Der Aufsichtsrat haftet mit

Seit Dezember 2025 ist Cyber Security in Deutschland ausdrücklich Aufgabe der Unternehmensspitze, ohne Schonfrist, für rund 29.500 Unternehmen. Wenige Wochen zuvor hat der Bundesgerichtshof die Anforderungen an das, was ein Aufsichtsrat wissen und einfordern muss, spürbar verschärft. Und ab August 2026 verlangt die neue KI-Verordnung der EU, dass Menschen die Kontrolle über riskante KI-Systeme behalten. Dieser Beitrag erklärt, was das für Aufsichtsräte und Beiräte konkret bedeutet: warum sie persönlich geradestehen, obwohl das Gesetz sie nicht nennt, warum am Ende sie beweisen müssen und nicht die Gegenseite, warum die eigene Versicherung weniger auffängt als gedacht, und warum Gremien in genau diese Lage hineinlaufen, ohne es zu merken. Und es geht dabei nicht um Paragraphen, sondern um das, was am Dienstag in der Sitzung zählt.

Der Satz, der 289 Milliarden Euro alt geworden ist.

Zwanzig Jahre lang war „Das macht doch die IT" keine Nachlässigkeit, sondern eine völlig übliche Arbeitsteilung, über die niemand nachdachte, weil es keinen Anlass dazu gab. IT-Sicherheit galt als Betriebsthema, zuständig war die IT-Abteilung, und der Aufsichtsrat hörte davon, wenn etwas ausgefallen war. Dass dieser Satz inzwischen eine der teuersten Aussagen sein kann, die im Sitzungsprotokoll landen, hat sich in bemerkenswert kurzer Zeit ergeben.

Der Schaden für die deutsche Wirtschaft durch Datendiebstahl, Spionage und Sabotage liegt laut Bitkom inzwischen bei 289,2 Milliarden Euro im Jahr, gut 202 Milliarden davon entfallen auf Cyberangriffe, 87 Prozent der Unternehmen waren betroffen, 59 Prozent halten Cyberangriffe für existenzbedrohend, und trotzdem halten sich nur 50 Prozent für gut vorbereitet. Am 6. Dezember 2025 ist das NIS2-Umsetzungsgesetz in Kraft getreten, ohne Übergangsfrist, und hat den Kreis der betroffenen Einrichtungen von rund 4.500 auf etwa 29.500 erweitert. Seitdem steht Cyber Security als Leitungsaufgabe im Gesetz, nicht delegierbar, mit persönlicher Verantwortung, und die Bußgelder reichen bis zu zehn Millionen Euro oder zwei Prozent des weltweiten Jahresumsatzes, je nachdem, welcher Betrag höher ist.

Zwischen „Das macht doch die IT" und „Das ist Chefsache, per Gesetz" liegen also keine dreißig Jahre, sondern vielleicht fünf. Das ist der Teil der Geschichte, der inzwischen bei den meisten Vorständen angekommen ist. Der andere Teil, der für Aufsichtsräte, kommt jetzt.

Sie stehen nicht im Gesetz. Und haften trotzdem.

Das neue Gesetz nimmt die Geschäftsleitung in die Pflicht: Sie muss die Schutzmaßnahmen absegnen, ihre Umsetzung überwachen und selbst an Schulungen teilnehmen, und zwar persönlich, der IT-Leiter kann nicht stellvertretend hingehen. Vom Aufsichtsrat ist an keiner Stelle die Rede. Genau daraus entsteht in vielen Gremien ein Trugschluss, der teuer werden kann, denn die Verantwortung des Aufsichtsrats hängt gar nicht an diesem Gesetz. Sie hängt an einer viel älteren Regel, die es schon gab, lange bevor irgendjemand das Wort Cyber benutzte.

