LAG Köln zur Haftung bei CEO-Fraud: D&O-Versicherung als Haftungsverschärfung?

Ein Anruf vom vermeintlichen Chef, eine geheime Firmengründung in Asien, wochenlange WhatsApp-Chats – und am Ende sind mehr als 40 Mio. EUR verloren. Ein vom Landesarbeitsgericht (LAG) Köln vor kurzem entschiedener Fall veranschaulicht die Gefahren von Cyberkriminalität im KI-Zeitalter. Aber auch noch aus einem ganz anderen Grund hat der Fall für Aufsehen gesorgt: Denn nach Ansicht des LAG Köln haftet der klagende Mitarbeiter gegenüber seinem Arbeitgeber auf vollen Schadensersatz, weil ihm die arbeitgeberfinanzierte D&O-Versicherung den üblichen Schutz der Arbeitnehmerhaftung nehme. Sollte das Bundesarbeitsgericht (BAG) dies bestätigen, könnten sich ungeahnte Haftungsrisiken für angestellte Führungskräfte und spiegelbildlich dazu neue Regresswege für Unternehmen ergeben.

Sachverhalt

Beim sogenannten CEO-Fraud geben sich Kriminelle als Vorgesetzte oder Handelspartner aus und veranlassen Mitarbeiter, die über entsprechende Kontoführungsbefugnis verfügen, zur Überweisung signifikanter Geldbeträge auf fremde Konten. Bei der Umsetzung bedienen sich die Täter häufig moderner Technologien wie KI-Deepfakes und Sicherheitslücken in IT-Systemen, um fremde Identitäten anzunehmen und Mitarbeitende unter Druck zu setzen.

Im Fall des LAG Köln klagte der angestellte Leiter der Finanzabteilung eines Industrierußherstellers gegen seine außerordentliche Kündigung. Für ihn bestand eine arbeitgeberfinanzierte D&O-Versicherung mit bis zu 150 Mio. USD Deckung je Schadensfall. Im Juli 2024 informierte ihn ein falscher Group-CFO per gefälschter Rufnummer (Caller-ID-Spoofing) über eine angeblich vertrauliche Gründung einer Holding in Asien, deren CFO er werden sollte. Unter Hinweis auf angebliche Richtlinien der Finanzaufsicht und zur Vermeidung möglicher Verstöße gegen Insiderrecht wurde er angewiesen, mit niemandem darüber zu sprechen und nur den privaten WhatsApp-Account des angeblichen Group-CFO zu nutzen. Die weitere Kommunikation lief über private WhatsApp- und E-Mail-Konten. Zwischen dem 15. Juli und dem 9. August 2024 veranlasste der Kläger anlässlich einer vermeintlichen Unternehmensgründung 59 manuelle Überweisungen in Höhe von insgesamt ca. 42 Mio. EUR auf ausländische Bankkonten. Einen weiteren – ihm untergeordneten – Mitarbeiter band er nur ein, um das Vier-Augen-Prinzip formal zu wahren.

Sein Arbeitgeber forderte widerklagend Schadensersatz für den durch die Überweisungen entstandenen Verlust.

Die Entscheidung

Das LAG Köln (Urt. v. 31.07.2026, Az. 8 SLa 603/25) bestätigte die fristlose Kündigung und gab der Widerklage im Wesentlichen statt.

Dem Kläger sei grob fahrlässiges Verhalten vorzuwerfen, das bei der Beklagten zu einem massiven Schaden geführt habe. Angesichts des Gewichts der Pflichtverletzung und insbesondere der Schadenshöhe sei die außerordentliche Kündigung auch ohne vorherige Abmahnung wirksam.

Anders als die Vorinstanz sah das LAG Köln die erste von 59 Zahlungen noch nicht als grob fahrlässig an. Spätestens mit einer eigenen Chat-Nachricht vom 18.07.2024 habe der Kläger seinen Sorgfaltsverstoß aber „eindeutig beschrieben und dokumentiert“. Er habe klare Warnsignale aus den mehr als ungewöhnlichen Umständen der Neugründung einer Gesellschaft in Asien ignoriert. Insbesondere die Abwicklung erheblicher Finanztransaktionen ausschließlich über private statt dienstlicher Kommunikationsmittel hätte ihm verdächtig vorkommen und ihn zu einer wirksamen Überprüfung veranlassen müssen. Auch habe er erst kurze Zeit zuvor aktiv an einer Schulung teilgenommen, in welcher sein Vorgesetzter die klare Anweisung gegeben habe, ihn vor einer Handlung zunächst anzurufen. 

Der Kläger hafte in vollem Umfang für den verbliebenen Schaden. Zwar übersteige die Haftungssumme seine Leistungsfähigkeit „offensichtlich deutlich“. Wegen der arbeitgeberfinanzierten D&O-Versicherung bleibe es aber bei der vollen Haftung.

Wer sich auf wirtschaftliche Überforderung berufe, müsse außerdem das Fehlen von Versicherungsschutz darlegen. Der Hinweis des Klägers auf die noch andauernde Prüfung des D&O-Versicherers genügte dem Gericht hierfür nicht. Ein Mitverschulden des Arbeitgebers, etwa wegen mangelnder Schulung oder IT-Sicherheit, verneinte das Gericht.

