Wie schützen Sie sich als Schweizer Verwaltungsrat gemäss Art. 717 OR vor persönlicher Haftung bei Cyber-Vorfällen?

Stellen Sie sich vor, Ihr Unternehmen wird Opfer eines schwerwiegenden Cyberangriffs. Die direkten Kosten für Wiederherstellung, Kundeninformation und mögliche Bussen sind enorm. Doch Monate später erhalten Sie als Verwaltungsrat persönliche Post: eine Verantwortlichkeitsklage. Ihnen wird vorgeworfen, Ihre Sorgfaltspflicht verletzt zu haben. Plötzlich steht nicht mehr nur das Firmenvermögen, sondern Ihr Privatvermögen auf dem Spiel. Dieses Szenario ist für Schweizer Führungskräfte längst keine abstrakte Bedrohung mehr, sondern eine reale Konsequenz aus der zunehmenden Professionalisierung von Cyberkriminalität und der Verschärfung der regulatorischen Erwartungen.

Viele Verwaltungsräte verlassen sich auf den Rat, die besten IT-Experten einzustellen und teure Sicherheitstools zu kaufen. Man delegiert das Thema an die IT-Abteilung und hofft auf das Beste. Doch dieser Ansatz ist gefährlich und juristisch naiv. Er verkennt den Kern der Organhaftung gemäss Art. 717 des Obligationenrechts (OR). Die entscheidende Frage vor Gericht wird nicht sein: „War Ihre IT perfekt?“, sondern: „Können Sie lückenlos nachweisen, dass Sie als Verwaltungsrat Ihre strategische Aufsichts- und Weisungspflicht wahrgenommen haben?“.

Doch was, wenn der entscheidende Hebel nicht die Technologie, sondern das Protokoll ist? Wenn es weniger darum geht, jeden Angriff zu verhindern, als vielmehr darum, vor einem Richter zweifelsfrei zu belegen, dass Sie Ihre Pflichten erfüllt haben? Die Antwort liegt in einer disziplinierten Governance und einer gerichtsfesten Dokumentation, die zeigt, dass Sie informiert, abgewogen und im besten Interesse des Unternehmens gehandelt haben. Genau hier liegt der Fokus dieses Artikels.

Dieser Leitfaden führt Sie durch die entscheidenden rechtlichen Fallstricke und strategischen Notwendigkeiten. Wir analysieren, wie Sie Ihre Entscheidungen gerichtsfest dokumentieren, wo sich in Verträgen mit Dienstleistern Haftungsfallen verbergen und warum selbst eine D&O-Versicherung kein Allheilmittel ist. Ziel ist es, Ihnen ein klares Verständnis Ihrer Pflichten zu vermitteln und konkrete Werkzeuge an die Hand zu geben, um Ihr persönliches Haftungsrisiko wirksam zu minimieren.

Inhaltsverzeichnis: Persönliche Haftung bei Cyber-Vorfällen als Verwaltungsrat minimieren

Warum Unwissenheit über IT-Sicherheit Sie vor Gericht nicht mehr schützt?

Die Zeiten, in denen ein Verwaltungsrat das Thema Cybersicherheit mit dem Verweis auf fehlende technische Expertise an die IT-Abteilung delegieren konnte, sind definitiv vorbei. Die unübertragbare Oberleistungs- und Aufsichtspflicht des Verwaltungsrates (Art. 716a OR) umfasst explizit das Risikomanagement – und Cyber-Risiken sind heute eines der grössten Geschäftsrisiken überhaupt. Ein Argument der Ahnungslosigkeit wird von einem Gericht als Eingeständnis der Pflichtverletzung gewertet, nicht als Entschuldigung. Die Sorgfaltspflicht verlangt, dass Sie sich aktiv informieren und die richtigen Fragen stellen, auch wenn Sie kein IT-Ingenieur sind.

Die Dringlichkeit wird durch eine alarmierende Entwicklung unterstrichen: Eine aktuelle Studie zeigt, dass sich nur noch 42% der Schweizer KMU gut vor Cyberangriffen geschützt fühlen – ein signifikanter Rückgang gegenüber 55% im Vorjahr. Dieses sinkende Sicherheitsgefühl bei gleichzeitig steigender Bedrohungslage erhöht den Druck auf die Führungsgremien, ihre Aufsichtspflicht ernster zu nehmen. Ein Gericht wird im Schadenfall prüfen, ob der Verwaltungsrat angesichts dieser bekannten Risiken angemessene Massnahmen ergriffen hat.

