Internal Investigations im Unternehmen – Checkliste

Ein Hinweisgeber meldet einen Verdacht auf Bilanzmanipulation. Eine Betriebsprüfung weitet sich unerwartet auf Vorjahre aus. Ein leitender Mitarbeiter soll Kundengelder veruntreut haben. In diesen Momenten entscheidet die Qualität der ersten 72 Stunden über den weiteren Verlauf – rechtlich, wirtschaftlich und reputationsbezogen.

Eine Internal Investigation ist die strukturierte, intern initiierte Aufklärung eines Verdachts auf rechtlich relevantes Fehlverhalten innerhalb eines Unternehmens. Sie dient dazu, Sachverhalte zu sichern, Haftungsrisiken für Geschäftsführer und Gesellschafter zu begrenzen und eine informierte Entscheidung über externe Meldepflichten, behördliche Kooperation oder zivilrechtliche Durchsetzungsmaßnahmen zu ermöglichen. Im deutschen Mittelstand ist sie kein Instrument großer Konzerne allein – sondern ein rechtliches Gebot der Sorgfaltspflicht.

Diese Checkliste führt Geschäftsführer und Compliance-Verantwortliche Schritt für Schritt durch die wesentlichen Phasen einer internen Untersuchung: von der Erstbewertung des Verdachts über die Beweissicherung bis zur Entscheidung über Folgemaßnahmen.

Phase 1: Erstbewertung – Was liegt tatsächlich vor?

Bevor eine Internal Investigation beginnt, steht die nüchterne Bewertung der Verdachtslage. Nicht jeder Hinweis rechtfertigt eine vollumfängliche Untersuchung; ein ungeprüfter Verdacht, der intern kommuniziert wird, kann jedoch erheblichen Schaden anrichten.

Prüfen Sie in dieser Phase:

• Glaubhaftigkeit der Quelle: Handelt es sich um eine konkrete, nachvollziehbare Meldung oder um einen diffusen Verdacht ohne tatsächliche Anhaltspunkte?
• Rechtliche Einordnung: Geht es um einen möglichen Straftatbestand (Untreue, Betrug, Korruption), um eine zivilrechtliche Pflichtverletzung oder um einen steuerrechtlichen Sachverhalt mit Relevanz für laufende oder drohende Betriebsprüfungen?
• Unmittelbarer Handlungsdruck: Gibt es eine behördliche Anfrage, ein laufendes Strafverfahren, eine bevorstehende Hauptversammlung oder eine kartellrechtliche Untersuchung, die die Zeitlinie vorgibt?
• Betroffene Personen: Sind Organmitglieder (Geschäftsführer, Vorstände) involviert? Bei Organverdacht ist die Interessenlage der Unternehmensführung berührt; der Aufsichtsrat oder Beirat muss frühzeitig einbezogen werden.
• Sofortiger Schutz von Beweismitteln: Bestehen Risiken, dass E-Mails gelöscht, Dokumente vernichtet oder Konten verschoben werden, bevor die Sicherung erfolgt?

In der Mandatspraxis sehen wir regelmäßig, dass Unternehmen in dieser ersten Phase zu lange zögern oder den Sachverhalt intern zu früh als „geklärt" bewerten – beides kann die spätere Verteidigungsposition erheblich schwächen.

Die vorstehende Darstellung betrifft die Regelfälle. Ihr konkreter Fall erfordert die Prüfung von Unterlagen, Fristen und der einschlägigen Rechtsprechung. Für eine erste Durchsicht Ihrer Unterlagen erreichen Sie uns unter info@brandtfalk.com.

Phase 2: Governance – Wer führt die Untersuchung?

Die Führungsstruktur einer Internal Investigation bestimmt ihre Glaubwürdigkeit nach innen und außen. Eine schlecht strukturierte Untersuchung kann vor Gericht, gegenüber Behörden oder in Vertragsverhandlungen als parteilich abgetan werden.

