Illustration Absmeier foto ki designer

Management Summary

Cyberrisiken gehören auf die Agenda der Geschäftsleitung: Persönliche Haftung entsteht vor allem dann, wenn Risikobild, Zuständigkeiten, Entscheidungen und Kontrollen fehlen oder nicht dokumentiert sind.
NIS2 verschärft die Verantwortung: Betroffene Leitungsorgane müssen angemessene Risikomanagementmaßnahmen umsetzen, überwachen und sich regelmäßig schulen lassen.
Im Vorfall laufen mehrere Fristen parallel: Die Meldewege nach BSIG, DSGVO, Versicherungsvertrag und Kundenvereinbarungen müssen vorab festgelegt und geübt sein.
Die größten Lücken sind organisatorisch: Ungetestete Backups, fehlende Mehrfaktorauthentifizierung, bekannte Schwachstellen und unkontrollierte Dienstleister erhöhen Schaden- und Haftungsrisiken.
90 Tage reichen für einen belastbaren Start: Betroffenheit prüfen, Zugänge absichern, Wiederanlauf testen, Angriffsfläche reduzieren, Lieferketten kontrollieren und Restrisiken per Beschluss dokumentieren.

Cyberangriffe sind längst kein reines IT-Problem mehr, sondern eine Frage von Governance, Resilienz und persönlicher Verantwortung. Seit Inkrafttreten des NIS2-Umsetzungsgesetzes müssen Geschäftsleitungen Cyberrisiken nachweisbar steuern, Maßnahmen kontrollieren und Meldewege beherrschen. Der Beitrag zeigt, wo Haftungsfallen entstehen, welche Rolle Versicherungen tatsächlich spielen und welche Beschlüsse Unternehmen in den nächsten 90 Tagen fassen sollten.

Cyberangriffe verursachen in Deutschland jährlich bis zu 270 Milliarden Euro Schaden

67 Prozent der deutschen Unternehmen waren in den vergangenen zwölf Monaten sicher von Datendiebstahl, Industriespionage oder Sabotage betroffen, weitere 29 Prozent vermuten eine Betroffenheit. Das sind keine Hochrechnungen aus dem Dunkelfeld, sondern Ergebnisse der Bitkom-Wirtschaftsschutzstudie 2026, für die 1.003 Unternehmen ab zehn Beschäftigten repräsentativ befragt wurden. Der ausgewiesene Gesamtschaden lag in einem Korridor von 211 bis 270,8 Milliarden Euro, davon entfielen bis zu 76 Prozent auf Cyberattacken.

Ein verbreitetes Missverständnis lautet, damit habe die IT das Problem zu lösen. Was diese Zahlen zeigen, ist das Gegenteil: Cybersicherheit ist längst eine Managementaufgabe mit persönlicher Haftungsdimension. Seit dem 6. Dezember 2025 ist das nicht mehr eine Empfehlung, sondern geltendes Recht.

Persönliche Haftung entsteht nicht durch den Angriff, sondern durch fehlende Governance

Nicht der erfolgreiche Angriff als solcher begründet die persönliche Haftung. Auch ein gut geschütztes Unternehmen kann kompromittiert werden. Gefährlich wird es, wenn die Geschäftsleitung Cyberrisiken nicht strukturiert erhebt, keine angemessenen Entscheidungen trifft, Zuständigkeiten unklar lässt, Warnsignale ignoriert oder die Umsetzung und Wirksamkeit der Maßnahmen nicht nachweisbar überwacht.

Organhaftung gilt für GmbH-Geschäftsführer und Vorstände gleichermaßen

Für GmbH-Geschäftsführer ist § 43 GmbHG der Ausgangspunkt. Sie müssen die Sorgfalt eines ordentlichen Geschäftsmannes anwenden und haften der Gesellschaft solidarisch für Schäden aus Obliegenheitsverletzungen, mit einer Verjährungsfrist von grundsätzlich fünf Jahren. Für Vorstände gilt § 93 AktG; die Business Judgment Rule schützt unternehmerische Ermessensentscheidungen nur, wenn sie auf angemessener Informationsgrundlage zum Wohl der Gesellschaft getroffen wurden. Wer die Informationsgrundlage nicht dokumentiert, trägt im Streitfall die Beweislast.

