Auf Basis der Forschungsarbeiten von Dr. iur. Dr. rer. pol. Fabian M. A. Teichmann

Es ist der 19. Mai 2025, früh morgens. In der Papierfabrik Fasana GmbH im nordrhein-westfälischen Euskirchen drucken plötzlich alle Netzwerkdrucker gleichzeitig dasselbe Dokument aus: eine Erpressernotiz. Sämtliche IT-Systeme sind verschlüsselt. Kein Computer läuft, keine Maschine mit digitaler Steuerung ist ansprechbar, die Produktion steht still. Innerhalb von zwei Wochen entstehen Umsatzausfälle von rund zwei Millionen Euro. Das Maigehalt der 240 Beschäftigten kann nicht pünktlich ausgezahlt werden. Am 1. Juni 2025 – keine zwei Wochen nach dem Angriff – stellt das Management Insolvenzantrag.

Der Fall Fasana ist kein Ausreißer. Er ist ein Vorgeschmack auf das, was Teichmann in mehreren wissenschaftlichen Beiträgen als eine der drängendsten rechtlichen Fragen unserer Zeit beschreibt: Was passiert mit der Geschäftsführung, wenn ein Ransomware-Angriff das Unternehmen in die Insolvenz treibt – und wie schnell wird aus einem Opfer eines Verbrechens ein strafrechtlich Beschuldigter?

Der Fall Fasana: Ein Traditionsunternehmen, das keine Chance hatte

Teichmann analysiert den Fall Fasana als Wendepunkt in der Wahrnehmung von Cyberrisiken im Unternehmensrecht. Fasana, ein mehr als 100 Jahre altes Unternehmen der Papierindustrie, war erst wenige Wochen vor dem Angriff von einem neuen Investor übernommen worden und hatte keine ausreichenden finanziellen Reserven, um einen solchen Schock aufzufangen (Teichmann, Cyberangriff als Insolvenzauslöser: Der Fall Fasana als Weckruf, ZRI 2026, S. 6–13).

Das Ausmaß der Verwüstung war enorm. Der vorläufige Insolvenzverwalter berichtete, das Unternehmen habe nach dem Angriff nicht einmal mehr einen Lieferschein ausdrucken können. Rund 190 Rechner und Laptops mussten forensisch gesäubert und neu aufgesetzt werden. Drei Wochen nach dem Angriff war die IT noch immer nicht vollständig wiederhergestellt; in einzelnen Abteilungen arbeiteten alle Mitarbeiter an einem einzigen Computer, während ansonsten auf Zettel und Papier ausgewichen wurde (Teichmann, ZRI 2026, S. 6–13).

Fasana ist kein Einzelfall. Der Fahrradhersteller Prophete musste Ende 2022 Insolvenz anmelden, nachdem ein Cyberangriff seine ohnehin angespannte Lage kippte. Der Aachener Präzisionsmaschinenbauer Schumag folgte im Herbst 2024. Die Liste wird länger (Teichmann, Vom Cyberangriff in die Insolvenz – Der Fall Fasana und Lehren für den Mittelstand, InTeR 2025, S. 167–171).

Die unterschätzte Verbindung: Ransomware und Insolvenzrecht

Was viele Geschäftsführer nicht wissen: Ein Ransomware-Angriff ist nicht nur ein IT-Problem. Er kann innerhalb von Tagen insolvenzrechtliche Pflichten auslösen – mit strafrechtlichen Konsequenzen, wenn diese Pflichten nicht eingehalten werden.

Wenn ein Cyberangriff die Produktion lahmlegt, laufen die Fixkosten weiter: Mieten, Löhne, Lieferantenverbindlichkeiten. Ohne Umsatz bricht die Liquidität schnell ein. Sobald ein Unternehmen seine fälligen Verbindlichkeiten nicht mehr zu mindestens 90 Prozent innerhalb von drei Wochen erfüllen kann, liegt Zahlungsunfähigkeit im Sinne von § 17 InsO vor. In diesem Moment tritt eine der schärfsten Pflichten des deutschen Unternehmensrechts in Kraft: die Insolvenzantragspflicht nach § 15a InsO (Teichmann, Cyberbedingte Insolvenzreife und § 15a InsO: Zur straf- und haftungsrechtlichen Verantwortlichkeit der Geschäftsführung, ZInsO 2025, S. 2193–2207).

