NIS2 Geschäftsführerhaftung: Warum E-Mail-Sicherheit jetzt Chefsache ist
Seit dem 6. Dezember 2025 gilt in Deutschland ein neues Zeitalter der Cybersicherheit. Mit dem NIS2-Umsetzungsgesetz haftet die Geschäftsleitung erstmals persönlich für die Umsetzung von Cybersicherheitsmaßnahmen. E-Mail-Sicherheit steht dabei ganz oben auf der Agenda – denn über 90 % aller Cyberangriffe beginnen mit einer E-Mail.
§38 BSIG: Persönliche Haftung der Geschäftsleitung
Das novellierte BSI-Gesetz ist in diesem Punkt unmissverständlich:
Die Geschäftsleitung muss die Risikomanagementmaßnahmen nach §30 billigen und deren Umsetzung überwachen. Kommt sie dieser Pflicht nicht nach, haftet sie persönlich.
Das bedeutet konkret:
- Billigung: Die Geschäftsleitung muss die Maßnahmen kennen und formal genehmigen
- Überwachung: Es reicht nicht, die IT-Abteilung zu beauftragen – die Umsetzung muss nachweislich kontrolliert werden
- Persönliche Haftung: Bei Pflichtverletzung haften Geschäftsführer mit ihrem Privatvermögen
Was passiert bei einem E-Mail-Sicherheitsvorfall?
Stellen Sie sich folgendes Szenario vor: Ein Mitarbeiter öffnet eine Phishing-Mail, Ransomware verschlüsselt kritische Systeme, Kundendaten werden exfiltriert.
Ohne NIS2-konforme Maßnahmen droht:
- Meldepflicht: 24 Stunden Frühwarnung an das BSI, 72 Stunden für den vollständigen Bericht
- Bußgeld: Bis zu 10 Mio. € oder 2 % des weltweiten Jahresumsatzes
- Persönliche Haftung: Die Geschäftsleitung wird zur Verantwortung gezogen
- Reputationsschaden: Öffentliche Bekanntmachung des Vorfalls
Die Bußgeld-Staffelung nach NIS2
| Kategorie | Maximales Bußgeld |
|---|---|
| Besonders wichtige Einrichtungen | 10 Mio. € oder 2 % des weltweiten Jahresumsatzes |
| Wichtige Einrichtungen | 7 Mio. € oder 1,4 % des weltweiten Jahresumsatzes |
Bemessungsgrundlage ist jeweils der höhere Betrag. Bei einem Unternehmen mit 600 Mio. € Umsatz wären das bis zu 12 Mio. € Bußgeld.
Die häufigsten E-Mail-Risiken für Geschäftsführer
1. Business Email Compromise (BEC)
Angreifer geben sich als CEO oder CFO aus und weisen Überweisungen an. Durchschnittlicher Schaden: 130.000 € pro Vorfall.
2. Phishing & Spear-Phishing
Gezielt gefälschte E-Mails mit Malware-Anhängen oder Credential-Harvesting-Links. KI macht diese Angriffe 2026 schwerer erkennbar als je zuvor.
3. Datenexfiltration per E-Mail
Sensible Daten verlassen unverschlüsselt das Unternehmen – ob absichtlich oder versehentlich. Ohne DLP-Maßnahmen oft unbemerkt.
4. Fehlende Verschlüsselung in der Lieferkette
Unverschlüsselte E-Mails an Partner und Zulieferer sind eine offene Flanke – und ein direkter Verstoß gegen §30 Nr. 5 und Nr. 8 BSIG.
3 Maßnahmen, die jeder Geschäftsführer JETZT umsetzen muss
Maßnahme 1: E-Mail-Verschlüsselung einführen
§30 Nr. 8 BSIG fordert Kryptografie-Konzepte. Das bedeutet:
- Automatische S/MIME oder PGP Verschlüsselung für sensible E-Mails
- TLS-Erzwingung für alle E-Mail-Verbindungen
- Dokumentiertes Schlüsselmanagement
Umsetzung mit Conbool: SecureMail automatisiert die Verschlüsselung direkt im Mailflow. Kein manueller Aufwand für Mitarbeiter.
Maßnahme 2: Bedrohungsschutz aktivieren
§30 Nr. 2 BSIG fordert Incident Management. Das bedeutet:
- KI-basierte Erkennung von Phishing und Malware
- Quarantäne für verdächtige E-Mails
- Lückenloser Audit-Trail für Vorfallsanalyse
Umsetzung mit Conbool: MailGuard erkennt und neutralisiert Bedrohungen in Echtzeit – bevor sie das Postfach erreichen.
Maßnahme 3: Audit-Fähigkeit sicherstellen
Die Geschäftsleitung muss die Umsetzung nachweisen können. Das bedeutet:
- Revisionssichere Audit-Logs
- E-Mail-Tracing für jeden Vorfall
- Exportierbare Compliance-Reports
Umsetzung mit Conbool: Integriertes Tracing und Audit-Logging liefern den vollständigen Nachweis – auf Knopfdruck exportierbar.
Wie Conbool das Risiko für Geschäftsführer minimiert
Conbool macht E-Mail-Sicherheit für die Geschäftsleitung transparent und nachweisbar:
- Automatisierte Compliance: Verschlüsselung, Schutz und Audit laufen automatisch
- Compliance-Dashboard: Echtzeit-Überblick über den Sicherheitsstatus
- Audit-Ready: Vollständige Nachweise für BSI-Prüfungen
- Made in Germany: ISO 27001 Rechenzentren in Frankfurt und Berlin
Die Einrichtung dauert wenige Minuten. Die persönliche Haftung endet, sobald Sie nachweislich alle Maßnahmen umgesetzt haben.
Weiterführende Artikel:
