# Haftung der Geschäftsführung bei IT-Sicherheitslücken

> Geschäftsführer-Haftung bei IT-Sicherheitslücken allgemein erklärt: Sorgfaltspflichten, NIS2 und wie Sie Entscheidungen sauber dokumentieren.

Quelle: https://phpsos.de/compliance/geschaeftsfuehrer-haftung/  
Stand: 25.10.2026  
Anbieter: PHP SOS, PHP-Notfallhilfe und Server-Sicherheit. Soforthilfe per WhatsApp: https://wa.me/491736494914?text=Hallo%20PHP%20SOS%2C%20wir%20brauchen%20Hilfe%20mit%20unserem%20PHP-Server.%20Firma%3A%20%E2%80%A6%20Website%3A%20%E2%80%A6

**Kurz gesagt:** IT-Sicherheit gehört zu den Aufgaben der Geschäftsleitung. Diskutiert wird eine Geschäftsführer-Haftung bei IT-Sicherheitslücken vor allem dann, wenn bekannte Risiken nicht angemessen behandelt, Zuständigkeiten nicht geregelt oder Entscheidungen nicht nachvollziehbar getroffen wurden. Bei Lagen wie PHP2Shell hilft eine klare, dokumentierte Entscheidung auf Basis der verfügbaren Fakten. Diese Seite ist allgemeine Information und keine Rechtsberatung.

> **Wichtig:**
> Keine Rechtsberatung: Haftungsfragen hängen stark vom Einzelfall, der Rechtsform und vertraglichen Regelungen ab. Lassen Sie konkrete Fragen von einer Rechtsanwältin oder einem Rechtsanwalt für Gesellschaftsrecht bewerten.

## Geschäftsführer-Haftung und IT-Sicherheit: der allgemeine Rahmen

Für Geschäftsführer einer GmbH verlangt § 43 GmbHG die Sorgfalt eines ordentlichen Geschäftsmannes. Für Vorstände einer Aktiengesellschaft enthält § 93 AktG eine vergleichbare Regel; § 91 Abs. 2 AktG verlangt zudem geeignete Maßnahmen, um bestandsgefährdende Entwicklungen früh zu erkennen. Aus diesen allgemeinen Pflichten wird in der Fachdiskussion abgeleitet, dass auch IT-Risiken angemessen zu steuern sind.

Für unternehmerische Entscheidungen gibt es einen Beurteilungsspielraum. Wer auf Grundlage angemessener Information und zum Wohl der Gesellschaft entscheidet, handelt nach der sogenannten Business Judgment Rule in der Regel pflichtgemäß, auch wenn sich die Entscheidung später als ungünstig erweist. Daraus folgt eine praktische Lehre: Entscheidend ist oft weniger das Ergebnis als die Frage, ob die Entscheidung informiert und nachvollziehbar getroffen wurde.

## Was NIS2 hinzufügt

Für Unternehmen, die unter NIS2 fallen, wird die Verantwortung der Leitung ausdrücklich geregelt. Die Geschäftsleitung muss die Maßnahmen des Risikomanagements billigen, ihre Umsetzung überwachen und sich in Cybersicherheit schulen lassen. In Deutschland erfolgt die Umsetzung durch das NIS2UmsuCG. Ob Ihr Unternehmen betroffen ist und welche Pflichten im Einzelnen gelten, entnehmen Sie den Angaben des BSI. Einen allgemeinen Überblick gibt [NIS2 und Webserver-Sicherheit](https://phpsos.de/compliance/nis2/).

Hinzu kommen Pflichten aus dem Datenschutz. Nach der DSGVO muss ein Unternehmen geeignete technische und organisatorische Maßnahmen treffen und Verletzungen des Schutzes personenbezogener Daten nach Art. 33 bewerten, dokumentieren und gegebenenfalls melden.

## Was eine Lage wie PHP2Shell von der Leitung verlangt

PHP2Shell umfasst zwei kritische Lücken in PHP selbst (CVE-2026-109618 und CVE-2026-109619, je CVSS v4.0 9.2). Das BSI hat Warnstufe 3 (Orange) ausgerufen und empfiehlt ein sofortiges Update und, wenn das nicht geht, die Webserver vorübergehend vom Netz zu nehmen. Für die Leitung entsteht damit eine typische Abwägung: Umsatz und Erreichbarkeit gegen ein hohes, öffentlich bekanntes Risiko.

Niemand verlangt, dass Geschäftsführer selbst Server patchen. Erwartet werden kann aber, dass sie die Lage zur Kenntnis nehmen, Zuständigkeiten klären, sich berichten lassen und eine Entscheidung treffen. Fragen, die sich die Leitung stellen sollte:

- Welche unserer Systeme nutzen PHP, und wer ist für sie zuständig, intern oder beim Dienstleister?
- Sind die Updates eingespielt und die Prozesse neu gestartet, und gibt es dafür einen Nachweis?
- Wenn nicht: Warum nicht, welche Übergangsmaßnahmen laufen, und nehmen wir das System vom Netz?
- Gibt es Hinweise auf einen Einbruch, und wer bewertet mögliche Meldepflichten?