Diese Regel ist denkbar schlicht und gerade deshalb wirksam: Der Aufsichtsrat muss den Vorstand überwachen, in allem, was er tut, und dazu gehört auch, ob der Vorstand seine gesetzlichen Pflichten erfüllt. Vernachlässigt der Vorstand die Cyber Security und der Aufsichtsrat merkt es nicht oder schreitet nicht ein, dann hat der Aufsichtsrat seine eigene Aufgabe verletzt. Und ab diesem Punkt geht es nicht mehr um das Bußgeld gegen das Unternehmen, sondern um Schadensersatz, den das Unternehmen und die Aktionäre von den Aufsehern persönlich verlangen können, jeder für den ganzen Betrag, aus dem eigenen Vermögen. Der Gesetzgeber musste den Aufsichtsrat gar nicht erst erwähnen, weil ihn diese ältere Regel längst erfasst.

Der Maßstab ist streng, aber fairer, als viele fürchten. Niemand verlangt, dass ein Aufsichtsrat eine Firewall einrichten kann. Verlangt wird, dass er so viel versteht, um die Dinge, die regelmäßig auf seinen Tisch kommen, selbst beurteilen zu können, und dass er sich Rat von außen holt, wo ihm das Wissen fehlt. Das eigentliche Risiko liegt deshalb nie in der Technik, sondern in der Aufsicht: Wer keine ordentlichen Berichte zur Cyber Security verlangt, hat im Ernstfall kein Technikproblem, sondern kann nicht belegen, dass er hingesehen hat.

Der BGH-Fall, in dem alles beim Bäcker besprochen wurde.

Wie ernst die Gerichte das inzwischen nehmen, hat der Bundesgerichtshof im Oktober 2025 gezeigt, wenige Wochen bevor das neue Cyber-Gesetz in Kraft trat. Der Fall hatte mit Technik nichts zu tun und ist gerade deshalb so lehrreich. Eine kleine Gesellschaft, deren Vorstand das eigentliche Geschäft praktisch eingestellt hatte und stattdessen auf eigene Faust mit Immobilien aus Zwangsversteigerungen handelte, ohne den Aufsichtsrat zu informieren. Der Aufsichtsratsvorsitzende hatte seine Kontrolle über Jahre auf gelegentliche Gespräche mit dem Vorstand beschränkt, teils bei zufälligen Begegnungen beim Bäcker, und verteidigte sich damit, die Firma sei ja ohnehin so gut wie inaktiv gewesen, regelmäßige Berichte also überflüssig. Die Vorinstanzen gaben ihm recht.

Der Bundesgerichtshof nicht. Er stellte klar, dass der Vorstand regelmäßig berichten muss, und zwar auch dann, wenn die Firma gerade keine Geschäfte macht, weil selbst der Stillstand etwas über ihre Lage aussagt. Entscheidend ist aber der zweite Teil: Der Vorstand muss zwar liefern, doch der Aufsichtsrat darf sich darauf nicht verlassen. Bleibt der Bericht aus oder ist er dünn, unklar oder schöngefärbt, muss der Aufsichtsrat nachhaken, mit Nachdruck einfordern und notfalls selbst nachforschen. Anders gesagt: Es reicht nicht, auf Post zu warten. Wer nichts hört, muss anrufen. Und diese Pflicht trifft jedes einzelne Mitglied, nicht nur den Vorsitzenden.

Für die Cyber Security lässt sich die Tragweite kaum überschätzen. Wenn schon bei einer ruhenden Firma der regelmäßige Bericht das absolute Minimum ist, dann kann sich kaum ein Gremium bei einem Risiko in Millionenhöhe mit dem jährlichen Halbsatz begnügen, die IT habe alles im Griff. Ein Aufsichtsrat, der Berichte nur entgegennimmt, überwacht nichts. Er dokumentiert, dass ihm berichtet wurde. Das ist nicht dasselbe, und im Streitfall zählt der Unterschied.

Der stille Verstärker: Am Ende müssen Sie beweisen, dass Sie gefragt haben.

