Das Lieferkettengesetz verlangt von Unternehmen nicht nur Analysen und Erklärungen, sondern auch, dass die eigenen Beschäftigten wissen, worauf sie achten müssen. Schulungen stehen dafür ausdrücklich im Gesetzestext – einmal für den eigenen Geschäftsbereich, einmal gegenüber unmittelbaren Zulieferern.

Dieser Beitrag ordnet beides praktisch ein: die neun Sorgfaltspflichten nach dem Lieferkettensorgfaltspflichtengesetz, die daraus abgeleiteten Schulungsanlässe, eine Rollenmatrix mit Turnus und die Frage, was Unternehmen im Mittelstand tun sollten, die selbst nicht unter die Schwelle fallen, aber von großen Auftraggebern Anforderungen erhalten.

Zur europäischen Rechtsentwicklung und zum Zeitplan der CSDDD finden Sie die Details im Beitrag zur EU-Lieferkettenrichtlinie CSDDD. Hier geht es um die operative Umsetzung nach heutiger deutscher Rechtslage.

Für wen gilt das Lieferkettengesetz?

Das Lieferkettengesetz verpflichtet unmittelbar Unternehmen mit mindestens 1.000 Arbeitnehmenden im Inland. Seit 2023 galt die Schwelle zunächst ab 3.000 Beschäftigten, seit 2024 ab 1.000. Maßgeblich ist der Sitz oder die Zweigniederlassung in Deutschland, unabhängig von der Rechtsform.

Bei der Zählung werden Beschäftigte verbundener Unternehmen im Inland berücksichtigt, ebenso überlassene Arbeitnehmende bei einer Einsatzdauer von mehr als sechs Monaten. Für konzernangehörige Gesellschaften bedeutet das: Die Schwelle kann auch dann erreicht sein, wenn die einzelne Gesellschaft deutlich kleiner ist.

Für Unternehmen unter der Schwelle gilt eine wichtige Unterscheidung: Aus dem Lieferkettengesetz selbst entstehen für sie keine eigenen Pflichten. Wohl aber aus Verträgen – große Auftraggeber geben ihre Anforderungen über Verhaltenskodizes, Selbstauskünfte und Zusicherungen weiter. Genau darum geht es im Abschnitt zu den Zulieferern weiter unten.

Der Anwendungsbereich umfasst die gesamte Lieferkette: den eigenen Geschäftsbereich, unmittelbare Zulieferer und – bei substantiierter Kenntnis von möglichen Verletzungen – auch mittelbare Zulieferer.

Welche neun Sorgfaltspflichten schreibt das Lieferkettengesetz vor?

Das Lieferkettengesetz beschreibt in den §§ 3 bis 10 einen zusammenhängenden Sorgfaltsprozess. Neun Pflichten bilden dessen Kern:

Pflicht	Rechtsgrundlage	Was konkret zu tun ist
Risikomanagement einrichten	§ 4 Abs. 1	Prozesse in alle relevanten Geschäftsabläufe verankern, nicht als Nebenprojekt führen
Zuständigkeit festlegen	§ 4 Abs. 3	Verantwortliche Person benennen; die Geschäftsleitung informiert sich mindestens jährlich über deren Arbeit
Risikoanalyse durchführen	§ 5	Einmal jährlich und anlassbezogen; Risiken ermitteln, gewichten, priorisieren
Grundsatzerklärung abgeben	§ 6 Abs. 2	Menschenrechtsstrategie durch die Unternehmensleitung verabschieden und veröffentlichen
Prävention im eigenen Geschäftsbereich	§ 6 Abs. 3	Strategie in Geschäftsabläufe übersetzen, Einkaufspraktiken anpassen, schulen, Kontrollen durchführen
Prävention gegenüber unmittelbaren Zulieferern	§ 6 Abs. 4	Erwartungen bei der Auswahl berücksichtigen, vertraglich zusichern lassen, schulen, risikoorientiert prüfen
Abhilfemaßnahmen ergreifen	§ 7	Bei festgestellten Verletzungen unverzüglich beenden oder minimieren, gegebenenfalls mit Konzept und Zeitplan
Beschwerdeverfahren einrichten	§§ 8, 9	Zugänglicher, vertraulicher Kanal auch für externe Betroffene; Wirksamkeit mindestens jährlich prüfen
Dokumentation und Aufbewahrung	§ 10 Abs. 1	Erfüllung der Sorgfaltspflichten fortlaufend dokumentieren, sieben Jahre aufbewahren

Der Gesetzestext zu den Präventionsmaßnahmen ist öffentlich einsehbar in § 6 LkSG beim Bundesministerium der Justiz.

Zwei Punkte werden in der Praxis regelmäßig unterschätzt. Erstens gilt für alle Pflichten der Maßstab der Angemessenheit – Art und Umfang richten sich nach Unternehmensgröße, Branche, Einflussmöglichkeiten und Schwere des Risikos. Zweitens ist die Dokumentation keine Fleißaufgabe am Jahresende, sondern muss den laufenden Prozess abbilden.

Welche Schulungspflichten ergeben sich aus dem Lieferkettengesetz?

Das Lieferkettengesetz nennt Schulungen an zwei Stellen ausdrücklich als angemessene Präventionsmaßnahme:

§ 6 Abs. 3 Nr. 3 LkSG – eigener Geschäftsbereich. Vorgesehen ist die „Durchführung von Schulungen in den relevanten Geschäftsbereichen“. Relevant sind die Bereiche, in denen Entscheidungen mit Bezug zur Lieferkette getroffen werden: Einkauf und Beschaffung, Qualitätsmanagement, Produktion, Logistik, Compliance und die Geschäftsleitung.

§ 6 Abs. 4 Nr. 3 LkSG – unmittelbare Zulieferer. Hier geht es um „Schulungen und Weiterbildungen“ zur Durchsetzung der vertraglichen Zusicherungen des Zulieferers. Adressiert werden also nicht nur eigene Beschäftigte, sondern auch Personen beim Lieferanten.

Beides sind Regelbeispiele innerhalb einer Pflicht, keine isolierten Einzelpflichten. Praktisch bedeutet das: Wer keine Schulungen durchführt, muss begründen können, warum die eigenen Präventionsmaßnahmen ohne sie angemessen und wirksam sind. Diese Begründung fällt schwer, sobald die Risikoanalyse Risiken im eigenen Geschäftsbereich oder bei direkten Lieferanten aufzeigt.

Hinzu kommt ein indirekter Schulungsanlass aus § 8: Ein Beschwerdeverfahren funktioniert nur, wenn Beschäftigte den Kanal kennen und wissen, wie mit eingehenden Hinweisen umzugehen ist. Wo das Verfahren zusammen mit der internen Meldestelle nach dem Hinweisgeberschutzgesetz betrieben wird, lassen sich beide Themen in einem Modul abbilden.

Wer muss im Unternehmen geschult werden?

Nicht alle Beschäftigten brauchen dieselbe Tiefe. Sinnvoll sind drei Stufen: eine kurze Grundlage für alle, ein Fachmodul für lieferkettennahe Rollen und eine kompakte Einheit für die Leitungsebene.

Zielgruppe	Schwerpunkt	Umfang
Einkauf und Beschaffung	Risikoindikatoren, Lieferantenauswahl, vertragliche Zusicherungen, Eskalationswege, Preis- und Fristendruck als Risikofaktor	ausführliches Fachmodul
Zuständige Person für Sorgfaltspflichten	vollständiger Sorgfaltsprozess, Methodik der Risikoanalyse, Dokumentationsanforderungen, Berichtslinie zur Geschäftsleitung	ausführliches Fachmodul
Qualitätsmanagement und Lieferantenaudit	Prüfkriterien, Auditfragen, Umgang mit Feststellungen und Abweichungen	Fachmodul
Geschäftsleitung	Grundsatzerklärung, Angemessenheitsmaßstab, Haftungs- und Bußgeldrisiken, jährliche Information über die zuständige Person	Kurzmodul
Personalbereich	Arbeitsbedingungen im eigenen Geschäftsbereich, Arbeitsschutz, Leiharbeit und Werkverträge	Kurzmodul
Vertrieb und Key Account	Umgang mit Lieferantenanforderungen von Kunden, Auskunftsfähigkeit gegenüber Auftraggebern	Kurzmodul
Alle Beschäftigten	Was das Gesetz schützt, welche Risiken es adressiert, wie und wo Hinweise gemeldet werden	Grundlagenmodul, unter zehn Minuten

Die zuständige Person nach § 4 Abs. 3 braucht dabei mehr als ein Lernmodul. Sie muss den Prozess steuern können – interne Schulung allein ersetzt hier keine fachliche Qualifizierung.

Welche Inhalte gehören in eine LkSG-Schulung?

Für das Grundlagenmodul an alle Beschäftigten reichen fünf Bausteine:

• Was das Lieferkettengesetz regelt und welche Rechtsgüter geschützt sind: Menschenrechte und ausgewählte umweltbezogene Pflichten
• Welche Risiken typisch sind: Zwangs- und Kinderarbeit, Diskriminierung, Verstöße gegen Arbeitsschutz und Vereinigungsfreiheit, Vorenthalten angemessenen Lohns, schädliche Bodenveränderung, Wasserverunreinigung
• Wo das eigene Unternehmen in der Lieferkette steht und welche Warengruppen als risikobehaftet gelten
• Wie ein Verdacht gemeldet wird: Kanal, Vertraulichkeit, Schutz vor Repressalien
• Dass Hinweise erwünscht sind und Meldungen keine Nachteile nach sich ziehen

Das Fachmodul für Einkauf und Qualitätsmanagement geht darüber hinaus:

• Risikoindikatoren nach Land, Branche, Warengruppe und Produktionsschritt lesen und einordnen
• Fragen, die in eine Lieferantenselbstauskunft gehören – und wie Antworten plausibilisiert werden
• Vertragliche Bausteine: Zusicherungen, Informationspflichten, Kontrollrechte, Konsequenzen bei Verstößen
• Was substantiierte Kenntnis bei mittelbaren Zulieferern bedeutet und welche Schritte sie auslöst
• Wann Abhilfe statt Prävention gefordert ist und wie ein Konzept mit Zeitplan aussieht
• Warum Abbruch der Geschäftsbeziehung das letzte Mittel ist und nicht der erste Reflex

Ein Verhaltenskodex ist dabei das verbindende Dokument: Er übersetzt die Grundsatzerklärung in konkrete Erwartungen und ist gleichzeitig Schulungsgrundlage und Nachweisdokument.

Praktische Hilfestellungen für die Methodik bietet das BAFA in seinen Handreichungen zum LkSG, insbesondere zur Risikoanalyse.

In welchem Turnus sollten die Schulungen stattfinden?

Das Lieferkettengesetz nennt keine Frist. Aus der jährlichen Risikoanalyse und der jährlichen Wirksamkeitsprüfung des Beschwerdeverfahrens ergibt sich aber ein sinnvoller Jahresrhythmus:

Zielgruppe	Turnus	Auslöser für Zusatzschulung
Einkauf, Beschaffung, Qualitätsmanagement	jährlich	neue Warengruppe, neuer Beschaffungsmarkt, Auffälligkeit im Audit
Zuständige Person, Compliance	jährlich, zusätzlich anlassbezogen	Gesetzesänderung, Ergebnis der Risikoanalyse
Geschäftsleitung	jährlich, gekoppelt an die Information nach § 4 Abs. 3	Rechtsänderung, gravierender Vorfall
Personalbereich, Vertrieb, Logistik	alle zwei Jahre	Prozessänderung, neue Kundenanforderung
Alle Beschäftigten	alle zwei Jahre, zusätzlich beim Eintritt	Aktualisierung des Verhaltenskodex

Neue Mitarbeitende sollten das Grundlagenmodul automatisch im Onboarding erhalten. Ohne diese Regel sinkt die Abdeckung mit jedem Personalwechsel, und die Lücke fällt erst auf, wenn ein Kunde einen Nachweis anfordert.

Wie dokumentieren Sie LkSG-Schulungen nachweisbar?

