Sparen auf Teufel komm´ raus - das ist nicht immer die beste Idee. Denn manchmal wird diese Redewendung bittere Realität. In Teufels Küche kommt ein Unternehmen vor allem dann, wenn der IT-Sparzwang gültige Rechtsnormen, Sicherheitsanforderungen und Compliance-Gebote aushebelt. Brandheiß wird die Sache, wenn der verantwortliche Manager für solche Verstöße auch noch persönlich haftet.

"CIOs stehen heute täglich im Feuer und müssen ihr Haftungsrisiko bewusst minimieren", warnen Armin Strauss und Hartmut Jaeger. Wie die Geschäftsleitungsmitglieder bei der PA Consulting Group betonen, ist das "kein einfacher Spagat". Denn die klammen Budgets würden den CIO häufig in rechtliche Grauzonen zwingen: "So ist das Stopfen aller Risikoquellen eine fast unlösbare Aufgabe." Das gelte umso mehr, je schwieriger es werde, die ständig weiter ausdifferenzierten rechtlichen Anforderungen im Blick zu behalten.

Die neue Rolle des CIO
Die Rolle der CIOs ändert sich. Sie müssen den Wertbeitrag der IT für das Business erhöhen und innovative IT-Konzepte umsetzen. Zu diesem Ergebnis kommt eine aktuelle KPMG-Umfrage unter IT-Führungskräften.

1. IT-Wertbeitrag erhöhen:
Neben den traditionellen drei Produktionsfaktoren Arbeit, Kapital und Rohstoffe gewinnt heute Information als vierter Faktor immer mehr an Bedeutung. CIOs realisieren diesen Wandel und reagieren darauf, indem sie den Wertbeitrag der IT zum Business erhöhen.

2. Transformation der IT:
Die IT entwickelt sich immer mehr zu einem strategischen Wettbewerbsfaktor. CIOs sind daher bestrebt, die IT so zu transformieren, dass sich neue und innovative Geschäftsprozesse zeitnah umsetzen lassen. Wer als IT-Leiter direkt an den CEO berichtet, betrachtet laut Studie die IT mehr als strategischen Faktor.

3. Der Faktor Mensch:
Wichtigste Komponente im Rahmen der IT-Wertschöpfung ist der Mensch. Das gaben 90 Prozent der Befragten an. Sie wollen deshalb die Potenziale von IT-Mitarbeitern konsequent ausschöpfen. Rund 75 Prozent sehen dagegen IT-Anwendungen als Hauptfaktor, die Hälfte optimierte Prozesse und 21 Prozent die Hardware.

4. Kosten runter, Prozesseffizienz rauf:
56 Prozent der CIOs gaben an, dass Kostenoptimierungen ein Teil der IT-Strategie sein sollten, weil es ein bedeutender Wettbewerbsfaktor ist. Allerdings sind Kostensenkungen allein kein Allheilmittel. Knapp ein Drittel will daher auch interne Geschäftsprozesse effizienter machen.

5. Risiko- und Compliance-Management:
Im Zuge der Finanzkrise gewinnen in Unternehmen, insbesondere aus dem Finanzsektor, IT-Projekte zum Risiko- und Compliance-Management immer mehr an Bedeutung. 82 Prozent der Befragten rechnen innerhalb der nächsten Jahre mit steigenden Kosten speziell für diese Bereiche. Dabei dominieren die Themen IT-Sicherheit (85 Prozent und Identity Management (48 Prozent).

6. Outsourcing mit Mehrwert:
Zwar gehört die Auslagerung von Bereichen der IT inzwischen zum Tagesgeschäft der IT-Abteilungen, doch mit den Leistungen von Outsourcing-Providern sind die CIOs nicht immer zufrieden. Rund 70 Prozent der IT-Chefs wollen deshalb das Preis-Leistungs-Verhältnis in Verträgen neu regeln und dazu mehr Druck auf ihre Outsourcing-Provider ausüben.

