Aufsichtsrecht-Seminare ansehen Direkt zum Quick-Check

Seminar buchenTermine ansehen

I. I. Hinführung zum Thema

Geschäftsleiter können bei schuldhaften Pflichtverletzungen persönlich auf Schadensersatz haften. Für Vorstandsmitglieder bestimmt § 93 Abs. 2 Satz 2 AktG, dass sie im Streitfall darlegen und beweisen müssen, die Sorgfalt eines ordentlichen und gewissenhaften Geschäftsleiters angewandt zu haben. Für GmbH-Geschäftsführer gelten insbesondere § 43 Abs. 1 und 2 GmbHG sowie die hierzu entwickelten Beweisgrundsätze.

Da sich Entscheidungsabläufe nach Jahren häufig nur schwer rekonstruieren lassen, kommt einer zeitnahen und nachvollziehbaren Dokumentation erhebliche Beweisfunktion zu. Das Enthaftungs-Dossier bündelt entscheidungs-, kontroll- und risikobezogene Unterlagen in acht Registern und unterstützt damit eine geordnete Darlegung der Wahrnehmung organschaftlicher Pflichten.

Die Kernbausteine Ihrer Absicherung:

• Entscheidungen und Informationen: Nachvollziehbare Dokumentation der geprüften Handlungsoptionen, wesentlichen Chancen und Risiken sowie der zum Entscheidungszeitpunkt verfügbaren Informationen. Dies unterstützt den Nachweis der Voraussetzungen des § 93 Abs. 1 Satz 2 AktG.
  
  
• Überwachung und Beratung: Dokumentation ressortübergreifender Informations- und Überwachungshandlungen sowie einer eigenständigen Plausibilitätsprüfung, wenn Entscheidungen auf externem fachlichem oder rechtlichem Rat beruhen.
  
  
• Kontrolle und Eskalation: Konsolidierte Erfassung wesentlicher Prüfungsfeststellungen, Verantwortlichkeiten, Fristen und Abhilfemaßnahmen sowie nachvollziehbare Dokumentation erforderlicher Eskalationen.
  
  
• DORA und Beweissicherung: Nachweise über die laufende Aktualisierung der Kenntnisse des Leitungsorgans zu IKT-Risiken sowie vertragliche und organisatorische Vorkehrungen, die einen rechtlich zulässigen Zugriff auf relevante Unterlagen während möglicher Haftungszeiträume ermöglichen.
  
  

Der folgende Beitrag zeigt im Detail, wie diese acht Register in der Praxis aufgebaut sein müssen, um im Haftungs- und Prüfungsfall als unerschütterlicher Schutzschild zu dienen.

Für die Geschäftsleitung (C-Level) sind die Fristen wie folgt aufzuschlüsseln – gegliedert in gesetzliche Verjährungs– und Aufbewahrungsfristen einerseits sowie operative Reaktionsfristen andererseits:

1.) Gesetzliche Verjährungsfristen (Organhaftung)

Diese Fristen definieren den Zeitraum, in dem Aufsichtsrat, Insolvenzverwalter oder die Gesellschaft Ansprüche gegen die Geschäftsleitung gerichtlich geltend machen können.

• Fünf Jahre: Ansprüche der Gesellschaft gegen Vorstandsmitglieder verjähren bei nicht börsennotierten Aktiengesellschaften gemäß § 93 Abs. 6 AktG in fünf Jahren. Ansprüche gegen GmbH-Geschäftsführer nach § 43 GmbHG verjähren gemäß § 43 Abs. 4 GmbHG ebenfalls in fünf Jahren.
  
  
• Zehn Jahre: Ansprüche aus § 93 AktG verjähren in zehn Jahren, wenn die Gesellschaft im Zeitpunkt der Pflichtverletzung börsennotiert war; im Übrigen beträgt die Frist fünf Jahre (§ 93 Abs. 6 AktG).
  
  
• Der Beginn der Verjährung ist anhand des jeweiligen Anspruchs und der Umstände des Einzelfalls zu bestimmen. Deshalb können Haftungsrisiken auch nach dem Ausscheiden eines Organmitglieds fortbestehen. Ausgeschiedene Organmitglieder haften auch nach ihrem Weggang für diese Zeiträume voll weiter.

2.) Gesetzliche Aufbewahrungsfristen (Beweissicherung)

Um der prozessualen Beweislastumkehr nach Jahren noch standhalten zu können, muss das Enthaftungs-Dossier an die handels- und steuerrechtlichen Fristen gekoppelt werden.

• Sechs Jahre: Empfangene und abgesandte Handels- oder Geschäftsbriefe sowie bestimmte sonstige Unterlagen sind grundsätzlich sechs Jahre aufzubewahren (§ 257 Abs. 1, Abs. 4 HGB; § 147 Abs. 1, Abs. 3 AO).
  
  
• Acht beziehungsweise zehn Jahre: Buchungsbelege sind grundsätzlich acht Jahre aufzubewahren. Für Handelsbücher, Inventare, Jahresabschlüsse, Lageberichte und die zu ihrem Verständnis erforderlichen Organisationsunterlagen gilt grundsätzlich eine Frist von zehn Jahren. Für bestimmte beaufsichtigte Institute bestehen Sonder- und Übergangsregelungen (§ 257 Abs. 4 HGB; § 147 Abs. 3 AO).
  
  
• Die Aufbewahrungsdauer jedes Dokuments ist anhand der einschlägigen gesetzlichen, regulatorischen und vertraglichen Vorgaben festzulegen. Haftungsrelevante Unterlagen sollten jedenfalls so lange verfügbar, lesbar und eindeutig zuordenbar bleiben, wie ihre Nutzung zur Rechtsverteidigung erforderlich und datenschutzrechtlich zulässig sein kann.

3.) Operative Reaktions- und Vorlagefristen (Prüfungspraxis & Haftungsvermeidung)

Diese Fristen sind entscheidend, um den Vorwurf der groben Fahrlässigkeit (und damit den Verlust des D&O-Versicherungsschutzes) abzuwenden.

