Phishing-Falle im Unternehmen: Wann Geschäftsführer persönlich haften

Wenn ein Geschäftsführer auf eine Phishing-Mail hereinfällt und versehentlich sechsstellige Beträge an Betrüger überweist – haftet er dafür persönlich und in voller Höhe? 

Zwischen der strengen Organhaftung und den milderen Grundsätzen der beschränkten Arbeitnehmerhaftung klafft eine Lücke – und zwei aktuelle Urteile zeigen, dass diese Lücke erhebliche praktische Bedeutung hat.

Organhaftung – ein beliebtes Instrument

Die Inanspruchnahme von Organmitgliedern auf Schadensersatz hat in der Praxis erheblich an Bedeutung gewonnen. Das ist kein Zufall: Die gesellschaftsrechtliche Organhaftung bietet klagenden Gesellschaften gleich mehrere strategische Vorteile:

• Umgekehrte Beweislast: Bei der Organhaftung tragen nicht die klagenden Unternehmen die volle Darlegungs- und Beweislast, sondern die Organmitglieder selbst: Nach § 93 Abs. 2 Satz 2 AktG – und in entsprechender Anwendung nach § 43 GmbHG – muss das Organmitglied beweisen, dass es die Sorgfalt eines ordentlichen und gewissenhaften Geschäftsleiters eingehalten hat. Das Unternehmen muss lediglich Schaden und Pflichtverletzung darlegen. Diese Beweislastumkehr macht die Organhaftung aus Sicht der Gesellschaft deutlich prozessfreundlicher als die allgemeine zivilrechtliche Haftung.
• Breite Angriffsfläche durch offene Haftungstatbestände: Der Sorgfaltsmaßstab des ordentlichen und gewissenhaften Geschäftsleiters ist bewusst offen gehalten. Er erfasst nahezu jede Fehlentscheidung im Management – von Compliance-Verstößen über unzureichende Überwachung bis hin zu risikoreichen Spekulationsgeschäften. Damit eröffnen sich vielfältige Angriffspunkte für Haftungsklagen, gerade in Krisensituationen.
• Die D&O-Versicherung als realer Zahlungsträger: In der Praxis richtet sich die Klage wirtschaftlich oft nicht gegen das Organmitglied persönlich, sondern gegen dessen D&O-Versicherer. Das macht Schadensersatzansprüche erst wirklich durchsetzbar, da das persönliche Vermögen des Managers selten ausreicht.

Aber gilt das immer – oder gibt es Grenzen der Organhaftung?

So attraktiv die Organhaftung für klagende Gesellschaften auch sein mag: Nicht jeder Fehler eines Geschäftsführers lässt sich reibungslos unter § 43 GmbHG subsumieren. Gerade wenn das Organmitglied nicht in seiner Eigenschaft als Leitungsorgan gehandelt hat, sondern schlicht eine operative Tätigkeit ausgeführt hat – wie sie auch ein gewöhnlicher Mitarbeiter hätte ausführen können –, stellen sich grundsätzliche Fragen. Greift dann die günstigere Haftungsordnung des Arbeitsrechts? Zwei aktuelle Entscheidungen zeigen, dass die Antwort darauf keineswegs eindeutig ist.

Fehler im Arbeitsalltag – und die Schutzfunktion der beschränkten Arbeitnehmerhaftung

Ein falscher Klick, ein Unfall mit dem Dienstwagen, eine Überweisung an das falsche Konto: Fehler im Arbeitsalltag können schnell passieren – und teuer werden. Wer trägt den Schaden? Der Mitarbeiter, dem der Fehler unterlaufen ist? Oder bleibt das Risiko beim Unternehmen? Besonders spannend wird diese Frage, wenn nicht ein „normaler“ Arbeitnehmer gehandelt hat, sondern ein GmbH-Geschäftsführer oder ein anderes Organmitglied.

Im Arbeitsrecht gilt seit Jahrzehnten ein besonderer Grundsatz: die beschränkte Arbeitnehmerhaftung. Dahinter steht ein einfaches Schutzkonzept: Arbeitnehmer handeln im betrieblichen Interesse des Arbeitgebers, nutzen dessen Arbeitsmittel, folgen betrieblichen Abläufen und sind in Prozesse eingebunden, die sie selbst oft nicht vollständig kontrollieren. Es wäre unbillig, sie bei jedem Fehler mit dem vollen Schaden zu belasten – zumal dieser leicht ein Vielfaches ihres Jahresgehalts betragen kann.

Die Rechtsprechung differenziert daher bei betrieblich veranlassten Tätigkeiten nach dem Grad des Verschuldens:

• Leichte Fahrlässigkeit: Schaden trägt allein der Arbeitgeber.
• Mittlere Fahrlässigkeit: Schaden wird zwischen Arbeitnehmer und Arbeitgeber aufgeteilt.
• Grobe Fahrlässigkeit/Vorsatz: Arbeitnehmer haftet voll.

Diese Grundsätze des innerbetrieblichen Schadensausgleichs bilden das Haftungsfundament für „normale“ Beschäftigte – aber nicht ohne Weiteres für Geschäftsführer und andere Organmitglieder.

Strenge Regeln für Geschäftsführer – und ihre Grenzen

Organmitglieder sind nicht einfach Arbeitnehmer, sondern selbst ein Organ des Unternehmens. Sie tragen Verantwortung für Organisation, Kontrolle, Compliance und Risikomanagement. Für sie gilt der Maßstab des § 43 GmbHG: Geschäftsführer müssen in den Angelegenheiten der Gesellschaft die Sorgfalt eines ordentlichen Geschäftsmannes anwenden. Wer diese Pflicht verletzt, haftet der Gesellschaft persönlich – ohne die Haftungserleichterungen, die das Arbeitsrecht für Beschäftigte vorsieht.

