CEO-Fraud: Volle Haftung trotz D&O-Versicherung

LAG Köln, Urteil vom 31.07.2026 – 8 SLa 603/25 (Revision anhängig: BAG – 8 AZR 164/26)
Wer als Führungskraft auf einen Fake-President-Betrug hereinfällt, kann für Millionenschäden persönlich haften. Das Landesarbeitsgericht Köln geht noch einen Schritt weiter: Besteht eine vom Arbeitgeber finanzierte D&O-Versicherung (Manager-Haftpflichtversicherung), entfällt das Haftungsprivileg für Arbeitnehmer. Die Folge ist die volle Haftung, auch für Zahlungen, bei denen noch keine grobe Fahrlässigkeit vorlag. Zudem bestätigte das Gericht die fristlose Kündigung.

Der Fall

Der Kläger war seit 2018 Head of Global Treasury eines Industrieunternehmens, das zu einem börsennotierten internationalen Konzern gehört. Er verdiente rund 26.000 € brutto im Monat. Der Arbeitgeber hatte für ihn eine D&O-Versicherung mit einer Deckungssumme von bis zu 150 Mio. USD pro Schadensfall abgeschlossen und bezahlt.

Im Juli 2024 rief ihn auf seinem privaten Handy ein Anrufer an, der sich als Group CFO und sein direkter Vorgesetzter ausgab. Es gehe um die streng vertrauliche Gründung einer neuen Holding im Ausland, deren CFO der Kläger werden solle. Alle weitere Kommunikation solle ausschließlich über WhatsApp und private E-Mail laufen, angeblich wegen Insiderrecht. Hinzu kam ein angeblicher Anwalt einer internationalen Kanzlei, mit dem der Kläger nie direkt sprach. Vereinbarte persönliche Treffen kamen nie zustande.

Zwischen dem 15.07. und dem 09.08.2024 veranlasste der Kläger 59 manuelle Überweisungen an Konten in Asien und Ungarn, außerhalb des regulären SAP-Prozesses. Allein bis zum 18.07.2024 flossen rund 9 Mio. € ab, insgesamt weit mehr als 10 Mio. €. Um das Vier-Augen-Prinzip formal einzuhalten, band er einen Mitarbeiter ein, dem er keine Details nannte. Am 18.07.2024 schrieb er selbst in den Gruppenchat der Betrüger, er überweise rund 9 bis 10 Mio. Euro „ohne jeden Nachweis“ und ohne verlässliche Angaben zur Transaktion. Trotzdem machte er weiter.

Besonders brisant: Nur wenige Wochen vorher hatte der Kläger selbst in einem internen Schulungsvideo mitgewirkt, das genau vor solchen Betrugsmaschen warnte. Die Botschaft seines echten Vorgesetzten darin lautete: „Call me, don’t just act.“

Aufgeflogen ist der Betrug erst, als die ausländische Polizei verdächtige Zahlungen meldete. Der Arbeitgeber kündigte fristlos und verlangte per Widerklage Schadensersatz in Millionenhöhe. Das Arbeitsgericht Köln (2 Ca 5592/24) wies die Kündigungsschutzklage ab und gab der Widerklage statt.

Die Entscheidung

Das LAG Köln bestätigte die fristlose Kündigung und die volle Haftung des Klägers. Nur in einem Nebenpunkt hatte seine Berufung Erfolg.

Grobe Fahrlässigkeit ab dem 18.07.2024. Anders als das Arbeitsgericht sah das LAG bei der ersten Überweisung noch keine grobe Fahrlässigkeit. Spätestens mit seiner eigenen Chatnachricht vom 18.07.2024 habe der Kläger aber dokumentiert, dass er Millionen „ohne jeden Nachweis“ überweist. Entscheidend war für das Gericht außerdem:

- Die gesamte Abwicklung lief über private Kanäle, obwohl WhatsApp im Unternehmen nicht genutzt wird und der Vorgesetzte ihn nie privat angerufen hatte.

- Die Nummer des Anrufs stimmte nicht mit der WhatsApp-Nummer überein.

- Über Wochen gab es keinen einzigen direkten Rückruf beim echten Vorgesetzten oder beim angeblichen Anwalt.

- Der Kläger kannte die Masche aus dem Schulungsvideo, an dem er selbst mitgewirkt hatte.

Fristlose Kündigung ohne Abmahnung wirksam. Wegen der Schwere der Pflichtverletzung über einen längeren Zeitraum und der Schadenshöhe war eine Abmahnung entbehrlich. Auch die Zwei-Wochen-Frist des § 626 Abs. 2 BGB war gewahrt: Sie begann erst mit der letzten Anhörung des Klägers nach zügigen internen Ermittlungen.

Kein Mitverschulden des Arbeitgebers. Unzureichende Schulungen, IT-Mängel oder übersehene Liquiditätsberichte ließ das Gericht nicht gelten. Eine „konkretere und eindrücklichere Schulung“ als das Video sei nicht denkbar.

