Risikobewertung von Hinweisfällen: Matrix, Schwärzung, Beweiskette

Eine belastbare Risikobewertung eines Hinweisfalls beantwortet drei Fragen: Wie plausibel ist der Hinweis, wie dringend muss gehandelt werden, und wie schwer wären die Folgen, für das Unternehmen und für die beschuldigte Person, falls sich der Verdacht als falsch erweist? Das Ergebnis tragen Sie in eine einfache Risikomatrix ein, leiten daraus Priorität und Untersuchungsumfang ab und dokumentieren jeden Schritt so, dass er später nachvollziehbar ist. Wie das konkret geht, von der Matrix über das sichere Schwärzen bis zur lückenlosen Beweiskette, zeigen wir hier für interne Meldestellen nach dem Hinweisgeberschutzgesetz (HinSchG).

Kurz gesagt

• Die Risikobewertung folgt auf die Eingangsprüfung: erst Relevanz, Plausibilität und Dringlichkeit, dann Folgen eines Verstoßes und Risiken eines unberechtigten Verdachts.
• Eine Risikomatrix aus Eintrittswahrscheinlichkeit und Schadensausmaß macht die Priorisierung vergleichbar, wenn die Stufen vorab für alle Beteiligten verbindlich definiert sind.
• Vertraulichkeit gilt nach § 8 HinSchG für Hinweisgebende, Betroffene und alle Genannten. Wer sie leichtfertig verletzt, riskiert ein Bußgeld.
• Geschwärzt wird auf einer Arbeitskopie mit echter Schwärzungsfunktion, inklusive Metadaten und verborgener Inhalte. Schwarze Balken allein reichen nicht.
• Jedes Beweismittel bekommt eine Kennung, einen Hashwert und ein Übergabeprotokoll. Die Fallakte wird in der Regel drei Jahre nach Abschluss gelöscht.

Inhaltsverzeichnis

• Wo die Risikobewertung im Meldeverfahren steht
• Glaubwürdigkeit, Dringlichkeit, Folgen: die drei Prüffragen
• Eine Risikomatrix für Hinweise aufbauen
• Hinweisgebende und Betroffene während der Prüfung schützen
• Dokumente in Hinweisfällen richtig schwärzen
• Die Beweiskette lückenlos dokumentieren
• Beweise sichern, aufbewahren und vor Veränderung schützen
• Unsere Sicht: Bewertung braucht ein System, kein Tabellenblatt
• Hinweisfälle strukturiert bearbeiten mit Ashio
• Häufige Fragen
• Quellen

Wo die Risikobewertung im Meldeverfahren steht

Das HinSchG gibt den Rahmen vor, in dem jede Bewertung stattfindet. Nach § 17 HinSchG bestätigt die interne Meldestelle den Eingang einer Meldung spätestens nach sieben Tagen, prüft die Stichhaltigkeit, holt bei Bedarf weitere Informationen ein und ergreift angemessene Folgemaßnahmen. Innerhalb von drei Monaten nach der Eingangsbestätigung erhält die hinweisgebende Person eine Rückmeldung über geplante und ergriffene Folgemaßnahmen.

Zwischen diesen beiden Fristen liegt die eigentliche Arbeit. In der Praxis hat sich eine Reihenfolge in vier Stufen bewährt:

1. Eingang und Dokumentation: Die Meldung wird dauerhaft abrufbar erfasst, wie es § 11 HinSchG verlangt.
2. Erstbewertung: Fällt der Hinweis in den sachlichen Anwendungsbereich? Ist er plausibel? Ist Eile geboten?
3. Risikobewertung: Einstufung nach Wahrscheinlichkeit und Schadensausmaß, häufig mit einer Matrix.
4. Folgemaßnahmen: Untersuchungsplan, Beweissicherung, Rückmeldung, Abschluss.

Dass Unternehmen genau so vorgehen, zeigen veröffentlichte Verfahrensordnungen. Die Verfahrensordnung von igus (Stand 1. Januar 2024) sieht nach der Erstbewertung ausdrücklich eine Risikobewertung vor, beispielsweise mittels Risikomatrix, und lässt die Erkenntnisse aus den Hinweisen anschließend in die Risikoanalyse des Unternehmens einfließen. Bei der OGE prüft eine erste Bewertung Relevanz, Plausibilität und Dringlichkeit; bearbeitet wird von geschulten, unparteiischen und zur Verschwiegenheit verpflichteten Personen. Wer die interne Meldestelle überhaupt besetzen darf, haben wir in unserem Beitrag zur Frage wer interne Meldestelle sein kann erläutert.

