Es gibt Themen, die jahrelang am Rand einer Tagesordnung stehen und irgendwann in ihre Mitte rücken, ohne dass sich der eine Moment benennen ließe, in dem der Wechsel stattgefunden hat. Cyber Security ist ein solches Thema. Zwei Jahrzehnte lang galt sie als Betriebsthema, zuständig war die IT, und das Gremium erfuhr davon, wenn etwas ausgefallen war. Diese Arbeitsteilung war nicht nachlässig, sondern vollkommen üblich. Inzwischen hat sie sich verschoben, leise, aber vollständig, denn seit Dezember 2025 ist Cyber Security in Deutschland ausdrücklich Aufgabe der Unternehmensspitze, ohne Übergangsfrist, und der Kreis der betroffenen Einrichtungen ist von rund 4.500 auf etwa 29.500 gewachsen. Was daraus für Aufsichtsräte und Beiräte folgt, ist weniger eine juristische Frage als eine kulturelle.
DER SATZ, DER SEINE SELBSTVERSTÄNDLICHKEIT VERLOREN HAT.
„Das macht doch die IT“ war lange kein Versäumnis, sondern eine vernünftige Aufgabenverteilung. Dass dieser Satz heute anders klingt, hat mit einer Entwicklung zu tun, die sich in bemerkenswert kurzer Zeit vollzogen hat. Der Schaden für die deutsche Wirtschaft durch Datendiebstahl, Spionage und Sabotage liegt laut Bitkom bei 289,2 Milliarden Euro im Jahr, 87 Prozent der Unternehmen waren betroffen, 59 Prozent halten Cyberangriffe für existenzbedrohend, und dennoch hält sich nur die Hälfte für gut vorbereitet. Zwischen der Vorstellung, es handle sich um ein technisches Detail, und der heutigen Einordnung als Leitungsaufgabe liegen keine dreißig Jahre, sondern vielleicht fünf. Bei den meisten Vorständen ist diese Verschiebung angekommen, in vielen Gremien ist sie es noch nicht.
NICHT ERWÄHNT – UND TROTZDEM GEMEINT.
Das neue Regelwerk nimmt die Geschäftsleitung in die Pflicht, sie muss Schutzmaßnahmen absegnen, deren Umsetzung überwachen und selbst an Schulungen teilnehmen. Vom Aufsichtsrat ist an keiner Stelle die Rede, und genau daraus entsteht in vielen Gremien ein Trugschluss, der sich später als kostspielig erweisen kann. Denn die Verantwortung des Aufsichtsrats hängt gar nicht an diesem Gesetz, sondern an einer sehr viel älteren Regel, die es gab, lange bevor irgendjemand das Wort Cyber benutzte: Der Aufsichtsrat überwacht den Vorstand in allem, was dieser tut, und dazu gehört auch die Frage, ob er seine gesetzlichen Pflichten erfüllt. Der Maßstab ist dabei fairer, als viele fürchten, denn niemand verlangt, dass ein Aufsichtsrat eine Firewall konfigurieren kann. Verlangt wird, dass er genug versteht, um beurteilen zu können, was regelmäßig auf seinen Tisch kommt, und dass er sich Rat von außen holt, wo ihm das Wissen fehlt.
WARUM ENTGEGENNEHMEN NOCH KEINE ÜBERWACHUNG IST.