• Interne Reaktionsfrist: Wesentliche Risiken und Feststellungen sind unverzüglich zu bewerten, adressatengerecht zu eskalieren und innerhalb einer risikoorientiert festgelegten Frist zu bearbeiten. Eine interne 30-Tage-Frist kann als Höchstfrist vorgesehen werden, ersetzt jedoch nicht die Pflicht zu früherem Handeln, wenn Art oder Dringlichkeit des Risikos dies erfordern.
  
  
• Interner Bereitstellungsstandard: Das Institut sollte für wesentliche haftungs- und prüfungsrelevante Unterlagen eine angemessene interne Bereitstellungsfrist definieren. Ein Zwei-Stunden-SLA kann als organisatorisches Qualitätsziel festgelegt werden, stellt jedoch keine allgemeine gesetzliche oder aufsichtsrechtliche Vorlagefrist dar.

4.) Regulatorische Turnus-Fristen (DORA & Governance)

Fristen zur Aufrechterhaltung der persönlichen Fachkunde und der ordnungsgemäßen Geschäftsorganisation.

• Regelmäßige Fortbildung: Die Mitglieder des Leitungsorgans müssen ihre Kenntnisse und Fähigkeiten zu IKT-Risiken auf einem für ihre Aufgaben ausreichenden Stand halten. Umfang und Turnus der Fortbildung sind risikoorientiert festzulegen und nachvollziehbar zu dokumentieren (Art. 5 Abs. 4 DORA; ergänzend § 25c Abs. 4 KWG).
  • Fortschreibung und Abzeichnung des Geschäftsverteilungsplans.
    
    
  • Management-Review des konsolidierten Findings-Trackers.
    
    
  • Formelle Bestätigung der Vollständigkeit des Enthaftungs-Dossiers.

Vertragliche Handlungsempfehlung: Im Dienstvertrag sollte geprüft werden, ob dem Organmitglied nach seinem Ausscheiden ein zweckgebundenes Einsichts- oder Auskunftsrecht eingeräumt werden kann. Dieses ist mit Geheimhaltungs-, Datenschutz-, Aufsichts- und Schutzinteressen der Gesellschaft abzustimmen.

Aus dem rechtlichen Rahmen des „Enthaftungs-Dossiers“ und den korrespondierenden Aufsichtsgesetzen ergeben sich für die beteiligten Rollen (C-Level, Compliance, Geldwäschebeauftragter) streng voneinander abzugrenzende, aber ineinandergreifende Pflichten.
Obwohl das Organhaftungsrisiko letztlich die Geschäftsleitung (C-Level) trägt, lassen sich diese acht Pflichten in der Praxis nur erfüllen, wenn die Rollen ineinandergreifen. Compliance und der Geldwäschebeauftragte (GwB) fungieren hierbei als Informationsgeber, Kontrollinstanz oder haben spiegelbildliche eigene Pflichten.

Hier ist die strukturieret Einordnung der 8 Pflichten zu den jeweiligen zuständigen Funktion:

1. Die Abwägungspflicht (Register 1)

• C-Level (Primär): Trägt die volle Pflicht zur Dokumentation der Entscheidungsalternativen und der Chancen-Risiko-Abwägung (Business Judgement Rule, § 93 AktG).
  
  
• Compliance & GwB (Zuarbeit): Müssen bei regulatorischen Entscheidungen dem C-Level die rechtlichen „Leitplanken“ definieren. Sie liefern oft die Risikobewertung für die jeweiligen Alternativen (inkl. der regulatorischen Konsequenzen einer „Null-Option“).

2. Die Informationsbeschaffungspflicht (Register 2)

• C-Level (Primär): Muss sicherstellen und beweisen, dass vor der Entscheidung ausreichend Informationen (mit Zeitstempel) vorlagen.
  
  
• Compliance & GwB (Informationsbereitsteller): Tragen die Pflicht, dem C-Level die notwendigen Risikoanalysen, Berichte und Sachverhalte rechtzeitig, vollständig und unverfälscht zur Verfügung zu stellen, damit dieses überhaupt fundiert entscheiden kann.

3. Die horizontale Überwachungspflicht (Register 3)

• C-Level: Die Geschäftsleiter tragen trotz einer internen Ressortverteilung gemeinsam Verantwortung für die ordnungsgemäße Geschäftsorganisation. Sie müssen sich über wesentliche Entwicklungen in den anderen Ressorts angemessen informieren, erkennbare Fehlentwicklungen hinterfragen und bei konkreten Anhaltspunkten erforderliche Kontroll- oder Interventionsmaßnahmen einleiten. Maßgeblich sind insbesondere § 25c Abs. 3 KWG und § 93 Abs. 1 AktG.
  
  
• Compliance (Unterstützend): Liefert dem C-Level die institutsweiten Querschnittsdaten (Dashboards, Compliance-Berichte), die es einem Vorstandsmitglied erst ermöglichen, Fehlentwicklungen in einem anderen Ressort zu erkennen und dort einzugreifen.
  
  
• GwB: Trägt keine direkte horizontale Überwachungspflicht auf C-Level, überwacht aber institutsweit die Einhaltung der GwG-Vorgaben über alle Ressorts hinweg.

4. Die Plausibilisierungspflicht (Register 4)

• C-Level (Primär): Muss zwingend einen eigenen Plausibilitätsvermerk zu externen Gutachten erstellen und darf sich nicht blind auf externe Berater verlassen (ISION-Rechtsprechung).
  
  
• Compliance & GwB (Fachliche Prüfinstanz): Geht es um externe Gutachten zu Geldwäsche, Sanktionen oder Regulatorik, sind Compliance und GwB in der Pflicht, diese externen Ratschläge vorab auf Machbarkeit im eigenen Institut zu prüfen und dem C-Level bei der Erstellung des Plausibilitätsvermerks fachlich zuzuarbeiten.

