Wie präsent diese Risiken inzwischen in den Chefetagen sind, zeigt der 29. Global CEO Survey von PwC. 34 Prozent der deutschen CEOs nennen Cyberrisiken als größte Bedrohung für die kommenden zwölf Monate. 62 Prozent wollen ihre Cybersicherheit in den kommenden drei Jahren umfassend verbessern. Gleichzeitig fragen sich 57 Prozent der deutschen CEOs, ob sie ihr Unternehmen schnell genug transformieren, um mit dem technologischen Wandel Schritt zu halten.

Auch der KPMG CEO Outlook 2025 zeichnet ein ähnliches Bild. 77 Prozent der deutschen CEOs erwarten, dass Cybersecurity die Entwicklung ihres Unternehmens in den kommenden drei Jahren stark beeinflussen wird. 76 Prozent betrachten die erfolgreiche Integration von KI in Geschäftsprozesse als zentrales Handlungsfeld. Die Herausforderung liegt damit auf der Hand: Unternehmen müssen neue Technologien einsetzen und sich gleichzeitig gegen neue Risiken absichern. Für Geschäftsführer:innen stellt sich dabei eine zusätzliche Frage: Wo können aus diesen Entwicklungen persönliche Haftungsrisiken entstehen?

So findest Du mögliche Haftungsrisiken im eigenen Unternehmen

Auch Geschäftsführer:innen müssen nicht jedes Gesetz im Detail kennen. Sie müssen aber in der Lage sein, zu erklären und nachzuweisen, wie ihr Unternehmen seine wesentlichen Risiken steuert. Zur Unterstützung dessen haben wir den Geschäftsführer-Haftungscheck 2026 entwickelt. Die Checkliste führt Dich durch zentrale Risikofelder wie Cybersecurity, KI, Sanktionsprüfung, Krisenfrüherkennung, Datenschutz und Hinweisgeberschutz.

Rund 30 Fragen helfen Dir dabei, den aktuellen Stand im Unternehmen einzuordnen. Jede Frage lässt sich als „erfüllt“, „teilweise erfüllt“ oder „Handlungsbedarf“ bewerten. Zusätzlich zeigt Dir die Checkliste, welche Unterlagen und Nachweise für eine strukturierte Unternehmensorganisation besonders relevant sein können.

Damit erhältst Du einen schnellen Überblick darüber, welche Bereiche bereits gut organisiert sind und an welchen Stellen sich eine genauere Prüfung lohnt.

Geschäftsführer-Haftungscheck 2026 kostenlos herunterladen:

Die Checkliste dient als erste organisatorische Orientierung und ersetzt keine individuelle rechtliche Beratung.

Wann können Geschäftsführer persönlich haften?

Nicht jedes Problem im Unternehmen führt automatisch zu einer persönlichen Haftung der Geschäftsführung. Einen wichtigen rechtlichen Ausgangspunkt bildet bei einer GmbH allerdings § 43 GmbHG. Danach müssen Geschäftsführer:innen in den Angelegenheiten der Gesellschaft die Sorgfalt eines ordentlichen Geschäftsmanns anwenden. Verletzen sie ihre Pflichten, können sie gegenüber der Gesellschaft für daraus entstehende Schäden haften.

In der Praxis spielt deshalb häufig die Organisation des Unternehmens eine entscheidende Rolle. Wurden Verantwortlichkeiten eindeutig festgelegt? Gibt es Kontrollmechanismen? Werden relevante Risiken regelmäßig an die Geschäftsführung berichtet? Wurden Entscheidungen und Maßnahmen dokumentiert? Gerade bei neuen regulatorischen Anforderungen können solche Fragen schnell relevant werden.

1. Cybersecurity: IT-Sicherheit ist inzwischen Geschäftsführungsthema

Cybersecurity dürfte derzeit eines der wichtigsten Beispiele für Haftungsrisiken für Geschäftsführer:innen sein. Ein Cyberangriff kann Produktion und Vertrieb lahmlegen, vertrauliche Daten offenlegen oder erhebliche finanzielle Schäden verursachen. Gleichzeitig sind die Anforderungen an die Unternehmensleitung konkreter geworden.

Besonders deutlich wird das bei NIS2 und dem deutschen BSI-Gesetz. Für Geschäftsleitungen besonders wichtiger und wichtiger Einrichtungen enthält § 38 BSIG ausdrücklich Umsetzungs-, Überwachungs- und Schulungspflichten. Die Geschäftsleitung muss die vorgeschriebenen Risikomanagementmaßnahmen umsetzen und deren Umsetzung überwachen. Bei schuldhafter Verletzung dieser Pflichten kann eine Haftung gegenüber der Einrichtung entstehen. Hinzu kommt eine regelmäßige Schulungspflicht für die Geschäftsleitung.

Damit reicht es für betroffene Unternehmen kaum aus, Cybersecurity vollständig an die IT-Abteilung zu übergeben. Geschäftsführer:innen sollten nachvollziehen können, wie Cyberrisiken bewertet werden, welche Schutzmaßnahmen existieren und wie Vorfälle eskaliert werden. Eine einfache Kontrollfrage lautet deshalb: Wann hast Du Dir zuletzt dokumentiert über den aktuellen Stand der IT-Sicherheit berichten lassen?