## Entscheidungen dokumentieren

Halten Sie Lagebild, Optionen, Entscheidung und Begründung kurz schriftlich fest, mit Datum und Uhrzeit. Ein solches Protokoll muss nicht lang sein. Es zeigt später, dass die Leitung informiert war und abgewogen hat. Das gilt ausdrücklich auch für die Entscheidung, ein System trotz Risiko eine begrenzte Zeit weiterzubetreiben.

| Inhalt | Beispiel |
|---|---|
| Lagebild | BSI Warnstufe 3, Patches seit 21.10.2026 verfügbar |
| Betroffene Systeme | Shop, Kundenportal, interne Wiki-Installation |
| Optionen | sofort patchen, Übergangsmaßnahmen, vom Netz nehmen |
| Entscheidung | Shop gepatcht, Wiki bis zum Update offline |
| Begründung und Zuständige | Nachweis durch Dienstleister, Kontrolle durch IT-Leitung |

Ein Patch entfernt keine bereits eingeschleuste Schadsoftware. Auch die Entscheidung, ob nach Spuren gesucht wird, gehört in das Protokoll.

## Dauerhaft organisieren statt im Ernstfall improvisieren

Die beste Vorsorge ist eine klare Organisation: ein benannter Verantwortlicher für Informationssicherheit, ein Verfahren für Sicherheitsupdates, regelmäßige Berichte an die Leitung, ein getesteter [IT-Notfallplan](https://phpsos.de/compliance/notfallplan-erstellen/) und eine unabhängige Prüfung in sinnvollen Abständen. Als methodischer Rahmen eignet sich der IT-Grundschutz des BSI.

Zur Organisation gehört auch, Berichte so zu gestalten, dass die Leitung sie versteht. Ein kurzer, regelmäßiger Bericht mit wenigen Angaben reicht oft: Wie viele Systeme sind auf aktuellem Stand, wo gibt es Ausnahmen und warum, welche Vorfälle oder Beinahe-Vorfälle gab es, welche Entscheidungen stehen an. Wer solche Berichte entgegennimmt, Rückfragen stellt und Ergebnisse festhält, kann später zeigen, dass die Überwachung tatsächlich stattgefunden hat. Das gilt unabhängig davon, ob die Technik intern oder bei einem Dienstleister liegt.

## Wie hilft PHP SOS konkret?

- Wir erstellen ein verständliches Lagebild Ihrer Webserver für die Geschäftsleitung, mit klaren Optionen.
- Wir setzen die gewählte Option um und liefern einen schriftlichen technischen Nachweis.
- Über ein [Sicherheitsaudit oder einen Penetrationstest](https://phpsos.de/leistungen/sicherheitsaudit-penetrationstest/) schaffen wir eine unabhängige Grundlage für Ihre Entscheidungen.
- Mit einem [Security-Wartungsvertrag](https://phpsos.de/leistungen/security-wartungsvertrag/) regeln wir Updates und Berichte dauerhaft.


## Häufige Fragen

**Haftet ein Geschäftsführer persönlich für einen Hackerangriff?**  
Ein Angriff allein begründet keine persönliche Haftung. Diskutiert wird eine Haftung vor allem dann, wenn Sorgfaltspflichten verletzt wurden, etwa wenn bekannte Risiken ignoriert oder Zuständigkeiten nicht geregelt wurden. Ob das im Einzelfall so ist, beurteilt nur eine Rechtsberatung.

**Kann ich IT-Sicherheit vollständig an die IT oder einen Dienstleister abgeben?**  
Aufgaben lassen sich delegieren, die Verantwortung für Auswahl, Ausstattung und Überwachung bleibt aber bei der Leitung. Lassen Sie sich regelmäßig berichten und halten Sie fest, welche Entscheidungen auf welcher Grundlage getroffen wurden.

**Was ändert NIS2 an der Verantwortung der Geschäftsleitung?**  
NIS2 verlangt von der Leitung betroffener Unternehmen, Maßnahmen des Risikomanagements zu billigen, deren Umsetzung zu überwachen und an Schulungen teilzunehmen. Einzelheiten ergeben sich aus dem deutschen Umsetzungsgesetz und den Angaben des BSI.

**Hilft eine D&O-Versicherung?**  
Eine Organhaftpflicht kann bestimmte Haftungsrisiken der Leitung abdecken, die Bedingungen unterscheiden sich aber stark. Klären Sie den Umfang mit Ihrem Makler oder Versicherer.

## Quellen

- [BSI](https://www.bsi.bund.de/)
- [BSI IT-Grundschutz](https://www.bsi.bund.de/DE/Themen/Unternehmen-und-Organisationen/Standards-und-Zertifizierung/IT-Grundschutz/it-grundschutz_node.html)
- [DSGVO Art. 33](https://dsgvo-gesetz.de/art-33-dsgvo/)