Besonders haftungsträchtig sind strukturelle Versäumnisse auf Leitungsebene:

Keine dokumentierte Betroffenheitsprüfung nach NIS2
Kein aktuelles Cyberrisikobild und kein Asset-Überblick
Kritische Feststellungen aus Audits bleiben ohne Termin, Budget oder Verantwortlichen
Internet-exponierte kritische Schwachstellen werden trotz Warnung nicht behoben
Remote- und Administrationszugänge ohne Mehrfaktorauthentifizierung
Backups weder getrennt aufbewahrt noch auf Wiederherstellbarkeit getestet
Notfallplan und Krisenstab fehlen oder wurden nie geübt
IT-Sicherheit pauschal ausgelagert, ohne Dienstleister zu steuern oder zu kontrollieren

Jede dieser Lücken kann bei einem Schadenfall als strukturelles Governance-Versäumnis gewertet werden, selbst wenn die eigene IT solide aufgestellt war.

NIS2 gilt seit Dezember 2025: Cybersicherheit ist ausdrücklich Leitungsaufgabe

Das NIS2-Umsetzungsgesetz trat am 6. Dezember 2025 in Kraft. Nach Angaben des BSI werden rund 29.500 Einrichtungen beaufsichtigt. § 38 BSIG macht Cybersicherheit ausdrücklich zur Leitungsaufgabe: Die Geschäftsleitung muss die Risikomanagementmaßnahmen umsetzen, deren Umsetzung überwachen und regelmäßig persönlich an Schulungen teilnehmen. Bei schuldhafter Pflichtverletzung haftet sie ihrer Einrichtung nach den anwendbaren gesellschaftsrechtlichen Regeln.

Schwellenwerte und Einstufungskriterien für betroffene Einrichtungen

Besonders wichtige Einrichtungen sind in Anlage-1-Sektoren regelmäßig Organisationen mit mindestens 250 Beschäftigten oder mehr als 50 Millionen Euro Jahresumsatz und mehr als 43 Millionen Euro Jahresbilanzsumme. Wichtige Einrichtungen sind in den Anlagen 1 und 2 regelmäßig ab mindestens 50 Beschäftigten oder jeweils mehr als 10 Millionen Euro Jahresumsatz und Bilanzsumme erfasst. Die Einstufung lässt sich nicht allein anhand der Mitarbeiterzahl vornehmen. Einrichtungsart, Sektor, Verbundbeziehungen und gesetzliche Sondertatbestände müssen gemeinsam geprüft werden.

Außerhalb des unmittelbaren NIS2-Anwendungsbereichs ist Cybersecurity keineswegs freiwillig. § 130 OWiG adressiert Organisations- und Aufsichtsdefizite: Wer erforderliche Aufsichtsmaßnahmen zur Verhinderung bußgeld- oder strafbewehrter Pflichtverstöße fahrlässig unterlässt, kann ordnungswidrig handeln. § 1 StaRUG verpflichtet darüber hinaus zur fortlaufenden Überwachung bestandsgefährdender Entwicklungen. Ein schwerer Cybervorfall kann diese Schwelle erreichen, wenn er Liquidität, Produktion oder Fortbestand gefährdet.

