Fürsorgepflicht digital: Was Unternehmen ihren Organen schulden

Dieser Artikel ist für die Person geschrieben, die das Thema in die nächste Sitzung tragen will: den Sicherheitsverantwortlichen, die Compliance-Leiterin, den Assistenten der Geschäftsführung, der nach einem Vorfall gefragt wird, warum niemand vorbereitet war. Er liefert die Argumentationslinie in vier Schritten: warum das Thema bisher niemandem gehört, welche rechtlichen Anknüpfungspunkte es gibt, welche Schäden realistisch drohen und wie sich ein Programm angemessen dimensionieren, budgetieren und verankern lässt.

Die Zuständigkeitslücke: Warum das Thema niemandem gehört

Was Executive Exposure ist und woraus sie besteht, ist schnell erklärt: die private Auffindbarkeit von Führungskräften über Register, Melderegister, Adresshandel, Social Media und Leaks. Warum trotzdem kaum ein Unternehmen sie systematisch behandelt, hat einen organisatorischen Grund. Das Thema liegt genau zwischen den Abteilungen:

• HR versteht sich als zuständig für das Arbeitsverhältnis, nicht für die Wohnadresse des Vorstands. Private Lebensbereiche gelten dort zu Recht als tabu.
• Corporate Security sichert Standorte, Reisen und Veranstaltungen. Die digitale Auffindbarkeit im Privaten ist in klassischen Sicherheitskonzepten schlicht nicht vorgesehen.
• IT-Sicherheit endet am Firmenkonto. Das private Passwort des CFO in einem Leak, das Instagram-Profil seiner Tochter: außerhalb des Mandats.
• Datenschutz und Compliance prüfen, was das Unternehmen mit Daten tut, nicht, was Dritte mit den Daten der Organe tun.

Das Ergebnis ist eine Lücke, die erst nach dem ersten Vorfall sichtbar wird: nach dem Protestbesuch an der Privatadresse, nach dem täuschend echten Anruf bei der Buchhaltung, nach der Drohmail mit dem Namen der Kinder. Dann wird in Stunden improvisiert, was in Wochen hätte vorbereitet werden können. Wer das Thema an sich zieht, schließt keine Regelungslücke im Gesetz, sondern eine Zuständigkeitslücke im eigenen Haus.

Rechtliche Anknüpfungspunkte: ein nüchterner Überblick

Vorab die wichtigste Klarstellung, weil hier oft übertrieben wird: Eine ausdrückliche gesetzliche Pflicht, für Organe und Führungskräfte ein Privacy-Schutzprogramm zu beauftragen, existiert nicht. Wer intern mit einer solchen Pflicht argumentiert, macht die eigene Position angreifbar. Tragfähig ist die vorsichtigere Linie: Es gibt Anknüpfungspunkte, aus denen sich Handlungsbedarf ableiten lässt.

• § 618 BGB: Der Dienstberechtigte hat Dienstleistungen so zu regeln, dass der Verpflichtete gegen Gefahr für Leben und Gesundheit geschützt ist, soweit die Natur der Dienstleistung es gestattet. Die Norm gilt für Dienstverhältnisse und damit auch im Verhältnis zu Organen mit Dienstvertrag.
• § 241 Abs. 2 BGB: Jedes Schuldverhältnis verpflichtet zur Rücksicht auf die Rechte, Rechtsgüter und Interessen des anderen Teils. Wo die Berufung in ein Amt die Exposition erst schafft, liegt es nahe, die daraus entstehenden Risiken nicht allein der betroffenen Person zu überlassen.
• Arbeitsschutzgesetz: Es verpflichtet Arbeitgeber zu einer Beurteilung der Arbeitsbedingungen einschließlich psychischer Belastungen (§ 5 ArbSchG). Ob und wie weit es auf Organe anwendbar ist, ist eine Frage des Einzelfalls: Geschäftsführer und Vorstände sind regelmäßig keine Arbeitnehmer im arbeitsrechtlichen Sinn. Für exponierte Führungskräfte unterhalb der Organebene ist der Anknüpfungspunkt unmittelbarer.
• § 93 Abs. 1 AktG: Vorstandsmitglieder haben die Sorgfalt eines ordentlichen und gewissenhaften Geschäftsleiters anzuwenden. Daraus folgt eine Organisations- und Risikovorsorgeverantwortung. Es lässt sich vertreten, dass ein erkanntes, adressierbares Risiko für Schlüsselpersonen (und damit für die Handlungsfähigkeit des Unternehmens) nicht dauerhaft unbehandelt bleiben sollte.