8. Optimistisch in die Zukunft:
CIOs sehen die Rolle der IT in den nächsten Jahren optimistisch. 85 Prozent gehen davon aus, dass die Abhängigkeit von IT-gestützten Prozessen noch steigen wird. Rund 80 Prozent glauben, dass weniger IT-Projekte scheitern und die Erfolgsquote steigt. Die logische Konsequenz daraus: Rund 70 Prozent prognostizieren einen höheren Return on Investment (RoI) für die IT-Vorhaben.

Eins steht jedenfalls fest: Mehr denn je muss der Chief Information Officer oder IT-Leiter mögliche Gefahren frühzeitig erkennen, am besten sogar vorausahnen. Sonst tappt er nur zu leicht in die persönliche Haftungsfalle.

Die Folgen wiegen schwer. So reicht die Palette der eventuellen Ahndungen von horrenden Geldbußen bis zur fristlosen Kündigung. Und am Ende ist nicht nur das Image des CIO, sondern auch das des Arbeitgebers ruiniert.

Das Risiko verringern - aber wie?

Damit es dem CIO nach einem unbewussten Rechtsverstoß nicht gleich persönlich an den Kragen geht, muss er sich die Frage stellen, wann er handeln und welche Sicherheitsschotten er einziehen muss. Eine erste Antwort liefert der Anstellungsvertrag. Je nach Beschäftigungsverhältnis sieht das Gesetz unterschiedliche Haftungsarten vor. Ein wesentliches Kriterium ist dabei, ob der CIO als Mitglied der Geschäftsleitung oder als leitender Angestellter agiert.

"Einen CIO, der seiner Tätigkeit als Arbeitnehmer nachgeht, treffen andere Pflichten als denjenigen, der das als Organ einer größeren Gesellschaft tut", erläutert Rechtsanwalt Thomas Jansen von der Wirtschaftskanzlei DLA Piper. Ist der CIO ein Arbeitnehmer, so sind zwei Haftungskonstellationen denkbar, führt Jansen weiter aus: Zum einen stehe der IT-Leiter haftungsrechtlich gegenüber seinem Arbeitgeber in der Verantwortung. Zum anderen könne er gegenüber dem Auftraggeber des Arbeitgebers haften, also beispielsweise gegenüber einem externen Service-Provider.

Für den zweiten Fall gilt folgender Grundsatz: Arbeitnehmer, die im Rahmen ihrer Tätigkeit einen Schaden bei einem Dritten verursachen, können nur im selben Umfang in Anspruch genommen werden wie ihr Arbeitgeber. Das heißt im Klartext: Sofern der Arbeitgeber nicht haftet, haftet auch der CIO nicht.

Anders sieht es aus, wenn die Geschäftsleitung aufgrund eines Fehlers haftbar gemacht wird und den CIO eine Teilschuld trifft. "In diesem Fall kann nicht ausgeschlossen werden, dass der IT-Manager ebenfalls zur Kasse gebeten wird", warnt Jansen.

Transparenz schafft Sicherheit

Diese Konstellation ist nicht aus der Luft gegriffen, sondern kann im Handumdrehen drückende Realität werden. Deshalb raten die PA-Consulting-Geschäftsführer Strauss und Jaeger jedem CIO zu absoluter Transparenz gegenüber der Geschäftsleitung. Bei einer IT-Initiative, etwa bei der Einführung einer neuen Software, sollte er sämtliche regulatorischen Rahmenbedingungen bestmöglich einhalten und alle Schritte umfassend dokumentieren: "Nur so lässt sich die operative Sicherheit erhöhen." Der CIO müsse nicht nur sein Umfeld transparent halten, sondern auch Nachweise führen, zum Beispiel per Protokoll: "Dann besteht eine gute Chance, Schaden von der eigenen Person abzuwenden."

Wie wichtig es ist, interne Gremien regelmäßig einzubinden, weiß auch Bernd Neumann (Name von der Redaktion geändert). Der Group CIO eines großen Handelskonzerns agiert nach eigenen Worten "bei allen Entscheidungen nach bestem Wissen und Gewissen". Alles werde dokumentiert und die Geschäftsführung "eher zu viel informiert als zu wenig".

