Von Marcel Braun, CEO hendricks GmbH

Die Rolle des Aufsichtsrats hat sich grundlegend verändert.

Was früher häufig als Kontroll-, Beratungs- und Prestigeamt verstanden wurde, ist heute ein Hochrisikomandat. Cyberangriffe, künstliche Intelligenz, ESG, geopolitische Risiken, Lieferkettenprobleme, Sanktionen, Finanzierungsdruck und wachsende Regulierung verändern die Erwartungen an Kontrollgremien massiv.

Aufsichtsräte stehen heute in vielen Bereichen unter höherem Druck als Vorstände. Denn während der Vorstand operative Entscheidungen trifft, muss der Aufsichtsrat nachweisen können, dass er diese Entscheidungen verstanden, hinterfragt und angemessen überwacht hat.

Die entscheidende Frage lautet künftig nicht mehr nur:

Was hat der Vorstand falsch gemacht?

Sondern immer häufiger:

Warum hat der Aufsichtsrat es nicht erkannt?

Niemand erwartet, dass jedes Aufsichtsratsmitglied Cyberforensiker, KI-Experte oder ESG-Spezialist ist. Erwartet wird aber, dass Aufsichtsräte die wesentlichen Risiken ihres Unternehmens erkennen, die richtigen Fragen stellen und bei kritischen Themen nachfassen.

Bei Cyber stellt sich nach einem Angriff nicht mehr nur die Frage, ob die IT versagt hat. Es geht auch darum, ob Vorstand und Aufsichtsrat angemessene Strukturen, Budgets, Verantwortlichkeiten und Eskalationsprozesse geschaffen haben.

Bei KI wird künftig entscheidend sein, ob der Aufsichtsrat verstanden hat, wo künstliche Intelligenz eingesetzt wird, welche Entscheidungen sie beeinflusst und ob Governance, Transparenz und Kontrolle bestehen.

Bei ESG, Lieferketten und geopolitischen Risiken wird ebenfalls zunehmend gefragt, ob Kontrollgremien Risiken frühzeitig erkannt oder Warnsignale übersehen haben.

Fachliche Unkenntnis wird damit immer schwerer zur Entlastung. Aufsichtsräte müssen nicht alles selbst wissen. Aber sie müssen wissen, wann sie nachfragen, eskalieren und externe Expertise einholen müssen.

Besonders brisant ist eine Entwicklung, die viele Aufsichtsräte unterschätzen: Das größte Risiko kommt nicht immer von außen. Es kommt häufig aus dem eigenen Organverhältnis.

Ein Beitrag, der Kanzlei Heuking bereits am 28.09.2015 im Versicherungsmonitor erschienen, beschreibt genau dieses Szenario: Der Aufsichtsrat nimmt den Vorstand im Namen der Gesellschaft auf Schadensersatz in Anspruch. Der Vorstand verteidigt sich mit dem Argument, der Aufsichtsrat habe den Vorgang gekannt, gebilligt oder nicht verhindert. Anschließend verkündet der Vorstand dem Aufsichtsrat den Streit, um sich später gegebenenfalls bei diesem schadlos zu halten.

Damit wird aus der Kontrollfunktion des Aufsichtsrats plötzlich ein eigenes Prozess- und Haftungsrisiko.

Wir bei hendricks siehen diese Entwicklung seit Jahren als zunehmende Praxis in Managerhaftungsprozessen: Vorstände verteidigen sich, indem sie dem Aufsichtsrat eine Mitverantwortung zuschreiben und ihn dadurch in laufende Haftungsverfahren hineinziehen.

Ein klassisches Szenario: Der Vorstand tätigt eine große Akquisition. Später stellt sich heraus, dass der Kaufpreis überhöht war, Synergien nicht eintreten oder Risiken in der Due Diligence unterschätzt wurden.

Die Gesellschaft nimmt den Vorstand auf Schadensersatz in Anspruch.