Meldekaskade: Mehrere Fristen laufen beim Vorfall gleichzeitig

Ein Vorfall startet mehrere Uhren gleichzeitig. Für besonders wichtige und wichtige Einrichtungen gilt nach § 32 BSIG eine gestufte Meldekaskade:

Zeitpunkt	Meldung	Mindestinhalt
Unverzüglich, spätestens 24 Stunden	Frühe Erstmeldung	Verdacht auf böswillige Handlung, mögliche grenzüberschreitende Auswirkungen
Unverzüglich, spätestens 72 Stunden	Bewertende Meldung	Bestätigung, erste Bewertung von Schweregrad und Auswirkungen
Auf Anforderung	Zwischenmeldung	Relevante Statusaktualisierungen
Spätestens einen Monat nach 72-Stunden-Meldung	Abschlussmeldung	Ursache, Abhilfemaßnahmen, mögliche grenzüberschreitende Effekte

Parallel greift Art. 33 DSGVO, wenn personenbezogene Daten betroffen sind: Meldung an die Datenschutzaufsicht binnen 72 Stunden, bei hohem Risiko zusätzlich Benachrichtigung betroffener Personen nach Art. 34 DSGVO . Daneben können vertragliche Meldepflichten gegenüber Kunden und Partnern sowie Meldungen an Versicherer, Polizei und Zentraler Ansprechstelle Cybercrime anfallen. Der Incident-Response-Plan muss diese Pfade bereits vor dem Ernstfall mit Verantwortlichen und Entscheidungskriterien abbilden.

Verstöße gegen die Risikomanagement- und Meldepflichten können bei besonders wichtigen Einrichtungen mit bis zu zehn Millionen Euro, bei wichtigen Einrichtungen mit bis zu sieben Millionen Euro geahndet werden. Bei Unternehmen mit mehr als 500 Millionen Euro Gesamtumsatz kommen für bestimmte Kernverstöße umsatzbezogene Obergrenzen von 2 beziehungsweise 1,4 Prozent des weltweiten Vorjahresumsatzes in Betracht.

Fünf anonymisierte Praxisfälle belegen die typischen Risikoherde im Mittelstand

Die größten Risiken entstehen selten durch einen einzelnen spektakulären Fehler. Meist greifen mehrere Schwächen ineinander. In der Bitkom-Studie 2026 nannten geschädigte Unternehmen als häufigste begünstigende Faktoren unzureichende Vorfallerkennung mit 59 Prozent, Fehlkonfigurationen mit 57 Prozent und unzureichendes Identitäts- und Zugriffsmanagement mit 55 Prozent. Ransomware blieb mit 25 Prozent die schadenträchtigste Angriffsart; KI-gestützte Betrugsformen nehmen zu: Robo Calls verursachten bei 14 Prozent, Deepfakes bei 8 Prozent der Unternehmen Schäden.

Die folgenden fünf anonymisierten Fälle aus der Praxis zeigen, wie aus bekannten Schwächen konkrete Haftungsrisiken werden.

Fall 1: Das ungetestete Backup

Ein Fertigungsbetrieb wird durch Ransomware lahmgelegt. Das Backup war dauerhaft mit der Domäne verbunden, wurde ebenfalls verschlüsselt, und seit zwei Jahren hatte kein Wiederherstellungstest stattgefunden. Die operative Sicherung durfte ausgelagert werden; die Verantwortung für angemessene Auswahl, Vorgaben und Kontrolle blieb bei der Geschäftsleitung. Fehlende Leistungsbeschreibung, kein Recovery-Ziel, keine Berichte und keine dokumentierte Prüfung sind im Streitfall schwer zu erklären.

Fall 2: Bekannte Schwachstelle, vertagte Entscheidung

Ein Großhändler verschiebt das Update eines internet-exponierten Fernzugangs wegen möglicher Betriebsunterbrechungen, ohne eine dokumentierte Risikoabwägung zu erstellen. Wochen später nutzen Angreifer genau diese Lücke. Nicht das Auftreten der Schwachstelle ist das Problem, sondern die unbegründete und nicht kontrollierte Risikoakzeptanz. Eine schriftlich festgehaltene Entscheidung mit Begründung hätte die Haftungslage fundamental verändert.

