Geschäftsführerhaftung bei IT-Sicherheit: Was der Mittelstand wissen muss
Kann ein Geschäftsführer persönlich für IT-Sicherheitsmängel haften?
Ja. Geschäftsführer können unter bestimmten Voraussetzungen persönlich haften, wenn sie ihre Organisations- und Überwachungspflichten verletzen und der Gesellschaft dadurch ein Schaden entsteht.
Für Geschäftsführer einer GmbH ergibt sich der allgemeine Sorgfaltsmaßstab insbesondere aus § 43 GmbHG. Danach müssen sie bei der Geschäftsführung die Sorgfalt eines ordentlichen Geschäftsmannes anwenden.
Das betrifft auch den angemessenen Umgang mit wesentlichen IT-Risiken.
Ein Beispiel: Ein mittelständisches Unternehmen wird Opfer eines Cyberangriffs. Geschäftskritische Systeme fallen aus, Daten sind nicht mehr verfügbar und der Betrieb steht zeitweise still. Im Nachgang stellt sich heraus, dass zentrale Sicherheitsmaßnahmen seit längerer Zeit nicht umgesetzt wurden und eindeutige Verantwortlichkeiten fehlten.
In einer solchen Situation kann sich die Frage stellen, ob die Geschäftsführung ihre Pflichten zur angemessenen Organisation und Überwachung verletzt hat.
Wichtig ist die Unterscheidung: Nicht jeder Cyberangriff führt automatisch zu einer Haftung. Entscheidend sind insbesondere die konkreten Pflichten, eine mögliche Pflichtverletzung, ein entstandener Schaden und die erforderlichen rechtlichen Zusammenhänge.
IT-Sicherheit bleibt Geschäftsführungsverantwortung – auch ohne NIS-2
In vielen mittelständischen Unternehmen sind IT-Strukturen über Jahre gewachsen. Neue Anwendungen wurden eingeführt, zusätzliche Standorte angebunden und Aufgaben an externe Dienstleister übertragen.
Häufig funktionieren diese Strukturen im Tagesgeschäft zuverlässig. Doch ist auch geregelt, wer Risiken bewertet, Berechtigungen überprüft oder bei Sicherheitsvorfällen Entscheidungen trifft?
Die Geschäftsführung muss nicht jede technische Einzelmaßnahme selbst umsetzen. Sie muss jedoch für eine der Unternehmenssituation angemessene Organisation sorgen und die Wahrnehmung wesentlicher Aufgaben überwachen.
Dazu gehören insbesondere:
- Klare Verantwortlichkeiten: Wer ist für IT-Sicherheit, Risikobewertung und die Überwachung von Maßnahmen zuständig?
- Dokumentierte IT-Richtlinien: Sind wesentliche Prozesse und Sicherheitsanforderungen verbindlich geregelt?
- Angemessene IT-Kontrollen: Werden beispielsweise Zugriffsrechte, Systemänderungen und Datensicherungen regelmäßig überprüft?
- Transparenz über IT-Risiken: Kennt die Geschäftsführung die wesentlichen Risiken und erhält sie geeignete Informationen darüber?
- Überwachung externer Dienstleister: Sind geschäftskritische Abhängigkeiten bekannt und werden diese angemessen gesteuert?
Welche Maßnahmen im Einzelfall erforderlich sind, richtet sich unter anderem nach Unternehmensgröße, Geschäftsmodell, Risikolage und gesetzlichen Anforderungen.
Die Delegation an eine IT-Abteilung oder einen externen Dienstleister ersetzt nicht die unternehmerische Verantwortung für eine angemessene Organisation und Überwachung.
NIS-2 verschärft die Anforderungen an die Geschäftsleitung
Mit dem deutschen NIS-2-Umsetzungsgesetz gelten seit dem 6. Dezember 2025 erweiterte gesetzliche Pflichten für zahlreiche Unternehmen.
Für besonders wichtige und wichtige Einrichtungen enthält § 38 BSI-Gesetz ausdrückliche Anforderungen an die Geschäftsleitung (Management).
Diese muss insbesondere:
- die vorgeschriebenen Cybersicherheits-Risikomanagementmaßnahmen umsetzen,
- deren Umsetzung überwachen und
- regelmäßig an entsprechenden Schulungen teilnehmen.
Das Gesetz sieht bei schuldhafter Verletzung der Umsetzungs- und Überwachungspflichten auch Haftungsfolgen nach Maßgabe der einschlägigen gesellschaftsrechtlichen Regelungen vor.
