Ein falscher Klick, eine manipulierte E-Mail oder eine vermeintliche Zahlungsanweisung des Vorgesetzten kann für ein Unternehmen erhebliche finanzielle Folgen haben. Gerade bei sogenannten CEO-Fraud-Fällen bringen Betrüger Mitarbeiter gezielt dazu, hohe Geldbeträge auf fremde Konten zu überweisen. Für den betroffenen Arbeitnehmer stellt sich dann eine existenzielle Frage: Muss er dem Arbeitgeber den entstandenen Schaden persönlich ersetzen?
Grundsätzlich schützt das Arbeitsrecht Arbeitnehmer bei betrieblich veranlassten Fehlern durch die Grundsätze der beschränkten Arbeitnehmerhaftung. Dieser Schutz ist jedoch nicht grenzenlos. Das zeigt besonders eindrucksvoll das Urteil des Landesarbeitsgerichts Köln vom 31.07.2026 – 8 SLa 603/25. Ein leitender Mitarbeiter hatte aufgrund eines professionell inszenierten Betrugs innerhalb weniger Wochen knapp 60 Überweisungen mit einem Gesamtvolumen von mehr als 50 Millionen Euro veranlasst. Das LAG Köln bestätigte nicht nur die fristlose Kündigung, sondern nahm auch eine volle Schadensersatzhaftung des Arbeitnehmers an.
Besonders bemerkenswert ist die Begründung: Weil der Arbeitgeber für den Mitarbeiter eine D&O-Versicherung mit einer Deckungssumme von bis zu 150 Millionen US-Dollar finanziert hatte, ließ das Gericht die sonst mögliche Haftungserleichterung zugunsten des Arbeitnehmers nicht eingreifen. Die Entscheidung betrifft damit weit über den konkreten Betrugsfall hinaus die grundsätzliche Frage, welche Bedeutung eine vom Arbeitgeber finanzierte Haftpflicht- oder D&O-Versicherung für die Arbeitnehmerhaftung hat.
Der Fall: vermeintlicher Vorgesetzter fordert Millionenzahlungen
Der Arbeitnehmer war seit 2018 als „Head of Global Treasury“ beschäftigt und damit für die strategische und operative Verwaltung erheblicher Finanzmittel verantwortlich.
Im Juli 2024 wurde er von Betrügern kontaktiert. Diese gaben sich unter anderem als sein unmittelbarer Vorgesetzter und als ein tatsächlich existierender Rechtsanwalt aus. Die Täter nutzten dabei professionelle Methoden des Social Engineering. Bei der ersten Kontaktaufnahme wurde durch sogenanntes Caller-ID-Spoofing die Telefonnummer des Vorgesetzten angezeigt.
Anschließend verlagerte sich die Kommunikation allerdings auf private Kommunikationsmittel. Der Arbeitnehmer erhielt Anweisungen über WhatsApp auf seinem privaten Mobiltelefon und über private E-Mail-Adressen. Ihm wurde vorgespiegelt, innerhalb des Konzerns werde eine neue Gesellschaft gegründet und er solle dort eine führende Funktion übernehmen. Wegen angeblich zwingender Geheimhaltungsvorschriften dürfe er mit anderen Personen nicht über die Transaktion sprechen.
Auf dieser Grundlage veranlasste der Arbeitnehmer ab dem 15.07.2024 zahlreiche Überweisungen. Die Zahlungen wurden manuell außerhalb der üblichen Prozesse durchgeführt. Obwohl grundsätzlich ein Vier-Augen-Prinzip galt, wurden bestehende Kontrollmechanismen nicht in der vorgesehenen Weise genutzt.
Besonders problematisch war nach Auffassung des Gerichts, dass sich im Verlauf der vermeintlichen Transaktion immer mehr Warnsignale häuften. Der Arbeitnehmer stellte selbst fest, dass Millionenbeträge überwiesen werden sollten, ohne dass ihm hierfür ausreichende Unterlagen und nachvollziehbare Informationen vorlagen. Gleichwohl setzte er die Überweisungen fort.
Hinzu kam, dass der Arbeitnehmer kurz zuvor selbst an einem internen Schulungsvideo über digitale Betrugsversuche mitgewirkt hatte. Gerade dort war den Mitarbeitern vermittelt worden, dass bei ungewöhnlichen Zahlungsanweisungen eine unmittelbare Rückversicherung beim tatsächlichen Vorgesetzten erforderlich ist.
Eine solche persönliche Rückversicherung nahm der Arbeitnehmer jedoch während des gesamten Vorgangs nicht vor.
