Stell dir vor, nach einem Hackerangriff liegt ein Brief auf deinem Schreibtisch. Der Absender sind deine eigenen Gesellschafter. Darin steht sinngemäß, dass die Firma durch den Angriff einen hohen Schaden erlitten hat. Dass dieser Schaden mit vernünftiger Vorsorge vermeidbar gewesen wäre. Dass man deshalb prüft, ob du als Geschäftsführer dafür geradestehen musst. Mit deinem eigenen Geld.
Für viele Unternehmer klingt das nach einem Albtraum, der nur Konzernvorstände betrifft. Die Geschäftsführerhaftung gilt allerdings genauso für die GmbH mit zwölf Mitarbeitern im Landkreis Ansbach. Seit dem Inkrafttreten der deutschen NIS2-Regeln Ende 2025 ist das Thema noch einmal deutlich schärfer geworden. In diesem Beitrag erfährst du, was Geschäftsführerhaftung bei Cyberangriffen konkret bedeutet, wann es für dich persönlich teuer werden kann und wie du dein Risiko mit überschaubarem Aufwand senkst. Eine Rechtsberatung ersetzt dieser Artikel nicht. Er hilft dir aber, die richtigen Fragen zu stellen.
Was Geschäftsführerhaftung eigentlich bedeutet
Die Sorgfalt eines ordentlichen Geschäftsmannes
Die Grundlage steht im GmbH-Gesetz. Nach § 43 GmbHG müssen Geschäftsführer die Angelegenheiten der Gesellschaft mit der Sorgfalt eines ordentlichen Geschäftsmannes führen.¹ Wer diese Pflicht verletzt, haftet der Gesellschaft für den entstandenen Schaden. Gibt es mehrere Geschäftsführer, haften sie gemeinsam.¹ Das klingt zunächst abstrakt. Gemeint ist im Kern etwas ganz Einfaches. Du sollst die Firma so führen, wie es ein umsichtiger Unternehmer an deiner Stelle tun würde. Dazu gehört, erkennbare Risiken nicht einfach zu ignorieren. Genau hier beginnt die Geschäftsführerhaftung bei Cyberangriffen.
Wer dich bei der Geschäftsführerhaftung in Anspruch nehmen kann
Juristen unterscheiden zwischen Innenhaftung und Außenhaftung. Bei der Innenhaftung verlangt die eigene Gesellschaft Geld von dir zurück, etwa weil die Gesellschafter oder später ein Insolvenzverwalter der Meinung sind, dass du einen Schaden hättest verhindern müssen. Bei der Außenhaftung stehen Dritte vor der Tür, zum Beispiel Kunden oder Geschäftspartner. Bei IT-Sicherheit geht es in der Praxis meist um die Innenhaftung. Die Firma hat den Schaden. Die Frage ist, ob sie ihn an dich weiterreichen kann. Für einen Handwerksbetrieb bei Rothenburg ob der Tauber mit zwei Gesellschaftern wäre das eine Situation, die das persönliche Verhältnis zueinander auf eine harte Probe stellt.
Warum ein Hackerangriff zur Frage der Geschäftsführerhaftung wird
IT-Sicherheit gehört zur Sorgfaltspflicht
Vor zwanzig Jahren hätte kaum jemand gefragt, ob ein Geschäftsführer für einen Virus auf dem Firmenrechner verantwortlich ist. Heute hängt fast jeder Betrieb komplett an seiner IT. Rechnungen, Kundendaten, Maschinensteuerung, Zeiterfassung, alles läuft digital. Fällt die IT aus, steht der Betrieb. Damit ist IT-Sicherheit ein ganz normales Geschäftsrisiko geworden, so wie Brandschutz oder ein ordentlicher Versicherungsschutz. Ein Geschäftsführer, der dieses Risiko bewusst laufen lässt, verletzt im Zweifel seine Sorgfaltspflicht. Die Geschäftsführerhaftung knüpft genau an diese Pflichtverletzung an. Der Hackerangriff selbst ist nur der Auslöser.