Glaubwürdigkeit, Dringlichkeit, Folgen: die drei Prüffragen

Die Risikobewertung steht und fällt mit sauber getrennten Kriterien. Wer Glaubwürdigkeit und Schwere in einen Topf wirft, stuft einen vagen Hinweis auf eine Bagatelle genauso ein wie einen detaillierten Hinweis auf Korruption.

Glaubwürdigkeit und Plausibilität

Hier geht es nicht darum, ob Sie der hinweisgebenden Person glauben, sondern ob der Sachverhalt in sich stimmig und überprüfbar ist. Hilfreiche Leitfragen:

• Nennt der Hinweis Zeit, Ort, Beteiligte und Vorgang?
• Gibt es Belege oder lassen sich Belege mit vertretbarem Aufwand beschaffen?
• Passt der Sachverhalt zu dem, was über Abläufe, Zuständigkeiten und Systeme bekannt ist?
• Lassen sich offene Punkte durch Rückfragen klären? Bei anonymen Meldungen geht das über einen sicheren Rückkanal.

Ein anonymer Hinweis ist dabei nicht weniger wert. Er braucht nur häufiger Rückfragen, bevor er bewertbar ist.

Dringlichkeit

Dringlich ist ein Hinweis, wenn Abwarten den Schaden vergrößert oder Beweise gefährdet: laufende Gefahren für Leib und Leben, drohende Löschung von Daten, fortgesetzte Zahlungen, ein unmittelbar bevorstehender Vertragsabschluss. Dringlichkeit entscheidet über das Tempo, nicht automatisch über den Umfang der Untersuchung.

Folgen eines Verstoßes und Folgen eines falschen Verdachts

Der Prozess des MRI der TU München verlangt, die Interessen des Hauses, die Aufdeckungschancen, die Aufdeckungsrisiken und die Folgen eines unberechtigten Verdachts gegeneinander abzuwägen. Schwere und Folgen des möglichen Verstoßes geben den Rahmen für die Untersuchungsmaßnahmen vor, und entlastende Tatsachen sind stets mitzuberücksichtigen. Diese zweite Perspektive fehlt in vielen Bewertungsbögen: Eine zu breit angelegte Untersuchung kann einer unschuldigen Person mehr schaden als der vermutete Verstoß dem Unternehmen.

Eine Risikomatrix für Hinweise aufbauen

Die Risikomatrix ist ein semi-quantitatives Werkzeug aus dem Risikomanagement. Die BG RCI beschreibt sie als Darstellung des Risikos in Abhängigkeit von Häufigkeit und Auswirkungen in einem Koordinatensystem. Entscheidend ist ein Satz aus derselben Quelle: Die Konventionen, also was jede Stufe bedeutet und wie mit dem Ergebnis umzugehen ist, müssen vorab festgelegt und allen Beteiligten kommuniziert werden. Für Hinweisfälle übersetzen Sie das so.

Schritt 1: Achsen definieren

Achse A, Wahrscheinlichkeit (wie wahrscheinlich ist es, dass der gemeldete Verstoß tatsächlich vorliegt?):

Achse B, Schadensausmaß (was steht auf dem Spiel, wenn der Verstoß zutrifft?):

Schritt 2: Matrix und Handlungsregeln festlegen

Das Produkt aus beiden Achsen ergibt die Risikoklasse. Wichtiger als die Zahl ist die Regel, die daran hängt:

• Kritisch: sofortige Beweissicherung, Einbindung der Geschäftsleitung (sofern nicht selbst betroffen), gegebenenfalls externe Rechtsberatung.
• Hoch: förmliche Untersuchung mit Untersuchungsplan innerhalb weniger Tage.
• Mittel: gezielte Klärung, etwa durch Rückfragen und Prüfung einzelner Unterlagen.
• Niedrig: Klärung im Rahmen der Fachabteilung oder Abschluss mit Begründung.

Beachten Sie: Ein Hinweis mit geringer Wahrscheinlichkeit, aber schwerwiegendem Schadensausmaß landet bewusst in der Klasse „hoch“. Die Matrix soll verhindern, dass ernste Vorwürfe wegen dünner Erstinformation liegen bleiben.

Die Werte sind ein Vorschlag. Passen Sie Stufen und Schwellen an Branche, Größe und Risikoprofil an. Für Versicherer, Finanzdienstleister oder das Gesundheitswesen gelten zusätzliche aufsichtsrechtliche Erwartungen, die wir auf unseren Seiten für Hinweisgebersysteme im Gesundheitswesen und für Finanzdienstleister aufgreifen.