Der Risikoblick: Welche Schäden realistisch drohen

Überzeugender als die Rechtslage ist in den meisten Gremien die Schadensbetrachtung. Die Größenordnung des Umfelds ist belegt: Die Bitkom-Studie Wirtschaftsschutz 2025 beziffert den jährlichen Gesamtschaden der deutschen Wirtschaft durch Datendiebstahl, Spionage und Sabotage auf 289,2 Milliarden Euro, davon 202,4 Milliarden durch Cyberangriffe; 87 Prozent der befragten Unternehmen waren betroffen. Für das spezifische Risiko exponierter Führungskräfte gibt es keine eigene amtliche Statistik. Die Schadensarten lassen sich trotzdem präzise benennen:

• Betrugsschäden: CEO-Fraud und verwandte Maschen setzen auf ausrecherchierte Details aus dem Umfeld der Führungskraft. Je mehr davon offen liegt, desto glaubwürdiger der Angriff.
• Betriebsunterbrechung: Eine Führungskraft, deren Familie bedroht wird, fällt aus. Nicht formal, aber faktisch: Aufmerksamkeit, Reisetätigkeit und Entscheidungsfähigkeit leiden über Wochen.
• Reputationsschaden: Kampagnen gegen Entscheidungsträger arbeiten mit privaten Details. Was über die Person gefunden wird, färbt auf das Unternehmen ab, und die Berichterstattung über einen Vorfall bleibt dauerhaft auffindbar.
• Verlust von Führungskräften: Wer nach einem Vorfall den Eindruck gewinnt, das Unternehmen habe ihn und seine Familie allein gelassen, zieht Konsequenzen. Das Signal an Kandidaten für Nachbesetzungen kommt hinzu.
• Krisenkosten: Der unvorbereitete Ernstfall bindet Anwälte, Kommunikationsberater und Personenschutz zu Eskalationspreisen. Ein vorbereitetes Krisen-Playbook ist um ein Vielfaches günstiger als die Improvisation.

Was „angemessen" bedeutet: Verhältnismäßigkeit statt Gießkanne

Das häufigste Gegenargument lautet: „Dann müssten wir das ja für alle machen." Müssen Sie nicht. Angemessen ist ein Programm, das sich an der tatsächlichen Exponiertheit orientiert, und die ist messbar. Ein praktikables Stufenmodell:

1. Stufe A, hohe Exponiertheit: Organe, Sprecherrollen, Personen mit kontroversen Entscheidungen (Stellenabbau, Standortschließungen, politisch aufgeladene Themen). Volles Programm: Assessment, Bereinigung, Familieneinbindung, Monitoring.
2. Stufe B, mittlere Exponiertheit: Führungskräfte mit Außenwirkung, etwa Werkleiter, Pressekontakte, Leitung von Konzernfunktionen. Assessment und Bereinigung, Familieneinbindung nach Befund.
3. Stufe C, Basisschutz: Schlüsselfunktionen ohne besondere Außenwirkung, etwa Buchhaltungsleitung und Assistenzen. Awareness und klare Prozesse statt Einzelanalysen.

Die Einstufung selbst ist eine halbtägige Übung mit Personalliste und Risikokriterien. Sie diszipliniert die Diskussion: Statt über ein diffuses Großprojekt wird über eine überschaubare Zahl konkreter Personen und Maßnahmen entschieden. Sinnvoll ist außerdem ein fester Auslöser im Prozess: Jede Neuberufung in eine Stufe-A-Funktion und jede absehbar kontroverse Entscheidung (Restrukturierung, Standortschließung) stößt die Einstufung neu an, damit der Schutz vor der Exposition steht und nicht ihr hinterherläuft.

