Haftung von Unternehmen bei Cybervorfällen
1. Zivilrechtliche Haftung (BGB, Deliktsrecht, Vertragspflichten)
Unternehmen können haften, wenn:
- durch mangelhafte IT-Sicherheitsmaßnahmen Schadsoftware weitergeleitet wird;
- sie gegen die verkehrsübliche Sorgfaltspflicht verstoßen (z. B. keine Firewalls, keine Patches, keine Virenscanner);
- ein Vertragspartner geschädigt wird (z. B. durch infizierte E-Mails oder verseuchte Softwarelieferungen).
Eine Anwaltskanzlei verschickt unwissentlich einen Trojaner an einen Mandanten.
Der Mandant erleidet Datenverlust.
Die Kanzlei haftet, wenn sie keine gängigen Schutzmaßnahmen ergriffen hat (z. B. fehlende Mitarbeiterschulung, veraltete Software).
2. Haftung der Geschäftsführung / des Vorstands
Nach § 43 GmbHG oder § 93 AktG müssen Geschäftsführer/Vorstände "die Sorgfalt eines ordentlichen Geschäftsmanns" walten lassen.
- Die Führungsebene muss für ausreichende IT-Sicherheitsmaßnahmen sorgen (z. B. ISO 27001, BSI-Grundschutz).
- Persönliche Haftung möglich, wenn grob fahrlässig oder vorsätzlich keine Schutzmaßnahmen getroffen wurden.
- Bei Schäden: Innenhaftung gegenüber dem Unternehmen oder Außenhaftung gegenüber Dritten.
3. Haftung gegenüber Kunden / Vertragspartnern
- Wer Malware an Kunden weiterleitet, verletzt unter Umständen vertragliche Nebenpflichten (§280 BGB).
- Kann als Schlechtleistung oder Pflichtverletzung ausgelegt werden.
- Schadenersatzforderungen möglich (z. B. Betriebsausfall, Datenverlust, IT-Wiederherstellungskosten).
4. Öffentlich-rechtliche Haftung (z. B. DSGVO)
- Meldepflicht an die Aufsichtsbehörde binnen 72 Stunden (Art. 33 DSGVO).
- Mögliche Bußgelder (bis zu 20 Mio. € oder 4 % des Jahresumsatzes, Art. 83 DSGVO).
- Haftung gegenüber Betroffenen für immaterielle Schäden (Art. 82 DSGVO).
5. Strafrechtliche Risiken
- Bei grober Fahrlässigkeit kann eine Unternehmensstrafe (Verbandsstrafe) nach dem OWiG verhängt werden.
- In schwerwiegenden Fällen, z. B. bei vorsätzlicher Nichtbeachtung von IT-Sicherheit, sind Ermittlungen gegen Geschäftsführer denkbar.
6. Pflichten für Unternehmen (Präventionspflichten)
Ein Unternehmen muss in der Regel:
- Virenschutz und Firewalls einsetzen
- regelmäßige Sicherheitsupdates durchführen
- Mitarbeiterschulungen zur IT-Sicherheit organisieren
- Zugriffskontrollen und Rechteverwaltung einsetzen
- Backups durchführen
- ein Notfallkonzept (Incident Response) vorhalten
Unternehmen, die diesen Pflichten nicht nachkommen, handeln fahrlässig und können haftbar gemacht werden.
dieser Text wurde auf Online Seiten gelesen und mit KI zeine Zusammenfassung erstellt (Copilot/ChatGPT)