Erpressungsforderung: Wer entscheidet, welche Kriterien?

Die Entscheidung über eine Lösegeldzahlung liegt formal bei der Geschäftsführung oder dem Vorstand, die dafür nach § 43 GmbHG beziehungsweise § 93 AktG persönlich haften. Vorbereitet wird sie von einem Krisenstab, der vor jeder Zahlung das Sanktionsrecht prüft, denn eine Zahlung an gelistete Akteure kann selbst rechtswidrig sein. Laut Bitkom Research haben 15 Prozent der von Ransomware betroffenen deutschen Unternehmen bereits gezahlt, meist ohne diesen Prozess vorab festgelegt zu haben.

Wer trifft im Ernstfall die Entscheidung über eine Erpressungsforderung?

Formal entscheidet die Geschäftsführung oder der Vorstand, weil sie nach § 43 GmbHG beziehungsweise § 93 AktG die Sorgfaltspflicht für unternehmerische Entscheidungen tragen. Vorbereitet wird die Entscheidung von einem interdisziplinären Krisenstab aus IT, Recht, Datenschutz und Kommunikation, nicht von einer einzelnen Person im Affekt.

Diese Situation trifft in der Praxis selten Konzerne mit eingespieltem Krisenmanagement. Stadtwerke, Kommunalverwaltungen und KRITIS-Betreiber haben durch NIS2, IT-Sicherheitsgesetz 2.0 oder DORA CISO-Funktionen aufgebaut, aber selten einen erprobten Krisenstab. Ein Sicherheitsvorfall mit Erpressungscharakter trifft diese Organisationen deshalb oft unvorbereitet, obwohl die Zuständigkeit rechtlich klar geregelt ist. Wie häufig diese Situation überhaupt entsteht, zeigt eine Bitkom-Erhebung: 34 Prozent der deutschen Unternehmen erlitten in den vergangenen zwölf Monaten einen Schaden durch Ransomware.

Die Sorgfaltspflicht von Geschäftsführung und Vorstand ist nicht verhandelbar. § 43 GmbHG verpflichtet Geschäftsführer zur Sorgfalt eines ordentlichen Geschäftsmannes und macht sie bei Pflichtverletzung persönlich haftbar. § 93 AktG formuliert dieselbe Pflicht für den Vorstand und ergänzt in Absatz 1 Satz 2 die sogenannte Business Judgment Rule: „Eine Pflichtverletzung liegt nicht vor, wenn das Vorstandsmitglied bei einer unternehmerischen Entscheidung vernünftigerweise annehmen durfte, auf der Grundlage angemessener Information zum Wohle der Gesellschaft zu handeln."

Im Nachhinein zählt vor allem der Weg zur Entscheidung, nicht ihr Ergebnis. Dokumentieren Sie, welche Informationen zum Entscheidungszeitpunkt vorlagen, welche Optionen geprüft wurden und wer sie empfohlen hat. Fehlt diese Dokumentation, wiegt eine spätere Pflichtverletzung schwerer, ähnlich wie bei den Bußgeldern und Sanktionen nach NIS2: Auch dort entscheidet die Nachweisbarkeit des Handelns über die Höhe der Konsequenzen.

Der Krisenstab ist Teil des Incident-Response-Prozesses, nicht dessen Ersatz für die Entscheidungsgewalt. Er sammelt Fakten, bewertet Optionen und gibt eine Empfehlung ab. Typisch besetzt ist der Stab mit:

• IT-Leitung oder CISO für den technischen Befund
• Rechtsabteilung für Haftungs- und Vertragsfragen
• Datenschutzbeauftragtem für die Meldepflichten
• Kommunikation für interne und externe Sprachregelung
• externer Forensik, wenn der Angriffsvektor unklar ist
• spezialisierten Ransomware-Verhandlungsdienstleistern, falls eine Verhandlung überhaupt in Betracht gezogen wird

Diese Rolle wird häufig erst mitten im Vorfall gesucht. Benennen Sie sie vorab.