Freiwilligkeit und Datenschutz: Ohne Einwilligung geht es nicht

Ein Exposure Assessment analysiert die private Auffindbarkeit einer Person. Das geht nur mit deren informierter, freiwilliger Einwilligung (Art. 6 Abs. 1 lit. a, Art. 7 DSGVO), und zwar aus zwei Gründen. Rechtlich: Der Beschäftigtendatenschutz ist seit dem EuGH-Urteil vom 30.03.2023 (C-34/21) im Umbruch, ein eigenständiges Beschäftigtendatengesetz liegt bislang nur im Entwurf vor; die Einwilligung ist die belastbare Grundlage. Praktisch: Ein Programm gegen den Willen der betroffenen Person funktioniert nicht, weil sie die Befunde umsetzen muss. Für Angehörige gilt das erst recht: Das Unternehmen kann Familienmitgliedern nichts vorschreiben, es kann nur anbieten und finanzieren.

Verbindlichkeit entsteht trotzdem, nur an anderer Stelle: Das Unternehmen verankert per Richtlinie, dass das Angebot besteht, wer es erhält, wer es verantwortet und wie berichtet wird. Die Teilnahme bleibt freiwillig; die Existenz des Programms ist es nicht.

Die Budgetargumentation

Die Kostenfrage entscheidet sich an der Vergleichsgröße. Neben Dienstwagen, D&O-Versicherung und Personenschutz wirkt ein Exposure-Programm nicht wie ein Sonderposten, sondern wie eine Lücke, die bisher niemandem aufgefallen ist. Zur Orientierung unsere Preisspannen:

Für die Vorlage im Gremium hat sich ein dreiteiliger Vorschlag bewährt: erstens ein Assessment für die am stärksten exponierte Person als Pilot, zweitens Entscheidung über die Programmbreite auf Basis des Befunds, drittens jährliche Wiederholungsmessung als fester Posten. So wird aus einer Grundsatzdebatte eine Investitionsentscheidung mit Messgröße.

Verankerung: Richtlinie, Zuständigkeit, Berichtsweg

1. Eine Richtlinie: wenige Seiten, die Anspruchsberechtigte, Stufenmodell, Freiwilligkeit, Datenschutz und Budgetrahmen festhalten. Ohne Dokument stirbt das Thema mit dem nächsten Personalwechsel.
2. Ein benannter Verantwortlicher: typischerweise Corporate Security oder der CISO, mit ausdrücklichem Mandat für die private Dimension. Entscheidend ist nicht die Abteilung, sondern dass genau eine Person zuständig ist.
3. Ein Berichtsweg: jährlicher Kurzbericht an Geschäftsführung oder Prüfungsausschuss mit Kennzahlen aus den Assessments. Was berichtet wird, bleibt bestehen.
4. Anschluss an bestehende Strukturen: Aufnahme ins Risikoregister, Verzahnung mit Krisenmanagement und Kommunikationsplan, Einwilligungs- und Datenschutzdokumentation über den Datenschutzbeauftragten.

Was schiefgeht, wenn HR es allein macht

Der häufigste Fehlstart: Das Thema wird als Benefit an HR gegeben und dort zu einem Wellness-Baustein neben Jobrad und Vorsorgeuntersuchung. Dann fehlt dreierlei. Die Sicherheitsperspektive: HR kann Befunde nicht nach Angriffsnutzen priorisieren und keinen Ernstfall führen. Die Vertraulichkeit: Führungskräfte legen private Befunde ungern in der Personalakte ab; ohne strikte Trennung von HR-Prozessen nimmt niemand teil. Und die Kontinuität: Als Benefit wird das Programm im nächsten Sparzyklus gestrichen, als Sicherheitsmaßnahme mit Berichtsweg nicht. HR gehört an den Tisch, etwa für Richtlinie und Onboarding neuer Organe. Die Führung gehört zur Sicherheitsorganisation.

Am Ende ist die Fürsorge-Frage einfacher, als die Zuständigkeitsdebatte sie erscheinen lässt: Das Unternehmen hat die Exposition seiner Organe geschaffen, es kennt sie und es kann sie mit überschaubarem Aufwand messen und reduzieren. Wer die Entscheidung vorbereitet, braucht dafür keine Rechtspflicht zu behaupten. Ein Befund aus dem ersten Assessment argumentiert stärker als jedes Gutachten.