Cybersecurity-Compliance für Startups: Wann fehlende IT-Sicherheit strafbar wird
Kurz und klar
Für Startups galt lange die informelle Regel: Cybersecurity ist ein Thema für später, wenn Product-Market-Fit erreicht ist und die ersten Enterprise-Kunden Zertifikate verlangen. Diese Sichtweise ist juristisch überholt. Mit dem Inkrafttreten von NIS-2 (Umsetzung in Deutschland durch NIS2UmsuCG), der Verschärfung der DSGVO-Rechtsprechung und der zunehmenden strafrechtlichen Nutzung von § 42 BDSG, § 130 OWiG (Aufsichtspflichtverletzung) und den §§ 202a ff. StGB entstehen für Gründer strafrechtliche Risiken bereits ab dem ersten Kundenvertrag. Wer als Founder eine SaaS-Plattform betreibt, Kundendaten verarbeitet oder ein Cloud-Setup managt, kann bei mangelhafter IT-Sicherheit persönlich in Haftung geraten – zivilrechtlich, ordnungswidrigkeitenrechtlich und strafrechtlich. Dieser Beitrag zeigt, wo die Grenzen verlaufen, welche Straftatbestände in Startup-Konstellationen greifen und wie Founder eine belastbare Compliance-Grundlage aufbauen. Aus der Doppelperspektive Strafverteidiger und CEO eines Compliance-Startups.
Inhaltsverzeichnis
Art. 32 DSGVO: Angemessene technische und organisatorische Maßnahmen
§§ 202a, 202c, 303a, 303b StGB: Wenn Startups Opfer und Täter zugleich sind
1. Wo Cybersecurity zur strafrechtlichen Frage wird
Zwei Wahrnehmungsverschiebungen der letzten Jahre haben die Rechtslage grundlegend geändert:
Erstens: Die Rechtsprechung erkennt IT-Sicherheit als Organisations- und Aufsichtspflicht an. Fehlt sie strukturell, ist das kein Compliance-Problem, sondern eine Pflichtverletzung, die strafrechtlich (§ 130 OWiG, § 266 StGB) und zivilrechtlich (persönliche Managerhaftung, § 43 GmbHG) zurechenbar wird.
Zweitens: Datenschutzbehörden und Staatsanwaltschaften nutzen strafrechtliche Instrumente aktiv. § 42 BDSG war lange ein Papiertiger. Seit 2023/2024 kommen jährlich mehrere hundert Ermittlungsverfahren zusammen – oft aus Meldungen nach Art. 33 DSGVO, die die Behörden strafrechtlich weiterverfolgen (siehe Art. 33 DSGVO 72-Stunden-Meldepflicht).
Für Founder heißt das: Cybersecurity ist keine technische Frage, sondern eine Governance-Frage. Wer als Geschäftsführer die IT-Sicherheit strukturell vernachlässigt – sei es durch fehlende Ressourcen, fehlende Prozesse oder fehlendes Wissen –, kann persönlich in Anspruch genommen werden. Bei besonders krassen Fällen: Insolvenzverwalter oder Kartellbehörden nutzen die Cybersecurity-Lücke als Anknüpfungspunkt für Managerhaftung.
2. NIS-2: Betrifft Ihr Startup nun auch?
Die NIS-2-Richtlinie (Network and Information Security Directive) wurde in Deutschland durch das NIS2UmsuCG in nationales Recht umgesetzt. Der Anwendungsbereich ist deutlich weiter als bei der Vorgänger-Richtlinie NIS-1 und trifft nun auch viele Startups.
Wer fällt unter NIS-2?