Wer haftet persönlich, wenn die Entscheidung falsch war?

Persönlich haften Geschäftsführer nach § 43 Abs. 2 GmbHG und Vorstandsmitglieder nach § 93 Abs. 2 AktG mit ihrem Privatvermögen, wenn sie die Sorgfaltspflicht verletzt haben. Die Business Judgment Rule wirkt dabei wie ein Schutzschild: Wer auf angemessener Informationsgrundlage und in gutem Glauben zum Wohle des Unternehmens entschieden hat, haftet nicht automatisch für ein schlechtes Ergebnis. Der Schutz greift jedoch nur, wenn sich der Entscheidungsprozess belegen lässt. Ohne dokumentiertes Protokoll der Krisenstabssitzungen bleibt nur die Behauptung, sorgfältig gehandelt zu haben.

Welche Rolle spielt der Krisenstab gegenüber der Geschäftsführung?

Der Krisenstab liefert die Grundlage, nicht die Unterschrift. Er stellt den forensischen Befund zusammen, bewertet rechtliche Risiken einschließlich des Sanktionsrechts und formuliert eine Handlungsempfehlung. Diese Trennung verhindert, dass eine Fachabteilung über etwas entscheidet, für das am Ende die Geschäftsführung haftet. Auch beim Cyberangriff auf das Berliner Landesnetz zeigte sich 2026 dieses Muster: Krisenstab bereitete vor, die politische Ebene entschied.

Muss der Aufsichtsrat oder müssen Gesellschafter eingebunden werden?

Ja, und zwar unabhängig von der Rechtsform. Informieren Sie Aufsichtsrat oder Gesellschafter zeitnah über Lage, geprüfte Optionen und getroffene Entscheidung, das gehört zur Sorgfaltspflicht und schützt vor dem Vorwurf, allein und ohne Kontrolle gehandelt zu haben. Ein Gesellschafterbeschluss zur Zahlung nimmt der Geschäftsführung die Haftung nach § 43 Abs. 2 GmbHG aber nicht ab, denn die Vertretungsmacht liegt bei ihr. Die Einbindung schützt vor Reputationsschaden, nicht automatisch vor der persönlichen Haftung.

Nach welchen Kriterien wird über Zahlen oder Nicht-Zahlen entschieden?

BSI und Bitkom raten unabhängig von der Rechtslage grundsätzlich von einer Zahlung ab, weil sie künftige Angriffe finanziert und keine Garantie für die Datenfreigabe bietet. In die Kriterien fließen trotzdem Betriebsfähigkeit, Cyberversicherung und der forensische Befund ein, bevor eine Empfehlung an die Geschäftsführung geht.

Prüfen Sie vor jeder Entscheidung mindestens die folgenden Faktoren:

• Verfügbarkeit getesteter Backups: Lässt sich alles sauber wiederherstellen, entfällt der wichtigste Druckfaktor für eine Zahlung.
• Kritikalität der betroffenen Prozesse: Ein verschlüsseltes Archivsystem wiegt anders als eine ausgefallene Produktionssteuerung oder ein zentrales ERP-System.
• Zeitdruck durch Betriebsunterbrechung: Je länger der Stillstand, desto größer die wirtschaftliche Versuchung, den schnelleren Weg zu wählen.
• Bedingungen der Cyberversicherung: Viele Policen verlangen vertraglich, dass der Versicherer vor einer Zahlung eingebunden wird, teils mit eigenem Verhandlungsdienstleister.
• Forensischer Befund: Erst die technische Analyse zeigt, welche Gruppe hinter dem Angriff steckt, welche Daten tatsächlich abgeflossen sind und wie belastbar die Verschlüsselung ist.

Wie diese Faktoren im Ernstfall ausfallen, zeigt eine Befragung von Bitkom Research aus dem Jahr 2025: Von den betroffenen deutschen Unternehmen zahlten 15 Prozent Lösegeld, 70 Prozent nicht, 15 Prozent machten keine Angabe. Unter den Zahlenden lag die Summe bei 19 Prozent zwischen 10.000 und 100.000 Euro, bei 34 Prozent zwischen 100.000 und 500.000 Euro (Bitkom Research 2025, Folie 15).