§ 15a InsO: Die Frist, die keine Ausnahmen kennt

§ 15a InsO ist kompromisslos. Bei Zahlungsunfähigkeit muss der Insolvenzantrag ohne schuldhaftes Zögern, spätestens binnen drei Wochen gestellt werden. Bei Überschuldung beträgt die Frist sechs Wochen. Diese Fristen dürfen nur dann vollständig ausgeschöpft werden, wenn tatsächlich Aussicht auf eine nachhaltige Sanierung besteht. Steht frühzeitig fest, dass kein Rettungsweg mehr existiert, muss sofort gehandelt werden.

Ein Cyberangriff als Insolvenzursache ändert an dieser Pflicht absolut nichts. Das Gesetz unterscheidet nicht zwischen einer Insolvenz, die durch Managementfehler verursacht wurde, und einer, die durch einen kriminellen Angriff ausgelöst wurde. Die Antragspflicht knüpft allein an den objektiven Eintritt der Zahlungsunfähigkeit oder Überschuldung an – unabhängig davon, wer dafür verantwortlich ist (Teichmann, Cyberkrise und Insolvenzverschleppung, ZRI 2025, S. 877–884).

Das bedeutet im Klartext: Eine Geschäftsführung, die nach einem Ransomware-Angriff hofft, dass die IT-Systeme bald wiederhergestellt werden, und deshalb mit dem Insolvenzantrag wartet, geht ein erhebliches strafrechtliches Risiko ein.

Die Strafe für zu langes Warten

Die strafrechtlichen Konsequenzen einer Insolvenzverschleppung sind gravierend. Wer vorsätzlich zu spät handelt, riskiert eine Freiheitsstrafe von bis zu drei Jahren oder eine Geldstrafe. Wer fahrlässig handelt – also die Insolvenzreife hätte erkennen müssen, aber nicht erkannt hat – riskiert immerhin noch eine Freiheitsstrafe von bis zu einem Jahr oder eine Geldstrafe (Teichmann, ZInsO 2025, S. 2193–2207).

Entscheidend ist, dass es sich um ein Unterlassungsdelikt handelt: Das Unrecht liegt bereits im Nicht-Handeln innerhalb der Frist – nicht erst in einem aktiven Eingriff. Die Pflicht trifft alle organschaftlichen Leitungsmitglieder, also alle Geschäftsführer einer GmbH oder alle Vorstandsmitglieder einer AG, auch solche, die faktisch – ohne formelle Organstellung – die Geschäftsleitung ausüben.

Das Zahlungsverbot: eine weitere Falle nach Eintritt der Insolvenzreife

Neben der Antragspflicht normiert § 15b InsO ein striktes Zahlungsverbot ab dem Moment der Insolvenzreife. Ab diesem Zeitpunkt darf die Geschäftsführung keine Zahlungen mehr aus dem Unternehmensvermögen leisten – es sei denn, sie sind zur Abwendung noch größerer Schäden unbedingt erforderlich.

Was das in der Praxis bedeutet: Wer nach Eintritt der Zahlungsunfähigkeit noch Lösegeldzahlungen an Ransomware-Erpresser leistet, Lieferantenrechnungen bezahlt oder Gehälter überweist, kann sich neben der Insolvenzverschleppung auch wegen Bankrotts oder Gläubigerbegünstigung strafbar machen. Gute Absichten schützen strafrechtlich nicht (Teichmann, ZInsO 2025, S. 2193–2207).

Das Kernproblem: Kenntnis der Insolvenzreife bei zusammengebrochenem IT-System

Eine besondere Herausforderung ist die Frage: Kann sich eine Geschäftsführung damit entlasten, dass sie aufgrund des IT-Ausfalls gar nicht wissen konnte, dass die Insolvenzreife eingetreten war?