Dies hat das OLG Brandenburg jüngst ausdrücklich bestätigt: Ein Geschäftsführer einer kommunalen Energiegesellschaft hatte umfangreiche Leerverkäufe von Strom getätigt – Spekulationsgeschäfte mit erheblichen Risiken. Das Gericht sah darin eine Verletzung zentraler Leitungs- und Organisationspflichten, bejahte die Haftung nach § 43 Abs. 2 GmbHG und lehnte eine Milderung nach Arbeitnehmergrundsätzen ab.

Damit wird klar: Für echte Leitungsentscheidungen, strategische Risikogeschäfte und Organisationsversagen gilt die volle Organhaftung – mit dem Risiko existenzbedrohender persönlicher Inanspruchnahme. Offen gelassen hat das OLG Brandenburg jedoch, ob bei Tätigkeiten ohne spezifischen Bezug zur Organstellung – etwa bei einfacheren Abwicklungshandlungen – etwas anderes gelten kann. Genau diese Lücke füllt das OLG Zweibrücken in einem Phishing-Fall erstmals konkret aus.

Reingefallen: Überweisung mit teuren Folgen

Das OLG Zweibrücken hatte einen Fall zu entscheiden, der längst kein Einzelfall mehr ist: Eine Geschäftsführerin überwies infolge einer Phishing-Mail mehr als 100.000 US-Dollar auf ausländische Konten – und sollte dafür persönlich haften.

Die Geschäftsführerin einer GmbH erhielt mehrere E-Mails eines angeblichen Mitarbeiters einer südkoreanischen Lieferantin, mit der das Unternehmen tatsächlich in regelmäßiger Geschäftsbeziehung stand. Die E-Mail-Adresse war minimal verändert – der Buchstabendreher optisch leicht zu übersehen. Die Phishing-Mails bezogen sich auf echte, vorausgegangene Korrespondenz mit dem Geschäftspartner; Rechnungen und Beträge wirkten plausibel und entsprachen den üblichen Größenordnungen. Die Geschäftsführerin wies daraufhin mehrere Zahlungen – insgesamt deutlich über 100.000 US-Dollar – an ausländische Konten an. Später stellte sich heraus: Die E-Mails stammten von einem Betrüger, der die Kommunikation gekapert hatte. Die GmbH verlangte Schadensersatz von ihrer früheren Mitgeschäftsführerin.

Die zentrale Rechtsfrage: Haftet die Geschäftsführerin voll für den Phishing-Schaden – oder greifen Haftungserleichterungen ähnlich der Arbeitnehmerhaftung?

OLG Zweibrücken: Keine Organhaftung bei „buchhalterischer“ Tätigkeit

Das OLG Zweibrücken verneinte eine Haftung nach § 43 Abs. 2 GmbHG. Es sah zwar, dass der Geschäftsführerin bei besonders sorgfältiger Prüfung der Buchstabendreher hätte auffallen können. Entscheidend war aber: Die konkrete Tätigkeit – die Zahlungsabwicklung durch einzelne Überweisungen – war nach Auffassung des Gerichts keine spezifisch organschaftliche Leitungsaufgabe, sondern eine Tätigkeit, wie sie typischerweise auch in der Buchhaltung anfällt. Eine Verletzung besonderer Geschäftsführerpflichten im Bereich der Unternehmensleitung oder Überwachung konnte das Gericht nicht feststellen.

Bei solchen Tätigkeiten ohne organschaftlichen Bezug gelten nach Ansicht des OLG dieselben Grundsätze zur Haftungsbeschränkung wie bei Arbeitnehmern. Der Geschäftsführerin war lediglich leichte Fahrlässigkeit vorzuwerfen – mit der Folge, dass das Unternehmen den Schaden allein zu tragen hatte.

Fazit: Was Unternehmen und Geschäftsführer daraus lernen sollten

Nicht jeder Fehler eines Geschäftsführers ist automatisch eine haftungsauslösende Pflichtverletzung im Sinne des § 43 GmbHG. Es kommt darauf an, welche Pflicht konkret verletzt wurde: Bei echten Leitungs-, Organisations- oder Überwachungspflichten bleibt die Organhaftung der zentrale Maßstab. Bei einer eher „arbeitnehmerähnlichen“ Einzeltätigkeit kann dagegen eine Haftungsmilderung in Betracht kommen – auch wenn das OLG Brandenburg diese Frage ausdrücklich offengelassen hat und eine höchstrichterliche Klärung noch aussteht.

Für Unternehmen ist die wichtigste Lehre deshalb nicht, nach einem Schaden schnellstmöglich einen Schuldigen zu suchen, sondern die eigenen Prozesse so zu gestalten, dass teure Fehler gar nicht erst passieren:

• Klare Zahlungsprozesse: Ein Vier-Augen-Prinzip, eine Rückrufpflicht bei geänderten Kontodaten und definierte Freigabegrenzen reduzieren Risiken.
• Cyber-Sicherheit ernst nehmen: Phishing-Schulungen und technische Schutzmaßnahmen sind kein „Nice-to-have“, sondern Teil guter Unternehmensorganisation – und im Zweifel auch haftungsrechtlich relevant.
• Absicherung für Organmitglieder: Geschäftsführer sollten auf Haftungsbegrenzungen im Anstellungsvertrag, Freistellungsregelungen und eine ausreichend dimensionierte D&O-Versicherung achten.