Cyberangriffe gehören inzwischen zu den gefährlichsten Geschäftsrisiken für Unternehmen. Neben oft hohen Eigenschäden können sie auch Haftungsansprüche erheblichen Umfangs gegen Unternehmen auslösen – durch Schäden bei Kunden, aufgrund von Datenschutzverletzungen oder im Zusammenhang mit dem Ausfall oder der Verzögerung vertraglich geschuldeter Leistungen. Neben dieser möglichen eigenen Haftung eines Unternehmens stellt sich umgekehrt aber auch die Frage, ob dem von einem Cyberangriff betroffenen Unternehmen nicht selbst Schadenersatz- bzw. Regressansprüche zustehen können. Während die Angreifer meist nicht zu ermitteln sind oder jedenfalls durchsetzbare Ansprüche gegen diese ausscheiden werden, rücken insoweit insbesondere die Dienstleister des betroffenen Unternehmens in den Fokus.
Zeitlich folgt die Geltendmachung und Durchsetzung von Regressansprüchen oft der Bewältigung eines Cyberangriffs und seiner unmittelbaren Folgen für das Unternehmen nach. Dennoch sind sie ein wichtiger Teil der anwaltlichen Beratung im Zusammenhang mit Cyber-, Datenschutz- und IT-Vorfällen aller Art. Oft lässt sich ein relevanter Regresssachverhalt zu einem späteren Zeitpunkt nicht mehr oder nur noch unter großen Schwierigkeiten hinreichend aufklären und auch in Form gerichtsverwertbarer Beweismittel sichern. Zudem ist eine frühzeitige Identifikation von Regressschuldnern auch zur Verhinderung einer Anspruchsverjährung relevant.
Regressansprüche gegen IT-Dienstleister
Als Anspruchsgegner kommen zunächst vor allem IT-Dienstleister in Betracht, die für ein von einem Vorfall betroffenes Unternehmen tätig waren. Die Bandbreite möglicher Dienstleistungen ist dabei groß. Sie kann von einzelnen und begrenzten Wartungs- und IT-Dienstleistungen oder der Zurverfügungstellung einzelner Systeme bis hin zu umfangreicheren Konfigurationen, Lieferungen oder einem umfassenden IT-Outsourcing reichen. Entscheidend für die Frage, ob Regressforderungen in Betracht kommen können, sind dabei die konkreten vertraglichen Pflichten des IT-Dienstleisters und sein Verursachungsbeitrag für den Cyber-, Datenschutz- oder IT-Vorfall.
Verträge mit IT-Dienstleistern stellen oft historisch gewachsene Vertragskonstruktionen dar, die aus Rahmenverträgen, Nachträgen und Leistungsscheinen bestehen können. In vielen Fällen fehlen aber jegliche dokumentierten Vereinbarungen oder es liegen nur Rechnungen mit nicht selten unklaren Tätigkeitsnachweisen und AGB vor. Festzustellen ist auch, dass viele Unternehmen selbst langjährige Vertragsbeziehungen zu IT-Dienstleistern nur unzureichend dokumentieren. Das gilt nicht nur für die eigentliche Vertragsdokumentation, sondern auch für die eigene technische und organisatorische Überwachung. Das kann es im Einzelfall erschweren, Regressforderungen überhaupt verlässlich festzustellen, erst recht aber sie geltend zu machen und mit Aussicht auf Erfolg durchsetzen zu können.
IT-Dienstleister können nur für die konkret von ihnen geschuldete Leistung und Sorgfalt haftbar gemacht werden. Das Zivilrecht kennt keinen allgemeingültigen technischen Sorgfaltsmaßstab. Abhängig von vertraglichen Vereinbarungen und den geschuldeten Leistungen muss dieser im Einzelfall oft erst ermittelt werden.
In praktischer Hinsicht zu bedenken ist auch, dass betroffenen Unternehmen oft ein ausreichender eigener technischer Einblick in ihre IT-Systeme fehlt, gerade dann, wenn Dienstleister involviert sind. Ist ein Cyberangriff Ursache für einen Schadenfall, verwischen die Angreifer oft ihre Spuren und selbst Forensiker können oft nicht genau ermitteln, wie diese vorgegangen sind. Inwieweit dies für die Geltendmachung von Regressforderungen relevant ist, wird stark vom Einzelfall abhängen und ist letztlich eine Frage des Kausalzusammenhangs. Wichtiger ist der eigene Einblick des betroffenen Unternehmens in die Sicherheitsvorkehrungen und die Konfigurationen seiner IT-Systeme. Insbesondere bei einem umfangreichen Outsourcing fehlt es Unternehmen aber oft an den eigenen personellen und technischen Ressourcen für eine entsprechende laufende Überwachung und Dokumentation. Stattdessen verlassen sie sich auf Berichte und Auskunftsansprüche. Wendet sich im Schadenfall das Unternehmen an seinen IT-Dienstleister und konfrontiert diesen mit (möglichen) Regressansprüchen, kann dies schnell zum Problem werden.
