Volle Arbeitnehmerhaftung bei CEO-Fraud trotz D&O-Versicherung

Das LAG Köln hat entschieden, dass ein leitender Angestellter nach einem CEO-Fraud für einen entstandenen Millionenschaden voll haften kann, wenn er trotz zahlreicher Warnsignale grob fahrlässig handelt.

Besonders praxisrelevant sind zwei Aussagen:

1. Eine außerordentliche fristlose Kündigung ohne vorherige Abmahnung kann bei einer besonders schweren, grob fahrlässigen Pflichtverletzung wirksam sein. 2. Eine vom Arbeitgeber abgeschlossene und finanzierte D&O-Versicherung kann nach Auffassung des LAG Köln die Grundsätze der eingeschränkten Arbeitnehmerhaftung überlagern und damit einer Haftungsbegrenzung entgegenstehen.

Fundstelle: LAG Köln, Urt. v. 31.7.2026 – 8 SLa 603/25.

Der Kläger war als Head of Global Treasury beschäftigt und damit für erhebliche Vermögenswerte des Unternehmens verantwortlich.

Im Juli und August 2024 wurde er Opfer eines professionell inszenierten CEO-Fraud. Die Täter gaben sich unter anderem mittels Caller-ID-Spoofing als sein Vorgesetzter und als externer Rechtsanwalt aus. Die Kommunikation wurde auf private Kanäle wie WhatsApp und private E-Mail verlagert.

Unter dem Vorwand einer vertraulichen Unternehmensgründung in Asien veranlasste der Kläger zwischen dem 15.7.2024 und dem 9.8.2024 insgesamt 59 Überweisungen in Millionenhöhe auf ausländische Konten.

Eine unmittelbare Verifizierung der Identität der vermeintlichen Gesprächspartner erfolgte nicht.

Besonders belastend war, dass der Kläger etwa sechs Wochen zuvor selbst an einem Schulungsvideo zum Thema CEO-Betrug mitgewirkt hatte. Dort wurde ausdrücklich empfohlen, bei verdächtigen Zahlungsaufforderungen den vermeintlichen Absender direkt zu kontaktieren: „Call me, don't just act“.

Der Arbeitgeber kündigte außerordentlich fristlos, hilfsweise ordentlich, und verlangte im Wege der Widerklage Schadensersatz für die nicht zurückerlangten Beträge.

Das LAG Köln sah jedenfalls ab den Überweisungen vom 18.7.2024 eine grob fahrlässige Pflichtverletzung.

Für die Bewertung waren insbesondere folgende Warnsignale entscheidend:

• Kommunikation über private Kanäle,
• Abweichung der verwendeten Telefonnummer vom bekannten WhatsApp-Kontakt,
• ungewöhnlich hohe und zahlreiche Auslandsüberweisungen,
• fehlende unmittelbare Identitätsprüfung,
• vorherige Schulung speziell zu CEO-Fraud,
• besondere berufliche Verantwortung des Klägers für erhebliche Vermögenswerte.

Nach Auffassung des Gerichts hätte spätestens die Kombination dieser Umstände eine direkte Rückfrage beim tatsächlichen Vorgesetzten auslösen müssen.

Zusätzlich hatte der Kläger seinen Sorgfaltsverstoß in einer Chatnachricht selbst dokumentiert, indem er sinngemäß festhielt, einen zweistelligen Millionenbetrag ohne Nachweis zu überweisen.

Die außerordentliche fristlose Kündigung war nach Auffassung des LAG Köln wirksam.

Ein wichtiger Grund nach § 626 Abs. 1 BGB lag vor, weil die Pflichtverletzung aufgrund

• ihrer Schwere,
• der Dauer des Fehlverhaltens,
• des hohen Verschuldensgrades,
• der besonderen Vertrauensstellung und
• der erheblichen Schadenshöhe

eine Fortsetzung des Arbeitsverhältnisses unzumutbar machte.

Der Umstand, dass der Schaden letztlich durch einen Betrug Dritter ausgelöst wurde, beseitigte die arbeitsrechtliche Verantwortlichkeit des Klägers nicht.

Grundsätzlich ist bei steuerbarem Fehlverhalten vor einer verhaltensbedingten Kündigung regelmäßig eine Abmahnung erforderlich.

Sie ist jedoch entbehrlich, wenn bereits die erstmalige Pflichtverletzung so schwer wiegt, dass ihre Hinnahme dem Arbeitgeber objektiv unzumutbar ist.