"Wichtige" oder "besonders wichtige" Einrichtungen in bestimmten Sektoren – mit mindestens 50 Beschäftigten oder mindestens 10 Mio. Euro Jahresumsatz. Betroffene Sektoren umfassen unter anderem:
Energie, Verkehr, Bankwesen, Finanzmärkte
Gesundheit, Trinkwasser, Abwasser
Digitale Infrastruktur (DNS, TLD, Rechenzentren, Cloud Provider)
IKT-Dienstemanagement (Managed Services, Managed Security Services)
Öffentliche Verwaltung, Weltraum
Post- und Kurierdienste, Abfallbewirtschaftung, Chemie, Lebensmittel
Herstellung (Medizinprodukte, elektronische Erzeugnisse, Maschinenbau)
Digitale Dienste (Online-Marktplätze, Suchmaschinen, soziale Netzwerke)
Startup-Relevanz
Cybersecurity-nahe Startups sind besonders exponiert. Wer als SaaS-Anbieter Managed-Security-Dienste, Cloud-Infrastruktur, Identity-Management oder ähnliche Dienste betreibt, fällt schnell in den Anwendungsbereich – sobald die 50-Mitarbeiter- oder 10-Millionen-Umsatz-Grenze erreicht wird.
Wichtig für Founder: Die Schwelle ist niedriger als viele denken. Ein Series-B-Startup mit 60 Mitarbeitern und 8 Millionen Umsatz im SaaS-Sicherheitsbereich fällt darunter. Und die Registrierungspflicht bei der zuständigen Behörde (in Deutschland: BSI) besteht, sobald man in den Anwendungsbereich fällt – nicht erst nach Prüfung.
Persönliche Haftung der Geschäftsführung
Das ist der entscheidende Punkt: NIS-2 kennt eine explizite Geschäftsleitungshaftung (§ 38 NIS2UmsuCG). Geschäftsführer und Vorstände müssen die Umsetzung persönlich verantworten – und können bei Verstößen mit Bußgeldern von bis zu 10 Mio. Euro oder 2 % des weltweiten Jahresumsatzes belegt werden (für "besonders wichtige" Einrichtungen). Zusätzlich ist die persönliche Zurechnung als Aufsichtspflichtverletzung (§ 130 OWiG) möglich.
Vertiefung im deutschsprachigen Beitrag NIS-2: Persönliche Haftung von Geschäftsführern und im englischsprachigen NIS-2 Criminal Exposure for European CTOs/CISOs.
3. Art. 32 DSGVO: Angemessene technische und organisatorische Maßnahmen
Für die überwiegende Mehrheit der Startups ist nicht NIS-2 die zentrale Norm, sondern Art. 32 DSGVO: Der Verantwortliche und Auftragsverarbeiter muss geeignete technische und organisatorische Maßnahmen (TOM) zur Sicherstellung eines dem Risiko angemessenen Schutzniveaus treffen.
Was ist "angemessen"?
Die Rechtsprechung und die Aufsichtsbehörden legen die Anforderungen zunehmend strenger aus. Basis-Anforderungen für die meisten Startups:
Verschlüsselung sensibler Daten in Ruhe und in Übertragung
Zugriffsbeschränkungen (Rollen- und Rechtekonzept)
Multi-Faktor-Authentifizierung für Admin-Zugänge
Regelmäßige Backups und dokumentierte Wiederherstellungsprozeduren
Vulnerability-Management (regelmäßige Sicherheitsupdates)
Logging und Monitoring von Zugriffen
Incident-Response-Prozess mit definierten Verantwortlichkeiten
Auftragsverarbeiter-Verträge (AVV) mit allen Subprozessoren
Datenschutz-Folgenabschätzung (DSFA) bei hohen Risiken
Regelmäßige Prüfung und Aktualisierung des TOM-Setups
Bußgeldpraxis
Die Datenschutzaufsichtsbehörden verhängen inzwischen regelmäßig sechsstellige Bußgelder wegen Verstößen gegen Art. 32 DSGVO – auch gegen Startups. Bei erheblichen Datenpannen sind sieben- bis achtstellige Bußgelder möglich (nach Art. 83 Abs. 4 DSGVO: bis zu 10 Mio. Euro oder 2 % des Konzernumsatzes).
