Ein Hinweis aus der Belegschaft, ein auffälliger Buchungsposten, eine Anfrage der Steuerfahndung: In solchen Momenten entscheiden die ersten Reaktionen über den weiteren Verlauf. Geschäftsführer, die zu früh handeln oder zu spät reagieren, riskieren nicht nur empfindliche Bußgelder, sondern auch ihre persönliche Haftung.
Eine Internal Investigation (interne Untersuchung) ist ein strukturiertes Verfahren, mit dem ein Unternehmen mögliche Regelverstöße eigenverantwortlich aufklärt, bevor Behörden die Initiative übernehmen. Das einschlägige Pflichtensystem ergibt sich aus dem Ordnungswidrigkeitenrecht, dem Strafrecht, dem Gesellschaftsrecht sowie der allgemeinen Legalitätspflicht des Geschäftsführers nach dem GmbH-Gesetz. Wer eine interne Untersuchung methodisch korrekt durchführt, schafft die Grundlage für eine kooperative Zusammenarbeit mit Strafverfolgungsbehörden und kann sanktionsmindernde Umstände geltend machen.
Dieser Leitfaden führt Sie Schritt für Schritt durch die wesentlichen Phasen einer internen Untersuchung – von der Sachverhaltserfassung bis zur Abschlusskommunikation – und benennt die rechtlichen Risiken, die in der Mandatspraxis regelmäßig unterschätzt werden.
Was versteht man unter einer Internal Investigation und wann ist sie geboten?
Eine interne Untersuchung ist das betriebsinterne Gegenstück zur behördlichen Ermittlung: Das Unternehmen selbst klärt auf, was geschehen ist, bewertet den Sachverhalt rechtlich und entscheidet über Maßnahmen. Die Entscheidung, eine solche Untersuchung einzuleiten, ist keine freiwillige Kür, sondern in vielen Konstellationen eine Pflicht.
Der Legalitätspflicht des Geschäftsführers – verankert in § 43 GmbHG sowie der gesellschaftsrechtlichen Sorgfaltspflicht – ist zu entnehmen, dass bekannte oder ernsthaft vermutete Regelverstöße nicht ignoriert werden dürfen. Unterlässt die Geschäftsführung die Aufklärung, riskiert sie neben strafrechtlicher Verantwortlichkeit auch eine persönliche Schadensersatzhaftung gegenüber der Gesellschaft. In der Mandatspraxis sehen wir regelmäßig, dass genau dieser Unterlassensvorwurf im Nachhinein zur eigentlichen Haftungsfalle wird.
Typische Auslöser für eine interne Untersuchung sind: Hinweise aus dem Whistleblowing-System, interne Revisionsfeststellungen, Informationen aus Medienberichten, Anfragen von Steuerbehörden oder Staatsanwaltschaft sowie der Verdacht auf Bilanzmanipulation, Bestechung oder Datenschutzverletzungen. Sobald ein konkreter Anfangsverdacht vorliegt, der den Verantwortlichen bekannt ist, beginnt in der Regel die Pflicht zur Reaktion. Wie schnell und wie umfassend diese Reaktion sein muss, hängt von der Schwere des Verdachts und der regulatorischen Situation des Unternehmens ab.
Ist das Unternehmen börsennotiert oder unterliegt es einem Branchenregulierungsregime, bestehen häufig weitergehende Pflichten zur unverzüglichen internen und externen Kommunikation. Für den nicht börsennotierten Mittelstand ist der Handlungsspielraum zwar größer, die Haftungsrisiken für die Geschäftsführung sind aber keineswegs geringer.
Schritt 1 – Erstreaktion und Sicherung von Beweismitteln: Was tun in den ersten 72 Stunden?
Die ersten Stunden nach Bekanntwerden eines Verdachts sind entscheidend – nicht weil dramatische Sofortmaßnahmen erforderlich wären, sondern weil unkontrollierte Reaktionen die Beweislage dauerhaft verschlechtern. Anwaltliche Begleitung sollte in diesem Stadium bereits eingebunden sein.
Priorität hat die Sicherung relevanter Unterlagen und Daten, bevor sie verschwinden oder verändert werden. Das bedeutet konkret: IT-Systeme und E-Mail-Postfächer der verdächtigen Personen müssen gesichert, nicht gelöscht werden. Routinemäßige Datenlöschungen sind bis auf Weiteres auszusetzen. Dieser Schritt klingt selbstverständlich, wird aber in der Praxis erstaunlich häufig versäumt – oft weil die Verantwortlichen zunächst intern klären wollen und dabei Tage vergehen lassen.