Checkliste zur Governance:

• Unabhängigkeit sicherstellen: Die ermittelnden Personen – ob interne Revisoren, externe Anwälte oder Sonderprüfer – dürfen keine persönliche Nähe zu dem verdächtigen Sachverhalt oder den verdächtigen Personen haben.
• Mandatierung externer Anwälte: Die Beauftragung einer externen Kanzlei stellt sicher, dass die im Rahmen der Untersuchung erstellten Dokumente dem anwaltlichen Berufsgeheimnis unterliegen. Interne Revisionsberichte genießen diesen Schutz nicht in gleicher Weise.
• Klärung der Auftraggeber-Rolle: Wer erteilt das Mandat – der Geschäftsführer, der Gesellschafterkreis, der Aufsichtsrat? Dieser Punkt ist bei Organverdacht von erheblicher Bedeutung für die rechtliche Stellung der Beteiligten.
• Einbindung von Fachdisziplinen: Je nach Sachverhalt sind forensische Buchprüfer, IT-Forensiker oder branchenspezifische Sachverständige hinzuzuziehen. Steuerstrafrechtliche Verdachtsmomente erfordern zudem frühzeitig steuerrechtliche Expertise.
• Berichtslinie festlegen: An wen berichten die Untersuchenden? Die Berichtslinie muss klar von den potenziell betroffenen Personen entkoppelt sein.
• Dokumentation des Mandats: Das Untersuchungsmandat sollte schriftlich erteilt und der Untersuchungsumfang präzise definiert werden – sowohl zur internen Klarheit als auch zur späteren Nachvollziehbarkeit gegenüber Dritten.

Die Entscheidung, ob eine Untersuchung vollständig intern, vollständig extern oder in gemischter Besetzung geführt wird, hängt von der Schwere des Verdachts, der Größe des Unternehmens und dem Risiko behördlicher Parallelverfahren ab. Im deutschen Mittelstand fehlt häufig eine spezialisierte Innenrevision; die Einschaltung externer Anwälte ist dann regelmäßig das sachgerechtere Instrument.

Was bedeutet anwaltliches Berufsgeheimnis für die Untersuchung?

Das anwaltliche Berufsgeheimnis nach § 43a BRAO und der korrespondierende Zeugnisverweigerungsanspruch nach § 53 StPO sind zentrale Schutzinstrumente einer anwaltlich geleiteten Internal Investigation. Dokumente, Gesprächsnotizen und Beratungsvermerke, die im Rahmen eines anwaltlichen Mandats entstehen, können grundsätzlich nicht durch Strafverfolgungsbehörden beschlagnahmt werden, solange die Kanzlei Mandatsträgerin ist.

Dieser Schutz gilt jedoch nicht unbegrenzt. Er entfällt, soweit der Anwalt selbst in die Tat verwickelt ist oder soweit Unterlagen nicht dem mandatsbezogenen Kommunikationsbereich zuzurechnen sind. Unterlagen, die allein im Unternehmen verwahrt werden und nicht an die Kanzlei übergeben wurden, sind vom Schutz nicht umfasst. Die physische und digitale Verwahrung der Untersuchungsdokumentation bei der mandatierten Kanzlei ist daher ein wesentliches Strukturmerkmal.

Aus der Mandatspraxis: Unternehmen, die zuerst eine interne Revision beauftragen und erst bei Behördenkontakt externe Anwälte einschalten, verlieren den Schutz für bereits erstellte Dokumente. Nach unserer Erfahrung ist die frühzeitige anwaltliche Mandatierung deshalb regelmäßig die kostengünstigere Entscheidung – auch wenn dies im Moment der Beauftragung nicht immer offensichtlich erscheint.

Phase 3: Beweissicherung – Welche Daten müssen gesichert werden?

Digitale Beweismittel sind flüchtig. Eine E-Mail, die heute noch im Postfach liegt, kann morgen gelöscht sein – durch den Betroffenen, durch automatisierte Löschroutinen oder durch irrtümliche IT-Maßnahmen. Die Beweissicherung muss daher unmittelbar nach der Entscheidung zur Untersuchung angestoßen werden.

