Wer als Arbeitnehmer auf professionell fingierte Zahlungsanweisungen vermeintlicher Vorgesetzter hereinfällt, riskiert nicht nur seinen Arbeitsplatz, sondern unter Umständen auch die persönliche Haftung für einen Millionenschaden. Das zeigt ein aufsehenerregendes Urteil des Landesarbeitsgerichts Köln. Die Entscheidung verschärft insbesondere die Haftungsrisiken leitender Angestellter: Nach Auffassung des Gerichts kann eine vom Arbeitgeber finanzierte D&O-Versicherung dazu führen, dass die Grundsätze der beschränkten Arbeitnehmerhaftung zurücktreten. Das letzte Wort ist allerdings noch nicht gesprochen. Die Revision ist beim Bundesarbeitsgericht anhängig.
Der Fall: Millionenüberweisungen nach fingierter Transaktion
Der Kläger war seit 2018 als Head of Global Treasury bei einem international tätigen Unternehmen beschäftigt. Die Arbeitgeberin hatte ihn über eine D&O-Versicherung mit einer Deckungssumme von bis zu 150 Millionen US-Dollar je Versicherungsfall abgesichert.
Im Juli 2024 geriet der Kläger in eine aufwendig inszenierte Betrugsmasche. Die Täter gaben sich unter anderem als sein Vorgesetzter sowie als Rechtsanwalt einer renommierten Kanzlei aus. Unter dem Vorwand, eine neue Holdinggesellschaft zu gründen, forderten sie angebliche Kapitaleinlagen an. Nach Darstellung des Klägers war der erste Telefonkontakt über die vermeintliche Mobilfunknummer seines Vorgesetzten erfolgt, die durch Caller-ID-Spoofing manipuliert worden war.
Die weitere Kommunikation wurde auf private E-Mail-Adressen und WhatsApp verlagert. Innerhalb von rund 25 Tagen veranlasste der Kläger nahezu 60 Zahlungen im Gesamtwert von ungefähr 50 Millionen Euro. Dabei wurden die im Unternehmen geltenden Freigabe- und Dokumentationsprozesse nicht eingehalten. Nach Aufdeckung des Betrugs kündigte die Arbeitgeberin das Arbeitsverhältnis außerordentlich fristlos und verlangte im Wege der Widerklage Ersatz des nicht wiedererlangten Schadens.
Die Entscheidung des Landesarbeitsgerichts Köln
Das Landesarbeitsgericht Köln hielt die außerordentliche Kündigung gemäß § 626 Abs. 1 Bürgerliches Gesetzbuch (BGB) für wirksam. Der Kläger habe seine arbeitsvertraglichen Pflichten jedenfalls ab dem 18. Juli 2024 grob fahrlässig verletzt.
Für das Gericht war maßgeblich, dass sich im Verlauf der Kommunikation zahlreiche Warnsignale verdichtet hatten: private Kommunikationskanäle, außergewöhnlich hohe Zahlungsbeträge, fehlende Transaktionsunterlagen, ein besonderer Geheimhaltungsdruck und die Abweichung von den internen Freigabeprozessen. Spätestens angesichts dieser Umstände hätte sich der Kläger persönlich bei seinem tatsächlichen Vorgesetzten rückversichern müssen.
Erschwerend kam hinzu, dass der Kläger erst wenige Wochen zuvor an einem Schulungsvideo zum Thema CEO-Fraud mitgewirkt hatte. Darin war gerade die persönliche Rückfrage beim vermeintlichen Auftraggeber als zentrale Schutzmaßnahme hervorgehoben worden. Gleichwohl setzte der Kläger die Überweisungen fort, ohne diese Verifikation vorzunehmen.
Das Gericht bejahte außerdem einen Schadensersatzanspruch der Arbeitgeberin aus § 280 Abs. 1 BGB in Verbindung mit dem Arbeitsvertrag. Von einem Finanzmanager in dieser Position könne erwartet werden, dass er Zahlungsanweisungen in außergewöhnlicher Höhe nicht ohne persönliche Rückversicherung, hinreichende Dokumentation und Einhaltung der internen Kontrollmechanismen ausführen lasse.
Zwar haftet ein Arbeitnehmer bei betrieblich veranlassten Tätigkeiten grundsätzlich nach den Regeln des innerbetrieblichen Schadensausgleichs. Danach haftet er bei leichter Fahrlässigkeit regelmäßig nicht, bei mittlerer Fahrlässigkeit anteilig und bei grober Fahrlässigkeit grundsätzlich vollständig. Auch bei grober Fahrlässigkeit können jedoch Haftungserleichterungen geboten sein, insbesondere wenn der mögliche Schaden in einem groben Missverhältnis zum Arbeitsentgelt steht und die wirtschaftliche Existenz des Arbeitnehmers bedroht wäre.
Eine solche Haftungsbegrenzung lehnte das Landesarbeitsgericht Köln im konkreten Fall jedoch ab.
Die zentrale Aussage: D&O-Versicherung verdrängt Haftungsprivilegierung
Nach Auffassung des Gerichts überlagerte die von der Arbeitgeberin abgeschlossene und finanzierte D&O-Versicherung die Grundsätze der beschränkten Arbeitnehmerhaftung. Der Arbeitnehmer sei wegen des Versicherungsschutzes nicht dem Risiko einer existenzvernichtenden persönlichen Inanspruchnahme ausgesetzt. Damit entfalle jedenfalls bei grober Fahrlässigkeit ein wesentlicher Grund für eine Begrenzung der Haftung. Das Landesarbeitsgericht nahm darüber hinaus an, dass die Versicherung auch für diejenigen Überweisungen zu berücksichtigen sei, bei denen noch keine grobe Fahrlässigkeit festgestellt werden könne.
Diese Auffassung ist keineswegs selbstverständlich. Das Hessische Landesarbeitsgericht hatte noch mit Urteil vom 8. April 2025 zum Aktenzeichen 12 SLa 177/24 in einem anderen CEO-Fraud-Fall entschieden, dass eine freiwillige D&O-Versicherung die Grundsätze der beschränkten Arbeitnehmerhaftung nicht verdränge. Es begrenzte die Haftung einer grob fahrlässig handelnden Prokuristin auf sechs Bruttomonatsentgelte. Zur Begründung stellte es darauf ab, dass eine freiwillige Versicherung – anders als eine gesetzlich vorgeschriebene Pflichtversicherung – grundsätzlich der bestehenden Haftung folge und diese nicht erst begründe.
Auch im Schrifttum ist umstritten, ob D&O-Deckung zum Wegfall der arbeitsrechtlichen Haftungsprivilegierung führen darf. Gegen die Kölner Auffassung spricht insbesondere, dass der konkrete Versicherungsschutz von den jeweiligen Versicherungsbedingungen abhängt. D&O-Verträge enthalten regelmäßig Ausschlüsse für vorsätzliche oder wissentliche Pflichtverletzungen. Eine Haftungserweiterung allein aufgrund einer möglicherweise bestehenden Deckung könnte den Arbeitnehmer daher einem Risiko aussetzen, obwohl der Versicherer später die Leistung verweigert.
Bewertung und praktische Folgen
Die Entscheidung des Landesarbeitsgerichts Köln verschiebt das Risiko eines CEO-Frauds deutlich in Richtung des handelnden Arbeitnehmers. Besonders haftungsgefährdet sind Beschäftigte mit weitreichenden Zahlungsbefugnissen, wenn sie erkennbare Warnzeichen ignorieren oder interne Freigabe-, Kontroll- und Dokumentationsvorgaben umgehen.
Für Unternehmen zeigt das Urteil zugleich, dass technische Sicherheitsmaßnahmen allein nicht genügen. Erforderlich sind verbindliche Verifikationsprozesse, insbesondere persönliche Rückrufe über bekannte Kontaktdaten, ein konsequentes Vier-Augen-Prinzip und klare Eskalationsregeln für außergewöhnliche oder vertrauliche Zahlungen. Schulungen sollten nicht nur abstrakt durchgeführt, sondern mit überprüfbaren organisatorischen Kontrollmechanismen verbunden werden.
Ob eine arbeitgeberfinanzierte D&O-Versicherung tatsächlich die arbeitsrechtliche Haftungsbegrenzung entfallen lässt, ist hingegen höchstrichterlich bislang nicht abschließend geklärt. Wegen der gegensätzlichen Auffassungen des Landesarbeitsgerichts Köln und des Hessischen Landesarbeitsgerichts kommt der anhängigen Revision erhebliche grundsätzliche Bedeutung zu. Bis zur Entscheidung des Bundesarbeitsgerichts bleibt offen, ob die D&O-Versicherung lediglich einer bestehenden Haftung folgt oder selbst zu einer Ausweitung der persönlichen Arbeitnehmerhaftung führen kann.