Was ein Angriff kosten kann
Wie groß das Risiko ist, zeigen die Zahlen des Digitalverbands Bitkom. Laut der Studie Wirtschaftsschutz 2026 beträgt der Gesamtschaden für die deutsche Wirtschaft durch Diebstahl, Spionage und Sabotage rund 211 Milliarden Euro.² Gut drei Viertel davon gehen auf Cyberangriffe zurück.² Für einen einzelnen Mittelständler bedeutet ein schwerer Angriff tagelangen Stillstand, Kosten für Wiederherstellung und Forensik, verärgerte Kunden sowie im schlimmsten Fall verlorene Aufträge. Je höher dieser Schaden ausfällt, desto eher fragen Gesellschafter oder Insolvenzverwalter, wer ihn hätte verhindern können. Spätestens dann wird aus einem IT-Problem eine Frage der Geschäftsführerhaftung.
Weißt du, ob deine IT-Sicherheit einer kritischen Prüfung standhalten würde? IPEXX-Systems schaut sich mit dir an, wo dein Betrieb heute steht.
Was NIS2 für deine Geschäftsführerhaftung ändert
Neue Regeln seit Dezember 2025
Mit dem NIS-2-Umsetzungsgesetz hat Deutschland eine EU-Richtlinie zur Cybersicherheit in nationales Recht übertragen. Das Gesetz ist am 6. Dezember 2025 in Kraft getreten.³ Seitdem beaufsichtigt das Bundesamt für Sicherheit in der Informationstechnik rund 29.500 Einrichtungen, vorher waren es etwa 4.500.³ Darunter sind viele mittelständische Firmen aus Branchen wie Produktion, Logistik, Lebensmittel, Abfallwirtschaft oder digitale Dienste. Auch Zulieferer aus dem Raum Crailsheim, die bisher nie etwas mit Cybersicherheitsrecht zu tun hatten, können darunter fallen.
Umsetzen, überwachen, schulen
Für die Geschäftsführerhaftung ist vor allem § 38 des neuen BSI-Gesetzes wichtig. Danach muss die Geschäftsleitung betroffener Unternehmen die vorgeschriebenen Maßnahmen zum Risikomanagement umsetzen und ihre Umsetzung überwachen.⁴ Verletzt sie diese Pflichten, haftet sie ihrer Einrichtung für einen schuldhaft verursachten Schaden nach den Regeln des Gesellschaftsrechts.⁴ Außerdem schreibt das Gesetz vor, dass Geschäftsleitungen regelmäßig an Schulungen teilnehmen.⁴ Sie sollen damit Risiken in der Informationssicherheit selbst erkennen und bewerten können. Damit steht schwarz auf weiß im Gesetz, was vorher nur aus der allgemeinen Sorgfaltspflicht abgeleitet wurde. Die Geschäftsführerhaftung ist in NIS2-Betrieben also ausdrücklich geregelt.
Was das Gesetz konkret verlangt
Welche Maßnahmen gemeint sind, legt § 30 des BSI-Gesetzes fest.⁵ Die Liste ist erstaunlich bodenständig. Verlangt werden unter anderem eine Risikoanalyse, ein Plan für den Umgang mit Sicherheitsvorfällen, Datensicherungen samt Wiederherstellung sowie ein Krisenmanagement.⁵ Dazu kommen die Sicherheit in der Lieferkette, ein geregelter Umgang mit Schwachstellen, Schulungen der Beschäftigten, Verschlüsselung, Zugriffskontrollen sowie die Anmeldung mit mehreren Faktoren.⁵ Auch die Wirksamkeit der Maßnahmen muss regelmäßig überprüft werden. Vieles davon ist in den meisten Betrieben schon in Ansätzen vorhanden. Selten ist es vollständig oder aufgeschrieben. Genau diese Lücken entscheiden im Ernstfall über die Geschäftsführerhaftung.
Bin ich überhaupt betroffen?
