Mediation als Mittel gegen die drohende Insolvenz in der Coronakrise

✨ AI Kontextualisierung

Mit COVID-19 Gesetzen und Verordnungen erlassene Erleichterungen und Beschränkungen in fast allen Bereichen des Wirtschaftsrechts, hier interessant va Gesellschafts- und Insolvenzrecht, führen bereits short term zu delikaten Fragen und Konflikten in Unternehmen, aber auch absehbar mid- und long term zu erahnenden Entscheidungsstaus bei Gerichten, Behörden und Unternehmensleitungsebenen.

Speziell für die Zeit nach Aufhebung der Beschränkungen des Wirtschaftslebens bedarf es schneller, einfacher und effizienter Entscheidungshilfen die zu formulierten, vollstreckbaren und va durchsetzbaren Lösungen führen (Mediationsvergleich[1]!). Insbesondere in Zeiten in denen die Wirtschaft noch geschwächt ist und lange ausgetragene Konflikte den Untergang von Unternehmen bedeuten können. Ganz besonders weil in dieser Zeit auch eine große Menge, in der Krise schnell und auf unsicherer Basis getroffene, Entscheidungen noch einmal evaluiert werden müssen und potentielle Konflikte zwar möglichst rasch aber vor allem auch (national und international) durchsetzbar[2] gelöst werden müssen. Der Gerichtsweg kann in diesen Fällen Zeitverlust bedeuten und damit die wirtschaftliche Beweglichkeit unnötig einschränken. Wie man es dreht, alternative Streitschlichtungsmethoden oder Streitvermeidungen – wie aus meiner Sicht besonders die „anwaltliche Wirtschaftsmediation“ werden vermehrt zum Einsatz kommen und helfen müssen die wiedererstarkende Wirtschaft zu unterstützen. Neben dem Kostenaspekt ist sicherlich auch das Argument des Zeitgewinns nicht außer Acht zu lassen, denn schließlich hemmt die Mediation sämtliche Fristen („Mediation hemmt Anfang und Fortlauf der Verjährung sowie sonstiger Fristen zur Geltendmachung der von der Mediation betroffenen Rechte und Ansprüche.“)[3]

Die Krise gibt der Wirtschaftsmediation damit deutlich neuen Raum, va in den Bereichen des Gesellschaftsrechts aber auch im Insolvenzrecht – ist das gut oder schlecht?

Die COVID-19 Pandemie hat auf die Liquidität fast aller Unternehmen negative Auswirkungen

Nach österreichischem Insolvenzrecht sind Geschäftsführer ohne schuldhaftes Zögern spätestens binnen 60 Tagen ab Kenntnis der Zahlungsunfähigkeit (oder Überschuldung bei Kapitalgesellschaften, sofern keine positive Fortbestehensprognose vorliegt) verpflichtet, Insolvenz anzumelden (§ 69 Abs 2 IO). Durch eine erste Änderung in der IO wurde die Frist zwar anstatt wie bisher nur in Fällen von Naturkatastrophen auch in Fällen von Epidemie und Pandemie auf 120 Tage verlängert, eine Erleichterung für die Unternehmer hat das allerdings nur scheinbar geboten, da dadurch zwar anstatt 60 Tagen 120 Tage (höchstens) zur Verfügung standen, allerdings nur dann, wenn in dieser Zeit erfolgversprechende Maßnahmen zur Unternehmenssanierung (!) gesetzt werden. Der Gesetzgeber hat dies zwischenzeitig auch erkannt und im 4. COVID-19 Gesetz, beschlossen am 03.04.2020, den Beginn des Fristenlaufes nach hinten geschoben, sodass tatsächlich eine Insolvenzantragspflicht im Falle der Überschuldung (Achtung: Nicht bei Zahlungsunfähigkeit, da bleibt die Antragspflicht unverändert aufrecht) bis zum 30.06.2020 nicht besteht.

Was genau bedeutet das für den Unternehmer?

