Ein Cyberangriff ist längst kein reines IT-Ereignis mehr: Seit 1. Oktober 2026 ist er in tausenden österreichischen Unternehmen auch eine Frage der persönlichen Haftung der Geschäftsleitung. Damit greifen drei Sparten ineinander, die in der Praxis meist getrennt platziert werden: Cyber, Vertrauensschaden (Crime) und D&O.
Hier zeigen wir, wo diese Polizzen sauber ineinandergreifen, wo sie einander gegenseitig aushebeln können und warum gerade die Schnittstellen über die Deckung im Ernstfall entscheiden. Am Ende erfahren Sie, wie Sie unsere Second Opinion nutzen können, um die Konzepte Ihrer Kunden zu prüfen, ohne den Kunden aus der Hand zu geben.
Der Rechtsrahmen: Cybersicherheit ist Chefsache
Das NISG 2026 (BGBl I Nr 94/2025) ist am 1. Oktober 2026 in Kraft getreten. Statt rund 100 Betreibern wesentlicher Dienste erfasst es nun rund 4.000 mittlere und große Unternehmen aus 18 Sektoren. Hinzu kommen Zulieferer und IT-Dienstleister, die über Vertragsanforderungen ihrer Auftraggeber indirekt betroffen sind.
Die Eckpunkte für die Beratung:
Warum das trotzdem ein D&O-Thema ist: Die persönliche Haftung entsteht nicht über das NISG selbst, sondern über das Gesellschaftsrecht. Nach § 25 GmbHG bzw. § 84 AktG haften Geschäftsleiter der Gesellschaft für Schäden aus der Verletzung ihrer Sorgfaltspflichten. § 31 NISG 2026 konkretisiert diese Sorgfalt nun gesetzlich: Wer kein angemessenes Cyber-Risikomanagement einrichtet und überwacht, handelt pflichtwidrig.
Der Schutz der Business Judgment Rule (§ 25 Abs 1a GmbHG, § 84 Abs 1a AktG) hilft dabei nur begrenzt. Sie schützt unternehmerische Ermessensentscheidungen auf angemessener Informationsgrundlage, nicht aber die Missachtung gesetzlicher Pflichten. Hinzu kommt § 22 Abs 1 GmbHG (bzw. § 82 AktG): Die Pflicht zu einem internen Kontrollsystem ist der Anknüpfungspunkt, wenn ein Unternehmen durch Social Engineering Geld verliert.
Für Aufsichtsräte gilt: Sie sind vom Leitungsorgan-Begriff des NISG 2026 ausgenommen, bleiben aber über ihre allgemeine Überwachungspflicht im Haftungsfokus.
Ein Angriff, drei Polizzen: Wer zahlt was?
Im Schadenfall wandert ein und derselbe Angriff durch alle drei Sparten. Was die eine Polizze nicht trägt, landet bei der nächsten, im ungünstigsten Fall beim Geschäftsführer persönlich.
Das Szenario: Ein Maschinenbauer mit 180 Mitarbeitern, nach NISG 2026 wichtige Einrichtung. Angreifer dringen über einen VPN-Zugang ohne Mehr-Faktor-Authentifizierung ein und verschlüsseln die Systeme. Parallel nutzen sie ein kompromittiertes Postfach der Buchhaltung: Ein Lieferant „ändert“ seine Bankverbindung, EUR 480.000 werden auf ein Täterkonto überwiesen. Die Meldung an die Behörde erfolgt erst nach sechs Tagen.
| Schadenposition | Primär zuständig | Typische Bruchstelle | Wann es zum D&O-Fall wird |
|---|---|---|---|
| Forensik, Wiederherstellung, Krisenkommunikation | Cyber | Obliegenheit MFA; Antrag-Fragebogen gab MFA als „vorhanden“ an | Lehnt der Cyber-Versicherer ab, fordert die Gesellschaft den Schaden vom Geschäftsführer |
| Betriebsunterbrechung | Cyber | Zeitlicher Selbstbehalt, Sublimit, Haftzeit | Ungedeckter Ertragsausfall als Innenhaftungsanspruch |
| Ansprüche Dritter (z. B. Art 82 DSGVO) | Cyber (Haftpflicht-Teil) | Vertragsstrafen und vertragliche Haftungserweiterungen oft ausgeschlossen | Selten direkt, eher über Rückgriff der Gesellschaft |
| Überweisung von EUR 480.000 | Vertrauensschaden (Social Engineering) | Kein Hacking im Sinne der Cyber-Polizze, weil ein Mitarbeiter getäuscht wurde; Crime-Baustein fehlt oder ist sublimitiert | Vorwurf mangelhaftes internes Kontrollsystem (§ 22 GmbHG), etwa fehlende Rückbestätigung bei Bankdatenänderung |
| Verwaltungsstrafe nach § 45 NISG 2026 | Keine Versicherung (Strafe gegen die Gesellschaft) | Versicherbarkeit von Strafen; Bußgeldklausel der D&O | Regress der Gesellschaft gegen den Geschäftsführer wegen verspäteter Meldung |
| Abwehrkosten des Geschäftsführers | D&O | Cyber-Ausschluss oder Subsidiaritätsklausel in der D&O | Kernleistung der D&O, sofern die Bedingungen den Cyber-Kontext nicht ausklammern |
Die Matrix zeigt das Grundmuster: Jede Lücke in Cyber oder Crime verwandelt sich in einen Organhaftungsanspruch. Die D&O ist damit faktisch die letzte Verteidigungslinie für das Cyber-Risiko. Sie hält aber nur, wenn ihre Bedingungen das zulassen.
