Seit Dezember 2025 verpflichtet das BSI-Gesetz die Geschäftsleitung erfasster Unternehmen, Maßnahmen zur Cybersicherheit umzusetzen und zu überwachen.
Nach einem Angriff fragen Behörden deshalb auch, was die Leitung vorher veranlasst hat. Bußgeld und Strafverfahren können dann persönlich werden.
Nach einem Ransomware-Angriff arbeitet die IT an Wiederherstellung und Forensik. Bald folgen die Rechtsfragen, mit der Meldung an das BSI, dem Schreiben der Datenschutzaufsicht oder der Lösegeldforderung. Ein Teil richtet sich an die Geschäftsleitung.
Was das BSI-Gesetz von der Leitung verlangt
Das NIS2-Umsetzungsgesetz vom 2. Dezember 2025 (BGBl. 2025 I Nr. 301) hat das BSI-Gesetz neu gefasst. Es gilt seit dem 6. Dezember 2025. Erfasst sind Unternehmen der Sektoren aus den Anlagen 1 und 2 schon ab 50 Beschäftigten oder mehr als zehn Millionen Euro Jahresumsatz und Bilanzsumme (§ 28 BSIG). Nach § 38 BSIG muss die Geschäftsleitung die Risikomanagementmaßnahmen des § 30 BSIG umsetzen und ihre Umsetzung überwachen, darunter Vorfallbewältigung, Backup und Notfallwiederherstellung, Lieferkette und Multi-Faktor-Authentifizierung. Für schuldhafte Pflichtverletzungen haften ihre Mitglieder der Gesellschaft nach Gesellschaftsrecht.
Wen das Bußgeld trifft
§ 65 BSIG ahndet unter anderem, wer vorsätzlich oder fahrlässig gebotene Maßnahmen nicht ergreift, ihre Einhaltung nicht dokumentiert oder einen Vorfall nicht richtig oder nicht rechtzeitig meldet. Der Rahmen reicht bis zu zehn Millionen Euro bei besonders wichtigen und sieben Millionen Euro bei wichtigen Einrichtungen, bei mehr als 500 Millionen Euro Umsatz bis zu zwei bzw. 1,4 Prozent. Adressat ist dem Wortlaut nach die Einrichtung. Über § 9 OWiG kann aber der Geschäftsführer selbst Betroffener des Bußgeldverfahrens werden, und § 38 BSIG weist ihm die Umsetzung ausdrücklich zu. Befolgt eine besonders wichtige Einrichtung eine Anordnung des BSI trotz Frist nicht, kann die Aufsichtsbehörde unzuverlässigen Geschäftsleitungen als letztes Mittel die Tätigkeit vorübergehend untersagen (§ 61 Abs. 9 BSIG).
Aufsichtspflicht und Unternehmensgeldbuße
Daneben gilt § 130 OWiG. Ordnungswidrig handelt danach, über § 9 OWiG auch der Geschäftsführer, wer Aufsichtsmaßnahmen unterlässt, die eine Zuwiderhandlung im Unternehmen verhindert oder wesentlich erschwert hätten. Hat eine Leitungsperson eine Straftat oder Ordnungswidrigkeit begangen, die Pflichten des Unternehmens verletzt, kann nach § 30 OWiG zusätzlich eine Geldbuße gegen das Unternehmen festgesetzt werden. Für deren Bemessung ist nach dem Bundesgerichtshof von Bedeutung, ob das Unternehmen ein effizientes Compliance-Management installiert hat (Urteil vom 9. Mai 2017, 1 StR 265/16). Die nach § 30 Abs. 1 BSIG ohnehin geschuldete Dokumentation gehört dann zum ersten Material, das Behörde und Verteidigung auswerten.
Die Entscheidung über das Lösegeld
Ein ausdrückliches Zahlungsverbot kennt das deutsche Recht nicht. Diskutiert wird vor allem § 129 Abs. 1 Satz 2 StGB, das Unterstützen einer kriminellen Vereinigung. Ob eine Angreifergruppe die Merkmale einer Vereinigung erfüllt, ist oft kaum nachweisbar. Bei Gruppen außerhalb der EU setzt die Verfolgung zudem eine Ermächtigung des Bundesjustizministeriums voraus (§ 129b StGB). Ob ein Notstand nach § 34 StGB die Zahlung rechtfertigt, ist umstritten. Erwogen wird das vor allem, wenn Leib und Leben betroffen sind.