Trotzdem die Antragspflicht im Falle der Überschuldung jetzt bis zum 30.06. 2020 ausgesetzt wurde, wird jeder Unternehmer gut beraten sein, im Falle des Falles rechtzeitig Maßnahmen zu setzen. Eine positive Fortbestehensprognose, die es erlauben würde, keinen Insolvenzantrag zu stellen, muss in der Lage sein darzustellen, dass das Unternehmen mit überwiegender Wahrscheinlichkeit saniert werden kann und die vorhandenen Verbindlichkeiten bedienen kann. Da derzeit niemand weiß, wie lange die Maßnahmen zur Verhinderung der Verbreitung des COVID-19 Virus gelten werden, ist eine solche Aussage in vielen Fällen wohl seriös nicht zu treffen. Gerade deshalb kann gerade in dieser Phase der Einsatz von Wirtschaftsmediatoren sinnvoll und notwendig sein. Die Insolvenz kann nämlich auch vermieden werden, wenn in Einzelvereinbarungen Fälligkeiten hinausgeschoben werden, Zahlungsziele verlängert werden, Stundungen vereinbart werden oder Nachlässe ausgehandelt werden. Da ab Erkennen (oder vielmehr ab Erkennbarkeit) des status cridae das Gleichbehandlungsgebot besteht, das nur durch Offenlegung jeder Vereinbarung gegenüber jedem Gläubiger vermieden werden kann, ist es gerade bei solchen Verhandlungen zur Vermeidung einer Insolvenz dringend geboten sich Spezialisten, wie Sanierungsexperten und Wirtschaftsmediatoren anzuvertrauen. Bei Nichteinhaltung drohen den Organen der insolventen Unternehmen empfindliche Nachteile, wie persönliche Haftungen und gerichtliche Strafen.

#zusammenstärker – das Online-Event des brutkasten gegen die Coronakrise

Die Covid-19 Regelungen geben den betroffenen Unternehmen daher mehr Zeit um ihre wirtschaftliche Schieflage wieder in den Griff zu bekommen, die notwendigen Maßnahmen müssen aber wie bisher unverzüglich angegangen werden. Das wird grundsätzlich schwieriger in Zeiten, wo Gerichte überlastungsbedingt schwer (nicht) zugänglich sind.

Dies gibt der Wirtschaftsmediation freilich einen erweiterten Raum und neue Möglichkeiten, die (insb aufgrund der dargestellten notwendigen Fortbestehensprognose) Sanierung von Unternehmen zu unterstützen und so eine nachhaltige Restrukturierung voranzutreiben bzw eine Insolvenz sogar zu vermeiden.

Es bleibt abzuwarten, ob weitere Maßnahmen auf den Weg gebracht werden, um die österreichische Wirtschaft bei der Bewältigung der aus der Pandemie resultierenden Folgen zu unterstützen, an der prinzipiellen Pflicht des Unternehmers seine eigene wirtschaftliche Lage realistisch einzuschätzen und entsprechend zu handeln, werden diese aber nichts ändern. Jede weitere Erleichterung bringt hier auch wiederum nur eine Verlängerung der Frist zur endgültigen Entscheidung und dadurch Spielraum für außergerichtliche Einigungen. Es bleibt aber jedenfalls bei der Pflicht zur Planung und Handlung. Die Unternehmen sollen/müssen die gewährte Zeit nun gut nutzen, um, leistbare und schnelle Lösungen zu finden. An dieser Stelle sei angemerkt, dass Gerichte – so es zu folgenden Verfahren kommt – durchgeführte (auch versuchte) Wirtschaftsmediation sehr wohlwollend anerkennen, vermutlich auch aufgrund der darin zum Ausdruck kommenden Einigungsbereitschaft.

Gesellschaftsrecht in der Coronakrise

Bereits jetzt können in einer Gesellschaft mit beschränkter Haftung (GmbH) auf Basis des COVID-19-Maßnahmengesetzes Gesellschafterbeschlüsse in Textform oder aber durch schriftliche Stimmabgabe gefasst werden (vglb mit Umlaufbeschlüssen). Auch die Abhaltung von „Online-Generalversammlungen“ soll weiter ausgebaut und anwenderfreundlich geregelt werden; es bleibt abzuwarten wie die neuen Regeln sich in der Praxis zeigen und bewähren und wie mit Besonderheiten (wie bspw der notariellen Beurkundungspflicht etc) umgegangen wird.[4]

