provider delegieren. Die strategische Verantwortung, also Umsetzung und Überwachung der Maßnahmen, bleibt laut § 38 BSIG zwingend bei der Geschäftsleitung. Ein Haftungsverzicht ist ausgeschlossen. Auch eine D&O-Versicherung (Manager-Haftpflichtversicherung) hilft nur bedingt: Sie deckt Cyber-Schäden meist nur, wenn eine schuldhafte Pflichtverletzung des Managements nachweisbar und die Police entsprechend ausgestaltet ist. Pauschal verlassen sollte sich niemand darauf.

5 Maßnahmen, mit denen Sie Ihre Sorgfaltspflicht nachweisbar erfüllen

Vor Gericht zählt nicht die Absicht, sondern die Dokumentation. Diese fünf Punkte bilden die Grundlage für eine belastbare Beweislage:

1. Geschäftsleitungsbeschluss dokumentieren – Datum, Teilnehmer und konkret freigegebene Maßnahmen schriftlich festhalten, nicht nur mündlich absegnen.
2. Quartalsweise Statusberichte einführen – offene Risiken, Maßnahmenfortschritt und Vorfallszahlen als feste Agenda-Punkte im Führungskreis.
3. Externe Überwachung nachweisen – ein Managed-Detection-and-Response-Vertrag liefert lückenlose Protokolle, die im Streitfall als Beleg für laufende Überwachung dienen.
4. Schulungsteilnahme der Geschäftsführung protokollieren – die eigene Teilnahme an Cybersicherheits-Schulungen gehört ebenso dokumentiert wie die der Belegschaft.
5. D&O-Police auf Cyber-Deckung prüfen lassen – gemeinsam mit dem Versicherungsmakler klären, welche Pflichtverletzungen tatsächlich gedeckt sind.

Sophos MDR Complete etwa liegt im Konfigurator ab 246,82 Euro netto pro Lizenz und liefert Protokolle, die als Nachweis der Überwachungspflicht aus § 38 BSIG dienen können. Die rechtliche Bewertung im Einzelfall bleibt Sache einer Rechtsberatung, ein eigenes Security Operations Center (SOC) entfällt dadurch aber.

Wer noch unsicher ist, ob das eigene Unternehmen unter die NIS2-Pflichten fällt, findet in der NIS2-Compliance-Checkliste für KMU eine erste Einordnung.

Haftet ein Geschäftsführer automatisch, sobald ein Angriff erfolgreich war?

Nein. Ein erfolgreicher Angriff allein begründet noch keine automatische Haftung. Das zeigt ein Fall des Oberlandesgerichts Zweibrücken (Urteil vom 18.8.2022, Az. 4 U 198/21): Eine Geschäftsführerin hatte nach einer Phishing-Mail mit gefälschter Absenderadresse eine hohe fünfstellige Summe an Betrüger überwiesen. Die eigene GmbH verklagte sie daraufhin auf Schadensersatz. Das Gericht wies die Klage ab, weil das Tätigen einzelner Überweisungen keine „spezifisch organschaftliche Pflicht“ ist, sondern operative Buchhaltungsarbeit. Zusätzlich erkannte es nur leichte Fahrlässigkeit an und milderte die Haftung.

Der Fall zeigt die Grenze klar: Bei einer einzelnen Fehlüberweisung im Tagesgeschäft trägt eher die Buchhaltung das Risiko. Anders liegt der Fall, wenn ein Vorfall auf eine strukturell fehlende Umsetzung oder Überwachung von Sicherheitsmaßnahmen zurückgeht. Genau das adressiert § 38 BSIG als eigene, nicht delegierbare Organpflicht.

Häufige Fragen zur Geschäftsführerhaftung bei Cyber-Vorfällen

Was passiert, wenn ein Unternehmen die NIS2-Pflichten komplett ignoriert?

Das Unternehmen riskiert ein Bußgeld bis zu 10 Millionen Euro oder 2 Prozent des weltweiten Jahresumsatzes. Zusätzlich haftet die Geschäftsführung nach § 38 Abs. 2 BSIG persönlich gegenüber der eigenen Gesellschaft, wenn ein Schaden auf eine versäumte Umsetzung oder Überwachung zurückgeht.

Deckt eine D&O-Versicherung Schäden aus einem Cyber-Vorfall ab?

Teilweise. D&O-Policen decken nur Pflichtverletzungen aus der „Managementtätigkeit“ und setzen eine nachweisbare, schuldhafte Pflichtverletzung voraus. Bei rein technischen Cyber-Vorfällen ist das oft schwer zu belegen, weshalb sich eine Prüfung vor dem Ernstfall gemeinsam mit dem Versicherungsmakler lohnt.

Gilt die persönliche Haftung auch für kleine GmbHs außerhalb von NIS2?

Ja, im Kern schon. Auch ohne NIS2-Einstufung gilt die allgemeine Sorgfaltspflicht aus § 43 GmbHG: IT-Sicherheit ist eine nicht delegierbare Führungsaufgabe. NIS2 verschärft diese Pflicht für die betroffenen 29.500 Einrichtungen lediglich um konkrete Umsetzungs-, Überwachungs- und Schulungspflichten.

Wie oft muss die Geschäftsführung an Cybersicherheitsschulungen teilnehmen?

§ 38 Abs. 3 BSIG verlangt eine „regelmäßige“ Teilnahme, ohne ein festes Intervall vorzugeben. In der Praxis empfiehlt sich eine jährliche Schulung mit dokumentierter Teilnahmeliste, um im Streitfall lückenlos nachweisen zu können.

Reicht eine einmalige Risikoanalyse zur Absicherung aus?

Nein. § 38 BSIG verlangt eine laufende Überwachung der Umsetzung, keine einmalige Momentaufnahme. Ohne wiederkehrende Statusberichte und aktualisierte Maßnahmen lässt sich die Sorgfaltspflicht im Streitfall kaum belegen.

Wie weit die eigene Dokumentation heute schon trägt, lässt sich am besten im direkten Gespräch klären. Der Produktberater ordnet den Status quo ein und zeigt, welche Managed-Services die Nachweislücke schließen. Oder Sie kontaktieren unser Team direkt für eine unverbindliche Ersteinschätzung.