Es gibt einen Punkt, der Mandatsträger fast immer überrascht, wenn er zum ersten Mal fällt, und der das Risiko still verdoppelt: Im Streitfall müssen nicht die anderen beweisen, dass der Aufsichtsrat geschlafen hat. Der Aufsichtsrat muss beweisen, dass er wach war. Die Beweislast liegt bei ihm, nicht bei der Gegenseite, und der Bundesgerichtshof hat das gerade erst bekräftigt.

Das ist der eigentliche Grund, warum am Ende alles an der Dokumentation hängt. Es genügt nicht, sorgfältig gearbeitet zu haben, man muss es Jahre später belegen können, womöglich gegen einen Insolvenzverwalter oder einen neuen Aufsichtsrat, der alte Vorgänge durchleuchtet. Wer dann keine protokollierten Berichte, keine notierten Nachfragen und keine Beschlüsse vorlegen kann, steht schlecht da, ganz gleich, wie gewissenhaft er tatsächlich war. Und es kommt ein Punkt hinzu, den kaum jemand kennt: Der Aufsichtsrat haftet für übersehene Fehler des Vorstands am Ende länger als der Vorstand selbst. Wer also die Fehler anderer hätte erkennen sollen, trägt das Risiko doppelt so lange wie der, der sie begangen hat.

Dazu kommt eine Pflicht, die viele unterschätzen. Verdichten sich die Anzeichen, dass der Vorstand etwas falsch gemacht hat, darf der Aufsichtsrat nicht wegsehen. Er muss prüfen, ob die Firma Ersatzansprüche gegen den Vorstand hat, und wenn vieles dafür spricht, muss er sie in aller Regel auch durchsetzen, gegen die eigenen Leute. Nachsicht mit einem verdienten Kollegen ist kein zulässiger Grund, es zu lassen. Übertragen auf einen Sicherheitsvorfall, der auf versäumte Maßnahmen zurückgeht, heißt das: Der Aufsichtsrat ist nicht Zuschauer. Er muss gegen die eigene Geschäftsleitung vorgehen und haftet, wenn er es unterlässt.

Die D&O-Police deckt weniger, als Sie glauben.

Die verbreitete Beruhigung an dieser Stelle lautet, es gebe ja eine Manager-Haftpflicht, die sogenannte D&O-Versicherung, damit sei das Risiko abgedeckt. Die gute Nachricht vorweg: Grundsätzlich ist die persönliche Haftung für solche Versäumnisse versicherbar, der Gesetzgeber wollte das ausdrücklich nicht einschränken, und die Gerichte haben die Position der Versicherten zuletzt sogar gestärkt. Die schlechten Nachrichten liegen im Kleingedruckten, und dort sind sie erheblich.

Ein Bußgeld selbst lässt sich nicht an die Versicherung weiterreichen, wer also glaubt, ein Zehn-Millionen-Bescheid lande am Ende bei der Police, irrt. Ob ein Unternehmen ein solches Bußgeld wenigstens intern von den verantwortlichen Managern zurückholen darf, ist unter Juristen noch umstritten und liegt derzeit den höchsten Gerichten zur Klärung vor, eine Antwort wird erst in ein, zwei Jahren erwartet. Bis dahin gilt für Mandatsträger die unbequeme Faustregel, vorsichtshalber mit einem solchen Rückgriff zu rechnen, und genau der ist in vielen Verträgen gar nicht oder nur mit Einschränkungen abgedeckt.

