CEO-Fraud: Führungskraft haftet für 50 Millionen Euro

Der Anruf vom Chef, der keiner war

Das Landesarbeitsgericht Köln hat mit Urteil vom 31. Juli 2026 (8 SLa 603/25) einen Fall entschieden, der jede Finanzabteilung angeht. Ein leitender Angestellter war als „Head of Global Treasury“ für die strategische und operative Verwaltung der Finanzen seines Arbeitgebers verantwortlich. Er wurde Opfer eines sogenannten CEO-Fraud, bei dem Betrüger sich als Chef ausgeben und Mitarbeiter zu Zahlungen veranlassen. Die Geschichte, die sie ihm auftischten, passte zu seiner Position: Sein Vorgesetzter plane die Gründung einer neuen Gesellschaft in Asien, und er selbst solle deren Finanzvorstand werden.

Der erste Kontakt kam über die Rufnummer, die im dienstlichen Telefonverzeichnis für seinen Vorgesetzten hinterlegt war. Möglich macht das sogenanntes Caller-ID-Spoofing, bei dem Anrufer die angezeigte Rufnummer fälschen. Die weiteren Zahlungsanweisungen erhielt er über einen Messenger-Dienst auf seine private Mobilfunknummer. Innerhalb von 25 Tagen veranlasste er knapp 60 Überweisungen mit einem Gesamtvolumen von mehr als 50 Millionen Euro. Bei seinem echten Vorgesetzten fragte er in dieser Zeit kein einziges Mal persönlich nach.

Fristlose Kündigung und Schadensersatzklage

Als die Vorgänge bekannt wurden, kündigte der Arbeitgeber das Arbeitsverhältnis fristlos und verlangte Schadensersatz in Höhe der veranlassten Überweisungen. Das Landesarbeitsgericht gab ihm in beiden Punkten recht: Die fristlose Kündigung ist wegen grober Fahrlässigkeit wirksam, und die Schadensersatzklage hatte Erfolg.

Grob fahrlässig handelt, wer die einfachsten Vorsichtsmaßnahmen außer Acht lässt, die jedem einleuchten müssten. Der Vorwurf an den Angestellten lässt sich in einem Satz zusammenfassen: Er hat sich zu keinem Zeitpunkt persönlich bei seinem Vorgesetzten rückversichert. Ein Rückruf über die bekannte Nummer oder ein kurzes Gespräch hätte die Sache geklärt. Das wäre schon bei einer einzigen Überweisung zu erwarten gewesen, bei knapp 60 Überweisungen über 25 Tage hinweg erst recht.

Wann Arbeitnehmer für Schäden haften

Arbeitnehmer haften für Schäden, die ihnen bei der Arbeit unterlaufen, nicht automatisch in voller Höhe. Die Rechtsprechung des Bundesarbeitsgerichts stuft nach der Schwere des Verschuldens ab. Wer vorsätzlich handelt, haftet voll, und bei grober Fahrlässigkeit gilt das grundsätzlich ebenfalls. Bei normaler Fahrlässigkeit wird der Schaden aufgeteilt, bei leichtester Fahrlässigkeit haftet der Arbeitnehmer gar nicht. Juristen nennen das die Grundsätze der beschränkten Arbeitnehmerhaftung.

Auch bei grober Fahrlässigkeit kann das Gericht die Haftung im Einzelfall erleichtern. Dabei wägt es alle Umstände ab, darunter die Höhe des Schadens, das Einkommen des Arbeitnehmers und die Frage, ob eine Versicherung den Schaden abdeckt. Bei mehr als 50 Millionen Euro hätte eine Erleichterung nahegelegen, denn kein Gehalt der Welt reicht für eine solche Summe. Dass es anders kam, liegt an der Versicherung.

D&O-Versicherung führt zur vollen Haftung

Bereits vor Beginn des Arbeitsverhältnisses hatte der Arbeitgeber für den Angestellten eine D&O-Versicherung mit einer Deckungssumme von bis zu 150 Millionen US-Dollar abgeschlossen. D&O steht für Directors and Officers. Gemeint ist eine Haftpflichtversicherung für Führungskräfte, die sie vor den finanziellen Folgen beruflicher Fehlentscheidungen schützen soll. Das Unternehmen zahlt die Prämie, die Führungskraft ist versichert.