Fall 3: Der kompromittierte Dienstleister

Ein Unternehmen lagert zentrale Anwendungen aus. Dessen Administratorkonto wird übernommen, mehrere Kundenumgebungen sind betroffen. Im Vertrag fehlen 24/7-Meldewege, Sicherheitsnachweise und Auditrechte. »Der Dienstleister war schuld« entlastet die Geschäftsleitung nicht. § 30 BSIG nennt die Lieferkettensicherheit ausdrücklich als Managementpflicht.

Fall 4: CEO-Fraud per Deepfake

Die Finanzabteilung erhält einen Videoanruf, der Stimme und Gesicht des Geschäftsführers überzeugend imitiert. Eine Auslandszahlung wird freigegeben, weil der Prozess keine Rückverifikation vorsieht. Die einzelne gutgläubige Täuschung ist nicht zwingend eine Organpflichtverletzung. Fehlende oder bewusst umgangene Zahlungsprozesse können aber ein Organisationsdefizit darstellen, insbesondere nachdem Deepfake-Risiken allgemein bekannt sind. Das Landgericht Hagen hat 2024 bestätigt, dass eine Cyberversicherung bei einer BEC-Attacke nicht zahlte, weil keine Netzwerksicherheitsverletzung im technischen Sinne vorlag. Wer dieses Risiko vollständig absichern will, braucht ergänzend eine Vertrauensschadenversicherung.

Fall 5: Datenabfluss trotz funktionierender Sicherung

Nach einem Angriff werden die Systeme wiederhergestellt. Erst später wird bekannt, dass Daten vor der Verschlüsselung kopiert wurden. Die Geschäftsleitung hat keinen datenschutzrechtlichen Entscheidungsprozess vorbereitet, die 72-Stunden-Frist nach Art. 33 DSGVO läuft ab. Backup-Erfolg beseitigt weder den Datenabfluss noch die Melde- und Informationspflichten.

Cyberversicherung ist kein Ersatz für Sicherheitsorganisation und Governance

Eine Cyberversicherung kann finanzielle Folgen und operative Hilfe abdecken: IT-Forensik, Datenwiederherstellung, Betriebsunterbrechung, Krisenkommunikation sowie Abwehr oder Befriedigung bestimmter Drittforderungen. Drei Einschränkungen sind dabei entscheidend.

Obliegenheitsverletzungen können den Versicherungsschutz reduzieren oder ausschließen

Die GDV-Musterbedingungen und der Muster-Risikofragebogen verlangen unter anderem Firewalls, individuelle Zugänge, Zwei-Faktor-Authentifizierung, Sicherheitsupdates, regelmäßige Sicherungen, getrennte Aufbewahrung und Funktionsprüfungen. Wer diese Obliegenheiten grob fahrlässig verletzt, riskiert eine quotale Kürzung der Leistung nach § 28 Abs. 2 VVG. Bei vorsätzlicher Verletzung entfällt der Schutz vollständig. Wer einen Versicherungsantrag ausfüllt, ohne den tatsächlichen Stand der eigenen IT-Sicherheit zu kennen, unterschreibt damit möglicherweise Aussagen, die im Schadenfall zum Leistungsausschluss führen.

D&O-Versicherung und Cyberversicherung decken unterschiedliche Risiken

CEO-Fraud ist in Standardpolicen häufig nicht oder nur mit stark sublimitierten Bausteinen abgedeckt. Das Landgericht Hagen hat 2024 bestätigt, dass eine Cyberversicherung bei einer BEC-Attacke nicht zahlen musste, weil keine Netzwerksicherheitsverletzung im technischen Sinne vorlag. Die Cyberpolice schützt primär das Unternehmen gegen definierte Cyberfolgen. D&O zielt auf Vermögensschadenhaftungsansprüche gegen Organmitglieder. Ob ein Regressanspruch wegen Cyber-Governance gedeckt ist, hängt vom individuellen Bedingungswerk ab und sollte nie pauschal vorausgesetzt werden.