Strafrechtliche Konsequenz: Verstöße gegen Art. 32 DSGVO sind zunächst Bußgelder. Kommt aber eine tatsächliche Datenpanne mit Betroffenen-Auswirkungen dazu, kann sich der Verantwortliche zusätzlich nach § 42 BDSG strafbar machen.
4. § 42 BDSG: Strafrechtliche Datenschutzverletzung
§ 42 BDSG kriminalisiert bestimmte Formen der Datenschutzverletzung. Die Norm ist die strafrechtliche Ergänzung zum DSGVO-Bußgeldrecht.
Tatbestandsvoraussetzungen
§ 42 Abs. 1 BDSG: Wer wissentlich nicht allgemein zugängliche personenbezogene Daten einer großen Zahl von Personen unbefugt an Dritte übermittelt oder auf andere Art zugänglich macht, macht sich strafbar. Strafrahmen: Freiheitsstrafe bis zu drei Jahren oder Geldstrafe.
§ 42 Abs. 2 BDSG: Wer personenbezogene Daten, die nicht allgemein zugänglich sind, ohne Berechtigung verarbeitet oder durch unrichtige Angaben erschleicht, ist ebenfalls strafbar.
Startup-typische Konstellationen
Vertrieb von Kunden- oder Nutzerdaten an Dritte ohne Rechtsgrundlage (etwa "Growth Hacks" mit Datenanreicherung)
Interne Datenweitergabe an nicht autorisierte Mitarbeiter oder Auftragsverarbeiter
Übermittlung an Drittländer ohne angemessene Garantien (Schrems-II-Problematik)
Verwertung von Daten aus früheren Positionen (etwa ein Founder nimmt Kundenkontakte aus seinem alten Arbeitsverhältnis mit)
Zusammenhang mit Datenpannen
Wenn eine Datenpanne meldepflichtig wird (Art. 33 DSGVO), prüft die Behörde häufig auch strafrechtliche Anknüpfungspunkte. Wenn der Verantwortliche die Daten grob fahrlässig ungeschützt gelassen hat (etwa öffentlich zugängliche S3-Buckets, ungesicherte MongoDB-Instanzen), kann § 42 BDSG neben dem Bußgeld greifen.
Vertiefung: § 42 BDSG: Strafrechtliche Datenschutz-Straftat.
5. § 130 OWiG: Aufsichtspflichtverletzung im Startup-Kontext
Der § 130 OWiG (Verletzung der Aufsichtspflicht in Betrieben und Unternehmen) ist im Startup-Kontext oft der zentrale Anknüpfungspunkt für persönliche Verantwortung der Geschäftsführung.
Tatbestand
Wer als Inhaber eines Betriebs oder Unternehmens vorsätzlich oder fahrlässig die Aufsichtsmaßnahmen unterlässt, die erforderlich sind, um in dem Betrieb Zuwiderhandlungen gegen Straftat- oder Bußgeldpflichten zu verhindern, handelt ordnungswidrig. Bußgeldrahmen: bis zu 1 Mio. Euro, in Fällen von Straftaten oder erhöhten Bußgeldrahmen aus anderen Gesetzen auch höher.
Cybersecurity-Anknüpfungspunkte
Keine strukturierte Sicherheitsorganisation (kein CISO, kein IT-Security-Verantwortlicher, keine Prozesse)
Fehlende Awareness-Programme für Mitarbeiter (Phishing, Social Engineering)
Kein Vulnerability-Management, keine dokumentierten Sicherheitsupdates
Fehlende Zugriffsbeschränkungen und Rollenkonzepte
Kein Incident-Response-Plan
Bekannte Sicherheitslücken werden nicht behoben
Bei Warnungen (etwa durch White-Hat-Hacker oder Bug-Bounty-Reports) keine strukturierte Reaktion
Zurechnung an die Geschäftsführung
Wichtig: § 130 OWiG greift auch, wenn keine konkrete Straftat oder Ordnungswidrigkeit im Unternehmen tatsächlich passiert ist. Die Ordnungswidrigkeit besteht bereits in der strukturellen Aufsichtslücke. Und die Geschäftsführung kann sich nicht einfach durch Delegation entlasten – die Auswahl, Überwachung und Kontrolle der delegierten Personen bleibt bei der Geschäftsführung.