Weiters soll/kann der Vorstand einer Aktiengesellschaft Entscheidungen über die Teilnahme von Aktionären an einer Hauptversammlung im Wege elektronischer Kommunikation, Stimmabgabe im Wege elektronischer Kommunikation und/oder der Zulassung von Bild- oder Tonübertragungen treffen können. Das lediglich mit Zustimmung des Aufsichtsrates, auch ohne entsprechende Regelungen in der Satzung oder den Geschäftsordnungen. Auch hier bleibt eine Klarstellung zu den Regelungen insb für virtuelle (Online-)Hauptverhandlungen noch abzuwarten. Letztlich stehen auch einige daraus resultierende Fragestellung zur Klärung an, zB sind Regelungen zu Abschlagszahlungen auf den Bilanzgewinn, wie nach deutschem Vorbild, in Österreich noch nicht getroffen, aber hoffentlich bald zu erwarten. Abschließend sollte unbedingt die Beschlussanfechtbarkeit angepasst werden und jedenfalls für die og Beschlüsse ausgeschlossen werden, außer natürlich bei grober Fahrlässigkeit und Vorsatz. Die Vielfältigkeit der Anpassungsregelungen wird uns noch auf Schwung halten, der Umgang damit aber noch viel mehr.

+++Gratis-Angebote von Startups in der Coronakrise+++

Leider hat der österreichische Gesetzgeber – anders als der deutsche Gesetzgeber – die Regelungen zur Geschäftsführerhaftung nicht aufgelockert und ist damit dem Anpassungsbedarf entsprechend der Einschränkungen des Wirtschaftslebens nicht nachgekommen. Ob hier noch etwas folgt ist mE dringend abzuwarten. Warum er letztlich dafür keine Notwendigkeit sah, ist unklar; offensichtlich handelt es sich um die Änderung reiner Zeitmomente („Verschiebung“ der Insolvenzantragsfrist nach „hinten“), dh einer schlichten Fristverlängerung und nicht einer Fristhemmung. Damit bleibt es für den österreichischen Gesetzgeber bei den Sorgfaltspflichten der Geschäftsführung.

Würde man sich in Anlehnung an den deutschen Nachbarn entscheiden, wären Zahlungsverbote, nach denen der Geschäftsführer für Zahlungen nach dem Eintritt der Insolvenzreife persönlich haftet, nicht grundsätzlich suspendiert. Soweit die noch zu definierenden Voraussetzungen für die Aussetzung des Insolvenzantrags vorliegen, werden die Zahlungsverbote wohl entsprechend gelockert. Gemäß den deutschen COVID Maßnahmenregeln wird der deutsche Geschäftsführer jedenfalls im Rahmen der Sorgfalt eines ordentlichen und gewissenhaften Geschäftsmanns tätig, wenn er Zahlungen vornimmt, die der Aufrechterhaltung des Geschäftsbetriebes oder der Umsetzung eines Konzeptes zur Sanierung des Unternehmens dienen.

Die Abwicklung von Zu-um-Zug-Geschäften, also jenen Geschäften, bei denen der Austausch der Leistungen gleichzeitig erfolgt, ist ja auch nach österreichischem Recht möglich. Das in Schieflage geratene Unternehmen kann daher Wirtschaftsmediatoren und andere Berater, deren Beiziehung dazu dienen soll, die Krise zu überwinden, noch bezahlen.

Wie wird Wirtschaftsmediation in diesen hoch regulierten Themenkreisen eingesetzt?

ADR (Alternative Dispute Resolution)

Das durch die Pandemie insb betroffene und mE angeschlagene Gesellschaftsrecht wird uns (Juristen und Sanierungshelfern) unweigerlich dazu führen, vermehrt Werkzeuge und Kollegen aus der außergerichtlichen Streitschlichtung, auch ADR (Alternative Dispute Resolution), hier insb Wirtschaftsmediation, hinzuziehen zu müssen. Das schlicht deshalb, weil der rasche Zugang zu Gerichten erschwert ist und weiter sein wird, wirtschaftliche Akteure, besonders in herausfordernden Zeiten, jedoch schnell (Rechts-)Sicherheit und auch zeitnahe Lösungen in Form von Geldflüssen benötigen werden.

Im gerichtlichen Insolvenzverfahren sind sicherlich Besonderheiten zu beachten; auch steht außer Frage, dass Wirtschaftsmediation vornehmlich in klar definierten Sanierungsfällen und in der sog. „Vorinsolvenzphasen“, zur Abwendung der Insolvenz iwS bzw Sanierung des Unternehmens – einzelfalldefiniert – angewendet werden soll und kann.