Regressansprüche gegen Mitarbeiter und Geschäftsleitung
Regressansprüche können sich aber nicht nur gegen Dritte, wie z.B. IT-Dienstleister, richten, sondern auch gegen Beschäftigte des von einem Cyber-, Datenschutz- oder sonstigen IT-Vorfall betroffenen Unternehmen und dessen Geschäftsleitung.
Die Haftung des Arbeitnehmers findet durch den sog. innerbetrieblichen Schadensausgleich aber in aller Regel eine erhebliche Einschränkung. Je nach Grad der subjektiven Vorwerfbarkeit sieht die Rechtsprechung eine abgestufte Haftung vor. Selbst dann, wenn bei grober Fahrlässigkeit oder vorsätzlichem Handeln ein Regress gegen Mitarbeiter in Betracht kommt, wird ein solcher wirtschaftlich betrachtet für ein Unternehmen oftmals keine Aussicht auf Erfolg versprechen. Schäden aus Cyberangriffen, Datenschutz- und IT-Vorfällen erreichen schnell Beträge, die auf diesem Weg kaum zu kompensieren sind.
Demgegenüber erscheint die Inanspruchnahme von Geschäftsführern und Vorständen oft attraktiver. Dies vor allem aufgrund des D&O-Versicherungsschutzes, der teilweise auch leitende Angestellte umfassen kann. Ob allerdings tatsächlich von einem Organisationsverschulden ausgegangen werden kann, ist eine Frage des Einzelfalls und lässt sich pauschal nicht beantworten. Trotz verschärfter Bestimmungen für bestimmte Arten von Branchen und Unternehmen im Zuge der Umsetzung der europäischen NIS2-Richtlinie handelt es sich nach wie vor bei den meisten in Deutschland tätigen Unternehmen nicht um in dieser Hinsicht regulierte Unternehmen. Das Risikomanagement und damit auch die Rahmenbedingungen für technische und organisatorische Sicherheitsvorkehrungen (nicht beschränkt auf Cyberangriffe etc., sondern auch bezogen auf z.B. Elementargefahren) ist zwar grundsätzlich Aufgabe der Geschäftsleitung eines Unternehmens. Das bedeutet aber nicht, dass eine Delegation im Unternehmen und die Einbeziehung von Mitarbeitern in die Umsetzung grundsätzlich ausgeschlossen und unzulässig wären. Soweit Unternehmen außerhalb des Anwendungsbereichs und der Vorgaben insbesondere des BSIG tätig sind, gibt es auch keine konkreten gesetzlich formulierten technischen Anforderungen. In diesem Fall kann der Geschäftsleiter die Business-Judgement-Rule für sich in Anspruch nehmen, die durch gesetzlich formulierte technische Anforderungen eingeschränkt wird. Selbst das BSIG arbeitet, abgesehen von einigen Einzelbestimmungen, mit unbestimmten Rechtsbegriffen. Welche Sicherheitsvorkehrungen erforderlich sind und welches – auf die Haftung von Geschäftsleitern übertragen – Risikomanagement erforderlich ist, lässt sich also nur im Einzelfall ermitteln. Schließlich würde ein Geschäftsleiter auch nur für einen kausalen Schaden haften – es wäre somit darzulegen, was er konkret hätte tun können und müssen, um den Vorfall so, wie er eingetreten ist, zu verhindern. Ein Automatismus ist die Haftung von Geschäftsleitern und damit auch ein Regressanspruch gegen diese jedenfalls nicht.
Fazit
Cyberangriffe, Datenschutzverletzungen und sonstige IT-Vorfälle sind für Unternehmen mindestens herausfordernde, manchmal sogar existenzbedrohende Situationen. Sie können nicht nur erhebliche Haftungsrisiken gegenüber Kunden und sonstigen Dritten begründen, sondern zugleich eigene Regressansprüche des betroffenen Unternehmens auslösen. Die Identifikation und Sicherung solcher Ansprüche sollte bereits bei der Bewältigung eines Cybervorfalls berücksichtigt werden und nicht erst dann in den Fokus rücken, wenn die unmittelbaren Folgen des Angriffs bewältigt sind. Eine frühzeitige Prüfung möglicher Anspruchsgegner und der maßgeblichen Haftungsvoraussetzungen ist insbesondere deshalb von Bedeutung, weil andernfalls entscheidende Informationen verloren gehen oder Ansprüche verjähren können.
Für die Unternehmenspraxis folgt daraus, dass Regressmöglichkeiten nicht allein nachträglich anhand des eingetretenen Schadens bewertet werden sollten. Vielmehr bedarf es einer vorausschauenden Gestaltung von Vertragsbeziehungen, einer nachvollziehbaren Dokumentation sicherheitsrelevanter Prozesse und klarer Informations- und Mitwirkungspflichten. Zugleich sollten Unternehmensleitungen ein angemessenes IT-Risikomanagement etablieren und dessen Wirksamkeit regelmäßig überprüfen. Ein wirksames Regressmanagement beginnt damit nicht erst nach dem Cyberangriff, sondern bereits bei der Organisation der IT-Sicherheit und der Gestaltung der rechtlichen Rahmenbedingungen.