Für Startups mit knappen Ressourcen ist das eine Herausforderung: Man muss nicht ein 20-köpfiges Security-Team haben, aber man muss strukturell erkennbar in Sicherheit investieren – proportional zur Unternehmensgröße und zum Risiko.
6. §§ 202a, 202c, 303a, 303b StGB: Wenn Startups Opfer und Täter zugleich sind
Die klassischen Cyber-Straftatbestände des StGB betreffen Startups in doppelter Rolle: als potentielle Opfer (bei Angriffen) und in Grenzfällen als potentielle Täter (bei fragwürdigen Marketing- oder Wettbewerbsstrategien).
Als Opfer
Wenn Ihr Startup Opfer eines Cyberangriffs wird – Ransomware, Datenexfiltration, Betrugsversuche – greifen strafrechtliche Instrumente:
§ 303a StGB (Datenveränderung)
Was das für Sie bedeutet: Sie können und sollten Strafanzeige stellen – die Ermittlungsbehörden helfen aktiv (Zentralstellen wie ZAC, LKA Cybercrime-Referate). Vertiefung in Ransomware: Rechtliche Optionen.
In Grenzfällen als Täter
Bestimmte Startup-Praktiken bewegen sich rechtlich in Grenzbereichen, die schnell strafbar werden können:
Web Scraping ohne Erlaubnis: Wer massenhaft Daten von fremden Websites abgreift und dabei technische Schutzmaßnahmen (auch schwache) überwindet, kann sich nach § 202a StGB strafbar machen. Der BGH hat die Schwelle in mehreren Entscheidungen präzisiert.
Reverse Engineering von Wettbewerbern: Wenn Startups Produkte oder APIs von Wettbewerbern reverse-engineeren und dabei technische Schutzmaßnahmen umgehen, ist das potentiell strafbar.
"Growth Hacks" mit fremden Daten: Automatische Extraktion von Kontaktdaten aus LinkedIn, XING oder ähnlichen Plattformen mit Umgehung von Schutzmaßnahmen. Zusätzlich zu urheber- und wettbewerbsrechtlichen Fragen entsteht strafrechtliches Risiko.
Backdoors oder Tracking im eigenen Produkt: Wer Kundenkommunikation ohne Rechtsgrundlage überwacht (etwa versteckte Analytics, ohne Einwilligung), kann sich nach § 202b StGB (Abfangen von Daten) strafbar machen.
7. Der Startup-typische Cyber-Sicherheits-Stack: 8 Bausteine
Aus meiner Praxis als CEO eines Compliance-Startups und als Strafverteidiger ergeben sich acht Bausteine, die für die meisten Startups strafrechtliche Risiken erheblich reduzieren – ohne Enterprise-Budgets zu erfordern:
1. Identity- und Access-Management (IAM) Zentrale Verwaltung aller Zugänge über einen Identity Provider (Okta, Google Workspace, Microsoft Entra ID). SSO für alle wesentlichen SaaS-Anwendungen. MFA verpflichtend für alle Admin-Zugänge.
2. Dokumentiertes Rollen- und Rechtekonzept Wer hat Zugriff worauf, mit welcher Begründung? Least-Privilege-Prinzip. Regelmäßige Access-Reviews (mindestens quartalsweise für sensible Systeme).
3. Endpoint-Schutz EDR-Lösung (Endpoint Detection and Response) auf allen Firmen-Geräten. Verschlüsselung der Festplatten (Bitlocker, FileVault). Kein BYOD ohne strukturierte Absicherung.