Ob dein Betrieb unter NIS2 fällt, hängt von der Branche sowie von Größenschwellen bei Beschäftigten und Umsatz ab. Das BSI bietet dafür eine kostenlose Betroffenheitsprüfung an, die dich mit wenigen Fragen durch die Kriterien führt.⁶ Nimm dir dafür in Ruhe etwas Zeit. Vielleicht stellst du dabei überrascht fest, dass dein Betrieb betroffen ist. Vielleicht kannst du auch aufatmen. Wichtig ist nur, dass du es weißt. Davon hängt ab, wie streng deine Geschäftsführerhaftung gesetzlich geregelt ist. Wer betroffen ist, muss sich beim BSI registrieren sowie erhebliche Sicherheitsvorfälle melden.³
Geschäftsführerhaftung auch ohne NIS2
Die allgemeine Sorgfaltspflicht gilt für jede GmbH
Fällt dein Betrieb nicht unter NIS2, ist das Thema damit keineswegs erledigt. Die Sorgfaltspflicht aus § 43 GmbHG gilt für jede GmbH, egal wie klein.¹ Auch ein Steuerberatungsbüro in Ansbach oder ein Autohaus in Dinkelsbühl muss seine IT angemessen schützen. Was angemessen ist, richtet sich nach Größe, Branche und Art der Daten. Ein Betrieb mit Gesundheitsdaten braucht mehr Schutz als eine kleine Schreinerei. Die Geschäftsführerhaftung greift in beiden Fällen, wenn offensichtliche Grundregeln missachtet wurden. Dazu zählen etwa fehlende Datensicherungen, ungepatchte Systeme oder Passwörter, die seit Jahren niemand geändert hat.
Datenschutz als zweite Baustelle
Hinzu kommt die Datenschutz-Grundverordnung. Artikel 32 verlangt, dass Unternehmen personenbezogene Daten durch geeignete technische und organisatorische Maßnahmen schützen.⁷ Gehen nach einem Angriff Kundendaten verloren, drohen Bußgelder sowie Schadenersatzforderungen von Betroffenen. Diese Kosten trägt zunächst das Unternehmen. Hat der Geschäftsführer die nötigen Maßnahmen versäumt, kann die Firma auch diesen Schaden im Rahmen der Geschäftsführerhaftung bei ihm geltend machen. Aus einem Datenleck wird so schnell ein persönliches Problem.
Typische Fehler, die Geschäftsführerhaftung auslösen
„Das macht doch unser IT-Dienstleister“
Viele Geschäftsführer denken, mit einem externen IT-Partner sei das Thema abgehakt. Das ist ein gefährlicher Irrtum. Das BSI stellt klar, dass Verträge mit Dienstleistern allein nicht genügen, weil die Leitung das Risikomanagement selbst steuern muss.⁸ Du darfst die Arbeit abgeben. Die Pflicht, hinzuschauen, bleibt bei dir. Ein Satz wie „Ich dachte, der Dienstleister kümmert sich darum“ schützt dich im Ernstfall kaum.
Bekannte Lücken, die liegen bleiben
Besonders heikel wird es, wenn ein Risiko bekannt war. Hat dein IT-Partner schon vor Monaten auf veraltete Server, fehlende Updates oder eine unsichere Fernwartung hingewiesen, steht diese Warnung irgendwo in einer E-Mail. Wird genau diese Lücke später zum Einfallstor für Hacker, ist die Frage nach der Sorgfalt schnell beantwortet. Kein Unternehmer kann jedes Risiko sofort beseitigen. Eine bewusste Entscheidung, warum etwas später kommt, sieht allerdings ganz anders aus als eine Warnung, die ungelesen im Postfach verschwindet.
Nichts ist dokumentiert
Der dritte Klassiker ist fehlende Dokumentation. Im Streitfall hilft es dir wenig, wenn du dich gekümmert hast, das aber niemand nachvollziehen kann. Wer seine Kontrollen sowie seine Entscheidungen schriftlich festhält, steht deutlich besser da. Bei IT-Sicherheit ist das besonders wichtig, weil die Technik für Gesellschafter oder Gerichte schwer zu durchschauen ist.
Liegt bei dir auch eine Warnung im Postfach, um die sich noch niemand gekümmert hat? IPEXX-Systems hilft dir, offene Punkte zu sortieren und sauber zu dokumentieren.
Was du abgeben kannst und was bei dir bleibt
Arbeit delegieren, Überblick behalten
Niemand erwartet, dass du selbst Firewalls konfigurierst oder Sicherheitsupdates einspielst. Diese Arbeit gehört in die Hände von Fachleuten. Bei dir bleibt die Aufgabe, dafür zu sorgen, dass es diese Fachleute gibt, dass sie genug Zeit sowie Budget bekommen und dass du regelmäßig erfährst, wo die Firma steht. Ein kurzer Bericht pro Quartal ist ein guter Anfang. Darin sollte stehen, welche Risiken es gibt, was erledigt wurde und was noch offen ist. Mit so einem Bericht wird aus der abstrakten Geschäftsführerhaftung eine überschaubare Routine.