• Sofort-Sicherung digitaler Kommunikation: E-Mail-Postfächer, Messenger-Dienste (soweit geschäftlich genutzt), Cloud-Ablagen und Serververzeichnisse der verdächtigen Personen sind forensisch zu sichern, bevor Löschroutinen greifen. Die Sicherung muss forensisch integer erfolgen, damit die Integrität der Daten nachgewiesen werden kann.
• Physische Dokumente sichern: Verträge, Rechnungen, Handakten, handschriftliche Notizen sind unter gesicherten Umständen in Verwahrung zu nehmen.
• IT-Systeme einfrieren: Prüfen Sie, ob automatisierte Löschroutinen, Überschreibungszyklen oder Software-Updates die Beweislage verändern könnten. Eine temporäre Einschränkung der Zugriffsrechte betroffener Personen kann erforderlich sein.
• Metadaten erhalten: Erstellungszeitpunkte, Bearbeitungsverläufe und Zugriffsprotokoll sind oft wichtiger als der eigentliche Dokumenteninhalt.
• Chain of Custody dokumentieren: Jede Sicherungsmaßnahme muss nachvollziehbar protokolliert werden – wer hat welche Daten wann unter welchen Umständen gesichert.
• Datenschutzrechtliche Schranken beachten: Die Sicherung personenbezogener Daten von Mitarbeitern ist nach den Maßgaben der DSGVO und des Bundesdatenschutzgesetzes zu gestalten. Bei Datenschutzverstößen, die im Rahmen der Sicherung entstehen, drohen Bußgelder bis zu 20 Mio. € oder 4 % des weltweiten Jahresumsatzes (Art. 83 DSGVO). Eine Datenschutzfolgenabschätzung kann erforderlich sein.

Sind Datenschutzverletzungen Gegenstand der Untersuchung, gilt zudem: Die Meldepflicht gegenüber der zuständigen Aufsichtsbehörde besteht binnen 72 Stunden nach Kenntniserlangung (Art. 33 DSGVO). Diese Frist läuft unabhängig davon, ob eine interne Untersuchung noch nicht abgeschlossen ist.

Phase 4: Mitarbeiterbefragungen – Wie werden Interviews rechtskonform durchgeführt?

Mitarbeiterbefragungen im Rahmen einer Internal Investigation sind kein freies Gespräch, sondern ein rechtlich strukturierter Akt. Fehler bei der Durchführung können dazu führen, dass Erkenntnisse unverwertbar sind oder Schadenersatzansprüche gegen das Unternehmen entstehen.

• Belehrungspflichten beachten: Befragte Mitarbeiter müssen darüber informiert werden, wer das Gespräch führt, zu welchem Zweck es dient und ob die Informationen an Behörden weitergegeben werden könnten. Eine Täuschung über den Zweck des Gesprächs kann die Verwertbarkeit infrage stellen.
• Auskunftspflicht klären: Arbeitnehmer sind grundsätzlich verpflichtet, gegenüber dem Arbeitgeber Auskunft über arbeitsrechtlich relevante Sachverhalte zu geben. Diese Auskunftspflicht endet, wo ein Arbeitnehmer sich selbst belasten würde (nemo tenetur). Betroffene Mitarbeiter haben das Recht, einen Rechtsanwalt hinzuzuziehen.
• Betriebsrat einbinden: Bei Befragungen von Arbeitnehmern kann ein Beteiligungsrecht des Betriebsrats entstehen, insbesondere wenn die Befragungen systematisch und flächendeckend erfolgen oder eine Überwachungsmaßnahme darstellen.
• Protokollierung sicherstellen: Jedes Gespräch ist in einem Gesprächsprotokoll festzuhalten, das dem Befragten zur Kontrolle vorgelegt werden sollte. Tonaufzeichnungen erfordern die ausdrückliche Einwilligung.
• Reihenfolge strategisch planen: Beginnen Sie mit Zeugen, nicht mit Verdächtigen. Dies gibt Ihnen eine valide Faktenbasis, bevor Sie konfrontative Gespräche führen.
• Rechtsanwalt als Gesprächsführer: In sensitiven Fällen, insbesondere bei Organverdacht oder drohenden Strafverfahren, sollten Interviews ausschließlich durch den mandatierten Anwalt geführt werden. So ist die Befragung durch das anwaltliche Berufsgeheimnis abgedeckt.