+++Daten und News zum Coronavirus+++

Außer- oder vorgerichtliche Verfahren werden bis dato, vornehmlich zur Vorbereitung eines Insolvenzplanverfahren, bereits genutzt. Allein aus Kostengründen[5] kann es aber sinnvoll sein Lösungen außerhalb eines gerichtlichen Verfahrens zu finden, das geht rascher und ist in der Regel auch billiger. Dh in der Praxis: „willst du etwas retten, regle es vorher“![6] Diesen Umstand hat auch die europäische Kommission erkannt und diesen Aspekt als eine Überlegung für ein neues vorinsolvenzliches Sanierungsverfahren aufgegriffen. Nicht zuletzt aus Kostengründen für die Insolvenzschuldner hat die europäische Kommission in ihren Empfehlungen vorgeschlagen
„(17) Damit die Effizienz gefördert und die Verzögerungen und Kosten verringert werden, sollen die nationalen präventiven Restrukturierungsrahmen flexible Verfahren beinhalten, die die gerichtlichen Formalitäten auf das notwendige und das im Hinblick auf den Schutz der Interessen der Gläubiger und andere interessierte Parteien, die von dem Restrukturierungsplan betroffen sein dürften, verhältnismäßige Maß begrenzen. Um beispielsweise unnötige Kosten zu vermeiden und einem frühen Rückgriff auf das Verfahren Rechnung zu tragen, sollten die Schuldner grundsätzlich die Kontrolle über ihre Vermögenswerte behalten, und die Bestellung eines MEDIATORS oder Beauftragten sollte nicht obligatorisch sein, sondern auf Einzelfallbasis erfolgen.“
**Empfehlung der Europäischen Kommission vom 12.3.2014 für einen neuen Ansatz im Umgang mit unternehmerischen Scheitern und Unternehmensinsolvenzen.

Warum passt Mediation?

Die Herausforderung va einer Sanierung oder eines Insolvenzverfahrens besteht vielfach darin, einen guten Umgang mit den unterschiedlichen Interessen der Beteiligten zu finden. Hinzu kommt, dass mit zunehmendem Fortschritt einer Unternehmenskrise die eigentlichen vitalen Interessen der Unternehmung hinter das Gläubigerbefriedigungsinteresse zurückgestuft werden und die eigenbestimmte Handlungsmöglichkeit des Unternehmens abnimmt.

Ob das Mediationsverfahren bzw ein Aushandlungsprozess iwS mit mediativen Elementen geeignet ist, als Win-Win Modell etwaige Verfahrensergebnisse zu verbessen und dem Werteverfall der Unternehmensassets entgegen zu wirken, ist naheliegend, wird sich aber in der aktuellen Krisenpraxis erst genauer zeigen.

+++Prewave: Live-Karte zeigt Coronavirus-Einfluss auf Industrie und Logistik+++

Die aktuelle österreichische Praxis der „anwaltlichen Wirtschaftsmediation“, dh vor allem im Bereich Post-Merger Disputes, Gesellschafterstreitigkeiten und der daraus folgenden Anteilsverkäufe, Nachfolgeprobleme und Krisenmanagement in Unternehmen iwS, wird aus meiner Sicht während und nach der Krise – nicht nur aus Gründen der Gerichtsüberlastung sondern va aufgrund des zunehmenden Einsparungsdrucks der Unternehmen und der begrenzten Handlungszeit – an Wichtigkeit zunehmen.

Je nach Einzelfall wird genau zu definieren sein, in welchem Stadium der Unternehmenskrise Wirtschaftsmediation Anwendung finden kann, mit wem und in welchem Ausmaß, unabhängig oder in Abstimmung mit den entsprechenden Juristen und Sanierungsexperten (insb, wenn schon eine Insolvenzreife erahnt werden kann).

+++Sozialversicherung teilt Daten zwecks Coronavirus-Forschung+++

Klar ist jedenfalls, dass die Rahmenbedingungen einer Wirtschaftsmediation in Insolvenzverfahren klar definiert und abgesteckt werden müssen und der effektive Einsatzbereich der Wirtschaftsmediation in genauer Absprache mit der Unternehmensführung und den Juristen abgestimmt werden muss.