Die Antwort des Rechts ist ernüchternd klar: Nein, nicht wirklich. Zwar erkennt die Rechtsprechung an, dass ein Ransomware-Angriff die betriebswirtschaftliche Datenerfassung erheblich erschwert – Buchhaltungssysteme sind verschlüsselt, Liquiditätsübersichten nicht abrufbar. Gleichwohl trifft die Geschäftsführung die Obliegenheit, sich auf alternative Weise einen Überblick zu verschaffen: durch manuelle Liquiditätsrechnungen, Auswertung von Bankkontoständen, Schätzung laufender Kosten, Abfrage offener Posten aus Backups (Teichmann, ZRI 2025, S. 877–884).

Wenn die IT-Stilllegung alle Umsätze unterbindet und laufende Kosten nicht mehr gedeckt werden können, darf die Geschäftsführung nicht einfach auf eine schnelle technische Lösung hoffen, ohne parallel die Insolvenzreife zu prüfen. Strafgerichte beurteilen die Frage ex post – anhand der objektiven Zahlenlage. Die gute Absicht, den Betrieb zu retten, schützt kaum vor Ermittlungen, wenn aus den Akten hervorgeht, dass das Unternehmen längst zahlungsunfähig war (Teichmann, ZRI 2025, S. 877–884).

Entlastungsmöglichkeiten: Was Geschäftsführer schützen kann

Teichmann untersucht auch, welche Entlastungsmöglichkeiten Geschäftsleitern in einer Cyberkrise offenstehen.

Die stärkste Entlastung bietet die frühzeitige Einholung professioneller externer Beratung. Wer unmittelbar nach dem Angriff einen auf Insolvenzrecht spezialisierten Anwalt hinzuzieht, der die Lage bewertet und dokumentiert, handelt pflichtgemäß. Wenn dieser Berater nach sorgfältiger Prüfung zu dem Ergebnis kommt, dass noch keine Insolvenzreife eingetreten ist und eine Sanierung realistisch erscheint, kann sich die Geschäftsführung auf dieses Gutachten stützen – vorausgesetzt, die wesentlichen Fakten wurden vollständig und wahrheitsgemäß mitgeteilt.

Eine zweite Entlastungsmöglichkeit liegt in der Dokumentation. Wer alle Schritte der Krisenbewältigung lückenlos aufzeichnet – welche Maßnahmen wann ergriffen wurden, welche Informationen wann vorlagen, welche Entscheidungen aus welchen Gründen getroffen wurden – schafft eine Grundlage, auf der im Zweifel nachgewiesen werden kann, dass ohne Fahrlässigkeit gehandelt wurde (Teichmann, ZRI 2025, S. 877–884).

Was nicht schützt: die schlichte Hoffnung auf Wiederherstellung der IT. Wer nach einem Cyberangriff einfach wartet, ohne systematisch die Insolvenzreife zu prüfen, handelt fahrlässig.

Präventive Schutzpflichten: Das NIS-2-Regime als Frühwarnsystem

Teichmann macht deutlich, dass Cyberrisiken im Unternehmensrecht nicht erst dann relevant werden, wenn der Angriff bereits stattgefunden hat. Das NIS-2-Regime verfolgt eine präventive Logik: Es verpflichtet Unternehmen, Cyberrisiken systematisch zu erkennen und zu managen, bevor sie existenzbedrohend werden (Teichmann, Cyberrisiken und Insolvenzgefahr: Präventive Schutzpflichten des NIS2-Regimes, InsA 2026, S. 3–10).

Das bedeutet: Wer die Anforderungen von NIS-2 ernst nimmt – Risikoanalysen, Incident-Response-Pläne, offline Backups, Netzwerksegmentierung, regelmäßige Schulungen – schützt nicht nur das Unternehmen vor einem Angriff, sondern auch die eigene Person vor strafrechtlicher Verantwortung. Wer hingegen IT-Sicherheitsbudgets systematisch kürzt, bekannte Schwachstellen unbehoben lässt und keine Notfallpläne vorhält, riskiert im Ernstfall den Vorwurf, die Insolvenz durch grob fahrlässige Vernachlässigung seiner Organisationspflichten mitverursacht zu haben.

Die gesellschaftsrechtliche Dimension: Organhaftung unabhängig von der Insolvenz

Neben dem Insolvenzstrafrecht gibt es eine weitere Haftungsdimension: die gesellschaftsrechtliche Innenhaftung der Geschäftsführung gegenüber dem eigenen Unternehmen.