Sechs Bruchstellen, an denen Deckungskonzepte scheitern
Die größten Deckungslücken liegen selten in einer einzelnen Polizze, sondern in der Art, wie die Polizzen aufeinander verweisen. Diese sechs Punkte sehen wir in der Praxis am häufigsten.
Viele Cyber- und D&O-Bedingungen erklären sich für nachrangig, sobald „anderweitig Versicherungsschutz besteht“. Treffen zwei solche Klauseln aufeinander, droht ein Zuständigkeitsstreit, während der Kunde auf Leistung wartet. Der BGH hat für gleichwertige einfache Subsidiaritätsklauseln entschieden, dass sie sich gegenseitig aufheben und die Versicherer nach den Regeln der Mehrfachversicherung intern ausgleichen (BGH IV ZR 389/12). In Österreich ist § 59 VersVG der Maßstab. Der OGH unterscheidet dabei einfache von qualifizierten Subsidiaritätsabreden und sieht eine echte Prämienersparnis als Indiz für eine qualifizierte Abrede (7 Ob 340/98w). Ob eine Klausel den Kunden nur zeitlich vertröstet oder ihn gänzlich ohne Deckung lässt, entscheidet sich also am konkreten Wortlaut.
Einige D&O-Bedingungen schließen Ansprüche aus, die „direkt oder indirekt“ auf einem Cyber-Ereignis beruhen. Sinnvoll ist ein Ausschluss nur für den Eigenschaden der Gesellschaft, den die Cyber-Polizze tragen soll. Erfasst der Ausschluss auch die Organhaftung, ist der Geschäftsführer genau in dem Szenario ungeschützt, das § 31 NISG 2026 haftungsrechtlich schärft. Hier ist auf einen ausdrücklichen Wiedereinschluss der Organhaftung zu achten.
Für strafrechtliche Verbandsgeldbußen schließt § 11 VbVG den Rückgriff auf Entscheidungsträger ausdrücklich aus. Die Strafen nach § 45 NISG 2026 sind jedoch Verwaltungsstrafen, für die keine entsprechende Regel besteht; die Regressfähigkeit ist in Österreich höchstgerichtlich nicht geklärt. In Deutschland geht die Entwicklung klar in Richtung Regress: Der BGH hat die Frage für Kartellbußen dem EuGH vorgelegt (KZR 74/23) und dabei zu erkennen gegeben, dass er sie nach nationalem Recht bejahen würde. Das OLG Frankfurt hat den Regress für eine kapitalmarktrechtliche Verbandsgeldbuße bereits bejaht (31 U 3/25). Für die D&O heißt das: Ein pauschaler Bußgeldausschluss ist zu wenig. Entscheidend ist, ob Regressansprüche der Gesellschaft wegen gegen sie verhängter Strafen gedeckt sind, soweit gesetzlich zulässig.
Cyber-Versicherer zeichnen auf Basis detaillierter Fragebögen: MFA, Backups, Patch-Management, Segmentierung. Ist eine Angabe falsch, drohen Rücktritt nach §§ 16 ff VersVG oder Leistungsfreiheit nach § 6 VersVG. Den Fragebogen unterschreibt in der Regel die Geschäftsführung. Eine unrichtige Angabe vernichtet damit nicht nur die Cyber-Deckung, sondern begründet zugleich den Vorwurf einer Pflichtverletzung. Liegt sie im Bereich der Wissentlichkeit, greift der typische Ausschluss der D&O, und der Geschäftsführer steht ohne Schutz da.
Zahlt der Cyber- oder Vertrauensschadenversicherer an die Gesellschaft, gehen deren Ersatzansprüche nach § 67 VersVG auf ihn über, auch jene gegen den Geschäftsführer. Ob die Polizzen einen Regressverzicht gegenüber Organmitgliedern enthalten und wie weit er reicht, entscheidet darüber, ob ein bezahlter Cyber-Schaden als D&O-Anspruch zurückkommt. In der Vertrauensschadenversicherung ist zusätzlich zu prüfen, ob Organmitglieder als Vertrauenspersonen erfasst oder gerade ausgenommen sind.