Dazu kommt eine Verwechslung, die in der Praxis oft passiert: Die Manager-Haftpflicht zahlt, wenn ein Aufsichtsrat oder Vorstand persönlich in Anspruch genommen wird, aber nicht die Schäden des Angriffs selbst. Forensik, Wiederaufbau der Systeme, Produktionsausfall, Lösegeld bei Erpressung, all das fällt nicht unter diese Police, dafür braucht es eine eigene Cyber-Versicherung. Und schließlich, für viele Praktiker der gefährlichste Punkt: Versicherer machen die Einhaltung bestimmter Sicherheitsstandards zunehmend zur Bedingung ihrer Verträge. Wer die Standards nicht erfüllt, kann im Schadensfall trotz bezahlter Police leer ausgehen. Die Versicherung wird damit zu einer zweiten Aufsicht durchs Hintertürchen, die über die Frage, ob sie zahlt, kontrolliert, ob das Unternehmen wirklich tut, was nötig ist.

Warum Gremien überhaupt hineinlaufen.

Bleibt die Frage, warum ein Risiko, dessen Vorzeichen jahrelang auf dem Tisch lagen, so viele Gremien überrascht hat. Die Antwort hat weniger mit Nachlässigkeit zu tun als mit der Art, wie Aufsichtsräte zusammengesetzt werden, denn berufen wird, wer Erfahrung mitbringt, einen Track Record, eine Bilanz, die belegt, dass er es kann. Das ist vernünftig und war lange richtig, es ist aber eine Auswahl, die nach hinten schaut: Menschen werden ausgewählt, weil sie bewiesen haben, dass sie die Vergangenheit beherrschten, und übernehmen dann die Aufgabe, über die Zukunft zu wachen. Solange sich Märkte über Jahre verschoben haben, war Erfahrung der beste verfügbare Kompass; bei Risiken, die in fünf Jahren vom Betriebsdetail zur persönlichen Haftungsfrage werden, ist sie ein blinder Fleck.

Die Zahlen dazu sind unangenehm eindeutig. Das European Center for Board Effectiveness hat die Qualifikationsmatrizen der DAX-Familie ausgewertet, also das, was Aufsichtsräte selbst über ihre Kompetenzen angeben, und dabei weisen mehr als zwei Drittel Branchenkenntnisse und Nachhaltigkeitsexpertise aus, während Digitalisierungskompetenz deutlich geringer ausgeprägt ist. Der KPMG DAX Digital Monitor formuliert es schärfer, denn von den vierzig DAX-Konzernen erfüllen zuletzt nur zwölf sämtliche geprüften Kriterien zum Digital Leadership, im Jahr davor waren es noch fünfzehn, und die Studienautoren sprechen von „Digital Washing“ sowie einer „zum Teil gewagten Interpretation von digitalen Kompetenzen in den Aufsichtsräten“. International sieht es kaum besser aus: Es wurden 398 börsennotierte Boards untersucht mit dem Ergebnis, dass in EMEA nur 38 Prozent der Gremien mindestens ein Mitglied mit Erfahrung als Technologievorstand haben, und wo diese Kompetenz fehlt, zersplittert die Aufsicht über Prüfungs-, Risiko- und Strategieausschüsse, bis sie am Ende nirgends mehr richtig stattfindet.

Die naheliegende Antwort darauf, sich einen Experten ins Gremium zu holen, greift dabei kürzer, als sie verspricht, denn ein einzelner Fachmann macht ein Gremium nicht kompetent, sondern bequem: Sobald einer da ist, der es angeblich versteht, hört der Rest auf zu fragen und nickt mit, während die Verantwortung unverändert bei allen liegt, weil die Überwachungspflicht jedes einzelne Mitglied trifft. Institutionelle Investoren sehen das inzwischen ähnlich, denn EY hat für sein Center for Board Matters mit ihnen gesprochen und berichtet, dass die Berufung eines technischen Experten ins Board möglicherweise ein guter Ansatz ist, entscheidender jedoch sei, wie ein Board Zugang zu externer Expertise organisiert und wie sich das gesamte Gremium weiterbildet.

KI ist die nächste Runde. Und sie läuft schon.