Schritt 3: Bewertung nachvollziehbar dokumentieren

Die BG RCI empfiehlt tabellarische Formblätter mit Spalten für Nummerierung, Abweichung, Ursache, Auswirkung, Bewertung, Maßnahmen und Bemerkungen. Auf Hinweisfälle übertragen heißt das: Fallnummer, Vorwurf in neutraler Formulierung, Einstufung auf beiden Achsen mit kurzer Begründung, Risikoklasse, beschlossene Maßnahmen, bewertende Person, Datum. Ändert sich die Einstufung im Laufe der Untersuchung, wird die alte Bewertung nicht überschrieben, sondern mit Datum und Grund ergänzt.

Ein Beispiel

Eine anonyme Meldung behauptet, ein Einkäufer bevorzuge seit Monaten einen Lieferanten und erhalte dafür Zuwendungen. Es werden drei Bestellnummern genannt. Wahrscheinlichkeit: 3, da konkrete, prüfbare Angaben vorliegen. Schadensausmaß: 3, da ein Korruptionsdelikt mit Außenwirkung im Raum steht. Ergebnis: hoch. Folge: förmliche Untersuchung, Sicherung der Bestellvorgänge, bevor jemand von der Prüfung erfährt, und Rückfrage über den anonymen Kanal nach weiteren Details. Weil zugleich ein falscher Verdacht den Einkäufer erheblich treffen würde, wird der Kreis der Eingeweihten auf zwei Personen begrenzt.

Hinweisgebende und Betroffene während der Prüfung schützen

Jede Risikobewertung findet unter dem Vertraulichkeitsgebot statt. Nach § 8 HinSchG ist die Identität der hinweisgebenden Person, der Personen, die Gegenstand der Meldung sind, und aller sonstigen genannten Personen vertraulich zu behandeln. Kenntnis dürfen grundsätzlich nur die für Meldungsannahme und Folgemaßnahmen Zuständigen sowie unterstützende Personen erhalten. Eine Weitergabe der Identität erlaubt § 9 HinSchG nur in geregelten Fällen, etwa auf Verlangen von Strafverfolgungsbehörden oder aufgrund einer gerichtlichen Entscheidung, und die hinweisgebende Person ist grundsätzlich vorher zu informieren.

Die Pflicht hat Gewicht: Wer vorsätzlich oder leichtfertig gegen das Vertraulichkeitsgebot verstößt, dem droht nach Angaben der IHK Rhein-Neckar ein Bußgeld von bis zu 50.000 Euro.

Ebenso wichtig ist der Schutz vor Repressalien. § 36 HinSchG verbietet sie einschließlich Versuch und Androhung. Erleidet eine hinweisgebende Person nach einer Meldung eine berufliche Benachteiligung, wird vermutet, dass es sich um eine Repressalie handelt. Das Unternehmen muss dann beweisen, dass die Maßnahme auf gerechtfertigten Gründen beruhte. Eine zeitnahe, sachliche und vollständige Fallakte ist deshalb nicht nur Audit-Pflicht, sondern Ihr wichtigstes Beweismittel.

Die DIN ISO 37002 behandelt die Bewertung des Risikos nachteiliger Behandlung als eigenen Schritt im Hinweismanagement, neben dem Schutz der Hinweisgebenden und der Betroffenen. Praktisch heißt das: Prüfen Sie bei jedem Fall, wer aus dem Umfeld die hinweisgebende Person erkennen könnte, und planen Sie Untersuchungsschritte so, dass sie keine Rückschlüsse erlauben. Mehr zur Norm lesen Sie in unserem Beitrag zu ISO 37002 und ISO 27001.

Dokumente in Hinweisfällen richtig schwärzen

Spätestens wenn Unterlagen an Fachabteilungen, Rechtsberatung oder Behörden gehen, müssen Namen und identifizierende Details geschwärzt werden. Der häufigste Fehler: ein schwarzes Rechteck über dem Text im PDF. Solche grafischen Elemente lassen sich mit wenigen Klicks entfernen, und mit Textmarker „geschwärzter“ Text erscheint beim Kopieren wieder im Klartext.

