Das Landesarbeitsgericht (LAG) Köln hat mit Urteil vom 31.07.2026 (Az. 8 SLa 603/25) die fristlose Kündigung eines „Head of Global Treasury" bestätigt und seine volle Schadensersatzhaftung bejaht. Der Mann hatte nach einem CEO-Fraud in 25 Tagen knapp 60 Überweisungen über mehr als 50 Mio. Euro veranlasst. Bemerkenswert ist die Begründung: Eine Erleichterung nach den Grundsätzen der beschränkten Arbeitnehmerhaftung lehnte das Gericht ab, weil der Arbeitgeber für die Führungskraft eine D&O-Versicherung finanziert hatte. Für Finanz- und Treasury-Verantwortliche ist der Fall damit ein Lehrstück zur CEO-Fraud Haftung. Das Urteil ist nicht rechtskräftig; die Revision ist beim Bundesarbeitsgericht (BAG) unter Az. 2 AZR 164/26 anhängig.
CEO-Fraud Haftung: Was das LAG Köln entschieden hat
In der Vorinstanz hatte das Arbeitsgericht Köln (Az. 2 Ca 5592/24) entschieden; das LAG bestätigte nun die außerordentliche Kündigung und wertete das Verhalten als grob fahrlässig. Entscheidend ist die Haftungsfrage: Bei betrieblich veranlasster Tätigkeit greift grundsätzlich die beschränkte Arbeitnehmerhaftung — bei leichter Fahrlässigkeit trägt der Arbeitgeber den Schaden, bei mittlerer wird er geteilt. Diese Erleichterung verweigerte das LAG, weil die arbeitgeberfinanzierte Police den Angestellten „wie eine gesetzliche Haftpflichtversicherung" schütze. Die Argumentation stützt sich auf eine Entscheidung des BAG vom 28.10.2010 (Az. 8 AZR 418/09): Eine freiwillig abgeschlossene Privathaftpflichtversicherung wirkt sich — anders als eine Pflichtversicherung — grundsätzlich nicht auf die Verteilung des Betriebsrisikos aus. Die für die Führungskraft abgeschlossene Police hatte eine Deckungssumme von bis zu 150 Mio. US-Dollar. Offen bleibt allerdings, wie das Gericht den Tenor gefasst hat: ob es eine Verurteilung zur Zahlung aussprach oder die Ersatzpflicht lediglich feststellte, ist aus den vorliegenden Unterlagen nicht eindeutig zu entnehmen.
Caller-ID-Spoofing und Messenger: So lief der CEO-Fraud
Die Täter kombinierten mehrere Social-Engineering-Techniken. Die erste Kontaktaufnahme erfolgte über die im dienstlichen Telefonverzeichnis hinterlegte Nummer des Vorgesetzten — per Caller-ID-Spoofing erschien sie auf dem Display. Das Narrativ: Der Vorgesetzte plane die Gründung einer neuen Gesellschaft in Asien, der Manager solle dort Finanzvorstand werden. Diese Mischung aus Karrierechance, angeblicher Geheimhaltung und Zeitdruck gehört zum Standardrepertoire von Business Email Compromise (BEC), dem Oberbegriff für CEO-Fraud- und Fake-President-Maschen. Identitäten werden dabei gespooft und Spear-Phishing mit sozialer Manipulation verbunden; die angezeigte Rufnummer oder Absenderadresse ist kein Vertrauensbeweis. Weitere Zahlungsanweisungen kamen über einen Messenger-Dienst auf die private Mobilfunknummer des Managers. Eine persönliche Rückversicherung beim angeblichen Vorgesetzten nahm er zu keinem Zeitpunkt vor. Warnsignale wie ungewöhnliche Kommunikationswege, das Umgehen interner Freigaben und hohe Auslandsüberweisungen blieben unerkannt.
D&O-Police als Bumerang: Warum die Versicherung nicht entlastet
Der Arbeitgeber hatte für die Führungskraft bereits vor Beginn des Arbeitsverhältnisses eine D&O-Versicherung (Manager-Haftpflicht) abgeschlossen und bezahlt. Sie entfaltete vor Gericht den gegenteiligen Effekt: Statt den Manager zu entlasten, begründete sie die volle persönliche Haftung. Zugleich ist offen, ob die Police überhaupt zahlt — viele D&O-Policen schließen neben Vorsatz auch wissentliche Pflicht- oder Weisungsverstöße aus. In der arbeitsrechtlichen Fachdebatte wird deshalb gewarnt, die Police könne sich für Führungskräfte zum „Bumerang" entwickeln. Der Betrugsfall selbst folgt dem Muster der fake president fraud, bei der sich Angreifer als Vorstand ausgeben und Zahlungen anweisen. Ob das BAG diese Bewertung mitträgt, ist offen — bis dahin bleibt die Versicherung ein Risikofaktor, kein Freibrief.
Prävention: Rückrufverfahren, Vier-Augen-Prinzip und Messenger-Regeln
Aus dem Fall lassen sich konkrete organisatorische Lehren ziehen — einen technischen Patch gibt es nicht. Kern ist ein konsequentes Rückrufverfahren: Zahlungsanweisungen, besonders bei Auslandsüberweisungen und neuen Empfängern, müssen über eine bekannte, im Verzeichnis hinterlegte Nummer verifiziert werden — die angezeigte Rufnummer allein ist kein Beweis. Ergänzend helfen ein striktes Vier-Augen-Prinzip, feste Freigabegrenzen und verbindliche Regeln für Instant-Messaging-Kanäle, die für Zahlungsaufträge tabu sein sollten. E-Mail-Gateways und die regelmäßige Sensibilisierung der Mitarbeitenden gegen Social Engineering und Spear Phishing ergänzen die technische Seite. Entscheidend ist, dass diese Kontrollen nicht als Formalie, sondern als Sperre gegen genau jenes Geheimhaltungs- und Zeitdrucknarrativ wirken, das im Kölner Fall erfolgreich war.
Fazit: Haftung trifft die Führungskraft, Kontrolle das Unternehmen
Das Kölner Urteil verschiebt den Blickwinkel: Wer über weitreichende Überweisungsbefugnisse verfügt, trägt ein persönliches Haftungsrisiko, das eine arbeitgeberfinanzierte D&O-Police nicht automatisch abfedert — sie kann es sogar verschärfen. Ob das BAG diese Linie mitträgt, ist offen; die Revision beim Bundesarbeitsgericht (Az. 2 AZR 164/26) dürfte die Haftungsbeschränkung bei bestehender D&O-Deckung neu vermessen. Unternehmen sollten den Fall zum Anlass nehmen, Freigabeprozesse, Rückrufverfahren und Messenger-Regeln unabhängig vom Versicherungsschutz zu härten. Der wirksamste Schutz ist kein Papier, sondern ein Prozess, den auch ein täuschend echter Anruf nicht aushebeln kann.