Ashio whistleblowing software

Oct 16, 2026

Cloud-Sicherheit für Whistleblowing: Was Hinweisgebersysteme leisten müssen

Die Datenschutzbeauftragte überprüft die Zugriffsrechte in der Cloud

Cloudbasierte Hinweisgebersysteme sind geeignet, wenn sie die Pflichten des Hinweisgeberschutzgesetzes und der DSGVO erfüllen. Drei Dinge entscheiden: ein Verfahren mit eingehaltenen Fristen, ein verlässlicher Schutz der Identität und eine verschlüsselte, kontrollierbare Datenhaltung. Wie Sie das prüfen und umsetzen, zeigen die folgenden Abschnitte samt Checkliste.

Kurz gesagt:

  • Ab 50 Beschäftigten müssen Unternehmen in der Regel eine Meldestelle einrichten; sie bestätigt den Eingang binnen sieben Tagen und informiert binnen drei Monaten über Folgemaßnahmen.
  • Anonyme Meldungen sind nicht gesetzlich zwingend, sollen aber bearbeitet werden; ein Kanal ist nur anonym, wenn auch Internetprotokolladressen und Dateimetadaten wegfallen.
  • Prüfen Sie neben dem Speicherort auch Supportzugänge, Unterauftragnehmer und Sicherungskopien; ein inländisches Rechenzentrum schützt nicht vor Zugriffen aus Drittstaaten auf Klartext.
  • Schließen Sie den Auftragsverarbeitungsvertrag vor dem Echtbetrieb ab und klären Sie früh mit dem Datenschutzbeauftragten, ob sensible Drittdaten eine Folgenabschätzung erfordern.
  • Legen Sie eine Vertretungsregelung fest: Geschulte, weisungsfreie Beauftragte dürfen Fälle nicht bearbeiten, wenn sie selbst betroffen oder wegen eines Interessenkonflikts befangen sind.
Ashio
ashio.eu
Meldungen sicher und anonym erfassen
Ashio schützt die Identität meldender Personen und bietet ein Dashboard zur Verwaltung von Meldungen samt vollständigem Audit-Trail.
Ashio kennenlernen

Inhaltsverzeichnis

Welche gesetzlichen Pflichten und Fristen gelten?

Das Hinweisgeberschutzgesetz (HinSchG) setzt die EU-Richtlinie 2019/1937 in deutsches Recht um. Es verpflichtet Unternehmen in der Regel ab 50 Beschäftigten, eine interne Meldestelle einzurichten. Das Gesetz regelt Vertraulichkeit, Datenschutz, Meldekanäle und Folgemaßnahmen. Wer genau betroffen ist und welche Übergangsregeln für kleinere Betriebe galten, haben wir auf unserer HinSchG-Seite praxisnah aufbereitet.

Die Formvorgaben sind klar. Meldungen müssen mündlich und schriftlich möglich sein. Laut Gesetzestext sind Telefon oder andere Sprachübermittlung vorgesehen, auf Wunsch zusätzlich eine persönliche Zusammenkunft. Der Eingang einer Meldung muss bestätigt werden. Die hinweisgebende Person muss außerdem über geplante oder ergriffene Folgemaßnahmen informiert werden. Eine längere Frist kommt nur bei aufwendigen Prüfungen in Betracht, und auch dann gilt: Sie müssen die Verlängerung begründen können.

Geschützt sind Personen, die im Zusammenhang mit ihrer beruflichen Tätigkeit Informationen über Verstöße melden. Das Bundeskartellamt beschreibt diese Verfahrensschritte samt Bestätigungs- und Rückmeldefristen ebenfalls. Rein privates Fehlverhalten ohne beruflichen Bezug fällt nicht darunter. Der Kreis der Hinweisgebenden ist dabei weit: Er reicht vom Arbeitnehmer über Bewerber bis zu ehemaligen Beschäftigten, wie das Bundesamt für Justiz erläutert.

Dazu kommen Dokumentations- und Informationspflichten. Sie dokumentieren jede Meldung, und Ihre Beschäftigten müssen wissen, wie sie melden können. Ein Meldekanal, den niemand findet, erfüllt den Zweck nicht.