90-Tage-Roadmap: Priorisiertes Vorgehen zur Schließung der wichtigsten Lücken

Haftungsvermeidung bedeutet nicht, maximale Sicherheit zu versprechen. Erforderlich ist ein risikoadäquater, laufender und nachweisbarer Governance-Prozess. Die belastbarste Verteidigung ist eine Kette aus Risikoanalyse, informierter Entscheidung, klarer Beauftragung, finanzierten Maßnahmen, Wirksamkeitskontrolle und dokumentierter Restrisikoannahme.

Für den Einstieg empfiehlt das BSI den CyberRisikoCheck nach DIN SPEC 27076: In einem ein- bis zweistündigen Interview werden 27 Anforderungen aus sechs Themenbereichen geprüft. Die vom BSI ausgewerteten Checks zeigen, dass teilnehmende KMU im Schnitt nur rund 56 Prozent der absoluten Grundanforderungen erfüllten, was den tatsächlichen Handlungsbedarf oft besser abbildet als das eigene Sicherheitsgefühl.

Die sechs Phasen im Überblick

Zeitraum	Managementergebnis	Deliverables
Tage 1–15	Rechts- und Risikoklarheit	NIS2-Prüfung, kritische Dienste, Krisenrollen, externe Notfallkontakte
Tage 16–30	Grundschutz der Zugänge	MFA-Rolloutplan, privilegierte Konten, deaktivierte Alt-Konten
Tage 31–45	Wiederanlauffähigkeit	Backup-Architektur, Offline-Kopie, erster Restore-Test, RPO/RTO
Tage 46–60	Angriffsfläche reduzieren	Assetliste, Patch-SLAs, Behebung kritischer Schwachstellen
Tage 61–75	Lieferketten kontrollieren	Kritikalitätsklassen, Sicherheitsanforderungen, Ausfallszenarien
Tage 76–90	Wirksamkeit nachweisen	Tabletop-Übung, Bericht an Geschäftsleitung, akzeptierte Restrisiken

Dokumentation ist dabei keine nachträgliche Beweisproduktion, sondern Bestandteil ordnungsgemäßer Steuerung. Mindestens folgende Unterlagen sollten aktuell und auffindbar sein:

Dokumentierte NIS2-Betroffenheitsprüfung mit Annahmen und Verbundbetrachtung
Cyberrisikoanalyse mit kritischen Diensten, Assets, Bedrohungen und Schadensszenarien
Geschäftsleitungsbeschlüsse zu Sicherheitsstrategie, Budget, Prioritäten und Restrisiken
Protokolle zu Maßnahmenumsetzung, Wirksamkeitsprüfungen und Abweichungen
Nachweise über Schulungsteilnahme und Dienstleistersteuerung

Wer diese Unterlagen im Ernstfall nicht vorlegen kann, steht vor dem Versicherer, dem Datenschutzaufsicht und im schlimmsten Fall vor Gericht ohne das stärkste Argument, das ein Unternehmen in dieser Lage haben kann.

Cybersicherheit ist Führungsaufgabe: Was Geschäftsleitungen jetzt beschließen und dokumentieren müssen

65 Prozent der deutschen Unternehmen fühlen sich durch Cyberangriffe in ihrer Existenz bedroht. Die gesetzliche Lage ist seit dem 6. Dezember 2025 eindeutig, und wer als Geschäftsführer heute kein dokumentiertes Risikobild hat, keine getesteten Backups, keine gelebten Notfallprozesse und keine klaren Zuständigkeiten, übernimmt damit ein persönliches Haftungsrisiko, das sich mit überschaubarem Aufwand erheblich reduzieren ließe.