Das Bayerische Landesamt für Datenschutzaufsicht empfiehlt in seiner Kurz-Information 66 ein Vorgehen, das sich direkt in eine Checkliste übersetzen lässt:

1. Arbeitskopie anlegen, das Original getrennt und unverändert aufbewahren.
2. Nur Programme mit echter Schwärzungsfunktion verwenden, die den Inhalt tatsächlich entfernt.
3. Metadaten prüfen und bereinigen: Autor, Bearbeitungshistorie, Dateieigenschaften.
4. Verborgene Inhalte entfernen: Kommentare, OCR-Ebenen, Formularfelder, eingebettete Dateien.
5. Neutrale Dateinamen wählen, also kein Name der betroffenen Person im Dateinamen.
6. Abschlusskontrolle: Text markieren, kopieren, durchsuchen. Lässt sich nichts rekonstruieren, ist die Schwärzung fertig.

Achten Sie auch auf den Inhalt: Eine Abteilungsbezeichnung, eine seltene Funktion oder ein Datum kann eine Person genauso verraten wie ihr Name. Würdigen Sie deshalb das gesamte Dokument, bevor Sie es freigeben, und vermerken Sie in der Fallakte, welche Version an wen ging.

Die Beweiskette lückenlos dokumentieren

Die Beweiskette, im Englischen Chain of Custody, belegt, wer welches Beweismittel wann, in welchem Zustand erhalten, bearbeitet oder weitergegeben hat. Reißt sie, kann die Gegenseite jedes Ergebnis anzweifeln, im Arbeitsgerichtsprozess ebenso wie bei einer Strafanzeige.

Der Leitfaden zu Cyber-Forensik und Beweissicherung von ISMS Lite nennt die Angaben, die zu jedem Beweismittel gehören. Für Hinweisfälle sieht ein Beweisprotokoll so aus:

Bei physischen Beweismitteln ergänzen Übergabebelege und Fotos von Geräten und Datenträgern die Kette; Hassmann IT-Forensik beschreibt zusätzlich Prüfsummenabgleiche, mit denen sich die Unversehrtheit des untersuchten Datenbestands belegen lässt.

Am Anfang der Kette steht die Meldung selbst. § 11 HinSchG verlangt, alle eingehenden Meldungen dauerhaft abrufbar zu dokumentieren. Bei telefonischen Meldungen ist eine Tonaufzeichnung oder ein Wortprotokoll nach der GDD-Praxishilfe HinSchG nur mit Einwilligung der hinweisgebenden Person zulässig. Ohne Einwilligung fertigt die zuständige Person ein Inhaltsprotokoll an.

Beweise sichern, aufbewahren und vor Veränderung schützen

Die Grundregel der Beweissicherung lautet: Originale bleiben unangetastet, gearbeitet wird an Kopien. Für digitale Beweismittel heißt das forensische Kopien, ein kryptografischer Hashwert zum Zeitpunkt der Sicherung und ein Protokoll, das jeden Untersuchungsschritt reproduzierbar macht. Digitale Kopien liegen verschlüsselt, physische Beweismittel in gesicherten, zugangsbeschränkten Bereichen.

Drei Punkte, die in Hinweisfällen oft übersehen werden:

• Früh sichern: Bei Fällen der Risikoklasse „hoch“ oder „kritisch“ werden Daten gesichert, bevor Betroffene von der Prüfung erfahren. Sonst drohen Löschung oder Veränderung.
• Zugriff begrenzen: Sicht- und Zugangsrechte auf Fallakten sind, wie in der igus-Verfahrensordnung beschrieben, streng zu reglementieren. Jede zusätzliche Person mit Zugriff ist ein Vertraulichkeitsrisiko.
• Ergebnis vollständig festhalten: Das MRI dokumentiert jeden Verdachtsfall elektronisch mit Vorwurf, Untersuchungsergebnis und Maßnahmen und bewahrt die Originaldokumente auf.

Zur Aufbewahrung ist das Gesetz klar: Nach § 11 Abs. 5 HinSchG wird die Dokumentation drei Jahre nach Abschluss des Verfahrens gelöscht. Länger aufbewahren dürfen Sie nur, soweit das HinSchG oder andere Rechtsvorschriften es erfordern und es verhältnismäßig ist. Das MRI etwa löscht oder anonymisiert spätestens nach zehn Jahren, sofern keine längere Verjährungsfrist nach § 78 StGB besteht. Ob in Ihrem Fall eine längere Frist greift, etwa wegen eines laufenden Gerichtsverfahrens, klären Sie mit Ihrer Datenschutzbeauftragten oder Ihrer Rechtsberatung und halten die Begründung in der Akte fest.