Gleichzeitig ist der Kreis der eingeweihten Personen zunächst eng zu halten. Eine unkontrollierte interne Kommunikation gefährdet die Untersuchung ebenso wie mögliche spätere Ermittlungen der Behörden. Interne Mitteilungen, die in dieser Phase entstehen, können Verteidigungsstrategien erheblich erschweren. Wir empfehlen daher, den Kommunikationskanal über Rechtsanwälte zu führen, da anwaltliche Schriftlichkeit unter das Zeugnisverweigerungsrecht und – mit Einschränkungen – unter den Schutz der anwaltlichen Verschwiegenheit fällt.
Die Entscheidung, ob externe Berater einzubinden sind, sollte in den ersten 72 Stunden fallen. Bei Verdacht auf Straftaten oder erheblichen Bußgeldtatbeständen ist externe anwaltliche Begleitung keine Option, sondern eine Notwendigkeit. Die Kosten dieser frühen Beratung stehen in keinem Verhältnis zu den Folgekosten einer schlecht geführten Untersuchung.
Schritt 2 – Scope-Definition: Welchen Umfang soll die Untersuchung haben?
Nach der Erstreaktion legt das Unternehmen gemeinsam mit seinen anwaltlichen Beratern den Untersuchungsumfang fest. Dieser Schritt ist strategisch bedeutsam: Ein zu eng gefasster Scope führt dazu, dass wesentliche Sachverhalte unentdeckt bleiben; ein zu weit gefasster Scope bindet Ressourcen und erzeugt Risiken, die ohne Aufklärung womöglich keine Rolle gespielt hätten.
Die Scope-Definition umfasst drei Dimensionen. Erstens den zeitlichen Rahmen: Welcher Zeitraum wird untersucht? Zweitens den sachlichen Bereich: Welche Vorgänge, Konten, Produkte oder Projekte sind betroffen? Drittens die Personengruppe: Welche Mitarbeiter, Führungskräfte oder Dritte sind in die Untersuchung einzubeziehen?
In der Mandatspraxis empfehlen wir, den initialen Scope bewusst eng zu fassen und nach den ersten Erkenntnissen zu erweitern. Dieses iterative Vorgehen verhindert die sogenannte „Fishing Expedition" – eine ausufernde Untersuchung ohne klare Fragestellung –, ohne relevante Sachverhalte zu verschleiern. Eine klare Dokumentation des Scope und seiner Erweiterungen ist auch deshalb wichtig, weil Behörden im Nachhinein nachvollziehen wollen, ob das Unternehmen ernsthaft aufgeklärt oder strategisch limitiert hat.
Häufig entsteht in diesem Stadium Konfliktpotenzial, wenn Gesellschafter oder Aufsichtsgremien eigene Interessen an der Reichweite der Untersuchung haben. Gerade in inhabergeführten mittelständischen Unternehmen mit familiärer Gesellschafterstruktur ist diese Spannung ein häufiges Thema. Hier bedarf es einer klaren Rollentrennung: Die Untersuchung muss von denjenigen geleitet werden, die nicht selbst Gegenstand des Verdachts sind.
Schritt 3 – Mitarbeiterbefragungen: Welche Rechte und Pflichten bestehen?
Befragungen von Mitarbeitern sind das Kernstück jeder internen Untersuchung. Sie liefern Informationen, die aus Dokumenten allein nicht gewonnen werden können. Zugleich sind sie rechtlich anspruchsvoll und können – wenn falsch durchgeführt – die gesamte Untersuchung gefährden.
Zu Beginn jeder Befragung muss der Mitarbeiter über den Zweck des Gesprächs und seine Rechte informiert werden. Dazu gehört insbesondere der Hinweis, dass er nicht verpflichtet ist, sich selbst zu belasten. Das gilt nicht nur für Tatverdächtige, sondern auch für Zeugen, die sich durch ihre Aussagen in eine strafbare Handlung verstricken könnten. Unterbleibt diese Belehrung, riskiert das Unternehmen, dass die Befragungsergebnisse in späteren Strafverfahren nicht verwertbar sind oder gegen das Unternehmen verwendet werden.
Mitarbeiter haben grundsätzlich eine Mitwirkungspflicht gegenüber ihrem Arbeitgeber im Rahmen des Arbeitsverhältnisses. Diese Pflicht findet jedoch ihre Grenze dort, wo sie zur Selbstbelastung führen würde. Der Umfang dieser Mitwirkungspflicht ist in der Rechtsprechung nicht abschließend geklärt und erfordert im Einzelfall sorgfältige rechtliche Abwägung. Parallel dazu sollte das Unternehmen prüfen, ob der Betriebsrat zu beteiligen ist – was in Betrieben mit Betriebsrat regelmäßig der Fall sein kann.