Rechtlich bewegt sich eine Zahlung in einer Grauzone. Ein pauschales Zahlungsverbot gibt es in Deutschland nicht, doch eine Zahlung kann Straftatbestände berühren: Fließt Geld nachweislich an eine kriminelle Vereinigung, kommt eine Strafbarkeit nach § 129 StGB in Betracht, bei der Weiterverwendung der Gelder auch nach § 261 StGB (Geldwäsche). Diese Einordnung ersetzt keine Rechtsberatung im Einzelfall, sie zeigt nur, warum die Entscheidung juristisch geprüft werden muss.

Genau diese Gemengelage aus wirtschaftlicher Abwägung, Versicherungsrecht und strafrechtlichem Risiko ist der Grund, warum die Entscheidung nicht bei der IT-Abteilung liegen kann: Wer nur die technische Wiederherstellbarkeit kennt, sieht weder Haftungsfragen noch die Bedingungen der Police.

Welche Rolle spielt die Empfehlung von BSI und Bitkom?

Die offizielle Linie von BSI, BKA, Europol und ENISA ist einheitlich: nicht zahlen, die Polizei einschalten und Systeme aus Backups wiederherstellen. Felix Kuhlenkamp, Referent Sicherheitspolitik beim Bitkom, bringt die Begründung auf den Punkt: „Wer Opfer von Ransomware wird, sollte auf keinen Fall Lösegeld bezahlen. Zum einen finanziert er damit die nächsten Angriffe der Täter, hinter denen in der Regel die organisierte Kriminalität steht. Zum anderen ist die Schadsoftware häufig so schlecht programmiert, dass die Täter die Verschlüsselung gar nicht vollständig rückgängig machen können." (Bitkom, 04.09.2024) Diese Empfehlung ist der Ausgangspunkt jeder Kriterien-Abwägung, keine automatische Blockade: Sie fließt als starkes Argument gegen eine Zahlung ein, ohne die übrigen Faktoren zu ersetzen.

Wie fließen Cyberversicherung und Forensik-Befund in die Kriterien ein?

Eine Cyberversicherung ist selten ein Blankoscheck. Viele Policen knüpfen die Kostenübernahme an Bedingungen: Zustimmung vor jeder Zahlung, Ausschluss bestimmter Zahlungswege bei Sanktionsverstoß oder die Pflicht, einen vom Versicherer benannten Dienstleister einzubinden. Klären Sie die Police, bevor der Ernstfall eintritt, nicht währenddessen.

Der forensische Befund liefert parallel die Faktenbasis: welche Angreifergruppe vermutlich dahintersteckt, wie zuverlässig sich die eingesetzte Ransomware entschlüsseln lässt und welche Daten nachweislich abgeflossen sind. Ohne diesen Befund bleibt jede Entscheidung eine Vermutung.

Wann wird eine Zahlung trotzdem erwogen?

In der Rechtswissenschaft wird diskutiert, ob eine Zahlung unter bestimmten Umständen über § 34 StGB (rechtfertigender Notstand) gerechtfertigt sein könnte, etwa wenn nicht nur der Betrieb, sondern unmittelbar Leib und Leben oder eine kritische Versorgung bedroht sind. Abschließend geklärt ist diese Frage nicht, und sie taugt nicht als pauschale Handlungsanweisung: Für die meisten Fälle mit reinem Betriebsausfall bleibt die Abwägung zwischen wirtschaftlichem Schaden und rechtlichem Risiko bestehen. Genau deshalb braucht es am Ende eine Entscheidung der Geschäftsführung, gestützt auf Recht, Forensik und Versicherung, nicht auf eine einzelne Fachperspektive.

Warum kann eine Zahlung selbst rechtswidrig sein?