Unsere Sicht: Bewertung braucht ein System, kein Tabellenblatt

Wir sehen in Gesprächen mit Compliance-Teams immer wieder dasselbe Muster: Die Risikomatrix ist gut durchdacht, aber sie lebt in einer Tabelle, die Fallakte in einem Netzlaufwerk, die Fristen im Kalender einer einzelnen Person und die Kommunikation mit der hinweisgebenden Person in einem E-Mail-Postfach. Genau an diesen Bruchstellen entstehen die Lücken in der Beweiskette.

Eine gute Bewertung ist deshalb vor allem eine Frage der Infrastruktur. Mit Ashio laufen Meldungseingang, strukturierte Fallbearbeitung und Rückfragen an einem Ort zusammen. Der Meldekanal ist vollständig anonym, ohne IP-Tracking, sodass auch anonyme Hinweise über den sicheren Rückkanal bewertbar werden. Der unveränderliche Audit-Trail hält fest, wer wann was am Fall getan hat, und lässt sich exportieren. Die automatische Fristenüberwachung erinnert an die Eingangsbestätigung und die Rückmeldung, und die revisionssichere Dokumentation liegt DSGVO-konform in der Schweiz, in einer ISO-27001-zertifizierten Umgebung.

Unser Anspruch: Ihr Team konzentriert sich auf die inhaltliche Bewertung, und die Nachweisbarkeit entsteht nebenbei.

Author

Hinweisfälle strukturiert bearbeiten mit Ashio

Wenn Sie Ihre Risikobewertung, Fristen und Dokumentation an einem Ort zusammenführen wollen: Ashio bietet Unternehmen eine cloudbasierte Plattform für HinSchG-konforme interne Meldestellen, mit anonymem Meldekanal, Statusverfolgung für Hinweisgebende, Team-Kollaboration und individuell gestaltbarem Meldeformular. Der Tarif Basic kostet 29 € pro Monat, und nach einer kostenfreien Testphase entscheiden Sie. Ashio jetzt kennenlernen oder vorab lesen, was unsere Software für die Umsetzung des HinSchG abdeckt.

Häufige Fragen

Ist eine Risikomatrix für Hinweisfälle gesetzlich vorgeschrieben?

Nein. § 17 HinSchG verlangt, die Stichhaltigkeit zu prüfen und angemessene Folgemaßnahmen zu ergreifen, schreibt aber keine Methode vor. Eine Risikomatrix ist ein bewährtes Mittel, um diese Prüfung einheitlich und nachvollziehbar zu machen, und wird in veröffentlichten Verfahrensordnungen deutscher Unternehmen ausdrücklich genannt.

Wer sollte die Risikobewertung vornehmen?

Die Personen, die für die interne Meldestelle zuständig sind, also unabhängig, fachkundig und zur Verschwiegenheit verpflichtet. Bei hohen oder kritischen Fällen empfiehlt sich ein Vier-Augen-Prinzip. Fachabteilungen werden nur so weit eingebunden, wie es für die Klärung nötig ist.

Darf eine anonyme Meldung niedriger eingestuft werden?

Anonymität allein ist kein Bewertungskriterium. Entscheidend sind Plausibilität, Überprüfbarkeit und Schadensausmaß. Fehlen Details, stellen Sie über einen anonymen Rückkanal Rückfragen, statt den Hinweis abzuwerten.

Wie lange müssen Beweise und Fallakten aufbewahrt werden?

Nach § 11 Abs. 5 HinSchG wird die Dokumentation drei Jahre nach Abschluss des Verfahrens gelöscht. Eine längere Aufbewahrung ist nur zulässig, soweit andere Rechtsvorschriften sie erfordern und sie verhältnismäßig ist, etwa bei laufenden Verfahren. Halten Sie den Grund für jede Verlängerung in der Akte fest.

Quellen

• igus: Verfahrensordnung
• OGE: Verfahrensordnung zum Meldeverfahren
• MRI/TUM: Prozess Umgang mit Hinweisen
• BG RCI: Das PAAG-/HAZOP-Verfahren und weitere praxisbewährte Methoden
• IHK Rhein-Neckar: Whistleblowing-Richtlinie und HinSchG
• DIN ISO 37002:2022-03, Inhaltsverzeichnis
• BayLfD: Aktuelle Kurz-Information 66, Dokumente erfolgreich schwärzen
• ISMS Lite: Cyber-Forensik und Beweissicherung
• Hassmann IT-Forensik: Sachverständigengutachten für Behörden
• GDD-Praxishilfe HinSchG