Ob ein Angriff kommt, ist keine realistische Frage mehr, sondern eine statistische Gewissheit bei 67 Prozent Betroffenheitsquote. Entscheidend ist, was die Geschäftsleitung nachweislich vorbereitet hat, bevor er eintrifft. Ein erfolgreicher Angriff allein begründet noch keine Pflichtverletzung; was sie begründet, ist der Nachweis, dass Governance, Dokumentation und Kontrolle strukturell gefehlt haben.

Thorsten Schiffgens

Zur Person: T. Schiffgens ist geschäftsführender Gesellschafter von COVAGO, einem ungebundenen Versicherungsmakler mit Schwerpunkt auf digitalen und gewerblichen Risiken. Er berät Unternehmen seit über 15 Jahren zu Cyberrisiken, ist als Fachautor aktiv und informiert regelmäßig die Versicherungsbranche zu aktuellen Entwicklungen in der Cyber-Deckung. Kontakt und weitere Informationen unter covago.de.

FAQ: Cyberrisiken und Managementhaftung

Warum ist Cybersicherheit eine Aufgabe der Geschäftsleitung?

Weil die Leitung für Organisation, Risikosteuerung und Kontrolle verantwortlich bleibt. Technische Aufgaben können delegiert werden, die Auswahl, Steuerung und Überwachung der Verantwortlichen jedoch nicht.

Führt jeder erfolgreiche Cyberangriff automatisch zu persönlicher Haftung?

Nein. Entscheidend ist, ob die Geschäftsleitung Risiken angemessen bewertet, nachvollziehbar entschieden, Maßnahmen finanziert und deren Wirksamkeit kontrolliert hat.

Welche Unternehmen fallen unter NIS2?

Maßgeblich sind Einrichtungsart, Sektor, Größe, Umsatz, Bilanzsumme, Verbundbeziehungen und gesetzliche Sondertatbestände. Eine dokumentierte Einzelfallprüfung ist deshalb unerlässlich.

Was muss die Geschäftsleitung nach NIS2 persönlich leisten?

Sie muss Risikomanagementmaßnahmen umsetzen und überwachen sowie regelmäßig an Schulungen teilnehmen. Zuständigkeiten und Kontrollschritte sollten durch Beschlüsse und Protokolle belegt sein.

Welche Fristen gelten bei einem erheblichen Sicherheitsvorfall?

Für betroffene Einrichtungen sieht das BSIG eine frühe Erstmeldung binnen 24 Stunden, eine bewertende Meldung binnen 72 Stunden und grundsätzlich eine Abschlussmeldung innerhalb eines Monats vor. Weitere Fristen können parallel greifen.

Welche Mindestmaßnahmen sollten Unternehmen priorisieren?

Mehrfaktorauthentifizierung, Schutz privilegierter Konten, ein aktueller Asset-Überblick, verbindliche Patch-Zeiten, getrennte Backups, regelmäßige Wiederherstellungstests und ein geübter Incident-Response-Plan.

Entlastet die Auslagerung der IT an einen Dienstleister?

Nein. Verträge sollten Sicherheitsanforderungen, Meldewege, Nachweise, Auditrechte und Ausfallszenarien regeln. Die Geschäftsleitung muss kritische Dienstleister risikobasiert steuern und kontrollieren.

Reicht eine Cyberversicherung als Absicherung aus?

Nein. Sie kann definierte Kosten und Leistungen abdecken, ersetzt aber keine Sicherheitsorganisation. Falsche Angaben oder verletzte Obliegenheiten können den Versicherungsschutz einschränken.

Welche Dokumente sind im Haftungsfall besonders wichtig?

Eine NIS2-Betroffenheitsprüfung, die Cyberrisikoanalyse, Geschäftsleitungsbeschlüsse, Maßnahmen- und Kontrollnachweise, Protokolle zu Restrisiken, Schulungsnachweise sowie Unterlagen zur Dienstleistersteuerung.

Was sollte innerhalb der nächsten 90 Tage beschlossen werden?

