Ashio whistleblowing software

Oct 13, 2026

Interne Untersuchungen leiten: der praxisnahe Fahrplan für Verantwortliche

Der Ermittler sichert einen Datenträger in einer Beweishülle.

Leiten Sie eine interne Untersuchung, indem Sie sofort ein autorisiertes Untersuchungsmandat erteilen, Datenschutz- und Mitbestimmungsfragen prüfen und unverzüglich Beweissicherung veranlassen. Orientierung geben dabei der DICO Standard 04, das Hinweisgeberschutzgesetz und die Hinweise des BfDI zum Beschäftigtendatenschutz. Die ersten Schritte: Verdachtsprüfung, Mandat erstellen und Sicherungsmaßnahmen anordnen.

Kurz gesagt:

  • Die Meldestelle muss den Eingang binnen sieben Tagen bestätigen und spätestens nach drei Monaten über Folgemaßnahmen informieren; beide Fristen gehören in den Untersuchungszeitplan.
  • Dokumentieren Sie vor der Datenauswertung die Rechtsgrundlage und klären Sie Mitbestimmungsrechte mit dem Betriebsrat, bevor Sie Überwachungsmaßnahmen oder Zugriffe auf betriebliche Systeme starten.
  • Sichern Sie flüchtige Daten wie Arbeitsspeicher vor Festplattenkopien und protokollieren Sie jeden Schritt mit Zeitstempel und ausführender Person, damit Beweise nachvollziehbar bleiben.
  • Steht die Geschäftsleitung im Verdacht, sollte ein externer Ermittler ein eigenes Mandat erhalten und direkt an den Aufsichtsrat berichten, damit Interessenkonflikte vermieden werden.
Ashio
Hinweise sicher erfassen und verfolgen
Ashio bietet Unternehmen einen anonymen Meldekanal mit Audit-Trail und Dashboard zur Verwaltung von Meldungen.
Ashio kennenlernen

Inhaltsverzeichnis

Wann sollten Sie eine interne Untersuchung einleiten?

Nicht jeder Hinweis rechtfertigt sofort eine vollständige Untersuchung. Zuerst steht die Verdachtsprüfung: Reicht die Information, um von einer hinreichend substantiierten Vermutung zu sprechen, oder braucht es erst eine Plausibilitätsprüfung? Erst wenn konkrete Anhaltspunkte vorliegen, folgt die förmliche Untersuchung mit Mandat und Ressourcenzuteilung.

Ebenso wichtig: das Untersuchungsziel wird ergebnisoffen formuliert. Leitplanken von Fachverbänden warnen ausdrücklich davor, Ziele vorab festzulegen, weil das die Objektivität gefährdet und spätere Ergebnisse angreifbar macht. Eine passende Formulierung lautet etwa: „Wir klären den Sachverhalt X im Zeitraum Y auf und bewerten die gesammelten Fakten ohne vorweggenommenes Ergebnis.“

Beachten Sie dabei die Fristen aus dem Hinweisgeberschutzgesetz und prüfen Sie die geltenden Vorgaben für Eingangsbestätigung und Rückmeldung zu Folgemaßnahmen.

  • Verdachtsprüfung vor förmlicher Untersuchung durchführen
  • Untersuchungsziel schriftlich und ergebnisoffen festhalten
  • Fristen nach HinSchG für Bestätigung und Rückmeldung einplanen

Wer leitet die Untersuchung, und wie wird das Mandat erteilt?

Ein formales Mandat klärt, wer der Auftraggeber ist, an wen berichtet wird, welchen Umfang die Untersuchung hat und welche Schutzregeln für Betroffene und Hinweisgeber gelten. Ohne dieses Dokument fehlt der Untersuchungsleitung die Legitimation, Zugriff auf Systeme oder Personen zu verlangen.

Das Team braucht mehrere Kompetenzen gleichzeitig: Jemand aus Compliance führt den Prozess, Recht prüft die Zulässigkeit einzelner Maßnahmen, IT-Forensik sichert digitale Spuren, und Personalverantwortliche begleiten arbeitsrechtliche Fragen. Diese Rollen lassen sich selten in einer Person bündeln.