5. Die Fortbildungspflicht (Register 5)

• C-Level (Primär): Hat die persönliche Pflicht zum Nachweis der eigenen Fachkunde (insb. zu IKT-Risiken nach Art. 5 und 13 DORA) durch jährliche Schulungen.
  
  
• Compliance & GwB (Spiegelbildliche Pflicht & Planung): Unterliegen selbst extrem strengen, eigenen Fortbildungspflichten (MaRisk, GwG). Zudem sind sie in der Praxis meist dafür verantwortlich, den jährlichen Schulungsplan für das C-Level zu erstellen und die Durchführung zu überwachen.

6. Die Mängelbeseitigungs- und Abhilfepflicht (Register 6)

• C-Level: Die Geschäftsleitung muss eine ordnungsgemäße Geschäftsorganisation gewährleisten und festgestellte wesentliche Mängel angemessen adressieren. Aufsichtliche Anordnungen zur Mängelbeseitigung sind innerhalb der von der Bundesanstalt gesetzten angemessenen Frist umzusetzen (§§ 25a, 25c Abs. 4c KWG).
  
  
• Compliance & GwB (Tracking-Pflicht): Sind primär dafür verantwortlich, den konsolidierten Findings-Tracker zu führen, Fristen streng zu überwachen und das C-Level rechtzeitig vor Fristablauf zu warnen.

7. Die Reaktions- und Interventionspflicht (Register 7)

• C-Level: Nach Kenntniserlangung von wesentlichen Risiken oder Pflichtverletzungen muss die Geschäftsleitung Art, Dringlichkeit und mögliche Auswirkungen bewerten und erforderliche Maßnahmen ohne schuldhaftes Zögern einleiten. Die Reaktion und ihre Entscheidungsgrundlagen sollten nachvollziehbar dokumentiert werden.
  
  
• Compliance & GwB (Eskalationspflicht): Compliance und Geldwäschebeauftragter: Wesentliche Risiken, Verstöße und Kontrollmängel sind nach Maßgabe der gesetzlichen, aufsichtsrechtlichen und internen Berichtswege zeitnah an die zuständigen Stellen zu berichten. Der Geldwäschebeauftragte berichtet der Geschäftsleitung unmittelbar (§ 7 Abs. 5 GwG); für die Compliance-Funktion gelten ergänzend die einschlägigen MaRisk-Vorgaben. Wichtig: Mit ihrer Meldung setzen sie den juristischen „Timer“ für die Reaktionspflicht des C-Levels in Gang.

8. Die Beweissicherungs- und Aufbewahrungspflicht (Register 8)

• C-Level (Primär): Muss sicherstellen, dass das eigene Enthaftungs-Dossier über die Verjährungsfrist (5 bis 10 Jahre) unangetastet, zuordenbar und lesbar bleibt (inkl. der Verhandlung eines vertraglichen Einsichtsrechts).
  
  
• Compliance & GwB (Dokumentationspflicht): Haben eigene, strenge gesetzliche Aufbewahrungsfristen (z. B. 5 Jahre für GwG-relevante Unterlagen nach § 8 GwG). Sie müssen sicherstellen, dass ihre Berichte revisionssicher archiviert werden, da diese als Beweismittel im Dossier des C-Levels dienen.

Bei der operativen Umsetzung der Pflichten rund um das „Enthaftungs-Dossier“ eröffnen sich in der Praxis konkrete haftungskritische Felder. Sobald die Verzahnung zwischen C-Level, Compliance und Geldwäschebeauftragtem (GwB) fehlschlägt oder Dokumentationen lückenhaft sind, exponieren sich die Beteiligten gegenüber erheblichen zivil-, aufsichts- und teils strafrechtlichen Vorwürfen.

Hier ist die juristisch belastbare Aufschlüsselung der zentralen Haftungsfelder, des konkreten Vorwurfs, der zugrunde liegenden Pflichtverletzung und der einschlägigen Normen:

Haftungsfeld 1: Das fehlerhafte unternehmerische Ermessen (Entscheidungsvorbereitung)

Betrifft primär: C-Level (Zuarbeit durch Compliance/GwB mangelhaft)

• Der konkrete Vorwurf: Willkürliche, unsachgemäße oder völlig uninformierte Entscheidungsfindung zum finanziellen oder regulatorischen Nachteil der Gesellschaft.
  
  
• Die Pflichtverletzung: Unterlassene Abwägung vernünftiger Handlungsalternativen und/oder das Treffen einer Entscheidung ohne angemessene Informationsgrundlage (Verlust des Schutzes der Business Judgement Rule).
  
  
• Einschlägige Normen: § 93 Abs. 1 S. 1 und 2 AktG (Sorgfaltspflicht und Business Judgement Rule) bzw. § 43 Abs. 1 GmbHG; ergänzend § 25c Abs. 4a KWG (ordnungsgemäße Geschäftsorganisation).

Haftungsfeld 2: Ungeprüfte Delegation und „Gekaufte Absicherung“ (Berater-Gutachten)

Betrifft primär: C-Level (unterstützt durch Compliance/GwB)

• Der konkrete Vorwurf: Unzulässige Delegation von Leitungsverantwortung an externe Dritte („blindes Vertrauen“) zur Umgehung der eigenen Entscheidungsverantwortung.
  
  
• Die Pflichtverletzung: Unterlassene eigenverantwortliche, kritische Plausibilitätsprüfung des externen fachlichen Rates vor der finalen Beschlussfassung.
  
  
• Einschlägige Normen: § 93 Abs. 1 AktG in ständiger Rechtsprechung des BGH (insb. „ISION“-Entscheidung, Az. II ZR 276/10), wonach die unreflektierte Übernahme externer Gutachten einen schweren Sorgfaltspflichtverstoß darstellt.

