Wenn der vermeintliche Chef nicht der echte Chef ist

Der Angestellte war als Head of Global Treasury für die strategische und operative Verwaltung der Finanzmittel seines Arbeitgebers zuständig. Der Arbeitgeber hatte schon vor Beginn des Arbeitsverhältnisses eine D&O-Versicherung mit einer Deckungssumme von bis zu 150 Mio. US-Dollar abgeschlossen, in die der Angestellte einbezogen war.

Die Täter spiegelten ihm vor, sein Vorgesetzter wolle in Asien eine neue Gesellschaft gründen, deren Finanzvorstand er werden solle. Der erste Anruf kam scheinbar von der Nummer des Vorgesetzten, die im dienstlichen Telefonverzeichnis stand. Die Betrüger hatten diese Nummer gefälscht (sog. Caller-ID-Spoofing). Die weiteren Zahlungsanweisungen erhielt er über einen Messenger-Dienst auf seiner privaten Mobilnummer. In 25 Tagen veranlasste er knapp 60 Überweisungen über insgesamt mehr als 50 Mio. €. Bei seinem Vorgesetzten fragte er dabei kein einziges Mal persönlich nach.

Der Arbeitgeber kündigte fristlos und verlangte Schadensersatz in Höhe aller Überweisungen. Das LAG Köln hielt die fristlose Kündigung für wirksam und verurteilte den Angestellten zum Schadensersatz in voller Höhe.

Wer im Arbeitsverhältnis seine Pflichten verletzt, haftet zunächst nach §§ 280 Abs. 1, 276 BGB. § 619a BGB verschiebt die Beweislast zulasten des Arbeitgebers: Er muss neben der Pflichtverletzung auch nachweisen, dass der Arbeitnehmer sie zu vertreten hat. Das BAG schränkt diese Haftung außerdem seit Langem nach den Grundsätzen des innerbetrieblichen Schadensausgleichs ein. Dahinter steht der Gedanke, dass die Arbeit in einem Risikoumfeld stattfindet, das der Arbeitgeber geschaffen hat und dem der Arbeitnehmer nicht ausweichen kann. Verdienst und Haftungsrisiko stehen zudem regelmäßig in keinem Verhältnis zueinander.

Seit dem Beschluss des Großen Senats des BAG vom 27.9.1994 (GS 1/89) gilt für alle betrieblich veranlassten Tätigkeiten ein abgestuftes Haftungsmodell:

• Vorsatz: volle Haftung
• grobe Fahrlässigkeit: in aller Regel volle Haftung
• normale (mittlere) Fahrlässigkeit: Schadensteilung
• leichteste Fahrlässigkeit: keine Haftung

Wie hoch der Anteil des Arbeitnehmers ausfällt, entscheidet eine Gesamtabwägung. Dazu gehören unter anderem die Schadenshöhe, ein einkalkuliertes Risiko, die Risikodeckung durch eine Versicherung, die Stellung im Betrieb und die Höhe der Vergütung. Auch bei grober Fahrlässigkeit kann die Haftung im Einzelfall begrenzt werden, wenn der Verdienst deutlich hinter dem Schadensrisiko zurückbleibt. Eine Grenze zieht die Rechtsprechung erst bei „gröbster Fahrlässigkeit“.

Grob fahrlässig handelt, wer die erforderliche Sorgfalt in ungewöhnlich hohem Maß verletzt und nicht beachtet, was jedem hätte einleuchten müssen. Hinzukommen muss ein subjektiv unentschuldbarer Verstoß. Das Verschulden muss sich dabei auf die Pflichtverletzung und auf den Schadenseintritt beziehen.