Wie ernst die Gerichte diesen Maßstab inzwischen nehmen, hat der Bundesgerichtshof im Herbst 2025 gezeigt, in einem Fall, der mit Technik nichts zu tun hatte und gerade deshalb so lehrreich ist. Eine kleine Gesellschaft, ein Vorstand, der das eigentliche Geschäft weitgehend eingestellt hatte, und ein Aufsichtsratsvorsitzender, der seine Kontrolle über Jahre auf gelegentliche Gespräche beschränkte, teils bei zufälligen Begegnungen im Alltag, weil die Firma ohnehin kaum aktiv sei. Die Vorinstanzen hielten das für vertretbar, der Bundesgerichtshof nicht. Berichtet werden muss regelmäßig, auch dann, wenn gerade keine Geschäfte laufen, weil selbst der Stillstand etwas über die Lage aussagt. Entscheidend ist jedoch der zweite Teil: Der Aufsichtsrat darf sich auf diese Berichte nicht verlassen. Bleiben sie aus oder sind sie dünn, unklar oder geglättet, muss er nachhaken, mit Nachdruck einfordern und notfalls selbst nachforschen. Wer nichts hört, muss fragen, und diese Pflicht trifft jedes einzelne Mitglied, nicht nur den Vorsitz.
DIE STILLE UMKEHR: SORGFALT MUSS BELEGBAR SEIN.
Damit rückt ein Punkt in den Vordergrund, der Mandatsträger fast immer überrascht, wenn er zum ersten Mal fällt. Kommt es zum Streit, muss nicht die Gegenseite belegen, dass ein Gremium seine Sorgfaltspflichten verletzt hat, sondern das Gremium muss belegen, dass es ihnen nachgekommen ist. Es genügt also nicht, sorgfältig gearbeitet zu haben, man muss es Jahre später zeigen können, womöglich gegenüber Menschen, die alte Vorgänge mit heutigem Wissen durchleuchten. Wer dann keine protokollierten Berichte, keine notierten Nachfragen und keine Beschlüsse vorlegen kann, steht schlecht da, unabhängig davon, wie gewissenhaft er tatsächlich gearbeitet hat. Dokumentation ist in dieser Logik kein Verwaltungsakt, sondern der Nachweis dafür, dass Aufsicht stattgefunden hat.
DIE POLICE BERUHIGT – ABER SIE SCHLIEßT NICHT JEDE LÜCKE.
An dieser Stelle fällt regelmäßig der Hinweis auf die Manager-Haftpflicht, die das Risiko schon abfangen werde. Grundsätzlich stimmt das, die persönliche Verantwortung für solche Versäumnisse ist versicherbar. Die Einschränkungen liegen jedoch im Kleingedruckten, denn eine solche Police deckt weder Sanktionen gegen das Unternehmen selbst noch die Folgen eines Angriffs, also Forensik, Wiederaufbau der Systeme oder Produktionsausfälle, wofür es eine eigene Cyber-Versicherung braucht. Hinzu kommt, dass Versicherer die Einhaltung bestimmter Sicherheitsstandards zunehmend zur Bedingung machen und im Schadensfall auch danach fragen. Die Versicherung wird damit zu einer zweiten Aufsicht, die über die Frage, ob sie zahlt, kontrolliert, ob im Unternehmen wirklich geschieht, was nötig wäre.
WARUM GREMIEN ÜBERHAUPT IN DIESE LAGE GERATEN.
Bleibt die Frage, warum ein Risiko, dessen Vorzeichen jahrelang sichtbar waren, so viele Gremien überrascht. Die Antwort hat weniger mit Nachlässigkeit zu tun als mit der Art, wie Aufsichtsräte zusammengesetzt werden, denn berufen wird, wer Erfahrung mitbringt, einen Track Record, eine Bilanz, die belegt, dass er es kann. Das war lange richtig, es ist aber eine Auswahl, die nach hinten schaut, weil Menschen ausgewählt werden, weil sie die Vergangenheit beherrscht haben, und anschließend die Aufgabe übernehmen, über die Zukunft zu wachen. Auswertungen der Qualifikationsprofile in der DAX-Familie zeigen, dass mehr als zwei Drittel der Aufsichtsräte Branchen- und Nachhaltigkeitsexpertise ausweisen, während Digitalisierungskompetenz deutlich geringer ausgeprägt ist. Die naheliegende Antwort, einen Experten in das Gremium zu holen, greift dabei kürzer, als sie verspricht, weil ein einzelner Fachmann ein Gremium nicht kompetent macht, sondern bequem: Sobald jemand da ist, der es angeblich versteht, hört der Rest auf zu fragen, obwohl die Verantwortung unverändert bei allen liegt.