Haftungsfeld 3: Organisationsverschulden und Kontrollversagen im Gremium

Betrifft primär: C-Level

• Der konkrete Vorwurf: Systematischer „Blindflug“ innerhalb des Leitungsgremiums und bewusstes Wegschauen bei Fehlentwicklungen in den Ressorts der Vorstandskollegen.
  
  
• Die Pflichtverletzung: Verletzung der horizontalen Überwachungspflicht und der Gesamtverantwortung. Ein Geschäftsverteilungsplan entlastet nur, wenn die darin definierte gegenseitige Kontrolle auch nachweisbar ausgeübt wird.
  
  
• Einschlägige Normen: § 25c Abs. 3 KWG (Gesamtverantwortung trotz Geschäftsverteilung), § 93 Abs. 1 AktG (i.V.m. den BGH-Grundsätzen zur Ressortaufteilung, z. B. „ARAG/Garmenbeck“ hinsichtlich der Verfolgung von Pflichtverletzungen).

Haftungsfeld 4: Untätigkeit nach Mängel- und Risikokenntnis (Aussitzen von Findings)

Betrifft primär: C-Level (sowie Compliance/GwB bei unzureichendem Tracking)

• Der konkrete Vorwurf: Grob fahrlässige oder bedingt vorsätzliche Duldung von Compliance-Verstößen, Geldwäscherisiken oder Revisionsfeststellungen.
  
  
• Die Pflichtverletzung: Unterlassung unverzüglicher Gegen- und Abhilfemaßnahmen nach Kenntniserlangung einer Risikolage (Verletzung der Reaktions- und Abhilfepflicht).
  
  
• Einschlägige Normen: § 25c Abs. 4c KWG (Aufsichtliche Befugnis zur Verwarnung und Abberufung bei Untätigkeit), § 130 OWiG (Verletzung der Aufsichtspflicht in Unternehmen), MaRisk AT 4.4 (Maßnahmenverfolgung).

Haftungsfeld 5: Fehlende IKT- und Resilienz-Kompetenz (Das DORA-Risiko)

Betrifft primär: C-Level (Planung durch Compliance/GwB)

• Der konkrete Vorwurf: Veraltetes Fachwissen und mangelnde Qualifikation zur Leitung eines stark IT-abhängigen Finanzinstituts („Kompetenzdefizit“).
  
  
• Die Pflichtverletzung: Verstoß gegen die zwingende persönliche Fortbildungspflicht im Bereich IKT-Risiken und digitale Resilienz, was strategische Fehlentscheidungen im IT-Risikomanagement begründet.
  
  
• Einschlägige Normen: Art. 5 Abs. 4 DORA (persönliche Pflicht zur Kenntniserhaltung) und Art. 13 Abs. 6 DORA (verpflichtendes Resilienz-Schulungsmodul für die Geschäftsleitung) i.V.m. § 25c Abs. 1 KWG (Fachliche Eignung).

Haftungsfeld 6: Versagen der internen Eskalation (Spezifisch für GwB / Compliance)

Betrifft primär: GwB und Compliance-Funktion

• Der konkrete Vorwurf: Organisationsversagen auf der Second Line of Defense; Agieren als „zahnloser Tiger“ bei drohenden Rechtsverstößen des Instituts.
  
  
• Die Pflichtverletzung: Unterlassene, unvollständige oder verspätete Ad-hoc-Meldung bzw. Eskalation gravierender Risiken oder Geldwäscheverdachtsmomente an das C-Level.
  
  
• Einschlägige Normen: § 7 Abs. 4 GwG (Unmittelbare Unterstellung und Berichtspflicht des GwB), MaRisk AT 4.4.2 (Berichts- und Eskalationspflichten der Compliance-Funktion).
  
  
• Strafrechtliche Risiken: Eine strafrechtliche Verantwortlichkeit wegen Unterlassens setzt insbesondere eine konkrete Garantenpflicht, die tatsächliche und rechtliche Möglichkeit zur Verhinderung der Tat sowie zumindest den für das jeweilige Delikt erforderlichen Vorsatz voraus (§ 13 StGB). Ob diese Voraussetzungen bei einem Geldwäschebeauftragten vorliegen, ist stets anhand seiner konkreten Stellung, Befugnisse und Kenntnis im Einzelfall zu prüfen.

Um den aufgezeigten haftungskritischen Feldern wirksam zu begegnen und die Vorgaben der Beweislastumkehr (§ 93 Abs. 2 S. 2 AktG) rechtssicher zu erfüllen, müssen die theoretischen Pflichten in belastbare, operative Unternehmensprozesse übersetzt werden.

Hier sind die juristisch belastbaren Lösungsvorschläge, strukturiert nach den Kernrisiken, um das „Enthaftungs-Dossier“ in der Praxis wasserdicht aufzustellen:

1. Institutionalisierung der „Business Judgement Rule“ (Entscheidungsvorbereitung)

Maßnahme: Einführung eines zwingenden, standardisierten Abwägungsrasters für alle Vorstands- bzw. Geschäftsführungsbeschlüsse.

• Operative Umsetzung: Keine Beschlussvorlage darf das C-Level erreichen, ohne dass (a) mindestens zwei Handlungsalternativen (inklusive Null-Option) skizziert sind, (b) eine Chancen-Risiko-Abwägung dokumentiert ist und (c) ein Anlagenverzeichnis mit exaktem Zeitstempel (Informationsstand) beigefügt ist.
  
  
• Juristischer Zweck: Gerichtsfester Nachweis des unternehmerischen Ermessens gemäß § 93 Abs. 1 S. 2 AktG. Eine dokumentierte Prüfung vertretbarer Handlungsoptionen kann wesentlich dazu beitragen, nachzuweisen, dass die Entscheidung auf angemessener Information und am Wohl der Gesellschaft ausgerichtet getroffen wurde (§ 93 Abs. 1 Satz 2 AktG). Art und Umfang der erforderlichen Prüfung richten sich nach Bedeutung, Dringlichkeit und Risikogehalt der Entscheidung.
• Rollen: Compliance und GwB fungieren als „Gatekeeper“, die unvollständige Vorlagen (aus regulatorischer Sicht) vor der Gremienbefassung rügen müssen.