Rechtliche Einordnung

Besondere Beachtung verdient die Begründung, mit der das LAG Köln dem Kläger eine Haftungsprivilegierung versagt hat. Nach der Rechtsprechung des BAG haften Arbeitnehmer für Schäden, die sie bei der Arbeit verursachen, nur eingeschränkt. Das Privileg gilt grundsätzlich auch für leitende Angestellte – der Kläger war Arbeitnehmer, kein Geschäftsführer. 

Dieser „innerbetriebliche Schadensausgleich“ sieht eine Abstufung nach dem Verschuldensgrad vor. Bei leichter Fahrlässigkeit haftet der Arbeitnehmer nicht. Bei normaler Fahrlässigkeit ist der Schaden in aller Regel zwischen Arbeitnehmer und Arbeitgeber zu verteilen, bei grober Fahrlässigkeit und Vorsatz hat der Arbeitnehmer in aller Regel den gesamten Schaden zu tragen. Nach dem BAG sind aber bei grober Fahrlässigkeit Erleichterungen im Einzelfall möglich, etwa wenn Verdienst und Schadensrisiko in krassem Missverhältnis stehen.

Das LAG Köln hat die Haftungsprivilegierung auf den Kläger grundsätzlich angewandt. Eine Entlastung trotz grober Fahrlässigkeit hat es wegen der Schadenhöhe, die die Leistungsfähigkeit des Klägers überstieg, zunächst sogar bejaht, bevor es die Privilegierung dann aber an der bestehenden D&O-Versicherung hat scheitern lassen.

Das LAG Köln stützt sich zur Begründung seiner Rechtsauffassung in erster Linie auf ein Urteil des BAG (Urt. v. 28.10.2010, Az. 8 AZR 418/09). Danach überlagert eine Pflichtversicherung die Haftungsprivilegierung. Eine freiwillig vom Arbeitnehmer bezahlte Privathaftpflicht bleibt zwar außer Betracht – sonst käme sein eigenes Geld wirtschaftlich nur dem Arbeitgeber zugute. Anders ist es nach der höchstrichterlichen Rechtsprechung aber, wenn der Versicherungsabschluss Einstellungsbedingung war und möglicherweise in den Vertragsverhandlungen finanziell berücksichtigt wurde. Dies überträgt das LAG auf die freiwillig vom Arbeitgeber zu Gunsten der Führungskräfte abgeschlossene D&O-Police: Es mache keinen Unterschied, ob der Arbeitgeber den Arbeitnehmer zum Abschluss verpflichtet oder die Versicherung selbst abschließt und bezahlt.

Ausblick

Ob die Entscheidung Bestand haben wird, bleibt abzuwarten. Das LAG Köln hält die Frage, ob sich eine bestehende D&O-Versicherung auf die Arbeitnehmerhaftung auswirkt, für „umstritten“ und hat deshalb die Revision zugelassen.

Das BAG wird sich auch mit der Frage befassen müssen, ob das versicherungsrechtliche Trennungsprinzip ausreichend berücksichtigt wurde. Ob jemand haftet (Haftpflichtverhältnis), ist strikt davon zu trennen, ob der Versicherer zahlen muss (Deckungsverhältnis). Der Kläger argumentierte daher, die Versicherung folge der Haftung, nicht umgekehrt. Das LAG hält das Trennungsprinzip hier für nicht anwendbar, weil die eingeschränkte Arbeitnehmerhaftung schon gar nicht durchgreife. Ob die D&O-Versicherung Deckung gewährt, wird jedoch erst in einem späteren Deckungsprozess geklärt. Die Verurteilung zu Schadensersatz lässt daher noch keine Rückschlüsse zu, ob die bestehende D&O-Versicherung überhaupt vor einer Existenzgefährdung schützt. Das LAG geht hier jedoch von einer Darlegungs- und Beweislast des Arbeitnehmers aus: Dieser müsse zumindest nachvollziehbar darlegen, warum ein Versicherungsschutz nicht greift. Pauschale Verweise auf Rechtsrisiken genügten nicht, um die Haftungsprivilegierung aufrechtzuerhalten.

Fazit

Die Begründung des LAG Köln führt letztlich dazu, dass das Haftungsregime für angestellte Führungskräfte, die über D&O-Versicherungsschutz verfügen, an die Grundsätze der Organhaftung angeglichen wird. Für Geschäftsführer und Vorstände, die keine Arbeitnehmer sind, gelten die Grundsätze des innerbetrieblichen Schadensausgleichs nicht; sie haften gegenüber der Gesellschaft nach den organschaftlichen Regeln (etwa § 43 GmbHG, § 93 AktG).

Sollte die Entscheidung Bestand haben, erleichtert dies einem Arbeitgeber den Regress gegen D&O-versicherte Angestellte erheblich und die D&O-Police kann sich vom Schutzschild zur Haftungsfalle entwickeln. Führungskräfte sollten daher die Bedingungen für ihren Versicherungsschutz genau kennen, versicherungsrechtliche Ausschlüsse ernst nehmen und interne Compliance-Richtlinien zur Vermeidung von Cyberkriminalität wie dem CEO-Fraud strikt befolgen.

Für Arbeitgeber zeigt die Entscheidung zudem, dass klare Verifikations- und Eskalationsregeln, das Verbot privater Kommunikationskanäle für dienstliche Zahlungsvorgänge und nachweisbar dokumentierte Schulungen sowohl die Kündigung tragen als auch den Mitverschuldenseinwand entkräften können.