Hinweisgeberschutz: Pflichten für Betriebe und warum Hinweise warnen

Warum ein Pflichtgesetz mehr ist als Bürokratie

Wenn in einem Betrieb etwas schiefläuft, wissen es meist zuerst die Menschen, die nah dran sind: die Buchhalterin, die eine merkwürdige Rechnung sieht, der Monteur, der eine ausgelassene Prüfung bemerkt, die Verkäuferin, der ein Kollege von Rückvergütungen erzählt. Ob der Inhaber davon erfährt, hängt davon ab, ob es einen Weg gibt, auf dem man so etwas sagen kann, ohne Nachteile zu fürchten.

Seit 2023 schreibt das Hinweisgeberschutzgesetz vielen Betrieben vor, einen solchen Weg einzurichten. Der Beitrag fragt: Ist die interne Meldestelle nur eine Pflicht, oder ist sie ein Frühwarnsystem, das sich für den Betrieb lohnt? Dafür klären wir zuerst, was das Gesetz verlangt, stellen dann ein Denkmodell vor, betrachten die Befunde mit zwei Lesarten und zeigen am Ende, wie ein kleiner Betrieb eine Meldestelle sinnvoll aufsetzt.

Was verlangt das Hinweisgeberschutzgesetz?

Das Hinweisgeberschutzgesetz (HinSchG) setzt die EU-Richtlinie 2019/1937 zum Schutz von Personen um, die Verstöße melden. Ein Hinweisgeber, englisch Whistleblower, ist eine Person, die Informationen über Verstöße weitergibt, die sie im Zusammenhang mit ihrer Arbeit erlangt hat. Das Gesetz schützt sie vor Repressalien, also vor Kündigung, Abmahnung, Benachteiligung oder Mobbing als Folge der Meldung.

Das Gesetz erfasst nicht jede Beschwerde. Geschützt sind Meldungen über Verstöße gegen Strafvorschriften, bestimmte bußgeldbewehrte Vorschriften und eine Reihe von Rechtsbereichen, etwa Geldwäsche, Produktsicherheit, Umweltschutz und Datenschutz. Die Meldestelle muss die Identität des Hinweisgebers vertraulich behandeln. Eine Pflicht, anonyme Meldungen technisch zu ermöglichen, enthält das Gesetz nicht, anonyme Hinweise sollen aber bearbeitet werden.

Das Denkmodell: Abwanderung, Widerspruch und Loyalität

Der Ökonom Albert O. Hirschman beschrieb 1970, wie Menschen auf Missstände in einer Organisation reagieren. Sie haben zwei Möglichkeiten. Abwanderung heißt, die Organisation zu verlassen: Der Kunde kauft woanders, die Mitarbeiterin kündigt. Widerspruch heißt, den Missstand anzusprechen und auf Besserung zu drängen. Welche Möglichkeit jemand wählt, hängt von der Loyalität ab, also von der Bindung an die Organisation, und davon, ob Widerspruch Aussicht auf Erfolg hat und ohne Gefahr möglich ist.

Für den Betrieb ist die Unterscheidung wichtig. Abwanderung sendet ein Signal, das der Inhaber oft zu spät oder gar nicht versteht. Widerspruch liefert eine Information, mit der er arbeiten kann. Eine Meldestelle ist nach diesem Modell ein Kanal für Widerspruch. Gibt es ihn nicht, bleiben loyalen Beschäftigten nur Schweigen, Kündigung oder der Weg nach außen, zu Behörden oder Medien.

Eine Analogie aus dem Alltag: Ein Rauchmelder verhindert keinen Brand. Er sorgt dafür, dass du ihn bemerkst, solange er noch klein ist. Wer den Melder abnimmt, weil er manchmal beim Kochen piept, hat danach nicht weniger Brände, sondern spätere.

Wer keinen Weg für unbequeme Hinweise schafft, hört nicht weniger Probleme, sondern hört sie später und von anderen.

Was die Zahlen zeigen: Hinweise decken mehr auf als Prüfungen

Die Association of Certified Fraud Examiners (ACFE), ein internationaler Fachverband für Betrugsermittler, wertet regelmäßig Betrugsfälle in Organisationen aus. Ihre Studie von 2024 stützt sich auf mehr als 1.900 Fälle aus 138 Ländern. Der mittlere Schaden je Fall lag bei 145.000 US-Dollar, bei Organisationen mit weniger als 100 Beschäftigten bei 141.000 US-Dollar. Bis zur Entdeckung vergingen im Mittel zwölf Monate.

Die Studie erfasst Fälle, die Betrugsermittler bearbeitet haben, also entdeckten Betrug. Unentdeckte Fälle fehlen naturgemäß. Die Richtung ist trotzdem deutlich: Menschen im und um den Betrieb sehen mehr als jede Stichprobe. Auch im Fall Wirecard kamen wichtige Hinweise von Insidern, über die Journalisten berichteten, lange bevor das Unternehmen 2020 zusammenbrach, wie der Beitrag Chronik eines Bilanzskandals schildert.

Zwei Lesarten: Frühwarnsystem oder Misstrauenskultur?

Nicht jeder Inhaber sieht eine Meldestelle positiv. Die Bedenken sind ernst zu nehmen.