Um der aktiven Informationspflicht nachzukommen und im Ernstfall eine solide Verteidigungslinie aufzubauen, sind proaktive Governance-Massnahmen unerlässlich. Dazu gehören nicht nur einmalige Schulungen, sondern ein kontinuierlicher Prozess der Auseinandersetzung mit der Bedrohungslage. Die folgenden Punkte bilden eine solide Basis:

• Regelmässige Einweisung in Cyber-Resilienz bei VR-Eintritt und laufende Updates über aktuelle Bedrohungen
• Abonnierung von BACS-Warnungen (Bundesamt für Cybersicherheit)
• Quartalsweise Cyber-Risikomanagement als fester Tagesordnungspunkt
• Sicherstellung eines verantwortlichen Beauftragten für Cyber-Resilienz mit direktem VR-Zugang
• Jährliche unabhängige Überprüfung der Cyber-Resilienz der Organisation

Wie dokumentieren Sie Sicherheitsentscheidungen so, dass sie im Prozess standhalten?

Der entscheidende Schutzwall gegen persönliche Haftungsansprüche ist nicht Ihre Firewall, sondern Ihr Verwaltungsratsprotokoll. Im Streitfall gilt die sogenannte Business Judgement Rule: Ein Gericht wird nicht prüfen, ob Ihre Entscheidung rückblickend die „richtige“ war, sondern ob sie zum Entscheidungszeitpunkt auf einer angemessenen Informationsgrundlage und ohne Interessenkonflikte getroffen wurde. Eine lückenhafte oder vage Dokumentation öffnet Tür und Tor für den Vorwurf, Sie hätten Ihre Pflichten vernachlässigt.

Ein Beschluss wie „Das IT-Budget wird genehmigt“ ist wertlos. Ein gerichtsfester Beschluss hingegen hält fest, welche Risiken analysiert, welche Massnahmen evaluiert und warum welche Entscheidung (auch eine gegen eine Investition) getroffen wurde. Es geht um den Nachweis eines sorgfältigen Entscheidungsprozesses. Der Unterschied zwischen einem haftungsrelevanten und einem haftungsbefreienden Protokolleintrag liegt im Detail, wie folgende Gegenüberstellung zeigt:

Diese Dokumente sind im Ernstfall Ihr wichtigstes Beweismittel. Sie belegen, dass der Verwaltungsrat seine Aufsichtspflicht ernst genommen und strategische Entscheidungen auf einer soliden Grundlage getroffen hat.

Wie das Bild verdeutlicht, liegt die Stärke nicht in der Menge des Papiers, sondern in der Präzision des Inhalts. Jedes Protokoll, jeder Anhang und jeder Bericht ist ein Baustein Ihrer juristischen Verteidigung. Die Dokumentation muss die Überlegungen des Gremiums widerspiegeln, einschliesslich der bewussten Akzeptanz von kalkulierten Restrisiken. Ein sorgfältig protokolliertes „Nein“ zu einer Investition, basierend auf einer nachvollziehbaren Kosten-Nutzen-Analyse, ist juristisch weitaus stärker als ein vages „Ja“ ohne Begründung.

SLA oder Vertragswerk: Wo verstecken Provider ihre Haftungsausschlüsse?

Die Sorgfaltspflicht des Verwaltungsrates endet nicht an den Türen des eigenen Unternehmens. In einer vernetzten Wirtschaft, in der kritische IT-Dienstleistungen an externe Provider ausgelagert werden, erstreckt sich die Verantwortung auch auf die Auswahl und Überwachung dieser Partner. Ein Datenleck bei Ihrem Cloud-Anbieter oder Software-Lieferanten kann direkt auf Sie zurückfallen, wenn Sie bei der Vertragsgestaltung und Due-Diligence-Prüfung nachlässig waren. Die Gefahr ist real: Studien zeigen, dass 60 Prozent aller Cyberattacken auf Schwachstellen in der Lieferkette zurückzuführen sind.

Viele Provider versuchen, ihre Haftung in Service Level Agreements (SLAs) und allgemeinen Geschäftsbedingungen (AGB) massiv einzuschränken. Klauseln, die die Haftung auf den Auftragswert eines Monats beschränken oder für „mittelbare Schäden“ (wie Betriebsunterbruch oder Reputationsverlust) gänzlich ausschliessen, sind an der Tagesordnung. Als Verwaltungsrat müssen Sie sicherstellen, dass diese Verträge einer kritischen juristischen Prüfung unterzogen werden. Ein reiner Fokus auf Verfügbarkeitsgarantien (z.B. „99.9% Uptime“) greift zu kurz; die entscheidenden Punkte betreffen Datenstandort, Meldefristen bei Vorfällen und die Haftungsobergrenzen.

