Wenn der Hacker zuschlägt, haftet dann der Chef? Persönliche Haftung des Verwaltungsrats bei Cybervorfällen in der Schweiz.

NEWS VOM 11. AUGUST 2026

Cyberangriffe gehören längst zum Alltagsrisiko Schweizer Unternehmen. Was viele Verwaltungsräte dabei unterschätzen. Nicht nur die Firma haftet für die Folgen, unter Umständen haftet auch Geschäftsleitung persönlich mit ihrem Privatvermögen. Was das Schweizer Obligationenrecht dazu sagt, und warum ein Bundesfall zeigt, dass das Thema längst keine Theorie mehr ist.

Was bedeutet Verwaltungsratshaftung im Cyberkontext?

Unter aktienrechtlicher Verantwortlichkeit versteht man die persönliche Haftung von Verwaltungsratsmitgliedern für Schäden, die durch eine schuldhafte Pflichtverletzung entstehen. Im Cyberkontext, wenn der Verwaltungsrat seine Aufsichts- und Führungspflichten bei der IT-Sicherheit vernachlässigt und der Gesellschaft dadurch ein Schaden entsteht, etwa durch einen Betriebsunterbruch, ein Lösegeld oder eine Klage geschädigter Dritter, kann er dafür persönlich einstehen müssen.

Es braucht keine eigene «Cybersicherheitsklausel» im Gesetz. Die Haftung stützt sich auf die allgemeinen, seit Jahrzehnten bestehenden Sorgfalts- und Aufsichtspflichten des Verwaltungsrats, die heute konsequent auch auf digitale Risiken angewendet werden.

Warum das Thema für Verwaltungsräte immer wichtiger wird, die Frage der Cyberverantwortung ist längst nicht mehr nur ein Thema für Banken oder kritische Infrastrukturen. Auch KMU-Verwaltungsräte sehen sich zunehmend mit Erwartungen konfrontiert, etwa durch 

• die laufend steigende Zahl gemeldeter Cybervorfälle beim Bund 
• die seit 2023 verschärften Kernpflichten des Verwaltungsrats im revidierten Aktienrecht 
• die seit September 2023 geltenden, strengeren Anforderungen des Datenschutzgesetzes 
• die seit April 2025 bestehende Meldepflicht für Cyberangriffe auf kritische Infrastrukturen 
• wachsende vertragliche Erwartungen von Kunden und Partnern an nachweisbare IT-Sicherheit

Gerade weil Cyberangriffe heute Betriebsrisiko Nummer eins sind, erwarten Gerichte, Aufsichtsbehörden und Geschäftspartner zunehmend klare Antworten darauf, wer im Verwaltungsrat wofür verantwortlich war. Eine gute Cyberstrategie ersetzt zwar keine Versicherung, eine gute Versicherung ersetzt aber auch keine Sorgfaltspflicht.

Was das Gesetz tatsächlich verlangt, drei Artikel des Obligationenrechts bilden das Rückgrat der Haftung

• Art. 716a Abs. 1 Ziff. 1 OR (Oberleitung): Der Verwaltungsrat muss die strategischen Ziele und die Organisation der Gesellschaft festlegen. Cybersicherheit gehört zwingend in diese Gesamtstrategie und darf nicht blockiert oder ignoriert werden.
• Art. 716a Abs. 1 Ziff. 5 OR (Oberaufsicht): Auch wenn die operative Umsetzung an die IT-Abteilung oder einen externen Dienstleister delegiert wird, bleibt der Verwaltungsrat für die Überwachung verantwortlich und muss diese Kontrolle nachweisen können.
• Art. 754 OR (Verantwortlichkeit): Verletzt der Verwaltungsrat diese Pflichten fahrlässig und entsteht daraus ein finanzieller Schaden, haftet er dafür mit seinem privaten Vermögen.

Die Auslagerung der IT-Sicherheit an einen MSP oder eine interne Abteilung schafft zusätzliche Sicherheit, entbindet den Verwaltungsrat aber nicht automatisch von der Verantwortung.

Was hilft?

• Eine dokumentierte, regelmässig traktandierte Cyberstrategie auf VR-Ebene
• Klare, schriftliche Verträge mit IT-Dienstleistern inklusive Verantwortlichkeiten und Incident-Response-Prozessen
• Nachweisbare Kontrolle statt blindem Vertrauen in die IT-Abteilung

Was nicht ausreicht.

• Ein mündliches «Wir haben darüber gesprochen» ohne Protokoll
• Die reine Annahme, ein Cyberangriff sei automatisch höhere Gewalt
• Eine Cyberversicherung ohne dahinterliegendes Risikomanagement

Sorgfalt ersetzt keine Technik, und Technik ersetzt keine Sorgfalt. Beides muss zusammenspielen, dokumentiert und regelmässig überprüft werden.

Der Fall Xplain im Jahr 2023. Kein Urteil, aber ein Weckruf. Ein Gerichtsurteil, dass einen Schweizer Verwaltungsrat wegen mangelhafter Cybersicherheit persönlich zur Kasse gebeten hätte, gibt es bis heute nicht. Der Fall Xplain zeigt aber eindrücklich, wie schnell Behörden aktiv werden, wenn Sorgfaltspflichten bei der Datensicherheit verletzt werden. 2023 wurde die Berner IT-Firma Xplain, eine Softwareanbieterin für Bundesbehörden, Opfer eines Ransomware-Angriffs. Rund 900 Gigabyte Daten wurden gestohlen, darunter hochsensible Informationen des Bundes. Der Eidgenössische Datenschutz- und Öffentlichkeitsbeauftragte stellte in drei Untersuchungsberichten fest, dass sowohl der Bund als auch Xplain ihre Sorgfaltspflichten verletzt hatten, und besonders pikant; Xplain wurde in 15 Jahren Zusammenarbeit nie einer Sicherheitsüberprüfung unterzogen.

Eine zivilrechtliche Verantwortlichkeitsklage gegen den Verwaltungsrat gab es bislang nicht. Doch genau die Massstäbe, die der Datenschutzbeauftragte hier angelegt hat, wären auch der Ausgangspunkt für eine solche Klage. Der Fall macht deutlich, dass es nicht erst ein Urteil braucht, damit ein mangelhafter Umgang mit Cybersicherheit sichtbar und zum Problem wird.

Wichtige Fragen, die sich jeder Verwaltungsrat stellen sollte, bevor der nächste Cybervorfall zeigt, wo die Lücken liegen, lohnt sich der Blick auf einige Grundfragen: Steht Cybersicherheit regelmässig und dokumentiert auf der Traktandenliste des Verwaltungsrats? Existiert ein aktueller, getesteter Notfallplan, der auch offline funktioniert? Sind Verantwortlichkeiten mit externen IT-Dienstleistern vertraglich klar geregelt? Und kann die Gesellschaft im Ernstfall lückenlos belegen, welche Massnahmen sie getroffen hat? Wer diese Fragen heute nicht klar beantworten kann, sollte spätestens jetzt damit beginnen.

Empfehlungen für einen strukturierten Ansatz, ein wirksamer Umgang mit dem Haftungsrisiko beginnt nicht bei der Technik, sondern bei der Governance. Bewährt haben sich unter anderem folgende Schritte.

1. Cyberrisiken als fixes Traktandum jeder Verwaltungsratssitzung verankern
2. Externe Expertise gezielt einholen, etwa über einen Beirat oder einen erfahrenen MSP
3. Verträge mit IT-Dienstleistern auf Haftungssummen und Incident-Response-Pflichten prüfen
4. Entscheidungen und Risikoabwägungen des Verwaltungsrats lückenlos protokollieren
5. Notfallpläne regelmässig testen und aktualisieren

So wird Cybersicherheit von einem IT-Thema zu einem festen Bestandteil der Unternehmensführung.

Fazit

Die gesetzliche Grundlage für die persönliche Haftung des Verwaltungsrats bei Cybervorfällen ist in der Schweiz nicht neu, ihre konsequente Anwendung auf digitale Risiken aber schon. Auch wenn noch kein Gerichtsurteil einen Verwaltungsrat deswegen zur Kasse gebeten hat, zeigt der Fall Xplain, wie genau Behörden inzwischen hinschauen. Wer als Verwaltungsrat heute vorsorgt, schützt nicht nur sein Unternehmen, sondern auch sich selbst.

Sie möchten wissen, wie es um die Cybersicherheits-Governance in Ihrem Unternehmen steht und wo aus VR-Sicht noch Lücken bestehen? Wir von der IT-S unterstützen Sie gerne dabei, Ihre Cyberstrategie und Notfallpläne so aufzustellen, dass Sie im Ernstfall nicht nur technisch, sondern auch rechtlich auf der sicheren Seite stehen. 

Lassen Sie Cyberrisiken nicht erst im Ernstfall zum Verwaltungsratsthema werden. Prüfen Sie jetzt Ihre Cyberstrategie, Verantwortlichkeiten und Notfallpläne. Wir unterstützen Sie dabei gerne.