Zusammenfassend kann festgehalten werden, dass im Fall von Unternehmen in der Krise im Allgemeinen sowie Insolvenzverwaltung unter sehr wohl wirtschaftlich sinnvollen Raum für Alternative Dispute Resolution, speziell auch die Wirtschaftsmediation, gibt. Unstreitige Argumente für die Anwendung sind Zeit/Geld/Umfang:

weil eine Konfliktlösung ohne Gesichtsverlust, sowie ein großes Maß an Zeitersparnis möglich ist (Mediation effektiv bereits nach 3-4 Sitzungen), sowie rasche Lösung für komplexe Streitfälle, wirtschaftlich sinnvolle Lösungen, und viel eher weiteres gemeinsames Agieren der Beteiligten.

+++Symptoma: HealthTech aus OÖ mit 96 % Treffer bei Coronavirus-Online-Diagnose+++

Sogar ab Eröffnung des Insolvenzverfahrens (und obwohl der Masseverwalter für das insolvente Unternehmen alleine vertretungs- und entscheidungsbefugt ist) kann eine Wirtschaftsmediation eine sinnvolle begleitende Maßnahme sein. Insbesondere wird dies dann der Fall sein, wenn es gilt in Abstimmung mit speziellen Gläubigern (Absonderungsberechtigten oder Aussonderungsberechtigten) Lösungen zu finden, die nachhaltig über die Phase des Insolvenzverfahrens nach der Unternehmenssanierung hinaus Wirkungen entfalten sollen. Gedacht ist dabei insbesondere an Vereinbarungen zur Vermeidung von Verwertung von Pfandgegenständen (Liegenschaften) oder unter Eigentumsvorbehalt stehenden Maschinen und Geräten.

Aus meiner Sicht kann Wirtschaftsmediation va in der Phase der sich aufbauenden Unternehmenskrise aber auch (mit anderen Maßstäben) in der Insolvenz als eine sinnvolle Alternative und Ergänzung zur herkömmlichen Vorgehensweise eingesetzt werden. Fakt ist, dass im Rahmen der Wirtschaftsmediation auf die Interessen der Beteiligten abgestellt und nach einer sinnvollen Lösung gesucht wird. Diese kann auch (teilweise weit) außerhalb des im Anspruchskorsett rechtlich Möglichen liegen.

+++Shutdown: Wann kommt die Auflockerung der Coronavirus-Maßnahmen?+++

Auch wenn es in der Welt einiger Juristen noch keinen großen Platz für Wirtschaftsmediation gibt, vielleicht auch um das eigene Geschäftsmodell zu schützen, ist doch zunehmend Akzeptanz der Wirtschaftsmediation in den Führungsschichten von Unternehmen zu finden. Nicht zuletzt da diese in den meisten Fällen schneller und kosteneffizienter Streit beendet und die Akteure sich wieder ihrem Kerngeschäft widmen können.

Die Sinnhaftigkeit der Mediation in Insolvenzverfahren wird schon seit längerem betont, unter anderem Prof Eidenmüller erwähnte bereits vor Jahren zu Recht an mehreren Stellen die mediative Tätigkeit des Insolvenzgerichts, die aus dem Ausgleichsgedanken folge. Das Insolvenzgericht müsse in jeder Lage des Verfahrens auf eine gütliche Beilegung des Konflikts zwischen Verfahrensbeteiligten bedacht sein. Diese Verpflichtung lasse sich als Auftrag zu einer mediativen Tätigkeit interpretieren und habe gerade im Insolvenzplanverfahren aufgrund der Vielzahl der Beteiligten, Themen und involvierten Interessen eine große Bedeutung. Dies darf aber nicht verwechselt werden mit externer Wirtschaftsmediation (die eben keine gerichtsinterne Mediation bedeutet). Eine gute Übersicht über die Möglichkeiten und Grenzen der Mediation bei Unternehmenskrisen gibt der Kollege Dr. Jan Teerling (Verlag Dr. Kovac, 2018). Prof. Eidenmüller weist letztlich passend darauf hin, dass jeder Masseverwalter im Insolvenzplanverfahren mediativ tätig werden kann und soll, dass er sogar aufgrund seiner gesetzlich vorgeschriebenen Unabhängigkeit von Gläubiger und Schuldner dafür prädestiniert sei.