Kernaussage: D&O-Versicherung hebt das Haftungsprivileg auf. Nach den Grundsätzen der eingeschränkten Arbeitnehmerhaftung haftet ein Arbeitnehmer bei grober Fahrlässigkeit zwar in der Regel voll. Bei einem krassen Missverhältnis zwischen Schaden und Verdienst kann die Haftung aber begrenzt werden. Das LAG lehnt eine solche Begrenzung hier ab:

1. Eine vom Arbeitgeber finanzierte D&O-Versicherung schließt die Haftungserleichterung nach den Grundsätzen der eingeschränkten Arbeitnehmerhaftung aus. Das gilt nach Auffassung des Gerichts auch für die Zahlungen vor dem 18.07.2024, bei denen der Kläger noch nicht grob fahrlässig handelte.

2. Jedenfalls entfällt der Grund für eine Haftungsbegrenzung bei grober Fahrlässigkeit, wenn eine solche Versicherung das Risiko der Existenzvernichtung abdeckt.

Warum gerade die Versicherung? Das Haftungsprivileg soll Arbeitnehmer davor schützen, durch einen Fehler bei der Arbeit wirtschaftlich ruiniert zu werden. Deckt eine Versicherung den Schaden, droht dieser Ruin nicht, und der Grund für eine Haftungsbegrenzung entfällt. Das BAG hatte das bereits für Versicherungen angenommen, die gesetzlich vorgeschrieben sind oder die der Arbeitgeber zur Einstellungsbedingung gemacht hat. Das LAG Köln überträgt das auf eine D&O-Versicherung, die der Arbeitgeber selbst abschließt und bezahlt. Sonst stünde der Arbeitgeber doppelt schlecht da: Er hätte die Prämien gezahlt und bliebe trotzdem auf dem Schaden sitzen.

Und wenn die Versicherung nicht zahlt? Dann muss der Arbeitnehmer das konkret darlegen und beweisen, etwa anhand eines bestimmten Ausschlusses in den Versicherungsbedingungen. Dass die Versicherung den Fall noch prüft und eine Deckungszusage aussteht, reichte dem Gericht nicht.

Teilerfolg für den Kläger. Er muss nur Zug um Zug gegen Abtretung der Ansprüche zahlen, die dem Arbeitgeber gegen die Empfänger der jeweiligen Überweisung zustehen. Dieses Zurückbehaltungsrecht hatte er erst in der Berufung geltend gemacht.

Revision zugelassen. Die Frage, wie sich eine D&O-Versicherung auf die Arbeitnehmerhaftung auswirkt, sei umstritten und von grundsätzlicher Bedeutung. Das Verfahren ist beim Bundesarbeitsgericht unter dem Aktenzeichen 8 AZR 164/26 anhängig.

Tipps

1. „Call me, don’t just act“ wörtlich nehmen. Bei ungewöhnlichen Zahlungsanweisungen, Zeitdruck und Geheimhaltung rufen Sie die anweisende Person über eine Ihnen bekannte, dienstliche Nummer zurück. Eine Stimme, eine angezeigte Rufnummer oder ein Videobild sind heute keine Sicherheit mehr.

2. Dienstliches bleibt auf dienstlichen Kanälen. Verlangt jemand, Geschäftliches über WhatsApp oder private E-Mail abzuwickeln, ist das ein Alarmsignal. Wer sich darauf einlässt, liefert dem Arbeitgeber im Ernstfall das stärkste Argument für grobe Fahrlässigkeit.

3. Interne Kontrollen nicht umgehen. Vier-Augen-Prinzip, Freigabeprozesse und Bankgenehmigungen gelten auch für „vertrauliche“ Projekte der Konzernspitze. Wer Kollegen bittet, Hinweise zurückzuhalten oder E-Mails zu löschen, verschlechtert seine Position erheblich.

4. Die eigene D&O-Deckung kennen. Prüfen Sie, ob Sie in der D&O-Versicherung Ihres Arbeitgebers mitversichert sind, in welcher Höhe und mit welchen Ausschlüssen. Nach diesem Urteil hat die Versicherung eine Kehrseite: Weil sie besteht, entfällt das Haftungsprivileg für Arbeitnehmer, und Sie haften gegenüber Ihrem Arbeitgeber voll. Solange die Versicherung zahlt, trifft Sie das wirtschaftlich nicht. Zahlt sie nicht, etwa wegen eines Ausschlusses, einer zu niedrigen Deckungssumme oder eines Selbstbehalts, haften Sie persönlich mit Ihrem Vermögen.

5. Den Schadensfall sofort der Versicherung melden. Werden Sie in Anspruch genommen, melden Sie den Fall umgehend und vollständig. Wer später geltend machen will, die Versicherung zahle nicht, muss das konkret belegen. Eine offene Deckungszusage allein hilft vor dem Arbeitsgericht nicht.