Welche arbeitsrechtlichen Konsequenzen aus den Ergebnissen folgen – Abmahnung, außerordentliche Kündigung, Freistellung, Schadensersatzklage – ist erst nach Abschluss der Untersuchung auf gesicherter Tatsachenbasis zu entscheiden. Vorschnelle Maßnahmen während laufender Untersuchungen können das Unternehmen in eine schwache Beweisposition bringen. Die Kündigungsschutzklage muss ein Arbeitnehmer binnen 3 Wochen nach Zugang der Kündigung erheben (§ 4 KSchG); die Dokumentation der Kündigungsgründe muss diesem Zeitrahmen standhalten.

Welche Meldepflichten und externen Eskalationsschritte bestehen?

Internal Investigations enden selten im rein internen Raum. Je nach Sachverhalt entstehen Meldepflichten gegenüber Behörden, Gesellschaftern, Kreditgebern oder Vertragspartnern.

• Strafanzeige: Eine Verpflichtung zur Strafanzeige besteht im deutschen Recht nur in engen Ausnahmen (§ 138 StGB bei bestimmten schweren Delikten). Die Entscheidung, eine Strafanzeige zu stellen, ist aber eine strategische: Sie gibt die Kontrolle über das Verfahren an Behörden ab und kann das Unternehmen selbst in das Visier von Ermittlungen rücken.
• Selbstanzeige im Steuerrecht: Ergibt die Investigation Hinweise auf steuerlich relevante Unregelmäßigkeiten, kommt eine strafbefreiende Selbstanzeige nach § 371 AO in Betracht. Diese ist an enge formale Voraussetzungen geknüpft und muss vollständig sein; eine fehlerhafte Selbstanzeige kann die Strafbarkeit verschärfen statt zu mildern.
• Datenschutz-Meldepflicht: Werden Datenschutzverstöße aufgedeckt, besteht die 72-Stunden-Meldepflicht gegenüber der Datenschutzaufsichtsbehörde (Art. 33 DSGVO).
• Gesellschafterkreis und Aufsichtsgremien: Geschäftsführer sind gegenüber den Gesellschaftern auskunfts- und informationspflichtig. Werden Sachverhalte aufgedeckt, die die Haftung des Unternehmens oder der Geschäftsführung begründen, ist eine rechtzeitige Information der Gesellschafterversammlung oder des Beirats rechtlich geboten.
• Kreditgeber und Vertragspartner: Darlehensverträge enthalten regelmäßig Material-Adverse-Change-Klauseln oder Informationspflichten; kartellrechtliche Compliance-Zusicherungen können durch aufgedeckte Verstöße verletzt sein.
• Hinweisgeberschutzgesetz (HinSchG): Seit Inkrafttreten des HinSchG sind bestimmte Unternehmen verpflichtet, interne Meldestellen einzurichten. Die Untersuchung eines eingegangenen Hinweises muss den gesetzlichen Anforderungen entsprechen; der Hinweisgeber ist vor Repressalien zu schützen.

Die Entscheidung über externe Eskalationsschritte ist eine der folgenreichsten Weichenstellungen einer Internal Investigation. Sie sollte stets anwaltlich begleitet werden.

Phase 5: Abschlussbericht – Was muss er leisten?

Der Abschlussbericht einer Internal Investigation ist das zentrale Dokument der Untersuchung. Er dokumentiert den Sachverhalt, die angewandte Methodik, die gewonnenen Erkenntnisse und die abgeleiteten Empfehlungen.

• Sachverhaltsdarstellung: Chronologische, quellenbasierte Darstellung der festgestellten Tatsachen – ohne Spekulation, ohne Prognosen, ohne Wertungen, die nicht durch Beweise unterlegt sind.
• Methodendokumentation: Welche Quellen wurden herangezogen? Welche Interviews wurden geführt? Welche Daten wurden forensisch gesichert? Die Nachvollziehbarkeit der Erkenntnisgewinnung ist entscheidend für die spätere Verwertbarkeit.
• Rechtliche Würdigung: Auf der Grundlage der gesicherten Tatsachen erfolgt die anwaltliche Einschätzung der rechtlichen Lage – strafrechtlich, zivilrechtlich, arbeitsrechtlich, steuerrechtlich.
• Handlungsempfehlungen: Personelle Maßnahmen, Prozessverbesserungen, Meldepflichten, zivilrechtliche Schritte – konkret und priorisiert.
• Empfängerkreis und Vertraulichkeit: Der Bericht ist einem definierten Empfängerkreis zugänglich zu machen. Eine zu breite interne Verteilung schwächt den Schutz des Berufsgeheimnisses und erhöht das Risiko von Informationsabflüssen.
• Keine vorschnelle Selbstbelastung: Der Bericht darf nicht in einer Form verfasst werden, die das Unternehmen oder die Geschäftsführung ungeprüft belastet. Die anwaltliche Formulierung ist daher entscheidend.

