Manager in der Pflicht

Kommt es zu einem Rechtsstreit, werden Pflichtwidrigkeit und Verschulden zu Lasten des Managers zunächst vermutet. Es liegt dann beim Manager, den Vorwurf mangelnder Sorgfalt durch Vorlage entsprechender Nachweise über die von ihm getroffenen Maßnahmen zu entkräften. Dabei hilft moderne IT. Wie wichtig eine adäquate D&O-Versicherung geworden ist, zeigt eine Umfrage des FAZ-Instituts unter den größten D&O-Versicherern aus dem Jahr 2011: Demnach gaben 85 Prozent der Befragten an, dass sich mit Ausbruch der weltweiten Finanz- und Wirtschaftskrise die Zahl der Schadensfälle deutlich erhöht hat. Auch die durchschnittliche Schadenshöhe ist nach Ansicht von 70 Prozent der Experten gestiegen. Nicht nur eine Vielzahl neuer Gesetze und eine immer schärfere Auslegung bestehender Sorgfaltspflichten hat die Anforderungen an ein pflichtgemäßes Verhalten von Geschäftsleitern verschärft. Vermehrt sind in den letzten Jahren Unternehmen und Gesellschafter bereit, von verantwortlichen Organmitgliedern bei offensichtlichen wie auch vermeintlichen Pflichtverletzungen tatsächlich persönlich Schadensersatz einzufordern – im schlimmsten Fall geht es um deren gesamtes Privatvermögen.

Kritische Haftungsfragen stellen sich insbesondere bei der Sicherheit im Unternehmen. Die globale Vernetzung und Entwicklung der Informationstechnologie resultiert in immer wieder neuen Arten von Angriffen und Risiken. „Die Organisation eines Unternehmens muss so gestaltet sein, dass das Management die rechtlichen Anforderungen an seine Kontroll- und Aufsichtspflichten auch erfüllen kann“, erklärt Dr. Markus Weber, Rechtsanwalt der Kanzlei Orrick Hölters & Elsing und Spezialist für Corporate Governance und Compliance. „Die Berichtswege und Prozesse müssen Missstände frühzeitig verhindern können. Zuständigkeitsbereiche und Kompetenzen sind klar zu definieren und abzugrenzen. Gleichzeitig gilt: Eine Delegation von Aufgaben entbindet Vorstände und Geschäftsführer nicht von ihrer Verantwortung. Selbst wenn beispielsweise ein CIO benannt ist, so bleibt es im Grundsatz dennoch Aufgabe der gesamten Geschäftsleitung, die Einhaltung der Compliance- und Sicherheitsrichtlinien zu kontrollieren und Hinweisen auf Fehlentwicklungen aktiv nachzugehen.“

Branchen- und Sicherheitsstandards beachten

Soweit keine konkreten gesetzlichen Anforderungen bestehen – wie beispielsweise bei Kreditinstituten – liegt die Art und Weise der konkreten Ausgestaltung der Organisationsstruktur im Unternehmen im pflichtgemäßen Ermessen der Geschäftsführung. Im Schadensfall muss sich das Management aber daran messen lassen, ob die getroffenen Maßnahmen genügen: Zertifizierungsstandards sowie Empfehlungen von Behörden, Verbänden oder sonstigen anerkannten Fachorganisationen kommt dabei eine wichtige Rolle zu. „Eine Prozessorganisation, die anerkannte Branchenstandards nicht berücksichtigt und technisch mögliche und erprobte Sicherheitsstandards außer acht lässt, indiziert in aller Regel eine haftungsbegründende Sorgfaltspflichtverletzung der Geschäftsführung. Im Schadensfall obliegt es dann dem Management, den Gegenbeweis anzutreten, dass ein Schaden auch bei Anwendung der zur Verfügung stehenden Sicherheitslösungen nicht vermeidbar gewesen wäre“, erläutert Dr. Markus Weber. „Dies gilt insbesondere auch für die IT-Infrastruktur im Unternehmen: Der Geschäftsleitung muss es möglich sein, schnell und umfassend über nicht pflichtgemäße Vorgänge informiert zu werden, um einen haftungsbegründenden Schadensfall verhindern zu können. Ohne ein angemessenes Informationssystem können Compliance-Maßnahmen nicht erfolgreich umgesetzt werden und so droht im Schadensfall eine persönliche Inanspruchnahme der verantwortlichen Manager.“

