2026-10-01 | Arbeitsrecht

D&O-Versicherung bei CEO-Fraud: Haftet der Arbeitnehmer voll?

Viele Führungskräfte verlassen sich auf die Grundsätze der beschränkten Arbeitnehmerhaftung und auf eine D&O-Versicherung ihres Arbeitgebers. Wie beides zusammenwirkt, ist jedoch rechtlich umstritten. Das Landesarbeitsgericht (LAG) Köln hat mit Urteil vom 31. Juli 2026 (Az. 8 SLa 603/25) einen Head of Global Treasury nach einem CEO-Fraud zum Ersatz des vollen Schadens verurteilt. Gerade weil der Arbeitgeber eine D&O-Versicherung für ihn abgeschlossen und finanziert hatte, versagte ihm das Gericht eine Haftungserleichterung.

Das Urteil ist nicht rechtskräftig. Das LAG hat die Revision zum Bundesarbeitsgericht (BAG) zugelassen. Unternehmen und versicherte Führungskräfte müssen deshalb schon jetzt prüfen, wie Arbeitnehmerhaftung, Kündigung und D&O-Deckung im konkreten Fall zusammenspielen.

Worum ging es in dem Verfahren vor dem LAG Köln?

Der Kläger verantwortete als Head of Global Treasury das Finanz- und Liquiditätsmanagement eines Industrieunternehmens, das zu einem börsennotierten Konzern gehört. Zwischen dem 15. Juli und dem 9. August 2024 veranlasste er 59 Überweisungen im Gegenwert von mehr als 50 Millionen Euro an Betrüger. Diese gaben sich als sein direkter Vorgesetzter aus, der Finanzchef der Unternehmensgruppe.

Nach eigenen Angaben erhielt der Kläger am 11. Juli 2024 einen Anruf auf seinem privaten Handy. Angezeigt wurde die Nummer seines Vorgesetzten. Dies wird durch Caller-ID-Spoofing möglich, eine Technik zum Vortäuschen fremder Rufnummern. Danach lief die Kommunikation vor allem über WhatsApp, das auf den Diensthandys des Unternehmens nicht installiert war. Angeblich sollte im Geheimen eine neue Holding entstehen, mit dem Kläger als Finanzchef. Die wesentlichen Zahlungsanweisungen kamen von einem angeblichen Londoner Anwalt, den der Kläger zuvor nicht kannte.

Obwohl ein striktes Vier-Augen-Prinzip galt, zog der Kläger lediglich einen ihm unterstellten Mitarbeiter hinzu. Einen Rückruf beim tatsächlichen Vorgesetzten gab es nie. Ans Licht kam der Betrug erst, als sich am 9. August 2024 die Polizei wegen verdächtiger Zahlungen meldete. Einen Teil des Geldes hat das Unternehmen inzwischen zurückerlangt.

CEO-Fraud: So gehen die Täter vor

CEO-Fraud, auch Fake-President-Betrug genannt, ist eine Betrugsmasche, bei der sich Täter als Mitglieder der Geschäftsleitung ausgeben, um Beschäftigte mit Zahlungsbefugnis zu Überweisungen zu bewegen. Typisch sind Zeitdruck, absolute Verschwiegenheit und private Kommunikationskanäle.

Als Täuschungsmittel kommen etwa manipulierte Rufnummernanzeigen und in anderen Fällen Deepfakes, also mit künstlicher Intelligenz erzeugte oder veränderte Stimmen und Videos, in Betracht. Im Kölner Verfahren nutzten die Täter nach den Feststellungen des Gerichts Caller-ID-Spoofing. Ein Deepfake war dagegen Gegenstand einer früheren Schulung des Arbeitnehmers.

Durfte der Arbeitgeber fristlos kündigen?

Die fristlose Kündigung war nach Auffassung des LAG Köln wirksam. Die grob fahrlässige Pflichtverletzung des Arbeitnehmers und der daraus entstandene Schaden in zweistelliger Millionenhöhe bildeten einen wichtigen Grund im Sinne von § 626 Abs. 1 BGB. Einer vorherigen arbeitsrechtlichen Abmahnung bedurfte es wegen der Schwere des Verstoßes nach Ansicht des Gerichts nicht.

Gewahrt war auch die Zwei-Wochen-Frist des § 626 Abs. 2 BGB. Die Frist beginnt, sobald der Arbeitgeber eine zuverlässige und hinreichende Kenntnis für die Kündigung maßgebenden Tatsachen hat. Notwendige Ermittlungen müssen mit der gebotenen Zügigkeit durchgeführt werden. Nach fortlaufenden Ermittlungen hörte das Unternehmen den Kläger zuletzt am 5. September 2024 an und kündigte am 17. September 2024. Seine Kündigungsschutzklage blieb erfolglos.

