Eine D&O-Versicherung soll das Privatvermögen von Führungskräften schützen. Das Landesarbeitsgericht Köln hat sie in einem aktuellen Fall genau andersherum eingesetzt: Weil der Arbeitgeber eine D&O-Deckung für seinen Treasury-Leiter abgeschlossen hatte, nahm das Gericht ihn nach einem CEO-Betrug in voller Höhe in die Haftung. Der Fall ist noch nicht abgeschlossen, das Bundesarbeitsgericht wird ihn prüfen. Für Unternehmen und ihre leitenden Angestellten lohnt sich der Blick trotzdem jetzt schon.
Der Fall: Ein Anruf, der klang wie der Chef
Der Beklagte leitete seit 2018 als Head of Global Treasury den Zahlungsverkehr eines international tätigen Unternehmens. Für ihn bestand eine vom Arbeitgeber abgeschlossene und finanzierte D&O-Versicherung mit einer Deckungssumme von bis zu 150 Millionen US-Dollar je Schadenfall.
Im Sommer 2024 meldete sich telefonisch jemand, der sich mit gefälschter Rufnummernanzeige als sein Vorgesetzter ausgab. Danach lief alles über private Messenger- und Mailadressen: Angeblich entstehe eine neue Holding, er sei als deren Finanzchef vorgesehen, und wegen Insiderregeln müsse das Vorhaben streng vertraulich bleiben. Ein angeblich beteiligter Rechtsanwalt existierte zwar, doch die Nachrichten in seinem Namen kamen von den Tätern.
Innerhalb von rund 25 Tagen veranlasste er etwa 60 Überweisungen, jeweils im hohen sechs- bis siebenstelligen Bereich, insgesamt mehr als 50 Millionen Euro, zu einem erheblichen Teil ins Ausland. Dass ihm die Sache nicht geheuer war, lässt sich dem Verfahren entnehmen: Er überwies auf Grundlage von Rechnungen, die er nie gesehen hatte, zahlte Beträge erneut, die er kurz zuvor hatte zurückrufen lassen, und äußerte in einem Chat selbst Zweifel an der Belegbasis der Zahlungen. Als die Polizei wegen auffälliger Transaktionen beim Unternehmen anrief, hielt er zunächst an der ihm vorgegebenen Legende fest. Der Betrug kam erst ans Licht, als die Ermittler andere Stellen im Unternehmen erreichten. Der Arbeitgeber kündigte fristlos und klagte auf Schadenersatz.
Erschwerend kam hinzu, dass im Unternehmen ein Vier-Augen-Prinzip für Zahlungen galt und der Treasury-Leiter die interne Freigaberichtlinie für neue Zahlungsempfänger selbst verantwortet hatte. Kurz zuvor war er sogar an einer internen Schulung beteiligt gewesen, die genau vor dieser Betrugsmasche warnte.
Was das Landesarbeitsgericht entschieden hat
Wer als Angestellter bei der Arbeit einen Schaden verursacht, haftet nach den Grundsätzen des innerbetrieblichen Schadensausgleichs nur abgestuft: Leichteste Fahrlässigkeit bleibt folgenlos, bei normaler Fahrlässigkeit wird der Schaden nach den Umständen geteilt, und erst bei grober Fahrlässigkeit kann der Arbeitnehmer in voller Höhe herangezogen werden. Die Rechtsprechung lässt allerdings auch bei grober Fahrlässigkeit eine Deckelung zu, wenn Schadenshöhe und Verdienst so weit auseinanderliegen, dass die volle Forderung den Beschäftigten wirtschaftlich ruinieren würde.
Das Landesarbeitsgericht Köln (Urteil vom 31.07.2026, 8 SLa 603/25) bejahte grobe Fahrlässigkeit, hielt die fristlose Kündigung für wirksam und verurteilte den Treasury-Leiter zum Ersatz des gesamten Schadens. Der für die Versicherungspraxis entscheidende Satz steht in der Begründung: Eine vom Arbeitgeber finanzierte D&O-Versicherung wirke für den Mitarbeiter ähnlich wie eine Pflichthaftpflichtversicherung und schließe deshalb eine Haftungserleichterung nach den Grundsätzen der beschränkten Arbeitnehmerhaftung aus.