2. KI: Wenn niemand genau weiß, wo Künstliche Intelligenz eingesetzt wird

KI-Systeme verbreiten sich in Unternehmen mit enormer Geschwindigkeit. Mitarbeiter:innen nutzen generative KI für Texte, Präsentationen, Analysen oder Programmierung. Andere Systeme unterstützen Recruiting, Kundenservice, Marketing oder Entscheidungsprozesse. Für Geschäftsführer:innen entsteht daraus eine neue Governance-Aufgabe. Denn ohne Überblick über die eingesetzten Systeme lassen sich Risiken kaum systematisch bewerten.

Der EU AI Act stellt Unternehmen bereits Anforderungen an die KI-Kompetenz. Nach einer im Juli 2026 beschlossenen Anpassung von Artikel 4 sollen Anbieter und Betreiber von KI-Systemen Maßnahmen ergreifen, die Entwicklung der KI-Kompetenz ihrer Mitarbeiter:innen und weiterer Personen zu unterstützen, die in ihrem Auftrag mit KI-Systemen arbeiten. Dabei sind unter anderem Vorkenntnisse, Erfahrung und Einsatzkontext zu berücksichtigen.

Für die Geschäftsführung ist deshalb eine Bestandsaufnahme sinnvoll: Welche KI-Systeme werden im Unternehmen verwendet? Wer entscheidet über ihren Einsatz? Welche Daten dürfen eingegeben werden? Welche Anwendungen benötigen zusätzliche Kontrollen? Gibt es Schulungen zum Thema? Ein einfaches KI-Inventar kann hier bereits einen wichtigen ersten Schritt darstellen.

3. Sanktionslisten: Der Geschäftspartner kann zum Compliance-Risiko werden

Sanktionen werden häufig mit internationalem Exportgeschäft verbunden. Für Unternehmen reicht der Blick auf das Zielland einer Lieferung jedoch nicht immer aus. Sanktionsmaßnahmen können Personen, Unternehmen, Organisationen, Zahlungsströme und bestimmte Waren betreffen.

Das Bundeswirtschaftsministerium weist ausdrücklich darauf hin, dass Unternehmen die Einhaltung des EU-Sanktionsrechts eigenverantwortlich sicherstellen müssen. Eine wirksame Sanktions-Compliance nimmt dabei auch die beteiligten Personen, Organisationen und Einrichtungen in den Blick. Die Bundesbank weist zudem darauf hin, dass Verstöße gegen Finanzsanktionsrechtsakte nach dem Außenwirtschaftsgesetz als Straftat oder Ordnungswidrigkeit geahndet werden können.

Für Geschäftsführer:innen stellt sich damit vor allem eine organisatorische Frage: Gibt es im Unternehmen einen belastbaren Prozess für die Prüfung von Geschäftspartner:innen? Dabei geht es um mehr als eine einmalige Prüfung bei Aufnahme einer Geschäftsbeziehung. Sanktionslisten und Eigentümerstrukturen können sich ändern. Unternehmen benötigen deshalb festgelegte Zuständigkeiten, Prüfzeitpunkte, Eskalationsprozesse und eine nachvollziehbare Dokumentation.

Whitepaper zur Sanktionslistenprüfung

Was passiert, wenn ein langjähriger Geschäftspartner plötzlich auf einer Sanktionsliste steht? Unser kostenloses Whitepaper „Persönlich haftbar – die unterschätzte Gefahr durch mangelhafte Sanktionslistenprüfung“ zeigt, welche Verantwortung bei der Geschäftsführung liegt, wo typische Risiken im Unternehmensalltag entstehen und wie sich Prüfprozesse klar organisieren, dokumentieren und teilweise automatisieren lassen.

Hier das Whitepaper herunterladen:

4. Unternehmenskrise: Warnsignale müssen früh erkannt werden

Haftungsrisiken entstehen längst vor dem eigentlichen Insolvenzantrag.

§ 1 StaRUG (Unternehmensstabilisierungs- und -restrukturierungsgesetz) verpflichtet Geschäftsleiter:innen haftungsbeschränkter Unternehmen dazu, fortlaufend Entwicklungen zu überwachen, die den Fortbestand des Unternehmens gefährden können. Werden entsprechende Entwicklungen erkannt, müssen geeignete Gegenmaßnahmen ergriffen werden. Kommt es tatsächlich zur Zahlungsunfähigkeit oder Überschuldung, greifen zusätzlich die Regeln der Insolvenzordnung. § 15a der Insolvenzordnung verlangt den Insolvenzantrag ohne schuldhaftes Zögern. Die gesetzliche Höchstfrist beträgt bei Zahlungsunfähigkeit drei Wochen und bei Überschuldung sechs Wochen.

Ein Blick auf Umsatz und aktuellen Kontostand bietet dafür kaum eine ausreichende Grundlage. Geschäftsführer:innen brauchen belastbare Informationen über Liquidität, Forderungen, Verbindlichkeiten, Finanzierung und mögliche Krisenszenarien. Die entscheidende Frage lautet: Würde Dein Frühwarnsystem heute erkennen, wenn sich in einigen Monaten eine ernsthafte Unternehmenskrise abzeichnet?