Worauf du bei deinem IT-Partner achten solltest
Ein guter IT-Dienstleister macht dir die Überwachung leicht. Er meldet sich von selbst, wenn etwas nicht stimmt. Er erklärt Risiken so, dass du als Laie entscheiden kannst. Er hält fest, was vereinbart wurde. Frag deinen Partner ruhig direkt, wie er dich bei deinen Pflichten unterstützt. Wer darauf keine klare Antwort hat, passt vielleicht nicht mehr zu den Anforderungen, die heute an Geschäftsführer gestellt werden.
Fünf Fragen an deinen IT-Partner
Eine einfache Checkliste hilft dir, deiner Überwachungspflicht nachzukommen. Stell deinem IT-Partner einmal im Quartal diese fünf Fragen. Wann wurde die Datensicherung zuletzt testweise zurückgespielt? Gibt es Systeme, die keine Sicherheitsupdates mehr bekommen? Ist die Anmeldung mit einem zweiten Faktor für alle wichtigen Zugänge eingerichtet? Welche Warnungen oder Vorfälle gab es seit dem letzten Gespräch? Was sollte als Nächstes angegangen werden? Notiere die Antworten mit Datum. Nach einem Jahr hast du damit eine lückenlose Spur, die zeigt, dass du dich gekümmert hast. Für die Geschäftsführerhaftung ist genau diese Spur Gold wert.
Hilft eine Versicherung gegen die Geschäftsführerhaftung?
D&O- und Cyberversicherung kurz erklärt
Zwei Versicherungen spielen hier eine Rolle. Eine D&O-Versicherung springt ein, wenn ein Geschäftsführer im Rahmen der Geschäftsführerhaftung persönlich in Anspruch genommen wird. Eine Cyberversicherung deckt Schäden des Unternehmens nach einem Angriff ab, etwa Kosten für Wiederherstellung oder Betriebsunterbrechung. Beide können sinnvoll sein. Sie ersetzen aber keine Vorsorge. Versicherer fragen vor Vertragsschluss in der Regel ab, welche Sicherheitsmaßnahmen vorhanden sind. Stimmen die Angaben später nicht, kann der Schutz wackeln. Lass die Bedingungen deshalb genau prüfen, am besten von einem Versicherungsmakler, der sich mit Geschäftsführerhaftung auskennt.
Wo die Grenze liegt
Ob eine Versicherung bei einer Geschäftsführerhaftung im Ernstfall wirklich zahlt, hängt vom Einzelfall ab. Sicher ist nur, dass ein Betrieb mit gepflegter IT, regelmäßigen Datensicherungen sowie dokumentierten Entscheidungen bessere Karten hat. Wie viel Sicherheit am Ende genug ist, kann dir leider niemand mit einer festen Zahl beantworten. Diese Unsicherheit gehört zum Unternehmerdasein dazu. Du kannst sie nur kleiner machen.
So senkst du das Risiko der Geschäftsführerhaftung
Eine ehrliche Bestandsaufnahme
Der erste Schritt ist ein nüchterner Blick auf den Ist-Zustand. Welche Systeme sind besonders wichtig? Gibt es funktionierende Datensicherungen, die jemand schon einmal getestet hat? Werden Updates zeitnah eingespielt? Wer hat welche Zugänge? Diese Fragen lassen sich mit einem IT-Partner zügig klären. Das Ergebnis ist eine Liste mit Risiken, sortiert nach Dringlichkeit. Mit dieser Liste kannst du Entscheidungen treffen, statt im Nebel zu stochern. Für die Geschäftsführerhaftung ist genau dieser Schritt entscheidend, weil er zeigt, dass du dich mit dem Thema befasst hast.
Entscheidungen festhalten
Nicht jede Maßnahme lässt sich sofort umsetzen. Das ist völlig normal. Wichtig ist, dass du begründest, warum du etwas jetzt angehst oder warum es noch warten kann. Halte diese Entscheidungen kurz schriftlich fest, etwa in einem Protokoll der Geschäftsführung. Ein Metallbaubetrieb aus dem Raum Wörnitz könnte zum Beispiel entscheiden, zuerst die Datensicherung zu modernisieren und den Austausch alter Arbeitsplätze ins nächste Jahr zu schieben. Ist das nachvollziehbar begründet, steht der Geschäftsführer im Streitfall auf festem Boden.