Wird ein Mitarbeiter getäuscht und überweist er selbst, fehlt es bei vielen Cyber-Polizzen an der vorausgesetzten Informationssicherheitsverletzung. Der Schaden gehört dann in die Vertrauensschadenversicherung, sofern dort ein Social-Engineering-Baustein mit ausreichendem Sublimit besteht. Diese Bausteine knüpfen häufig an Verifizierungsverfahren wie Rückrufe an. Fehlen sie, ist man wieder beim internen Kontrollsystem nach § 22 GmbHG und damit bei der D&O.
Querschnittsthemen: Prüfen Sie zudem die zeitliche Deckung (Anspruchserhebungsprinzip in der D&O, Feststellungsprinzip in der Cyber, Rückwärtsdeckung und Nachmeldefrist) und die Summen. Die D&O-Deckungssumme steht allen Organen gemeinsam zur Verfügung und wird durch Abwehrkosten verbraucht.
Ihre Chance: die INFINCO Second Opinion
Mit unserer Second Opinion prüfen Sie bestehende Cyber-, Vertrauensschaden- und D&O-Konzepte Ihrer Kunden nicht Polizze für Polizze, sondern im Zusammenspiel. Genau dort liegen die Lücken, die ein Einzelvergleich nicht zeigt.
So läuft es ab:
Was Sie davon haben:
Fazit
Cyber, Vertrauensschaden und D&O sind seit dem NISG 2026 kein loses Nebeneinander mehr, sondern eine Haftungskette. Jede Lücke im ersten Glied wird zum Anspruch gegen die Geschäftsführung. Wer diese Kette für seine Kunden schließt, schützt sie und sich selbst.
Senden Sie uns die Unterlagen Ihres Kunden oder rufen Sie uns an, wir besprechen den Fall gerne vorab: j.kaltschmid@infinco.com · www.infinco.com
Hinweis: Dieser Beitrag dient der allgemeinen Information unserer Kooperationspartner und ersetzt keine Rechtsberatung im Einzelfall. Rechtsstand: Oktober 2026.
TEILEN SIE DEN ARTIKEL
Für Unternehmen, Stiftungen, Vereine, einzelne Personen & D&O mit Strafrechtschutz
Für Dienstleister & Gewerbe, Versicherungs-Vermitttler, Produktions-Unternehmen etc.
Strafrechtsschutz, Manager-Rechtsschutz, Steuerberater & Wirtschaftsprüfer
Finanzinstitutionen,
Kommerzielle Kunden
Finanzinstitute, Private Equity, Werbung & Medien etc.
PHP bildet die technische Grundlage zahlreicher Systeme im Web und ist nun von zwei schwerwiegenden Schwachstellen betroffen. Ein massives Problem oder ist die Aufregung übertrieben?
WEITERLESEN
MFA 2026: Warum „aktiviert“ nicht mehr genügt
WEITERLESEN
Managerhaftung, Strafrecht, Cyber und Künstliche Intelligenz treffen zusammen und was Entscheidungsträger konkret tun können, um sich wirksam zu schützen.
WEITERLESEN
Nach oben scrollen
Sie sehen gerade einen Platzhalterinhalt von Facebook. Um auf den eigentlichen Inhalt zuzugreifen, klicken Sie auf die Schaltfläche unten. Bitte beachten Sie, dass dabei Daten an Drittanbieter weitergegeben werden.
Mehr InformationenSie sehen gerade einen Platzhalterinhalt von Instagram. Um auf den eigentlichen Inhalt zuzugreifen, klicken Sie auf die Schaltfläche unten. Bitte beachten Sie, dass dabei Daten an Drittanbieter weitergegeben werden.
Mehr InformationenSie sehen gerade einen Platzhalterinhalt von reCAPTCHA. Um auf den eigentlichen Inhalt zuzugreifen, klicken Sie auf die Schaltfläche unten. Bitte beachten Sie, dass dabei Daten an Drittanbieter weitergegeben werden.
Mehr InformationenSie müssen den Inhalt von hCaptcha laden, um das Formular abzuschicken. Bitte beachten Sie, dass dabei Daten mit Drittanbietern ausgetauscht werden.
Mehr InformationenSie müssen den Inhalt von reCAPTCHA laden, um das Formular abzuschicken. Bitte beachten Sie, dass dabei Daten mit Drittanbietern ausgetauscht werden.
Mehr InformationenSie sehen gerade einen Platzhalterinhalt von Turnstile. Um auf den eigentlichen Inhalt zuzugreifen, klicken Sie auf die Schaltfläche unten. Bitte beachten Sie, dass dabei Daten an Drittanbieter weitergegeben werden.
Mehr InformationenSie sehen gerade einen Platzhalterinhalt von X. Um auf den eigentlichen Inhalt zuzugreifen, klicken Sie auf die Schaltfläche unten. Bitte beachten Sie, dass dabei Daten an Drittanbieter weitergegeben werden.
Mehr Informationen