Sanktions- und Haftungsquellen
| Quelle | Adressat | Rechtsfolge |
|---|---|---|
| NIS2-Bußgeldregime (§§ 60 ff. BSIG) | Einrichtung + Leitung | Bis 10 Mio. EUR / 2 % weltweiter Umsatz (wesentliche Einrichtung). |
| DSGVO Art. 83 | Verantwortlicher (Gesellschaft) | Bis 20 Mio. EUR / 4 % weltweiter Umsatz; Leitung über § 30 OWiG. |
| § 823 Abs. 2 BGB i.V.m. Schutzgesetz | Leitung persönlich | Schadensersatz gegenüber Betroffenen. |
| Insolvenzverschleppung § 15a InsO | Leitung persönlich | Strafbarkeit + Schadensersatz an Gläubiger. |
| Unterlassene Meldung (§§ 32, 60 BSIG) | Einrichtung + Leitung | Bußgeld + ggf. straf-/disziplinarische Folgen. |
Persönliche Bußgelder: das neue Risiko
Das NIS2-Umsetzungs- und Cybersicherheitsstärkungsgesetz hat das Bußgeldregime gegenüber Leitungspersonen geschärft. § 60 BSIG erlaubt die direkte Inanspruchnahme der Leitung bei Verstößen gegen die Cybersicherheits-Pflichten. Die versicherungsrechtliche Behandlung folgt dem Sanktionsprinzip: Bußgelder sind in Deutschland regelmäßig nicht versicherbar. Wirtschaftlich entlastet die D&O dennoch, weil sie die Verteidigungskosten trägt — ein Bußgeldverfahren kann schnell sechsstellige Anwalts- und Sachverständigenkosten produzieren.
Deliktische Haftung und Strafverfahren
Eine persönliche deliktische Haftung der Leitung gegenüber Dritten setzt einen eigenständigen Haftungstatbestand voraus — etwa die Verletzung eines Schutzgesetzes (§ 823 Abs. 2 BGB) oder eine Garantenstellung. In Cyberkontexten sind dies typischerweise: Verstöße gegen das BDSG/DSGVO mit Strafbarkeit nach § 42 BDSG, Untreue durch unzulässige Lösegeldzahlung, fahrlässige Insolvenzverschleppung. Die Verteidigungslast ist hoch.
Strategische Konsequenzen
Außenhaftung lässt sich nicht wegversichern, aber strukturieren: Dokumentierte Pflichterfüllung (Innenhaftung verhindern, siehe Innenhaftung), D&O mit weit gefassten Verteidigungskosten (siehe D&O), klare Krisenkommunikation und frühzeitige Einbindung externer Strafverteidigung. NIS2-konforme Organisation (siehe NIS2-Geschäftsleitung) ist der entscheidende Hebel, um persönliche Inanspruchnahme zu reduzieren.
Häufige Fragen
- Wann haftet die Geschäftsleitung Dritten persönlich?
- Wenn ein eigenständiger Haftungstatbestand erfüllt ist: deliktische Haftung (§ 823 BGB), Verletzung eines Schutzgesetzes (§ 823 Abs. 2 BGB), Bußgeldnorm gegenüber Leitungspersonen (§ 30 OWiG, NIS2-Bußgeldregime), Insolvenzverschleppung gegenüber Gläubigern.
- Wie hoch sind die persönlichen NIS2-Bußgelder?
- Wesentliche Einrichtungen: bis 10 Mio. EUR oder 2 Prozent des weltweiten Jahresumsatzes. Wichtige Einrichtungen: bis 7 Mio. EUR oder 1,4 Prozent. § 60 BSIG erlaubt zudem die persönliche Inanspruchnahme der Leitungspersonen.
- Können Betroffene direkt klagen?
- Bei reinen Vermögensschäden Dritter gegen die Geschäftsleitung nur in engen Grenzen. Häufiger sind Sammelklagen gegen die Gesellschaft, die dann intern auf die Geschäftsleitung zurückgeführt werden.
- Greift die D&O bei Außenhaftung?
- Ja, die D&O deckt beide Richtungen. Bußgelder bleiben jedoch in Deutschland regelmäßig nicht versicherbar; gedeckt sind aber die Abwehrkosten.
- Was ist mit Strafverfahren?
- Strafbarkeit der Leitung kommt insbesondere wegen unterlassener Meldung, Datenhehlerei oder Untreue in Betracht. Die D&O leistet auf Strafverteidigungskosten nur, soweit dies die Bedingungen vorsehen.
- Wie wirkt das Verbot der versicherbaren Bußgelder?
- Es soll die Sanktion personalisieren. Die D&O kann das Bußgeld nicht abnehmen, aber Vorbereitung, Verteidigung und Folgeprozesse finanziell tragen — ein wichtiger faktischer Schutz.
Dieser Beitrag gibt den Rechtsstand Stand: Juni 2026 wieder und ersetzt keine Beratung im Einzelfall.