5. Datenschutz: Ein Problem betrifft schnell mehrere Risikobereiche

Datenschutz ist inzwischen ein etabliertes Compliance-Thema. Trotzdem entstehen durch neue Technologien immer wieder neue Konstellationen.

Das zeigt sich besonders beim Einsatz von KI und Cloud-Software. Mitarbeiter kopieren Kundendaten in KI-Anwendungen, neue SaaS-Tools werden ohne abgestimmten Prozess eingeführt oder sensible Informationen liegen bei verschiedenen Dienstleistern. Gleichzeitig kann ein Cyberangriff einen Datenschutzvorfall auslösen. Für die Geschäftsführung ist deshalb entscheidend, dass Datenschutz nicht als isoliertes Projekt betrachtet wird. Verantwortlichkeiten, Freigabeprozesse für neue Systeme und Abläufe für Vorfälle sollten klar definiert sein.

Auch hier gilt: Geschäftsführer:innen müssen nicht jede Datenverarbeitung persönlich kontrollieren. Sie sollten allerdings wissen, wie das Unternehmen kritische Datenverarbeitungen identifiziert und wer bei Problemen verantwortlich handelt.

6. Hinweisgeberschutz: Eine Meldestelle auf dem Papier reicht kaum

Viele Unternehmen haben sich im Zuge des Hinweisgeberschutzgesetzes mit internen Meldestellen beschäftigt. Nach der erstmaligen Einrichtung kann das Thema jedoch schnell von der Managementagenda verschwinden.

Das kann problematisch sein. § 40 HinSchG sieht unter anderem Bußgelder vor, wenn entgegen der gesetzlichen Verpflichtung keine interne Meldestelle eingerichtet und betrieben wird. Auch die Behinderung von Meldungen, Verstöße gegen die Vertraulichkeit und Repressalien können sanktioniert werden.

Für Geschäftsführer sollte deshalb die Funktionsfähigkeit des Systems im Vordergrund stehen. Wissen Beschäftigte, wo sie Hinweise abgeben können? Werden Meldungen vertraulich behandelt? Gibt es klare Fristen und Verantwortlichkeiten? Werden gemeldete Risiken tatsächlich weiterverfolgt?

Ein eingerichteter Meldekanal ist nur der Anfang eines funktionierenden Prozesses.

7. Das größte Risiko liegt häufig in der Organisation

Cybersecurity, KI, Sanktionen, Datenschutz, Krisenfrüherkennung und Hinweisgeberschutz wirken zunächst wie völlig unterschiedliche Themen. Aus Sicht der Geschäftsführung haben sie allerdings einen gemeinsamen Kern. Es geht um Organisation.

Geschäftsführer:innen können Aufgaben delegieren und Fachleute einsetzen. Gleichzeitig brauchen sie verlässliche Strukturen, mit denen wesentliche Risiken erkannt und kontrolliert werden. Zuständigkeiten müssen eindeutig sein. Kritische Informationen müssen die Geschäftsführung erreichen. Maßnahmen müssen nachvollziehbar dokumentiert werden. Hier entstehen in der Praxis möglicherweise gefährliche Lücken. Ein Unternehmen kann beispielsweise eine hervorragende IT-Abteilung haben. Wenn Cyberrisiken nie strukturiert an die Geschäftsführung berichtet werden, fehlt eine wichtige Verbindung. Ähnlich sieht es bei KI aus: Eine Richtlinie allein bringt wenig, wenn niemand weiß, welche Anwendungen tatsächlich genutzt werden.

Fazit: Haftungsrisiken für Geschäftsführer:innen werden vielfältiger

Persönliche Haftungsrisiken entstehen für Geschäftsführer:innen längst nicht mehr ausschließlich rund um Insolvenz, Steuern oder Unternehmensfinanzen. Digitalisierung und Regulierung bringen zusätzliche Verantwortungsfelder auf die Managementagenda.

Cybersecurity ist durch NIS2 noch deutlicher zur Aufgabe der Unternehmensleitung geworden. Beim Einsatz von KI müssen Unternehmen Governance und Kompetenz aufbauen. Sanktionen verlangen funktionierende Kontrollprozesse für Geschäftspartner. Krisenfrüherkennung, Datenschutz und Hinweisgeberschutz bleiben ebenfalls relevante Führungsaufgaben.

Für Geschäftsführer:innen lohnt sich deshalb ein regelmäßiger Blick auf die eigene Organisation: Sind Verantwortlichkeiten eindeutig geregelt, werden Risiken tatsächlich überwacht und lassen sich wichtige Entscheidungen und Kontrollen später nachvollziehen? Wer diese Fragen beantworten kann, hat bereits eine wichtige Grundlage geschaffen, um die zunehmende Komplexität beherrschbar zu halten.

Der Beitrag Haftungsrisiken für Geschäftsführer:innen: 7 Gefahren, die Du 2026 auf dem Schirm haben solltest erschien zuerst auf contentmanager.de.