2. Standardisierter Plausibilitätsvermerk für externe Expertise

Maßnahme: Einführung eines verbindlichen „Prüfvermerk-Blattes“ bei der Einholung externer Gutachten (Rechtsanwälte, Wirtschaftsprüfer, IT-Forensiker).

• Operative Umsetzung: Das C-Level darf sich nicht nur auf das Gutachten stützen. Es muss ein einseitiges Formular unterzeichnen, das folgende Fragen bejaht: Wurde der Sachverhalt vollständig offengelegt? Beantwortet das Gutachten die gestellte Frage? Ist das Ergebnis für das Institut in sich schlüssig? Welche operativen Maßnahmen folgen daraus?
  
  
• Juristischer Zweck: Erfüllung der strengen BGH-Kriterien (ISION-Rechtsprechung). Der Vermerk beweist den eigenverantwortlichen Führungsakt und widerlegt den Vorwurf der unzulässigen Delegierung der Leitungsverantwortung.
  
  
• Rollen: Compliance/GwB bereiten den Plausibilitätsvermerk fachlich vor; das C-Level zeichnet ihn als Nachweis der eigenen geistigen Durchdringung ab.

3. Zwangseskalation und „Comply-or-Explain“-Tracking

Maßnahme: Etablierung eines institutsweiten, konsolidierten Findings-Trackers und eines Ereignisregisters mit harten Service-Level-Agreements (SLA).

• Operative Umsetzung: Alle Feststellungen (Revision, Aufsicht, Compliance) fließen in ein zentrales Register. Bei Risikomeldungen durch den GwB oder Compliance greift eine harte 30-Tage-Frist. Innerhalb dieser Frist muss das C-Level eine dokumentierte Erstmaßnahme verabschieden. Bei Fristüberschreitungen offener Findings greift ein formaler „Comply-or-Explain“-Beschluss auf Vorstandsebene (Begründung der Verzögerung und Beschluss der Fristverlängerung).
• Juristischer Zweck: Abwehr des Vorwurfs des Organisationsverschuldens und der grob fahrlässigen Untätigkeit (§ 25c Abs. 4c KWG, § 130 OWiG). Eine dokumentierte Befassung mit Verzögerungen kann belegen, dass Risiken erkannt, bewertet und gesteuert wurden. Sie beseitigt jedoch weder bestehende Rechtsverstöße noch rechtfertigt sie die Überschreitung gesetzlicher, aufsichtsrechtlicher oder verbindlich gesetzter Fristen.
  
  
• Rollen: GwB und Compliance lösen die Eskalation aus (Nachweis der eigenen Pflichtenerfüllung nach § 7 Abs. 4 GwG); das C-Level dokumentiert die Reaktion.

4. Nachweisbare Ausübung der horizontalen Überwachung

Maßnahme: Formale Verankerung von „Überwachungs-Protokollierungen“ in den Geschäftsordnungen der Leitungsgremien.

• Operative Umsetzung: Der Geschäftsverteilungsplan muss jährlich formell bestätigt werden. In den Sitzungsprotokollen des C-Levels wird ein Standard-Tagesordnungspunkt verankert, unter dem ressortübergreifende kritische Rückfragen (z. B. des Vertriebsvorstands an den Risikovorstand) explizit und namentlich protokolliert werden.
  
  
• Juristischer Zweck: Beweisführung zur Wahrnehmung der Gesamtverantwortung gem. § 25c Abs. 3 KWG. Ein Papier-Geschäftsverteilungsplan entlastet nur, wenn die darin angelegte wechselseitige Kontrolle als „gelebte Praxis“ vor Gericht bewiesen werden kann (ARAG/Garmenbeck-Grundsätze).

5. DORA-konformes Qualifikations-Board

Maßnahme: Beschluss und Durchführung eines zielgerichteten, dokumentierten Schulungsplans für das Leitungsorgan.

• Operative Umsetzung: Führung eines separaten Schulungsregisters im Enthaftungs-Dossier (Register 5). Für jedes Mitglied des Leitungsorgans sollten Inhalt, Zeitpunkt, Dauer und IKT-Risikobezug der absolvierten Fortbildungen nachvollziehbar dokumentiert werden. Die Ausgestaltung ist an Funktion, Vorkenntnissen und Risikoprofil des Instituts auszurichten (Art. 5 Abs. 4 DORA; § 25c Abs. 4 KWG).
  
  
• Juristischer Zweck: Präventive Erfüllung der Art. 5 Abs. 4 und Art. 13 Abs. 6 DORA. Fehlt dieser Nachweis, kann die Aufsicht (BaFin/EZB) künftig bei jedem IKT-Vorfall (z.B. Cyber-Angriff) argumentieren, der Geschäftsleitung habe bereits die grundlegende gesetzliche Fachkunde zur präventiven Risikoabwehr gefehlt.

6. Vertragliche Sicherung des post-vertraglichen Beweiszugriffs

Maßnahme: Ergänzung der Vorstands- bzw. Geschäftsführeranstellungsverträge (Dienstverträge) um eine nachvertragliche Klausel.

• Operative Umsetzung: Aufnahme eines Passus: Die Gesellschaft gewährt dem Organmitglied nach Beendigung des Dienstverhältnisses auf begründetes Verlangen Zugang zu denjenigen Unterlagen aus seiner Amtszeit, die zur Abwehr konkret drohender oder geltend gemachter Haftungsansprüche erforderlich sind. Der Zugang erfolgt unter Wahrung gesetzlicher Aufbewahrungs-, Datenschutz-, Geheimhaltungs- und Aufsichtspflichten sowie berechtigter Interessen der Gesellschaft und Dritter. Dieses Recht überdauert die Beendigung des Dienstverhältnisses und gilt bis zum Ablauf der gesetzlichen Verjährungsfristen.“
  
  
• Juristischer Zweck: Da die Haftung nach § 93 Abs. 6 AktG zwischen 5 und 10 Jahren verjährt, der Manager nach seinem Ausscheiden aber sofortigen Systemzugriff verliert, sichert diese Klausel die faktische prozessuale Waffengleichheit im späteren Haftungsprozess. Ohne diese Daten ist die geforderte Beweisführung unmöglich.