Befragungen sollten grundsätzlich durch oder unter Begleitung von Rechtsanwälten durchgeführt werden. Gesprächsprotokolle sind sorgfältig anzufertigen und intern aufzubewahren. Wer Befragungen ohne rechtliche Begleitung durchführt, riskiert Verwertungsprobleme und Verfahrensfehler, die sich in einem späteren Strafprozess nachteilig auswirken.
Schritt 4 – Dokumentenanalyse und digitale Forensik: Was darf das Unternehmen auswerten?
Neben Befragungen bildet die Auswertung von Dokumenten und digitalen Daten das zweite Standbein der internen Untersuchung. Dieser Schritt erfordert sowohl technisches Know-how als auch rechtliche Sorgfalt, denn nicht jede Datenquelle darf ohne Weiteres ausgewertet werden.
Grundsätzlich gilt: Das Unternehmen darf auf eigene Unternehmens-E-Mails, Buchungsdaten, Vertragsunterlagen und systeminterne Kommunikation zugreifen. Bei privaten E-Mails auf Unternehmensrechnern ist die Rechtslage hingegen differenzierter. Erlaubt das Unternehmen die private Nutzung betrieblicher Kommunikationsmittel, gelten zusätzliche Datenschutz- und möglicherweise Telekommunikationsrechtsvorschriften, die eine Auswertung einschränken oder ausschließen können.
Die DSGVO spielt in diesem Kontext eine erhebliche Rolle. Eine Datenschutzverletzung, die im Rahmen der internen Untersuchung entdeckt wird, muss unter Umständen binnen 72 Stunden der zuständigen Aufsichtsbehörde gemeldet werden (Art. 33 DSGVO). Die interne Untersuchung darf nicht dazu führen, dass durch unrechtmäßige Datenverarbeitung neue Datenschutzverstöße entstehen. Dieser Aspekt wird in der Aufregung des Aufklärungsprozesses häufig übersehen.
Für die digitale Forensik empfiehlt sich der Einsatz spezialisierter Dienstleister, die beweissicher arbeiten – das heißt, die Originaldaten unverändert sichern und eine vollständige Dokumentationskette (Chain of Custody) aufrechterhalten. Nur so können die Untersuchungsergebnisse in einem späteren Verfahren als Grundlage dienen.
Aus der Mandatspraxis: In einem aktuellen Mandat beriet die Kanzlei ein mittelständisches Handelsunternehmen mit rund 200 Mitarbeitern. Ausgangslage: Der kaufmännische Leiter stand im Verdacht, über mehrere Jahre hinweg Scheinrechnungen eines Drittunternehmens genehmigt zu haben. Vorgehen: Im ersten Schritt wurden E-Mail-Postfächer und Finanzdaten des betroffenen Zeitraums forensisch gesichert. Parallel führten die begleitenden Rechtsanwälte strukturierte Befragungen durch. Die Dokumentenanalyse ergab ein Muster auffälliger Zahlungsfreigaben ohne ausreichende Gegenleistung. Ergebnis: Das Unternehmen konnte den Sachverhalt gegenüber der Staatsanwaltschaft vollständig und geordnet darstellen, was die kooperative Stellung des Unternehmens im Ermittlungsverfahren wesentlich unterstützte. Keine Aussage über Verfahrensausgang – dieser ist stets einzelfallabhängig.
Schritt 5 – Umgang mit Behörden: Wann und wie kommuniziert das Unternehmen proaktiv?
Die Entscheidung, ob und wann ein Unternehmen mit Straf- oder Aufsichtsbehörden proaktiv kommuniziert, ist eine der weitreichendsten im Rahmen einer internen Untersuchung. Sie lässt sich nicht pauschal beantworten, weil sie von der konkreten Verdachtslage, dem regulatorischen Umfeld und der Interessen der Beteiligten abhängt.
Proaktive Kooperation kann sanktionsmildernde Wirkung entfalten. Das deutsche Ordnungswidrigkeitenrecht sieht bei Verbandssanktionen nach dem Verbandssanktionengesetz (VerSanG, derzeit noch in der parlamentarischen Diskussion) erhebliche Reduktionsmöglichkeiten für Unternehmen vor, die interne Untersuchungen durchführen und Ergebnisse offenlegen. Aber auch nach geltendem Recht – etwa im Kartellbußgeldverfahren oder im Bereich der Steuer – kann freiwillige Aufklärung strafmildernd oder bußgeldmindernd wirken.