Nicht jedes mittelständische Unternehmen fällt unter NIS-2. Die Betroffenheit hängt insbesondere von der Tätigkeit, der Unternehmensgröße und weiteren gesetzlichen Kriterien ab.
Aber auch Unternehmen außerhalb des NIS-2-Anwendungsbereichs sollten ihre IT-Governance nicht vernachlässigen. Die allgemeinen gesellschaftsrechtlichen Organisations- und Sorgfaltspflichten bestehen unabhängig davon.
Wo im gewachsenen Mittelstand häufig IT-Governance-Risiken entstehen
IT-Risiken sind nicht immer auf den ersten Blick erkennbar. Häufig entstehen sie durch unklare Prozesse oder fehlende Kontrollmechanismen.
1. IT-Richtlinien existieren nicht oder werden nicht gelebt
Es gibt zwar etablierte Abläufe, aber keine verbindlichen Regelungen für Benutzerberechtigungen, Softwareänderungen, Datensicherungen oder den Umgang mit Sicherheitsvorfällen.
Dadurch ist oftmals schwer nachvollziehbar, wer welche Maßnahmen verantwortet und wie deren Umsetzung kontrolliert wird.
2. Berechtigungen sind über Jahre gewachsen
Mitarbeitende wechseln Abteilungen, übernehmen neue Aufgaben oder verlassen das Unternehmen. Zugriffsrechte werden jedoch nicht immer konsequent angepasst.
Besonders kritisch können weitreichende Administratorrechte oder unzureichende Funktionstrennungen in ERP-Systemen sein.
3. Externe IT-Dienstleister werden unzureichend überwacht
Cloud-Anbieter, Hosting-Dienstleister und externe IT-Partner übernehmen wesentliche Aufgaben. Doch welche Leistungen sind geschäftskritisch? Wo bestehen Abhängigkeiten? Und wer überwacht Risiken und vereinbarte Leistungen?
Ohne ein strukturiertes IT-Dienstleisterrisikomanagement fehlt häufig der notwendige Überblick.
4. IT-Prüfungsfeststellungen bleiben unbearbeitet
Im Rahmen der Jahresabschlussprüfung oder anderer Prüfungen werden Schwachstellen bei IT-Kontrollen festgestellt. Zwar werden Maßnahmen vereinbart, deren Umsetzung wird jedoch nicht systematisch nachverfolgt.
Das kann dazu führen, dass dieselben Risiken über mehrere Jahre bestehen bleiben.
5. Die Geschäftsführung erhält kein strukturiertes IT-Risikoreporting
Die IT-Abteilung kennt operative Probleme. Die Geschäftsführung erhält jedoch möglicherweise keine regelmäßige und verständliche Übersicht über wesentliche Risiken, offene Maßnahmen und deren Bearbeitungsstand.
Damit fehlt eine wichtige Grundlage für fundierte Entscheidungen.
Welche IT-Kontrollen sollte die Geschäftsführung besonders im Blick haben?
Ein wirksames IT-Kontrollsystem muss nicht unnötig kompliziert sein. Entscheidend ist, dass es zur Risikosituation des Unternehmens passt und im Tagesgeschäft funktioniert.
Zu den wesentlichen Handlungsfeldern gehören, u.a.:
| Handlungsfeld | Zentrale Fragestellung |
| IT-Governance | Sind Verantwortlichkeiten, Richtlinien und Kontrollprozesse klar definiert? |
| Berechtigungsmanagement | Haben Mitarbeitende ausschließlich die erforderlichen Zugriffsrechte? |
| Change Management | Werden Änderungen an geschäftskritischen Systemen kontrolliert und dokumentiert? |
| Backup & Recovery | Sind Datensicherungen und Wiederherstellungsverfahren angemessen geregelt und getestet? |
| Incident Management | Gibt es klare Abläufe und Zuständigkeiten für Sicherheitsvorfälle? |
| IT-Dienstleister | Sind kritische Abhängigkeiten bekannt und werden Dienstleister risikoorientiert überwacht? |
| Risikoreporting | Wird die Geschäftsführung regelmäßig über wesentliche Risiken und Maßnahmen informiert? |
Ein besonderer Stellenwert kommt den sogenannten IT General Controls (ITGC) zu. Diese allgemeinen IT-Kontrollen schaffen unter anderem Voraussetzungen für die Verlässlichkeit geschäftskritischer Anwendungen und rechnungslegungsrelevanter Prozesse.
