Hinweisgeberschutzgesetz Schulung – dieses Thema ist für viele Unternehmen längst überfällig, aber selten so gemeint, wie oft angenommen. Das Hinweisgeberschutzgesetz (HinSchG) verpflichtet Unternehmen ab 50 Beschäftigten zu einer internen Meldestelle. Es schreibt jedoch keine pauschale Schulung aller Beschäftigten vor, sondern Fachkunde für die Meldestelle und klare Informationen für alle. Dieser Beitrag erklärt, welche Pflichten gelten, wer geschult oder sensibilisiert werden muss und wie Unternehmen die Schulung praktisch – etwa über ein LMS – umsetzen.

Was schreibt das Hinweisgeberschutzgesetz vor?

Das Hinweisgeberschutzgesetz (HinSchG) ist seit dem 2. Juli 2023 in Kraft und setzt die EU-Whistleblower-Richtlinie in deutsches Recht um. Sein Ziel: Personen, die Rechtsverstöße im beruflichen Umfeld melden, wirksam vor Repressalien zu schützen. Für Unternehmen lässt sich das auf drei Kernpflichten herunterbrechen:

1. Interne Meldestelle einrichten und betreiben: einen sicheren Kanal, über den sich Verstöße mündlich und schriftlich melden lassen, mit festen Bearbeitungsfristen (§§ 12, 16 HinSchG).
2. Vertraulichkeit und Schutz vor Repressalien gewährleisten: Die Identität hinweisgebender Personen muss geschützt bleiben, Benachteiligungen sind unzulässig.
3. Informieren und Fachkunde sicherstellen: Beschäftigte müssen die Meldewege kennen, und die Meldestelle muss fachkundig besetzt sein.

Wer diese Pflichten missachtet, riskiert nach § 40 HinSchG Bußgelder von bis zu 50.000 Euro. Den vollständigen Gesetzestext finden Sie beim Bundesamt für Justiz.

Welche Unternehmen sind betroffen?

Die Pflicht zur internen Meldestelle gilt für Beschäftigungsgeber mit in der Regel mindestens 50 Beschäftigten. Für Unternehmen mit 50 bis 249 Beschäftigten galt eine verlängerte Übergangsfrist bis zum 17. Dezember 2023 – sie ist längst abgelaufen, die Pflicht besteht also uneingeschränkt.

Für Unternehmensgruppen sieht § 14 HinSchG vor, dass eine zentrale Stelle die Aufgaben der Meldestelle für mehrere Konzerngesellschaften übernehmen kann. Und Unternehmen mit 50 bis 249 Beschäftigten dürfen Ressourcen teilen und eine gemeinsame Meldestelle betreiben. Unabhängig von der Organisationsform bleibt die Verantwortung aber beim jeweiligen Unternehmen.

Schreibt das Hinweisgeberschutzgesetz eine Schulung vor?

Direkt beantwortet: Ja – aber gezielt, nicht pauschal. Das HinSchG verlangt keine verpflichtende Schulung sämtlicher Beschäftigter. Die klare gesetzliche Schulungspflicht betrifft die Meldestellen-Beauftragten: Nach § 15 Absatz 2 HinSchG müssen sie die notwendige Fachkunde besitzen, um ihre Aufgaben zu erfüllen. In der Praxis bedeutet das, dass diese Personen entsprechend geschult werden müssen.

Für alle übrigen Beschäftigten gilt eine Informationspflicht: Sie müssen klar und zugänglich erfahren, welche Meldewege es gibt und wie der Schutz funktioniert. Darüber hinaus ist eine breitere Sensibilisierung zwar nicht ausdrücklich vorgeschrieben, aber dringend zu empfehlen – denn ein Meldesystem wirkt nur, wenn Beschäftigte es kennen, ihm vertrauen und Führungskräfte Repressalien sicher vermeiden. Eine gut gemachte Hinweisgeberschutzgesetz Schulung deckt beide Ebenen ab.

Wer muss geschult oder sensibilisiert werden?