Für Geschäftsführer im Mittelstand stellt sich die Frage besonders eindringlich: Schutzt mich die Selbstanzeige des Unternehmens oder belastet sie mich? Die Antwort hängt davon ab, ob die Selbstanzeige alle betroffenen Zeiträume und Sachverhalte vollständig erfasst. Eine unvollständige Selbstanzeige im steuerlichen Bereich ist nach den einschlägigen Vorschriften der Abgabenordnung wirkungslos. Vollständigkeit ist daher keine Empfehlung, sondern eine rechtliche Voraussetzung für die strafbefreiende Wirkung.
Wir empfehlen, die Kommunikationsstrategie gegenüber Behörden ausschließlich gemeinsam mit anwaltlicher Begleitung zu entwickeln. Informelle Vorgespräche mit Behördenvertretern ohne anwaltliche Begleitung sind mit erheblichen Risiken verbunden und sollten unterbleiben. Wer den Ermittlern auf eigene Faust entgegengeht, verliert regelmäßig die Kontrolle über den eigenen Sachvortrag.
Schritt 6 – Abschlussbericht und interne Konsequenzen: Wie wird das Ergebnis gesichert?
Am Ende einer internen Untersuchung steht der Abschlussbericht. Dieses Dokument fasst Methodik, Befunde und rechtliche Bewertung zusammen und bildet die Grundlage für Entscheidungen über interne Maßnahmen sowie die Kommunikation mit Dritten.
Der Abschlussbericht sollte präzise, sachlich und ausschließlich auf nachgewiesenen Fakten basieren. Spekulative Schlussfolgerungen oder wertende Formulierungen, die über die gesicherten Tatsachen hinausgehen, können in einem späteren Verfahren nachteilig verwendet werden. Nach unserer Erfahrung empfiehlt sich eine strikte Trennung zwischen dem Tatsachenteil (was wurde vorgefunden?) und dem Bewertungsteil (wie ist dies rechtlich zu beurteilen?).
Der Tatsachenteil des Berichts unterliegt in der Regel nicht dem Anwaltsgeheimnis und kann im Verfahren relevant werden. Der Bewertungsteil eines unter anwaltlicher Begleitung erstellten Berichts genießt hingegen – unter Einschränkungen – den Schutz des Anwalt-Mandanten-Geheimnisses. Diese Unterscheidung hat praktische Konsequenzen für Aufbau und Formulierung des Berichts und sollte von Anfang an mitgedacht werden.
Interne Konsequenzen – Abmahnungen, Kündigung verdächtiger Mitarbeiter, Reorganisation von Kontrollfunktionen – müssen arbeitsrechtlich sorgfältig vorbereitet werden. Eine verhaltensbedingte Kündigung setzt nach gefestigter Rechtsprechung in der Regel eine vorherige Abmahnung voraus, es sei denn, das Verhalten ist so schwerwiegend, dass dem Unternehmen eine Weiterbeschäftigung auch nur für einen Tag nicht zumutbar ist. Die Drei-Wochen-Frist für die Erhebung einer Kündigungsschutzklage durch den Arbeitnehmer nach § 4 KSchG ist dabei ein realer Zeitfaktor in der Planung.
Schließlich sind Maßnahmen zur künftigen Prävention zu beschreiben: Welche Kontrollschwächen haben den Verstoß ermöglicht? Welche strukturellen Änderungen im Compliance-Management-System sind notwendig? Dieser Reformteil des Berichts ist nicht nur intern bedeutsam, sondern kann gegenüber Behörden als Beleg ernsthafter Aufarbeitungsbereitschaft eingesetzt werden.
Die vorstehende Darstellung betrifft die Regelfälle einer internen Untersuchung. Ihr konkreter Fall erfordert die Prüfung Ihrer Unterlagen, der einschlägigen Fristen und der individuellen Verdachtslage. Für eine erste Durchsicht Ihrer Unterlagen erreichen Sie uns unter info@brandtfalk.com.
Verwandte Leistungen
Häufige Fragen zu internen Untersuchungen im Unternehmen
Ist ein Unternehmen verpflichtet, eine Internal Investigation durchzuführen?