  1. Mandat mit Auftraggeber, Umfang und Berichtsadressat schriftlich fixieren
  2. Kernteam aus Compliance, Recht, IT-Forensik und HR zusammenstellen
  3. Bei Betroffenheit der Geschäftsleitung ein externes Mandat mit eigener Berichtslinie an den Aufsichtsrat einrichten

Profi-Tipp: Legen Sie die Berichtslinie schon im Mandat fest, bevor der erste Interviewtermin steht, sonst entstehen Interessenkonflikte mitten in der Untersuchung.

Datenschutz, Mitbestimmung und Pflichten aus dem Hinweisgeberschutzgesetz

Die Verarbeitung personenbezogener Daten in internen Ermittlungen stützt sich in der Regel auf § 26 BDSG und Art. 6 Abs. 1 lit. f DSGVO als berechtigtes Interesse. Betriebsvereinbarungen können diese Grundlagen konkretisieren, dürfen das Schutzniveau der DSGVO aber nicht unterschreiten.

Der Betriebsrat oder die Personalvertretung wird frühzeitig eingebunden, besonders wenn Überwachungsmaßnahmen oder die Auswertung von IT-Systemen geplant sind. Verdeckte Maßnahmen ohne Beteiligung der Vertretung bergen ein erhebliches rechtliches Risiko und sollten eng mit der Rechtsabteilung abgestimmt werden.

Das Hinweisgeberschutzgesetz verpflichtet Unternehmen, interne Meldestellen und Meldekanäle einzurichten und diesen Stellen die notwendigen Befugnisse zur Prüfung und Durchführung von Folgemaßnahmen zu geben.

  • Rechtsgrundlage der Datenverarbeitung vor Beginn der Untersuchung dokumentieren
  • Mitbestimmungsrechte prüfen, bevor technische Überwachungsmaßnahmen starten
  • Meldekanäle und Befugnisse der internen Meldestelle an HinSchG-Vorgaben ausrichten

Die Eingangsbestätigung einer Meldung ist innerhalb von sieben Tagen fällig, die Rückmeldung zu Folgemaßnahmen innerhalb von drei Monaten. Diese Fristen bestimmen den Zeitplan der gesamten Untersuchung, nicht nur die Kommunikation mit der hineingebenden Person.

Beweissicherung und IT-Forensik: so bleiben Beweise verwertbar

Erfahrene Ermittler planen rückwärts: Das Ziel, später verwertbare Beweise vorzulegen, bestimmt schon am ersten Tag, wie Protokollierung und forensische Sicherung ablaufen. Eine lückenlose Chain of Custody entscheidet später darüber, ob ein Dokument vor Gericht oder in einem arbeitsrechtlichen Verfahren Bestand hat.

Technisch wird zwischen flüchtigen Daten, etwa Arbeitsspeicherinhalten, und nicht-flüchtigen Daten wie Festplatteninhalten unterschieden. Die IT-Forensik arbeitet dafür mit Live-Response-Methoden für flüchtige Daten und Post-Mortem-Kopien für dauerhaft gespeicherte Informationen; beide Ansätze lassen sich bei Bedarf kombinieren.

  1. Sicherungsreihenfolge nach Flüchtigkeit der Daten festlegen
  2. Live-Response für Arbeitsspeicher und laufende Prozesse einsetzen
  3. Post-Mortem-Kopien von Festplatten und Servern erstellen
  4. Jeden technischen Schritt mit Zeitstempel und ausführender Person dokumentieren
  5. Externe Forensiker nach Erfahrung mit vergleichbaren Fallkonstellationen und nachweisbarer Zertifizierung auswählen

Profi-Tipp: Sichern Sie Systeme, bevor Sie Betroffene informieren, denn jede Vorwarnung erhöht das Risiko von Verdunklungshandlungen.

Interviews vorbereiten, führen und sauber protokollieren

Die Reihenfolge der Befragten entscheidet oft über den Erfolg: Randpersonen zuerst, Hauptbeteiligte zuletzt. Ein Standardfragenkatalog sorgt für Vergleichbarkeit zwischen den Gesprächen und verhindert, dass wichtige Punkte vergessen werden.