Ab wann lag nach dem LAG grobe Fahrlässigkeit vor?

Grobe Fahrlässigkeit setzt eine besonders schwere Sorgfaltspflichtverletzung voraus, die auch unter Berücksichtigung der persönlichen Umstände und Fähigkeiten des Handelnden nicht zu entschuldigen ist. Anders als die Vorinstanz sah das LAG diese Grenze bei der ersten Überweisung am 15. Juli 2024 noch nicht als erreicht an. Spätestens am 18. Juli 2024 war sie nach Auffassung der Kammer überschritten. An diesem Tag schrieb der Kläger den Betrügern sinngemäß, er überweise rund 9 bis 10 Millionen Euro ohne Belege und ohne nachvollziehbare Angaben zum angeblichen Geschäft.

Schwer wog außerdem ein Schulungsvideo zum CEO-Fraud, an dem der Kläger rund sechs Wochen zuvor selbst mitgewirkt hatte. Darin forderte sein tatsächlicher Vorgesetzter: Call me, don’t just act. Dass der Kläger Caller-ID-Spoofing nicht kannte, entlastete ihn deshalb nicht. Ein Abgleich mit einer Telefonliste ersetzte den direkten Rückruf nach Ansicht der Kammer nicht.

Arbeitnehmerhaftung: Die Maßstäbe des Bundesarbeitsgerichts

Grundlage der Arbeitnehmerhaftung ist § 280 Abs. 1 BGB. Begrenzt wird sie bei betrieblich veranlassten Tätigkeiten durch die richterrechtlich entwickelten Grundsätze des innerbetrieblichen Schadensausgleichs. Eine grundlegende Entscheidung hierzu ist der Beschluss des Großen Senats des BAG vom 27. September 1994 (Az. GS 1/89 (A)). Je schwerer das Verschulden wiegt, desto größer ist grundsätzlich der vom Arbeitnehmer zu tragende Anteil.

Bei leichtester Fahrlässigkeit haftet der Arbeitnehmer regelmäßig nicht. Bei mittlerer Fahrlässigkeit wird der Schaden unter Berücksichtigung der Umstände des Einzelfalls verteilt. Vorsatz und grobe Fahrlässigkeit führen grundsätzlich zur vollen Haftung. Nach § 619a BGB muss der Arbeitgeber darlegen und beweisen, dass der Arbeitnehmer die Pflichtverletzung zu vertreten hat.

Selbst bei grober Fahrlässigkeit kann die Haftung im Einzelfall begrenzt werden, wenn insbesondere Verdienst und Schadensrisiko in einem deutlichen Missverhältnis stehen. Eine feste Haftungsobergrenze gibt es nicht (BAG, Urteil vom 28. Oktober 2010, Az. 8 AZR 418/09). Der Kläger verdiente rund 26.350 Euro brutto im Monat, während der Schaden eine zweistellige Millionensumme erreichte. Eine Entlastung wäre deshalb ohne Berücksichtigung der Versicherung grundsätzlich in Betracht gekommen, stellte das LAG fest.

Für Pflichtverletzungen in ihrer Organstellung gelten bei GmbH-Geschäftsführern insbesondere § 43 GmbHG und bei Vorstandsmitgliedern einer AG § 93 AktG. Die Grundsätze der Arbeitnehmerhaftung lassen sich auf solche Organpflichten nicht ohne Weiteres übertragen. Weitere Informationen finden Sie in unserem Beitrag zur Geschäftsführerhaftung.

Warum versagte das LAG wegen der D&O-Police eine Haftungserleichterung?

Nach Ansicht des LAG Köln wirkt eine arbeitgeberfinanzierte D&O-Versicherung im konkreten Fall ähnlich wie eine gesetzliche Pflichtversicherung. Sie fängt das Risiko ab, vor dem die beschränkte Arbeitnehmerhaftung den Beschäftigten schützen soll: eine wirtschaftliche Überforderung bis hin zur Existenzgefährdung.

Der erste Leitsatz des Urteils lautet: Eine vom Arbeitgeber finanzierte D&O-Versicherung schließt eine Haftungserleichterung nach den Grundsätzen der eingeschränkten Arbeitnehmerhaftung aus.