Damit werden die Sicherheits- und Kontrollpflichten der Geschäftsführung auch zur technischen Frage. Ein wesentlicher Aspekt ist hier ein zentrales Log-Management. So fordert der Standard PCI-DSS für die Abwicklung von Kreditkartentransaktionen, dass Log-Daten protokolliert werden; gleiches gilt für die IT-Sicherheit nach ISO 27001. Log-Management spielt auch im IT-Grundschutz eine wichtige Rolle, wie ihn das Bundesamt für Sicherheit in der Informationstechnik (BSI) empfiehlt. „Der Trend geht hin zu immer strengeren Standards“, erklärt Martin Ulmer, Territory Manager bei Loglogic. „Es macht daher Sinn, über moderne Log-Management-Lösungen lückenlos alle Logs der Unternehmens-IT zu erfassen und revisionssicher zu speichern. Je nach Anforderung können diese dann ausgewertet werden – für Dashboards der Geschäftsleitung, für Compliance, die Abwehr von externen Angriffen, Datenmissbrauch oder auch für die IT-Netzperformance.“

Wichtig ist dabei, die Grenzen der Datenschutzgesetze einzuhalten. „Zum einen müssen personenbezogene Log-Daten konsequent anonymisiert und über ein Vier-Augen-Prinzip gesichert werden“, erklärt Martin Ulmer. „Zum anderen bedarf es einer regelbasierten Funktion für Aufbewahrungsfristen. Sie sorgt dafür, dass Unternehmen differenziert die Löschung von Log-Daten gemäß der gesetzlichen oder organisatorischen Anforderungen automatisieren können.“ Auf diese Weise stehen bei IT-Forensik-Untersuchungen die dafür nötigen Log-Daten vollständig, unmanipulierbar und gesetzeskonform zur Verfügung. Dies schützt das Unternehmensmanagement vor ungerechtfertigten Haftungsansprüchen ebenso wie Mitarbeiter.

Die Directors- und Liability-Versicherung

Eine Directors and Officers Liability Insurance schützt Organmitglieder vor den finanziellen Folgen einer persönlichen Haftung gegenüber dem eigenen Unternehmen (Innenhaftung) und gegenüber Ansprüchen Dritter (Außenhaftung). Neben der Zahlung von Schadensersatzansprüchen ist typischerweise auch die gerichtliche und außergerichtliche Abwehr von Ansprüchen versichert.

Versicherungsnehmer ist das Unternehmen selbst, versichert sind die Organe des Unternehmens. Zu beachten ist die Pflicht zur Vereinbarung eines Selbstbehalts für Organmitglieder von Aktiengesellschaften gemäß § 93 Abs. 2 S. 3 Aktiengesetz (AktG). Der Selbstbehalt kann allerdings durch eine vom Vorstands- oder Aufsichtsratsmitglied selbstfinanzierte Zusatz-Police abgedeckt werden. Wichtig sind eine Rückwärtsdeckung für Pflichtverletzungen, die möglicherweise vor Beginn des Versicherungsvertrages begangen wurden, und eine Nachhaftung. Bei bestehenden Verträgen sollte insbesondere die Nachhaftung überprüft werden: Denn die Haftungsfristen beispielsweise für Bankmanager und Bankaufseher sowie für Vorstände und Aufsichtsräte von börsennotierten Aktiengesellschaften wurden zum 15. Dezember 2010 von fünf auf zehn Jahre erhöht.