CEO-Fraud: Führt eine D&O-Versicherung zur vollen Ar­beit­neh­mer­haf­tung?

Eine vermeintliche Anweisung des Vorgesetzten, ein vertrauliches Projekt und erheblicher Zeitdruck: Beim sogenannten CEO-Fraud bringen Betrüger* Arbeitnehmer dazu, Zahlungen in der Annahme zu veranlassen, im Interesse des Unternehmens zu handeln. Werden dabei interne Kontrollvorgaben missachtet, stellen sich nach der Aufdeckung der Manipulation regelmäßig zwei Fragen: Darf der Arbeitgeber das Arbeitsverhältnis kündigen? Und in welchem Umfang muss der getäuschte Arbeitnehmer für den dem Arbeitgeber entstandenen Schaden einstehen?

Mit beiden Fragen befasst sich das Landesarbeitsgericht (LAG) Köln in seinem Urteil vom 31. Juli 2026 – 8 SLa 603/25. Es bestätigt die fristlose Kündigung eines leitenden Angestellten und bejaht eine vollständige Ersatzpflicht für die geltend gemachten Schäden. Über den Einzelfall hinaus bedeutsam sind dabei die Ausführungen zur Directors-and-Officers-Versicherung (kurz: D&O-Versicherung). Eine D&O-Versicherung soll Führungskräfte vor bestimmten persönlichen Haftungsrisiken aus ihrer beruflichen Tätigkeit schützen. Nach Auffassung des Gerichts kann eine vom Arbeitgeber finanzierte D&O-Versicherung dazu führen, dass die sonst geltenden Beschränkungen der Arbeitnehmerhaftung nicht greifen. 

Millionenüberweisungen auf Anweisung vermeintlicher Entscheidungsträger

Der Kläger war als „Head of Global Treasury“ bei dem Arbeitgeber beschäftigt. Zu seinen Gunsten bestand eine von dem Unternehmen abgeschlossene und finanzierte D&O-Versicherung mit einer Deckungssumme von bis zu 150 Mio. US-Dollar je Schadensfall. Konzerninterne Richtlinien sahen für manuelle Zahlungsanweisungen ein striktes Vier-Augen-Prinzip und Genehmigungspflichten vor.

Im Juli 2024 gaben sich Betrüger gegenüber dem Kläger als dessen Vorgesetzter, dem Group CFO, und als beauftragter externer Rechtsanwalt aus. Sie täuschten die geplante Gründung einer Gesellschaft in Asien vor, zu deren CFO der Kläger bestellt werden sollte. Nach seiner Darstellung wurde bei der ersten telefonischen Kontaktaufnahme eine Rufnummer angezeigt, die im dienstlichen Telefonverzeichnis seinem Vorgesetzten zugeordnet war (sog. Caller-ID-Spoofing).

Die weitere Kommunikation erfolgte über private WhatsApp- und E-Mail-Konten. Unter Hinweis auf die besondere Vertraulichkeit des Projekts sollte der Kläger von einer unmittelbaren telefonischen Rücksprache auch mit seinem Vorgesetzten absehen. Daran hielt er sich: Zwischen dem 15. Juli und dem 9. August 2024 veranlasste er insgesamt 59 Überweisungen mit einem Gesamtvolumen von mehr als 50 Mio. Euro, ohne sich unmittelbar bei den tatsächlichen Entscheidungsträgern rückzuversichern.

Dabei erkannte er selbst, dass die erforderlichen Belege und hinreichende Informationen zur Transaktion fehlten. Gleichwohl setzte er die Zahlungen fort. Besonders bemerkenswert: Wenige Wochen zuvor hatte er an einem Schulungsvideo zur Abwehr von CEO-Fraud aktiv mitgewirkt. Die zentrale Handlungsanweisung lautete, bei verdächtigen Zahlungsaufforderungen direkten Kontakt zum vermeintlichen Auftraggeber aufzunehmen.