Was aber, wenn er sich bei einer Entscheidung einmal nicht über die rechtlichen Konsequenzen im Klaren ist und die Gefahr einer persönlichen Haftung besteht? "Dann binde ich je nach Aufgabenstellung die interne Revision oder andere Organisationseinheiten zur Prüfung des rechtlichen Sachverhalts ein. Dabei dokumentiere ich nicht nur die Dinge, die ich entscheide, sondern gerade auch die, die ich nicht entscheide."

Eine von Grund auf saubere Dokumentation ist zudem deutlich kosteneffizienter als der Versuch, die nötigen Unterlagen erst im Nachhinein und auf Nachfrage zusammenzutragen. Doch bei aller gebotenen Sorgfaltspflicht sollte die Nachweisverwaltung auch nicht ausufern. Der CIO markiert die Grenze: "Keinesfalls darf ein übersensibler Umgang mit potenziellen Haftungsrisiken die Handlungsfähigkeit lähmen." Schließlich sei der IT-Verantwortliche immer noch ein Business-Partner, sprich: "Er muss mit seiner Arbeit auf die Unternehmensziele einzahlen."

Lizenzverstöße werden teuer

Aber wie verhindert der CIO, dass Business-Entscheidungen als Haftungs-Bumerang auf ihn zurückschlagen? Das kann sehr schnell geschehen - beispielsweis wenn der Kauf neuer Softwarelizenzen ansteht, das Budget dafür aber knapp bemessen ist. Hier sind viele Unternehmen versucht, unlizenzierte Programme einzusetzen. Aber wer dieser Verockung erliegt, spielt mit dem Feuer.

Nach Paragraf 99 des Urheberrechtsgesetzes (UrhG) ziehen Lizenzverstöße unweigerlich eine persönliche Haftung nach sich, sofern der Lizenzeinsatz zum Aufgabenbereich des verantwortlichen CIOs gehört. Ob der IT-Manager dabei als Geschäftsführer oder Angestellter fungiert, spielt keine Rolle. Einem Urteil des Oberlandesgerichts (OLG) Karlsruhe zufolge (23. April 2008 - 6 U 180/06) begründet schon die reine Kenntnis vom Einsatz nicht ordnungsgemäßer lizenzierter Software die persönliche Haftung.

Tritt dieser Fall ein, so muss der verantwortliche Geschäftsführer unverzüglich aktive Maßnahmen ergreifen, um eine illegale Softwarenutzung zu verhindern. Das schlichte Verteilen eines Merkblatts zur Softwarenutzung reicht keinesfalls aus, um den Verantwortlichen zu entlasten. Wie das OLG Karlsruhe unmissverständlich klärte, muss "durch geeignete Maßnahmen" sichergestellt sein, dass auf den Computern eines Unternehmens nur lizenzierte Software installiert und eingesetzt wird.

Selbstschutz vor Business-Entscheidung

Für CIO Neumann steht deshalb das Prinzip Selbstschutz ganz klar über dem Prinzip Business-Entscheidung. Und das zieht er auch in der Praxis durch. Zur Nagelprobe kam es, als er für sein Unternehmen Lizenzen einkaufen wollte, ohne dass dafür Geld vorhanden war: "Ich wusste, wenn die Softwarelizenzen nicht in ausreichender Menge vorhanden sind, hafte ich persönlich. Da habe ich mit Kündigung gedroht." Bewusst illegal zu handeln kam für ihn nicht in Frage.

Neben der Haftung für Lizenzverstöße sind auch Fehler beim Datenschutz und bei der IT-Sicherheit für den CIO tückisch. In beiden Fällen kann er persönlich zur Verantwortung gezogen werden. Welche drastischen Konsequenzen bei datenschutzwidrigem Handeln drohen, zeigt ein heftig diskutiertes Urteil des Arbeitsgerichts (ArbG) Berlin.

Konkret ging es um die Frage, ob die Veranlassung datenschutzwidriger Maßnahmen Grund für eine außerordentliche Kündigung des Beschäftigungsverhältnisses ist (18. Februar 2010 - 38 Ca 12879/09). Die Richter entschieden, dass die Kündigung eines leitenden Angestellten aus dem Bereich Compliance aufgrund der von ihm veranlassten Überwachungsmaßnahmen beziehungsweise eines rechtswidrigen Datenabgleichs zulässig sei. Das gelte immer dann, wenn der Arbeitnehmer zum einen objektiv rechtswidrig, also unter Verstoß gegen Datenschutzvorschriften gehandelt habe und zum anderen subjektiv um die Rechtswidrigkeit wusste.

