Wer haftet bei Cyberangriffen im Unternehmen?

Cyberangriffe gehören heute zu den größten Geschäftsrisiken für Unternehmen. Ransomware, Datenlecks oder Systemausfälle können erhebliche finanzielle Schäden verursachen.

Eine zentrale Frage lautet dabei: Wer haftet eigentlich, wenn ein Cyberangriff passiert?

Die Antwort ist komplex, denn die Haftung hängt von Verantwortlichkeiten, organisatorischen Maßnahmen und dem Sicherheitsniveau des Unternehmens ab. Besonders die Geschäftsführung trägt eine zentrale Verantwortung für angemessene Informationssicherheit.

Grundprinzip: Unternehmerische Verantwortung für IT-Sicherheit

Die Verantwortung für Informationssicherheit liegt grundsätzlich bei der Unternehmensleitung.

Das bedeutet:

• Geschäftsführung muss Risiken erkennen und bewerten
• angemessene Sicherheitsmaßnahmen müssen umgesetzt werden
• Organisation muss „Stand der Technik“ berücksichtigen
• Compliance-Anforderungen müssen eingehalten werden

IT-Sicherheit ist damit keine rein technische Aufgabe, sondern eine unternehmerische Pflicht.

Wer haftet konkret bei einem Cyberangriff?

Die Haftung kann mehrere Ebenen betreffen:

1. Geschäftsführung / Vorstand

Die Geschäftsführung trägt die organisatorische Gesamtverantwortung.

Sie haftet insbesondere, wenn:

• keine angemessenen Sicherheitsmaßnahmen existieren
• Risiken ignoriert wurden
• kein Sicherheitsmanagementsystem vorhanden ist
• gesetzliche Anforderungen (z. B. NIS2, DSGVO) verletzt werden

Wichtig:
Auch wenn die Geschäftsführung nicht technisch involviert ist, bleibt die Verantwortung bestehen.

2. IT-Leitung / interne Verantwortliche

IT-Verantwortliche können haftbar gemacht werden, wenn:

• klare Pflichten verletzt wurden
• Sicherheitsvorgaben ignoriert wurden
• grobe Fahrlässigkeit vorliegt

In der Praxis liegt die Hauptverantwortung jedoch meist bei der Geschäftsführung.

3. Externe Dienstleister

Auch externe IT-Dienstleister oder Cloud-Anbieter können haftbar sein, wenn:

• vertragliche Sicherheitsanforderungen verletzt wurden
• technische Fehler oder Fahrlässigkeit vorliegen

Allerdings ist die Haftung oft vertraglich begrenzt.

Wann haftet die Geschäftsführung persönlich?

Die persönliche Haftung der Geschäftsführung kann entstehen bei:

Fehlender organisatorischer Sicherheit

Wenn kein strukturiertes Informationssicherheitsmanagement vorhanden ist, z. B.:

• kein ISMS
• keine Risikoanalysen
• keine Sicherheitsrichtlinien

Verstoß gegen Sorgfaltspflichten

Geschäftsführer sind verpflichtet, die „Sorgfalt eines ordentlichen Kaufmanns“ anzuwenden.

Dazu gehört:

• regelmäßige Risikoprüfung
• Umsetzung angemessener IT-Sicherheitsmaßnahmen
• Kontrolle von Dienstleistern

Ignorieren bekannter Risiken

Wenn bekannte Sicherheitslücken nicht geschlossen werden, kann dies als grobe Fahrlässigkeit gewertet werden.

Verstöße gegen gesetzliche Anforderungen

Relevante Regelwerke:

• DSGVO (Datenschutzverletzungen)
• NIS2-Richtlinie
• branchenspezifische Sicherheitsgesetze
• KRITIS-Anforderungen

Rolle der Informationssicherheit bei der Haftungsvermeidung

Ein strukturiertes Informationssicherheitsmanagementsystem (ISMS) ist ein zentraler Schutzmechanismus gegen Haftungsrisiken.

Ein ISMS zeigt:

• dass Risiken analysiert wurden
• dass Maßnahmen umgesetzt wurden
• dass Sicherheitsprozesse existieren
• dass Verantwortung klar definiert ist

Im Ernstfall ist genau diese Nachweisbarkeit entscheidend.

Welche Rolle spielt der Informationssicherheitsbeauftragte?

Der Informationssicherheitsbeauftragte (ISB) unterstützt die Geschäftsführung dabei, Haftungsrisiken zu reduzieren.

Typische Aufgaben:

• Risikoanalysen durchführen
• Sicherheitsmaßnahmen definieren
• ISO 27001 oder NIS2 umsetzen
• Dokumentation sicherstellen
• Sicherheitsvorfälle begleiten
• Audits vorbereiten

Ein ISB sorgt damit für nachweisbare Compliance und strukturierte Sicherheit.

Unterschied: Verantwortung vs. Umsetzung

Ein wichtiger Punkt ist die Trennung zwischen Verantwortung und operativer Umsetzung:

Die Verantwortung kann nicht vollständig delegiert werden.

Typische Schadensarten bei Cyberangriffen

Cyberangriffe können verschiedene Folgen haben:

• Betriebsunterbrechungen
• Datenverlust
• Erpressung durch Ransomware
• Reputationsschäden
• Bußgelder (z. B. DSGVO)
• Vertragsstrafen
• Wiederherstellungskosten

Warum viele Unternehmen Haftungsrisiken unterschätzen

Häufige Gründe:

• „Wir sind zu klein für Angriffe“
• fehlende Sicherheitsstrategie
• unklare Verantwortlichkeiten
• keine regelmäßigen Risikoanalysen
• unterschätzte regulatorische Anforderungen

Cyberrisiken betreffen jedoch Unternehmen jeder Größe.

Wie Unternehmen sich rechtlich absichern können

Zur Reduzierung von Haftungsrisiken sollten Unternehmen:

• ein ISMS einführen (z. B. ISO 27001)
• klare Verantwortlichkeiten definieren
• regelmäßige Risikoanalysen durchführen
• Sicherheitsrichtlinien implementieren
• Mitarbeitende schulen
• externe Audits nutzen

Fazit

Bei Cyberangriffen haftet nicht nur die IT, sondern vor allem die Unternehmensführung. Die Geschäftsführung trägt die Gesamtverantwortung für angemessene Informationssicherheit und muss sicherstellen, dass Risiken systematisch gemanagt werden.

Ein strukturiertes Informationssicherheitsmanagementsystem sowie ein erfahrener Informationssicherheitsbeauftragter sind zentrale Instrumente, um Haftungsrisiken zu reduzieren und die Sicherheit des Unternehmens nachweisbar zu erhöhen.

FAQ

Wer haftet bei einem Cyberangriff im Unternehmen?

In erster Linie die Geschäftsführung, da sie für die organisatorische Sicherheit verantwortlich ist.

Kann die IT-Abteilung haftbar gemacht werden?

Ja, bei grober Pflichtverletzung oder Fahrlässigkeit, jedoch liegt die Hauptverantwortung meist bei der Geschäftsführung.

Schützt ein ISMS vor Haftung?

Ein ISMS reduziert Haftungsrisiken erheblich, da es zeigt, dass angemessene Maßnahmen umgesetzt wurden.

Welche Rolle spielt der ISB?

Der Informationssicherheitsbeauftragte unterstützt bei der Umsetzung von Sicherheitsmaßnahmen und Compliance.

Kann man Haftung komplett vermeiden?

Nein, aber sie kann durch strukturierte Informationssicherheit deutlich reduziert werden.