Eine ausdrückliche gesetzliche Pflicht zur internen Untersuchung gibt es im deutschen Recht für die meisten Unternehmen derzeit nicht. Aus der gesellschaftsrechtlichen Legalitäts- und Sorgfaltspflicht des Geschäftsführers nach dem GmbH-Gesetz folgt jedoch, dass bekannte oder hinreichend konkrete Verdachtslagen nicht ignoriert werden dürfen. Wer einen Anfangsverdacht auf Regelverstöße kennt und untätig bleibt, riskiert persönliche Haftung gegenüber der Gesellschaft und unter Umständen auch strafrechtliche Verantwortung. In bestimmten regulierten Branchen – etwa im Finanzsektor – bestehen darüber hinaus aufsichtsrechtliche Pflichten zur Sachverhaltsaufklärung.
Müssen Mitarbeiter bei einer internen Untersuchung aussagen?
Mitarbeiter unterliegen gegenüber ihrem Arbeitgeber grundsätzlich einer arbeitsvertraglichen Mitwirkungspflicht. Diese Pflicht endet jedoch dort, wo die Aussage zur Selbstbelastung führen würde. Konkret bedeutet das: Arbeitnehmer, die sich durch ihre Antworten selbst strafrechtlich belasten würden, können die Aussage in diesem Umfang verweigern. Diese Grenze ist in der Rechtsprechung noch nicht abschließend definiert und erfordert eine Einzelfallprüfung. Unternehmen sollten Befragungen daher stets unter anwaltlicher Begleitung durchführen und die Beteiligten korrekt belehren.
Schützt das Anwaltsgeheimnis Ergebnisse einer internen Untersuchung?
Der Schutz des Anwalt-Mandanten-Geheimnisses erstreckt sich auf rechtliche Bewertungen und Kommunikation, die im Rahmen des Mandatsverhältnisses entstehen. Reine Tatsachenfeststellungen – etwa Buchhaltungsunterlagen oder E-Mail-Kommunikation – sind davon nicht erfasst und können im Verfahren relevant werden. Für die Praxis bedeutet dies: Der Abschlussbericht einer internen Untersuchung sollte strukturell zwischen einem Tatsachenteil und einem anwaltlichen Bewertungsteil unterscheiden. Welche Unterlagen im Einzelfall dem Beschlagnahmeschutz unterliegen, ist stets gesondert zu prüfen.
Wann sollte das Unternehmen Behörden proaktiv informieren?
Die Entscheidung zur proaktiven Behördenkommunikation hängt vom konkreten Sachverhalt, dem regulatorischen Umfeld und der Interessenlage aller Beteiligten ab. Im steuerlichen Bereich kann eine Selbstanzeige bei vollständiger Offenlegung strafbefreiend wirken – unvollständige Anzeigen bleiben hingegen wirkungslos. Im kartellrechtlichen Bußgeldverfahren kann frühzeitige Kooperation bußgeldmindernd wirken. In jedem Fall sollte die Behördenkommunikation ausschließlich unter anwaltlicher Begleitung und nach sorgfältiger Abwägung der Folgen erfolgen.
Was kostet eine interne Untersuchung?
Der Aufwand einer internen Untersuchung variiert erheblich je nach Umfang des Sachverhalts, Anzahl der beteiligten Personen und der erforderlichen digitalen Forensik. Die Vergütung anwaltlicher Begleitung richtet sich nach dem Zeitaufwand (Stundenhonorar) oder kann im Rahmen einer Vergütungsvereinbarung nach § 3a RVG festgelegt werden. Konkrete Beträge sind im Einzelfall zu vereinbaren. Aus der Mandatspraxis ist zu sagen: Die Kosten einer methodisch sorgfältig geführten Untersuchung stehen regelmäßig in keinem Verhältnis zu den Folgekosten einer unzureichenden Aufklärung.
Die vorstehende Darstellung betrifft die Regelfälle. Ihr konkreter Sachverhalt erfordert die Prüfung von Unterlagen, Fristen und der einschlägigen Verdachtslage. Für eine erste Durchsicht Ihrer Unterlagen erreichen Sie uns unter info@brandtfalk.com.
Dieser Beitrag dient ausschließlich der allgemeinen Information und stellt keine Rechtsberatung im Einzelfall dar. Er ersetzt nicht die anwaltliche Prüfung Ihres konkreten Sachverhalts. Für eine auf Ihre Situation zugeschnittene Beratung wenden Sie sich an info@brandtfalk.com.
Dieser Beitrag ist eine allgemeine Information und stellt keine Rechtsberatung dar. Für eine Prüfung Ihres Falls kontaktieren Sie info@brandtfalk.com.