Eine vergleichbare Ausgangslage ergibt sich für CIOs, die Aufgaben in der IT-Compliance verantworten. Dazu Flemming Moos, Fachanwalt für Informationstechnologierecht bei DLA Piper: "Bei der Klärung der Haftungsfrage wird es darauf ankommen, ob der betreffende CIO juristisch ausgebildet ist und deshalb hätte wissen müssen, dass bestimmte Maßnahmen rechtswidrig sind."

Nicht nur für die Wahrung der Regelkonformität, sondern auch für die Sicherheit der Informationstechnik kann der IT-Leiter persönlich zur Rechenschaft gezogen werden. Aus rechtlicher Sicht ist das haftungsrelevante Aufgabenfeld des CIO eindeutig definiert. Er muss sich genau um die folgenden Punkte kümmern:

• Regelmäßige Aktualisierung des Datensicherungskonzepts,

• Absicherung der IT-Systeme und Datenbanken,

• Vorhandensein ausreichender Sicherheitsstandards,

• regelmäßige Viren-Scans und Beseitigung eventueller Viren sowie

• zeitnahe Updates der Antivirussoftware.

Weitgehend ausschließen kann der CIO ein persönliches Haftungsrisiko nur dann, wenn er nachweislich alle erforderlichen Sorgfaltspflichten erfüllt hat. Als Bewertungsgrundlage dienen hier häufig technische Standards, beispielsweise ISO-Normen oder die Grundschutznormen des BSI. Wenn sich der CIO seiner Sache nicht ganz sicher ist, so empfehlen die PA-Consulting-Experten Strauss und Jaeger ein Risiko-Assessment, das die Lücken aufdeckt. Ein solches Assessment sollte aufgrund der kontinuierlich verschärften Rechtsvorgaben ihrer Ansicht nach sogar regelmäßig erfolgen.

Kontrolle ist der beste Schutz

Tatsächlich ist absehbar, dass die rechtlichen Damenschrauben künftig weiter angezogen werden. Zudem wächst das Aufgabenspektrum des CIO im gleichen Maß. Folglich wird die latente Gefahr der persönlichen Haftung eher steigen als schwinden. Für Strauss und Jaeger ist das noch lange kein Grund zur Panik. Die von ihnen vorgeschlagene Lösung liegt in einem effektiven Risikokontroll-System, das "in engem Schulterschluss mit Rechtsexperten und Geschäftsführung" entwickelt wird: "Es macht aus einem unkalkulierbaren ein kalkulierbares Risiko."

IT-Chef Neumann hat ein persönliches, praxisbewährtes "Selbstschutzinstrumentarium", mit dem er die Gefahren auf ein verträgliches Maß einzudämmen hofft und im Zweifel auf der sicheren Seite ist. Beispielsweise wendet er stets das Vier-Augen-Prinzip an, lässt Verträge ab 10.000 Euro grundsätzlich archivieren und veranlasst Regelungen zu Vertretungen und Unterschriftenhöhen.

Besonders wachsam sollten CIOs nach Neumanns Auffassung sein, wenn andere Fachbereiche Hardware und Software einkaufen: "Schafft die Marketing-Abteilung eigenmächtig eine Software an, ohne die entscheidenden Funktionen zu kennen und beim Kauf zu beachten, wird es problematisch." Begeht sie dabei einen Compliance-Verstoß, sei der CIO "dran". Denn er trage die Verantwortung - obwohl er den Einkaufsprozess überhaupt nicht im Griff gehabt habe.

Diesen Brandherd tritt Neumann mit einer ebenso einfachen wie wirksamen Vorsichtsmaßnahme aus: "Ich habe mit allen regionalen Lieferanten vereinbart, dass sie nur noch Bestellungen annehmen, die direkt über mich gesteuert werden."

Der Beitrag stammt von der ChannelPartner-Schwesterzeitschrift Computerwoche.