Genau diese Police wurde dem Angestellten zum Verhängnis. Das Gericht lehnte eine Haftungserleichterung ab, weil eine vom Arbeitgeber finanzierte D&O-Versicherung den Angestellten ähnlich schütze wie eine gesetzliche Haftpflichtversicherung. Es bestehe daher kein Anlass, aus Gründen des Arbeitnehmerschutzes von der vollen Haftung abzuweichen. Der Gedanke dahinter: Die beschränkte Arbeitnehmerhaftung soll verhindern, dass ein Arbeitnehmer an einem Fehler bei der Arbeit wirtschaftlich zugrunde geht. Wer versichert ist, braucht diesen Schutz aus Sicht des Gerichts nicht. Die Versicherung, die den Manager absichern sollte, wurde so zum Argument für seine volle Haftung.

Endgültig ist die Entscheidung noch nicht: Das Landesarbeitsgericht hat die Revision zugelassen, das Verfahren ist beim Bundesarbeitsgericht unter dem Aktenzeichen 2 AZR 164/26 anhängig. Dort dürfte es vor allem um die Frage gehen, ob eine vom Arbeitgeber finanzierte D&O-Versicherung die Haftungserleichterung für Arbeitnehmer ausschließt. Bis dahin gilt: Die Kombination aus grober Fahrlässigkeit und D&O-Versicherung kann eine Führungskraft die gesamte Schadenssumme kosten.

Was das für Unternehmen bedeutet

Für Geschäftsführung und Finanzabteilung hat die Entscheidung zwei Seiten. Die erste betrifft den Schaden nach einem gelungenen CEO-Fraud. Wer für seine Führungskräfte eine D&O-Versicherung abgeschlossen hat, kann nach dieser Entscheidung bei grober Fahrlässigkeit den vollen Schaden von der Führungskraft verlangen. Was der Versicherer davon übernimmt, richtet sich nach dem Versicherungsvertrag. Sinnvoll ist deshalb ein Blick in die Police, bevor etwas passiert: Wer ist versichert, wie hoch ist die Deckungssumme, welche Ausschlüsse gelten.

Die zweite Seite ist wichtiger, denn sie setzt an, bevor der Schaden entsteht. Der Fall zeigt das Muster: ein Anruf mit der echten Nummer des Vorgesetzten, eine plausible Geschichte mit Karriereaussicht, danach Anweisungen über einen privaten Kanal, und niemand fragt nach. Welche Kontrollen das Unternehmen eingerichtet hatte, bleibt offen. Drei Regeln setzen aber genau an dem Punkt an, den das Gericht dem Angestellten vorwirft:

• Zahlungsanweisungen werden über einen selbst gewählten Weg bestätigt, etwa per Rückruf über die bekannte Nummer.
• Überweisungen ab einer festgelegten Höhe geben zwei Personen frei.
• Anweisungen über private Messenger lösen keine Überweisung aus, sondern eine Rückfrage.

Was Führungskräfte daraus lernen

Für die Führungskraft ist der Fall bitter: Opfer eines Betrugs, fristlos den Arbeitsplatz verloren und obendrein eine Forderung von mehr als 50 Millionen Euro. Dass sie selbst getäuscht wurde, hat ihr vor Gericht nicht geholfen. Für die grobe Fahrlässigkeit reicht es, dass die naheliegende Vorsicht gefehlt hat. Böse Absicht ist dafür nicht nötig.

Die Lehre ist unbequem, aber einfach. Wer Zahlungen freigibt, lässt sich Anweisungen auf einem Weg bestätigen, den er selbst wählt. Ein vermeintlicher Chef, der Millionenbeträge per Messenger auf das private Handy anweist, verdient Misstrauen, auch wenn er einen Vorstandsposten in Aussicht stellt. Und die D&O-Versicherung des Arbeitgebers ist nach dieser Entscheidung gerade der Grund für die volle Haftung.