Wer nun hofft, mit der Cyber Security sei die Lernkurve abgearbeitet, sollte auf den Kalender schauen, denn seit dem 02. August 2026 greifen die zentralen Regeln der neuen europäischen KI-Verordnung, und sie verlangen, dass bei riskanten KI-Systemen ein Mensch die Kontrolle behält, den Betrieb versteht und eingreifen kann. Wer diese Aufsicht organisiert, wer sie prüft und wer am Ende dafür geradesteht, ist in vielen Häusern ungeklärt, und die Parallele zur Cyber Security drängt sich auf: Auch dort begann es als Betriebsthema, auch dort verschob es sich in wenigen Jahren zur Leitungsverantwortung, und auch dort war die Frage am Ende nicht, ob jemand die Technik versteht, sondern ob er nachweisen kann, sie überwacht zu haben.

Der Unterschied ist, dass KI schwerer zu fassen ist als ein Angriff, denn sie ist kein Ereignis, sondern eine Durchdringung, die nicht in einem System sitzt, das man absichern könnte, sondern in Entscheidungen, die überall im Unternehmen getroffen werden, oft ohne, dass irgendjemand sie als KI-Entscheidung erkennt: ein Modell, das Bewerbungen vorsortiert, ein Algorithmus, der Preise setzt, ein Assistent, dem eine Fachabteilung Kundendaten anvertraut, ohne zu fragen. Bei der Cyber Security gibt es wenigstens einen Verantwortlichen, den man in die Sitzung bitten kann; bei KI weiß in vielen Gremien niemand, wen man überhaupt einladen soll, und was man ihn fragen müsste, wenn man nicht weiß, welche Antwort eine gute wäre. Der Tech-Unternehmer und frühere CTO Peyman Pouryekta beschreibt die Lage so, dass KI-Expertise in vielen Gremien noch am Katzentisch sitze, ohne echten Einfluss, während der Aufsichtsrat rechtlich den Kopf hinhalten müsse.

Was am Dienstag in der Sitzung zählt.

Aus alledem folgt ein Pflichtenprogramm, das ohne technische Spezialkenntnisse umsetzbar ist, weil es im Kern aus Fragen, Frequenz und Protokoll besteht. Cyber Security gehört als ständiger Tagesordnungspunkt in den Regelbetrieb, nicht als Sonderthema nach einem Vorfall, und die Berichterstattung sollte quartalsweise erfolgen, schriftlich, mit Umsetzungsstand der Maßnahmen, offenen Risiken, Vorfällen und anstehenden Audits. Diese Berichte müssen kritisch geprüft und die Rückfragen dokumentiert werden, denn nach dem Oktober-Urteil ist die passive Entgegennahme eines Berichts gerade keine Überwachung mehr. Ob die Geschäftsleitung die Schutzmaßnahmen förmlich abgesegnet hat, per Beschluss, mit Datum, Teilnehmern und konkreten Punkten, lässt sich in einer Sitzung klären; ob sie an den vorgeschriebenen Schulungen teilgenommen hat und das belegen kann, ebenfalls.

Dazu gehört die eigene Manager-Haftpflicht auf den Prüfstand, und zwar bevor der Ernstfall die Antwort liefert. Die entscheidenden Fragen an den Versicherer sind schlicht: Sind Cyber-Fälle überhaupt mitversichert oder ausgeschlossen? Werden die Kosten der Rechtsverteidigung übernommen? Und was passiert bei einem Rückgriff wegen eines Bußgelds? Ein solches Gespräch kostet einen Termin, sein Ausbleiben kostet im Ernstfall erheblich mehr. Und schließlich gehört alles an einen Ort archiviert, die Beschlüsse, die Berichte, die Schulungsnachweise, die Risikoübersichten, denn was Jahre später niemand mehr findet, hat es vor Gericht nie gegeben, und weil im Zweifel der Aufsichtsrat seine Sorgfalt beweisen muss, ist dieses Archiv kein Papierkram, sondern seine wichtigste Verteidigungslinie.

Die unbequeme Pointe.