Die D&O-Versicherung (Directors and Officers) ist eine Vermögensschaden-Haftpflichtversicherung für fremde Rechnung. Versicherungsnehmer ist das Unternehmen, versichert sind die Organmitglieder und in der Regel auch leitende Angestellte. Die Rechte aus dem Vertrag stehen nach § 44 Abs. 1 VVG materiell der versicherten Person zu. Geltend machen kann sie grundsätzlich aber nur der Versicherungsnehmer (§ 44 Abs. 2, § 45 Abs. 1 VVG). Ausgeschlossen sind regelmäßig Vorsatz und wissentliche Pflichtverletzungen.

Für die Versicherten ist die D&O eine klassische Passivenversicherung: Sie schützt davor, wegen Schadensersatzforderungen Vermögen einzubüßen. Im Innenhaftungsfall, also bei Ansprüchen des eigenen Unternehmens, nützt sie auch der Gesellschaft. Das Unternehmen trägt dann nicht mehr das Risiko, dass der Schädiger zahlungsunfähig ist.

Ob jemand haftet und ob die Versicherung zahlt, wird getrennt und in eigenen Verfahren geklärt (Trennungsprinzip). Die Deckung folgt also grundsätzlich der Haftung.

Beim Caller-ID-Spoofing fälschen die Täter die angezeigte Rufnummer. Das Telefon zeigt eine vertraute Nummer an, im Kölner Fall die interne Nummer des Vorgesetzten aus dem Telefonverzeichnis. Die Masche zielt auf das Vertrauen in bekannte Kommunikationswege und soll interne Genehmigungs- und Freigabeprozesse umgehen.

Für die Haftung wirkt die gefälschte Nummer in beide Richtungen. Sie macht die Täuschung beim ersten Kontakt glaubhafter und kann daher für einen geringeren Verschuldensvorwurf sprechen. Im Kölner Fall wogen aber die späteren Umstände schwerer: Die Anweisungen liefen über einen privaten Messenger, es gab knapp 60 Transaktionen in 25 Tagen, und eine Rückfrage beim Vorgesetzten unterblieb völlig. Eine gefälschte Nummer erklärt den ersten Anruf. Für 50 Mio. € ohne einen einzigen Rückruf auf einem bekannten Kanal taugt sie als Erklärung kaum. Das LAG nahm grobe Fahrlässigkeit spätestens ab einer Chatnachricht wenige Tage nach der ersten Überweisung an und hielt die fristlose Kündigung für wirksam. Für die Überweisungen davor ging es von normaler Fahrlässigkeit aus.

Das LAG Köln lehnte jede Haftungserleichterung ab, auch für die nur normal fahrlässig veranlassten Überweisungen. Eine vom Arbeitgeber finanzierte D&O-Versicherung schütze den Angestellten ähnlich wie eine gesetzliche Pflichtversicherung. Es bestehe deshalb kein Anlass, aus Gründen des Arbeitnehmerschutzes von der vollen Haftung abzuweichen.

Das Gericht stützt sich dabei auf die BAG-Rechtsprechung zur Pflichtversicherung. Besteht eine gesetzliche Pflichtversicherung, überlagert sie die Grundsätze der beschränkten Arbeitnehmerhaftung. Eine freiwillige, vom Arbeitnehmer selbst bezahlte Privathaftpflicht wirkt sich dagegen nicht aus. Es wäre unbillig, wenn die eigenen Mittel des Arbeitnehmers am Ende nur dem Arbeitgeber zugutekämen. Anders liegt es nach dem BAG, wenn der Arbeitgeber die Versicherung zur Einstellungsbedingung gemacht hat. Das LAG überträgt diese Grundsätze auf die D&O-Versicherung, die der Arbeitgeber abgeschlossen und bezahlt hat: Es mache keinen Unterschied, ob der Arbeitgeber den Abschluss zur Einstellungsvoraussetzung mache oder die Versicherung auf eigene Kosten selbst abschließe. Auf das Trennungsprinzip komme es dann nicht an, weil die Grundsätze der eingeschränkten Arbeitnehmerhaftung von vornherein nicht eingriffen. Da die Versicherung einstehe, belaste das Ergebnis den Arbeitnehmer wirtschaftlich nicht.