Ein Experiment von Krügel und Uhl (2023) zeigt, dass beide Seiten einen Punkt haben. Sie ließen 354 Studierende in Laboren in Jena und München in Dreiergruppen über zehn Runden entscheiden, ob sie sich regelgerecht verhalten oder auf Kosten der Gruppe einen Vorteil nehmen. In einer Gruppe gab es die Möglichkeit, Fehlverhalten zu melden, die Folgen für den Gemeldeten waren aber mild und unsicher, wie es nach Betrugsstudien in der Praxis häufig ist. Das Ergebnis: Kaum jemand meldete, und Fehlverhalten trat mit dem Meldesystem sogar häufiger auf als ohne. Die Autoren deuten das so, dass das System die innere Motivation verdrängte, sich korrekt zu verhalten. Wer eine milde Strafe einplant, fühlt sich womöglich berechtigt, sie in Kauf zu nehmen.

Das Experiment arbeitet mit Studierenden und Spielgeld, die Übertragung auf einen Betrieb ist begrenzt. Die Lehre ist dennoch klar: Eine Meldestelle allein schafft kein Frühwarnsystem. Sie wirkt nur, wenn Hinweise erkennbar Folgen haben und Hinweisgeber erkennbar geschützt sind. Ich halte deshalb die zweite Lesart für richtig, aber nur unter dieser Bedingung.

Al-Thani und Wright (2026) kommen in einer Literaturübersicht zum Finanzsektor zu einem ähnlichen Bild. Kulturelle Hürden, unzureichender Schutz und uneinheitliche Durchsetzung halten Menschen vom Melden ab, auch wo Kanäle formal bestehen.

Wie du eine Meldestelle aufsetzt, die genutzt wird

Aus Hirschmans Modell und den Befunden leite ich vier Bedingungen ab, die eine Meldestelle braucht, damit Widerspruch für Beschäftigte die bessere Wahl ist als Schweigen oder Abwanderung. Ich nenne sie die Vier-Bedingungen-Probe.

1. Erreichbar

   Es gibt einen einfachen Weg, schriftlich, telefonisch oder persönlich, und jeder im Betrieb weiß davon. Für 50 bis 249 Beschäftigte kann das auch eine beauftragte externe Stelle oder eine gemeinsame Stelle mit anderen Betrieben sein.

2. Vertraulich

   Die Person, die Meldungen bearbeitet, ist unabhängig von der Linie, über die gemeldet wird, und gibt die Identität des Hinweisgebers nicht weiter. Im Inhaberbetrieb ist das oft eine externe Ombudsperson oder eine Kanzlei.

3. Folgenreich

   Jede Meldung wird geprüft, der Eingang nach spätestens sieben Tagen bestätigt und nach spätestens drei Monaten zurückgemeldet. Bestätigte Verstöße haben spürbare Konsequenzen, sonst verdrängt das System die Eigenmotivation, wie das Experiment zeigt.

4. Geschützt

   Hinweisgeber erleben keine Nachteile, und das ist im Betrieb sichtbar. Ein einziger Fall von Benachteiligung macht den Kanal dauerhaft wertlos.

Auch Betriebe unter 50 Beschäftigten profitieren von denselben Bedingungen, ohne ein formales System aufzubauen. Wie Werte im Alltag gelten statt nur auf Plakaten zu stehen, beschreibt Unternehmenswerte, die im Alltag gelten. Warum wiederholte Fehler selten an einzelnen Personen liegen, ordnet Fehler als Prozesssignal ein. Beim Umgang mit den personenbezogenen Daten in Meldungen gelten zudem die Regeln des Datenschutzes, die Datenschutz im Vertrieb für den Vertrieb erläutert.

Was sich verallgemeinern lässt

Hinweisgeberschutz ist ein Baustein guter Unternehmensführung, auch im kleinen Betrieb. Er ergänzt Kontrollen wie das Vier-Augen-Prinzip, ersetzt sie aber nicht. Die ACFE-Zahlen zeigen, dass Prüfungen allein viele Fälle nicht finden. Das Experiment zeigt, dass Meldewege ohne Konsequenzen nicht wirken. Zusammen ergibt sich ein einfaches Bild: Kontrolle, Meldeweg und Folgen gehören zusammen. Wie das ohne Konzernapparat gelingt, beschreibt Corporate Governance für kleine Betriebe.

Fazit: Pflicht und Frühwarnsystem zugleich

Zur Leitfrage: Die interne Meldestelle ist für Betriebe ab 50 Beschäftigten eine Pflicht, und sie kann ein wirksames Frühwarnsystem sein. Hinweise sind nach den Daten der ACFE der häufigste Weg, auf dem Betrug entdeckt wird. Nach Hirschmans Modell gibt die Meldestelle loyalen Beschäftigten eine Alternative zu Schweigen und Kündigung. Ob sie wirkt, entscheidet sich aber nicht am Formular, sondern daran, ob Hinweise Folgen haben und Hinweisgeber geschützt sind.

• Prüfen, ob dein Betrieb in der Regel 50 oder mehr Beschäftigte hat und damit meldepflichtig ist.
• Festlegen, wer Meldungen bearbeitet, und sicherstellen, dass diese Person unabhängig handeln kann.
• Den Meldeweg schriftlich beschreiben und allen Beschäftigten bekannt machen.
• Fristen von sieben Tagen und drei Monaten in einem einfachen Ablauf mit Vertretung absichern.
• Im Team ausdrücklich zusagen, dass Meldungen in gutem Glauben keine Nachteile haben.