Das Enthaftungs-Dossier ist ein wesentliches Instrument zur strukturierten Dokumentation der Entscheidungs-, Überwachungs- und Organisationspflichten der Geschäftsleitung. Es kann die Darlegung und Beweisführung im Haftungs- oder Prüfungsfall unterstützen, ersetzt jedoch weder pflichtgemäßes Handeln noch eine einzelfallbezogene rechtliche Prüfung. Dreh- und Angelpunkt der Organhaftung ist die prozessuale Beweislastumkehr (§ 93 Abs. 2 S. 2 AktG / § 43 Abs. 2 GmbHG): Im Ernstfall muss das C-Level die eigene Sorgfalt lückenlos beweisen. Nur durch zeitnah dokumentierte Abwägungen und Informationsstände lässt sich der Haftungsschirm der Business Judgement Rule (§ 93 Abs. 1 S. 2 AktG) aktivieren.

Dies erzwingt eine operative Schicksalsgemeinschaft: Compliance und Geldwäschebeauftragter (GwB) legen durch revisionssicheres Tracking und Ad-hoc-Meldungen das zwingende Beweisfundament. Ignoriert das C-Level diese Eskalationen, manifestiert sich aus der Untätigkeit unmittelbar ein grob fahrlässiges Organisationsverschulden (z. B. nach § 25c Abs. 4c KWG).

Schlussfolgerung: Die systematische Umsetzung der acht Dossier-Register ist juristisch alternativlos. Nur durch sofort vorlagefähige Beweise, nachgewiesene IKT-Kompetenz (DORA) und vertraglich gesicherte, post-vertragliche Einsichtsrechte wandelt die Geschäftsleitung das Risiko der unbeschränkten persönlichen Haftung in rechtlich geschütztes unternehmerisches Handeln um.

Europäisches Recht (Amtsblatt der Europäischen Union)
Verordnung (EU) 2022/2554 über die digitale operationale Resilienz im Finanzsektor (DORA) vom 14.12.2022 (ABl. L 333 vom 27.12.2022, S. 1): https://eur-lex.europa.eu/eli/reg/2022/2554/oj, abgerufen am 06.08.2026.

Nationales Recht Deutschland (Bundesgesetzblatt)
Aktiengesetz (AktG) vom 06.09.1965 (BGBl. I S. 1089): https://www.gesetze-im-internet.de/aktg/, abgerufen am 06.08.2026.

Gesetz über das Kreditwesen (Kreditwesengesetz - KWG) vom 09.09.1998 (BGBl. I S. 2776): https://www.gesetze-im-internet.de/kredwg/, abgerufen am 06.08.2026.

Gesetz über das Aufspüren von Gewinnen aus schweren Straftaten (Geldwäschegesetz - GwG) vom 23.06.2017 (BGBl. I S. 1822): https://www.gesetze-im-internet.de/gwg_2017/, abgerufen am 06.08.2026.

Aufsichtsrechtliche Vorgaben
Mindestanforderungen an das Risikomanagement (MaRisk) – Rundschreiben der Bundesanstalt für Finanzdienstleistungsaufsicht (BaFin): https://www.bafin.de/DE/Aufsicht/BankenFinanzdienstleister/Risikomanagement/risikomanagement_node.html, abgerufen am 06.08.2026.

Höchstrichterliche Rechtsprechung (Bundesgerichtshof)
Bundesgerichtshof (BGH), Urteil vom 20. September 2011 – Az. II ZR 276/10 („ISION-Entscheidung“ zu den Voraussetzungen der Inanspruchnahme externen Rats): https://www.bundesgerichtshof.de, abgerufen am 06.08.2026.

Strategische Exzellenz auf C-Level erfordert kontinuierliche Orientierung. Damit du nach deinem Lehrgang nicht allein gelassen wirst, haben wir S+P C.O.R.E. entwickelt.

S+P Mehrwert-Garantie: Dein Wissens-Vorsprung für 2026

Jede Buchung eines S+P Seminars beinhaltet automatisch den kostenfreien Zugang zum quartalsweisen S+P C.O.R.E. Executive Update. Warum? Weil wir wissen, dass die regulatorische Welt nicht stillsteht. Wir halten dein Wissen aktuell – garantiert.

I. Einleitung

Cyber-Resilienz wird in der Praxis häufig fälschlicherweise mit reiner IT-Sicherheit gleichgesetzt. Während IT-Sicherheit das operative Mittel darstellt, ist Cyber-Resilienz ein durchgängiger Verantwortungsstrang, der sich über Produktentwicklung, Beschaffung, Vertragsgestaltung, Incident Management, Leitungsorganpflichten und den Marktzugang erstreckt.

Eine isolierte Betrachtungsweise greift hier zu kurz, da vier zentrale Bausteine den EU-Regelungsrahmen bilden und untrennbar miteinander verzahnt sind:

• Der Cyber Resilience Act (CRA) regelt den Marktzugang und die Sicherheit von Produkten mit digitalen Elementen.
  
  
• Die NIS-2-Richtlinie adressiert als Organisationsregime das Risikomanagement und die Meldewesen-Pflichten der Einrichtungen.
  
  
• Der EU Data Act fungiert als Datenzugangs- und Portabilitätsregime.
  