Fazit

Konflikt im Unternehmen –Lösungen unter Zeitdruck – Verträge anpassen – Entscheidungsdruck – Liquiditätsprobleme – Geldeinsparungsdruck, weil verringerte finanzielle Ressourcen: Ein klarer Anwendungsfall für Wirtschaftsmediation, da schnelle und effiziente Lösungen möglich, getragen von allen Beteiligten, rechtswirksam, vollstreckbar und international durchsetzbar, und wird -sollte es doch zum Gerichtsverfahren kommen- sehr positiv von Gerichten aufgenommen.

Über die Autoren

Dr. Diana-Maria White, LLM MBA ist in Wien tätige Rechtsanwältin mit Schwerpunkt Gesellschafts- und Unternehmensrecht sowie Wirtschaftsmediatorin beim Bundesministerium für Justiz, beim CEDR London JAMS US und Deutschland. www.dianawhite.at

Mag. Georg Rupprecht ist Partner der Kanzlei bpv Hügel, als Insolvenzverwalter, Schuldner- und Gläubigervertreter seit mehr als 20 Jahren tätig, Winner of the Client Choice Award Insolvency & Restructuring (2019) Austria

Fußnoten:

[1] National: § 433 a ZPO; international Singapore Convention on Mediation und EuGVÜ

[2] Gemäß der Singapur Convention on Mediation (2018) sind Mediationsvergleiche uneingeschränkt international vollstreckbar! Die EU wird dieses Jahr unterfertigen, steht aber noch vor der Entscheidung, ob jeder MS einzeln oder die EU gesamt unterschreibt. https://uncitral.un.org/en/texts/mediation/conventions/international_settlement_agreements

Note: Article 3 addresses the key obligations of the Parties to the Convention with respect to both enforcement of settlement agreements and the right of a disputing party to invoke a settlement agreement covered by the Convention.

[3] Hemmung von Fristen, § 22 ZivMedG

(1) Der Beginn und die gehörige Fortsetzung einer Mediation durch einen eingetragenen Mediator hemmen Anfang und Fortlauf der Verjährung sowie sonstiger Fristen zur Geltendmachung der von der Mediation betroffenen Rechte und Ansprüche.

(2) Die Parteien können schriftlich vereinbaren, dass die Hemmung auch andere zwischen ihnen bestehende Ansprüche, die von der Mediation nicht betroffen sind, umfasst. Betrifft die Mediation Rechte und Ansprüche aus dem Familienrecht, so umfasst die Hemmung auch ohne schriftliche Vereinbarung sämtliche wechselseitigen oder von den Parteien gegeneinander wahrzunehmenden Rechte und Ansprüche familienrechtlicher Art, sofern die Parteien nichts anderes schriftlich vereinbaren.

Anmerkung: Die Hemmung endet, wenn der eine oder anderer Mediant die Fortsetzung verweigert oder ausdrücklich beendet.

[4] Maßnahmen im österreichischen Gesellschaftsrecht
Für die Dauer von Maßnahmen, die zur Verhinderung der Verbreitung von COVID-19 nach dem COVID-19-Maßnahmengesetz getroffen werden, können Versammlungen von Gesellschaftern und Organmitgliedern einer Kapitalgesellschaft, einer Personengesellschaft, einer Genossenschaft, einer Privatstiftung oder eines Vereins, eines Versicherungsvereins auf Gegenseitigkeit oder eines kleinen Versicherungsvereins nach Maßgabe einer Verordnung der BM für Justiz auch ohne physische Anwesenheit der Teilnehmer durchgeführt werden.
Außerdem wird geregelt, dass abweichend von § 104 Abs. 1 AktG die ordentliche Hauptversammlung einer Aktiengesellschaft innerhalb der ersten zwölf Monate des Geschäftsjahrs der betreffenden Gesellschaft stattfinden muss.

[5] In der Praxis reden wir bereits in kleinen Insolvenzverfahren von Kosten zwischen mindestens 5.000 – 100.000 EUR

[6] Auch wenn viele Unternehmen normale Gerichtsstandklauseln in ihren Standardverträgen haben, ist eine fristhemmende Wirtschaftsmediation jederzeit möglich, wenn beide zustimmen! Da es im Interesse beider ist eine schnelle Lösung zu finden, ist dieser Punkt einfach zu lösen.