Selbst lernen, Mitarbeiter mitnehmen
Für NIS2-Betriebe ist die Schulung der Geschäftsleitung Pflicht.⁴ Für alle anderen ist sie schlicht klug. Du musst kein Techniker werden. Es reicht, wenn du die wichtigsten Risiken verstehst und die richtigen Fragen stellen kannst. Genauso wichtig sind deine Mitarbeiter. Viele Angriffe beginnen mit einer gefälschten E-Mail. Eine kurze, regelmäßige Schulung im Team senkt dieses Risiko spürbar. Damit schützt du das Unternehmen gleich doppelt.
Geschäftsführerhaftung in der Region ernst nehmen
Ein IT-Partner, der deine Sprache spricht
IT-Sicherheit ist für viele Geschäftsführer ein Thema, das sie lieber von sich wegschieben. Zu technisch, zu teuer, zu wenig greifbar. Gleichzeitig wächst der Druck durch Gesetze, Versicherer und Kunden. Ein Partner, der Risiken verständlich erklärt und Maßnahmen sauber dokumentiert, nimmt dir einen großen Teil dieser Last ab. IPEXX-Systems ist als IT-Systemhaus in Wörnitz zu Hause, mitten im Raum zwischen Ansbach, Rothenburg ob der Tauber, Dinkelsbühl sowie Crailsheim. Kurze Wege helfen genau dann, wenn nach einem Angriff jemand schnell vor Ort sein muss.
Dein nächster Schritt
Am Anfang steht ein Gespräch. Darin klärt IPEXX-Systems mit dir, ob dein Betrieb unter NIS2 fällt, wo die größten Risiken liegen und welche Schritte sich zuerst lohnen. Für rechtliche Detailfragen zur Geschäftsführerhaftung solltest du zusätzlich deinen Anwalt oder Steuerberater hinzuziehen. Wer Technik sowie Recht zusammen denkt, schläft am Ende deutlich ruhiger.
Mach IT-Sicherheit zu deiner Sache, bevor es jemand anderes für dich tut. IPEXX-Systems zeigt dir in einem kostenlosen Erstgespräch, wo du stehst.
Jetzt kostenloses Erstgespräch mit IPEXX-Systems vereinbaren
Hafte ich als Geschäftsführer einer GmbH mit meinem Privatvermögen, wenn unsere Firma gehackt wird?
Das ist möglich. Nach dem GmbH-Gesetz musst du deine Firma mit der Sorgfalt eines ordentlichen Kaufmanns führen. Dazu gehört heute auch ein angemessener Schutz der IT. Hast du bekannte Sicherheitslücken bewusst liegen lassen, kann die GmbH den Schaden nach einem Hackerangriff bei dir persönlich einfordern. Juristen nennen das Geschäftsführerhaftung. Wer nachweisen kann, dass er vernünftig vorgesorgt hat, steht deutlich besser da.
Können mich meine Mitgesellschafter nach einem Hackerangriff auf Schadenersatz verklagen?
Ja, das kann passieren. Entsteht der Firma durch einen Angriff ein hoher Schaden, prüfen Gesellschafter oder später ein Insolvenzverwalter, ob der Geschäftsführer ihn hätte verhindern können. Lautet die Antwort ja, greift die Geschäftsführerhaftung. Die Firma fordert das Geld dann von dir zurück. Entscheidend ist, ob du für die IT-Sicherheit getan hast, was ein umsichtiger Unternehmer an deiner Stelle getan hätte.
Bin ich als Chef aus dem Schneider, wenn sich ein externer IT-Dienstleister um unsere IT-Sicherheit kümmert?
Leider nicht ganz. Die praktische Arbeit darfst du einem Dienstleister übertragen. Das Bundesamt für Sicherheit in der Informationstechnik stellt allerdings klar, dass ein Vertrag mit einem Dienstleister allein nicht genügt. Du musst regelmäßig nachfragen, wo deine Firma steht, sowie über wichtige Maßnahmen selbst entscheiden. Genau diese Überwachung schützt dich bei einer Geschäftsführerhaftung.
Welche Pflichten habe ich als Geschäftsführer bei der IT-Sicherheit meiner Firma?