Das LAG Köln stellte insbesondere auf folgende Kriterien ab:

• Art und Ausmaß der Pflichtverletzung,
• Folgen des Fehlverhaltens,
• Grad des Verschuldens,
• konkrete Situation der Pflichtverletzung.

Eine Wiederholungsgefahr ist in einer solchen Konstellation nicht zwingend erforderlich.

Aufgrund der über einen längeren Zeitraum fortgesetzten grob fahrlässigen Pflichtverletzungen und der enormen Schadenshöhe hielt das Gericht eine Abmahnung hier für entbehrlich.

Auch die Kündigungserklärungsfrist des § 626 Abs. 2 BGB war gewahrt.

Bei komplexen Sachverhalten darf der Arbeitgeber zunächst die erforderlichen Ermittlungen durchführen. Voraussetzung ist, dass diese mit der gebotenen Eile erfolgen und nicht unnötig verzögert werden.

Das Gericht akzeptierte den Ermittlungszeitraum, weil der Arbeitgeber nach Kenntniserlangung zügig weitere Untersuchungen und die Anhörung des Klägers veranlasst hatte.

Bei komplexen Betrugs- oder Compliance-Sachverhalten sollten Arbeitgeber den Ermittlungsablauf genau dokumentieren, insbesondere:

• Zeitpunkt der erstmaligen Kenntnis,
• einzelne Ermittlungsschritte,
• Anhörungen,
• IT-forensische Untersuchungen,
• Zeitpunkt der abschließenden Sachverhaltskenntnis,
• Beteiligung des Betriebsrats.

Das Gericht bejahte im Rahmen der Widerklage die volle Haftung des Klägers für den eingetretenen Schaden.

Nach den Grundsätzen der eingeschränkten Arbeitnehmerhaftung gilt typischerweise:

• leichte Fahrlässigkeit: grundsätzlich keine Arbeitnehmerhaftung,
• mittlere Fahrlässigkeit: Schadensteilung nach den Umständen des Einzelfalls,
• grobe Fahrlässigkeit: grundsätzlich volle Haftung.

Allerdings kann auch bei grober Fahrlässigkeit im Ausnahmefall eine Haftungserleichterung in Betracht kommen, wenn die Schadenshöhe die wirtschaftliche Leistungsfähigkeit des Arbeitnehmers erheblich übersteigt.

Genau an diesem Punkt wurde die bestehende D&O-Versicherung entscheidend.

Für den Kläger bestand eine vom Arbeitgeber abgeschlossene und finanzierte D&O-Versicherung mit einer Deckungssumme von USD 150 Mio. pro Schadensfall.

Das LAG Köln stellte diese arbeitgeberfinanzierte Versicherung einer vertraglich zur Einstellungsbedingung gemachten privaten Haftpflichtversicherung gleich.

Nach Auffassung der Kammer überlagert ein solcher Versicherungsschutz die Grundsätze der eingeschränkten Arbeitnehmerhaftung, soweit gerade das Risiko einer existenzbedrohenden persönlichen Haftung abgesichert wird.

Die Überlegung des Gerichts:

Würde trotz umfassenden arbeitgeberfinanzierten Versicherungsschutzes die Arbeitnehmerhaftung zusätzlich beschränkt, würde der Arbeitnehmer von der Versicherung profitieren, obwohl der Arbeitgeber die Versicherungsprämien getragen hat und der wirtschaftliche Grund für eine Haftungsbegrenzung – der Schutz vor existenzvernichtender persönlicher Haftung – durch die Versicherung bereits aufgefangen wird.

Damit entfiel nach Auffassung des LAG Köln der wesentliche Grund für eine ausnahmsweise Haftungserleichterung trotz grober Fahrlässigkeit.

Ein anspruchsminderndes Mitverschulden des Arbeitgebers nach § 254 BGB lehnte das Gericht ab.

Insbesondere ergab sich kein relevantes Organisationsverschulden aus

• den durchgeführten Schulungsmaßnahmen,
• der IT-Sicherheitsorganisation oder
• etwaigen Fehlern unterstellter Mitarbeiter.

Fehlleistungen von Mitarbeitern, für die der Kläger selbst als Vorgesetzter verantwortlich war, konnten ihm nach Auffassung des Gerichts nicht haftungsmindernd zugutekommen.