Welche Funktionen braucht ein sicheres Hinweisgebersystem?

Zuerst die Begriffe: Anonymität heißt, dass nicht einmal die Meldestelle die Person identifizieren kann. Vertraulichkeit heißt, dass die Identität zwar bekannt sein darf, aber streng geschützt bleibt. Das HinSchG verlangt Vertraulichkeit; anonyme Meldungen sollen Sie dennoch bearbeiten, und die Möglichkeit dazu stärkt das Vertrauen. Ein sicheres System legt offen, welche Metadaten anfallen: IP-Adresse, Geräteinformationen, Dateimetadaten. Besser ist, sie gar nicht erst zu erfassen.

Vergleich zwischen anonymer und vertraulicher Meldung

Die Qualität misst sich laut Gesetzestext und Kommentierung an der Kombination aus vertraulicher Identitätsbehandlung, erreichbarem Kanal, qualifizierter Prüfung, Kontaktmöglichkeit und fristgerechter Rückmeldung. Ein bloßes Formular genügt nicht.

Prüfen Sie konkret:

  • Audit-Trail und revisionssichere Dokumentation jedes Bearbeitungsschritts
  • Rollen- und Berechtigungskonzept, damit nur zuständige Personen den Fall sehen
  • automatische Fristenüberwachung für die 7-Tage und die 3-Monats-Frist
  • mehrere Kanäle: Portal, Telefon, persönliches Treffen
  • sichere Rückkommunikation, auch mit anonymen Meldenden
  • definierte Aufbewahrungs- und Löschfristen sowie Export von Fällen

Bei externen Anbietern gehört ein Auftragsverarbeitungsvertrag (AVV) dazu. Er legt fest, wer was mit den Daten tun darf, und er muss vor dem ersten Echtbetrieb unterschrieben sein. Die IHK Hannover weist außerdem auf Aufbewahrungs- und Löschfristen hin, etwa drei Jahre. Klären Sie, wie das System Löschungen automatisch umsetzt.

Warum sind E-Mail und einfache Formulare riskant?

Ein E-Mail-Postfach wirkt bequem, ist aber für sensible Hinweise ungeeignet. Unverschlüsselte Nachrichten lassen sich abfangen, Metadaten verraten Absender und Zeitpunkte, und Inhalte können unbemerkt verändert werden. Das Gesetz verlangt aber mehr als Zustellung: Eingangsbestätigung, Rückfragen, Berechtigungen, Fristen und Dokumentation müssen zuverlässig abgebildet sein. Genau daran scheitern Postfächer in der Praxis häufig.

Die typischen Schwachstellen auf einen Blick:

  • Technik: Abfangen von Nachrichten, Metadaten-Leaks, nachträgliche Manipulation
  • Prozess: keine sichere Eingangsbestätigung, keine Nachverfolgung, keine Fristenkontrolle
  • Vertrauen: Hinweisgebende scheuen den Kanal, es wird zu wenig gemeldet
  • Begriffsverwechslung: Wer Anonymität verspricht, aber nur Vertraulichkeit liefert, verspielt Glaubwürdigkeit

Dieser letzte Punkt ist der häufigste Praxisfehler. Ein Formular, das stillschweigend IP-Adressen protokolliert, ist nicht anonym, egal was auf der Startseite steht. Der Schaden zeigt sich oft erst, wenn eine Meldung ausbleibt, die Sie dringend gebraucht hätten.

Was bedeutet Cloud-Sicherheit bei Hosting, Drittstaaten und Verschlüsselung?

Bei Cloud-Diensten stellt sich vor allem die Frage, wohin Daten fließen. Die Datenschutzkonferenz bewertete Microsoft-Onlinedienste in ihrer Festlegung kritisch: Auf Basis der damaligen Vertragsunterlagen sah sie Schwierigkeiten, einen vollständig datenschutzgerechten Einsatz zu belegen. Drittstaatentransfers und fehlende Transparenz können Risiken begründen. Für Sie als Verantwortliche ist das ein Warnsignal, keine Pauschalaussage über alle Anbieter. Weitere Einordnung bieten die Orientierungshilfen der DSK.