Die Verteidigung des Vorstands lautet dann häufig:

„Der Aufsichtsrat war informiert. Der Aufsichtsrat hat zugestimmt. Der Aufsichtsrat hatte keine Einwände.“

Genau daraus entsteht das Problem. War der Unternehmenskauf zustimmungsbedürftig, rückt automatisch auch die Rolle des Aufsichtsrats in den Fokus. Hat er ausreichend geprüft? Hat er kritische Fragen gestellt? Hat er externe Beratung eingeholt? Hat er Alternativen diskutiert? Wurde die Entscheidung sauber dokumentiert?

In solchen Fällen kann eine Streitverkündung gegenüber dem Aufsichtsrat naheliegen. Heuking beschreibt diesen Mechanismus ausdrücklich als typische Konfliktsituation zwischen Vorstand und Aufsichtsrat unter einer gemeinsamen D&O-Police.

Noch deutlicher wird das Risiko bei Compliance-Fällen.

Der Vorstand wird wegen angeblich mangelhafter Compliance-Systeme, Korruptionsverdachts oder unzureichender Kontrollen in Anspruch genommen. Seine Verteidigung kann lauten:

„Der Aufsichtsrat erhielt regelmäßig Compliance-Berichte. Die Struktur wurde jahrelang gebilligt. Es gab keine Beanstandungen.“

Damit wird der Aufsichtsrat unmittelbar Teil der Haftungsdiskussion.

Denn wenn Berichte vorlagen, stellt sich automatisch die Frage, ob der Aufsichtsrat deren Inhalt verstanden, hinterfragt und ausreichende Konsequenzen eingefordert hat. Genau hierin liegt die neue Qualität der Aufsichtsratshaftung: Nicht nur eigenes aktives Fehlverhalten kann gefährlich werden, sondern auch unterlassene Kontrolle.

Bei gemeinsamer D&O-Deckung entsteht dann ein strukturelles Problem. Der Versicherer muss einerseits den Vorstand verteidigen und andererseits den Aufsichtsrat gegen die Vorwürfe des Vorstands schützen. Heuking beschreibt dies als nahezu unlösbaren Interessenkonflikt, weil der Versicherer im Ergebnis gleichzeitig für und gegen beide Organe argumentieren müsste.

Bei großen Bilanz-, Betrugs- oder Governance-Skandalen lautet eine der ersten öffentlichen Fragen:

Warum hat der Aufsichtsrat das nicht erkannt?“

Ob Bilanzmanipulation, komplexe Finanzstrukturen, fehlende interne Kontrollen oder externe Warnhinweise: Der Aufsichtsrat gerät in solchen Situationen regelmäßig in den Fokus.

Wirecard, Volkswagen Dieselgate, Greensill und Arcandor sind Beispiele für die wachsende Bedeutung von Aufsichtsratsrisiken und die Notwendigkeit eigenständiger Deckungslösungen.

Die Verteidigungslinie des Vorstands ist in solchen Fällen oft vorhersehbar: Man habe berichtet, gewarnt, Unterlagen vorgelegt oder Entscheidungen mit dem Aufsichtsrat abgestimmt. Ob das im Einzelfall zutrifft, muss ein Gericht klären. Für den Aufsichtsrat reicht aber schon die Einbeziehung in das Verfahren, um erhebliche persönliche, reputative und finanzielle Risiken auszulösen.

Der Arcandor-Fall zeigt besonders eindrücklich, dass Aufsichtsratshaftung kein theoretisches Risiko ist.

Das OLG Hamm entschied 2022, dass Schadensersatzansprüche gegen frühere Aufsichtsratsmitglieder im Zusammenhang mit nachteiligen Immobiliengeschäften begründet seien. Die geltend gemachten Beträge lagen im zweistelligen Millionenbereich; später zahlten D&O-Versicherer im Rahmen eines Vergleichs 76,5 Millionen Euro an die Insolvenzmasse.

Directors Academy weist darauf hin, dass der Arcandor-Fall exemplarisch zeigt, dass Aufsichtsräte haften können, wenn sie mögliche Ansprüche gegen Vorstände nicht prüfen oder verfolgen.

Gerade in Insolvenzfällen verschärft sich das Problem zusätzlich: Häufig werden zunächst Vorstände in Anspruch genommen. Dadurch werden erhebliche Teile der D&O-Versicherungssumme durch Anwaltskosten, Gutachten, Vergleiche und Abwehrkosten verbraucht. Wird später der Aufsichtsrat in Anspruch genommen, steht möglicherweise nur noch ein Bruchteil der ursprünglichen Deckung zur Verfügung. Dieses Risiko ist neben dem Interessenskonflikt das zentrale Argument für eine eigene Aufsichtsrats-D&O (HPTTT).