Konkreter wird das Risiko im Sanktionsrecht. Die EU hat 2024 im Rahmen ihres Cybersanktionsregimes (Verordnung (EU) 2019/796) zwei Personen gelistet, die sie dem Umfeld der Schadprogramme Conti und Trickbot zuordnet. Gelder an Gelistete bereitzustellen ist verboten und nach § 18 Abs. 1 Nr. 1 Buchst. h AWG mit Freiheitsstrafe von drei Monaten bis zu fünf Jahren bedroht. Vor jeder Zahlung gehört deshalb eine dokumentierte Sanktionsprüfung.
Schließlich geht es um das Vermögen der eigenen Gesellschaft. Eine Zahlung ohne ausreichende Information und ohne Prüfung von Alternativen kann pflichtwidrig sein. Mit der Untreue (§ 266 StGB) rücken dann persönliche Strafbarkeitsrisiken von Geschäftsführern in den Blick, die weit über das IT-Recht hinausreichen. Festgehalten werden sollten deshalb Zustand der Backups, Ausfallkosten, Einschätzung der Forensik, Abstimmung mit dem Cyberversicherer und Sanktionsprüfung.
Meldung und Selbstbelastung
Einen erheblichen Sicherheitsvorfall muss die Einrichtung nach § 32 BSIG binnen 24 Stunden nach Kenntnis früh erstmelden, binnen 72 Stunden bewerten und spätestens einen Monat danach mit der wahrscheinlichen Ursache abschließend melden. Sind personenbezogene Daten betroffen, verlangt Art. 33 DSGVO eine Meldung an die Datenschutzaufsicht, möglichst binnen 72 Stunden. Solche Meldungen beschreiben oft auch eigene Versäumnisse. Die Datenschutzmeldung darf nach dem Wortlaut von § 42 Abs. 4 und § 43 Abs. 4 BDSG im Straf- und Bußgeldverfahren gegen den Meldepflichtigen nur mit dessen Zustimmung verwendet werden. § 32 BSIG enthält keine vergleichbare Regel, und eine unrichtige BSI-Meldung ist selbst ordnungswidrig. Die Meldung sollte die Tatsachen deshalb vollständig wiedergeben und Angaben zur Ursache als vorläufig kennzeichnen, ohne Wertungen zum Verschulden vorwegzunehmen.
Delegation an den CISO
Wird ein CISO ausdrücklich beauftragt, Pflichten des Unternehmens in eigener Verantwortung wahrzunehmen, kann er nach § 9 Abs. 2 Satz 1 Nr. 2 OWiG selbst Adressat der Bußgeldtatbestände werden. Die Leitung bleibt zur Überwachung verpflichtet, nach § 38 BSIG ausdrücklich und nach § 130 OWiG über die sorgfältige Auswahl und Überwachung von Aufsichtspersonen. Für den CISO sind eine schriftliche Aufgabenbeschreibung, ein eigenes Budget und regelmäßige Berichte an die Leitung auch eigener Schutz.
Das Unternehmen als Geschädigter
Zugleich ist das Unternehmen regelmäßig Opfer einer Computersabotage (§ 303b StGB) und einer Erpressung (§ 253 StGB). Als Verletzter kann es über einen Rechtsanwalt Akteneinsicht beantragen (§ 406e StPO). Eine Strafanzeige gegen Unbekannt bringt aber auch Ermittler in die eigenen Systeme.
Die Weichen für ein späteres Verfahren stellen meist die ersten Tage, mit der ersten Meldung, der Zahlungsentscheidung und der Sicherung der Unterlagen, die zeigen, was die Leitung vorher veranlasst hat. Diese Schritte früh mit strafrechtlicher Beratung abzustimmen, kann sich lohnen.