Carolin Desirée Töpfer ist externe Chief Information Security Officer, Cybersecurity-Strategin und Gründerin von Cyttraction mit Fokus auf kosteneffizientes Risikomanagement, sichere KI-Nutzung und Cybersecurity-Zertifizierungen. Mit praxisnahen Lernformaten und strategischer Expertise unterstützt sie regulierte Unternehmen dabei, Sicherheitsanforderungen effizient umzusetzen und nachhaltige digitale Resilienz aufzubauen. In ihrem Beitrag warnt sie vor KI-Cyberangriffen und rät Startups und kleinen Unternehmen Cybersicherheit frühzeitig strategisch zu verankern.

„Wir konzentrieren uns jetzt erst mal auf Produkt, Teamaufbau und Sales – Cybersicherheit machen wir dann später.“ Ein Satz, den ich so oder ähnlich häufig von Gründer:innen höre – und der einige Unternehmen schon Multi-Millionen gekostet hat.

Identität stehlen

Cyberkriminelle haben seit KI ihr Repertoire erweitert und finden Milliarden von bereits geleakten Datasets, mit denen sie arbeiten können. Das Ergebnis sind nicht nur technische Attacken, die es in die Headlines internationaler Medien schaffen. Viel schmerzhafter ist es für Unternehmen, wenn es Angreifer zwischen Arbeitsprozesse schaffen, E-Mails und Nachrichten zwischen Team-Mitgliedern, Geschäftspartnern und mit Kunden manipulieren. Anweisungen versenden, die zweifellos echt aussehen und dann mit ganzen Sammlungen an sensiblen Daten verschwinden. Die Identität des CxO stehlen oder Entführungen von Führungskräften vortäuschen, um dem Unternehmen zu schaden.

Neben dem Zeitverlust, der Budget-Verschwendung und den Aufräum-Kosten, kommt dann auch noch der Vertrauensverlust am Markt hinzu, gegenüber Kunden und Investoren. Dinge, auf die Gründer:innen oft erst kommen, wenn es bereits zu spät ist.

„Gesunder Menschenverstand“ oder „Hausverstand“ existiert nicht in der Cybersicherheit!

Aufgrund der oft vernachlässigten digitalen Bildung in Schulen und da viele Arbeitgeber immer noch nicht in effektive Trainings investieren, kommen in jedem Unternehmen Menschen mit ganz unterschiedlichen digitalen Fähigkeiten zusammen. Das gilt für Startup-Teams, Kunden und Investoren gleichermaßen. Hinzu kommen volle ToDo-Listen, Stress-Situationen und die eigene Scham.

Angreifer lieben gestresste, beschämte Arbeitstiere!

Ob jemand in so einem Umfeld eine gefälschte KI-Mail erkennt, die im schlimmsten Fall noch aus dem echten Postfach eines gehackten Geschäftspartners kommt, ist nur noch Glücksfall.

Trotzdem gibt es Teams, die tägliche Angriffe auf allen Ebenen erfolgreich abwehren – weil sie eine holistische Cybersicherheits-Strategie implementiert haben. Diese besteht je nach Geschäftsmodell und Branche aus einem präzisen Projektmanagement und zwischen 60 und 90 Einzelmaßnahmen. Zweck ist in erster Linie der umfassende Schutz der eigenen Arbeit. Gleichzeitig erfüllt das Unternehmen damit Anforderungen von Kunden sowie regulatorische Vorgaben, von denen Gründer:innen oft nicht einmal wissen.

Erste Basis-Maßnahmen sind auch für Startups mit kleinem Budget machbar!

Jede/ r hat heutzutage Angst, gehackt zu werden, Geld zu verlieren und seine eigenen sensiblen Informationen öffentlich im Internet zu finden. Das sehe ich nicht nur an den Fragen, die ich über meine „Social Media“-Kanäle bekomme. Dabei können schon 30-Minuten-Team-Meetings einen enormen Unterschied machen. Offen über Angriffsszenarien und Ängste sprechen, gleichzeitig die aktuellen Sicherheits-Maßnahmen ins Gedächtnis rufen, erhöhen die Aufmerksamkeit für Cyber-Themen sofort!

Auch um Ruhe reinzubringen. Denn wer sowieso immer gleich springt, wenn eine neue Aufgabe um die Ecke kommt, wird wahrscheinlich auch die Aufgaben von Hackern erfüllen. Klare Arbeitsprozesse, 4-Augen-Prinzip und die allgemeine Erlaubnis im Team, Dinge kritisch zu durchdenken, noch zweimal nachzufragen, oder einfach mal kurz durchzuatmen, hat schon so einige teure Fehler verhindert.