Ist der Empfänger einer Lösegeldzahlung auf einer EU-Sanktionsliste gelistet, etwa nach der Verordnung (EU) 2019/796 gegen Cyberangriffe, ist die Zahlung unabhängig vom Ausgang der Erpressung rechtswidrig. Seit Februar 2026 gilt dafür keine Schonfrist mehr: Neue Listungen wirken sofort, und die Bußgelder für Unternehmen wurden deutlich angehoben.

Diese Gefahr ist keine theoretische. Mehrere aktive Ransomware-Gruppen und mit ihnen verbundene Akteure stehen bereits auf Sanktionslisten, und die Listen werden laufend erweitert. Eine abschließende Aufzählung wäre daher irreführend, entscheidend ist immer die Prüfung im Einzelfall gegen die zum Zeitpunkt der Zahlung aktuellen Listen.

Verschärft wird die Rechtslage seit Anfang 2026 zusätzlich. Das Gesetz zur Anpassung von Straftatbeständen und Sanktionen bei Verstößen gegen restriktive Maßnahmen der Europäischen Union wurde am 5. Februar 2026 im Bundesgesetzblatt verkündet, trat am Folgetag in Kraft und setzt die EU-Richtlinie 2024/1226 um. § 19 Abs. 7 des Außenwirtschaftsgesetzes (AWG) hebt die Bußgeld-Obergrenze für vorsätzliche Verstöße von Unternehmen auf 40 Millionen Euro an, das Vierfache der bisherigen 10 Millionen Euro. § 18 Abs. 11 AWG wurde neu gefasst und sieht, von humanitären Ausnahmen abgesehen, keine Karenzzeit mehr nach Bekanntgabe neuer Sanktionslistungen vor. Für den Entscheidungsprozess bedeutet das: Die Sanktionsprüfung darf nicht erst während der Lösegeldverhandlung stattfinden, weil dafür schlicht keine Zeit mehr eingeplant ist.

Was regelt die EU-Sanktionsverordnung für Cyberangriffe?

Die Verordnung (EU) 2019/796, bekannt als Cyber Diplomacy Toolbox, erlaubt es dem Rat der Europäischen Union, Gelder und wirtschaftliche Ressourcen von Personen, Organisationen und Einrichtungen einzufrieren, die für Cyberangriffe gegen die EU oder ihre Mitgliedstaaten verantwortlich sind oder solche Angriffe unterstützen. Artikel 3 listet diese Akteure sowie mit ihnen verbundene Personen in Anhang I der Verordnung. Zentral für die Zahlungsfrage ist Artikel 3 Absatz 2: Er verbietet, gelisteten Personen oder Organisationen direkt oder indirekt Gelder oder wirtschaftliche Ressourcen zur Verfügung zu stellen.

Ausnahmen sehen die Artikel 4 bis 7 vor:

• Grundbedarf gelisteter natürlicher Personen
• Rechts- und Verwaltungskosten
• gerichtlich angeordnete Zahlungen

Für eine Lösegeldzahlung an eine Ransomware-Gruppe greift keine dieser Ausnahmen.

Wer prüft in Deutschland, ob ein Akteur sanktioniert ist?

In Deutschland überwacht die Bundesanstalt für Wirtschaft und Ausfuhrkontrolle (BAFA) güter- und technologiebezogene Embargomaßnahmen, während die Deutsche Bundesbank für Finanzsanktionen zuständig ist. Für die Praxis relevant sind vor allem drei Prüfinstrumente:

• die EU Consolidated Financial Sanctions List
• die Finanz-Sanktionsliste des Bundes
• die EU Sanctions Map

Eine Besonderheit betrifft indirekte Zahlungswege: Nach der gängigen EU-Sanktionspraxis erfasst das Zahlungsverbot auch einen selbst nicht gelisteten Empfänger, wenn eine gelistete Person zu 50 Prozent oder mehr an ihm beteiligt ist. Mittelbare Zahlungen über Mittelsmänner oder Verhandlungsdienstleister schützen also nicht vor der Sanktionsfolge.

Wie lässt sich diese Prüfung vor der Krise vorbereiten?

Diese Prüfung gehört nicht in die akute Verhandlungsphase, sondern in die Vorbereitung. Legen Sie schon jetzt fest, welche Stelle im Ernstfall die Sanktionsprüfung übernimmt, üblicherweise die Rechtsabteilung oder eine externe Kanzlei mit Erfahrung im Sanktionsrecht, und hinterlegen Sie die relevanten Prüf-Tools als festen Bestandteil Ihres Incident-Response-Plans. Wer diese Zuständigkeit erst klärt, wenn die Lösegeldforderung bereits auf dem Tisch liegt, verliert Zeit, die die neuen Fristen schlicht nicht mehr vorsehen. Nach Wegfall der Schonfrist bleibt für eine nachträgliche Prüfung ohnehin kein Spielraum: Die Listung wirkt ab dem Zeitpunkt der Veröffentlichung, nicht erst nach Ablauf einer Übergangsfrist.

Wer spricht öffentlich, wenn eine Erpressung bekannt wird?

Kommunikationszuständigkeit gehört in den Krisenplan, nicht in die Ad-hoc-Entscheidung am Tag der Bekanntgabe, weil sich widersprüchliche Aussagen später kaum noch korrigieren lassen. Beim Cyberangriff auf das Berliner Landesnetz 2026 bündelte ein Krisenstab unter dem Landesbevollmächtigten für Informationssicherheit die Fakten, während der Regierende Bürgermeister öffentlich Stellung bezog.

Diese Trennung folgt einem allgemeinen Grundsatz: Faktenkommunikation (an Behörden, intern, an den Krisenstab) und öffentliche Positionierung (Geschäftsführung oder Leitungsebene) laufen auf unterschiedlichen Kanälen und mit unterschiedlicher Verantwortung. Der Druck dafür ist real: Laut dem BSI-Lagebericht 2025 gingen 72 Prozent der 950 erfassten Ransomware-Anzeigen mit einem zusätzlichen Datenleak einher, sprich mit der Drohung, gestohlene Daten zu veröffentlichen. Wer öffentlich Stellung nimmt, tut das also häufig unter Zeitdruck und mit unvollständigem Kenntnisstand.

Wer sollte als Sprecher vorab benannt sein?

Legen Sie fest, wer im Ernstfall nach außen spricht, bevor der Ernstfall eintritt. Eine Person oder Funktion, üblicherweise Geschäftsführung oder Kommunikationsverantwortliche, vertritt das Unternehmen öffentlich; der Krisenstab liefert dafür ausschließlich die geprüfte Faktenbasis, äußert sich aber nicht selbst gegenüber Presse oder Öffentlichkeit. So bleibt die inhaltliche Verantwortung dort, wo die Fakten zusammenlaufen, und die kommunikative Verantwortung dort, wo Entscheidungen getroffen werden. Diese Rollentrennung verhindert, dass mehrere Personen parallel und mit unterschiedlichem Kenntnisstand Auskunft geben.

Halten Sie die Vertretungsregelung ebenfalls fest, für den Fall, dass die benannte Sprecherrolle im Vorfall selbst nicht verfügbar ist.

Was zeigt der Fall des Berliner Landesnetzes über abgestimmte Kommunikation?

Die Rollentrennung lässt sich beim Cyberangriff auf das Berliner Landesnetz 2026 gut beobachten: Ein Krisenstab unter dem Landesbevollmächtigten für Informationssicherheit koordinierte die technische und operative Aufarbeitung, während der Regierende Bürgermeister Kai Wegner die politische Haltung öffentlich vertrat und erklärte, Berlin lasse sich nicht erpressen. Fachliche Koordination und öffentliche Positionierung liefen damit über zwei getrennte, aber aufeinander abgestimmte Rollen, ergänzt um die frühe Einbindung von LKA, Staatsanwaltschaft und BSI.

Welche Aussagen sollten vor dem Vorfall abgestimmt sein?