Eine sorgfältige Prüfung der IT-Provider ist daher kein „Kann“, sondern ein „Muss“. Die folgende Checkliste dient als Grundlage für Ihr Audit und die Vertragsverhandlungen, um die Fallstricke des neuen Datenschutzgesetzes (nDSG) zu umschiffen:

• Datenstandort explizit in der Schweiz oder EU vertraglich garantiert
• Vollständige Liste aller Subunternehmer mit Zugriff auf Daten
• Vertraglich fixierte Meldefrist bei Vorfällen (max. 72 Stunden)
• Nachweis von Zertifizierungen (ISO 27001, TISAX für Automobilzulieferer)
• Klare Definition der Haftungsobergrenze und Ausschlussklauseln
• Jährliche Überprüfung der Sicherheitsmassnahmen mit Audit-Recht

Die Dokumentation dieser Prüfungen und der daraus resultierenden Vertragsanpassungen ist wiederum entscheidend. Sie belegt, dass Sie Ihrer Aufsichtspflicht auch gegenüber Dritten nachgekommen sind.

Die Gefahr der neuen Bussenkompetenz des EDÖB: Wer zahlt, Firma oder Privatperson?

Mit der Einführung des neuen Datenschutzgesetzes (nDSG) hat der Eidgenössische Datenschutz- und Öffentlichkeitsbeauftragte (EDÖB) deutlich schärfere Zähne bekommen. Insbesondere die Möglichkeit, Bussen von bis zu CHF 250’000 zu verhängen, sorgt in den Chefetagen für Unruhe. Eine zentrale Frage dabei ist: Wer muss diese Busse bezahlen – das Unternehmen oder die verantwortliche Privatperson? Das Gesetz zielt primär auf die handelnde Privatperson, also potenziell den Geschäftsführer oder den Verwaltungsrat. Auch wenn in der Praxis oft das Unternehmen die Busse übernimmt, ist die Gefahr eines sekundären Regresses nicht zu unterschätzen.

Das bedeutet: Selbst wenn das Unternehmen die Busse zahlt, kann es später versuchen, das Geld von den verantwortlichen Organen zurückzufordern, wenn diesen eine Sorgfaltspflichtverletzung nachgewiesen werden kann. Die Untätigkeit oder bewusste Ignoranz gegenüber klaren datenschutzrechtlichen Anforderungen wird hier zum Bumerang. Wie die Swiss Accounting Organisation in ihrer Analyse zur ‚Persönlichen Haftung des Verwaltungsrates‘ warnt:

Gerade angesichts der grossen medialen Aufmerksamkeit, die dem neuen Datenschutzrecht spätestens seit Mai 2018 zukommt, kann es für einen Verwaltungsrat schwierig sein, eine gänzliche Untätigkeit in diesem Bereich, bzw. mangelnde Umsetzung allfälliger Anweisungen sachlich zu begründen

– Swiss Accounting Organisation, Persönliche Haftung des Verwaltungsrates – Teil 2

Dieser Punkt macht deutlich, dass die blosse Existenz des neuen Gesetzes eine erhöhte Erwartungshaltung an die Führungsgremien schafft. Ein Verwaltungsrat kann nicht mehr plausibel argumentieren, von den Anforderungen nichts gewusst zu haben.

Die Atmosphäre in den Verwaltungsratssitzungen muss von einem Bewusstsein für diese neue Realität geprägt sein. Entscheidungen im Bereich Datenschutz und Cybersicherheit sind keine Nebensächlichkeiten mehr, sondern strategische Weichenstellungen mit potenziell direkten persönlichen Konsequenzen. Die Dokumentation muss auch hier belegen, dass das Gremium die Risiken analysiert und entsprechende Massnahmen zur Compliance mit dem nDSG beschlossen und deren Umsetzung überwacht hat.

Wann greift die D&O-Versicherung bei Cyber-Schäden und wann winkt sie ab?

Viele Verwaltungsräte wiegen sich durch den Abschluss einer Directors-and-Officers-Versicherung (D&O) in falscher Sicherheit. Sie wird oft als eine Art „Vollkasko“ für Managementfehler betrachtet. Bei Cyber-Vorfällen ist diese Annahme jedoch gefährlich trügerisch. Die Policen enthalten zahlreiche Ausschlussklauseln, die gerade bei Cyber-Risiken greifen können. Eine juristische Analyse zeigt, dass Cyberversicherer entstandene Schäden mitunter nur teilweise oder gar nicht regulieren, wenn die Bedingungen nicht exakt erfüllt sind.