6. Fristen im Blick behalten. Gegen eine Kündigung müssen Sie innerhalb von drei Wochen klagen. Prüfen Sie auch, ob und wann der Arbeitgeber seine Schadensersatzforderung innerhalb der vertraglichen Ausschlussfristen geltend gemacht hat. Diese beginnen nach der Rechtsprechung erst, wenn der Arbeitgeber den Schaden überblicken kann.<

7. Alle Einwendungen in der ersten Instanz vorbringen. Der Kläger hat das Zurückbehaltungsrecht (Zahlung nur gegen Abtretung der Ansprüche gegen die Empfänger) erst in der Berufung erhoben. Er hat zwar insoweit gewonnen, musste aber trotzdem die Kosten tragen.

8. Die Entscheidung des BAG abwarten, aber nicht darauf bauen. Das letzte Wort hat das Bundesarbeitsgericht. Bis dahin sollten Sie davon ausgehen, dass Sie trotz einer vom Arbeitgeber bezahlten D&O-Versicherung gegenüber Ihrem Arbeitgeber voll haften können.

Häufige Fragen

Was ist CEO-Fraud?
Beim CEO-Fraud, auch Fake-President-Betrug genannt, geben sich Täter als Geschäftsführer oder Vorstand aus. Unter Zeitdruck und mit Verweis auf Geheimhaltung veranlassen sie Mitarbeiter zu hohen Überweisungen. Zunehmend setzen die Täter gefälschte Rufnummern, Stimmen oder Videos (Deepfakes) ein.

Haftet ein Arbeitnehmer, der auf CEO-Fraud hereinfällt?
Das hängt vom Grad des Verschuldens ab. Bei leichtester Fahrlässigkeit haftet er nicht, bei normaler Fahrlässigkeit wird der Schaden geteilt, bei grober Fahrlässigkeit haftet er in der Regel voll. Wer Warnsignale über Wochen ignoriert, handelt nach dem LAG Köln grob fahrlässig.

Gibt es eine Haftungsobergrenze für Arbeitnehmer?
Eine feste Obergrenze gibt es nicht. Bei grober Fahrlässigkeit kann die Haftung im Einzelfall begrenzt werden, wenn der Schaden in einem krassen Missverhältnis zum Verdienst steht. Nach dem LAG Köln entfällt diese Begrenzung, wenn eine vom Arbeitgeber finanzierte Versicherung das Risiko abdeckt.

Schützt mich die D&O-Versicherung meines Arbeitgebers?
Sie kann den Schaden übernehmen, wenn sie eintritt. Nach dem LAG Köln führt sie aber zugleich dazu, dass Sie sich gegenüber Ihrem Arbeitgeber nicht mehr auf die eingeschränkte Arbeitnehmerhaftung berufen können. Ob das BAG dem folgt, ist offen.

Rechtfertigt ein solcher Fehler eine fristlose Kündigung?
Ja, nach dem LAG Köln jedenfalls dann, wenn die Pflichtverletzung grob fahrlässig ist, über längere Zeit andauert und einen sehr hohen Schaden verursacht. Eine Abmahnung ist dann nicht erforderlich.

Ihr Arbeitgeber nimmt Sie nach einem Betrugsfall oder einem Fehler in Regress, oder Sie haben eine Kündigung erhalten? Als Fachanwalt für Arbeitsrecht prüfe ich Ihre Haftung, Ihre D&O-Deckung und die Wirksamkeit der Kündigung. Sprechen Sie mich frühzeitig an, denn die Fristen sind kurz.

Gibt es eine Haftungsobergrenze für Arbeitnehmer?
Eine feste Obergrenze gibt es nicht. Bei grober Fahrlässigkeit kann die Haftung im Einzelfall begrenzt werden, wenn der Schaden in einem krassen Missverhältnis zum Verdienst steht. Nach dem LAG Köln entfällt diese Begrenzung, wenn eine vom Arbeitgeber finanzierte Versicherung das Risiko abdeckt.

Schützt mich die D&O-Versicherung meines Arbeitgebers?
Sie kann den Schaden übernehmen, wenn sie eintritt. Nach dem LAG Köln führt sie aber zugleich dazu, dass Sie sich gegenüber Ihrem Arbeitgeber nicht mehr auf die eingeschränkte Arbeitnehmerhaftung berufen können. Ob das BAG dem folgt, ist offen.

Rechtfertigt ein solcher Fehler eine fristlose Kündigung?
Ja, nach dem LAG Köln jedenfalls dann, wenn die Pflichtverletzung grob fahrlässig ist, über längere Zeit andauert und einen sehr hohen Schaden verursacht. Eine Abmahnung ist dann nicht erforderlich.

Ihr Arbeitgeber nimmt Sie nach einem Betrugsfall oder einem Fehler in Regress, oder Sie haben eine Kündigung erhalten? Als Fachanwalt für Arbeitsrecht prüfe ich Ihre Haftung, Ihre D&O-Deckung und die Wirksamkeit der Kündigung. Sprechen Sie mich frühzeitig an, denn die Fristen sind kurz.
(Eingestellt am 08.11.2026 von Ralf C.Bonkowski, Fachanwalt für Arbeitsrecht - Bremen)