Du musst dafür sorgen, dass deine Firma angemessen gegen Hackerangriffe geschützt ist. Dazu gehören funktionierende Datensicherungen, aktuelle Software, sichere Zugänge sowie ein Plan für den Notfall. Selbst umsetzen musst du das nicht. Du musst es aber veranlassen, überwachen und bei Bedarf nachsteuern. Wer diese Pflichten vernachlässigt, riskiert eine Geschäftsführerhaftung mit dem eigenen Vermögen.
Muss sich auch mein kleiner Betrieb an die neuen EU-Regeln zur Cybersicherheit halten?
Das hängt von deiner Branche sowie von der Größe deines Betriebs ab. Seit Dezember 2025 gilt in Deutschland das NIS-2-Umsetzungsgesetz, das rund 29.500 Einrichtungen betrifft. Ob du dazugehörst, zeigt dir die kostenlose Betroffenheitsprüfung des Bundesamts für Sicherheit in der Informationstechnik. Für betroffene Firmen ist die Geschäftsführerhaftung bei IT-Sicherheit seitdem ausdrücklich im Gesetz geregelt.
Muss ich als Geschäftsführer selbst eine Schulung zur IT-Sicherheit machen?
Fällt deine Firma unter das NIS-2-Umsetzungsgesetz, ist das Pflicht. Die Geschäftsleitung muss regelmäßig an Schulungen teilnehmen, um Risiken selbst erkennen sowie bewerten zu können. Auch ohne gesetzliche Pflicht lohnt sich eine Schulung. Wer die wichtigsten Gefahren versteht, stellt seinem IT-Partner die richtigen Fragen. Das senkt das Risiko einer Geschäftsführerhaftung spürbar.
Zahlt eine Versicherung, wenn ich als Geschäftsführer nach einem Hackerangriff persönlich haften soll?
Dafür gibt es die D&O-Versicherung, eine Art Haftpflicht für Manager. Sie springt ein, wenn ein Geschäftsführer im Rahmen der Geschäftsführerhaftung persönlich in Anspruch genommen wird. Ob sie im Einzelfall wirklich zahlt, hängt von den Vertragsbedingungen ab. Versicherer fragen außerdem vorher ab, welche Schutzmaßnahmen es gibt. Lass deinen Vertrag am besten von einem Makler prüfen.
Wer zahlt, wenn Hacker die Kundendaten meiner Firma stehlen?
Zuerst trifft es die Firma. Die Datenschutz-Grundverordnung verlangt, dass personenbezogene Daten angemessen geschützt werden. Bei Verstößen drohen Bußgelder sowie Schadenersatzforderungen von betroffenen Kunden. Hat der Geschäftsführer die nötigen Schutzmaßnahmen versäumt, kann die Firma diese Kosten über die Geschäftsführerhaftung bei ihm persönlich zurückholen.
Wie kann ich mich als Chef davor schützen, nach einem Cyberangriff persönlich verantwortlich gemacht zu werden?
Am wirksamsten mit Vorsorge, die du belegen kannst. Lass regelmäßig prüfen, wo die Risiken in deiner IT liegen. Entscheide bewusst, was zuerst angegangen wird. Halte diese Entscheidungen mit Datum schriftlich fest. Ein kurzes Gespräch mit deinem IT-Partner pro Quartal samt Notizen ergibt eine nachvollziehbare Spur. Im Streit um eine Geschäftsführerhaftung ist genau diese Spur dein wichtigstes Argument.
Wie fange ich an, meine Firma gegen Hackerangriffe abzusichern, wenn ich selbst kein IT-Experte bin?
Am einfachsten mit einer ehrlichen Bestandsaufnahme durch Fachleute. IPEXX-Systems ist ein IT-Systemhaus aus Wörnitz im Raum Ansbach. Das Team schaut sich mit dir an, wo dein Betrieb steht, ob die neuen EU-Regeln zur Cybersicherheit für dich gelten und welche Schritte das Risiko einer Geschäftsführerhaftung am stärksten senken. Ohne Fachchinesisch und ohne Verpflichtung.
Quellen
¹ Bundesministerium der Justiz, Primärquelle: https://www.gesetze-im-internet.de/gmbhg/__43.html
⁴ Bundesministerium der Justiz, Primärquelle: https://www.gesetze-im-internet.de/bsig_2025/__38.html
⁵ Bundesministerium der Justiz, Primärquelle: https://www.gesetze-im-internet.de/bsig_2025/__30.html