  
• Die EU-KI-Verordnung wirkt an den Schnittstellen zu Produkt- und Governancepflichten mit

• Stichtag: 02.08.25
  Regelwerk: EU- KI- Verordnung 
  Relevante Pflichten: Anwendung der Pflichten für General Purpose AI (GPAI)
  
  
• Stichtag: 12.09.25
  Regelwerk: EU Data Act
  Relevante Pflichten: Anwendung der Pflichten zu Datenzugang, Portabilität und Cloud-Switching.

• Stichtag: 06.12.25
  Regelwerk: NIS-2 (BSIG-neu)
  Relevante Pflichten: Inkrafttreten der nationalen Umsetzung in Deutschland.

• Stichtag: 06.03.26
  Regelwerk: NIS-2 (BSIG-neu)
  Relevante Pflichten: Offizielle Registrierungsfrist für betroffene Einrichtungen (BSI-Nachfrist bis 31.07.2026).

• Stichtag: 17.07.26
  Regelwerk: KRITIS-DachG
  Relevante Pflichten: Start der Registrierung für betroffene Betreiber kritischer Anlagen beim BBK.

• Stichtag: 11.09.26
  Regelwerk: Cyber Resilience Act (CRA)
  Relevante Pflichten: Start der Meldepflichten für ausgenutzte Schwachstellen und Sicherheitsvorfälle.

• Stichtag: 11.12.27
  Regelwerk: Cyber Resilience Act (CRA)
  Relevante Pflichten: Vollanwendung der Hauptpflichten (Security by Design, Updates, CE-Kennzeichnung).

Um den Anforderungen der vernetzten Regulierung gerecht zu werden, müssen verschiedene Unternehmensbereiche orchestriert zusammenarbeiten. Daraus ergeben sich konkrete operative Pflichten:

1. Zentrale Steuerung durch das Leitungsorgan

• Geschäftsleitung und Aufsichtsorgane müssen sich fortlaufend schulen lassen und ihre Überwachungspflichten wahrnehmen (§ 38 BSIG).
  
  
• Es müssen belastbare Beschlusslagen, Reportings und Eskalationsmatrizen vorliegen.

2. Integration in die Produktentwicklung (R&D)

• Die Prinzipien „Security by Design“ und „Security by Default“ müssen zwingend in den Software Development Life Cycle (SDLC) und die Freigabeworkflows eingebettet werden.
  
  
• Technische Dokumentationen (z.B. SBOM) müssen konsistent gepflegt werden, um zeitgleich die Anforderungen des CRA und des Data Acts zu erfüllen.

3. Anpassung der Vertrags- und Datensteuerung

• Vertragsmuster und Produktbedingungen sind hinsichtlich des Data Acts auf unfaire Klauseln zu prüfen.
  
  
• Prozesse für den Datenexport und den Cloud-Wechsel (Cloud-Switching) müssen technisch und operativ vorbereitet sein.

4. Koordiniertes Incident Management

• Meldewege an Behörden (ENISA, CSIRT, BSI und ggf. BBK) müssen sauber abgegrenzt, fristgerecht organisiert und dokumentiert sein.
  
  
• Ein Vulnerability-Handling mit klarer Triage, Patch-Steuerung und Kontaktpunkt ist essenziell.

Die Umstellung auf dieses ganzheitliche Aufsichtsregime bringt massive operative Herausforderungen mit sich. In Audits und Gap-Analysen zeigen sich aktuell folgende kritische Schwachstellen:

• Fehlende Rollenklarheit: Unternehmen haben oft ein unvollständiges Produktinventar und die Abgrenzung der Pflichten zwischen Hersteller, Importeur und Händler ist nicht eindeutig definiert.
  
  
• Unzureichendes Schwachstellenmanagement: Es fehlt an einer belastbaren Update- und Patch-Governance, die gesetzlichen Vorgaben standhält.
  
  
• Isolierte KI-Initiativen: Künstliche Intelligenz wird oft ohne direkten Anschluss an die allgemeine Security-Governance eingesetzt, wodurch Transparenz- und Dokumentationspflichten ins Leere laufen.
  
  
• Regulatorische Doppel- oder Unterregulierung: Branchenspezifische Sonderregime (wie DORA für den Finanzsektor oder das KRITIS-DachG für kritische Infrastrukturen) werden häufig übersehen oder falsch abgegrenzt.
  
  
• Verzahnungslücken: CRA-Meldeprozesse sind oft nicht mit dem allgemeinen Incident Management verbunden, und Verträge sind nicht an den Data Act angepasst.

Die identifizierten Schwachstellen sind nicht lediglich operative Defizite, sondern entfalten unmittelbare haftungsrechtliche Relevanz. Unklare Rollenverteilungen können zu einer fehlerhaften Herstellerzuordnung im Sinne des Cyber Resilience Act führen und damit Vertriebsverbote auslösen. Defizite im Schwachstellen- und Patch-Management erhöhen das Risiko verspäteter oder unterlassener Meldungen und begründen Organisationsverschulden. Unzureichende Dokumentation, insbesondere im Kontext von KI-Systemen, führt regelmäßig zu Beweislastnachteilen gegenüber Aufsichtsbehörden.

Technologie, Produktentwicklung, Recht und Geschäftsleitung müssen ineinandergreifen, um Marktzugangsrisiken abzuwenden. Folgender Maßnahmenplan ist unabdingbar:

1. Regulatorisches Scope-Mapping

Identifizieren Sie vollständig Ihre betroffenen Produkte und Gesellschaften.

Prüfen und dokumentieren Sie gezielt branchenspezifische Anschlusspflichten wie DORA, CER/KRITIS-DachG und etwaige CRA-Ausschlüsse (z.B. für Medizinprodukte oder Automotive) in einem Abgrenzungsvermerk.

2. Aufbau einer zentralen Governance

Etablieren Sie ein integriertes Steuerungsmodell (RACI) für CRA, NIS-2, Data Act und KI, inklusive Board-Reporting und Fristensteuerung.

Die Ausgestaltung des Governance-Systems muss explizit auch der haftungsrechtlichen Entlastung dienen. Hierzu ist eine revisionssichere Dokumentation sämtlicher wesentlicher Entscheidungen, Risikobewertungen und Eskalationen erforderlich. Nur wenn Entscheidungsgrundlagen nachvollziehbar festgehalten und Verantwortlichkeiten eindeutig zugewiesen sind, kann das Leitungsorgan im Sinne der Business Judgement Rule eine ordnungsgemäße Wahrnehmung seiner Pflichten darlegen.

3. Harmonisierung der Dokumentation

Überarbeiten Sie die technische Dokumentation, die Konformitätsunterlagen und die CE-Logik so, dass sie für alle überschneidenden Gesetze verwendbar sind.

Führen Sie ein KI-Inventar ein und integrieren Sie Transparenz- sowie Logging-Pflichten in die bestehenden Produktprozesse.

4. Härtung der Reaktionsprozesse

Implementieren Sie ein koordiniertes Meldewesen (Incident Playbooks, Decision Trees), das genau aussteuert, ob ein Vorfall nach CRA, NIS-2 oder KRITIS-DachG gemeldet werden muss.

Besondere Aufmerksamkeit erfordern regulatorische Überschneidungen und Sonderkonstellationen. Für Finanzunternehmen ist insbesondere das Verhältnis von NIS-2 zu DORA zu klären, da hier parallele, aber teilweise speziellere Anforderungen bestehen. Zudem sind mögliche Ausnahmen vom Anwendungsbereich des Cyber Resilience Act, etwa für regulierte Produktkategorien wie Medizinprodukte, sauber zu dokumentieren. In Mehrrollen-Konstellationen, in denen Unternehmen gleichzeitig als Hersteller, Importeur und Händler auftreten, kumulieren die jeweiligen Pflichten und sind entsprechend integriert abzubilden.

Ohne ein integriertes Cyber-Resilienz-Governance-Modell ist eine haftungsrechtliche Entlastung der Geschäftsleitung faktisch nicht mehr darstellbar. Gleichzeitig wird Governance zur unmittelbaren Voraussetzung für den Marktzugang, insbesondere unter dem Cyber Resilience Act. Unternehmen, die die regulatorischen Regime nicht konsistent verzahnen, riskieren daher nicht nur operative Ineffizienzen, sondern konkrete Vertriebsverbote sowie persönliche Haftungsrisiken auf Leitungsebene.

Europäisches Recht (Amtsblatt der Europäischen Union) Verordnungen:

Verordnung (EU) 2024/1689 zur Festlegung harmonisierter Vorschriften für künstliche Intelligenz (Gesetz über künstliche Intelligenz / EU-KI-Verordnung) vom 13.06.2024 (ABl. L, 2024/1689):https://eur-lex.europa.eu/eli/reg/2024/1689/oj, abgerufen am 22.07.2026.

Verordnung (EU) 2023/2854 über harmonisierte Vorschriften für einen fairen Datenzugang und eine faire Datennutzung (Datenverordnung / EU Data Act) vom 13.12.2023 (ABl. L, 2023/2854):https://eur-lex.europa.eu/eli/reg/2023/2854/oj, abgerufen am 22.07.2026.

Verordnung (EU) 2022/2554 über die digitale operationale Resilienz im Finanzsektor (DORA) vom 14.12.2022 (ABl. L 333 vom 27.12.2022, S. 1):https://eur-lex.europa.eu/eli/reg/2022/2554/oj, abgerufen am 22.07.2026. Vorschlag für eine Verordnung über horizontale Cybersicherheitsanforderungen für Produkte mit digitalen Elementen (Cyber Resilience Act - CRA) vom 15.09.2022 (COM/2022/454 final):https://eur-lex.europa.eu/legal-content/DE/TXT/?uri=CELEX:52022PC0454, abgerufen am 22.07.2026.

Richtlinien:

Richtlinie (EU) 2022/2555 über Maßnahmen für ein hohes gemeinsames Cybersicherheitsniveau in der Union (NIS-2-Richtlinie) vom 14.12.2022 (ABl. L 333 vom 27.12.2022, S. 80):https://eur-lex.europa.eu/eli/dir/2022/2555/oj, abgerufen am 22.07.2026.

Richtlinie (EU) 2022/2557 über die Resilienz kritischer Einrichtungen (CER-Richtlinie / Vorlage für das KRITIS-DachG) vom 14.12.2022 (ABl. L 333 vom 27.12.2022, S. 164):https://eur-lex.europa.eu/eli/dir/2022/2557/oj, abgerufen am 22.07.2026.

Nationales Recht Deutschland (Bundesgesetzblatt)

Gesetz über das Bundesamt für Sicherheit in der Informationstechnik (BSI-Gesetz - BSIG) vom 14.08.2009 (BGBl. I S. 2821):https://www.gesetze-im-internet.de/bsig_2009/, abgerufen am 22.07.2026. (Hinweis zu "NIS-2 / BSIG-neu" und "KRITIS-DachG":

Hierbei handelte es sich zum Zeitpunkt der initialen Entwürfe um noch laufende Gesetzgebungsverfahren zur Umsetzung der oben genannten EU-Richtlinien. Die offiziellen Entwürfe und Publikationen werden primär über das Bundesministerium des Innern und für Heimat zur Verfügung gestellt:https://www.bmi.bund.de, abgerufen am 22.07.2026.)

Strategische Exzellenz auf C-Level erfordert kontinuierliche Orientierung. Damit du nach deinem Lehrgang nicht allein gelassen wirst, haben wir S+P C.O.R.E. entwickelt.

S+P Mehrwert-Garantie: Dein Wissens-Vorsprung für 2026

Jede Buchung eines S+P Seminars beinhaltet automatisch den kostenfreien Zugang zum quartalsweisen S+P C.O.R.E. Executive Update. Warum? Weil wir wissen, dass die regulatorische Welt nicht stillsteht. Wir halten dein Wissen aktuell – garantiert.