Rechts- und Risikoklarheit herstellen, Zugänge absichern, Wiederanlauf testen, kritische Schwachstellen priorisieren, Lieferketten kontrollieren und die Ergebnisse einschließlich akzeptierter Restrisiken der Geschäftsleitung vorlegen.

Literatur

[1] Bitkom Research: Wirtschaftsschutz 2026. Schäden durch Datendiebstahl, Industriespionage und Sabotage. Berlin: Bitkom 2026. https://www.bitkom.org/sites/main/files/2026-09/bitkom-studienbericht-wirtschaftsschutz-2026.pdf

[2] Bitkom Research: Wirtschaftsschutz 2025. Berlin: Bitkom 2025. https://www.bitkom.org/sites/main/files/2025-12/bitkom-studienbericht-wirtschaftsschutz-2025_2.pdf

[3] § 43 GmbHG (Sorgfaltspflicht und Verantwortlichkeit der Geschäftsführer). https://www.gesetze-im-internet.de/gmbhg/__43.html

[4] § 93 AktG (Sorgfaltspflicht und Verantwortlichkeit der Vorstandsmitglieder). https://www.gesetze-im-internet.de/aktg/__93.html

[5] Bundesamt für Sicherheit in der Informationstechnik: Allgemeine FAQ zu NIS2. Bonn: BSI 2025. https://www.bsi.bund.de/DE/Themen/Regulierte-Wirtschaft/NIS-2-regulierte-Unternehmen/NIS-2-FAQ/NIS-2-FAQ_node.html

[6] NIS2-Umsetzungsgesetz vom 6. Dezember 2025. BGBl. Insb. §§ 30, 32, 38 BSIG. https://www.recht.bund.de/bgbl/1/2025/301/VO.html

[7] § 130 OWiG (Verletzung der Aufsichtspflicht). https://www.gesetze-im-internet.de/owig_1968/__130.html

[8] § 1 StaRUG (Pflichten zur Krisenfrüherkennung und zum Krisenmanagement). https://www.gesetze-im-internet.de/starug/__1.html

[9] Bundesamt für Sicherheit in der Informationstechnik: Anleitung zur Meldung im BSI-Portal. Bonn: BSI 2025. https://www.bsi.bund.de/DE/Themen/Regulierte-Wirtschaft/NIS-2-regulierte-Unternehmen/BSI-Portal/NIS-2-Anleitung-Meldung/Anleitung-Meldung_node.html

[10] Art. 33, Art. 34 DSGVO. https://eur-lex.europa.eu/eli/reg/2016/679/oj?locale=de

[11] Bundesamt für Sicherheit in der Informationstechnik: Top 10 Ransomware-Maßnahmen. Bonn: BSI 2024. https://www.bsi.bund.de/DE/Themen/Unternehmen-und-Organisationen/Cyber-Sicherheitslage/Analysen-und-Prognosen/Ransomware-Angriffe/Top-10-Ransomware-Massnahmen/top-10-ransomware-massnahmen_node.html

[12] § 30 BSIG (Sicherheit in der Lieferkette). https://www.bsi.bund.de/DE/Themen/Regulierte-Wirtschaft/NIS-2-regulierte-Unternehmen/NIS-2-Infopakete/NIS-2-Risikomanagementmassnahmen/NIS-2-Risikomanagementmassnahmen.html

[13] LG Hagen: Urteil 2024 (BEC-Attacke, Cyberversicherung). Az. nicht veröffentlicht. Hagen 2024. https://nrwe.justiz.nrw.de/lgs/hagen/lg_hagen/j2024/9_O_258_23_Urteil_20241015.html

[14] GDV: AVB Cyber – Allgemeine Versicherungsbedingungen für die Cyberrisiko-Versicherung. Berlin: GDV 2024. https://www.gdv.de/resource/blob/6100/d4c013232e8b0a5722b7655b8c0cc207/01-allgemeine-versicherungsbedingungen-fuer-die-cyberrisiko-versicherung–avb-cyber–data.pdf