Das Gericht knüpft an die Rechtsprechung des BAG an. Besteht eine gesetzliche Pflichtversicherung, können die Grundsätze der beschränkten Arbeitnehmerhaftung überlagert werden. Eine freiwillige und selbst bezahlte Privathaftpflichtversicherung des Arbeitnehmers wirkt sich dagegen grundsätzlich nicht haftungserhöhend aus. Andernfalls würde wirtschaftlich allein der Arbeitgeber von den Beiträgen des Arbeitnehmers profitieren. Etwas anderes kann gelten, wenn der Arbeitgeber den Versicherungsabschluss wegen der beruflichen Risiken zur Einstellungsbedingung gemacht hat (BAG, Az. 8 AZR 418/09).

Diesem Fall stellte das LAG die Konstellation gleich, dass der Arbeitgeber die Police zugunsten des Arbeitnehmers selbst abschließt und bezahlt. Nach Auffassung der Kammer entfällt die Haftungserleichterung auch für die Überweisungen vor dem 18. Juli 2024, bei denen das Gericht noch keine grobe Fahrlässigkeit annahm.

Zusätzlich stützte sich das LAG auf eine zweite Überlegung: Die mögliche Haftungsbegrenzung bei grober Fahrlässigkeit soll den Arbeitnehmer vor einer wirtschaftlichen Überforderung schützen. Deckt eine vom Arbeitgeber finanzierte Versicherung dieses Risiko ab, entfällt nach Auffassung des Gerichts der Grund für eine solche Ausnahme von der grundsätzlich vollen Haftung.

Der Kläger wandte ein, die Versicherung müsse der Haftung folgen und nicht die Haftung der Versicherung. Das LAG folgte dem nicht. Es ging anhand der vorgelegten Police davon aus, dass der Kläger wegen der Schadensersatzansprüche des Unternehmens versichert war. Ob und in welchem Umfang die Versicherer letztlich leisten müssen, war damit jedoch noch nicht abschließend geklärt.

Wann greift eine D&O-Versicherung?

Ob eine D&O-Versicherung greift, richtet sich nach der konkreten Police. Zu prüfen sind insbesondere die versicherte Person und Tätigkeit, der vereinbarte Versicherungsfall, der Zeitpunkt der Anspruchserhebung, Meldefristen, Ausschlüsse, Selbstbehalte und die verfügbare Deckungssumme. Die folgenden Hinweise zum Versicherungsvertragsgesetz beziehen sich auf Versicherungsverhältnisse, für die das deutsche Versicherungsrecht maßgeblich ist. Bei internationalen D&O-Programmen müssen zusätzlich das anwendbare Recht und die Bedingungen der einzelnen Versicherungsebenen geprüft werden. Im gedeckten Haftpflichtfall wehrt der Versicherer unbegründete Ansprüche ab und stellt die versicherte Person von begründeten Ansprüchen frei (§ 100 VVG).

D&O steht für Directors and Officers. Versicherungsnehmer ist regelmäßig das Unternehmen. Versichert sind je nach Vertrag Organmitglieder und gegebenenfalls leitende Angestellte oder weitere Beschäftigte. Bei einer Versicherung für fremde Rechnung stehen die Rechte aus dem Versicherungsvertrag grundsätzlich der versicherten Person zu (§ 44 Abs. 1 VVG). Im Kölner Fall war der Head of Global Treasury versicherte Person. Die Deckungssumme betrug bis zu 150 Millionen US-Dollar pro Schadensfall.

Innenhaftung: Wenn das eigene Unternehmen Ansprüche erhebt

Typisch für die D&O-Versicherung ist die Deckung der Innenhaftung, also von Ansprüchen des eigenen Unternehmens gegen eine versicherte Person. Viele Policen knüpfen den Versicherungsfall nach dem sogenannten Claims-made-Prinzip an die erstmalige schriftliche Geltendmachung eines Schadensersatzanspruchs.

Nach dem Bundesgerichtshof steht einer bedingungsgemäßen Inanspruchnahme nicht bereits entgegen, dass das Unternehmen wirtschaftlich vor allem auf den Versicherungsschutz zugreifen und nicht das Privatvermögen der versicherten Person belasten möchte (BGH, Urteil vom 13. April 2016, Az. IV ZR 304/13). Der Freistellungsanspruch kann an das geschädigte Unternehmen abgetreten werden. Ein Abtretungsverbot in Allgemeinen Versicherungsbedingungen ist insoweit nach § 108 Abs. 2 VVG unwirksam.