Der häufigste und gefährlichste Ausschlussgrund ist die grobe Fahrlässigkeit. Wenn ein Verwaltungsrat es versäumt hat, grundlegende Sicherheitsmassnahmen zu implementieren, sich nicht über die Risikolage informiert oder Warnungen ignoriert hat, kann die Versicherung die Leistung verweigern. Und genau hier schliesst sich der Kreis zur Dokumentation: Ohne lückenlose Protokolle, die einen sorgfältigen Entscheidungsprozess belegen, wird es extrem schwierig, den Vorwurf der groben Fahrlässigkeit zu widerlegen. Die Versicherung ist kein Ersatz für gute Governance, sondern eine Absicherung für den Fall, dass trotz aller Sorgfalt etwas schiefgeht.

Zudem gibt es eine Reihe weiterer typischer Ausschlüsse in D&O-Policen, die bei Cyber-Schäden relevant werden. Verwaltungsräte müssen diese Fallstricke kennen, um die tatsächliche Deckung realistisch einschätzen zu können:

• Straf- und Verwaltungsbussen (z.B. vom EDÖB): Diese sind fast immer explizit von der Deckung ausgeschlossen.
• „Cyber-Kriegshandlungen“: Ein oft vage definierter Begriff, der von Versicherern weit ausgelegt werden kann, um Angriffe staatlicher Akteure auszuschliessen.
• Grobe Fahrlässigkeit: Der entscheidende Punkt, der ohne lückenlose Dokumentation schwer zu widerlegen ist.
• Verspätete Schadenmeldung: Die meisten Policen basieren auf dem „Claims-Made-Prinzip“ und erfordern eine unverzügliche Meldung.
• Vorsätzliches Handeln: Eine bewusst riskante Entscheidung ohne dokumentierte Abwägung kann als Vorsatz gewertet werden.

Eine D&O-Versicherung ist ein wichtiger Baustein, aber kein Freibrief. Sie schützt nicht vor den Konsequenzen von Nachlässigkeit.

Warum ein Datenleck bei Ihnen nicht nur Geld, sondern Ihre Lizenz kosten kann?

Die finanziellen Folgen eines Cyberangriffs – von Lösegeldzahlungen über Betriebsunterbrüche bis hin zu Schadenersatzforderungen – sind oft der Hauptfokus der Risikobewertung. Doch für viele Unternehmen in der Schweiz ist eine noch existenziellere Gefahr damit verbunden: der Verlust der regulatorischen Zulassung oder branchenspezifischer Lizenzen. Diese Konsequenzen gehen weit über finanzielle Einbussen hinaus und können die Geschäftsgrundlage des Unternehmens zerstören. Für den Verwaltungsrat bedeutet dies eine massive Erhöhung des Haftungsrisikos, da der Fortbestand des Unternehmens auf dem Spiel steht.

Die Beispiele sind branchenspezifisch und äusserst konkret: Einer Bank, die Kundendaten durch mangelnde Sicherheit kompromittiert, droht im schlimmsten Fall der Entzug der Banklizenz durch die FINMA. Ein Spital, das Patientendaten verliert, sieht sich nicht nur mit Bussen nach dem Datenschutzgesetz konfrontiert, sondern auch mit Sanktionen durch die kantonale Gesundheitsdirektion. Eine Anwaltskanzlei, die Mandantengeheimnisse preisgibt, riskiert empfindliche disziplinarische Massnahmen bis hin zum Entzug der Anwaltspatente.

Diese regulatorischen Sanktionen sind oft schwerwiegender als jede Busse. Sie führen zu einem sofortigen und oft irreparablen Vertrauens- und Reputationsverlust. Der Verwaltungsrat ist hier in der Pflicht, Strategien zu entwickeln, die nicht nur die Vermögenswerte, sondern explizit auch die Unternehmensreputation und die regulatorische Konformität schützen. Ausserdem warnen Branchenexperten, dass nach Sicherheitsvorfällen kritische Zertifizierungen wie ISO 27001, TISAX oder VDSZ entzogen werden können, was den Zugang zu wichtigen Märkten und Kunden blockieren kann.

Im Falle eines Lizenzentzugs werden Aktionäre und andere Anspruchsgruppen mit Sicherheit versuchen, die verantwortlichen Organe persönlich zur Rechenschaft zu ziehen. Der Nachweis, dass man die branchenspezifischen Risiken auf strategischer Ebene adressiert hat, wird dann zur überlebenswichtigen Aufgabe.

Warum ein lückenhaftes Sicherheitskonzept Ihre Kredite bei Schweizer Banken gefährdet?