Bestimmte Positionen lassen sich vorab festlegen, statt sie im Vorfall neu zu verhandeln:

• Grundsätzliche Haltung zur Zahlung einer Lösegeldforderung
• Umgang mit Presseanfragen zu betroffenen Personen oder Kunden
• Umgang mit Nachfragen zum Ermittlungsstand, solange dieser noch nicht öffentlich ist

Formulieren Sie diese Sprachregelungen bewusst vorsichtig, weil sich frühe Angaben zu einem laufenden Vorfall im Verlauf der Aufklärung häufig noch ändern. Eine zu früh kommunizierte, zu konkrete Aussage bindet Sie an einen Kenntnisstand, der sich als vorläufig herausstellen kann. Legen Sie diese Sprachregelungen schriftlich fest und lassen Sie sie von der Rechts- oder Datenschutzabteilung gegenlesen, bevor ein Vorfall eintritt.

Was muss vor dem Ernstfall für die Art.-34-DSGVO-Frist vorbereitet sein?

Art. 34 DSGVO verlangt eine unverzügliche Benachrichtigung Betroffener, sobald eine Verletzung des Schutzes personenbezogener Daten ein hohes Risiko für ihre Rechte und Freiheiten darstellt, unabhängig von der 72-Stunden-Frist nach Art. 33 an die Aufsichtsbehörde. Wer Risikokriterien, Kontaktwege und Textbausteine erst im Vorfall entwickelt, verliert genau die Tage, die diese Frist nicht vorsieht.

Wodurch unterscheidet sich Art. 34 von der Meldung nach Art. 33 DSGVO?

Die beiden Pflichten richten sich an unterschiedliche Adressaten und werden durch unterschiedliche Schwellen ausgelöst. Art. 33 DSGVO verpflichtet den Verantwortlichen, jede Verletzung des Schutzes personenbezogener Daten unverzüglich und möglichst binnen 72 Stunden nach Kenntnisnahme an die zuständige Aufsichtsbehörde zu melden, es sei denn, die Verletzung führt voraussichtlich zu keinem Risiko für die Rechte und Freiheiten der betroffenen Personen. Wird diese Frist überschritten, ist eine Begründung für die Verspätung erforderlich.

Art. 34 DSGVO betrifft dagegen die betroffenen Personen selbst und greift nur dann, wenn die Verletzung voraussichtlich ein hohes Risiko für deren Rechte und Freiheiten nach sich zieht. Eine feste Stundenfrist kennt Art. 34 nicht, wohl aber denselben Maßstab wie Art. 33: unverzüglich.

Wann liegt ein „hohes Risiko" vor, das die Frist auslöst?

Ob ein hohes Risiko vorliegt, bemisst sich an allgemeinen Kriterien: der Art der betroffenen Daten, der Umkehrbarkeit möglicher Folgen, der Zahl der Betroffenen und der Wahrscheinlichkeit, dass tatsächlich ein Schaden eintritt. Von der Benachrichtigungspflicht befreit ist der Verantwortliche unter anderem, wenn:

• die Daten durch wirksame technische Maßnahmen wie Verschlüsselung geschützt waren
• das hohe Risiko durch nachträgliche Maßnahmen bereits beseitigt wurde
• die Einzelbenachrichtigung mit unverhältnismäßigem Aufwand verbunden wäre (dann tritt eine öffentliche Bekanntmachung an die Stelle der individuellen Benachrichtigung)

Wer zu spät oder gar nicht informiert wird, ist rechtlich nicht schutzlos: Betroffene können nach Art. 15 DSGVO Auskunft über die Verarbeitung ihrer Daten verlangen und bei nachweisbarem Schaden Ersatzansprüche nach Art. 82 DSGVO geltend machen.

Welche Vorarbeit verkürzt die Reaktionszeit im Ernstfall?

Allein 2025 wurden laut BSI-Lagebericht 461 Datenlecks mit Daten deutscher Institutionen und Verbraucher:innen bekannt, darunter Geburtsdaten, Post- und E-Mail-Adressen, Gesundheits- und Finanzdaten sowie Passwörter. In dieser Größenordnung entscheidet die Vorarbeit vor dem Vorfall darüber, ob die Ersteinschätzung Stunden oder Tage dauert.

