Warum eine Phishing-Richtlinie für Arbeitgeber wichtig ist
Meine Kanzleikollegin Lauren Pols hat letzte Woche in einem Beitrag über den unterschiedlichen Schutz von Unternehmen und Verbrauchern informiert, die Opfer von Phishing werden. Kurz gesagt: Verbraucher genießen Schutz, Unternehmen nicht. Sie werden die Bank also nie für ihren Schaden haftbar machen können.
Wenn Sie als Inhaber des Unternehmens also selbst in die Falle tappen und einen Schaden erleiden, werden Sie ihn wohl nie ersetzt bekommen, es sei denn, Sie verfügen über eine Cyberversicherung.
Es kommt jedoch auch vor, dass das Unternehmen Opfer wird, während der Fehler von einem Arbeitnehmer begangen wurde. Was also, wenn ein Arbeitnehmer in einer Phishing-Nachricht auf einen Link geklickt hat und dem Arbeitgeber dadurch ein Schaden entstanden ist? Der Arbeitgeber könnte dann geneigt sein, gegen den Arbeitnehmer vorzugehen. Ist das überhaupt möglich? Unseres Erachtens hängt viel von der Richtlinie ab, die der Arbeitgeber in diesem Bereich verfolgt.
Die Regel lautet nämlich, dass ein Arbeitnehmer nur für Arglist, für schwere Schuld und für leichte Schuld haftet, wenn diese bei ihm eher gewohnheitsmäßig als zufällig vorkommt. Dies ist eine zwingende Regel, von der also vertraglich nicht abgewichen werden kann, außer durch ein per Königlichem Erlass allgemein verbindlich erklärtes KAA. Es ist also das Gericht, das entscheidet, ob der Fehler, den der Arbeitnehmer durch das Anklicken des Phishing-Links begangen hat, unter die Kategorie „schwere Schuld“ fällt. In der Rechtsprechung wurde diese schwere Schuld bereits definiert als „ein unbeabsichtigter, aber so grober und extremer Fehler, dass er nicht entschuldbar ist“. Wichtig zu wissen ist, dass die Höhe des Schadens dabei keinerlei Rolle spielt.
Wann wird das Gericht entscheiden, dass der fehlerhafte Klick ein so grober und extremer Fehler ist, dass er nicht entschuldbar ist? Das ist schwer einzuschätzen und hängt einerseits von der Phishing-Mail selbst ab. War recht deutlich erkennbar, dass es sich um eine Phishing-Mail handelte, spricht dies gegen den Arbeitnehmer. Andererseits können auch die Anstrengungen berücksichtigt werden, die der Arbeitgeber selbst unternommen hat, um solche Situationen zu vermeiden, einschließlich der Anstrengungen, seine Arbeitnehmer darüber zu informieren, wie wichtig es ist, bei verdächtigen E-Mails sehr vorsichtig zu sein. Verfolgt der Arbeitgeber hier eine konsequente Richtlinie, informiert und schult er das Personal regelmäßig und betont er dabei, wie wichtig es für das Unternehmen ist, dass diese Richtlinie sehr streng befolgt wird, kann dies zugunsten des Arbeitgebers ausfallen. So kann der Arbeitgeber auch in der Arbeitsordnung zum Ausdruck bringen, welche Bedeutung er der Einhaltung der Richtlinie beimisst. Das Gericht ist zwar nicht verpflichtet, dem zu folgen, kann daraus aber ableiten, welche Bedeutung der Arbeitgeber selbst der Sache beimisst.
Ob das Gericht den Fehler des Arbeitnehmers bei einer solchen konsequenten Richtlinie des Arbeitgebers als groben und extremen Fehler einstuft, steht damit keineswegs fest. Kann der Arbeitgeber jedoch in keiner Weise nachweisen, dass es eine Richtlinie dazu gibt, sind die Chancen, dass der Arbeitnehmer haftbar gemacht wird, eher gering. Wie grob und extrem kann der Fehler eines Arbeitnehmers schließlich sein, wenn der Arbeitgeber selbst nicht nachweisen kann, wie wichtig ihm die Vermeidung dieses Fehlers ist?
Kann der Arbeitnehmer dann haftbar gemacht werden, kann der Schaden beim Arbeitnehmer geltend gemacht werden, gegebenenfalls durch Einbehalte vom Lohn.
Eine andere Frage ist, ob dies auch eine Entlassung aus dringendem Grund rechtfertigen kann. Eine solche Entlassung ist nur möglich, wenn eine schwere Verfehlung vorliegt, die jede berufliche Zusammenarbeit sofort und endgültig unmöglich macht. Diese Beurteilung obliegt wiederum dem Gericht und unterscheidet sich vom Begriff der „schweren Schuld“ im Haftungsrecht. So haben Gerichte bereits entschieden, dass der Arbeitnehmer haftete, während der begangene Fehler keinen Grund für eine Entlassung aus dringendem Grund darstellte, und umgekehrt. Auch hier gilt jedoch, dass sich kaum rechtfertigen lässt, dass die Zusammenarbeit endgültig und sofort unmöglich geworden ist, wenn der Arbeitgeber nicht nachweisen kann, dass er sich bemüht hat, den Arbeitnehmer gründlich zu informieren.
Jeder Arbeitgeber sollte also eine konsequente Richtlinie gegen Phishing und Computerbetrug im Allgemeinen haben. Das geht über schriftliche Richtlinien für das Personal hinaus und muss vor allem auch in der IT-Infrastruktur verankert werden. Kann der Arbeitgeber nämlich nicht nachweisen, (ausreichend) in die IT-Sicherheit investiert zu haben, kann auch dies das Gericht in seiner Beurteilung beeinflussen.
Das Allerwichtigste einer solchen Richtlinie ist aber die Prävention. Indem das Personal zu dieser Problematik geschult wird, sinkt die Gefahr, Opfer des Fehlers eines Arbeitnehmers zu werden, stetig. Und Vorbeugen ist immer noch besser als Heilen.
Benötigen Sie Unterstützung in diesem Bereich? Dann nehmen Sie gerne Kontakt mit uns auf über contact@alisadvocaten.be.