Im Kölner Verfahren erklärte der Arbeitgeber, er wolle die Ansprüche des Klägers gegen die D&O-Versicherer pfänden und sich zur Einziehung überweisen lassen. Nach Darstellung des Arbeitgebers gewährten die Versicherer bereits Deckungsschutz für das Verfahren. Der Kläger wies dagegen darauf hin, dass noch keine abschließende Deckungszusage vorliege.

Welche Fälle deckt die D&O-Versicherung nicht?

Eine pauschale Antwort ist nicht möglich. Ob Versicherungsschutz besteht, hängt vom versicherten Risiko und den vereinbarten Bedingungen ab. § 103 VVG schließt die Leistung aus, wenn der Schaden vorsätzlich und widerrechtlich herbeigeführt wurde. Viele D&O-Bedingungen enthalten außerdem Regelungen zu wissentlichen Pflichtverletzungen. Grobe Fahrlässigkeit ist nicht allein wegen dieses Verschuldensgrades vom Versicherungsschutz ausgeschlossen. Weitere vertragliche Ausschlüsse bleiben jedoch zu prüfen.

Weitere Deckungsfragen betreffen Selbstbehalte, eine verspätete Meldung und die Frage, ob zahlreiche Einzelzahlungen als ein Versicherungsfall oder als mehrere Versicherungsfälle gelten. Schließt eine Aktiengesellschaft eine D&O-Versicherung für ein Vorstandsmitglied ab, muss sie nach § 93 Abs. 2 Satz 3 AktG einen Selbstbehalt von mindestens 10 Prozent des Schadens bis mindestens zur Höhe des Eineinhalbfachen der festen jährlichen Vergütung vorsehen. Für Arbeitnehmer besteht keine entsprechende gesetzliche Vorgabe.

Was bedeutet das Urteil für Haftung und Versicherungsschutz?

Für den früheren Head of Global Treasury bedeutet das Urteil den Verlust des Arbeitsplatzes und die persönliche Haftung für den gesamten noch offenen Schaden. Ob und in welcher Höhe er wirtschaftlich selbst belastet bleibt, hängt wesentlich vom Umfang der D&O-Deckung ab.

Verurteilt wurde er zur Zahlung zahlreicher Einzelbeträge, überwiegend in Millionenhöhe, nebst Zinsen seit dem 5. Dezember 2024 und unter Berücksichtigung zurückerlangter Summen. Hinzu kommt die Pflicht, weitere Schäden aus den Überweisungen zu ersetzen, soweit diese nicht bereits von den bezifferten Zahlungsanträgen erfasst sind. Ausgenommen sind Schäden, deren Ersatz § 12a ArbGG ausschließt.

Einen Teilerfolg erzielte der Kläger mit einem Zurückbehaltungsrecht. Zahlen muss er jeweils nur Zug um Zug gegen Abtretung der Ansprüche, die dem Arbeitgeber wegen der betreffenden Überweisung gegen die Zahlungsempfänger zustehen (§ 273 BGB, § 255 BGB analog).

Für die Haftungsabwägung verlangte das LAG vom Kläger, eine fehlende Absicherung und die daraus folgende wirtschaftliche Überforderung substantiiert darzulegen. Der Hinweis auf die laufende Deckungsprüfung sowie auf mögliche Streitigkeiten innerhalb eines aus mehreren Versicherungsebenen bestehenden Programms nach englischem Recht genügte der Kammer nicht. Falls die Versicherer eine Deckung später ganz oder teilweise ablehnen und das Urteil Bestand hat, kann dem Arbeitnehmer eine erhebliche persönliche Belastung verbleiben.

Ein Mitverschulden des Arbeitgebers nach § 254 BGB verneinte das Gericht. Die Schulung sei ausreichend auf die Gefahr zugeschnitten gewesen; die behaupteten Lücken der IT-Sicherheit seien für den Schaden nicht ursächlich gewesen.

CEO-Fraud vorbeugen: Folgen für Unternehmen und Führungskräfte

Das Urteil gibt Unternehmen ein Argument für Regressansprüche und zeigt versicherten Führungskräften zugleich, dass eine arbeitgeberfinanzierte D&O-Police die arbeitsrechtliche Haftungsverteilung beeinflussen kann. Da die Entscheidung noch nicht rechtskräftig ist, bleibt die weitere Entwicklung beim BAG abzuwarten.

Arbeitgeber: Regress, Versicherung und Nachweise

Unternehmen können Beschäftigte nach einem CEO-Fraud auf Schadensersatz in Anspruch nehmen, wenn die Voraussetzungen der Arbeitnehmerhaftung erfüllt sind. Eine D&O-Versicherung ersetzt den unmittelbaren Betrugsschaden des Unternehmens nicht schon aufgrund der Täuschung. Sie betrifft regelmäßig die Haftpflicht der versicherten Person. Für einen unmittelbaren Schutz des Unternehmens kann eine Vertrauensschadenversicherung in Betracht kommen, sofern deren Bedingungen auch Social Engineering erfassen.