Der Gedanke dahinter: Die Haftungsbegrenzung ist ein Schutz vor dem wirtschaftlichen Ruin durch einen Fehler im Job. Gibt es eine Police, die genau dieses Risiko für den Mitarbeiter abdeckt, und hat der Arbeitgeber sie bezahlt, entfällt aus Sicht des Gerichts der Grund für die Schonung. Sonst käme der Versicherungsschutz allein dem Arbeitnehmer zugute, obwohl das Unternehmen ihn finanziert hat.
Warum das Urteil versicherungsrechtlich brisant ist
Im Haftpflichtrecht gilt eine feste Reihenfolge: Zuerst wird geklärt, ob und in welchem Umfang jemand haftet, danach, ob eine Versicherung dafür eintritt. Die Deckung folgt der Haftung, nicht umgekehrt. Köln kehrt diese Reihenfolge für den Arbeitnehmer um: Weil es eine Deckung gibt, wird die Haftung nicht begrenzt. Ob und in welchem Umfang die D&O im konkreten Fall tatsächlich zahlt, ist damit noch nicht entschieden.
Das Landesarbeitsgericht hat die Revision zugelassen; das Verfahren ist beim Bundesarbeitsgericht unter dem Aktenzeichen 2 AZR 164/26 anhängig. Bestätigt das Bundesarbeitsgericht die Kölner Linie, könnte eine vom Arbeitgeber finanzierte D&O-Deckung künftig nicht nur die finanziellen Folgen einer Haftung auffangen, sondern bereits bei der vorgelagerten Frage eine Rolle spielen, in welchem Umfang ein Arbeitnehmer überhaupt persönlich haftet.
Was das für Unternehmen im Mittelstand bedeutet
Der Fall spielt in einem Konzern mit einer Deckungssumme, die im Mittelstand niemand braucht. Die Mechanik dahinter betrifft aber jedes Unternehmen, das eine D&O-Versicherung hat oder abschließen will. Vier Punkte aus meiner Sicht:
Erstens: Die D&O schützt nicht nur Geschäftsführer. Je nach Bedingungswerk sind neben den Organen auch leitende Angestellte, Prokuristen und Compliance-Verantwortliche versicherte Personen. Wer genau unter den Vertrag fällt, steht in den Bedingungen, nicht im Organigramm. Nach dem Kölner Urteil ist diese Frage nicht mehr nur eine Frage des Schutzes, sondern womöglich auch eine Frage der Haftung. Unternehmen sollten wissen, wen ihre Police erfasst, und die betroffenen Personen sollten das ebenfalls wissen.
Zweitens: Grobe Fahrlässigkeit ist in der D&O üblicherweise versichert, Vorsatz nicht. Das ist der Grund, warum die Kölner Richter die Versicherung überhaupt in ihre Überlegung einbeziehen konnten. Ob die D&O im konkreten Fall tatsächlich leistet, hängt aber vom einzelnen Vertrag ab, etwa von Ausschlüssen für wissentliche Pflichtverletzungen. Für den Treasury-Leiter bedeutet das Urteil deshalb im schlechtesten Fall: volle Haftung, weil es eine Versicherung gibt, und am Ende eine Deckungsdiskussion mit dem Versicherer, ob sie zahlt.
Drittens: Der Schaden aus einem CEO-Fraud ist zunächst ein Schaden des Unternehmens. Die D&O kommt erst ins Spiel, wenn das Unternehmen bei einer versicherten Person Regress nimmt. Für den Vermögensschaden selbst sind andere Deckungen zuständig: eine Vertrauensschadenversicherung oder eine Cyberversicherung mit Baustein für Social Engineering beziehungsweise Fake-President-Fälle. Diese Bausteine sind nicht in jeder Cyberpolice enthalten, und wo sie enthalten sind, gelten häufig eigene Sublimits. Mehr dazu im Beitrag Was leistet eine Cyberversicherung wirklich?