• Legen Sie vorab eine Risikobewertungsmatrix fest, die definiert, ab welcher Datenkategorie und Betroffenenzahl ein hohes Risiko im Sinne von Art. 34 anzunehmen ist.
• Halten Sie eine aktuelle Kontaktdatenbank der Betroffenen bereit, statt sie erst während des Vorfalls zusammenzustellen.
• Formulieren Sie Textbausteine für die Benachrichtigung vor, die im Ernstfall nur noch an den konkreten Fall angepasst werden müssen.
• Benennen Sie eine klare Zuständigkeit, in der Regel beim Datenschutzbeauftragten, für die Ersteinschätzung, ob die Schwelle zum hohen Risiko erreicht ist.

Trainieren lassen sich diese Abläufe in einer Tabletop-Übung, die die Entscheidungswege vor dem Ernstfall durchspielt, statt sie währenddessen zu erfinden. Die genaue Fristenkaskade nach NIS2 und DSGVO haben wir in unserem Artikel zu den NIS2-Meldepflichten im Detail beschrieben.

Häufig gestellte Fragen zu Erpressungsforderungen nach Cyberangriffen

Ist eine Lösegeldzahlung in Deutschland grundsätzlich strafbar?

Nein, es gibt keine pauschale Strafnorm gegen die Zahlung selbst, sich erpressen zu lassen ist nicht per se illegal. Risiken entstehen im Einzelfall über § 129 StGB, also die Unterstützung einer kriminellen Vereinigung, über Geldwäschetatbestände und vor allem über das Sanktionsrecht, wenn der Empfänger der Zahlung gelistet ist.

Wer muss die Entscheidung über eine Zahlung dokumentieren?

Die Geschäftsführung oder der Vorstand, denn nur eine dokumentierte, informierte Entscheidung ist durch die Business Judgment Rule nach § 93 AktG beziehungsweise die Sorgfaltsmaßstäbe des § 43 GmbHG geschützt. Ohne Dokumentation fehlt im Streitfall der Nachweis angemessener Sorgfalt, und diese Dokumentation muss vor der Entscheidung entstehen, nicht danach rekonstruiert werden.

Was passiert, wenn erst nach der Zahlung auffällt, dass der Empfänger sanktioniert war?

Das Sanktionsrecht greift verschuldensunabhängig und damit streng, ein Versehen schützt nicht vor den Konsequenzen. Seit Februar 2026 entfällt zudem die frühere Schonfrist von 48 Stunden nach neuen Listungen, das AWG sieht dafür nur noch humanitäre Ausnahmen vor. Die Prüfung muss deshalb vor der Zahlung erfolgen, über die BAFA-Zuständigkeit für Embargos und die Finanz-Sanktionsliste des Bundes.

Muss die Cyberversicherung vor einer Zahlung eingebunden werden?

In aller Regel ja, denn viele Policen setzen eine Zustimmung oder zumindest eine Abstimmung mit dem Versicherer vertraglich voraus und schließen Zahlungen bei Sanktionsverstößen ausdrücklich aus. Prüfen Sie die Versicherungsbedingungen deshalb frühzeitig als festen Punkt im Entscheidungsprozess, nicht erst, nachdem die Zahlung bereits angewiesen wurde.

Wie unterstützt eine GRC-Plattform die Vorbereitung auf diese Entscheidung?

Eine Plattform wie KaitoSec bildet Krisenstab-Playbooks, Sanktionsprüfungs-Schritte und Meldefristen als nachvollziehbare, dokumentierte Prozesse ab und hält damit Nachweise für die Business Judgment Rule vor. Die eigentliche Zahlungsentscheidung bleibt dabei immer eine menschliche Entscheidung der Geschäftsführung, das lässt sich in einer Demo am eigenen Beispiel durchspielen.