Wann muss ein Arbeitnehmer seinem Arbeitgeber Schadensersatz leisten?
Ausgangspunkt eines Schadensersatzanspruchs des Arbeitgebers ist § 280 Abs. 1 BGB. Danach kann Schadensersatz verlangt werden, wenn der Arbeitnehmer eine arbeitsvertragliche Pflicht verletzt, hierdurch ein Schaden verursacht wird und die Pflichtverletzung schuldhaft erfolgt.
Für Arbeitnehmer enthält allerdings § 619a BGB eine wichtige Besonderheit. Der Arbeitgeber muss darlegen und beweisen, dass der Arbeitnehmer die Pflichtverletzung zu vertreten hat. Anders als im allgemeinen Schuldrecht muss sich also nicht der Arbeitnehmer entlasten.
Daneben gelten die von der arbeitsgerichtlichen Rechtsprechung entwickelten Grundsätze des innerbetrieblichen Schadensausgleichs. Sie beruhen auf dem Gedanken, dass ein Arbeitnehmer Tätigkeiten im Interesse und innerhalb der organisatorischen Risikosphäre des Arbeitgebers ausführt. Würde jeder Arbeitsfehler uneingeschränkt nach den allgemeinen schadensersatzrechtlichen Regeln behandelt, könnten bereits einzelne Fehler zu Schäden führen, die außer Verhältnis zum Einkommen eines Arbeitnehmers stehen.
Die abgestufte Arbeitnehmerhaftung
Die Rechtsprechung unterscheidet deshalb grundsätzlich nach dem Grad des Verschuldens:
- Leichteste Fahrlässigkeit: Der Arbeitnehmer haftet grundsätzlich nicht.
- Normale oder mittlere Fahrlässigkeit: Der Schaden wird regelmäßig zwischen Arbeitgeber und Arbeitnehmer aufgeteilt.
- Grobe Fahrlässigkeit: Der Arbeitnehmer hat den Schaden grundsätzlich vollständig zu tragen. Eine Haftungsminderung kann allerdings aufgrund der Umstände des Einzelfalls weiterhin möglich sein.
- Vorsatz: Der Arbeitnehmer haftet grundsätzlich vollständig.
Diese Grundsätze hat das Bundesarbeitsgericht etwa in seinem Urteil vom 28.10.2010 – 8 AZR 418/09 ausführlich dargestellt.
Entscheidend ist dabei, dass selbst bei grober Fahrlässigkeit nicht automatisch jede Haftungsbegrenzung ausgeschlossen ist. Zu berücksichtigen sind beispielsweise die Schadenshöhe, das Einkommen des Arbeitnehmers, seine Stellung im Unternehmen, das mit der Tätigkeit verbundene Schadensrisiko, die Versicherbarkeit des Risikos sowie die persönlichen und wirtschaftlichen Verhältnisse des Arbeitnehmers.
Eine gesetzlich festgelegte Haftungsobergrenze, beispielsweise in Höhe von drei, sechs oder zwölf Monatsgehältern, gibt es dabei nicht.
Warum das LAG Köln grobe Fahrlässigkeit angenommen hat
Das LAG Köln hielt jedenfalls die ab dem 18.07.2024 veranlassten Zahlungen für grob fahrlässig.
Grobe Fahrlässigkeit liegt vor, wenn die erforderliche Sorgfalt in ungewöhnlich hohem Maße verletzt und unbeachtet gelassen wird, was im konkreten Fall jedem hätte einleuchten müssen.
Nach Auffassung des Gerichts lagen dafür zahlreiche Anhaltspunkte vor. Die gesamte angebliche Transaktion wurde über private Kommunikationskanäle abgewickelt. WhatsApp wurde im Unternehmen dienstlich überhaupt nicht verwendet. Der Arbeitnehmer erhielt Zahlungsanweisungen von Personen, mit denen er keinen verifizierten unmittelbaren Kontakt hatte. Persönliche Treffen kamen wiederholt nicht zustande. Hinzu kamen ungewöhnlicher Zeitdruck, Geheimhaltungsanweisungen, zahlreiche Auslandszahlungen und teilweise fehlende Rechnungen oder sonstige nachvollziehbare Zahlungsgrundlagen.
Besonders schwer wog, dass der Arbeitnehmer selbst Zweifel an der Plausibilität der Transaktion äußerte und erkannte, dass hohe Millionenbeträge ohne ausreichende Belege überwiesen werden sollten. Dennoch veranlasste er weitere Zahlungen.