Das eigentlich Bemerkenswerte an der neuen Lage ist nicht die Höhe der Bußgelder, sondern die Verschiebung des Prüfungsmaßstabs, denn bislang galt in vielen Gremien die stillschweigende Übereinkunft, dass Cyber Security erst dann zum Thema wird, wenn etwas passiert ist. Diese Logik trägt nicht mehr. Die Frage, an der sich die Haftung entscheidet, lautet nicht, ob es einen Vorfall gab, sondern ob die Arbeit des Gremiums die Sorgfaltspflicht erkennbar erfüllt hat, und zwar auch dann, wenn nichts passiert ist. Ein Aufsichtsrat, der drei Jahre lang keine Berichte zur Cyber Security eingefordert hat, hat ein Dokumentationsproblem, unabhängig davon, ob in diesen drei Jahren ein Angriff stattfand.

Damit kehrt sich die übliche Reihenfolge um, was für die Praxis unangenehm ist: Die Arbeit muss geleistet werden, bevor sie sich rechtfertigen lässt, denn wer erst nach dem Ernstfall beginnt, ordentliche Berichte einzufordern, dokumentiert damit vor allem, dass er es vorher nicht getan hat. Zur Dramatisierung besteht dabei kein Anlass, denn die Zahl der tatsächlich durchgesetzten Aufsichtsratshaftungen ist überschaubar und wird es auf absehbare Zeit bleiben, die persönliche Inanspruchnahme ist und bleibt der Ausnahmefall. Nur zeigen die Entwicklungen alle in dieselbe Richtung: Der BGH verschärft die Informationsbeschaffung, das NIS2-Umsetzungsgesetz macht Cyber Security zur ausdrücklichen Leitungspflicht, der AI Act zieht gerade nach, und die Versicherer ziehen ihre Bedingungen an.

Wer heute im Aufsichtsrat sitzt, muss kein IT-Experte werden und wird es auch nicht mehr. Er muss aber aufhören, so zu tun, als sei jemand anderes zuständig, denn das ist seit dem 6. Dezember 2025 nachweislich nicht mehr der Fall. Und die Frage, die man sich vor der nächsten Sitzung stellen sollte, ist nicht, ob man alles verstanden hat, sondern eine unangenehmere: Könnten Sie im Zweifel beweisen, dass Sie gefragt haben?

Autor: Friedrich Vogel | SELECTEAM Board Consulting AG

Quellen

Bitkom e. V. / Bitkom Research: Studie „Wirtschaftsschutz 2025". Befragung von 1.002 Unternehmen ab 10 Beschäftigten und 1 Mio. Euro Jahresumsatz, Erhebungszeitraum April bis Juni 2025. Gesamtschaden 289,2 Mrd. Euro pro Jahr, davon 202,4 Mrd. Euro durch Cyberangriffe; 87 Prozent der Unternehmen betroffen; 59 Prozent sehen ihre Existenz bedroht; 50 Prozent halten sich für gut vorbereitet.

NIS2-Umsetzungs- und Cybersicherheitsstärkungsgesetz (NIS2UmsuCG), in Kraft seit 6. Dezember 2025; Umsetzung der Richtlinie (EU) 2022/2555. Cyber Security als nicht delegierbare Leitungsaufgabe mit Billigungs-, Überwachungs- und Schulungspflicht nach § 38 BSIG, Risikomanagementmaßnahmen nach § 30 BSIG, ohne Übergangsfrist, für rund 29.500 Einrichtungen (zuvor etwa 4.500). Bußgeldrahmen bis 10 Mio. Euro oder 2 Prozent des weltweiten Jahresumsatzes für besonders wichtige Einrichtungen; § 38 Abs. 2 BSIG schließt einen Verzicht auf Haftungsansprüche aus.