Nach unserer Erfahrung neigen interne Berichte ohne anwaltliche Begleitung dazu, entweder zu weitreichende Schuldzuweisungen zu enthalten oder relevante Tatsachen zu verschweigen – beides kann das Unternehmen in Folgeverfahren erheblich schwächen.

Häufige Fehler bei Internal Investigations im Mittelstand

Was sind die vermeidbaren Fehler, die Unternehmen die Kontrolle über das Verfahren kosten? In der Beratungspraxis begegnen wir regelmäßig denselben Mustern.

• Zu späte Einschaltung externer Anwälte: Der Versuch, den Sachverhalt zunächst intern zu klären, bevor Anwälte einbezogen werden, kostet Zeit, vernichtet Beweismittelschutz und führt regelmäßig zu einer schwächeren Ausgangsposition gegenüber Behörden.
• Konfrontation des Verdächtigen zu früh: Wird der Verdächtige informiert, bevor Beweismittel gesichert sind, besteht die Gefahr der Vernichtung von Belegen.
• Unvollständige Beweissicherung: Nur E-Mails, aber keine Messenger-Nachrichten zu sichern; nur Serververzeichnisse, aber keine lokalen Gerätekopien – häufige Lücken, die in der Folge als Aufklärungsdefizit ausgelegt werden.
• Fehlende Koordination zwischen Untersuchung und laufenden Verfahren: Läuft parallel eine Betriebsprüfung oder ein behördliches Verfahren, muss die Internal Investigation mit diesen Verfahren koordiniert werden. Widersprüchliche Darstellungen in verschiedenen Verfahren sind ein schweres strategisches Problem.
• Vorschnelle arbeitsrechtliche Maßnahmen: Kündigungen oder Suspendierungen vor Abschluss der Untersuchung schwächen die Beweisposition und eröffnen dem Arbeitnehmer Angriffspunkte im Kündigungsschutzverfahren.
• Vernachlässigung der Kommunikationsstrategie: Interne und externe Kommunikation – gegenüber Mitarbeitern, Kunden, Lieferanten, Medien – muss frühzeitig abgestimmt sein. Unkontrollierte Informationsflüsse können eine kontrollierbare Situation eskalieren lassen.

Wie lässt sich sicherstellen, dass die Untersuchung nicht selbst zum Problem wird? Die Antwort liegt in der konsequenten Struktur von Beginn an: klare Governance, frühe anwaltliche Mandatierung, disziplinierte Beweissicherung und ein klar definierter Berichtsprozess.

Verwandte Leistungen

• Compliance Management Automobilzulieferindustrie – Rechtslage und Gestaltungsoptionen für Zulieferer
• Compliance Management Bauwirtschaft – Branchenspezifische Anforderungen und Praxishinweise
• Compliance Management Groß- und Einzelhandel – Compliance-Strukturen für den Handelssektor

Die vorstehende Checkliste gibt einen Überblick über die wesentlichen Phasen einer Internal Investigation. Ihr konkreter Fall erfordert die Prüfung von Unterlagen, Fristen und der einschlägigen Rechtsprechung – insbesondere wenn bereits Behördenkontakt besteht oder Meldepflichten im Raum stehen. Für eine erste Durchsicht Ihrer Unterlagen erreichen Sie uns unter info@brandtfalk.com.

Dieser Beitrag dient ausschließlich der allgemeinen Information und stellt keine Rechtsberatung im Einzelfall dar. Er ersetzt nicht die anwaltliche Prüfung Ihres konkreten Sachverhalts. Für eine auf Ihre Situation zugeschnittene Beratung wenden Sie sich an info@brandtfalk.com.

Dieser Beitrag ist eine allgemeine Information und stellt keine Rechtsberatung dar. Für eine Prüfung Ihres Falls kontaktieren Sie info@brandtfalk.com.