Verantwortlichkeiten in ruhigen Zeiten klären

Den größten Hebel haben dabei Gründer und Entscheider. „Founder Mode“ bedeutet oft auch, vieles selbst zu machen. IT Systeme und Sicherheits-Lösungen sind mittlerweile aber so komplex, dass sich das Investment in einen seriösen IT-Dienstleister lohnt. Viele bieten auch eine Hotline für Notfälle an.

Wesentlich günstiger ist es allerdings, diese Notfälle zu verhindern. Denn nach meiner Erfahrung brauchen selbst schnelle kleine Unternehmen sechs bis zwölf Monate, um eine funktionierende Cybersicherheits-Strategie mit allen Maßnahmen aufzubauen. Neben den technischen Upgrades, müssen dabei auch die organisatorischen Strukturen sitzen.

Wo klar ist, wer was wann macht und auch, wer sich um die Cybersecurity Maßnahmen kümmert, Aufräum-Aktionen, Updates und Backups organisiert, geht weniger schief. Bei kleinen Unternehmen muss die Person nicht einmal einen IT-Hintergrund mitbringen. Es beginnt mit Interesse am Thema, Projektmanagement-Skills und der Bereitschaft, das Team regelmäßig mit aktuellen Informationen zu versorgen.

Konflikte eingehen, um sichere Lösungen zu finden

Und auch darum, Konfliktsituationen smart zu lösen. Zum Beispiel beim Thema „Zugriff und Zutritt„: Nicht jeder sollte Zugriff auf alles haben. Dabei geht es nicht darum, Team-Mitglieder zu degradieren, sondern eine saubere Segmentierung zu schaffen. Am stärksten trenne ich hier zwischen Marketing und Kern-Business.

Alles, was sowieso für die Öffentlichkeit und mit verschiedenen Partnern produziert wird, findet bei mir selbst sogar in einer anderen Firma statt. Für Kunden richten wir technische Lösungen und Prozesse ein, die kreatives Marketing erlauben, Kunden-Kommunikation klar strukturiert und gleichzeitig das eigentliche Geschäftsmodell und die damit verbundenen Daten auf einem hohen Level schützt. Wer mit besonders sensiblen Informationen arbeitet, seine Patente aus Forschung und Entwicklung schützen will oder an einer einzigartigen Datenbasis für KI-Modelle arbeitet, kann über Segmentierung kosteneffizient Datenintegrität dort gewährleisten, wo sie wirklich notwendig ist.

Solche Konzepte stehen und fallen mit sicheren Login-Lösungen und der Bereitschaft aller Nutzer, diese auch zu nutzen. Die Aktivierung von 2 Faktor- oder Multi-Faktor-Authentifizierung führt dabei immer wieder zu Diskussionen.

Passwörter reichen schon lange nicht mehr aus, um Accounts zu schützen. Häufig bekommen Nutzer nur über die Abfrage des 2. Faktors mit, dass gerade ein Angreifer versucht, in ihren Account zu kommen.

Keine Schatten-IT, keine Schatten-KI

Wesentlich einfacher wird es, wenn alle im Team wirklich nur die Accounts nutzen, die sie wirklich für ihre tägliche Arbeit brauchen – und die sichere Funktion dieser über regelmäßige Tests oder technisches Tracking sicherstellen. So lässt sich auch vermeiden, dass das eigene Unternehmen zehn Tage offline und per E-Mail nicht erreichbar ist. Wie es zuletzt einer Wiener Geschäftsinhaberin passiert ist.

Auch aus wirtschaftlichen Gründen, kaufen Unternehmen kaum noch komplette Enterprise-Lizenzen für alle Mitarbeiter. Und auch bei Startups lohnt es sich, Lizenzen mindestens einmal im Jahr auszumisten und den jeweiligen Support zu bitten, vorhandene Daten EU DSGVO-konform zu löschen. Denn Accounts die ordentlich gelöscht wurden, können auch nicht zu Datenlecks führen.

Das gleiche gilt für alle KI Tools. Wer ein klares Prüfschema verfolgt, sich nicht vom Hype treiben lässt, unkontrolliertes Vibe Coding verhindert und auch hier ungenutzte Accounts wieder ordnungsgemäß löscht, kann von KI Effizienz profitieren, ohne seine eigene Arbeit oder gleich das ganze Unternehmen zu zerstören.