Nach Aufdeckung des Betrugs kündigte der Arbeitgeber das Arbeitsverhältnis außerordentlich fristlos. Im anschließenden Kündigungsschutzverfahren verlangte das Unternehmen seinerseits Schadensersatz.

CEO-Fraud: Wann ist eine fristlose Kündigung gerechtfertigt?

Das LAG Köln hielt die fristlose Kündigung für wirksam. Dass der Arbeitnehmer selbst Opfer einer Täuschung geworden war, stand einer schwerwiegenden arbeitsvertraglichen Pflichtverletzung nicht entgegen.

Anders als das Arbeitsgericht bejahte das LAG Köln allerdings nicht bereits für die erste Überweisung eine grobe Fahrlässigkeit. Jedenfalls ab dem 18. Juli 2024 sei diese Schwelle überschritten gewesen. An diesem Tag hatte der Kläger im Gruppenchat selbst darauf hingewiesen, Millionenbeträge zu überweisen, obwohl ihm weder Belege noch hinreichende Informationen zur geplanten Transaktion vorlägen. Dennoch kündigte er weitere Zahlungen an.

Für das Gericht waren insbesondere die ungewöhnlichen Kommunikationswege, die Größenordnung der Transaktionen und die unterbliebene unmittelbare Rückversicherung entscheidend. Die eigenen Bedenken des Klägers und die vorangegangene Schulung verstärkten den Vorwurf. Auf die genaue technische Ausgestaltung der Täuschung kam es dabei nicht maßgeblich an: Die vermittelte Schutzmaßnahme einer direkten Rückfrage hätte auch gegenüber dem eingesetzten Caller-ID-Spoofing gegriffen.

Eine vorherige Abmahnung hielt das LAG Köln angesichts des Gewichts der Pflichtverletzungen und ihrer Folgen für entbehrlich. Auch die zweiwöchige Kündigungserklärungsfrist des § 626 Abs. 2 BGB sah es als gewahrt an. Der Arbeitgeber hatte den umfangreichen Sachverhalt durch fortlaufende Ermittlungen aufgeklärt.

Arbeitnehmerhaftung bei grober Fahrlässigkeit: Wer trägt den Schaden?

Die haftungsrechtliche Ausgangslage, um die es sodann in dem vom LAG Köln entschiedenen Fall ging, ist zunächst bekannt. Bei betrieblich veranlassten Tätigkeiten gelten die Grundsätze des innerbetrieblichen Schadensausgleichs: Bei leichtester Fahrlässigkeit haftet der Arbeitnehmer grundsätzlich nicht, bei normaler Fahrlässigkeit wird der Schaden regelmäßig zwischen den Parteien aufgeteilt; bei grober Fahrlässigkeit und Vorsatz trägt ihn grundsätzlich der Arbeitnehmer.

Auch bei grober Fahrlässigkeit können jedoch Haftungserleichterungen in Betracht kommen. Erforderlich ist eine Abwägung der Umstände des Einzelfalls. Dabei können insbesondere das Schadensrisiko der Tätigkeit, der Verschuldensgrad, die Vergütung und die wirtschaftliche Leistungsfähigkeit des Arbeitnehmers eine Rolle spielen. Eine feste, allgemein geltende Haftungsobergrenze besteht nicht.

Das LAG Köln erkannte ausdrücklich an, dass die Haftungssumme die wirtschaftliche Leistungsfähigkeit des Klägers offensichtlich überstieg. Eine Haftungserleichterung lehnte es dennoch ab. Ausschlaggebend war die vom Arbeitgeber finanzierte D&O-Versicherung.

Das Gericht sah auch keine ausreichenden Anhaltspunkte für ein Mitverschulden des Arbeitgebers, das den Schadensersatzanspruch hätte verringern können. Insbesondere sei nicht ausreichend dargelegt worden, dass Mängel in der Organisation oder bei den internen Kontrollen zum Schaden beigetragen hätten. Zudem habe der Kläger selbst Rückfragen und weitere Kontrollmaßnahmen verhindert.

D&O-Versicherung: Kann sie die Arbeitnehmerhaftung erweitern?