Die Entscheidung zeigt, dass Arbeitgeber bei CEO-Fraud und anderen Social-Engineering-Angriffen insbesondere dokumentieren sollten:

• interne Zahlungsrichtlinien,
• Vier-Augen-Prinzipien,
• Freigabeprozesse,
• Dokumentationspflichten,
• Schulungen zu Betrugs- und Cyberrisiken,
• konkrete Teilnahme des betroffenen Mitarbeiters an Schulungen,
• bekannte Warnhinweise und Sicherheitsvorgaben.

Diese Punkte können später für die Beurteilung von Fahrlässigkeitsgrad, Kündigung und Schadensersatz entscheidend sein.

Leitende Arbeitnehmer mit Verantwortung für hohe Vermögenswerte sollten ungewöhnliche Zahlungsaufforderungen konsequent über einen zweiten, unabhängigen Kommunikationsweg verifizieren.

Das gilt besonders bei:

• hoher Geheimhaltungsforderung,
• ungewöhnlicher Dringlichkeit,
• Wechsel auf private Kommunikationskanäle,
• ausländischen Empfängerkonten,
• Abweichungen bei Telefonnummern oder E-Mail-Adressen,
• Umgehung bestehender Freigabeprozesse.

Besteht D&O- oder sonstiger Haftpflichtversicherungsschutz, sollte außerdem geprüft werden, welche Personen, Tätigkeiten, Verschuldensgrade und Schadensfälle tatsächlich gedeckt sind.

Die Revision wurde zugelassen.

Die Frage, in welchem Umfang eine arbeitgeberfinanzierte D&O-Versicherung bei der beschränkten Arbeitnehmerhaftung berücksichtigt werden darf, ist rechtlich umstritten und von grundsätzlicher Bedeutung.

Die Aussage des LAG Köln sollte deshalb als wichtige aktuelle Rechtsprechung verstanden werden, nicht als abschließend höchstrichterlich geklärter Grundsatz.

1. Welche arbeitsvertragliche Pflicht wurde verletzt? 2. Welche Warnsignale waren für den Arbeitnehmer erkennbar? 3. Welche Stellung und Verantwortung hatte der Arbeitnehmer? 4. Wurden interne Sicherheitsvorgaben oder Schulungsinhalte missachtet? 5. Liegt grobe Fahrlässigkeit vor? 6. Ist eine Abmahnung wegen der Schwere des Verstoßes entbehrlich? 7. Wurde § 626 Abs. 2 BGB eingehalten? 8. Wurde der Betriebsrat ordnungsgemäß beteiligt?

1. Ist dem Arbeitgeber ein ersatzfähiger Schaden entstanden? 2. Welcher Verschuldensgrad liegt vor? 3. Greifen die Grundsätze der eingeschränkten Arbeitnehmerhaftung? 4. Besteht trotz grober Fahrlässigkeit Anlass für eine Haftungsminderung? 5. Besteht D&O- oder sonstiger Haftpflichtversicherungsschutz? 6. Wer finanziert die Versicherung und welchen Umfang hat die Deckung? 7. Liegt ein Mitverschulden des Arbeitgebers nach § 254 BGB vor?

Die Entscheidung verbindet Arbeitsrecht, Compliance und Cybersecurity: Ein professioneller Betrugsangriff schließt grobe Fahrlässigkeit des betroffenen Arbeitnehmers nicht aus. Je deutlicher Warnsignale, interne Kontrollvorgaben und vorherige Schulungen sind, desto eher kann ein unterlassener Gegencheck als schwerwiegende Pflichtverletzung bewertet werden.

Besonders weitreichend ist die Aussage zur arbeitgeberfinanzierten D&O-Versicherung. Nach Ansicht des LAG Köln kann sie einer Haftungsbegrenzung trotz außergewöhnlich hoher Schadenssumme entgegenstehen.

CEO-Fraud schützt nicht automatisch vor Arbeitnehmerhaftung: Wer trotz deutlicher Warnsignale und einschlägiger Schulung Millionenüberweisungen ohne unabhängige Verifizierung ausführt, kann grob fahrlässig handeln, fristlos kündbar sein und – insbesondere bei bestehendem arbeitgeberfinanzierten D&O-Schutz – voll haften.

LAG Köln, Urteil vom 31.7.2026 – 8 SLa 603/25

Die Revision wurde wegen der grundsätzlichen Bedeutung der Berücksichtigung einer D&O-Versicherung im Rahmen der Arbeitnehmerhaftung zugelassen.