Prüfen Sie deshalb nicht nur den Hosting-Ort, sondern auch, wer tatsächlich Zugriff hat: Support-Zugänge, Unterauftragsverarbeiter, Backups. Ein Rechenzentrum im Inland nützt wenig, wenn Administratoren aus Drittstaaten auf Klartext zugreifen können.

Technisch zählen Ende-zu-Ende-Verschlüsselung, Zero-Knowledge-Ansätze und die Frage, wer die Schlüssel kontrolliert. Vertraglich zählen AVV, nachvollziehbare Nachweise und Zertifikate wie ISO 27001. Registereinträge wie die der Cloud Security Alliance sind zusätzliche Indikatoren für die Sicherheitsbewertung.

Eine Datenschutz-Folgenabschätzung (DSFA) brauchen Sie regelmäßig, wenn die Verarbeitung ein hohes Risiko für die Betroffenen birgt. Bei Hinweisgebersystemen mit sensiblen Daten über Dritte ist das oft der Fall. Binden Sie den Datenschutzbeauftragten früh ein, nicht erst zur Freigabe.

So führen Sie ein cloudbasiertes Hinweisgebersystem ein

Gehen Sie in dieser Reihenfolge vor:

  1. Bedarf ermitteln: Unternehmensgröße, Risikoprofil und Branche bestimmen den Zuschnitt. Der DICO-Standard S11 betont genau diese Anpassung.
  2. Anbieter vergleichen: Datenspeicherort, Verschlüsselung, Audit-Trail, AVV und belastbare Anonymitätsgarantien. Hilfreiche Kriterien finden Sie im Software-Vergleich.
  3. Vertrag, DSFA und Datenschutzbeauftragten abschließen beziehungsweise einbinden.
  4. Schulungen und Kommunikationsplan aufsetzen, damit alle den Kanal kennen.
  5. Testphase fahren, dann Go-Live.
  6. Fristen-Reporting und Monitoring einrichten.
  7. Dokumentation, Löschfristen und Exportmöglichkeiten verbindlich festlegen.

Profi-Tipp: Spielen Sie vor dem Go-Live einen Testfall durch, vom anonymen Eingang bis zur Rückmeldung zu Folgemaßnahmen, und prüfen Sie, wo die Fristenkontrolle hakt.

Für kleinere Organisationen haben wir einen Leitfaden für KMU zu Pflicht, Kosten und einfacher Umsetzung geschrieben.

Wer bearbeitet Meldungen und wie bleibt die Unabhängigkeit gewahrt?

Die Technik ist nur ein Baustein. Der DICO-Standard S11 stellt klar, dass Rollen, Zuständigkeiten, Schulung und Untersuchungsprozess mindestens so wichtig sind wie die Plattform. Er ersetzt aber keine individuelle Datenschutzprüfung.

Die Beauftragten der Meldestelle müssen unabhängig und weisungsfrei arbeiten, fachlich geschult sein und ohne Interessenkonflikt entscheiden. Wer selbst Teil des gemeldeten Sachverhalts sein könnte, darf den Fall nicht führen. Das lässt sich über ein Vertretungs- und Ausschlusskonzept regeln.

Ob intern oder extern, hängt von Ihrer Größe ab. Eine externe Meldestelle ist sinnvoll, wenn intern keine unabhängige Besetzung möglich ist. Praxisrichtlinien, etwa kommunale, zeigen, dass Outsourcing möglich bleibt, sofern Vertraulichkeit und Unabhängigkeit gewährleistet sind. Wer als Meldestelle in Frage kommt, erklären wir hier.

Legen Sie außerdem fest, wie die Meldestelle an HR, Recht und Compliance übergibt: Wer darf welche Informationen sehen, wann beginnt ein Ermittlungs- oder Personalprozess, und wie bleibt alles nachvollziehbar? Ein Eskalationsweg für Meldungen gegen die Leitung gehört ebenfalls in dieses Konzept.