Bei der Berücksichtigung des Versicherungsschutzes im Rahmen der Haftung argumentiert das LAG Köln auf zwei Ebenen.

Zum einen geht es davon aus, dass eine vom Arbeitgeber abgeschlossene und finanzierte D&O-Versicherung die Haftungsbeschränkungen insgesamt überlagert. Es mache keinen Unterschied, ob der Arbeitgeber den Arbeitnehmer zum Abschluss einer Versicherung verpflichte oder ihm selbst auf eigene Kosten entsprechenden Schutz verschaffe. Eine ausdrückliche Vereinbarung über eine Versicherungspflicht sei hierfür nicht erforderlich.

Diese Überlegung erfasst nach Ansicht des LAG Köln auch die Zahlungen vor dem 18. Juli 2024, für die es grobe Fahrlässigkeit nicht festgestellt hatte. Die Versicherung wirkt sich damit nicht lediglich innerhalb der Abwägung bei grober Fahrlässigkeit aus, sondern bereits auf die grundsätzliche Verteilung des Schadensrisikos.

Zum anderen stellt das LAG Köln eine engere Erwägung an: Jedenfalls bei grober Fahrlässigkeit entfalle der Grund für eine ausnahmsweise Haftungsmilderung wegen wirtschaftlicher Überforderung, soweit eine das Schadensrisiko abdeckende Versicherung die Gefahr der Existenzvernichtung ausschließe.

D&O-Versicherung: Warum ist die tatsächliche Deckung entscheidend?

Gerade die zweite Überlegung ist nachvollziehbar: Soll eine Haftungsmilderung verhindern, dass ein Arbeitnehmer durch einen betrieblich verursachten Schaden wirtschaftlich ruiniert wird, kann eine tatsächlich eingreifende Versicherung für diese Beurteilung erheblich sein.

Damit rückt allerdings die konkrete Deckung in den Mittelpunkt. Eine hohe Versicherungssumme allein beantwortet noch nicht die Frage, ob der geltend gemachte Schaden vom Versicherungsschutz erfasst wird.

Im entschiedenen Fall war die Deckung noch nicht abschließend geklärt. Das LAG Köln ging anhand der vorgelegten Police gleichwohl von einer Absicherung aus. Den Einwand des Klägers, eine Deckungszusage stehe noch aus und die Versicherer prüften ihre Einstandspflicht, ließ es nicht genügen. Auch allgemeine Hinweise auf mögliche Ausschlüsse und Streitigkeiten zwischen den beteiligten Versicherern reichten dem LAG Köln nicht aus.

Wer sich auf eine wirtschaftliche Überforderung berufe, müsse nach Auffassung des Gerichts konkret darlegen, weshalb die D&O-Versicherung den Schaden möglicherweise nicht übernimmt. Für die Prozessführung ist das ein wesentlicher Punkt: Ein pauschaler Verweis auf eine ungeklärte Deckungslage genügt nach dieser Entscheidung nicht.

Volle Arbeitnehmerhaftung trotz D&O-Versicherung: Warum ist das umstritten?

Deutlich weiter reicht die Annahme, schon der Abschluss und die Finanzierung der D&O-Versicherung durch den Arbeitgeber rechtfertigten es, die Grundsätze des innerbetrieblichen Schadensausgleichs insgesamt zurücktreten zu lassen.

Das BAG hat die Berücksichtigung einer freiwilligen privaten Haftpflichtversicherung für eine Konstellation anerkannt, in der der Arbeitgeber deren Abschluss wegen der Tätigkeitsrisiken zur Einstellungsbedingung gemacht hatte (BAG, Urteil vom 28. Oktober 2010 – 8 AZR 418/09). Diese Wertung auf eine ohne entsprechende Vereinbarung vom Arbeitgeber abgeschlossene D&O-Versicherung zu übertragen, geht darüber hinaus.