Protokolle werden wörtlich oder zusammenfassend geführt, je nach Relevanz der Aussage; bei Selbstbelastungsfragen gilt es, Schweigerechte klar zu kommunizieren und Einwilligungen schriftlich festzuhalten. Remote-Interviews erfordern zusätzlich einen Technikcheck, eine datenschutzkonforme Übertragung und besondere Aufmerksamkeit für nonverbale Signale, die über Video schwerer einzuschätzen sind.

  • Reihenfolge der Befragten und Standardfragen vor dem ersten Termin festlegen
  • Schweigerechte und Einwilligungen vor Beginn jedes Interviews klären
  • Bei Remote-Terminen Technik und Datenschutz vorab prüfen

Abschlussbericht und revisionssichere Akte

Die Akte sollte das Mandat, Protokolle der Maßnahmen, Forensik-Logs, Interviewprotokolle und Begründungen für bewusst nicht durchgeführte Maßnahmen enthalten. Letzteres wird häufig vergessen, ist aber entscheidend, falls die Untersuchung später angezweifelt wird.

Der Abschlussbericht selbst bleibt knapp: Befunde, Beurteilung und Empfehlungen, jeweils klar voneinander getrennt. Eine Vermischung von Tatsachenfeststellung und rechtlicher Bewertung schwächt die Nachvollziehbarkeit.

  • Mandat, Maßnahmenprotokolle und Forensik-Logs vollständig archivieren
  • Befunde, Beurteilung und Empfehlungen im Bericht strikt trennen
  • Akte so aufbauen, dass externe Prüfer oder Behörden sie nachvollziehen können

Wie Sie Ergebnisse in Maßnahmen und Lessons Learned überführen

Nach dem Bericht folgt die Umsetzung: arbeitsrechtliche Schritte, organisatorische Anpassungen oder gezielte interne Kommunikation, je nach Befund. Ein Monitoringplan prüft anschließend, ob die gewählten Maßnahmen tatsächlich wirken, nicht nur, ob sie formal umgesetzt wurden.

Der DICO Standard betont, dass interne Untersuchungen Teil des Compliance-Management-Systems sind: Die Ergebnisse fließen systematisch in Prozessverbesserungen ein, statt als Einzelfall abgeschlossen zu werden.

  • Reaktionsmaßnahmen passend zum Befund auswählen, nicht pauschal
  • Wirksamkeit der Maßnahmen nach einem festen Zeitraum überprüfen
  • Erkenntnisse regelmäßig in das Compliance-Management-System einspeisen

Profi-Tipp: Planen Sie eine spätere Wiedervorlage ein, um zu prüfen, ob die Maßnahme noch greift oder nachgeschärft werden muss.

Die 72-Stunden-Checkliste für den Start und den Abschluss

In den ersten 72 Stunden entscheidet sich, ob Beweise erhalten bleiben und Fristen eingehalten werden. Die folgende Reihenfolge hat sich in der Praxis bewährt:

  1. Verdachtsprüfung abschließen und Substantiierung dokumentieren
  2. Mandat erteilen und Berichtslinie festlegen
  3. Sicherungsmaßnahmen für IT-Systeme und Dokumente anordnen
  4. Kommunikationssperre für Beteiligte vorbereiten, um Verdunklung zu verhindern
  5. HinSchG-Fristen für Bestätigung und Rückmeldung in den Zeitplan aufnehmen

Beim Abschluss prüfen Sie: Bericht fertiggestellt, Maßnahmenplan verabschiedet, Informationspflichten gegenüber Hinweisgeber und Betroffenen erfüllt, Akte archiviert.