Gerade für CFOs sind sie deshalb relevant: Schwächen bei IT-Kontrollen können die Qualität von Finanzinformationen beeinträchtigen und zusätzlichen Aufwand im Rahmen der Jahresabschlussprüfung verursachen.
IT-Governance im Mittelstand: Fünf Fragen für die Geschäftsführung
Ein erster Blick auf die eigene Organisation muss nicht mit einem umfangreichen Projekt beginnen. Bereits fünf Fragen können wichtige Hinweise auf möglichen Handlungsbedarf liefern:
1. Kennen wir unsere wesentlichen IT-Risiken?
Sind geschäftskritische Systeme und Prozesse identifiziert und liegen dokumentierte Risikobewertungen vor?
2. Sind Verantwortlichkeiten eindeutig geregelt?
Ist festgelegt, wer Sicherheitsmaßnahmen umsetzt, deren Wirksamkeit überwacht und an die Geschäftsführung berichtet?
3. Können wir die Umsetzung wichtiger Kontrollen nachweisen?
Existieren beispielsweise dokumentierte Berechtigungsprüfungen, Freigabeprozesse und Nachweise zu Datensicherungen?
4. Haben wir unsere externen IT-Dienstleister im Blick?
Gibt es eine aktuelle Übersicht kritischer Dienstleister, ihrer Leistungen und der damit verbundenen Risiken?
5. Werden bekannte Schwachstellen konsequent bearbeitet?
Sind Feststellungen aus IT-Prüfungen, Risikoanalysen oder Sicherheitsvorfällen in konkrete Maßnahmen überführt und wird deren Umsetzung nachverfolgt?
Wenn mehrere dieser Fragen nicht eindeutig beantwortet werden können, lohnt sich eine strukturierte Bestandsaufnahme der IT-Governance.
IT-Governance ist keine reine Compliance-Aufgabe
Angemessene IT-Governance dient nicht nur der Erfüllung gesetzlicher Pflichten oder der Begrenzung möglicher Haftungsrisiken.
Klare Zuständigkeiten, dokumentierte Prozesse und wirksame Kontrollen unterstützen auch die Stabilität des Geschäftsbetriebs, die Verlässlichkeit von Finanzinformationen und die sichere Weiterentwicklung der IT-Landschaft.
Für mittelständische Unternehmen geht es deshalb nicht darum, möglichst viele Richtlinien zu erstellen. Entscheidend sind angemessene, verständliche und tatsächlich gelebte Kontrollprozesse.
Die PKF Wulf Gruppe unterstützt Unternehmen dabei, bestehende IT-Governance-Strukturen zu analysieren, Risiken zu bewerten und praxisnahe Maßnahmen zu entwickeln. Dazu gehören unter anderem IT-Richtlinien, Berechtigungskonzepte, ITGC, NIS-2-Readiness-Assessments und die Überwachung externer IT-Dienstleister.
Fazit: IT-Sicherheit ist auch eine Frage guter Unternehmensführung
Die Verantwortung der Geschäftsführung endet nicht bei der Beauftragung der IT-Abteilung. Geschäftsleitungen müssen für eine ihrer Unternehmenssituation angemessene Organisation und Überwachung wesentlicher IT-Risiken sorgen.
NIS-2 konkretisiert diese Verantwortung für betroffene Einrichtungen. Doch auch außerhalb der Regulierung sollten Unternehmen ihre IT-Governance regelmäßig hinterfragen.
Gerade im gewachsenen Mittelstand liegt der größte Handlungsbedarf häufig nicht in fehlender Technologie, sondern in unklaren Verantwortlichkeiten, unzureichend dokumentierten Prozessen und fehlender Transparenz über bestehende Risiken.
Wer diese Themen strukturiert angeht, stärkt nicht nur die Compliance, sondern auch die Verlässlichkeit und Zukunftsfähigkeit seines Unternehmens.
Ihre IT-Governance auf dem Prüfstand?
Oliver Völkl, Partner und Head of Technology GRC der PKF Wulf Gruppe, unterstützt gemeinsam mit seinem Team mittelständische Unternehmen bei der Bewertung von IT-Risiken und der Weiterentwicklung ihrer IT-Governance.
Besprechen Sie Ihre IT-Herausforderungen direkt mit Oliver Völkl Mehr zu Technology GRC bei der PKF Wulf Gruppe