4. Vulnerability-Management Automatische Erkennung und Patches für bekannte Schwachstellen. Dependency-Scanning für Codebases (Dependabot, Snyk). Regelmäßige Penetration Tests (mindestens jährlich).
5. Logging und Monitoring Zentrale Log-Aggregation (SIEM-nah). Alerting bei kritischen Vorfällen. Dokumentation, was warum ausgewertet wird (Betriebsrat-Compliance beachten).
6. Datenschutz-Governance Verzeichnis von Verarbeitungstätigkeiten. AVVs mit allen Auftragsverarbeitern. TOM-Dokumentation nach Art. 32 DSGVO. DSFA für risikoreiche Verarbeitungen. Datenschutzbeauftragter (extern reicht bei kleineren Startups).
7. Incident-Response-Plan Wer entscheidet, wenn eine Datenpanne oder ein Angriff festgestellt wird? Welche Meldepflichten laufen? Interne Eskalationswege. Externe Kommunikationsplan. Kontaktliste (BSI, LKA-Cybercrime, Datenschutzbehörde, externe IT-Forensiker). Übungen mindestens einmal jährlich.
8. Awareness und Kultur Phishing-Simulationen. Onboarding-Trainings für neue Mitarbeiter. Regelmäßige Updates (Newsletter, All-Hands-Slots). Sicherheit als Kultur-Element, nicht nur als IT-Aufgabe.
Priorisierung nach Startup-Phase:
Pre-Seed / Seed (≤10 MA): Bausteine 1, 2, 3, 6, 7 in Basis-Ausprägung.
Series A (10–40 MA): Alle Bausteine strukturell aufsetzen, mindestens externe Datenschutzbeauftragte, dokumentierte Prozesse.
Series B+ (40+ MA): Dedizierter IT-Security-Verantwortlicher, formales ISMS in Richtung ISO 27001 oder BSI-Grundschutz, Penetration Tests regelmäßig.
Praxis-Insight aus der Founder-Perspektive
SECJUR ist ein venture-backed Compliance-Unternehmen mit über 50 Mitarbeitern, ausgewählt für den Google for Startups Cybersecurity Accelerator und Träger des Deutschen Startup-Pokals Cybersecurity (2022). Aus der operativen Perspektive kann ich bestätigen: Der häufigste Fehler von Foundern ist nicht, dass sie Cybersecurity ignorieren. Der häufigste Fehler ist, dass sie sie ohne Struktur angehen – ad-hoc, reaktiv, nach Kundenanforderungen aus laufenden Sales-Prozessen.
Der Effekt: Es entstehen Sicherheitsartefakte (ein SIEM hier, eine Schulung dort, ein Pentest, weil ein Enterprise-Kunde ihn verlangt), aber keine kohärente Sicherheitsarchitektur. Wenn dann eine Behörde oder ein Insolvenzverwalter das Setup prüft, ist die strukturelle Aufsichtslücke offensichtlich – § 130 OWiG greift.
Meine Empfehlung: Behandeln Sie Cybersecurity vom ersten Kundenvertrag an als Governance-Thema, nicht als IT-Thema. Ein einfaches, dokumentiertes Setup ist besser als ein aufwendiges, undokumentiertes. Und: Der Aufbau kostet in der Series-A-Phase deutlich weniger als die Reparatur nach der ersten Datenpanne oder dem ersten Enterprise-Compliance-Audit.
Häufige Fragen
Wir sind erst 15 Mitarbeiter und verarbeiten wenige Daten – müssen wir uns wirklich um NIS-2 kümmern? NIS-2 selbst greift ab 50 Mitarbeitern oder 10 Mio. Euro Umsatz. Unter diesen Schwellen gelten die klassischen Pflichten aus DSGVO Art. 32 und § 130 OWiG. Aber: Wenn Sie Cybersecurity-nahe Dienste anbieten oder als Zulieferer für NIS-2-pflichtige Unternehmen arbeiten, kommen die Anforderungen häufig über Kundenverträge auf Sie zu – schon vor Erreichen der Schwelle.