Nach § 10 Abs. 1 LkSG ist die Erfüllung der Sorgfaltspflichten fortlaufend zu dokumentieren und sieben Jahre aufzubewahren. Für Schulungen heißt das konkret:

• Wer: Name, Rolle und Organisationseinheit der teilnehmenden Person
• Was: Titel und Versionsstand des Inhalts – nicht nur „LkSG-Schulung“, sondern nachvollziehbar, welche Fassung bearbeitet wurde
• Wann: Zeitpunkt der Zuweisung und des Abschlusses
• Ergebnis: Resultat der Lernkontrolle, sofern eine vorgesehen ist
• Nachweis: Teilnahmebestätigung oder Zertifikat, abrufbar ohne Rückgriff auf einzelne Postfächer
• Planung: hinterlegter Wiederholungstermin je Zielgruppe

Der häufigste Fehler ist die Ablage in Präsenzlisten und E-Mail-Ordnern. Wenn ein Auftraggeber oder eine Prüfstelle nach zwei Jahren einen Nachweis anfordert, ist der Aufwand für die Rekonstruktion hoch – und der Nachweis oft lückenhaft. Ein Lernmanagementsystem erzeugt diese Belege automatisch und macht sie exportierbar.

Was müssen Zulieferer im Mittelstand beachten?

Für die meisten Unternehmen im Mittelstand ist das die entscheidende Frage. Sie fallen selbst nicht unter die Schwelle von 1.000 Beschäftigten, erhalten aber Post von ihren Großkunden – mit Verhaltenskodex, Fragebogen und der Bitte um Nachweise.

Rechtlich ist die Lage klar: Diese Anforderungen folgen nicht aus dem Lieferkettengesetz selbst, sondern aus dem Vertrag. Der Auftraggeber erfüllt damit seine eigene Pflicht aus § 6 Abs. 4 – und gibt sie weiter. Praktisch heißt das: Verhandelbar sind Umfang und Detailtiefe, nicht die Tatsache der Anfrage.

Typischerweise verlangt werden:

• Anerkennung eines Lieferantenkodex mit Zusicherung, die Erwartungen einzuhalten und in der eigenen Kette weiterzugeben
• Selbstauskunft zu Arbeitszeiten, Entgelt, Arbeitsschutz, Beschäftigung von Jugendlichen, Umweltauflagen und Standorten
• Benannte Ansprechperson für Nachfragen zu Sorgfaltspflichten
• Nachweis über Schulungen der Beschäftigten in den relevanten Bereichen
• Meldemöglichkeit für Hinweise, oft mit Verweis auf den eigenen Beschwerdekanal
• Informationspflicht bei neu erkannten Risiken oder Vorfällen

Was pragmatisch genügt, um auskunftsfähig zu sein: ein unterschriebener Kodex, eine benannte Ansprechperson, ein dokumentiertes Grundlagenmodul für die Belegschaft, ein Fachmodul für den Einkauf, ein funktionierender Meldekanal und eine geordnete Ablage der Nachweise. Das ist deutlich weniger als ein vollständiges Sorgfaltssystem – und reicht in der Praxis für die meisten Lieferantenbewertungen.

Der Nebeneffekt lohnt den Aufwand: Wer bei Ausschreibungen und Lieferantenaudits innerhalb weniger Tage belegen kann, dass die eigene Belegschaft geschult ist, verschafft sich einen Vorteil gegenüber Mitbewerbern, die erst Unterlagen zusammensuchen müssen.

Wie ist der aktuelle Rechtsstand beim Lieferkettengesetz?

Die Lage ist in Bewegung, die Kernpflichten sind es nicht. Kurz zusammengefasst:

• Die jährliche Berichtspflicht gegenüber dem BAFA wird nicht mehr eingefordert; die digitale Berichtsmaske ist seit November 2025 deaktiviert. Ein Gesetzentwurf sieht die Streichung rückwirkend ab 2023 vor.
• Die Bußgeldpraxis wurde eingeschränkt: Verfolgt werden sollen vor allem schwere Verstöße mit Bezug zu gravierenden Menschenrechtsverletzungen.
• Die Sorgfaltspflichten selbst gelten unverändert weiter – Risikomanagement, Zuständigkeit, Risikoanalyse, Grundsatzerklärung, Prävention, Abhilfe, Beschwerdeverfahren und die Dokumentation nach § 10 Abs. 1.
• Perspektivisch soll das Lieferkettengesetz durch ein Gesetz zur Umsetzung der europäischen CSDDD ersetzt werden.

Wichtig für die Praxis: Der Wegfall des Berichts entlastet bei der Veröffentlichung, nicht bei der Pflichterfüllung. Die interne Dokumentation bleibt vollständig erforderlich – und damit auch der Nachweis durchgeführter Schulungen.

Zeitplan, Schwellenwerte und offene Punkte der europäischen Umsetzung sind im Beitrag zur CSDDD ausführlich dargestellt. Vertiefende Auslegungsfragen beantwortet der Fragenkatalog der Bundesregierung zum LkSG.

Wie setzen Sie die Schulungen praktisch um?

Schulungen zum Lieferkettengesetz lassen sich in vier Schritten aufsetzen, wenn Sie mit fertigen Inhalten arbeiten und die Zuweisung automatisieren:

1. Zielgruppen aus der Risikoanalyse ableiten. Welche Rollen treffen Entscheidungen mit Bezug zur Lieferkette? Die Antwort steht meist schon in der Risikoanalyse und muss nur in Gruppen übersetzt werden.
2. Inhalte zuordnen. Grundlagenmodul für alle, Fachmodul für Einkauf und Qualitätsmanagement, Kurzmodul für die Leitungsebene. Ergänzen Sie den eigenen Verhaltenskodex als verbindliche Lektüre.
3. Fristen und Erinnerungen automatisieren. Zwei bis drei Wochen Bearbeitungszeit pro Modul, Erinnerungen automatisch, Wiederholungen als Regel hinterlegt statt im Kalender notiert.
4. Nachweise exportierbar halten. Ein Bericht pro Zielgruppe, der Teilnahmen, Zeitpunkte und Inhaltsstände zeigt – der Bericht, den Sie bei einer Lieferantenanfrage weitergeben.

Kurze Formate wirken auch hier besser als Jahrestermine: Ein Modul unter zehn Minuten wird bearbeitet, ein 60-minütiger Pflichtkurs wird verschoben.

Fazit und nächste Schritte

Das Lieferkettengesetz bindet Schulungen direkt in die Präventionspflicht ein: § 6 Abs. 3 Nr. 3 für den eigenen Geschäftsbereich, § 6 Abs. 4 Nr. 3 für unmittelbare Zulieferer. Wer die neun Sorgfaltspflichten erfüllen will, kommt an geschulten Beschäftigten in Einkauf, Qualitätsmanagement und Compliance nicht vorbei – und an der Dokumentation dieser Schulungen über sieben Jahre ebenso wenig.

Die Entlastung bei der Berichtspflicht ändert daran nichts. Sie verschiebt lediglich den Nachweisdruck von der Veröffentlichung zur internen Prüfbarkeit. Für Unternehmen im Mittelstand kommt der Druck ohnehin nicht von der Behörde, sondern vom Großkunden.

Ihre nächsten drei Schritte:

1. Zielgruppen festlegen: Wer trifft Entscheidungen mit Lieferkettenbezug, und wer braucht nur die Grundlagen samt Meldeweg?
2. Grundlagenmodul für alle Beschäftigten zuweisen und im Onboarding verankern.
3. Fachmodul für Einkauf und Qualitätsmanagement terminieren und den Nachweisbericht einmal testweise exportieren – am besten bevor ein Kunde ihn anfordert.

Die reteach Lernplattform ist DSGVO-konform und deckt Zuweisung, Fristen, Erinnerungen und Nachweise ab. Für Lieferkettensorgfaltspflichten, Menschenrechte in der Lieferkette, Compliance im Einkauf und Hinweisgeberschutz stehen fertige Inhalte in den Compliance-Schulungen bereit, die Sie um selbstproduzierte Kurse zu Ihrem eigenen Verhaltenskodex ergänzen können.

Rechtlicher Hinweis: Dieser Beitrag gibt einen allgemeinen Überblick und stellt keine Rechtsberatung dar. Ob und in welchem Umfang Ihr Unternehmen betroffen ist, hängt vom Einzelfall ab. Ziehen Sie für verbindliche Auskünfte Ihre Rechtsberatung hinzu.

Häufig gestellte Fragen

Wer ein Awareness-Programm einführen will, scheitert selten an fehlenden Inhalten. Kurse zu Passwörtern, Phishing oder Datenschutz sind schnell beschafft. Was fehlt, ist meistens die Reihenfolge: Womit fangen Sie an, was kommt danach, und wie verteilen Sie das über die ersten Wochen, ohne dass in den Fachabteilungen die Arbeit liegen bleibt?

Dieser Beitrag beantwortet genau diese Fragen. Sie erhalten eine begründete Themenreihenfolge, einen 90-Tage-Plan mit konkreten Aufgaben pro Zeitfenster und die Stellschrauben, mit denen der Rollout im Arbeitsalltag funktioniert. Der Plan ist für Unternehmen im Mittelstand gedacht, in denen eine einzelne Person oder ein kleines Team die Einführung nebenbei verantwortet.

Was ist ein Awareness-Programm – und was unterscheidet es von einer einzelnen Schulung?

Ein Awareness-Programm ist ein geplanter, wiederkehrender Zyklus aus Lerninhalten, Praxisübungen und Nachweisen, der alle Mitarbeitenden über das Jahr hinweg erreicht. Eine einzelne Schulung ist ein Ereignis, ein Programm ist ein Prozess.

Der Unterschied ist nicht akademisch, sondern entscheidet über die Wirkung. Eine Jahresschulung erzeugt kurzfristig Aufmerksamkeit, die messbar nachlässt. Ein Awareness-Programm arbeitet mit Wiederholung in kleinen Dosen, mit Anlässen aus dem Arbeitsalltag und mit einer festen Zuständigkeit.

Drei Bestandteile gehören immer dazu:

• Wissensvermittlung: kurze Lerneinheiten zu klar abgegrenzten Themen, für alle Mitarbeitenden verpflichtend.
• Praxis: Übungen, in denen das Gelernte angewendet wird – typischerweise über simulierte Angriffe und das Einüben des internen Meldewegs.
• Nachweis: Dokumentation, wer wann welchen Inhalt bearbeitet hat, inklusive Ergebnissen und Wiederholungen.

Für Unternehmen, die unter das NIS2-Umsetzungsgesetz fallen, ist dieser dritte Punkt keine Formalie. Das NIS2UmsuCG ist am 6. Dezember 2025 in Kraft getreten; § 30 BSIG nennt Schulungen ausdrücklich als Teil der Risikomanagementmaßnahmen, § 38 Abs. 3 BSIG verpflichtet zusätzlich die Geschäftsleitung zur regelmäßigen eigenen Schulung. Der Gesetzestext dazu ist öffentlich einsehbar in § 38 BSIG beim Bundesministerium der Justiz. Ähnliche Erwartungen bestehen in ISO 27001 und TISAX. Ein dokumentiertes Awareness-Programm liefert hier einen Nachweisbeitrag.

Eine ausführliche Einordnung der Inhalte und Pflichten finden Sie im Beitrag zum Security Awareness Training.

In welcher Reihenfolge sollten Sie die Themen einführen?

Beginnen Sie mit Grundlagen und Kontosicherheit, gehen Sie dann zu Phishing und Social Engineering, danach zu Daten und Datenschutz, mobilem Arbeiten und schließlich zu rollenspezifischer Vertiefung. Die Reihenfolge folgt zwei Kriterien: Risiko und Verständlichkeit.

Die häufigste Fehlentscheidung ist der Start mit dem komplexesten Thema. Sinnvoll ist die umgekehrte Logik: Zuerst kommt das, was alle betrifft, schnell verständlich ist und sofort umsetzbare Handlungen enthält.

Stufe 1: Grundlagen der Informationssicherheit. Warum das Thema alle betrifft, welche Daten im Unternehmen besonders schutzbedürftig sind, welche Schäden typischerweise entstehen. Dauer: eine Lerneinheit. Ziel ist nicht Wissen, sondern Relevanz.

Stufe 2: Passwörter, Mehr-Faktor-Authentifizierung und Kontosicherheit. Das Thema mit dem besten Verhältnis von Aufwand zu Wirkung. Es enthält konkrete Handlungsanweisungen, die jede Person am selben Tag umsetzen kann.

Stufe 3: Phishing und Social Engineering. Der wichtigste Block, weil E-Mail und Messenger die häufigsten Einstiegspunkte sind. Hier gehören Schulung und Praxisübung zusammen: erst die Inhalte, dann die erste Simulation. Grundlagen dazu liefern die Beiträge zu den Phishing-Arten und zum Thema Phishing erkennen.

Stufe 4: Umgang mit Daten und Datenschutz. Datenklassifizierung, sichere Ablage, Weitergabe an Dritte, Umgang mit personenbezogenen Daten. Dieses Thema profitiert davon, dass Stufe 1 bis 3 den Rahmen schon gesetzt haben.

Stufe 5: Mobiles Arbeiten, Geräte und Cloud- sowie KI-Werkzeuge. Umgang mit privaten Geräten, öffentlichen Netzen, Cloud-Freigaben und der Eingabe von Unternehmensdaten in KI-Anwendungen. Der Bedarf ist hoch und wird oft zu spät adressiert.

Stufe 6: Rollenspezifische Vertiefung und Verhalten im Notfall. Führungskräfte, Finanz- und Einkaufsbereich, IT, Vertrieb und Personalbereich haben unterschiedliche Angriffsflächen. Dazu kommt der Ablauf im Verdachtsfall: melden, nicht selbst reparieren.

Wenn Sie nur begrenzt Zeit haben: Stufe 1 bis 3 sind das Pflichtprogramm der ersten 60 Tage. Stufe 4 bis 6 lassen sich über das restliche Jahr verteilen.

Wie sieht der 90-Tage-Plan im Überblick aus?

Der Plan teilt sich in drei Phasen: Tag 1 bis 30 für Vorbereitung und Grundlagen, Tag 31 bis 60 für Phishing und Praxis, Tag 61 bis 90 für rollenspezifische Inhalte und Dokumentation.

Zeitraum	Phase	Schwerpunkt	Ergebnis am Ende
Tag 1–14	Vorbereitung	Ziele, Zielgruppen, Rollen, Beteiligung von Datenschutz und Mitbestimmung, Plattform einrichten	Programmplan steht, Freigaben liegen vor
Tag 15–30	Grundlagen	Stufe 1 und 2 ausrollen, Kommunikation zum Start	Basisschulung für alle Mitarbeitenden verfügbar
Tag 31–45	Phishing-Wissen	Stufe 3 als Pflichtmodul, Meldeweg kommunizieren	alle wissen, worauf sie achten und wohin sie melden
Tag 46–60	Praxis	erste Simulationswelle, direkte Aufklärung im Klick-Moment	erste Standortbestimmung, gezielter Nachschulungsbedarf sichtbar
Tag 61–75	Vertiefung	rollenspezifische Module, Schulung der Geschäftsleitung	Risikogruppen abgedeckt
Tag 76–90	Verstetigung	Auswertung, Nachweise prüfen, Jahresrhythmus festlegen	Programm läuft ohne Projektmodus weiter

Wer ein Awareness-Programm einführen will, braucht dafür keine eigene Abteilung. Realistisch sind zwei bis vier Stunden pro Woche für die verantwortliche Person, wenn Inhalte eingekauft und über eine Plattform automatisiert zugewiesen werden.

Was passiert in Tag 1 bis 30: Fundament legen?

In den ersten 30 Tagen entstehen Programmplan, Zielgruppen, Zuständigkeiten und die technische Basis – und die ersten beiden Themenstufen gehen live.

Tag 1 bis 14: Vorbereitung

• Ziele festlegen: Was soll das Awareness-Programm erreichen? Typisch sind drei Ziele: Reduzierung erfolgreicher Angriffe, Erfüllung von Nachweispflichten, geringere Belastung der IT durch vermeidbare Vorfälle.
• Zielgruppen bilden: Beginnen Sie mit drei Gruppen – alle Mitarbeitenden, Führungskräfte, besonders exponierte Bereiche. Mehr Differenzierung erhöht den Pflegeaufwand ohne echten Nutzen.
• Beteiligungen klären: Datenschutz und Mitbestimmungsgremien früh einbinden, insbesondere bei Simulationen und bei der Frage, welche Auswertungen personenbezogen erfolgen. Diese Klärung dauert im Zweifel länger als die technische Einrichtung.
• Plattform einrichten: Nutzerverwaltung, Anmeldung über den bestehenden Verzeichnisdienst, Zuweisungsregeln, Erinnerungen, Zertifikate. Praktische Hinweise zum Aufsetzen der Lernumgebung finden Sie im Beitrag zum Thema LMS einführen.
• Kommunikation vorbereiten: eine Ankündigung der Geschäftsleitung, eine Kurzinfo für Führungskräfte, eine Erklärung des Meldewegs.

Tag 15 bis 30: Grundlagen ausrollen

• Stufe 1 und Stufe 2 als Pflichtmodule zuweisen, mit einer Frist von zwei bis drei Wochen.
• Bearbeitungszeit pro Modul unter zehn Minuten halten.
• Erinnerungen automatisieren statt manuell nachfassen.
• Nach zehn Tagen die Abschlussquote je Abteilung an die Führungskräfte spiegeln, ohne einzelne Personen zu nennen.

Am Ende von Tag 30 sollte die Basisschulung für alle verfügbar sein und der Meldeweg bekannt sein. Beides ist Voraussetzung für die zweite Phase.

Was passiert in Tag 31 bis 60: Phishing und Praxis?

In der zweiten Phase folgt das Kernthema Phishing – erst als Schulung, dann als Übung. Diese Reihenfolge ist der wichtigste Einzelfaktor für die Akzeptanz des Awareness-Programms.

Tag 31 bis 45: Wissen aufbauen

• Pflichtmodul zu Phishing und Social Engineering für alle Mitarbeitenden.
• Merkmale verdächtiger Nachrichten anhand generischer Beispiele erklären: angebliche Nachrichten aus der Geschäftsleitung, Benachrichtigungen von Paketdiensten, Hinweise von Behörden, Anfragen zu Zahlungsdaten.
• Den Meldeweg konkret machen: Wohin geht ein Verdacht, was passiert danach, und dass eine Fehlmeldung ausdrücklich erwünscht ist.
• Klarstellen, dass niemand für einen Klick sanktioniert wird. Ohne diese Zusage melden Mitarbeitende später nichts.

Tag 46 bis 60: erste Simulationswelle

• Eine erste Welle mit niedriger bis mittlerer Schwierigkeit an alle versenden.
• Wer klickt, landet auf einer Aufklärungsseite im Klick-Moment – kurz, sachlich, ohne Schuldzuweisung. Das ist der Moment mit der höchsten Lernwirkung.
• Ergebnisse aggregiert auswerten, nicht personenbezogen berichten.
• Gezielte Nachschulung für Bereiche mit auffälligen Werten, freiwillige Zusatzinhalte für Interessierte.

Wie Sie Wellen, Schwierigkeitsgrade und Auswertung sauber aufsetzen, beschreibt der Beitrag zur Phishing-Simulation im Detail.

Die Simulation ist kein Prüfungsinstrument. Sie liefert eine Standortbestimmung und einen Lernanlass – nicht mehr, aber auch nicht weniger.

Was passiert in Tag 61 bis 90: Rollen und Nachweise?

Die dritte Phase deckt die Bereiche mit erhöhtem Risiko ab und überführt das Awareness-Programm aus dem Projektmodus in den Regelbetrieb.

Tag 61 bis 75: rollenspezifische Vertiefung

• Führungskräfte: gezielte Angriffe auf Leitungsfunktionen, Freigabeprozesse, Vorbildwirkung.
• Finanz- und Einkaufsbereich: manipulierte Zahlungsanweisungen, geänderte Bankverbindungen, Vier-Augen-Prinzip.
• Personalbereich: Bewerbungsunterlagen mit Anhängen, Anfragen zu Personaldaten.
• IT: Rechtevergabe, Umgang mit Support-Anfragen, Reaktion auf Meldungen.
• Geschäftsleitung: eigene Schulung mit Blick auf die Pflicht aus § 38 Abs. 3 BSIG, sofern Ihr Unternehmen betroffen ist. Welche Kompetenzen erwartet werden und wie zu dokumentieren ist, beschreibt die Handreichung des BSI zur NIS-2-Geschäftsleitungsschulung.

Tag 76 bis 90: Verstetigung

• Nachweise prüfen: Liegen für alle Pflichtmodule Teilnahmen, Zeitpunkte, Ergebnisse und Inhaltsstände vor? Sind die Inhalte selbst nachvollziehbar dokumentiert?
• Kennzahlen auswerten und die wichtigsten drei Werte in einem einseitigen Bericht an die Geschäftsleitung geben.
• Jahresrhythmus festlegen: welche Module wann wiederholt werden, in welchem Abstand Simulationswellen laufen, wie neue Mitarbeitende automatisch eingesteuert werden.
• Onboarding verankern: Neueintritte erhalten die Basismodule automatisch in den ersten zwei Wochen. Ohne diesen Schritt verliert das Awareness-Programm jedes Jahr an Abdeckung.

Wie führen Sie das Awareness-Programm ein, ohne den Arbeitsalltag zu bremsen?

Die Antwort liegt in der Portionierung: kurze asynchrone Einheiten statt Sammelterminen, Lernen im Arbeitsfluss statt zusätzlicher Meetings, Automatisierung statt manuellem Nachfassen.

Sieben Stellschrauben haben sich bewährt:

1. Fünf bis zehn Minuten pro Einheit. Ein Modul, das in einer Kaffeepause zu bearbeiten ist, wird bearbeitet. Ein 45-Minuten-Kurs wird verschoben.
2. Asynchron und ohne festen Termin. Präsenz- oder Webinartermine für alle Mitarbeitenden kosten ein Vielfaches an Arbeitszeit und erzeugen Terminkonflikte.
3. Fristen mit Puffer. Zwei bis drei Wochen pro Pflichtmodul, gestaffelt statt gleichzeitig. Mehrere Fristen zum selben Datum erzeugen Widerstand.
4. Mobiler Zugriff. Beschäftigte ohne festen Bildschirmarbeitsplatz erreichen Sie nur, wenn die Inhalte auf dem Smartphone funktionieren.
5. Lernen im Moment des Bedarfs. Die kurze Aufklärung direkt nach einem Klick in der Simulation ersetzt eine ganze Lerneinheit an Erklärung.
6. Automatisierte Zuweisung und Erinnerung. Regeln nach Abteilung, Eintrittsdatum und Rolle. Manuelle Listenpflege ist der größte verdeckte Aufwandstreiber.
7. Eine Sprache pro Zielgruppe. In Betrieben mit mehrsprachigen Teams entscheidet die Sprachverfügbarkeit über die Abschlussquote, nicht die Didaktik.

Realistischer Zeitaufwand pro Person für die ersten 90 Tage: 40 bis 60 Minuten insgesamt, verteilt auf vier bis sechs Einheiten. Das ist der Rahmen, in dem Fachbereiche mitgehen.

Welche Rollen und Zuständigkeiten brauchen Sie?

Vier Zuständigkeiten reichen für den Start: eine programmverantwortliche Person, eine fachliche Zuständigkeit für Sicherheitsfragen, die Personalabteilung für Pflichtzuweisungen und die Geschäftsleitung als sichtbare Absenderin.

• Programmverantwortung: plant, weist zu, wertet aus, berichtet. Diese Rolle braucht keine tiefe IT-Expertise, aber verlässliche Zeitanteile.
• Fachliche Zuständigkeit: beantwortet inhaltliche Rückfragen, betreut den Meldeweg, priorisiert Themen nach der tatsächlichen Bedrohungslage.
• Personalabteilung: verankert Pflichtmodule in Onboarding und Jahresplanung.
• Geschäftsleitung: sendet die Startkommunikation und bearbeitet die eigenen Module sichtbar zuerst. Ein Awareness-Programm, das die Leitungsebene ausnimmt, verliert intern schnell an Verbindlichkeit.

Ergänzend sollten Datenschutz und Mitbestimmungsgremien vor der ersten Simulation eingebunden sein – nicht danach.

Woran messen Sie den Erfolg des Awareness-Programms?

Messen Sie Abdeckung, Verhalten und Nachweisfähigkeit. Drei bis fünf Kennzahlen genügen; mehr erzeugt Aufwand ohne Steuerungswirkung.

Kennzahl	Was sie zeigt	Sinnvoller Zielwert nach 90 Tagen
Abschlussquote der Pflichtmodule	Abdeckung der Belegschaft	über 90 Prozent
Bearbeitungsdauer pro Modul	Passung des Formats zum Arbeitsalltag	im geplanten Rahmen, ohne Abbrüche
Ergebnis der Wissensfragen	Verständnis der Kerninhalte	stabile Mehrheit korrekter Antworten
Entwicklung der Klickrate über Simulationswellen	Verhaltensänderung im Zeitverlauf	sinkende Tendenz über mehrere Wellen
Anteil wiederholter Klicks	verbleibender Nachschulungsbedarf	rückläufig, gezielt adressiert
Vollständigkeit der Dokumentation	Nachweisfähigkeit gegenüber Prüfstellen	lückenlos ab Programmstart

Wichtig ist die Betrachtung im Zeitverlauf. Ein einzelner Wert aus einer einzelnen Welle sagt wenig aus, weil Ergebnisse stark vom Szenario abhängen. Erst die Entwicklung über mehrere Wellen zeigt, ob das Awareness-Programm wirkt.

Berichten Sie aggregiert. Personenbezogene Auswertungen sind selten notwendig, oft mitbestimmungsrelevant und beschädigen zuverlässig die Meldebereitschaft.

Welche Fehler bremsen die Einführung am häufigsten?

Die typischen Fehler liegen nicht im Inhalt, sondern in Reihenfolge, Tonalität und Nachhaltigkeit.

• Mit der Simulation starten. Ohne vorherige Schulung wirkt die Übung wie eine verdeckte Kontrolle. Der Vertrauensverlust ist schwer zu reparieren.
• Alles gleichzeitig ausrollen. Vier Pflichtmodule mit derselben Frist führen zu Durchklicken statt Lernen.
• Namen nennen. Wer Klickende intern öffentlich macht, unterdrückt künftige Meldungen.
• Lange Formate wählen. Der 60-Minuten-Jahreskurs erfüllt eine Pflicht, verändert aber kaum Verhalten.
• Beteiligungen zu spät klären. Datenschutz- und Mitbestimmungsfragen kurz vor der ersten Welle verschieben den Start um Wochen.
• Nach 90 Tagen aufhören. Ohne Wiederholung und ohne Onboarding-Regel sinkt die Abdeckung mit jedem Personalwechsel.
• Nachweise nachträglich zusammensuchen. Was nicht ab Tag 1 dokumentiert ist, lässt sich später kaum belegen.

Wie geht es nach den ersten 90 Tagen weiter?

Nach 90 Tagen wechselt das Awareness-Programm in einen Jahreszyklus: wiederkehrende Pflichtmodule, regelmäßige Simulationswellen, anlassbezogene Kurzinhalte und ein festes Berichtsintervall.

Ein tragfähiger Jahresrhythmus sieht so aus:

• Quartalsweise eine Simulationswelle mit wechselnden Szenarien und steigender Schwierigkeit.
• Halbjährlich ein kurzes Auffrischungsmodul zu einem aktuellen Schwerpunkt.
• Jährlich die Wiederholung der Pflichtgrundlagen und die Schulung der Geschäftsleitung.
• Anlassbezogen kurze Hinweise, wenn eine Angriffswelle das Unternehmen oder die Branche tatsächlich betrifft.
• Fortlaufend automatische Zuweisung an neue Mitarbeitende innerhalb der ersten zwei Wochen.

Ab diesem Punkt ist Awareness kein Projekt mehr, sondern ein laufender Prozess mit überschaubarem Aufwand – vorausgesetzt, Zuweisung, Erinnerung und Dokumentation laufen automatisiert.

Fazit und nächste Schritte

Ein Awareness-Programm einführen heißt vor allem: eine Reihenfolge festlegen und sie durchhalten. Grundlagen und Kontosicherheit zuerst, dann Phishing mit Schulung vor Simulation, danach Daten, mobiles Arbeiten und rollenspezifische Vertiefung. Der 90-Tage-Plan gliedert das in drei Phasen von je 30 Tagen und lässt sich mit wenigen Stunden pro Woche umsetzen, wenn Zuweisung und Erinnerung automatisiert sind.

Entscheidend für die Akzeptanz sind kurze Formate, gestaffelte Fristen und eine Tonalität ohne Schuldzuweisung. Entscheidend für die Nachweisfähigkeit ist die Dokumentation ab dem ersten Tag.

Ihre nächsten drei Schritte:

1. Zielgruppen und Verantwortlichkeiten festlegen und die Beteiligung von Datenschutz und Mitbestimmung anstoßen.
2. Die Pflichtmodule für Stufe 1 und 2 auswählen und mit einer Frist von drei Wochen zuweisen.
3. Die erste Simulationswelle für Tag 46 bis 60 terminieren – nach dem Phishing-Modul, nicht davor.

Die reteach Lernplattform ist DSGVO-konform und deckt Zuweisung, Fristen, Erinnerungen und Nachweise ab. Für Grundlagen und Pflichtthemen stehen fertige Kurse bereit, die Sie um selbstproduzierte Kurse ergänzen können. reteach Phishing Awareness ist eine eigenständige Komplettlösung aus Lerninhalten und Simulationen mit einer Aufklärungsseite im Klick-Moment, datenschutzfreundlich gestaltet und auditfähig dokumentiert. Damit lassen sich die drei Phasen des 90-Tage-Plans in einer Umgebung abbilden.

Häufig gestellte Fragen

Kartellrecht-Compliance entscheidet darüber, ob aus einem beiläufigen Satz am Rand eines Verbandstreffens ein Bußgeldverfahren wird. Denn Kartellverstöße entstehen selten im Vorstandszimmer – sie entstehen im Vertrieb, im Einkauf und in Ausschreibungsteams, meist ohne böse Absicht. Dieser Beitrag erklärt die rechtlichen Grundlagen, die typischen Risikofelder im Arbeitsalltag und wie Sie Mitarbeitende wirksam und nachweisbar sensibilisieren.

Was ist Kartellrecht-Compliance?

Kartellrecht-Compliance ist die Gesamtheit aller organisatorischen Maßnahmen, mit denen ein Unternehmen sicherstellt, dass seine Beschäftigten das Wettbewerbsrecht einhalten – von der Risikoanalyse über verbindliche Regeln und Schulungen bis zur Kontrolle und Dokumentation.

Kartellrecht-Compliance wird häufig mit dem englischen Begriff Antitrust Compliance gleichgesetzt. Gemeint ist immer dasselbe: Das Unternehmen soll Wettbewerbsverstöße systematisch verhindern, früh erkennen und im Ernstfall geordnet aufarbeiten.

Anders als beim Datenschutz oder in der Arbeitssicherheit gibt es im Kartellrecht keine ausdrücklich normierte Schulungspflicht. Die Pflicht ergibt sich indirekt – und deshalb wird sie im Mittelstand oft unterschätzt:

• Aus der allgemeinen Aufsichtspflicht der Leitungsebene nach § 130 OWiG: Wer zumutbare Aufsichtsmaßnahmen unterlässt und dadurch einen Verstoß ermöglicht, riskiert selbst ein Bußgeld.
• Aus der Legalitätspflicht der Geschäftsführung, für ein angemessenes Compliance-Management zu sorgen.
• Aus § 81d Abs. 1 GWB: Vorkehrungen, die vor der Zuwiderhandlung getroffen wurden, wirken bei der Bußgeldzumessung mildernd. Ohne Schulungsnachweis fällt dieses Argument weg.

Kartellrecht-Compliance ist damit kein rein juristisches Projekt, sondern eine Führungs- und Schulungsaufgabe. Sie ordnet sich in ein übergreifendes Compliance-Management ein, das typischerweise auch Korruptionsprävention, Datenschutz und Informationssicherheit umfasst.

Welche Regeln gibt das Kartellrecht vor?

Kartellrecht-Compliance setzt voraus, dass die Regeln im Haus bekannt sind. Das Kartellrecht verbietet im Kern drei Dinge: wettbewerbsbeschränkende Absprachen zwischen Unternehmen, den Missbrauch einer marktbeherrschenden Stellung und den Vollzug anmeldepflichtiger Zusammenschlüsse ohne Freigabe.

Für deutsche Unternehmen gelten zwei Regelungsebenen parallel:

Ebene	Kartellverbot	Missbrauchsverbot	Aufsicht
Deutschland	§ 1 GWB	§§ 19, 20 GWB	Bundeskartellamt, Landeskartellbehörden
Europäische Union	Art. 101 AEUV	Art. 102 AEUV	Europäische Kommission

Praktisch relevant sind vor allem diese Grundsätze:

Das Kartellverbot greift schon bei der Abstimmung. Es braucht keinen Vertrag und keinen wirtschaftlichen Erfolg. Ein aufeinander abgestimmtes Verhalten genügt – auch das bloße Entgegennehmen sensibler Informationen kann ausreichen, wenn nicht erkennbar widersprochen wird.

Sogenannte Hardcore-Verstöße sind nie erlaubt. Absprachen über Preise, Mengen, Kunden oder Gebietsaufteilungen sind unabhängig von Marktanteilen und Unternehmensgröße verboten – das Bundeskartellamt zählt sie zu den schwerwiegendsten Formen wettbewerbsbeschränkender Vereinbarungen. Bagatell- und Marktanteilsschwellen helfen hier nicht.

Vertikale Vereinbarungen sind teilweise freigestellt. Für Verträge zwischen Herstellern und Händlern gilt die Vertikal-Gruppenfreistellungsverordnung (EU) 2022/720 mit einer Marktanteilsschwelle von 30 Prozent auf beiden Seiten. Bestimmte Kernbeschränkungen bleiben trotzdem verboten – insbesondere die Preisbindung der zweiten Hand, also die verbindliche Vorgabe von Wiederverkaufspreisen.

Kooperationen sind möglich, aber prüfbedürftig. Einkaufsgemeinschaften, Forschungskooperationen oder Nachhaltigkeitsinitiativen können zulässig sein. § 3 GWB eröffnet kleinen und mittleren Unternehmen zudem einen eigenen Spielraum für Mittelstandskooperationen. Der Grat ist jedoch schmal und gehört in jedem Einzelfall rechtlich geprüft.

Der Gesetzgeber arbeitet weiter am Rahmen: Mit der 12. GWB-Novelle liegt seit Sommer 2026 ein Reformpaket im Gesetzgebungsverfahren. Vorgesehen sind unter anderem höhere Schwellenwerte in der Fusionskontrolle und ein systematisches Screening von Vergabedaten auf Hinweise für Submissionsabsprachen. Der Entwurf ist noch nicht verabschiedet, die Richtung ist aber klar: Die Aufdeckungswahrscheinlichkeit steigt.

Welche Risiken drohen bei einem Kartellrechtsverstoß?

Kartellrechtsverstöße gehören zu den teuersten Risiken, die eine lückenhafte Kartellrecht-Compliance nach sich zieht: Geldbußen bis zu 10 Prozent des weltweiten Gesamtumsatzes, zivilrechtlicher Schadensersatz, Ausschluss von öffentlichen Aufträgen, persönliche Haftung und in Ausschreibungsfällen sogar Strafbarkeit.

Die Risikoebenen im Überblick:

• Unternehmensbußgeld: Die Obergrenze liegt bei 10 Prozent des im vorausgegangenen Geschäftsjahr erzielten Gesamtumsatzes – bemessen am Konzernumsatz, nicht am Umsatz der betroffenen Einheit. Die Bußgeldleitlinien des Bundeskartellamts orientieren sich zusätzlich am tatbezogenen Umsatz und an der Dauer des Verstoßes.
• Persönliche Verantwortung: Gegen natürliche Personen können Geldbußen von bis zu einer Million Euro verhängt werden. Hinzu kommen arbeitsrechtliche Konsequenzen und Regressforderungen des Unternehmens.
• Strafbarkeit bei Ausschreibungen: Wettbewerbsbeschränkende Absprachen bei Vergabeverfahren sind nach § 298 StGB eine Straftat mit einem Strafrahmen von bis zu fünf Jahren Freiheitsstrafe. Für Unternehmen mit öffentlichen Auftraggebern ist das das schärfste Einzelrisiko.
• Schadensersatz: Betroffene Abnehmer können Kartellschäden nach § 33a GWB einklagen. Das Gesetz vermutet, dass ein Kartell einen Schaden verursacht hat – die Beweislast dreht sich zugunsten der Klagenden. Diese Forderungen übersteigen das Bußgeld in vielen Verfahren.
• Vergabeausschluss und Reputation: Eintragungen im Wettbewerbsregister und der Ausschluss von Vergabeverfahren können ganze Geschäftsbereiche gefährden. Kartellverfahren sind öffentlich – der Reputationsschaden trifft Kundenbeziehungen und Recruiting gleichzeitig.

Es gibt aber einen Gegeneffekt: Gelebte und dokumentierte Kartellrecht-Compliance wirkt nach § 81d Abs. 1 GWB bußgeldmindernd. Wer früh selbst aufdeckt, kann über das Kronzeugenprogramm der §§ 81h ff. GWB zudem einen Erlass oder eine Reduktion der Geldbuße erreichen. Beides setzt voraus, dass Beschäftigte Verstöße überhaupt erkennen und melden – also genau das, was Sensibilisierung leistet.

Wo entstehen Kartellrechtsverstöße im Arbeitsalltag?

Die überwiegende Zahl der Verstöße entsteht in alltäglichen Situationen: im Gespräch mit Wettbewerbern auf Messen und in Verbänden, in Preis- und Konditionengesprächen mit Handelspartnern und in Angebotsphasen bei Ausschreibungen.

Diese vier Risikofelder decken die Praxis nahezu vollständig ab:

1. Horizontale Absprachen mit Wettbewerbern: Preise, Preisbestandteile, Rabatte, Zahlungsziele, Kapazitäten, Produktionsmengen, Kunden- oder Gebietsaufteilungen. Auch die Abstimmung über zukünftiges Marktverhalten – etwa geplante Preiserhöhungen – ist erfasst.
2. Unzulässiger Informationsaustausch: Der Klassiker sind Verbandsgremien, Branchenrunden und Benchmark-Zirkel. Kritisch ist der Austausch aktueller, unternehmensbezogener und zukunftsgerichteter Daten. Aggregierte, historische und anonymisierte Marktdaten aus neutraler Quelle sind dagegen in der Regel unproblematisch.
3. Vertikale Beschränkungen im Vertrieb: Vorgaben zu Endverkaufspreisen, Druck auf Händler bei Aktionspreisen, absolute Gebietsschutzklauseln, pauschale Plattform- oder Onlineverbote. Diese Themen entstehen häufig in gut gemeinten Vertriebsrichtlinien, nicht in Absprachen.
4. Submissionsabsprachen: Schutzangebote, Angebotsverzicht gegen Ausgleich, koordinierte Bietergemeinschaften ohne sachlichen Grund, Weitergabe von Kalkulationsdaten an Mitbietende.

Zunehmend im Fokus stehen außerdem Absprachen auf Arbeitsmärkten: gegenseitige Abwerbeverbote (No-Poach) und Abstimmungen über Gehälter oder Gehaltsbänder. Die Europäische Kommission hat solche Vereinbarungen ausdrücklich als Kartellverstoß verfolgt. Damit gehört das Thema auch in die Sensibilisierung von HR-Rollen und Führungskräften.

Ein Muster gehört in jede Schulung zur Kartellrecht-Compliance: Sprachhygiene in E-Mails und Chats. Ermittlungsverfahren stützen sich vor allem auf interne Kommunikation. Formulierungen wie „wir haben uns mit dem Wettbewerb darauf verständigt“ oder „unser Preisniveau ist mit der Branche abgestimmt“ richten Schaden an, auch wenn nie etwas abgesprochen wurde.

Aus welchen Bausteinen besteht ein Kartellrecht-Compliance-Programm?

Ein wirksames Programm für Kartellrecht-Compliance besteht aus sechs Bausteinen: Risikoanalyse, verbindliche Regeln, Schulung und Sensibilisierung, erreichbare Beratung, ein funktionierendes Hinweisgebersystem sowie Kontrolle und Dokumentation.

1. Risikoanalyse

Ermitteln Sie, wo Ihr Unternehmen tatsächlich exponiert ist: Marktstruktur, Zahl der Wettbewerber, Verbandsmitgliedschaften, Anteil öffentlicher Auftraggeber, Vertriebsmodell, Auslandsaktivitäten. Das Ergebnis steuert Umfang und Tiefe aller weiteren Maßnahmen. Ein Zulieferer in einem Oligopol mit Ausschreibungsgeschäft braucht ein anderes Programm als ein Softwarehaus mit hundert Wettbewerbern.

2. Verbindliche Regeln

Eine schlanke Kartellrecht-Richtlinie mit klaren Ja-Nein-Regeln ist wirksamer als ein 40-seitiges Gutachten. Verankern Sie die Grundsätze zusätzlich im Verhaltenskodex, damit die Verbindlichkeit erkennbar ist.

3. Schulung und Sensibilisierung

Risikobasiert, wiederkehrend, dokumentiert. Details dazu in den folgenden Abschnitten.

4. Beratung und Eskalation

Beschäftigte müssen wissen, wen sie vor einer heiklen Entscheidung fragen können – mit Antwort innerhalb von Stunden, nicht Wochen. Eine benannte Ansprechstelle mit klarer Erreichbarkeit ist der wichtigste einzelne Erfolgsfaktor.

5. Hinweisgebersystem und interne Untersuchung

Ein Meldekanal, der auch anonym nutzbar ist, plus eine vorbereitete Vorgehensweise für den Verdachtsfall. Kartellrechtliche Sachverhalte fallen ausdrücklich in den Anwendungsbereich des Hinweisgeberschutzgesetzes.

6. Kontrolle, Dokumentation und Verbesserung

Stichproben in risikoreichen Bereichen, Agenda- und Protokollprüfungen bei Verbandsterminen, regelmäßige Überprüfung der Richtlinie, Schulungsnachweise und ein dokumentierter Umgang mit Vorfällen.

Woran Sie erkennen, dass Ihre Kartellrecht-Compliance belastbar aufgestellt ist:

• Eine dokumentierte kartellrechtliche Risikoanalyse, nicht älter als drei Jahre
• Eine Kartellrecht-Richtlinie in verständlicher Sprache, allen Betroffenen zugänglich
• Definierte Risikogruppen, die konkreten Schulungsgruppen zugeordnet sind
• Eine verpflichtende Basisschulung mit festem Turnus und Nachweis
• Vertiefungsschulungen für Vertrieb, Einkauf und Angebotsteams
• Eine benannte Ansprechstelle mit definierter Reaktionszeit
• Schriftlich fixierte Verhaltensregeln für Verbands- und Wettbewerberkontakte
• Ein Meldekanal für Hinweise, der auch anonym nutzbar ist
• Eine vorbereitete Handlungsanweisung für den Fall einer Durchsuchung
• Revisionssicher archivierte Schulungsnachweise, inklusive Versionsstand der Inhalte

Wie sensibilisieren Sie Mitarbeitende wirksam für das Kartellrecht?

Mitarbeitersensibilisierung ist der wirksamste Baustein der Kartellrecht-Compliance – sie ersetzt Rechtsdogmatik durch Handlungsfähigkeit: Beschäftigte müssen kritische Situationen erkennen, die richtige Reaktion beherrschen und wissen, an wen sie sich sofort wenden.

Fünf Prinzipien haben sich dafür bewährt.

Risikobasiert statt flächendeckend gleich: Eine identische Schulung für alle verschwendet Zeit bei den einen und greift bei den anderen zu kurz. Differenzieren Sie nach Rollen:

Zielgruppe	Schwerpunkt	Tiefe
Vertrieb, Key Account, Pricing	Wettbewerberkontakte, Preisgespräche, Händlerkonditionen	Hoch
Einkauf	Einkaufsgemeinschaften, Informationsaustausch, Lieferantenabsprachen	Hoch
Angebots- und Vergabeteams	Submissionsabsprachen, Bietergemeinschaften, § 298 StGB	Hoch
Geschäftsführung, Führungskräfte	Aufsichtspflicht, Eskalation, Tone from the Top	Hoch
Verbandsvertretende	Agenda-Hygiene, Widerspruch, Protokollierung	Hoch
Marketing, Kommunikation	Aussagen zu Preisniveau und Marktverhalten	Mittel
HR, Recruiting	No-Poach, Gehaltsabstimmungen	Mittel
Übrige Belegschaft	Grundlagen, Meldewege, Sprachhygiene	Basis

Szenarien statt Paragrafen: Die Lernwirkung entsteht an konkreten Fällen: „Ein Wettbewerber spricht Sie beim Messe-Empfang auf die geplante Preisrunde an.“ Beschäftigte müssen die Situation wiedererkennen, nicht § 1 GWB zitieren können.

Eine einprägsame Verhaltensregel: Für Wettbewerberkontakte hat sich eine Drei-Schritt-Regel etabliert, die sich gut merken lässt:

1. Widersprechen – deutlich und für alle Anwesenden hörbar.
2. Gehen – das Gespräch oder den Raum verlassen und den Austritt protokollieren lassen.
3. Melden – umgehend die Ansprechstelle informieren und den Vorgang schriftlich festhalten.

Psychologische Sicherheit: Wer befürchtet, mit einer Meldung sich selbst oder Kolleginnen und Kollegen zu belasten, meldet nicht. Kommunizieren Sie ausdrücklich, dass frühe Hinweise erwünscht sind und dass niemand für eine Meldung in gutem Glauben Nachteile zu befürchten hat.

Führungskräfte gehen voran: Wenn die Geschäftsführung die Schulung selbst absolviert und das Thema sichtbar adressiert, steigt die Beteiligung messbar. Sensibilisierung, die als reine HR-Pflichtübung wahrgenommen wird, verpufft.

Welche Inhalte gehören in eine Kartellrecht-Schulung?

Eine Basisschulung zur Kartellrecht-Compliance braucht sechs Inhaltsblöcke: das Kartellverbot in Alltagssprache, die vier Risikofelder mit Szenarien, die Verhaltensregel für Wettbewerberkontakte, Kommunikations- und Dokumentationshygiene, Melde- und Beratungswege sowie die Konsequenzen für Unternehmen und Person.

Ein bewährter Aufbau für ein E-Learning-Basismodul von 30 bis 45 Minuten:

Block	Inhalt	Dauer
1	Warum Kartellrecht relevant ist: Bußgeldhöhe, Schadensersatz, Vergabeausschluss, persönliche Haftung	5 Min.
2	Was verboten ist: Absprache, abgestimmtes Verhalten, Informationsaustausch – in Alltagssprache	8 Min.
3	Vier Risikofelder mit je einem Szenario aus dem eigenen Geschäft	12 Min.
4	Die Drei-Schritt-Regel: widersprechen, gehen, melden	5 Min.
5	Kommunikationshygiene: E-Mail, Chat, Notizen, Fremdunterlagen	5 Min.
6	Beratung und Meldewege im Unternehmen, Kurzabfrage zum Abschluss	5 Min.

Für Vertiefungsschulungen kommen je nach Zielgruppe hinzu: zulässige und unzulässige Kooperationsformen, Vertikalvereinbarungen und Preisbindung, Agenda-Anforderungen für Verbandstermine, Bietergemeinschaften und Nachunternehmerkonstellationen, Marktabgrenzung bei Marktstärke sowie das Verhalten bei behördlichen Ermittlungen.

Wichtig für die Wirksamkeit: Verwenden Sie Beispiele aus Ihrer eigenen Branche und Ihrem eigenen Vertriebsmodell. Generische Zementkartell-Beispiele erzeugen Distanz – ein Szenario aus der eigenen Angebotsphase erzeugt Aufmerksamkeit.

Welche Schulungsformate und Turnus sind sinnvoll?

Für die Breite eignet sich ein verpflichtendes E-Learning mit Wissensabfrage, für Hochrisikorollen eine moderierte Vertiefung mit Fallarbeit – ergänzt um kurze Auffrischungen zwischen den Pflichtturnussen.

Format	Zielgruppe	Empfohlener Turnus
E-Learning-Basismodul mit Abschlussabfrage	Alle Beschäftigten mit Marktkontakt	Alle 12 bis 24 Monate
Vertiefung als Live-Webinar oder Präsenz mit Fallarbeit	Vertrieb, Einkauf, Angebotsteams, Führungskräfte	Jährlich
Onboarding-Modul	Neueintritte in risikorelevanten Rollen	Innerhalb der ersten 30 Tage
Microlearning-Auffrischung (5 bis 10 Minuten)	Hochrisikorollen	Quartalsweise
Anlassbezogene Kurzunterweisung	Vor Verbandsterminen, Messen, Ausschreibungen	Nach Bedarf
Dawn-Raid-Übung	Empfang, IT, Assistenz, Legal, Geschäftsführung	Alle 24 Monate

Ein gesetzlich vorgeschriebenes Intervall existiert nicht. Ein Turnus von 12 bis 24 Monaten für die Basisschulung und jährlich für Hochrisikorollen gilt in der Praxis als angemessen und ist gegenüber Behörden gut begründbar. Bei Änderungen der Rechtslage, nach Vorfällen oder bei Eintritt in neue Märkte schulen Sie zusätzlich anlassbezogen.

Der pragmatische Weg für kleine und mittlere Unternehmen: Basiswissen zur Kartellrecht-Compliance digital und asynchron über eine E-Learning-Plattform ausrollen, das dadurch gewonnene Zeitbudget in moderierte Fallarbeit mit den 20 bis 50 wirklich exponierten Personen investieren.

Wie dokumentieren Sie Kartellrecht-Schulungen nachweisbar?

Kartellrecht-Compliance ist nur so belastbar wie ihre Dokumentation. Nachweisbar ist eine Schulung, wenn Sie belegen können, wer wann welchen Inhaltsstand mit welchem Ergebnis absolviert hat – und wie Sie mit Nichtteilnahmen umgegangen sind.

Diese Elemente gehören in die Dokumentation:

• Teilnahmenachweis pro Person mit Datum, Kursbezeichnung und Abschlussstatus
• Versionsstand der Inhalte, damit später rekonstruierbar bleibt, was tatsächlich vermittelt wurde
• Ergebnis der Wissensabfrage als Belegbeitrag für die Wirksamkeit
• Zielgruppenlogik, also die dokumentierte Begründung, warum welche Rolle welche Schulung erhält
• Eskalation bei Nichtteilnahme: Erinnerungen, Einbindung der Führungskraft, Nachweis der Nachverfolgung
• Kenntnisnahme der Richtlinie, idealerweise mit dokumentierter Bestätigung

Ein Lernmanagementsystem liefert diese Nachweise automatisch: Zuweisung nach Rolle oder Abteilung, Fristen und Erinnerungen, Abschlussquoten je Bereich, exportierbare Berichte für Audits und interne Revision. Manuelle Teilnahmelisten in Tabellenform brechen genau dann zusammen, wenn sie gebraucht werden – im Verfahren, drei Jahre später.

Beachten Sie beim Reporting die datenschutzrechtlichen Grenzen: Schulungsdaten sind Beschäftigtendaten. Erheben Sie nur, was für den Nachweiszweck erforderlich ist, und legen Sie Löschfristen fest. Bei Auswertungen auf Team- oder Abteilungsebene ist zudem die Mitbestimmung des Betriebsrats zu berücksichtigen.

Wie verhalten sich Beschäftigte bei einer Durchsuchung?

Bei einer unangekündigten Nachprüfung gilt: kooperieren, nichts löschen, nichts spontan zur Sache sagen und sofort die interne Ansprechstelle sowie die rechtliche Beratung einschalten.

Kartellbehörden führen Ermittlungen typischerweise unangekündigt und parallel an mehreren Standorten durch. Die ersten 30 Minuten entscheiden über den Verlauf – und in diesen 30 Minuten sind meist nur Empfang, Assistenz und IT anwesend.

Diese Regeln sollten alle Beschäftigten in exponierten Funktionen kennen:

1. Identität und Grundlage prüfen: Dienstausweise sowie Beschluss oder Prüfungsauftrag zeigen lassen und kopieren.
2. Sofort eskalieren: Interne Ansprechstelle und externe rechtliche Beratung unverzüglich informieren. Bis zum Eintreffen der Begleitung höflich um Wartezeit bitten – ohne die Prüfung zu behindern.
3. Nichts vernichten: Keine Dateien löschen, keine Chats bereinigen, keine Unterlagen entfernen. Verstöße dagegen sind eigenständig bußgeldbewehrt und gelten als schwerwiegend belastend.
4. Keine Spontanaussagen zur Sache: Auskünfte zu Organisation und Zuständigkeiten sind unproblematisch. Inhaltliche Bewertungen und Vermutungen sollten unterbleiben. Auf Rückfragen ist der Verweis auf die begleitende rechtliche Beratung legitim.
5. Anwaltskorrespondenz kennzeichnen: Auf Unterlagen hinweisen, die dem Schutz der Kommunikation mit externen Anwälten unterliegen können, statt sie stillschweigend herausgeben zu lassen.
6. Parallel dokumentieren: Anwesende, Räume, mitgenommene Unterlagen und Datenträger protokollieren und Kopien sichern.

Eine einseitige Handlungsanweisung, die am Empfang und in der IT physisch vorliegt, ist an dieser Stelle der Kartellrecht-Compliance mehr wert als jedes Schulungsmodul. Ergänzen Sie sie alle zwei Jahre um eine kurze Übung.

Kartellrecht-Compliance skalierbar schulen

Der Aufwand liegt selten im Inhalt, sondern in der Organisation: Wer muss was bis wann absolvieren, wer hat es noch nicht, und wie belegen Sie das später? Genau diesen Teil übernimmt ein Lernmanagementsystem – mit rollenbasierter Zuweisung, automatischen Erinnerungen, Wiederholungszyklen und auditfähigen Nachweisen.

Mit reteach stellen Sie Schulungen zur Kartellrecht-Compliance als eigene Kurse bereit oder kombinieren sie mit fertigen Compliance-Inhalten aus der Kursbibliothek. Sie definieren Zielgruppen, Fristen und Turnus einmal – die Zuweisung, Nachverfolgung und Berichterstattung laufen danach automatisch.

Wenn Sie den Aufbau Ihres Compliance-Schulungsprogramms konkret planen möchten, vereinbaren Sie gern eine kurze Demo. Dort sehen Sie, wie Zuweisung, Fristenlogik und Nachweisberichte in der Praxis funktionieren.

Fazit

Kartellrecht-Compliance ist im Mittelstand kein Randthema. Die Bußgeldobergrenze von 10 Prozent des Konzernumsatzes, die Beweislastumkehr beim Kartellschadensersatz und die Strafbarkeit von Submissionsabsprachen machen das Risiko existenziell – und die Verstöße entstehen fast immer dort, wo Menschen mit dem Markt sprechen, nicht dort, wo Juristen arbeiten.

Der Hebel der Kartellrecht-Compliance liegt deshalb in der Sensibilisierung: Beschäftigte, die kritische Situationen erkennen, eine merkbare Verhaltensregel beherrschen und einen kurzen Weg zur Beratung haben, verhindern mehr Schaden als jede Richtlinie. Ergänzt um risikobasierte Zielgruppen, einen belastbaren Turnus und lückenlose Nachweise entsteht eine Kartellrecht-Compliance, die im Ernstfall nach § 81d Abs. 1 GWB auch bußgeldmindernd wirkt.

Fangen Sie klein an: eine Risikoanalyse, eine verständliche Richtlinie, ein Basismodul für alle mit Marktkontakt, eine Vertiefung für die exponierten Rollen – und eine Ansprechstelle, die tatsächlich antwortet.

Häufig gestellte Fragen

Geldwäscheprävention-Schulung: Für viele Unternehmen ist sie keine freiwillige Weiterbildung, sondern gesetzliche Pflicht. Das Geldwäschegesetz (GwG) verlangt in § 6, dass Verpflichtete ihre Beschäftigten erstmalig und laufend über die Risiken von Geldwäsche und Terrorismusfinanzierung unterrichten – die Geldwäscheprävention-Schulung ist damit fester Bestandteil der internen Sicherungsmaßnahmen. Wer davon betroffen ist, welche Inhalte dazugehören, wie oft die Geldwäscheprävention-Schulung stattfinden muss und was sich durch das neue EU-Geldwäschepaket ab 2027 ändert, lesen Sie in diesem Beitrag.

Was schreibt das GwG zur Schulung vor?

Das Geldwäschegesetz verpflichtet Unternehmen in § 6 Abs. 2 Nr. 6 GwG dazu, ihre Beschäftigten „erstmalig und laufend“ über die Methoden der Geldwäsche und Terrorismusfinanzierung sowie die damit verbundenen Vorschriften und Pflichten zu unterrichten. Die Geldwäscheprävention-Schulung ist damit ausdrücklich ein Baustein der sogenannten internen Sicherungsmaßnahmen.

Der Gedanke dahinter ist einfach: Verdachtsmomente bleiben unerkannt, wenn die Beschäftigten nicht wissen, wie Geldwäsche in der Praxis aussieht, welche Signale auffällig sind und wie sie in einem solchen Fall reagieren müssen. Die Geldwäscheprävention-Schulung schließt genau diese Lücke – sie versetzt Ihr Team in die Lage, Risiken zu erkennen und richtig zu handeln.

Wichtig ist der risikoorientierte Ansatz: Umfang und Tiefe der Schulung richten sich nach dem individuellen Risikoprofil Ihres Unternehmens. Ein Institut mit hohem Bargeld- oder Auslandsgeschäft braucht andere Inhalte als ein Dienstleister mit überschaubarem Risiko. Die gesetzliche Grundlage können Sie im Wortlaut bei gesetze-im-internet.de nachlesen.

Wer ist zur Geldwäscheprävention-Schulung verpflichtet?

Verpflichtet sind alle Unternehmen und Personen, die unter § 2 GwG fallen – und das sind deutlich mehr als nur Banken. Die Schulungspflicht trifft einen breiten Kreis, weil Geldwäsche in sehr unterschiedlichen Branchen stattfindet.

Zu den Verpflichteten zählen unter anderem:

• Kredit- und Finanzinstitute sowie Zahlungsdienstleister
• Versicherungsunternehmen und Versicherungsvermittelnde
• Rechtsanwältinnen und -anwälte, Notariate, Steuerberatende und Wirtschaftsprüfende
• Immobilienmaklerinnen und -makler
• Anbieter von Krypto-Dienstleistungen
• Güterhändler ab bestimmten Schwellenwerten (insbesondere bei hohen Barumsätzen)

Gerade im Mittelstand wird die eigene Verpflichtung oft unterschätzt. Wer regelmäßig mit hochwertigen Gütern handelt oder in beratenden Berufen tätig ist, sollte den eigenen Status sorgfältig prüfen. Ist Ihr Unternehmen verpflichtet, dann gilt die Schulungspflicht für alle Beschäftigten, die mit den relevanten Prozessen in Berührung kommen – nicht nur für eine einzelne Fachabteilung.

Welche Inhalte muss eine GwG-Schulung abdecken?

Eine GwG-Schulung muss die Beschäftigten in die Lage versetzen, Geldwäsche zu erkennen, richtig einzuordnen und pflichtgemäß zu melden. § 6 Abs. 2 Nr. 6 GwG nennt dafür konkrete Schwerpunkte, die eine Geldwäscheprävention-Schulung abdecken sollte.

Zu den Kerninhalten gehören:

• Typologien und aktuelle Methoden der Geldwäsche und Terrorismusfinanzierung
• Die einschlägigen Sorgfaltspflichten (unter anderem Identifizierung und Know-your-Customer)
• Der Umgang mit Verdachtsmomenten und das interne Meldeverfahren
• Die Verdachtsmeldung an die FIU (Financial Intelligence Unit) nach §§ 43, 44 GwG
• Die im Geldwäschekontext relevanten Datenschutzbestimmungen
• Interne Zuständigkeiten sowie die Rolle des Geldwäschebeauftragten

Weil sich die Methoden der Täterinnen und Täter laufend verändern, dürfen die Inhalte nicht statisch bleiben. Aktuelle Bezüge – etwa zu Krypto-Transaktionen oder zu neuen Meldeformaten – erhöhen die Wirksamkeit spürbar. Ein verwandtes Compliance-Thema behandeln wir im Beitrag zur Korruptionsprävention im Unternehmen.

Wie oft muss geschult und wie dokumentiert werden?

Das GwG nennt kein starres Intervall, verlangt aber eine „erstmalige und laufende“ Unterrichtung. In der Aufsichtspraxis hat sich eine regelmäßige Auffrischung – üblicherweise mindestens einmal jährlich – als Maßstab etabliert. Die erste Geldwäscheprävention-Schulung sollte bei neuen Beschäftigten vor der Übernahme relevanter Aufgaben erfolgen.

Mindestens ebenso wichtig wie die Durchführung ist der Nachweis. Es reicht nicht, nur die Teilnahme festzuhalten. Belegen sollten Sie:

• Wer wann geschult wurde (Teilnahmenachweis)
• Welche Inhalte vermittelt wurden (Schulungsunterlagen und Themen)
• Dass die Inhalte dem aktuellen Rechtsstand entsprechen

Aufsichtsbehörden fordern bei Prüfungen häufig die konkret verwendeten Schulungsunterlagen an. Eine lückenhafte Dokumentation kann als Organisationsverschulden gewertet werden und die Geschäftsführung einem persönlichen Haftungsrisiko aussetzen. Ein System, das Teilnahme, Inhalte und Zeitpunkte automatisch protokolliert, macht die Schulung damit auditfähig.

Welche Rolle spielt der Geldwäschebeauftragte?

Der Geldwäschebeauftragte ist nach § 7 GwG bei vielen Verpflichteten die zentrale Verantwortungsstelle für die Geldwäscheprävention – und damit auch für die Schulungen. Zu seinen Aufgaben gehört es, die internen Sicherungsmaßnahmen zu steuern, ihre Funktionsfähigkeit zu überwachen und sie bei Bedarf zu aktualisieren.

In der Praxis bedeutet das: Der oder die Geldwäschebeauftragte legt fest, welche Beschäftigten welche Schulungsinhalte in welchem Turnus benötigen, sorgt für die Aktualität der Materialien und stellt die Dokumentation sicher. Ob Ihr Unternehmen einen Geldwäschebeauftragten bestellen muss, hängt von Art und Größe des Geschäftsbetriebs ab und kann von der Aufsichtsbehörde angeordnet werden.

Was ändert das EU-Geldwäschepaket ab 2027?

Die Geldwäscheprävention wird in den kommenden Jahren europaweit vereinheitlicht. Das EU-Geldwäschepaket ersetzt weite Teile der bisherigen nationalen Regelungen durch ein einheitliches Regelwerk – ein „Single Rulebook“ für alle Verpflichteten im Binnenmarkt.

Die wichtigsten Bausteine im Überblick:

• AMLR (Verordnung (EU) 2024/1624): Die EU-Geldwäscheverordnung gilt ab dem 10. Juli 2027 unmittelbar in allen Mitgliedstaaten. Bis dahin bleibt das GwG anwendbar.
• AMLD6 (Richtlinie (EU) 2024/1640): Die sechste Geldwäscherichtlinie regelt Aufsichtsstrukturen, Register und Sanktionen und ist bis zum 10. Juli 2027 in nationales Recht umzusetzen.
• AMLA (Verordnung (EU) 2024/1620): Die neue europäische Anti-Geldwäsche-Behörde mit Sitz in Frankfurt am Main ist seit dem 1. Juli 2025 operativ und übernimmt ab 2028 auch direkte Aufsichtsaufgaben.
• Bargeldobergrenze: Barzahlungen im geschäftlichen Kontext über 10.000 Euro werden EU-weit unzulässig – und zwar für alle Unternehmen, unabhängig vom GwG-Status.

Auf nationaler Ebene ist außerdem die GwG-Meldeverordnung (GwGMeldV) relevant, die seit dem 1. März 2026 in Kraft ist und die Form der Verdachtsmeldungen nach §§ 43, 44 GwG bundeseinheitlich standardisiert. Für die Geldwäscheprävention-Schulung heißt das: Inhalte müssen diese Entwicklungen zeitnah abbilden, damit Ihre Beschäftigten auf dem aktuellen Stand bleiben.

Wie setzen Sie die Schulungspflicht effizient um?

Am effizientesten erfüllen Sie die Schulungspflicht mit E-Learning über eine Lernplattform. Statt Präsenztermine zu koordinieren, weisen Sie die passenden Inhalte digital zu, und alle Beschäftigten absolvieren die Geldwäscheprävention-Schulung zeitlich flexibel am eigenen Arbeitsplatz.

Für die Erfüllung der GwG-Anforderungen bringt das drei konkrete Vorteile:

• Nachweisbarkeit: Teilnahme, Zeitpunkt und Ergebnisse werden automatisch protokolliert – die Dokumentation ist damit auditfähig.
• Aktualität: Zentrale Inhalte lassen sich einmal aktualisieren und stehen sofort allen zur Verfügung.
• Skalierbarkeit: Ob zehn oder tausend Beschäftigte, neue Teammitglieder oder jährliche Auffrischung – der Aufwand bleibt planbar.

Mit reteach bilden Sie die Geldwäscheprävention-Schulung in einer einzigen Plattform ab: Kurse zuweisen, Fortschritt verfolgen und Nachweise auf Knopfdruck bereitstellen. Wie das in der Praxis aussieht, zeigt Mitarbeitende schulen mit reteach.

Fazit

Die Geldwäscheprävention-Schulung ist für Verpflichtete nach dem GwG keine Kür, sondern eine dokumentationspflichtige Vorgabe aus § 6 Abs. 2 Nr. 6 GwG. Entscheidend sind drei Punkte: die richtigen Inhalte, eine regelmäßige Wiederholung und ein belastbarer Nachweis gegenüber der Aufsicht. Mit dem EU-Geldwäschepaket steigen die Anforderungen ab 2027 zusätzlich – wer seine Schulungsprozesse jetzt digital und wiederholbar aufstellt, ist für diese Entwicklung gut gerüstet. Eine Lernplattform macht die Umsetzung nicht nur einfacher, sondern auch prüfungssicher.

Häufig gestellte Fragen

Ein Code of Conduct – auf Deutsch Verhaltenskodex – ist heute weit mehr als ein Aushängeschild. Er ist das Regelwerk, das festhält, wie in Ihrem Unternehmen zusammengearbeitet wird und welche Grenzen gelten. Wer einen Verhaltenskodex erstellen möchte, steht jedoch schnell vor der Frage: Was gehört hinein, wie formuliere ich ihn verständlich – und wie wird aus dem Dokument tatsächlich gelebtes Verhalten? Dieser Beitrag führt Sie Schritt für Schritt durch die Erstellung, zeigt die typischen Fehler und enthält am Ende eine Vorlage als Grundgerüst, das Sie direkt übernehmen und anpassen können.

Was ist ein Code of Conduct (Verhaltenskodex)?

Ein Code of Conduct ist ein schriftlich fixiertes Regelwerk, das die Werte eines Unternehmens in verbindliche Verhaltensregeln übersetzt. Er beschreibt, welches Verhalten von Mitarbeitenden, Führungskräften und häufig auch von Geschäftspartnern erwartet wird – im Umgang miteinander, mit Kundinnen und Kunden, mit Behörden und mit den Ressourcen des Unternehmens.

Der Begriff Verhaltenskodex ist die deutsche Entsprechung und wird synonym verwendet. Abzugrenzen ist der Kodex von zwei verwandten Dokumenten: Das Leitbild formuliert Vision und Werte auf einer abstrakten Ebene, während einzelne Compliance-Richtlinien ein spezifisches Thema (etwa Geschenke oder Datenschutz) im Detail regeln. Der Code of Conduct steht dazwischen – er bündelt die zentralen Prinzipien und verweist bei Bedarf auf die vertiefenden Richtlinien.

Warum ist ein Verhaltenskodex für Unternehmen wichtig?

Ein Verhaltenskodex erfüllt gleich mehrere Funktionen. Er ist zugleich Orientierungshilfe, Präventionsinstrument und Nachweisbeitrag:

• Rechtssicherheit und Compliance: Der Kodex hilft, gesetzliche Anforderungen aus Bereichen wie Antikorruption, Kartellrecht, Datenschutz, dem Hinweisgeberschutzgesetz (HinSchG) und dem Lieferkettensorgfaltspflichtengesetz (LkSG) greifbar zu machen und im Alltag zu verankern.
• Orientierung und Kultur: Beschäftigte wissen, welches Verhalten erwünscht ist und wo Grenzen verlaufen. Das reduziert Unsicherheit und stärkt eine gemeinsame Wertebasis.
• Prävention: Klare Regeln zu Interessenkonflikten, Geschenken, Diskriminierung oder dem Umgang mit vertraulichen Daten beugen Fehlverhalten vor, bevor es entsteht.
• Reputation und Marktzugang: Immer mehr Auftraggeber und Ausschreibungen setzen einen dokumentierten Verhaltenskodex voraus – gerade im Mittelstand ein wachsender Wettbewerbsfaktor.
• Nachweisbeitrag: Ein kommunizierter und geschulter Kodex leistet einen wichtigen Beitrag zum Nachweis gegenüber Auditierenden und Behörden, dass Ihr Unternehmen seine Sorgfaltspflichten ernst nimmt.

Was gehört in einen Code of Conduct?

Der Aufbau variiert je nach Branche und Größe, doch die meisten wirksamen Verhaltenskodizes decken die folgenden Bausteine ab:

• Präambel und Werte: Warum gibt es den Kodex? Welche Grundwerte leiten das Unternehmen?
• Geltungsbereich: Für wen gilt der Kodex – nur für Mitarbeitende oder auch für Lieferanten und Dienstleister?
• Gesetzestreue: Bekenntnis zur Einhaltung geltender Gesetze und interner Richtlinien.
• Antikorruption und Zuwendungen: Regeln zu Geschenken, Einladungen und dem Umgang mit Amtsträgern.
• Interessenkonflikte: Wie werden private und geschäftliche Interessen sauber getrennt?
• Fairer Wettbewerb: Umgang mit Wettbewerbern, Kartellrecht, unlautere Praktiken.
• Datenschutz und Vertraulichkeit: Schutz personenbezogener Daten und von Betriebsgeheimnissen.
• Respektvoller Umgang: Klare Absage an Diskriminierung, Belästigung und Mobbing.
• Arbeitssicherheit und Gesundheit: Verantwortung für ein sicheres Arbeitsumfeld.
• Umgang mit Betriebsmitteln und IT: Nutzung von Unternehmensressourcen, IT-Sicherheit, Social Media.
• Nachhaltigkeit und Lieferkette: Erwartungen an ökologisches und soziales Verhalten – auch bei Geschäftspartnern.
• Meldewege und Konsequenzen: Wo können Verstöße gemeldet werden, und welche Folgen haben sie?

Nicht jeder Punkt ist für jedes Unternehmen gleich relevant. Entscheidend ist, dass Sie die Bausteine an Ihren tatsächlichen Risiken ausrichten – dazu mehr im nächsten Abschnitt.

Wie erstellen Sie einen Verhaltenskodex? Schritt für Schritt

Einen Verhaltenskodex erstellen Sie am besten strukturiert und in enger Abstimmung mit den relevanten Bereichen. Die folgenden acht Schritte haben sich bewährt:

1. Verantwortlichkeiten und Ziele klären. Legen Sie fest, wer den Prozess steuert (meist Compliance, HR oder Geschäftsführung) und was der Kodex leisten soll. Beziehen Sie frühzeitig Geschäftsleitung und – wo vorhanden – den Betriebsrat ein.

2. Risiken und rechtliche Anforderungen analysieren. Welche Themen sind für Ihre Branche und Größe kritisch? Ein produzierendes Unternehmen mit internationaler Lieferkette hat andere Schwerpunkte als eine Agentur. Diese Analyse bestimmt, welche Bausteine tiefer geregelt werden.

3. Werte und Leitprinzipien definieren. Formulieren Sie die grundlegenden Prinzipien, die alle konkreten Regeln tragen. Sie bilden die Präambel und geben dem Kodex seine Identität.

4. Konkrete Verhaltensregeln formulieren. Übersetzen Sie die Werte in klare Aussagen. Arbeiten Sie mit kurzen Beispielen und Frage-Antwort-Szenarien – das macht abstrakte Regeln im Alltag anwendbar.

5. Meldewege und Konsequenzen festlegen. Benennen Sie Ansprechstellen und ein vertrauliches Meldesystem (Hinweisgebersystem). Machen Sie transparent, wie mit Verstößen umgegangen wird.

6. Sprache und Format wählen. Schreiben Sie verständlich, in der Ansprache, die zu Ihrer Kultur passt. Ein gut lesbares, ansprechend gestaltetes Dokument wird eher gelesen als ein 40-seitiges Regelwerk.

7. Freigabe und rechtliche Prüfung. Lassen Sie den Entwurf juristisch prüfen und durch die Geschäftsleitung freigeben. So stellen Sie sicher, dass der Kodex rechtssicher und mitbestimmungskonform ist.

8. Kommunikation und Schulung planen. Ein Kodex entfaltet erst Wirkung, wenn ihn alle kennen. Planen Sie von Anfang an, wie Sie den Verhaltenskodex einführen und schulen.

Wie führen Sie den Code of Conduct erfolgreich ein?

Der fertige Text ist nur die halbe Miete. Ob ein Kodex wirkt, entscheidet sich in der Einführung:

• Onboarding integrieren: Neue Mitarbeitende lernen den Verhaltenskodex direkt beim Eintritt kennen und bestätigen die Kenntnisnahme.
• Regelmäßig schulen: Eine jährliche Auffrischung hält das Wissen präsent und dokumentiert die Teilnahme. Über eine Lernplattform lassen sich Schulungen und Nachweise zentral und auditfähig organisieren – etwa mit einer Lösung wie reteach, mit der Sie Ihre Mitarbeitenden schulen und die Teilnahme automatisch dokumentieren können.
• Führungskräfte als Vorbild: Der Kodex wird nur glaubwürdig, wenn ihn die Führungsebene sichtbar vorlebt.
• Nachweis sichern: Dokumentierte Schulungen und Bestätigungen leisten einen Nachweisbeitrag für Audits und behördliche Nachfragen.
• Aktuell halten: Prüfen Sie den Kodex regelmäßig und passen Sie ihn an neue gesetzliche Anforderungen an.

Eine E-Learning-Plattform senkt dabei den administrativen Aufwand erheblich: Kurse werden einmal aufgesetzt, automatisch zugewiesen und die Nachweise sind jederzeit abrufbar. Die dabei verarbeiteten Teilnahmedaten sind datenschutzfreundlich gestaltet.