Viertens: Prozesse schlagen Policen. Der Kölner Fall zeigt, dass weder ein Vier-Augen-Prinzip auf dem Papier noch ein Aufklärungsvideo den Betrug verhindert haben. Was gefehlt hat, war die technische Erzwingung: eine Freigabe, die ohne zweite Person schlicht nicht ausgeführt werden kann, und ein Rückrufkanal, der über bekannte Nummern läuft, nicht über die Kontaktdaten aus der verdächtigen Nachricht.
Was Sie jetzt prüfen sollten
- Versicherte Personen in der D&O: Welche Funktionen sind erfasst, und wissen die Betroffenen davon?
- Ausschlüsse und Obliegenheiten: Wie geht Ihr D&O-Vertrag mit grober Fahrlässigkeit und wissentlichen Pflichtverletzungen um?
- Deckung für Social Engineering und Fake President: in der Cyber- oder Vertrauensschadenversicherung vorhanden, und mit welchem Sublimit?
- Zahlungsfreigaben: Ist das Vier-Augen-Prinzip technisch erzwungen oder nur als Richtlinie beschrieben?
- Rückrufregel: Wird jede ungewöhnliche Zahlungsanweisung über eine bekannte Rufnummer verifiziert, unabhängig davon, wie dringlich oder vertraulich sie klingt?
- Rechtsschutz: Besteht für Führungskräfte ein Anstellungsvertrags- und Strafrechtsschutz, falls es nach einem Vorfall zum Streit über Kündigung und Regress kommt?
Häufige Fragen
Kann eine D&O-Versicherung die persönliche Haftung eines Arbeitnehmers erhöhen?
Nach dem Urteil des Landesarbeitsgerichts Köln vom 31.07.2026 (8 SLa 603/25) ja: Eine vom Arbeitgeber finanzierte D&O-Versicherung schließe eine Haftungserleichterung nach den Grundsätzen der beschränkten Arbeitnehmerhaftung aus. Das Urteil ist nicht rechtskräftig; die Revision ist beim Bundesarbeitsgericht unter 2 AZR 164/26 anhängig. Eine endgültige Antwort gibt es erst mit dieser Entscheidung.
Zahlt die D&O-Versicherung bei einem CEO-Fraud?
Die D&O deckt Vermögensschäden, die eine versicherte Person dem Unternehmen durch eine Pflichtverletzung zufügt, und zwar in der Regel auch bei grober Fahrlässigkeit. Ob sie im Einzelfall leistet, hängt vom Vertrag ab, insbesondere von Ausschlüssen für wissentliche Pflichtverletzungen. Den Betrugsschaden selbst fängt üblicherweise eine Vertrauensschadenversicherung oder ein Social-Engineering-Baustein in der Cyberversicherung auf, nicht die D&O.
Wer ist in einer D&O-Versicherung versichert?
Das legt das jeweilige Bedingungswerk fest. Üblich sind Geschäftsführer, Vorstände und Aufsichtsräte; viele Verträge erfassen zusätzlich leitende Angestellte, Prokuristen und Compliance-Beauftragte. Unternehmen sollten den Kreis der versicherten Personen kennen und die Betroffenen informieren.
Dieser Praxisfall stammt nicht aus unserer eigenen Beratung, sondern aus einem veröffentlichten Gerichtsverfahren. Grundlage der Sachverhaltsdarstellung ist die Pressemitteilung des Landesarbeitsgerichts Köln vom 24.09.2026 zum Urteil vom 31.07.2026 (8 SLa 603/25). Das Urteil ist nicht rechtskräftig, die Revision zum Bundesarbeitsgericht (2 AZR 164/26) ist anhängig. Welche Bedingungen gelten, richtet sich immer nach dem einzelnen Vertrag. Dieser Beitrag dient der allgemeinen Information und ersetzt keine Rechtsberatung.
Auf LinkedIn kommentiere ich regelmäßig aktuelle Urteile aus der Firmenversicherung.
Mehr zum Thema: D&O und Managerhaftung
Lassen Sie uns über Ihre Risiken sprechen
In einem ersten Gespräch prüfe ich, wo Handlungsbedarf besteht und wie ich Sie sinnvoll unterstützen kann – persönlich in Bochum, telefonisch oder per Videoberatung.