§ 43 GmbHG und § 93 AktG verpflichten Geschäftsführer und Vorstände zur Sorgfalt eines ordentlichen und gewissenhaften Geschäftsleiters. Dazu gehört heute auch angemessenes IT-Sicherheitsmanagement. Wer nachweislich grob fahrlässig gehandelt hat – etwa indem er trotz Warnungen keine Backups eingerichtet, notwendige Sicherheitsupdates nicht eingespielt oder verfügbare Schutzstandards ignoriert hat –, haftet dem Unternehmen gegenüber persönlich für den entstehenden Schaden (Teichmann, Steigende D&O-Haftungsrisiken durch Cyberkriminalität, Regulierung und KI, Compliance Berater 2026, S. 117–122).

Dieser Anspruch kann auch vom Insolvenzverwalter im Nachgang geltend gemacht werden – im Interesse der Gläubiger. Ein Geschäftsführer, dessen Unternehmen nach einem Cyberangriff insolvent gegangen ist, kann also nicht nur strafrechtlich verfolgt, sondern auch zivilrechtlich für den entstandenen Schaden in Haftung genommen werden.

Was Geschäftsführer und Vorstände heute konkret tun sollten

Aus Teichmanns Forschung lassen sich klare Handlungsempfehlungen ableiten.

Erstens: Für den Ernstfall vorsorgen, bevor er eintritt. Ein Notfallplan, der festlegt, welche Person ab welchem Zeitpunkt die Insolvenzreife prüft und welcher Anwalt sofort eingeschaltet wird, gehört heute in jede Unternehmensorganisation. Dieser Plan sollte schriftlich existieren und bekannt sein – nicht nur in den Köpfen.

Zweitens: Im Ernstfall sofort und parallel handeln. IT-Krise und mögliche Insolvenzreife sind gleichzeitig zu bearbeiten, nicht nacheinander. Während das IT-Team die Systeme wiederherstellt, muss die Führungsebene parallel die finanzielle Lage analysieren und einen Insolvenzanwalt hinzuziehen. Jeder Tag, der verstreicht, ohne dass die Insolvenzfrage geprüft wurde, erhöht das strafrechtliche Risiko.

Drittens: Alles dokumentieren. Welche Maßnahmen wurden wann ergriffen? Welche Informationen lagen wann vor? Welche Entscheidungen wurden aus welchen Gründen getroffen? Diese Dokumentation ist im Streitfall das wichtigste Entlastungsmittel.

Viertens: Präventiv in IT-Sicherheit investieren. Wer offline Backups hat, die nach einem Ransomware-Angriff sofort einsatzbereit sind, hat eine völlig andere Ausgangslage als ein Unternehmen, das seine gesamten Daten verliert. Wer Systeme segmentiert, begrenzt den Schaden. Diese Investitionen schützen das Unternehmen – und im Ernstfall auch die eigene Person (Teichmann, Cyberrisiken und Insolvenzgefahr, InsA 2026, S. 3–10).

Fazit: Ein Opfer zu sein schützt nicht vor Strafe

Der Fall Fasana zeigt auf bittere Weise, dass ein Unternehmen in Deutschland heute innerhalb von zwei Wochen von einem profitablen Betrieb in die Insolvenz getrieben werden kann – durch einen einzigen kriminellen Akt, den die Unternehmensleitung weder gewollt noch verursacht hat.

Trotzdem kennt das Gesetz keine Ausnahmen für Opfer. Der Insolvenzantrag muss rechtzeitig gestellt werden, unabhängig davon, warum die Zahlungsunfähigkeit eingetreten ist. Wer zu lange wartet, weil er auf die IT-Wiederherstellung hofft, riskiert persönliche Strafverfolgung.

Die einzig wirksame Antwort ist Prävention – technische, organisatorische und rechtliche Vorbereitung, lange bevor der erste Erpresserbrief gedruckt wird.

Alle Quellenangaben beziehen sich auf veröffentlichte wissenschaftliche Beiträge von Dr. iur. Dr. rer. pol. Fabian M. A. Teichmann. Die vollständige Bibliographie ist im Publikationsverzeichnis (Stand Mai 2026) dokumentiert.