Die Entscheidung im Überblick

Der Kläger leitete als Head of Global Treasury den Zahlungsverkehr einer Gesellschaft, die zu einer internationalen Unternehmensgruppe gehört. Am 11. Juli 2024 erhielt er auf seinem privaten Mobiltelefon einen Anruf von jemandem, der sich als Group CFO und sein direkter Vorgesetzter ausgab. Die weitere Kommunikation lief über seinen privaten WhatsApp-Account und seine private E-Mail-Adresse — WhatsApp war auf den Firmengeräten gar nicht installiert. Die Täter erfanden die Gründung einer geheimen Zwischenholding, ernannten ihn per „Appointment Letter” zu deren CFO und untersagten ihm unter Hinweis auf Vorgaben der Finanzaufsicht und Insiderrecht, mit irgendjemandem darüber zu sprechen, ausdrücklich auch nicht telefonisch mit dem echten Vorgesetzten (Rn. 14–16). Zwischen dem 15. Juli und dem 9. August 2024 veranlasste er 59 manuelle Überweisungen außerhalb des üblichen SAP-Prozesses, zusammen nach Angaben der Pressemitteilung mehr als 50 Millionen Euro. Das Vier-Augen-Prinzip wahrte er formal, indem er einen ihm unterstellten Mitarbeiter einband; als der echte CFO eine Auffälligkeit in der Liquiditätsanalyse bemerkte, ließ er dessen erklärende E-Mail zurückrufen und löschen (Rn. 36).

Das LAG Köln bestätigt die fristlose Kündigung. Grob fahrlässig handelte der Kläger nach Auffassung der Kammer nicht schon bei der ersten Zahlung, wohl aber jedenfalls ab dem 18. Juli 2024 — dem Tag, an dem er selbst in den Gruppenchat schrieb, er überweise rund neun bis zehn Millionen Euro „ohne jeden Nachweis” und ohne vernünftige Angaben zur Transaktion. „Damit hat der Kläger seinen Sorgfaltsverstoss eindeutig beschrieben und dokumentiert”, heißt es in Rn. 396. Entscheidend war für die Kammer die Verlagerung erheblicher Finanztransaktionen auf private Kommunikationswege, der fehlende direkte Kontakt zu den angeblichen Beteiligten über Wochen und ein Detail, das den Fall besonders macht: Der Kläger hatte zwei Monate zuvor selbst an einem Schulungsvideo über Deepfake-CEO-Betrug mitgewirkt, in dem sein Vorgesetzter die Regel ausgab: „Call me, don’t just act.” Dass die Täter hier nicht mit einem Deepfake, sondern mit einer gefälschten Anruferkennung arbeiteten, spielt nach Rn. 393 keine Rolle.

Auch auf die Widerklage haftet der Kläger voll. Ein Mitverschulden des Arbeitgebers verneint die Kammer: Eine konkretere Schulung als die, an der er selbst mitgewirkt habe, sei „nicht denkbar”; wie eine bessere IT-Sicherheit einen Angriff über das private Handy verhindert hätte, sei nicht ersichtlich; die Liquiditätsberichte hätten die Einzelzahlungen nicht erkennen lassen (Rn. 419–423). Neu ist die Begründung der vollen Haftung: Nach den Grundsätzen des Großen Senats des BAG kann selbst bei grober Fahrlässigkeit eine Haftungserleichterung in Betracht kommen, wenn der Schaden die Leistungsfähigkeit des Arbeitnehmers weit übersteigt. Die Kammer lehnt das ab, weil der Arbeitgeber dem Kläger eine D&O-Versicherung mit bis zu 150 Millionen US-Dollar Deckung je Schadensfall finanziert hatte. Eine solche Versicherung schließe das Risiko der Existenzvernichtung aus und nehme damit der Ausnahme von der vollen Haftung ihren Grund (Rn. 431–439). Nur in einem Punkt hatte die Berufung Erfolg: Der Kläger muss nur Zug um Zug gegen Abtretung der Rückforderungsansprüche gegen die Empfänger zahlen.

Die Kammer hat die Revision zugelassen, weil die Berücksichtigung der D&O-Versicherung in der Arbeitnehmerhaftung „umstritten ist und grundsätzliche Bedeutung hat” (Rn. 453).

Hintergrund und Einordnung

Die Entscheidung verbindet zwei Fragen, die in der Praxis meist getrennt betrachtet werden: wann das Hereinfallen auf Social Engineering grob fahrlässig ist, und wer den Schaden am Ende trägt. Zur ersten Frage zieht die Kammer eine klare Linie. Eine Überrumpelung in den ersten Tagen mag entschuldbar sein; wer aber über Wochen im Minutentakt mit einem angeblichen Vorgesetzten chattet, ohne ihn ein einziges Mal über den bekannten Dienstweg anzurufen, handelt grob fahrlässig. Besonders belastend wirkt, dass der Kläger seine Zweifel schriftlich festhielt und trotzdem weiter überwies.

Zur zweiten Frage betritt das LAG Neuland. Nach der Rechtsprechung des BAG bleibt eine freiwillig vom Arbeitnehmer abgeschlossene Haftpflichtversicherung bei der Haftungsverteilung außer Betracht, eine gesetzliche Pflichtversicherung dagegen überlagert die Haftungsprivilegierung. Die Kammer stellt die vom Arbeitgeber finanzierte D&O-Versicherung der Pflichtversicherung gleich. beck-aktuell zitiert den Kernsatz der Pressemitteilung: „Gerade diese Art der Versicherung lässt eine zusätzliche beschränkte Arbeitnehmerhaftung entfallen.” Die Kehrseite ist offen: D&O-Policen schließen Deckung bei Vorsatz und teils bei wissentlicher Pflichtverletzung aus, und der Kläger hatte vorgetragen, dass eine Deckungszusage fehle und Streit zwischen den sieben Deckungsebenen des Versicherungsprogramms drohe. Die Kammer hielt ihm entgegen, er trage die Beweislast für seine wirtschaftliche Überforderung.

Dirk Pauls (Pauls Cörper) leitet daraus für Unternehmen vier Punkte ab: Rückrufverfahren über bekannte Nummern und das Verbot von Zahlungsanweisungen über private Messenger festschreiben, Verstöße sauber dokumentieren, die Zwei-Wochen-Frist des § 626 Abs. 2 BGB bei der Aufklärung im Blick behalten und die D&O-Bedingungen auf Ausschlüsse prüfen.

Für die Praxis bedeutet das: Awareness-Schulungen sind nicht nur Prävention, sondern auch Beweismittel. Ein dokumentiertes Training mit einer klaren Regel („bei Zahlungsanweisungen immer Rückruf über die bekannte Nummer”) hat hier das Mitverschulden des Arbeitgebers ausgeschlossen. Für Führungskräfte im Zahlungsverkehr wiederum ist die D&O-Versicherung nach dieser Entscheidung kein reiner Schutz mehr, sondern kann die persönliche Haftung erst eröffnen. Ob das BAG dieser Linie folgt, ist offen.

Originalurteil

Der vollständige Urteilstext ist über die folgende Quelle abrufbar:

https://nrwe.justiz.nrw.de/arbgs/koeln/lag_koeln/j2026/8_SLa_603_25_Urteil_20260731.html