WannaCry, Petya & Co: Arbeitsrechtliche Handlungsmöglichkeiten für betroffene Unternehmen

Eine böse Überraschung gab es in den letzten Wochen auch für deutsche Unternehmen, die wie viele andere Ziel eines sogenannten Ransomware-Angriffs wurden. Anstelle der bereits bekannten „WannaCry“-Software wurde dieses Mal der Verschlüsselungstrojaner „Petya“ eingesetzt. Dieser sperrt den Zugriff auf das Dateisystem und verschlüsselt dieses, um es gegen Zahlung einer variablen Summe an Bitcoin wieder freizugeben. Ist das System einmal infiziert, droht der Befall aller verbundenen Server, Netze und Geräte.

So oder so ist die IT lahmgelegt – entweder durch Befall mit „Petya“ oder durch präventives Nichtanschalten von Computern bzw. deren Trennung vom Netz. In vielen Fällen kommt es dadurch zu teilweisen oder vollständigen Betriebsausfällen. Ob die Daten gerettet werden können, ist ungewiss. Das Bundesamt für Sicherheit in der Informationstechnik (BSI) empfiehlt, Sicherheitsvorfälle zu melden und nicht auf Lösegeldforderungen einzugehen. So weit, so gut – aber was können Betroffene tun, um ihre Mitarbeiter zu beschäftigen und/oder den wirtschaftlichen Schaden durch den Betriebsausfall zumindest teilweise einzuschränken?

Ausgangslage

Kommt der Arbeitgeber mit der Annahme der Arbeitsleistung des Arbeitnehmers in Verzug, so hat dieser grundsätzlich einen Anspruch auf Annahmeverzugslohn nach § 615 BGB. Dies gilt auch dann, wenn der Arbeitgeber nicht „freiwillig“ auf die Arbeitsleistung des Arbeitnehmers verzichtet, sondern sich das sogenannte Betriebsrisiko des Arbeitgebers realisiert und er ohne eigenes Verschulden die Belegschaft aus betriebstechnischen Gründen nicht beschäftigen kann.

Dies erfasst insbesondere:

• betriebliche Beeinträchtigungen infolge von Naturkatastrophen wie Brände oder Überschwemmungen, aber eben auch
• Stromausfälle oder
• technische Störungen.

Grundsätzlich hat der Arbeitnehmer daher auch dann einen Lohnanspruch gegen den Arbeitgeber, wenn er seine Arbeit mangels Zugriff auf die nötige EDV faktisch gar nicht erbringen kann.

Lösungsmöglichkeit: Zwangsurlaub und Überstundenabbau?

Um diese enorme wirtschaftliche Belastung einzudämmen, sollten Möglichkeiten erörtert werden, wie die Lohnfortzahlungspflicht wirksam ausgeschlossen oder jedenfalls eingeschränkt werden kann. Zunächst ist daran zu denken,

• die Mitarbeiter in den Urlaub zu schicken oder jedenfalls
• den Abbau von angesammelten Überstunden anzuordnen bzw.
• Zeitkontenguthaben abzubauen.

Nicht ohne den Betriebsrat – und mit angemessener Frist

Insoweit kommt es maßgeblich darauf an, welche betrieblichen Regelungen zu diesen Themen existieren. Generell stellt sich die Frage, welche Ankündigungsfrist der Arbeitgeber bei einseitigen „Abbauanordnungen“ einhalten muss. Die Rechtsprechung lässt belastbare Entscheidungen zu dieser Frage vermissen. Ordnet der Arbeitgeber den Urlaub oder Überstundenabbau kurzfristig an, verbleibt daher das Risiko, dass eine „zu kurzfristige“ Anordnung die Urlaubsansprüche und/oder Überstunden nicht wirksam aufzehrt. Andererseits mag das Risiko vor dem Hintergrund der durch den Betriebsausfall entstehenden Schäden verschmerzbar sein.

In jedem Fall ist zu bedenken, dass jedenfalls in Betrieben, in denen ein Betriebsrat besteht, ein Mitbestimmungsrecht nach § 87 Abs. 1 Nr. 5 BetrVG gegeben ist. Die dadurch ausgelöste Verhandlungspflicht kann eine schnellstmögliche Umsetzung erheblich ausbremsen. Wo Betriebsräte vertrauensvoll mit dem Arbeitgeber zusammenarbeiten, können – unter Beachtung des üblichen Zuständigkeitsregimes (!) – schnelle und belastbare Regelungen getroffen werden. Auch ein unternehmensweiter Befall mit Schadsoftware begründet nicht automatisch eine Regelungzuständigkeit übergeordneter Gremien.

Lösungsmöglichkeit: Kurzarbeit?

Zudem kann es eine Option sein, für eine Übergangszeit, in der die IT nicht funktioniert, Kurzarbeit „Null“ anzuordnen. Dafür bedarf es jedoch einer Rechtsgrundlage. Insbesondere genügt es nicht, dass unter Umständen die rechtlichen Voraussetzungen für die Gewährung von Kurzarbeitergeld durch die Agentur für Arbeit nach §§ 95 ff SGB III erfüllt sind.

Sehen weder ein etwaig einschlägiger Tarifvertrag noch der Arbeitsvertrag noch eine Betriebsvereinbarung die Möglichkeit vor, Kurzarbeit anzuordnen, ist der Arbeitgeber für die wirksame Anordnung von Kurzarbeit auf das Einverständnis des Mitarbeiters angewiesen. Auch in diesem Fall verbleibt das Risiko einer etwaig zu kurz bemessenen Ankündigungsfrist.

Fazit

Schnell und rechtssicher kann der Arbeitgeber nur dann der Lohnfortzahlung entkommen, wenn er alle relevanten Akteure – Agentur für Arbeit, Betriebsrat und Arbeitnehmer – ins Boot holt. Eine rechtlich nicht ausreichend hinterlegte „Zwangsanordnung“ von Urlaub, Überstundenabbau oder Kurzarbeit birgt die Gefahr der (gerichtlichen) Gegenwehr der Mitarbeiter und unter Umständen sogar des übergangenen Betriebsrats.