Sinnvoll ist ein nach Rollen abgestuftes Vorgehen:

• Meldestellen-Beauftragte: Sie brauchen echte Fachkunde – zu Meldeverfahren, Fristen, Vertraulichkeit, Repressalienschutz und dem datenschutzkonformen Umgang mit Meldungen. Das ist die gesetzlich verankerte Schulung.
• Führungskräfte: Sie müssen wissen, wie sie mit Hinweisen umgehen, warum Repressalien unzulässig sind und welche Rolle sie im Schutzsystem spielen.
• Alle Beschäftigten: Sie sollten die Meldewege kennen, den Zweck des Verfahrens verstehen und wissen, dass sie geschützt sind. Hier reicht eine kompakte, verständliche Sensibilisierung.

So erfüllen Unternehmen die Fachkunde- und Informationspflicht und stärken zugleich die Wirksamkeit ihres Meldesystems.

Was gehört in eine Hinweisgeberschutzgesetz Schulung?

Die Inhalte richten sich nach der Zielgruppe. Eine vollständige Hinweisgeberschutzgesetz Schulung deckt in der Regel ab:

• Grundlagen des HinSchG: Ziel, Anwendungsbereich und die Rechte hinweisgebender Personen.
• Meldewege: wie interne und externe Meldungen funktionieren und welche Fristen gelten.
• Vertraulichkeit und Datenschutz: wie die Identität geschützt wird und welche DSGVO-Anforderungen die Meldestelle beachten muss.
• Repressalienverbot: was als Benachteiligung gilt und wie Führungskräfte sie vermeiden.
• Fachkunde für Beauftragte: die vertiefte Bearbeitung von Meldungen, Dokumentation und Folgemaßnahmen.

Wichtig ist außerdem, dass die absolvierten Schulungen nachweisbar dokumentiert werden – im Zweifel muss ein Unternehmen belegen können, dass seine Meldestelle fachkundig besetzt und die Belegschaft informiert ist.

Wie setzen Unternehmen die Hinweisgeberschutzgesetz Schulung um – zum Beispiel per LMS?

Die interne Meldestelle selbst ist ein eigenes Hinweisgebersystem – die dazugehörige Hinweisgeberschutzgesetz Schulung und Sensibilisierung lässt sich davon getrennt und besonders effizient über eine E-Learning-Plattform umsetzen. Der Vorteil: rollenspezifische Inhalte, unternehmensweite Erreichbarkeit und automatische Nachweise aus einer Hand.

Über reteach bilden Sie die verschiedenen Ebenen gezielt ab: eine kompakte Sensibilisierung für alle Beschäftigten, eine vertiefte Fachkunde-Schulung für die Meldestellen-Beauftragten und Auffrischungen für Führungskräfte. Die Teilnahme wird automatisch dokumentiert und liefert einen auditfähigen Nachweisbeitrag. Da der Hinweisgeberschutz Teil eines größeren Pflichtkanons ist, lässt er sich gut mit verwandten Themen bündeln – etwa der Compliance-Schulung als Überblick, der Korruptionsprävention im Unternehmen und der AGG-Schulung.

Fazit

Das Hinweisgeberschutzgesetz verlangt keine Schulung „für alle“ – aber es verlangt mehr, als viele denken. Unternehmen ab 50 Beschäftigten müssen eine interne Meldestelle betreiben, diese fachkundig besetzen und ihre Belegschaft über die Meldewege informieren. Die Fachkunde-Pflicht der Meldestellen-Beauftragten ist dabei die klare gesetzliche Schulungsanforderung, die Sensibilisierung aller Beschäftigten die entscheidende Ergänzung für ein funktionierendes System. Wer beides strukturiert – etwa über ein LMS – umsetzt und nachweisbar dokumentiert, erfüllt die Pflichten und macht seinen Hinweisgeberschutz zugleich wirksam.

Häufig gestellte Fragen

Datenschutz und Informationssicherheit werden im Alltag oft synonym verwendet – dabei bezeichnen sie zwei unterschiedliche Dinge, die sich zwar überschneiden, aber nicht dasselbe meinen. Kurz gesagt: Datenschutz schützt personenbezogene Daten, Informationssicherheit schützt alle Informationen. