Haftung bei CEO-Fraud: Wer zahlt, wenn ein Mitarbeiter auf den falschen Chef hereinfällt?

Ein Anruf mit der Nummer des Vorgesetzten, danach Nachrichten über einen Messenger auf dem Privathandy – und am Ende sind über 50 Millionen Euro ins Ausland überwiesen. Bisher galt in solchen Fällen die Faustregel, dass das Unternehmen den Schaden trägt. Ein aktuelles Urteil stellt das infrage und macht die Haftung bei CEO-Fraud zu einem Thema, das Geschäftsführer, Buchhaltung und IT gleichermaßen betrifft.

Der Fall: Treasury-Leiter soll für CEO-Fraud haften

Wie heise online berichtet, hat das Landesarbeitsgericht (LAG) Köln Ende Juli 2026 den Treasury-Leiter eines Unternehmens zum Schadensersatz verurteilt und seine fristlose Kündigung bestätigt (Az. 8 SLa 603/25).

Der Ablauf laut Bericht: Die Täter fälschten die Telefonnummer seines direkten Vorgesetzten und brachten ihn anschließend über eine Messenger-App auf seinem privaten Smartphone dazu, fast 60 Auslandsüberweisungen über insgesamt mehr als 50 Millionen Euro auszuführen. Dabei setzte er sich über interne Vorgaben zur Zahlungsfreigabe und zur Kommunikation über private Messenger hinweg. Das Gericht wertete das als grob fahrlässig.

Das Urteil ist nicht rechtskräftig. Das LAG hat die Revision zum Bundesarbeitsgericht zugelassen, dort läuft das Verfahren unter dem Aktenzeichen 8 AZR 164/26.

Warum die übliche Haftungsbegrenzung nicht griff

Arbeitnehmer haften für Schäden, die sie bei ihrer Arbeit verursachen, nach der Rechtsprechung des Bundesarbeitsgerichts normalerweise nur eingeschränkt. Dieses Privileg hat das LAG dem Bericht zufolge hier nicht angewendet. Der Grund: Der Arbeitgeber hatte den Mitarbeiter in eine D&O-Versicherung (Managerhaftpflicht) einbezogen. Das Gericht sah darin einen Schutz, der einer Pflichtversicherung nahekommt – die Prämien zahlte laut heise das Unternehmen, nicht der Mitarbeiter. Ob der Versicherer am Ende tatsächlich zahlt, hängt davon ab, dass die Haftung rechtskräftig festgestellt wird.

Das Argument „zu wenig Schulung” zog nicht

Der Mitarbeiter hatte sich damit verteidigt, der Arbeitgeber habe bei Schulungen und IT-Sicherheit zu wenig getan. Das Gericht ließ das laut Bericht nicht gelten. Maßgeblich waren die dokumentierten Freigabe- und Kommunikationsregeln, gegen die er verstoßen hatte.

Was das Urteil für kleinere Unternehmen bedeutet

50 Millionen Euro sind eine Konzerngröße. Die Mechanik dahinter ist in einem Betrieb mit 30 Mitarbeitern dieselbe – nur dass dort schon eine fünfstellige Fehlüberweisung wehtut.

Regeln, die niemand aufgeschrieben hat, helfen im Streitfall nicht

Der Fall drehte sich um schriftlich fixierte Vorgaben. In vielen KMU existieren solche Regeln nur als Gewohnheit: „Größere Überweisungen schaut der Chef nochmal an.” Was „größer” heißt, wer vertritt und über welchen Kanal eine Anweisung kommen darf, steht nirgends. Das ist doppelt riskant. Betrüger nutzen genau diese Unschärfe, und nach einem Vorfall lässt sich kaum klären, wer welche Pflicht hatte.

Betroffen sind nicht nur Finanzverantwortliche

heise weist auf eine mögliche Folge hin: Bestätigt das Bundesarbeitsgericht die Linie, könnten auch IT-Leiter, CISOs und andere Führungskräfte mit D&O-Deckung für Fehler bei Social-Engineering-Angriffen unbegrenzt haften – etwa, wenn sie nach einem gefälschten Anruf einen Zugang freischalten. Der Helpdesk-Anruf „Ich bin im Urlaub, bitte setzen Sie mein Passwort zurück” ist technisch dieselbe Masche wie die gefälschte Zahlungsanweisung.

Die Angriffe werden überzeugender

Gefälschte Rufnummern sind seit Jahren möglich, KI-Stimmklone kommen hinzu. Wie die Täter vorgehen, haben wir im Beitrag zu Vishing und CEO-Fraud beschrieben. Die Konsequenz: „Ich habe die Stimme erkannt” oder „Die Nummer stimmte” taugt nicht mehr als Prüfung. Verlässlich ist nur ein Ablauf, der unabhängig davon funktioniert, wie echt der Anruf klingt.

Haftung bei CEO-Fraud begrenzen: sechs Schritte für KMU

Die folgenden Punkte ersetzen keine Rechtsberatung. Sie sorgen aber dafür, dass ein Betrugsversuch an der Technik und am Ablauf scheitert – und dass im Ernstfall klar ist, was gegolten hat.

1. Zahlungsfreigabe schriftlich regeln

Legen Sie auf einer Seite fest: Ab welchem Betrag ist eine zweite Freigabe nötig? Wer darf freigeben, wer vertritt bei Urlaub und Krankheit? Was gilt für neue Empfänger und geänderte Bankverbindungen? Die Regel wird den Betroffenen ausgehändigt und der Empfang bestätigt.

2. Das Vier-Augen-Prinzip im Banking erzwingen

Eine Regel auf Papier lässt sich unter Druck umgehen, eine technische Sperre nicht. Die meisten Geschäftskonten erlauben eine gemeinsame Zeichnung, bei der eine zweite Person jede Zahlung oder jede Zahlung ab einem Betrag freigeben muss. Ergänzen Sie Tages- und Einzellimits und fragen Sie Ihre Bank, ob sich Auslandsüberweisungen sperren oder auf bestimmte Länder beschränken lassen, wenn Sie sie nicht brauchen.

3. Zulässige Kommunikationskanäle festlegen

Definieren Sie, über welche Kanäle Zahlungsanweisungen und Zugangsanfragen überhaupt kommen dürfen – und über welche nie. Private Messenger auf privaten Geräten gehören auf die zweite Liste. Damit das praktikabel bleibt, braucht es einen dienstlichen Kanal, der funktioniert; mehr dazu im Beitrag zu Messenger-Apps im Unternehmen.

4. Rückruf über bekannte Nummern zur Pflicht machen

Jede ungewöhnliche Anweisung wird über eine Nummer aus dem internen Verzeichnis bestätigt – nicht über die Nummer, die gerade angerufen hat, und nicht über „Antworten” im Chat. Das gilt ausdrücklich auch, wenn der Chef selbst Zeitdruck macht. Diese Zusage muss von der Geschäftsführung kommen, sonst traut sich niemand, nachzufragen.

5. Dieselben Regeln für IT-Anfragen

Passwort-Resets, neue MFA-Geräte, Freigaben für externe Zugänge: Auch hier braucht es eine Identitätsprüfung, die nicht allein auf einem Anruf beruht. Wie Sie den Verlust eines zweiten Faktors sauber abwickeln, steht im Beitrag zum Authenticator-Backup.

6. Schulen, dokumentieren, Versicherung prüfen

Schulungen bleiben sinnvoll, auch wenn sie im Kölner Fall nicht den Ausschlag gaben. Halten Sie Termine und Teilnehmer fest. Klären Sie mit Ihrem Versicherungsmakler, ob Ihre Cyber-Versicherung oder eine Vertrauensschadenversicherung Social-Engineering-Schäden abdeckt und welche Auflagen daran hängen. Wer D&O-Verträge für Führungskräfte abgeschlossen hat, sollte das Urteil mit einem Fachanwalt für Arbeitsrecht besprechen.

Klare Regeln schützen auch die Mitarbeiter

Das Urteil liest sich zunächst wie eine Drohung an Beschäftigte. In der Praxis ist es umgekehrt: Wer eine eindeutige Vorgabe hat und sich daran hält, steht auf sicherem Boden – auch wenn der angebliche Geschäftsführer am Telefon laut wird. Eine klare Regel nimmt den Druck aus der Situation, weil die Antwort feststeht: „Ich rufe Sie über die bekannte Nummer zurück.”

Was das für KMU in Sachsen bedeutet

In Dresden und ganz Sachsen arbeiten viele Betriebe mit einer Buchhaltung aus ein oder zwei Personen, die Zahlungen allein auslösen können. Ostdeutsche KMU ohne eigene IT-Abteilung haben zudem selten geregelt, wie der Dienstleister oder der Helpdesk die Identität eines Anrufers prüft. Beides lässt sich an einem Nachmittag ändern: Zeichnungsrechte im Banking anpassen, eine Seite Regelwerk schreiben, Rückrufliste hinterlegen.

Sie suchen Unterstützung in Dresden?

Rexoma hilft KMU dabei, die Haftung bei CEO-Fraud gar nicht erst zum Thema werden zu lassen: Wir prüfen im IT-Sicherheitsaudit Ihre Freigabe- und Kommunikationswege, richten sichere dienstliche Kanäle und Geräteverwaltung ein, legen Verfahren für Passwort- und Zugangsanfragen fest und schulen Ihr Team mit realistischen Szenarien. Sprechen Sie uns an – als IT-Dienstleister aus Dresden sind wir für Betriebe in ganz Sachsen schnell vor Ort.

FAQ

Haften Mitarbeiter grundsätzlich selbst, wenn sie auf CEO-Fraud hereinfallen?

Nein. Nach der Rechtsprechung des Bundesarbeitsgerichts ist die Haftung von Arbeitnehmern für betrieblich verursachte Schäden normalerweise begrenzt. Das LAG Köln hat diese Begrenzung in einem Fall nicht angewendet, in dem der Mitarbeiter grob fahrlässig handelte und über eine D&O-Versicherung des Arbeitgebers abgesichert war.

Ist das Urteil des LAG Köln endgültig?

Nein. Die Revision zum Bundesarbeitsgericht ist zugelassen, das Verfahren läuft dort unter dem Aktenzeichen 8 AZR 164/26. Bis zu einer Entscheidung ist offen, ob die Linie Bestand hat.

Reicht eine mündliche Anweisung zum Vier-Augen-Prinzip aus?

Für den Alltag vielleicht, für den Streitfall nicht. Im Kölner Verfahren kam es laut Bericht auf dokumentierte Regeln an. Schreiben Sie die Vorgaben auf, lassen Sie den Empfang bestätigen und setzen Sie sie zusätzlich technisch im Banking um.

Was kann die IT gegen CEO-Fraud tun, wenn der Angriff per Telefon kommt?

Mehr, als man denkt: gemeinsame Zeichnung und Limits im Online-Banking einrichten, einen dienstlichen Messenger bereitstellen, private Kanäle für Geschäftliches ausschließen, feste Verfahren für Passwort-Resets definieren und Mitarbeiter mit realistischen Beispielen schulen.

Deckt eine Cyber-Versicherung Schäden durch CEO-Fraud ab?

Das hängt vom Vertrag ab. Social-Engineering-Schäden sind teils nur über Zusatzbausteine oder eine Vertrauensschadenversicherung versichert und oft an Auflagen wie ein Vier-Augen-Prinzip gebunden. Prüfen Sie die Bedingungen mit Ihrem Makler.

Quelle: heise online / iX, „CEO-Fraud: Manager haftet für Millionen-Schaden” (09.10.2026). Dieser Beitrag ist keine Rechtsberatung.