CEO-Fraud-Urteil: Wenn ein Social-Engineering-Angriff zur persönlichen Haftung wird

Ein Anruf, bei dem die Rufnummer des eigenen Vorgesetzten im Display erscheint. Eine vertrauliche Konzerntransaktion, über die man angeblich mit niemandem sprechen darf. Und am Ende: fast 60 Überweisungen in 25 Tagen, mehr als 50 Millionen Euro. Was wie ein Lehrbuchfall für Security-Awareness-Schulungen klingt, hat jetzt ein Arbeitsgericht beschäftigt – mit einem Urteil, das über den Einzelfall hinaus Bedeutung für jeden Mittelständler mit Zahlungsfreigaben bekommen könnte.

Der Fall: 50 Millionen Euro in 25 Tagen

Das Landesarbeitsgericht (LAG) Köln (öffnet in neuem Tab) hat am 31. Juli 2026 den ehemaligen Treasury-Leiter eines Unternehmens zu Schadensersatz verurteilt und dessen fristlose Kündigung bestätigt (Az. 8 SLa 603/25). Die Täter hatten laut dem veröffentlichten Urteilstext (öffnet in neuem Tab) die Rufnummer seines Vorgesetzten per Caller-ID-Spoofing gefälscht und ihn anschließend per Messenger auf dem privaten Handy zu knapp 60 Auslandsüberweisungen über mehr als 50 Millionen Euro bewegt.

Nach der Darstellung in einem Rechtstipp zum Fall (öffnet in neuem Tab) wurde dem Finanzmanager eine besonders vertrauliche Konzerntransaktion in Asien geschildert, verbunden mit der Aussicht auf eine künftige CFO-Position. Unter Verweis auf angebliche insiderrechtliche Vorgaben wurde ihm untersagt, Rücksprache zu halten – die weitere Kommunikation lief über einen Messenger-Dienst und private E-Mails, ergänzt durch einen angeblichen Partner einer Londoner Großkanzlei. Bei einem Teil der Zahlungen zog der Manager zwar einen Kollegen hinzu, um das Vier-Augen-Prinzip formal einzuhalten. Für das Gericht genügte das jedoch nicht, weil die persönliche Klärung mit dem tatsächlichen Vorgesetzten unterblieb.

Warum die D&O-Versicherung zum Nachteil wurde

Arbeitnehmer haften für betrieblich veranlasste Schäden nach der Rechtsprechung des Bundesarbeitsgerichts normalerweise nur eingeschränkt – bei grober Fahrlässigkeit kommt häufig eine anteilige statt vollen Haftung in Betracht. Genau diese Erleichterung hat das LAG Köln dem Manager versagt, und zwar mit einer Begründung, die aufhorchen lässt: Das Unternehmen hatte ihn in eine Manager-Haftpflichtversicherung (D&O-Versicherung) einbezogen. Laut dem Urteilstext (öffnet in neuem Tab) gilt: „Eine vom Arbeitgeber finanzierte D&O-Versicherung schließt eine Haftungserleichterung nach den Grundsätzen der eingeschränkten Arbeitnehmerhaftung aus." Die Police schütze den Mitarbeiter ähnlich wie eine Pflichtversicherung vor existenzvernichtenden Folgen – und genau das lasse den Grund für eine Haftungsbegrenzung bei grober Fahrlässigkeit entfallen.

Nach den im Rechtstipp genannten Angaben bestand eine Deckung von bis zu 150 Millionen Euro je Schadensfall, bezahlt vom Arbeitgeber. Ob die Versicherung im konkreten Fall tatsächlich zahlt, steht nach Angaben von heise (öffnet in neuem Tab) erst nach rechtskräftiger Feststellung der Haftung fest – das Urteil ist nicht rechtskräftig, die Revision ist beim Bundesarbeitsgericht unter dem Aktenzeichen 8 AZR 164/26 anhängig.

Für die IT-Branche reicht die mögliche Tragweite über die Finanzabteilung hinaus: In vielen Unternehmen sind laut heise neben der Geschäftsleitung auch CISOs, IT-Leiter und andere leitende Angestellte in dieselbe D&O-Police eingeschlossen. Bestätigt das Bundesarbeitsgericht die Linie des LAG Köln, könnten auch sie für Fehlentscheidungen bei Social-Engineering-Angriffen unbeschränkt haften – etwa wenn sie auf einen gefälschten Anruf hin Zugänge freigeben.

Kein Vorwurf an die Sicherheitsschulung – sondern an die Dokumentation

Bemerkenswert ist, worauf das Gericht seine Entscheidung nicht gestützt hat. Den Einwand, der Arbeitgeber habe bei Schulungen und IT-Sicherheit zu wenig unternommen, ließ das LAG Köln laut heise nicht gelten. Entscheidend waren stattdessen dokumentierte Freigabe- und Kommunikationsregeln, gegen die der Mitarbeiter nachweislich verstoßen hatte. Mit anderen Worten: Es kam nicht darauf an, ob es eine Richtlinie gab, sondern darauf, dass sie schriftlich existierte, bekannt war und im konkreten Fall missachtet wurde.