  • Externe Forensiker hinzuziehen, wenn komplexe IT-Systeme oder große Datenmengen betroffen sind
  • Externe Ermittler beauftragen, wenn die Geschäftsleitung selbst im Fokus steht
  • Rechtsberatung einbinden, wenn strafrechtliche Konsequenzen drohen

Was in echten Fällen oft den Unterschied macht

Rückwärtsplanung, eine saubere Aktenführung und ein interdisziplinäres Team entscheiden öfter über den Ausgang als die Schwere des ursprünglichen Vorwurfs. Strukturierte Intake-Prozesse sparen in der Praxis viel Zeit, weil sie Doppelarbeit bei der Sichtung von Meldungen vermeiden. Regelmäßige Tabletop-Übungen helfen Teams, im Ernstfall nicht bei null anzufangen.

Eine softwaregestützte Meldestelle als praktische Ergänzung

Wenn Sie den Intake standardisieren wollen, hilft eine spezialisierte Lösung wie Ashio der Untersuchungsleitung konkret weiter: ein anonymer Meldekanal ohne IP-Tracking, ein vollständiger Audit-Trail sowie automatische Fristen- und Statusverfolgung nehmen Ihnen die manuelle Nachverfolgung ab.

Gerade die Fristen aus dem Hinweisgeberschutzgesetz für Bestätigung und Rückmeldung lassen sich mit automatischer Überwachung nachverfolgen. Die Daten werden DSGVO-konform in der Schweiz gespeichert, was die Dokumentation revisionssicher macht.

Im Basic-Plan für 29 € im Monat erhalten Sie den vollständigen Funktionsumfang für Meldekanal, Fallbearbeitung und Audit-Trail. Mehr zu Einsatzmöglichkeiten für Compliance-Teams finden Sie auf unserer Seite für Compliance-Beauftragte.

Dieser Artikel enthält allgemeine Informationen und ersetzt nicht die Beratung durch einen qualifizierten Anwalt. Wenden Sie sich an eine qualifizierte Rechtsfachperson zu Ihrer persönlichen Lage, bevor Sie auf Grundlage dieses Inhalts handeln.

Eine softwaregestützte Meldestelle als praktische Ergänzung — overview diagram

FAQ

Was ist eine interne Untersuchung?

Eine interne Untersuchung ist ein strukturierter, unternehmensinterner Prozess zur Aufklärung eines konkreten Verdachts, etwa auf Compliance-Verstöße oder Fehlverhalten. Sie folgt festen Schritten von der Verdachtsprüfung über die Beweissicherung bis zum Abschlussbericht und den daraus abgeleiteten Maßnahmen.

Was sind interne Untersuchungen genau im Unterschied zu Audits?

Interne Untersuchungen reagieren auf einen konkreten Verdacht oder Hinweis, während interne Audits planmäßig und unabhängig vom Anlass stattfinden. Beide folgen strukturierten Vorgehensmodellen, verfolgen aber unterschiedliche Ziele: Aufklärung eines Einzelfalls gegenüber systematischer Prüfung von Prozessen.

Wer darf eine interne Untersuchung leiten?

Die Untersuchungsleitung braucht ein schriftliches Mandat mit klarem Auftraggeber, Umfang und Berichtsadressat; meist übernimmt jemand aus Compliance oder Recht diese Rolle. Ist die Geschäftsleitung selbst betroffen, empfiehlt sich ein externes Mandat mit eigener Berichtslinie an den Aufsichtsrat.

Welche Fristen gelten nach dem Hinweisgeberschutzgesetz?

Nach dem Hinweisgeberschutzgesetz gelten Vorgaben für die Bestätigung des Meldungseingangs und die Rückmeldung über Folgemaßnahmen. Prüfen Sie die geltenden Fristen unabhängig davon, ob die Meldung über einen internen oder externen Kanal eingeht.

Muss der Betriebsrat bei internen Untersuchungen eingebunden werden?

Der Betriebsrat oder die Personalvertretung wird immer dann eingebunden, wenn Mitbestimmungsrechte berührt sind, etwa bei Überwachungsmaßnahmen oder der Auswertung von IT-Systemen. Verdeckte Maßnahmen ohne diese Beteiligung bergen ein erhebliches rechtliches Risiko und sollten vorab mit der Rechtsabteilung geprüft werden.

Quellen

Empfehlungen