Reicht ein Vertrag mit einem externen Datenschutzbeauftragten? Der externe DSB deckt die formalen Anforderungen des Art. 37 DSGVO ab. Das ersetzt aber nicht die Governance-Verantwortung der Geschäftsführung. Der DSB berät und kontrolliert; die Umsetzung liegt bei Ihnen.
Wir nutzen AWS und Google Cloud – sind wir dadurch "safe"? Diese Anbieter bieten sichere Infrastruktur – aber die Anwendungsschicht, die Zugriffsrechte und die Datenverarbeitung sind Ihre Verantwortung. Das häufigste Datenleck-Muster bei Startups: fehlkonfigurierte S3-Buckets oder öffentliche Datenbank-Instanzen mit sensiblen Daten.
Muss ich Datenpannen wirklich melden, wenn "nichts Böses" passiert ist? Wenn ein Risiko für die Rechte und Freiheiten natürlicher Personen besteht: ja, innerhalb von 72 Stunden. Selbst wenn Sie das Risiko als niedrig einschätzen, sollten Sie die Meldung erwägen – die Nicht-Meldung ist bei späterer Bekanntwerdung ein deutlich schlechteres Signal als eine dokumentierte Vorsichtsmeldung. Vertiefung: Art. 33 DSGVO 72-Stunden-Meldepflicht.
Kann ich mich durch eine Cyber-Versicherung schützen? Cyber-Versicherungen decken Schäden, aber keine Strafverfahren gegen Sie persönlich. Und viele Policen schließen Deckung aus, wenn "grobe Fahrlässigkeit" vorliegt – was bei strukturell mangelnder Cybersecurity oft angenommen wird. Die Versicherung ist Ergänzung, kein Ersatz für strukturelle Compliance.
Wie schnell kann ich als Founder in ein Ermittlungsverfahren geraten? In der Regel durch eine Kombination: erst Datenpanne, dann Behörden-Prüfung, dann Feststellung struktureller Mängel, dann Weiterleitung an die Staatsanwaltschaft. Ich sehe in meiner Praxis vom ersten Vorfall bis zum Ermittlungsverfahren häufig sechs bis zwölf Monate. Diese Zeit sollten Sie nutzen, um professionelle Verteidigung aufzubauen – nicht abzuwarten.
Zum Autor
Niklas Hanitsch ist seit Ende 2016 als Strafverteidiger tätig und Gründer/CEO der SECJUR GmbH, eines venture-backed Compliance-Unternehmens mit über 50 Mitarbeitern. SECJUR wurde für den Google for Startups Cybersecurity Accelerator ausgewählt und mit dem Deutschen Startup-Pokal Cybersecurity (2022) ausgezeichnet. Niklas ist Mitglied der Bundesfachkommission Cybersicherheit im Wirtschaftsrat der CDU, wurde 2023 in die Capital 40under40-Liste aufgenommen und ist WHU-MBA (Class of 2019). Seine juristische Laufbahn führte über Amazon Legal, Taylor Wessing Silicon Valley (Beratung US-amerikanischer Unternehmen zum europäischen Datenschutzrecht), Taylor Wessing Deutschland und Bird & Bird in die eigene Kanzlei. Als Founder eines Cybersecurity-Compliance-Unternehmens und praktizierender Strafverteidiger begleitet er Startups im Aufbau tragfähiger Sicherheitsarchitekturen und in der Verteidigung bei Ermittlungsverfahren.
Weiterführende Beiträge:
Hinweis: Dieser Beitrag ersetzt keine anwaltliche Beratung im Einzelfall. Bei Datenpannen, Behörden-Prüfungen oder Ermittlungsverfahren empfehle ich, unmittelbar einen Fachanwalt für Strafrecht mit IT-Sicherheitsbezug zu konsultieren. Ein Erstgespräch können Sie über die Kontaktseite buchen.