Dass eine andere Bewertung möglich ist, zeigt eine Entscheidung des LAG Hessen. Dieses begrenzte die Haftung einer Prokuristin, die infolge eines CEO-Fraud grob fahrlässig rund 2 Mio. Euro überwiesen hatte, trotz bestehender D&O-Versicherung, auf sechs Bruttomonatsgehälter. Eine Verdrängung der Grundsätze der beschränkten Arbeitnehmerhaftung lehnte es ab, weil der Versicherungsabschluss weder Voraussetzung für die Tätigkeitsübernahme gewesen, noch nachträglich durch Vereinbarung dazu gemacht worden war (LAG Hessen, Urteil vom 8. April 2025 – 12 SLa 177/24).

Die Unterscheidung ist wesentlich: Der innerbetriebliche Schadensausgleich schützt nicht allein vor wirtschaftlicher Überforderung. Gerade bei geringeren Verschuldensgraden dient er auch einer angemessenen Verteilung des betrieblichen Risikos. Ob der Arbeitgeber diese Verteilung durch den Abschluss einer Versicherung ohne entsprechende Vereinbarung verändern kann, bedarf deshalb einer eigenständigen Begründung.

CEO-Fraud verhindern: Was Unternehmen und Führungskräfte beachten sollten

Ein erfolgreicher CEO-Fraud kann für Unternehmen erhebliche finanzielle Schäden und für die betroffenen Beschäftigten weitreichende arbeitsrechtliche Folgen haben. Das Urteil des LAG Köln zeigt, wie wichtig wirksame interne Kontrollen und eine sorgfältige Prüfung möglicher Haftungsansprüche sind.

Unternehmen und Führungskräfte sollten insbesondere folgende Punkte beachten:

• Zahlungsanweisungen konsequent prüfen: Interne Prüf- und Freigabevorgaben müssen auch dann eingehalten werden, wenn eine Zahlungsaufforderung vermeintlich von der Unternehmensleitung stammt und als besonders vertraulich bezeichnet wird.
• Verbindliche Rückfragewege festlegen: Bei ungewöhnlichen Zahlungsaufforderungen müssen Beschäftigte die Identität des Auftraggebers über einen unabhängig bekannten Kommunikationsweg überprüfen können.
• Vier-Augen-Prinzip wirksam umsetzen: Die Beteiligung einer zweiten Person genügt nicht. Zahlungsgrund, Empfänger und Freigabe müssen eigenständig geprüft werden.
• Beschäftigte gezielt schulen: Schulungen sollten typische Betrugsmaschen und konkrete Handlungsmöglichkeiten vermitteln. Inhalte und Teilnahme sollten dokumentiert werden.
• Vorfälle zügig aufklären: Nach einem CEO-Fraud müssen Unternehmen arbeitsrechtliche Maßnahmen, mögliche Schadensersatzansprüche und versicherungsrechtliche Fragen frühzeitig aufeinander abstimmen. Bei einer möglichen fristlosen Kündigung sind insbesondere die gesetzlichen Fristen zu beachten.
• Mitverschulden des Unternehmens prüfen: Für mögliche Schadensersatzansprüche ist auch zu untersuchen, ob Organisations- oder Kontrollmängel zur Entstehung des Schadens beigetragen haben.
• D&O-Versicherung nicht mit voller Haftung gleichsetzen: Ob und in welchem Umfang ein Arbeitnehmer haftet, hängt auch von den konkreten Versicherungsbedingungen und dem tatsächlichen Versicherungsschutz ab.

Die Rechtslage ist noch nicht abschließend geklärt: Das LAG Köln hat die Revision zugelassen. Das Verfahren ist beim Bundesarbeitsgericht unter dem Aktenzeichen 8 AZR 164/26 anhängig. Damit steht eine höchstrichterliche Klärung der Frage aus, unter welchen Voraussetzungen eine vom Arbeitgeber finanzierte D&O-Versicherung zu einer weitergehenden Arbeitnehmerhaftung führen kann.

*Gemeint sind Personen jeder Geschlechtsidentität. Um der leichteren Lesbarkeit willen wird im Beitrag die grammatikalisch männliche Form verwendet.