Ein sehr aktuelles Szenario betrifft künstliche Intelligenz.

Ein Vorstand beschließt eine große Investition in KI-Modelle, Cloud-Infrastruktur, Datenplattformen oder Automatisierungsprogramme. Der Aufsichtsrat stimmt zu. Jahre später zeigt sich: Die Investition rechnet sich nicht, Sicherheitsrisiken wurden unterschätzt, regulatorische Anforderungen wurden nicht erfüllt oder KI-Systeme treffen fehlerhafte Entscheidungen.

Dann wird nicht nur gefragt, ob der Vorstand falsch entschieden hat.

Es wird auch gefragt:

Auch hier kann die Verteidigung des Vorstands lauten:

„Der Aufsichtsrat hat die Investition genehmigt.“

Damit entsteht erneut die typische Konfliktlage zwischen Vorstand und Aufsichtsrat.

In der klassischen D&O-Police sind Vorstand und Aufsichtsrat häufig gemeinsam versichert. Das war lange üblich. In der heutigen Schadenpraxis wird daraus aber ein strukturelles Problem.

Heuking beschreibt den Kernkonflikt sehr klar: Wenn Vorstand und Aufsichtsrat unter einer einheitlichen Police versichert sind, muss der Versicherer dem Vorstand Abwehrdeckung gegen die Inanspruchnahme durch den Aufsichtsrat gewähren – und zugleich dem Aufsichtsrat Deckung gegen die Streitverkündung des Vorstands. Damit muss er im Ergebnis gleichzeitig für den Vorstand und gegen den Aufsichtsrat sowie für den Aufsichtsrat und gegen den Vorstand argumentieren.

Wir sehen darin einen erheblichen Interessenkonflikt innerhalb der Unternehmens-D&O, der mit einer eigenständige Deckung für Aufsichtsräte vermieden werden könnte.

Genau deshalb gewinnt eine separate HPTTT- bzw. Two-Tier-Trigger-Policy für Aufsichtsräte massiv an Bedeutung.

Sie ist keine Misstrauenserklärung gegenüber dem Vorstand. Sie ist Ausdruck professioneller Corporate Governance.

Eine HPTTT-Lösung adressiert drei zentrale Risiken:

1. Streitverkündung durch den Vorstand
Der Aufsichtsrat wird nicht unbedingt direkt durch die Gesellschaft verklagt. Er kann durch die Verteidigungsstrategie des Vorstands in das Verfahren hineingezogen werden. Dieses Risiko wird in der Praxis zunehmend sichtbar.

2. Interessenkonflikt des Versicherers
Eine gemeinsame D&O-Police kann den Versicherer in eine unauflösbare Zwickmühle bringen, wenn Vorstand und Aufsichtsrat gegensätzliche Interessen verfolgen. Heuking empfiehlt deshalb, Vorstand und Aufsichtsrat nicht in einer einheitlichen Police zu versichern – idealerweise nicht einmal bei derselben Gesellschaft.

3. Erschöpfung der Versicherungssumme
In Großschäden verbrauchen Vorstandsverteidigung, Gutachten, Anwaltskosten und Vergleiche oft erhebliche Teile der D&O-Kapazität, bevor der Aufsichtsrat überhaupt im Zentrum steht. Hendricks verweist in seiner Beratung genau auf dieses Risiko im Schadenfall geteilter Versicherungssummen für Vorstand und Aufsichtsrat.

Die größte Gefahr für den Aufsichtsrat ist heute nicht mehr nur die direkte Klage des Unternehmens.

Die größere Gefahr besteht darin, dass der Vorstand sich verteidigt, Mitverantwortung behauptet und dem Aufsichtsrat den Streit verkündet.

Spätestens dann zeigt sich, ob der Aufsichtsrat wirklich unabhängig geschützt ist.

Eine eigene HPTTT-D&O bietet in solchen Situationen entscheidende Vorteile: