Korruptionsverdacht prüfen: So steuern Unternehmen interne Ermittlungen

Ein Hinweis auf ungewöhnliche Lieferantenkontakte, eine auffällige Rechnung oder ein vertraulicher Anruf: Wer einen Korruptionsverdacht prüfen muss, darf weder wegsehen noch vorschnell urteilen. Für Geschäftsführung, Compliance und Rechtsabteilung geht es zugleich um mögliche Schäden, faire Behandlung der Betroffenen und eine Aufklärung, deren Schritte später nachvollziehbar bleiben.

Der erste Verdacht ist noch kein Beweis. Er ist aber ein Anlass, die Fakten geordnet zu sichern, Zuständigkeiten zu klären und den Umfang der Untersuchung bewusst zu begrenzen. Dieser Beitrag zeigt, wie Unternehmen bei möglichen Vorteilsnahmen, Interessenkonflikten oder unzulässigen Bevorzugungen im Einkauf vorgehen können – ohne aus einer Compliance-Prüfung selbst ein rechtliches Risiko zu machen.

Wann ein Korruptionsverdacht mehr als ein ungutes Gefühl ist

Nicht jede langjährige Geschäftsbeziehung und nicht jedes Geschenk begründen eine Untersuchung. Entscheidend sind nachvollziehbare Anhaltspunkte, die sich dokumentieren lassen und zur Rolle der betroffenen Person passen. Im Einkauf kann das etwa ein Lieferant sein, der wiederholt ohne erkennbaren Wettbewerb beauftragt wird. Im Vertrieb können private Verbindungen zu einem Geschäftspartner, nicht erklärte Vorteile oder auffällige Abweichungen von Freigabewegen relevant sein.

Typische Ausgangspunkte sind:

• Hinweise aus dem Hinweisgebersystem oder von Geschäftspartnern,
• wiederkehrende Ausnahmen von Vergabe- und Freigaberegeln,
• Preis-, Mengen- oder Qualitätsabweichungen ohne plausible Erklärung,
• personelle oder wirtschaftliche Verflechtungen zwischen Beschäftigten und Lieferanten,
• ungewöhnliche Einladungen, Zahlungen oder Vermittlerkonstellationen.

Die Liste ersetzt keine Einzelfallbewertung. Sie hilft jedoch, Beobachtungen von belastbaren Prüfungsansätzen zu trennen. Ein sauber festgehaltener Anlass schützt auch die Person, gegen die sich der Verdacht richtet: Die Untersuchung bleibt auf eine überprüfbare Hypothese begrenzt statt sich in Spekulationen zu verlieren.

Was rechtlich auf dem Spiel steht

Korruption im geschäftlichen Verkehr kann unter § 299 StGB fallen. Die Vorschrift betrifft unter anderem Vorteile als Gegenleistung für eine unlautere Bevorzugung beim Bezug von Waren oder Dienstleistungen. Ob ein konkreter Vorgang diese Voraussetzungen erfüllt, bewerten Strafverfolgungsbehörden und die beauftragte Rechtsvertretung – nicht die interne Untersuchung allein.

Für das Unternehmen beginnt die Pflicht zur Sorgfalt früher: Es muss klären können, was geschehen ist, wer welche Entscheidung getroffen hat und welche Informationen die Feststellung tragen. Dabei darf der Wunsch nach Aufklärung nicht zu einer allgemeinen Durchleuchtung von Postfächern, Geräten oder Belegschaften führen.

DSGVO und Beschäftigtendaten: Anlass, Zweck und Umfang festhalten

Bei der Auswertung von E-Mails, Zugriffsprotokollen oder Personalakten werden regelmäßig personenbezogene Daten verarbeitet. § 26 BDSG verlangt für die Aufdeckung von Straftaten dokumentierte tatsächliche Anhaltspunkte, Erforderlichkeit und Verhältnismäßigkeit. Praktisch heißt das: Vor dem ersten Zugriff sollten Anlass, Untersuchungsfrage, Datenquellen, Zugriffskreis und Lösch- beziehungsweise Aufbewahrungskonzept feststehen.

Eine breit angelegte Suche „auf Verdacht“ ist kein Ersatz für diesen Prüfauftrag. Sind private Nutzungen dienstlicher Kommunikationsmittel erlaubt oder geduldet, werden Abgrenzung und Schutzinteressen zusätzlich anspruchsvoll. Datenschutz und Rechtsabteilung sollten deshalb früh eingebunden sein; bei komplexen Fällen kann eine externe datenschutz- und arbeitsrechtliche Bewertung sinnvoll sein.

Betriebsrat und Verwertbarkeit mitdenken

Wer neue oder anders eingesetzte technische Einrichtungen zur Verhaltens- oder Leistungsüberwachung einführen will, muss die Mitbestimmung nach § 87 Abs. 1 Nr. 6 BetrVG prüfen. Bestehende Betriebsvereinbarungen, Compliance-Richtlinien und Berechtigungskonzepte bestimmen mit, welche Daten wie ausgewertet werden dürfen.

Für die spätere Verwertbarkeit zählt nicht nur das Ergebnis, sondern der Weg dorthin. Eine lückenlose Dokumentation von Datenquellen, Sicherungszeitpunkt, Zugriffsrechten und Bearbeitungsschritten erleichtert der Rechtsvertretung die Einordnung. Sie garantiert kein bestimmtes Prozessergebnis, verhindert aber, dass zentrale Tatsachen später wegen unklarer Herkunft oder unverhältnismäßiger Erhebung an Gewicht verlieren.

Die ersten Schritte: Spuren sichern, keine Vorverurteilung schaffen

In den ersten Stunden ist Ruhe ein Vorteil. Die Geschäftsführung bestimmt einen kleinen, konfliktfreien Steuerkreis – etwa Compliance, Rechtsabteilung, Datenschutz und bei Bedarf Revision. Dieser Kreis legt fest, wer informiert wird, welche Systeme vor Veränderung geschützt werden und wie die Kommunikation dokumentiert wird.

Ein fallbezogener Legal Hold kann verhindern, dass E-Mails, Freigabeprotokolle, Rechnungsunterlagen oder Chat-Verläufe durch Routineprozesse gelöscht werden. Zugleich müssen laufende Geschäftsabläufe handlungsfähig bleiben: Zugriffsrechte lassen sich nur so weit anpassen, wie es für Sicherung und Risikobegrenzung erforderlich ist. Wer die betroffene Person ohne Plan konfrontiert, riskiert Beweisverlust; wer sie zu lange im Unklaren lässt, riskiert ebenfalls Fehler. Der Zeitpunkt einer Anhörung gehört deshalb in den Untersuchungsplan.

Bei digitalen Spuren sollte die Sicherung nicht mit einer normalen IT-Administration verwechselt werden. Eine fachgerechte Kopie, nachvollziehbare Hashwerte und ein Protokoll der Bearbeitung helfen, den Ursprung der Daten später zu erklären. Wenn der Verdacht E-Mail-Konten, Cloud-Dienste oder Zahlungsfreigaben betrifft, ergänzt unser Leitfaden zum CEO-Fraud und zur Sicherung digitaler Beweise diese Perspektive.

Der Untersuchungsplan: Vom Hinweis zur belastbaren Feststellung

Ein Untersuchungsplan verhindert, dass ein sensibles Mandat zum offenen Suchlauf wird. Er hält vor Beginn mindestens fest:

• welche konkreten Fragen beantwortet werden sollen,
• welche Personen und Zeiträume zunächst relevant sind,
• welche Dokumente, Buchungen und Datenquellen gesichert werden,
• wer Interviews führt, protokolliert und Entscheidungen freigibt,
• welche Eskalationspunkte eine sofortige Einbindung von Kanzlei, Versicherer oder Behörden auslösen.

Danach werden Hypothesen einzeln geprüft. Bei einem Lieferantenverdacht lassen sich etwa Vergabeakte, Angebotsvergleich, Freigabekette, Rechnungen und Registerinformationen zeitlich zusammenführen. Erst wenn diese Unterlagen eine offene Frage nicht beantworten, kommen weitergehende Maßnahmen in Betracht. So bleibt die Untersuchung verhältnismäßig und ihr Ergebnis verständlich: Feststellungen, Indizien und ungeklärte Punkte werden klar getrennt.

Hinweise aus einer internen Meldestelle verlangen dabei besonderen Schutz. Wie Eingänge strukturiert bewertet und Hinweisgebende geschützt werden können, erläutert unser Beitrag zur Whistleblower-Ermittlung im Unternehmen. Eine Meldung ist ein wichtiger Ausgangspunkt, aber kein Freibrief für voreilige Konsequenzen.

Intern führen oder extern untersuchen lassen?

Die eigene Compliance- oder Revisionsfunktion kennt Prozesse, Systeme und Ansprechpartner. Das spricht für eine interne Steuerung, wenn der Sachverhalt überschaubar ist, keine Interessenkonflikte bestehen und die benötigte Expertise vorhanden ist. Eine externe Untersuchung ist besonders sinnvoll, wenn Führungskräfte betroffen sein könnten, der Aufsichtsrat eine unabhängige Faktenbasis benötigt oder arbeits-, zivil- oder strafrechtliche Schritte absehbar sind.

Auch ein hybrides Modell kann passen: Intern bleiben Entscheidungshoheit und Prozesswissen, extern werden Beweissicherung, Interviews oder Verflechtungsrecherche übernommen. Entscheidend ist nicht das Etikett, sondern eine klare Rollenverteilung. Wer darf Ergebnisse sehen? Wer entscheidet über den nächsten Schritt? Und wer bewertet sie rechtlich? Diese Fragen sollten vor dem ersten Interview beantwortet sein.

Bei möglichen Verbindungen zu Lieferanten oder Vermittlern kann eine ergänzende Hintergrundprüfung helfen, wirtschaftliche Berechtigte, Adressgleichheiten und Beteiligungen zu verstehen. Sie ersetzt keinen Tatnachweis, ordnet aber Konstellationen ein. Der Beitrag zur Vermögensermittlung und zum Asset Tracing zeigt, warum Register- und Verflechtungsrecherche eine eigene, dokumentationsstarke Disziplin ist.

Abschluss: Konsequenzen auf Fakten statt auf Druck stützen

Am Ende steht kein pauschales Urteil, sondern ein Bericht mit überprüfbaren Quellen. Gute Berichte trennen gesicherte Tatsachen von Bewertungen, benennen Grenzen der Untersuchung und dokumentieren, welche Fragen offenbleiben. Das schafft eine belastbare Grundlage für arbeitsrechtliche Maßnahmen, die Prüfung von Schadenersatz, interne Kontrollverbesserungen oder eine Entscheidung über die Einbindung von Behörden.

Ebenso wichtig ist die Nacharbeit: Welche Freigaberegeln, Vier-Augen-Prozesse, Lieferantenprüfungen oder Hinweiswege haben nicht funktioniert? Maßnahmen sollten so konkret sein, dass sie nicht nur im Abschlussbericht stehen, sondern im operativen Alltag überprüfbar werden. Der weiter gefasste Leitfaden zu Unternehmensbetrug und forensischer Aufklärung ordnet typische Untersuchungsbausteine ergänzend ein.

Häufige Fragen von Entscheidern

Müssen wir bei einem Korruptionsverdacht sofort Anzeige erstatten?

Nicht jeder Verdacht lässt sich ohne Vorprüfung einordnen. Ob und wann eine Strafanzeige sinnvoll oder geboten ist, hängt vom Sachverhalt und möglichen gesetzlichen Pflichten ab. Sichern Sie relevante Informationen früh und lassen Sie die rechtliche Bewertung durch Ihre Kanzlei oder Rechtsabteilung vornehmen.

Dürfen wir das Dienstpostfach einer verdächtigen Person durchsuchen?

Das kann im Einzelfall zulässig sein, ist aber an Zweck, Erforderlichkeit und Verhältnismäßigkeit gebunden. Dokumentierte Anhaltspunkte, die konkrete Untersuchungsfrage sowie Regeln zur privaten Nutzung und Mitbestimmung sind vorher zu prüfen. Ein pauschaler Vollzugriff ist kein sicherer Standardweg.

Wann sollte der Aufsichtsrat eingebunden werden?

Sind Mitglieder der Geschäftsführung betroffen oder könnte die interne Untersuchung befangen wirken, braucht es einen unabhängigen Adressaten und klaren Berichtsweg. Die konkrete Governance-Struktur und Satzung Ihres Unternehmens geben dafür den Rahmen vor.

Was muss ein Untersuchungsbericht enthalten?

Mindestens Untersuchungsauftrag, Quellen, Vorgehen, zeitliche Einordnung, Feststellungen, offene Punkte und Grenzen der Untersuchung. Rechtliche Schlussfolgerungen sollte die zuständige Rechtsvertretung verantworten; der Ermittlungsbericht liefert die nachvollziehbare Faktenbasis.

Vertraulich Klarheit schaffen

Ein Korruptionsverdacht ist kein Fall für Aktionismus – aber auch keiner für die Schublade. Wenn Sie Hinweise strukturiert sichern, Rechte der Betroffenen achten und die Untersuchung unabhängig steuern, entsteht eine belastbare Grundlage für Ihre Entscheidung. Bona Fides unterstützt Sie mit internen Ermittlungen und Compliance-Untersuchungen: vertraulich, mit klarer Rollenverteilung und einer Dokumentation, die Ihre Rechtsabteilung weiterverwenden kann. Sprechen Sie mit uns über Ihren Fall.