Bundesgerichtshof, Urteil vom 14.10.2025, II ZR 78/24. Zur Fortgeltung der vierteljährlichen Berichtspflicht des Vorstands nach § 90 AktG auch bei Stillstand der Geschäftstätigkeit, zur Pflicht des Aufsichtsrats, Informationen bei ausbleibender oder unzureichender Berichterstattung aktiv einzufordern, sowie zur Geltung dieser Pflicht für jedes einzelne Mitglied.

Bundesgerichtshof, Urteil vom 21.04.1997, II ZR 175/95 (ARAG/Garmenbeck). Zur Pflicht des Aufsichtsrats, Schadensersatzansprüche gegen den Vorstand eigenverantwortlich zu prüfen und bei überwiegender Wahrscheinlichkeit grundsätzlich geltend zu machen; kein unternehmerisches Ermessen bei der Anspruchsverfolgung.

Bundesgerichtshof, Urteil vom 18.09.2018, II ZR 152/17 (Easy Software). Zum Beginn der Verjährung von Ansprüchen gegen Aufsichtsratsmitglieder wegen unterlassener Anspruchsverfolgung.

Bundesgerichtshof, Urteil vom November 2025, IV ZR 66/25. Zur engen Auslegung des Wissentlichkeitsausschlusses in der D&O-Versicherung und zur Beweislast des Versicherers.

Bundesgerichtshof, Vorlagebeschluss an den EuGH vom Februar 2025, KZR 74/23. Zur ungeklärten Frage des Bußgeldregresses gegen Organmitglieder; gegenläufige Entscheidungen zuvor u. a. OLG Düsseldorf (2023) und LG Dortmund (2023).

• § 111, 116, 93 AktG. Überwachungspflicht des Aufsichtsrats, Sorgfaltsmaßstab des ordentlichen und gewissenhaften Geschäftsleiters sowie Umkehr der Darlegungs- und Beweislast zulasten des Organmitglieds.

Verordnung (EU) 2024/1689 (EU AI Act). Zentrale Vorgaben gelten ab dem 2. August 2026, darunter die Pflicht zu wirksamer menschlicher Aufsicht über Hochrisiko-KI-Systeme (Art. 14).

KPMG: „DAX Digital Monitor". Auswertung der Geschäftsberichte der DAX-40-Unternehmen. Zwölf von 40 Unternehmen erfüllen sämtliche geprüften Kriterien zum Digital Leadership (Vorjahr: 15); Befunde zu „Digital Washing" und zur Interpretation digitaler Kompetenzen in Aufsichtsräten.

European Center for Board Effectiveness (ECBE) / hkp/// group: Analysen der Qualifikationsmatrizen der DAX-Indexfamilie. Mehr als zwei Drittel der Aufsichtsräte weisen Branchen- und Nachhaltigkeitsexpertise aus, Digitalisierungs- und Strategiekompetenz sind deutlich geringer ausgeprägt.

EY Center for Board Matters: „How Boards Can Enhance Technology Oversight to Unlock Potential", 2025, veröffentlicht über das Harvard Law School Forum on Corporate Governance. Position institutioneller Investoren, wonach die Berufung eines technischen Experten ins Board möglicherweise ein guter Ansatz ist, entscheidender jedoch der Fokus auf Zugang zu externer Expertise und laufende Weiterbildung des Gremiums.

Peyman Pouryekta, Tech-Unternehmer und ehemaliger CTO, in: startupvalley.news, Beitrag zu KI-Governance, EU AI Act und Aufsichtsratsrisiko, 2026. Aussage zur KI-Expertise „am Katzentisch".

Friedrich Vogel, SELECTEAM Board Consulting AG: Experte für Board Consulting und die strategische und nachhaltige Positionierung von Aufsichtsräten, Verwaltungsräten und Beiräten mit langjähriger Praxis; Beiträge und Stellungnahmen zur modernen Gremienarbeit, Zukunftskompetenzen sowie Positionierung von Top-Executives. https://www.linkedin.com/in/friedrich-vogel-board-consulting/