Welche Nachweise sollten Sie vom Anbieter verlangen?

Glauben Sie Marketingversprechen nicht, sondern lassen Sie sich Belege zeigen. Dazu zählen Zertifizierungen und Audits wie ISO 27001, denn sie bestätigen, dass ein unabhängiger Dritter das Sicherheitsmanagement geprüft hat. Technisch verlangen Sie das Verschlüsselungskonzept, die Schlüsselverwaltung und den Nachweis, dass keine IP-Adressen erfasst werden. Organisatorisch gehören AVV, DSFA-Unterlagen und Referenzfälle dazu. Auch Signale wie Hosting-Ort und Audit-Trail sind belastbar, wenn der Anbieter sie dokumentiert. Fehlt ein solcher Nachweis, ist die zugehörige Aussage keine Entscheidungsgrundlage.

Drei Gruppen von Sicherheitsnachweisen

Perspektive: Für wen sich Cloudlösungen besonders lohnen

Aus unserer redaktionellen Sicht profitieren mittlere und große Unternehmen am stärksten, weil Fristenüberwachung, Rollenkonzepte und Dokumentation mit der Fallzahl wachsen und sich in der Cloud ohne eigene IT abbilden lassen. Kleine Organisationen stemmen den Anpassungsaufwand oft schwerer. Entscheidend ist aber nie allein die Software: Prozess, Technik und Schulung müssen ineinandergreifen. Starten Sie mit einer Testphase und beziehen Sie Ihren Datenschutzbeauftragten von Anfang an ein.

Wie wir die Umsetzung erleichtern

Wir bieten mit Ashio einen Meldekanal ohne IP-Tracking, einen vollständigen Audit-Trail, automatische Fristenüberwachung und DSGVO-konforme Datenspeicherung in der Schweiz. Ein vorgefertigter, standardisierter Workflow unterstützt Sie beim Aufbau eines eigenen Verfahrens. Die aktuellen Preise finden Sie auf unserer Preisseite. Wie wir Anonymität technisch umsetzen, zeigt unsere Seite zur anonymen Meldesoftware. Prüfen Sie uns anhand Ihrer Checkliste: Ashio testen.

Dieser Artikel enthält allgemeine Informationen und ersetzt nicht die Beratung durch einen qualifizierten Anwalt. Wenden Sie sich an eine qualifizierte Rechtsfachperson zu Ihrer persönlichen Lage, bevor Sie auf Grundlage dieses Inhalts handeln.

FAQ

Sind cloudbasierte Hinweisgebersysteme datenschutzkonform?

Ja, wenn Hosting, Verschlüsselung und Verträge die DSGVO-Anforderungen erfüllen. Entscheidend sind ein AVV, kontrollierte Schlüssel und Klarheit über Drittstaatenzugriffe. Die DSK sah bei einzelnen Cloud-Angeboten Nachweisprobleme, deshalb gehört die Prüfung vor jeden Einsatz.

Müssen Meldungen anonym möglich sein?

Das HinSchG verlangt Vertraulichkeit der Identität, aber nicht für jede Meldung vollständige Anonymität. Anonyme Meldungen sollten Sie dennoch bearbeiten. Das Bundesjustizamt nennt die Möglichkeit anonymer Meldungen ausdrücklich im Verfahren.

Welche Fristen gelten für die Bearbeitung?

Der Eingang ist zu bestätigen. Grundsätzlich folgt außerdem eine Rückmeldung zu Folgemaßnahmen, wie der Gesetzestext vorsieht.

Reicht ein E-Mail-Postfach als Meldekanal?

In der Regel nicht. Es bildet Fristen, Berechtigungen und Dokumentation nicht zuverlässig ab und schützt Metadaten kaum. Ein spezialisierter Kanal mit Audit-Trail ist sicherer.

Brauche ich eine Datenschutz-Folgenabschätzung?

Häufig ja, weil sensible Daten über Dritte verarbeitet werden. Klären Sie das gemeinsam mit Ihrem Datenschutzbeauftragten vor dem Go-Live.

Quellen

Empfehlungen