Im entschiedenen Fall enthielt der Arbeitsvertrag eine zweistufige Ausschlussklausel mit jeweils dreimonatigen Fristen für die außergerichtliche und die anschließende gerichtliche Geltendmachung. Unternehmen sollten beide Stufen sowie die Wirksamkeit und Reichweite der konkreten Klausel prüfen. Zudem sollten die konkret vereinbarten Fristen frühzeitig geprüft werden, mögliche Ansprüche rechtzeitig geltend machen und den Versicherer einbinden. Dokumentierte Schulungen halfen dem Arbeitgeber im Verfahren sowohl bei der Bewertung der groben Fahrlässigkeit als auch bei der Abwehr des Mitverschuldenseinwands. Ein gelebtes Compliance-Management-System mit klaren Freigabewegen kann das Risiko von vornherein reduzieren.

Führungskräfte mit Zahlungsbefugnis: Fünf Schutzregeln

1. Rufen Sie vor ungewöhnlichen Zahlungen selbst zurück und nutzen Sie dafür eine Nummer aus einer verlässlichen dienstlichen Quelle. Eine angezeigte Rufnummer beweist nicht, wer tatsächlich anruft.
2. Akzeptieren Sie keine Zahlungsanweisungen über private Messenger. Halten Sie das Vier-Augen-Prinzip auch dann ein, wenn angeblich strenge Geheimhaltung verlangt wird.
3. Klären Sie, ob Sie in der D&O-Versicherung Ihres Arbeitgebers versichert sind und für welche Tätigkeiten, Ansprüche und Zeiträume Schutz besteht.
4. Sorgen Sie dafür, dass eine Inanspruchnahme unverzüglich nach den Vorgaben der Police gemeldet wird. Geben Sie ohne vorherige Prüfung kein Schuldanerkenntnis ab.
5. Beachten Sie die Klagefrist: Gegen eine Kündigung muss grundsätzlich innerhalb von drei Wochen nach Zugang der schriftlichen Kündigung Klage beim Arbeitsgericht erhoben werden (§ 4 Satz 1 KSchG).

Ist das Urteil des LAG Köln rechtskräftig?

Nein. Das Urteil des LAG Köln ist nicht rechtskräftig. Das Gericht ließ die Revision nach § 72 Abs. 2 ArbGG zu, weil die Bedeutung einer arbeitgeberfinanzierten D&O-Versicherung für die beschränkte Arbeitnehmerhaftung umstritten und von grundsätzlicher Bedeutung ist. Nach der Pressemitteilung des LAG ist die Revision beim Bundesarbeitsgericht anhängig.

Bis zu einer Entscheidung des BAG können andere Arbeitsgerichte die Rechtsfrage anders beurteilen. Für Führungskräfte zeigt der Fall, dass eine D&O-Versicherung vor einer wirtschaftlichen Überforderung schützen kann, sofern der konkrete Schaden gedeckt ist. Nach Auffassung des LAG kann dieselbe Police zugleich dazu führen, dass eine Haftungserleichterung entfällt. Haftung und Versicherungsdeckung sollten deshalb gemeinsam geprüft werden.

Dieser Beitrag gibt den Stand vom 30. September 2026 wieder und ersetzt keine Beratung im Einzelfall.

SBS LEGAL – Kanzlei für Arbeitsrecht

SBS LEGAL berät im Arbeitsrecht zu Kündigungen und Schadensersatzansprüchen nach einem CEO-Fraud. Bei Fragen der Managerhaftung prüfen wir die Anspruchsgrundlage und die Bedeutung einer vorhandenen D&O-Versicherung.

Was tun nach einem CEO-Fraud im Unternehmen?

Für eine belastbare Einschätzung sind insbesondere die Zahlungsanweisungen, internen Freigaberegeln, Schulungsnachweise, arbeitsvertraglichen Fristen und Versicherungsbedingungen wichtig. Senden Sie uns eine Kündigung, eine Schadensersatzforderung oder ein Schreiben des D&O-Versicherers über das Kontaktformular. Wir prüfen Fristen, Haftung und Deckung und besprechen mit Ihnen die nächsten Schritte.

Der Erstkontakt zu SBS LEGAL ist kostenlos.

Zurück zur Blog-Übersicht