[15] § 28 Abs. 2 VVG (Leistungsfreiheit bei Obliegenheitsverletzung). https://www.gesetze-im-internet.de/vvg_2008/__28.html

[16] Ruf, U.: Wenn der Cyberschaden zum D&O-Fall wird. In: Wilhelm Rechtsanwälte (Hrsg.): Fachbeiträge. Düsseldorf 2025. https://www.wilhelm-rae.de/veroeffentlichungen/wenn-der-cyberschaden-zum-do-fall-wird

[17] Bundesamt für Sicherheit in der Informationstechnik: DIN SPEC 27076 – CyberRisikoCheck für KMU. Bonn: BSI 2024. https://www.bsi.bund.de/DE/Themen/Unternehmen-und-Organisationen/Informationen-und-Empfehlungen/KMU/CyberRisikoCheck/CyberRisikoCheck_node.html

[18] PwC Legal: Organhaftung und praktische Implikationen für die Geschäftsleitung. Frankfurt: PwC Legal 2024. https://legal.pwc.de/de/news/fachbeitraege/cyberrisiken-organhaftung-und-praktische-implikationen-fur-die-geschaftsleitung

[19] Bundesamt für Sicherheit in der Informationstechnik: NIS-2-Risikomanagementmaßnahmen. Bonn: BSI 2025. https://www.bsi.bund.de/DE/Themen/Regulierte-Wirtschaft/NIS-2-regulierte-Unternehmen/NIS-2-Infopakete/NIS-2-Risikomanagementmassnahmen/NIS-2-Risikomanagementmassnahmen.html

[20] Bundesamt für Sicherheit in der Informationstechnik: Die Lage der IT-Sicherheit in Deutschland 2025. Bonn: BSI 2025. https://medien.bsi.bund.de/lagebericht/

[21] Bundeskriminalamt: Bundeslagebild Cybercrime 2024. Wiesbaden: BKA 2025. https://www.bka.de/SharedDocs/Downloads/DE/Publikationen/JahresberichteUndLagebilder/Cybercrime/cybercrimeBundeslagebild2024.html

[22] BaFin: Rundschreiben 01/2026 (VA): Hinweise der BaFin zur Lösegeldversicherung. Bonn: BaFin 2026. https://www.bafin.de/SharedDocs/Veroeffentlichungen/DE/Rundschreiben/2026/rs_01_26_rundschreiben_va.html

[23] GDV: Was eine Cyberversicherung deckt. Berlin: GDV 2024. https://www.gdv.de/gdv/themen/digitalisierung/was-eine-cyberversicherung-deckt-189326

[24] Bitkom: Cyberversicherung und -sicherheit. Berlin: Bitkom 2024. https://www.bitkom.org/Bitkom/Publikationen/Cyberversicherung-und-sicherheit

[25] TÜV Verband: TÜV Cybersecurity Studie 2025. Berlin: TÜV Verband 2025. https://www.tuev-verband.de/studien/tuev-cybersecurity-studie-2025

Text, Management Summary, FAQ und Bild wurden mit Hilfe von KI erstellt

156 Artikel zu „Cyberrisiken Haftung“

Ausgabe 5-6-2026 | IT-Security | News | Security Spezial 5-6-2026

Cybersicherheit und Compliance – Warum Excel und Word zum Haftungsrisiko werden

24. Juni 2026

Viele Unternehmen setzen bei der Umsetzung von NIS2 und DORA zunächst auf Excel und Word – aus Gewohnheit, Kostengründen oder Pragmatismus. Für eine dauerhafte, revisionssichere Steuerung von Cyberrisiken reichen statische Office-Dokumente jedoch nicht aus. Warum das schnell zum Haftungsrisiko werden kann, zeigen fünf zentrale Schwachstellen im Umgang mit regulatorischen Anforderungen.