Auch zur Beweislast bezieht das LAG klar Stellung. Wer sich als Arbeitnehmer darauf beruft, die volle Haftung sei ihm wirtschaftlich nicht zumutbar, muss die belastenden Umstände darlegen und beweisen. Dazu gehört auch, dass eine Versicherung tatsächlich nicht einspringt. Der Angestellte hatte nur vorgetragen, eine Deckungszusage fehle noch. Das reichte dem LAG nicht.

Frühere Entscheidungen zeigen, wie stark die Ergebnisse vom Einzelfall abhängen:

• LAG Sachsen (13.6.2017 – 3 Sa 556/16): Eine Finanzdirektorin, die einen Fake-President-Betrug nicht erkannte, handelte grob fahrlässig. Für den Verlust von 420.000 € musste sie trotzdem nur in Höhe von 150.000 € einstehen. Das Gericht kürzte den Anspruch um ein Mitverschulden einer weiteren Mitarbeiterin und des Arbeitgebers, der auf die bekannte Masche nur mit einem Hinweis per E-Mail reagiert hatte. Außerdem begrenzte es die Haftung nach den Grundsätzen der Arbeitnehmerhaftung.
• OLG Zweibrücken (18.8.2022 – 4 U 198/21): Bei einer Geschäftsführerin, die auf Phishing-Mails hereinfiel, nahm das Gericht nur leichte Fahrlässigkeit an. Eine spezifisch organschaftliche Pflichtverletzung nach § 43 Abs. 2 GmbHG verneinte es, weil das Ausführen einer Überweisung keine Leitungsaufgabe sei.

Das LAG Köln hat die Revision zum Bundesarbeitsgericht zugelassen. Das Verfahren ist beim BAG unter dem Aktenzeichen 2 AZR 164/26 anhängig. Das BAG muss vor allem klären, ob eine vom Arbeitgeber finanzierte, freiwillige D&O-Versicherung wie eine Pflichtversicherung die Grundsätze der beschränkten Arbeitnehmerhaftung überlagert. Gegen die Linie des LAG spricht das Trennungsprinzip: Die D&O-Versicherung ist keine Pflichtversicherung, und der Freistellungsanspruch wird erst fällig, wenn der Haftpflichtanspruch mit Bindungswirkung für den Versicherer festgestellt ist (§ 106 VVG). Bis dahin trägt der Angestellte das Risiko, dass der Versicherer die Deckung bestreitet. Arbeitgeber und Führungskräfte sollten bis zur Entscheidung des BAG mit beiden Ausgängen rechnen.

• Zahlungsprozesse absichern: Vier-Augen-Prinzip und verbindlicher Rückruf auf einem bekannten Kanal sind Pflicht, bei Anweisungen über Messenger oder unter Geheimhaltung erst recht. Eine angezeigte Rufnummer ist kein Echtheitsbeweis.
• Schulen und dokumentieren: Fehlende oder zu knappe Warnungen vor bekannten Maschen können ein Mitverschulden des Arbeitgebers begründen. Eine einzelne Hinweis-E-Mail reichte dem LAG Sachsen nicht.
• D&O-Bedingungen prüfen: Wie hoch ist die Deckungssumme, und ist sie angemessen? Ist der Kreis der versicherten leitenden Angestellten klar definiert? Verweisen die Bedingungen auf die Grundsätze der Arbeitnehmerhaftung? Wie sind Ausschlüsse und die Allokation im Tower geregelt?
• Als Führungskraft: Lassen Sie sich die Deckung bestätigen. Melden Sie einen Schadensfall rechtzeitig, damit der Versicherungsschutz nicht an einer Obliegenheitsverletzung scheitert.

Stand: Oktober 2026. Der Beitrag gibt den Sachstand zum Zeitpunkt der Veröffentlichung wieder und ersetzt keine Beratung im Einzelfall.