Welche Fehler sollten Sie beim Verhaltenskodex vermeiden?

Aus der Praxis lassen sich einige wiederkehrende Stolperfallen ableiten:

• Zu abstrakt und juristisch: Ein Kodex, der wie ein Gesetzestext klingt, wird nicht gelesen. Konkrete Beispiele schlagen Paragrafenreihen.
• Copy-Paste ohne Bezug: Eine übernommene Fremdvorlage ohne Anpassung an Ihre Risiken geht an der Realität vorbei.
• Keine Kommunikation: Ein Dokument im Intranet, das niemand kennt, verändert kein Verhalten.
• Fehlende Meldewege: Ohne klare Ansprechstellen bleiben Verstöße unentdeckt.
• Nie aktualisiert: Ein veralteter Kodex verliert an Autorität und rechtlicher Belastbarkeit.
• Führung lebt ihn nicht vor: Werden Regeln oben ignoriert, verpufft die Wirkung im gesamten Unternehmen.

Vorlage: Grundgerüst für Ihren Verhaltenskodex

Damit Sie nicht bei null anfangen müssen, finden Sie hier ein Grundgerüst für Ihren Verhaltenskodex. Sie können die folgende Struktur direkt übernehmen, die für Sie relevanten Abschnitte behalten und an Ihr Unternehmen anpassen. Ergänzen Sie jeden Punkt um konkrete Beispiele aus Ihrem Arbeitsalltag – und lassen Sie den fertigen Entwurf rechtlich prüfen.

1. Präambel und Werte Warum gibt es diesen Kodex? Welche Grundwerte (z. B. Integrität, Respekt, Verantwortung) leiten unser Handeln?

2. Geltungsbereich Für wen gilt der Kodex – alle Mitarbeitenden, Führungskräfte, ggf. auch Geschäftspartner und Lieferanten?

3. Gesetzestreue Bekenntnis zur Einhaltung geltender Gesetze und interner Richtlinien.

4. Antikorruption und Zuwendungen Regeln zu Geschenken, Einladungen und dem Umgang mit Amtsträgern.

5. Interessenkonflikte Wie trennen wir private und geschäftliche Interessen?

6. Fairer Wettbewerb Umgang mit Wettbewerbern und Einhaltung des Kartellrechts.

7. Datenschutz und Vertraulichkeit Schutz personenbezogener Daten und von Betriebsgeheimnissen.

8. Respektvoller Umgang Klare Absage an Diskriminierung, Belästigung und Mobbing.

9. Arbeitssicherheit und Gesundheit Verantwortung für ein sicheres Arbeitsumfeld.

10. Umgang mit Betriebsmitteln und IT Nutzung von Unternehmensressourcen, IT-Sicherheit, Social Media.

11. Nachhaltigkeit und Lieferkette Erwartungen an ökologisches und soziales Verhalten – auch bei Geschäftspartnern.

12. Meldewege und Konsequenzen Wo können Verstöße vertraulich gemeldet werden, und welche Folgen haben sie?

So nutzen Sie das Grundgerüst am besten:

• Bausteine auswählen: Behalten Sie die für Sie relevanten Abschnitte und ergänzen Sie branchenspezifische Themen.
• Beispiele einfügen: Machen Sie die Regeln mit konkreten Situationen aus Ihrem Arbeitsalltag greifbar.
• Sprache anpassen: Übertragen Sie die Formulierungen in Ihre Unternehmenssprache.
• Rechtlich prüfen lassen: Nutzen Sie das Grundgerüst als Grundlage, nicht als fertige Rechtsberatung.

Fazit

Einen Verhaltenskodex erstellen heißt, die Werte Ihres Unternehmens in gelebte Praxis zu übersetzen. Ein wirksamer Code of Conduct ist konkret, verständlich und an Ihren tatsächlichen Risiken ausgerichtet – und er endet nicht mit der Veröffentlichung. Erst durch Kommunikation, Schulung und regelmäßige Auffrischung wird aus einem Dokument eine verlässliche Orientierung für alle Mitarbeitenden. Mit einer strukturierten Vorgehensweise, klaren Meldewegen und einer nachvollziehbaren Schulung schaffen Sie nicht nur Rechtssicherheit, sondern auch eine Kultur, auf die sich Ihr Unternehmen verlassen kann. Das Grundgerüst weiter oben gibt Ihnen dafür einen sofort nutzbaren Startpunkt.rt, regelmäßig geschult und nachweisbar dokumentiert. So werden aus Richtlinien auf dem Papier wirksame Leitplanken im Arbeitsalltag.

Häufig gestellte Fragen

Compliance-Richtlinien sind die schriftlich fixierten Spielregeln eines Unternehmens: Sie übersetzen Gesetze, Standards und interne Werte in konkrete, verbindliche Vorgaben für den Arbeitsalltag. Ohne sie bleibt Compliance abstrakt – mit ihnen wird sie überprüfbar. Dieser Beitrag gibt einen Überblick, welche Compliance-Richtlinien es gibt, zeigt zehn typische Beispiele und erklärt, was in eine gute Richtlinie gehört und wie Unternehmen sie erstellen, kommunizieren und nachweisbar umsetzen.

Was sind Compliance-Richtlinien?

Compliance-Richtlinien sind verbindliche interne Regelwerke, die festlegen, wie sich ein Unternehmen und seine Beschäftigten in bestimmten Situationen zu verhalten haben. Sie übersetzen abstrakte Anforderungen – aus Gesetzen, Normen oder unternehmenseigenen Werten – in konkrete, nachvollziehbare Vorgaben für die tägliche Arbeit.

Damit unterscheiden sich Compliance-Richtlinien von zwei benachbarten Begriffen: Ein Gesetz gibt den äußeren Rahmen vor, eine Richtlinie füllt ihn für das eigene Unternehmen aus. Eine Schulung wiederum vermittelt die Inhalte einer Richtlinie – ersetzt sie aber nicht. Die Richtlinie ist das Dokument, die Schulung der Weg, es in die Köpfe zu bringen.

Warum sind Compliance-Richtlinien wichtig?

Der offensichtliche Grund ist rechtlicher Natur: Wer Vorgaben aus Datenschutz, IT-Sicherheit oder Antikorruption erfüllen muss, braucht klare interne Regeln, um sie überhaupt umzusetzen und nachzuweisen. Fehlen sie, drohen im Ernstfall Haftung, Bußgelder und Reputationsschäden.

Der zweite, oft unterschätzte Grund ist praktischer Natur: Compliance-Richtlinien schaffen Orientierung. Sie nehmen Beschäftigten die Unsicherheit, wie sie sich in heiklen Situationen richtig verhalten – vom Umgang mit Geschenken bis zur Weitergabe von Daten. Gut gemachte Richtlinien reduzieren Risiken also nicht durch Kontrolle, sondern durch Klarheit.

Welche Compliance-Richtlinien gibt es? Die wichtigsten Beispiele

Welche Richtlinien ein Unternehmen benötigt, hängt von Branche, Größe und Risikoprofil ab. Diese zehn zählen zu den verbreitetsten:

1. Verhaltenskodex (Code of Conduct): das übergeordnete Wertegerüst, das Grundprinzipien für alle weiteren Richtlinien vorgibt.
2. Datenschutzrichtlinie: Regeln für den Umgang mit personenbezogenen Daten gemäß DSGVO.
3. IT-Sicherheitsrichtlinie: Vorgaben zu Passwörtern, Zugriffen, Gerätenutzung und dem Umgang mit Sicherheitsvorfällen.
4. Antikorruptions- und Antibestechungsrichtlinie: klare Grenzen für Zuwendungen und Vorteile, oft ergänzt durch Korruptionsprävention im Unternehmen.
5. Geschenke- und Einladungsrichtlinie: definiert, welche Zuwendungen zulässig sind und ab welcher Grenze eine Genehmigung nötig ist.
6. Interessenkonflikt-Richtlinie: regelt, wie mögliche Konflikte zwischen privaten und dienstlichen Interessen offengelegt werden.
7. Hinweisgeberrichtlinie: beschreibt die internen Meldewege nach dem Hinweisgeberschutzgesetz und den Schutz hinweisgebender Personen.
8. Antidiskriminierungsrichtlinie: setzt die Vorgaben des AGG um; die praktische Umsetzung zeigt die AGG-Schulung.
9. Geldwäscheprävention (AML): Vorgaben zur Erkennung und Meldung verdächtiger Transaktionen, relevant vor allem für bestimmte Branchen.
10. Kartell- und Wettbewerbsrichtlinie: Regeln für zulässiges Verhalten im Umgang mit Wettbewerbern, Preisen und Absprachen.

Nicht jedes Unternehmen braucht alle zehn. Entscheidend ist eine risikoorientierte Auswahl: Welche Themen sind für die eigene Tätigkeit tatsächlich relevant?

Was gehört in eine Compliance-Richtlinie?

Unabhängig vom Thema folgt eine gute Richtlinie einem klaren Aufbau. Diese Bestandteile sollten enthalten sein:

• Zweck und Geltungsbereich: Worum geht es, und für wen gilt die Richtlinie?
• Konkrete Vorgaben: Was ist erlaubt, was verboten, was genehmigungspflichtig? Möglichst mit Beispielen.
• Zuständigkeiten: Wer ist verantwortlich, wer Ansprechpartner bei Fragen?
• Melde- und Eskalationswege: Wie werden Verstöße oder Zweifelsfälle gemeldet?
• Konsequenzen: Welche Folgen hat ein Verstoß?
• Gültigkeit und Aktualisierung: Seit wann gilt die Richtlinie, wann wird sie überprüft?

Der wichtigste Grundsatz dabei ist Verständlichkeit. Eine Richtlinie, die niemand liest oder versteht, erfüllt ihren Zweck nicht. Klare Sprache und konkrete Beispiele schlagen juristische Vollständigkeit.

Wie erstellen und implementieren Unternehmen Compliance-Richtlinien?

Ein bewährtes Vorgehen führt in überschaubaren Schritten zum Ziel:

1. Risiken analysieren: ermitteln, welche rechtlichen und branchenspezifischen Themen relevant sind.
2. Priorisieren: mit den Richtlinien beginnen, die das größte Risiko abdecken – häufig Datenschutz und Verhaltenskodex.
3. Richtlinien formulieren: klar, verständlich und auf das eigene Unternehmen zugeschnitten.
4. Verabschieden und kommunizieren: durch die Geschäftsführung freigeben und aktiv bekannt machen.
5. Schulen und Kenntnisnahme dokumentieren: Beschäftigte unterweisen und den Nachweis sichern.
6. Regelmäßig überprüfen: Richtlinien aktuell halten und an neue Gesetze anpassen.

Ein hilfreicher Orientierungsrahmen ist die internationale Norm ISO 37301 für Compliance-Management-Systeme. Sie beschreibt, wie sich einzelne Richtlinien in ein übergreifendes, systematisches Compliance-Management einbetten lassen.

Wie werden Compliance-Richtlinien wirksam?

Eine Richtlinie, die in der Ablage verschwindet, schützt niemanden. Wirksam wird sie erst durch Kommunikation, Schulung und Nachweis. Beschäftigte müssen die Regeln nicht nur einmal erhalten, sondern verstehen, im Alltag anwenden und bei Änderungen aktualisiert bekommen.

Genau hier setzt eine E-Learning-Plattform wie reteach an: Über eine strukturierte Compliance-Schulung vermitteln Sie die Inhalte Ihrer Richtlinien, dokumentieren die Kenntnisnahme automatisch und halten den Schulungsstand jederzeit aktuell. Die Nachweise liefern zugleich einen auditfähigen Nachweisbeitrag – im Ernstfall der Beleg, dass Ihre Richtlinien nicht nur existieren, sondern auch gelebt werden.

Fazit

Compliance-Richtlinien sind das Bindeglied zwischen abstrakten Vorgaben und konkretem Verhalten im Unternehmen. Ein Verhaltenskodex als Rahmen, ergänzt um themenspezifische Richtlinien wie Datenschutz, IT-Sicherheit oder Antikorruption, gibt Beschäftigten Orientierung und dem Unternehmen Rechtssicherheit. Entscheidend ist dabei weniger die juristische Perfektion des Dokuments als seine Verständlichkeit und gelebte Umsetzung: klar formuliert, aktiv kommuniziert, regelmäßig geschult und nachweisbar dokumentiert. So werden aus Richtlinien auf dem Papier wirksame Leitplanken im Arbeitsalltag.

Häufig gestellte Fragen