KÜNSTLICHE INTELLIGENZ IST DIE NÄCHSTE RUNDE – UND SIE LÄUFT BEREITS.
Wer nun hofft, mit der Cyber Security sei die Lernkurve abgearbeitet, sollte auf den Kalender schauen, denn seit August 2026 greifen die zentralen Vorgaben der europäischen KI-Verordnung, und sie verlangen, dass bei riskanten Systemen ein Mensch die Kontrolle behält, den Betrieb versteht und eingreifen kann. Wer diese Aufsicht organisiert und wer am Ende dafür geradesteht, ist in vielen Häusern ungeklärt, und die Parallele drängt sich auf, denn auch die Cyber Security begann als Betriebsthema und verschob sich in wenigen Jahren zur Leitungsverantwortung. Der Unterschied liegt darin, dass Künstliche Intelligenz schwerer zu fassen ist, weil sie kein Ereignis ist, sondern eine Durchdringung, die nicht in einem System sitzt, das man absichern könnte, sondern in Entscheidungen, die überall im Unternehmen getroffen werden, oft ohne dass jemand sie überhaupt als solche erkennt.
WAS DAS FÜR DIE NÄCHSTE SITZUNG BEDEUTET.
Aus alledem folgt ein Pflichtenprogramm, das ohne technische Spezialkenntnisse umsetzbar ist, weil es im Kern aus Fragen, Frequenz und Protokoll besteht. Cyber Security gehört als ständiger Tagesordnungspunkt in den Regelbetrieb und nicht als Sonderthema nach einem Vorfall, die Berichterstattung sollte regelmäßig und schriftlich erfolgen, mit Umsetzungsstand, offenen Risiken und anstehenden Prüfungen, und die Rückfragen dazu gehören ins Protokoll, weil die passive Entgegennahme eines Berichts gerade keine Überwachung mehr ist. Ein Gespräch mit dem Versicherer über den tatsächlichen Umfang der eigenen Police kostet einen Termin, dessen Ausbleiben im Ernstfall erheblich teurer werden kann, und vor allem gehört all das an einen Ort archiviert, denn was Jahre später niemand mehr findet, hat es nie gegeben.
WAS BLEIBT.
Das eigentlich Bemerkenswerte an der neuen Lage ist nicht die Höhe möglicher Sanktionen, sondern die Verschiebung des Maßstabs. Lange galt in vielen Gremien die stillschweigende Übereinkunft, dass Cyber Security dann zum Thema wird, wenn etwas passiert ist. Diese Logik trägt nicht mehr, denn entscheidend ist nicht, ob es einen Vorfall gab, sondern ob die Arbeit des Gremiums die Sorgfaltspflichten erkennbar erfüllt hat, auch dann, wenn nichts geschehen ist. Damit kehrt sich die übliche Reihenfolge um: Die Arbeit muss geleistet werden, bevor sie sich rechtfertigen lässt. Zur Dramatisierung besteht dabei kein Anlass, denn die persönliche Inanspruchnahme von Aufsichtsräten bleibt der Ausnahmefall. Nur zeigen die Entwicklungen alle in dieselbe Richtung, und wer heute ein Mandat trägt, muss kein IT-Experte werden, sollte aber aufhören, davon auszugehen, dass jemand anderes zuständig ist. Genau darum geht es beim Board Summit 2027 unter dem Leitthema „Aufsichtsrat der Zukunft“: nicht um Technik, sondern um die Frage, welche Kompetenzen ein Gremium braucht, um Verantwortung tragen zu können, bevor der Ernstfall die Antwort erzwingt.
Alle Presseartikel der SELECTEAM Board Consulting AG: Zum Pressefach