Das Gericht sah deshalb spätestens ab diesem Zeitpunkt die Grenze zur groben Fahrlässigkeit überschritten.
Auch ein Organisationsverschulden des Arbeitgebers kann die Haftung reduzieren
Ein Arbeitnehmer muss allerdings nicht allein deshalb vollständig haften, weil ihm ein erheblicher Fehler unterlaufen ist. Nach § 254 BGB kann ein Mitverschulden des Arbeitgebers die Ersatzpflicht reduzieren.
Gerade bei Überweisungsbetrug kann deshalb zu prüfen sein, ob das Unternehmen ausreichende Kontrollmechanismen eingerichtet hatte. Relevant können etwa fehlende Freigaberichtlinien, unzureichende Zahlungsgrenzen, mangelnde Schulungen oder ein funktionsloses Vier-Augen-Prinzip sein.
Im vom LAG Köln entschiedenen Fall half dieser Einwand dem Arbeitnehmer allerdings nicht. Das Gericht hielt insbesondere die Schulungsmaßnahmen des Unternehmens für ausreichend. Der Arbeitnehmer hatte sogar selbst an einer entsprechenden Sensibilisierungsmaßnahme zu digitalen Betrugsformen mitgewirkt.
Auch die Beteiligung weiterer Mitarbeiter an einzelnen Überweisungsvorgängen entlastete ihn nach Auffassung des Gerichts nicht. Als verantwortlicher Leiter hatte er die Zahlungen veranlasst und seinen Mitarbeitern entsprechende Anweisungen erteilt.
Der entscheidende Punkt: die D&O-Versicherung
Die eigentliche Besonderheit der Entscheidung liegt jedoch an anderer Stelle.
Der Arbeitnehmer hätte sich angesichts eines Schadens von mehr als 50 Millionen Euro grundsätzlich darauf berufen können, dass eine vollständige persönliche Haftung seine wirtschaftliche Leistungsfähigkeit offensichtlich übersteigt. Gerade bei außergewöhnlich hohen Schäden kann dies selbst bei grober Fahrlässigkeit zu einer Haftungsminderung führen.
Der Arbeitgeber hatte jedoch bereits vor Beginn des Arbeitsverhältnisses zugunsten des Arbeitnehmers eine D&O-Versicherung mit einer Deckungssumme von bis zu 150 Millionen US-Dollar pro Schadensfall abgeschlossen und vollständig finanziert.
Nach Auffassung des LAG Köln musste dieser Versicherungsschutz bei der Arbeitnehmerhaftung berücksichtigt werden.
Privat finanzierte Versicherung und Arbeitgeberversicherung sind nicht dasselbe
Das ist keineswegs selbstverständlich.
Das Bundesarbeitsgericht hatte in seinem Urteil vom 28.10.2010 – 8 AZR 418/09 ausdrücklich entschieden, dass eine vom Arbeitnehmer freiwillig und auf eigene Kosten abgeschlossene Privathaftpflichtversicherung grundsätzlich nicht dazu führen darf, dass sich seine Haftung gegenüber dem Arbeitgeber erhöht.
Der Grund liegt auf der Hand: Es wäre unbillig, wenn der Arbeitnehmer aus seinem eigenen Einkommen Versicherungsbeiträge bezahlt und gerade dieser selbst finanzierte Versicherungsschutz anschließend ausschließlich dem Arbeitgeber zugutekäme.
Anders kann dies aber bei gesetzlich vorgeschriebenen Haftpflichtversicherungen oder bei Versicherungen sein, deren Abschluss der Arbeitgeber wegen des besonderen Tätigkeitsrisikos verlangt.
Diesen Gedanken überträgt das LAG Köln nun auf eine vom Arbeitgeber selbst finanzierte D&O-Versicherung.
Nach Auffassung der Kölner Richter könne es haftungsrechtlich keinen entscheidenden Unterschied machen, ob der Arbeitgeber den Arbeitnehmer verpflichtet, eine entsprechende Versicherung abzuschließen und ihm hierfür einen finanziellen Ausgleich gewährt, oder ob der Arbeitgeber die Versicherung unmittelbar selbst abschließt und vollständig bezahlt.
D&O-Versicherung kann das Arbeitnehmerprivileg überlagern
Das LAG Köln geht deshalb davon aus, dass eine solche arbeitgeberfinanzierte Versicherung die Grundsätze der beschränkten Arbeitnehmerhaftung überlagern kann.