Cybersicherheit ist nicht länger nur ein Thema für die IT und die Rechtsabteilung. Sie ist zu einem zentralen Faktor für die finanzielle Stabilität und die Kreditwürdigkeit eines Unternehmens geworden. Schweizer Banken und andere Kapitalgeber integrieren die Bewertung von Cyber-Risiken zunehmend in ihre Due-Diligence-Prozesse bei der Kreditvergabe. Ein Unternehmen mit einer nachweislich schwachen Cyber-Governance wird als höheres Risiko eingestuft, was zu schlechteren Kreditkonditionen, höheren Zinsen oder sogar zur Ablehnung eines Kreditantrags führen kann.

Diese Entwicklung ist Teil eines grösseren Trends, bei dem nicht-finanzielle Risiken unter dem Banner von ESG (Environmental, Social, Governance) bewertet werden. Die Cybersicherheit ist ein Kernelement des „G“ für Governance. Wie KPMG Schweiz festhält, ist dies längst Realität:

Schweizer Grossbanken integrieren Cyber-Risiken zunehmend als Teil der ESG-Kriterien (Governance-Aspekt) in ihre Kreditrisikoprüfung

– KPMG Schweiz, Geschäftsleitung und Verwaltungsräte – Governance-Trends

Für einen Verwaltungsrat bedeutet dies, dass die strategische Verankerung der Cybersicherheit direkte Auswirkungen auf die Finanzierungsmöglichkeiten des Unternehmens hat. Ein lückenhaftes Sicherheitskonzept oder fehlende Notfallpläne sind nicht mehr nur ein internes Problem, sondern ein externes Signal für mangelnde unternehmerische Sorgfalt, das von Finanzpartnern negativ bewertet wird. Die Fähigkeit, auf Anfrage ein robustes Sicherheitskonzept und entsprechende Prozessdokumentationen vorzulegen, wird zu einem Wettbewerbsvorteil.

Bereiten Sie sich auf die kritischen Fragen von Banken und Investoren vor. Die folgende Checkliste hilft Ihnen bei einer ersten Selbsteinschätzung Ihrer „Kreditwürdigkeit“ in Sachen Cybersicherheit.

Wie verankern Sie IT-Sicherheit in der Unternehmensstrategie, statt sie an die IT zu delegieren?

Der grösste Fehler, den ein Verwaltungsrat machen kann, ist, Cybersicherheit als rein technisches Problem zu betrachten und es vollständig an die IT-Abteilung zu delegieren. Diese „Delegationsfalle“ führt unweigerlich zu einer Pflichtverletzung, denn die strategische Steuerung und Überwachung des Risikomanagements ist eine unübertragbare Aufgabe des Verwaltungsrates. Cybersicherheit muss als integraler Bestandteil der Unternehmensstrategie verstanden und behandelt werden, genau wie finanzielle oder operative Risiken. Es geht darum, die Diskussion von technischen Details auf die strategische Ebene zu heben: Was sind unsere Kronjuwelen? Welches Restrisiko sind wir bereit zu tragen? Und wie messen wir den Erfolg unserer Sicherheitsstrategie?

Besorgniserregend ist jedoch der Trend, dass laut der neuesten Studie bei 28% der KMU Cybersicherheit keine Priorität mehr hat – ein Anstieg von 18% im Vorjahr. Dieses Zurückdrängen des Themas aus dem strategischen Fokus ist angesichts der Bedrohungslage fahrlässig und erhöht das persönliche Haftungsrisiko für jeden einzelnen Verwaltungsrat massiv. Es signalisiert eine klare Missachtung der Sorgfaltspflicht.

Um Cybersicherheit effektiv auf strategischer Ebene zu steuern, benötigt der Verwaltungsrat die richtigen Werkzeuge. Anstelle von unverständlichen technischen Berichten braucht es ein klares, auf Geschäftsrisiken ausgerichtetes Dashboard. Dieses übersetzt technische Metriken in geschäftsrelevante Kennzahlen (KPIs), die es dem Gremium ermöglichen, fundierte Entscheidungen zu treffen und die Wirksamkeit der getroffenen Massnahmen zu überwachen.

Ein solches Dashboard ermöglicht eine faktenbasierte Diskussion im Verwaltungsrat und dokumentiert gleichzeitig, dass das Gremium seiner Überwachungsfunktion proaktiv nachkommt. Es ist der Beweis für eine gelebte Sicherheitskultur, die weit über die reine Technologie hinausgeht.

Um Ihre persönliche Haftung wirksam zu minimieren, ist der nächste logische Schritt, eine externe, unabhängige Überprüfung Ihrer aktuellen Governance-Prozesse und Dokumentationsstandards zu initiieren. Handeln Sie, bevor ein Vorfall Sie zum Handeln zwingt.