Lösegeldzahlungen bei Cybererpressungen mit Ransomware aus gesellschaftsrechtlicher Sicht

»Ransom Payments in Cases of Cyber Extortion Involving Ransomware from a Company Law Perspective. Liability of the Members of the Management Board of a Public Limited Company under Section 93(2) Sentence 1 of the German Stock Corporation Act (AktG)«: Ransomware attacks force board members to make decisions under extreme time pressure and often require them to act in situations where the legal position is unclear. This study examines whether the board of directors of a public limited company may pay a ransom to cybercriminals without incurring liability under section 93(2) sentence 1 of the German Stock Corporation Act (AktG). It analyses the risks of criminal liability, decision-making in a legally ambiguous situation, the application of the business judgement rule, and the consequences in terms of legal economics, whilst developing recommendations for legal policy.
Die Arbeit untersucht die Innenhaftung von Vorstandsmitgliedern einer Aktiengesellschaft nach § 93 Abs. 2 S. 1 AktG im Kontext von Lösegeldzahlungen nach Cybererpressungen mit Ransomware. Im Mittelpunkt steht die Frage, ob der Vorstand eine Lösegeldzahlung genehmigen kann, ohne ein erhebliches Haftungsrisiko einzugehen. Die Arbeit geht auf das grundlegende Problem des Vorstandshandelns bei unklarer Rechtslage ein. Letztlich wird ein Vorgehen über einen qualifizierten, unabhängigen Rechtsrat sowie eine umfassende Gesamtabwägung befürwortet. Im Ergebnis ist die Entscheidung für eine Lösegeldzahlung nicht per se rechtswidrig; ausschlaggebend sind eine Einzelfallprüfung, eine Orientierung am Unternehmensinteresse sowie eine sorgfältige Dokumentation. Es verbleiben jedoch straf- und gesellschaftsrechtliche Risiken, weshalb eine enge Abstimmung mit juristischer Expertise und Strafverfolgungsbehörden empfohlen wird.