Der zentrale Gedanke lautet: Die Beschränkung der Arbeitnehmerhaftung soll unter anderem verhindern, dass ein Arbeitnehmer durch einen betrieblich verursachten Schaden wirtschaftlich ruiniert wird. Ist dieses Risiko aufgrund einer vom Arbeitgeber finanzierten Versicherung gerade abgesichert, entfällt nach Auffassung des Gerichts ein wesentlicher Grund für eine zusätzliche Haftungsminderung.
Im entschiedenen Fall hatte dies erhebliche Konsequenzen.
Das LAG nahm nicht nur hinsichtlich der grob fahrlässig veranlassten späteren Überweisungen eine volle Haftung an. Der Versicherungsschutz sollte nach seiner Auffassung sogar auch bei früheren Zahlungen berücksichtigt werden, bei denen das Gericht noch nicht ausdrücklich von grober Fahrlässigkeit ausging.
Damit erhält die Frage nach bestehenden Versicherungen bei der Arbeitnehmerhaftung erhebliches Gewicht.
Was geschieht, wenn die Versicherung später doch nicht zahlt?
Gerade an diesem Punkt liegt allerdings ein erhebliches praktisches Problem.
Arbeitsrechtliche Haftung und versicherungsrechtliche Deckung sind zwei unterschiedliche Fragen. Dass eine D&O-Versicherung besteht, bedeutet noch nicht zwingend, dass der Versicherer jeden Schadensfall tatsächlich regulieren muss. Maßgeblich sind vielmehr die konkreten Versicherungsbedingungen, der versicherte Personenkreis, die versicherte Tätigkeit und mögliche Risikoausschlüsse.
Der Arbeitnehmer hatte im Verfahren eingewandt, die endgültige Eintrittspflicht der Versicherer sei noch nicht geklärt.
Das genügte dem LAG Köln jedoch nicht. Nach Auffassung des Gerichts hätte der Arbeitnehmer konkret darlegen müssen, weshalb die bestehende Versicherung den gegen ihn gerichteten Schadensersatzanspruch möglicherweise nicht deckt. Der bloße Hinweis darauf, dass die Versicherer ihre Eintrittspflicht noch prüfen, reichte nicht aus.
Gerade diese Konstellation dürfte auch für die weitere rechtliche Diskussion bedeutsam werden. Denn besonders problematisch wäre es, wenn die Existenz einer Versicherung zunächst zu einer arbeitsrechtlich unbeschränkten Haftung führt, der Versicherer anschließend aber aus versicherungsvertraglichen Gründen die Deckung verweigert.
Auch die fristlose Kündigung war wirksam
Neben der Schadensersatzfrage bestätigte das LAG Köln auch die außerordentliche Kündigung des Arbeitsverhältnisses.
Nach § 626 Abs. 1 BGB kann ein Arbeitsverhältnis aus wichtigem Grund fristlos gekündigt werden, wenn dem Arbeitgeber unter Berücksichtigung sämtlicher Umstände des Einzelfalls und nach Abwägung der beiderseitigen Interessen eine Fortsetzung des Arbeitsverhältnisses nicht mehr zugemutet werden kann.
Das Gericht sah diese Voraussetzungen aufgrund der Vielzahl und Höhe der Überweisungen, der zahlreichen Warnsignale und der unterlassenen persönlichen Rückversicherung als erfüllt an.
Eine vorherige Abmahnung hielt es angesichts des Gewichts der Pflichtverletzung ebenfalls nicht für erforderlich.
Was bedeutet das Urteil für Arbeitnehmer?
Arbeitnehmer, die Zahlungen für ihren Arbeitgeber veranlassen dürfen, sollten ungewöhnliche Zahlungsanweisungen niemals allein deshalb ausführen, weil sie vermeintlich von einem Vorgesetzten stammen.
Besonders kritisch sind Kombinationen aus außergewöhnlicher Geheimhaltung, Zeitdruck, Verwendung privater Kommunikationsmittel, kurzfristig geänderten Bankverbindungen und der Aufforderung, bestehende interne Kontrollmechanismen zu umgehen.
In solchen Situationen sollte die Identität des Anweisenden über einen unabhängig bekannten Kommunikationsweg überprüft werden. Ein Rückruf darf beispielsweise nicht über eine Telefonnummer erfolgen, die gerade mit der verdächtigen Nachricht übermittelt wurde.
Wer trotz erkennbarer Warnsignale erhebliche Zahlungen freigibt, kann sich nicht darauf verlassen, dass das arbeitsrechtliche Haftungsprivileg eine persönliche Inanspruchnahme verhindert.
Was sollten Arbeitgeber beachten?
Auch Arbeitgeber dürfen sich aus der Entscheidung nicht den Schluss ziehen, dass Schäden durch Überweisungsbetrug ohne Weiteres auf Arbeitnehmer abgewälzt werden können.
Unternehmen müssen angemessene Sicherheits- und Kontrollstrukturen schaffen. Dazu gehören insbesondere klare Zahlungsfreigaben, ein tatsächlich wirksames Vier-Augen-Prinzip, verbindliche Rückrufverfahren für außergewöhnliche Transaktionen, Schulungen zu Social Engineering und technisch abgesicherte Kommunikationswege.
Fehlen solche Maßnahmen, kann ein Mitverschulden des Arbeitgebers nach § 254 BGB in Betracht kommen.
Zudem sollten Unternehmen prüfen, welche Mitarbeiter tatsächlich vom bestehenden D&O- oder sonstigen Haftpflichtversicherungsschutz erfasst sind und welche Risiken die jeweiligen Versicherungsbedingungen abdecken.
Falschüberweisung ist nicht gleich Falschüberweisung
Bei Haftungsfällen muss zudem genau unterschieden werden. Eine versehentlich falsch eingegebene IBAN ist arbeitsrechtlich anders zu beurteilen als die wiederholte bewusste Umgehung interner Kontrollmechanismen trotz erkennbarer Betrugsindikatoren.
Ebenso unterscheidet sich die Arbeitnehmerhaftung von der Frage, ob eine Bank für eine fehlerhafte oder betrügerische Überweisung einzustehen hat. Mit der bankrechtlichen Seite solcher Fälle haben wir uns bereits in unserem Beitrag „Warum Banken bei Echtzeit-Überweisungen nicht haften“ befasst.
Für die Haftung des Arbeitnehmers kommt es dagegen maßgeblich darauf an, welche Pflichten ihm übertragen waren, welche Sicherungsmaßnahmen bestanden, welchen Verschuldensgrad sein Verhalten erreicht und ob Arbeitgeber oder Arbeitnehmer das zugrunde liegende Schadensrisiko versichert hatten.
Das letzte Wort ist noch nicht gesprochen
Die Entscheidung des LAG Köln ist von erheblicher grundsätzlicher Bedeutung. Gerade die Annahme, eine vom Arbeitgeber finanzierte D&O-Versicherung könne die Grundsätze der beschränkten Arbeitnehmerhaftung überlagern, ist rechtlich nicht unumstritten.
Das Landesarbeitsgericht hat deshalb die Revision zum Bundesarbeitsgericht zugelassen. Die weitere Entwicklung bleibt abzuwarten.
Bis zu einer höchstrichterlichen Klärung sollte aus dem Urteil deshalb nicht der allgemeine Satz abgeleitet werden, dass jeder Arbeitnehmer mit D&O-Versicherung automatisch uneingeschränkt haftet. Entscheidend bleiben der konkrete Verschuldensgrad, die Ausgestaltung des Versicherungsverhältnisses und die Umstände des jeweiligen Schadensfalls.
Fazit
Das Urteil des LAG Köln vom 31.07.2026 – 8 SLa 603/25 zeigt drastisch, welche Folgen eine Falschüberweisung für einen Arbeitnehmer haben kann. Wer trotz zahlreicher Warnsignale und entgegen internen Kontrollmechanismen Millionenbeträge überweist, kann grob fahrlässig handeln und grundsätzlich zum vollständigen Schadensersatz verpflichtet sein.
Besondere Bedeutung hat die Entscheidung für Führungskräfte und andere Arbeitnehmer, die über eine vom Arbeitgeber finanzierte D&O-Versicherung abgesichert sind. Nach Auffassung des LAG Köln kann gerade dieser Versicherungsschutz dazu führen, dass eine ansonsten wegen der außergewöhnlichen Schadenshöhe mögliche Haftungsminderung ausscheidet.
Ob diese weitreichende Auffassung Bestand haben wird, muss das Bundesarbeitsgericht klären. Für die Praxis gilt deshalb bereits jetzt: Bei größeren Schadensfällen reicht es weder aus, allein den Verschuldensgrad des Arbeitnehmers noch allein den entstandenen Schaden zu betrachten. Kontrollsysteme des Arbeitgebers, ein mögliches Mitverschulden und insbesondere bestehender Versicherungsschutz müssen gemeinsam geprüft werden.