Das verschiebt den Fokus für Unternehmen von „Wie oft schulen wir?" zu einer nüchternen Frage: Sind Freigabeprozesse, Kommunikationswege und Rückfrage-Pflichten bei Zahlungen so dokumentiert, dass ein Verstoß im Ernstfall auch belegbar ist? Eine Schulung ohne dokumentierte Regel schützt weder das Unternehmen vor dem Schaden noch den Mitarbeiter vor der Haftung.

Warum Social Engineering gerade jetzt überzeugender wirkt

Dass gerade CEO-Fraud-Fälle zunehmen, deckt sich mit einer aktuellen Erhebung des BSI und des TÜV-Verbands. Laut der BSI-Pressemitteilung (öffnet in neuem Tab) vom 7. Oktober 2026 unter über 500 Unternehmen ab 20 Mitarbeitenden nennen 11 Prozent der Unternehmen mit einem registrierten KI-bezogenen Sicherheitsvorfall Deepfakes – gefälschte Audio- oder Videoaufnahmen – als genutzte Angriffsform, „vor allem beim sogenannten CEO-Fraud, bei dem die nachgeahmte Stimme einer Führungskraft Mitarbeitende zu Überweisungen bewegen soll". Im vorliegenden Fall genügte bereits gefälschtes Caller-ID-Spoofing und eine geschickt konstruierte Drucksituation – ganz ohne geklonte Stimme. Mit Deepfake-Audio, das mittlerweile mit wenigen Sekunden Sprachmaterial erzeugbar ist, wird genau jene Rückversicherung schwerer, auf die es im Kölner Fall ankam: das Erkennen, dass der Anruf nicht echt ist.

Was Unternehmen aus dem Urteil konkret ableiten sollten

Unabhängig vom Ausgang der Revision lassen sich aus dem Fall klare Konsequenzen für die eigene Organisation ziehen:

• Freigaberegeln schriftlich fixieren, nicht nur mündlich vereinbaren. Nur eine dokumentierte Regel lässt sich im Ernstfall als Pflichtverstoß nachweisen – und schützt damit sowohl das Unternehmen als auch den Mitarbeiter vor Beweisnot.
• Rückruf über eine bekannte, unabhängige Nummer verbindlich vorschreiben – nicht über die im Anruf oder in der Nachricht angezeigte Nummer. Caller-ID-Spoofing macht die angezeigte Nummer wertlos als Vertrauensanker.
• Das Vier-Augen-Prinzip so gestalten, dass es nicht formal umgangen werden kann. Im Kölner Fall wurde ein Kollege hinzugezogen, ohne dass dieser die eigentliche Legitimität prüfte – das Gericht wertete das nicht als ausreichende Kontrolle.
• Kommunikation zu Zahlungsfreigaben ausschließlich über offizielle, protokollierte Kanäle führen, nicht über private Messenger oder private E-Mail-Adressen – genau das wertete das Gericht als groben Verstoß.
• Prüfen, wer in der eigenen D&O-Police mitversichert ist, und ob diese Frage im eigenen Haus bereits mit der Rechtsabteilung oder dem Versicherungsmakler geklärt wurde, bevor ein Schadensfall die Antwort erzwingt.

Diese Maßnahmen lassen sich technisch unterstützen: Ein Freigabe-Workflow, der Zahlungen oberhalb einer Schwelle automatisch an eine zweite, über einen separaten Kanal erreichte Person weiterleitet und jede Freigabe protokolliert, schafft genau die Dokumentation, auf die es laut Urteil ankommt. Wenn Sie prüfen wollen, wie sich Ihre bestehenden Freigabeprozesse so abbilden lassen, dass sie im Ernstfall auch belastbar sind, sprechen Sie uns an.

Was offen bleibt

Das Urteil ist nicht rechtskräftig. Die Revision beim Bundesarbeitsgericht (Az. 8 AZR 164/26) wird klären müssen, ob eine arbeitgeberfinanzierte D&O-Versicherung tatsächlich die Haftungserleichterung für Arbeitnehmer ausschließen darf, oder ob – wie in der versicherungsrechtlichen Diskussion kritisiert – das Trennungsprinzip zwischen Haftungsfrage und Versicherungsdeckung stärker zu beachten ist. Bis zur Entscheidung des Bundesarbeitsgerichts sollten Unternehmen die Linie des LAG Köln als Warnsignal lesen, nicht als endgültig geklärte Rechtslage – und ihre eigenen Freigabeprozesse unabhängig vom Ausgang des Verfahrens überprüfen, denn der wirtschaftliche Schaden eines CEO-Fraud trifft das Unternehmen so oder so zuerst.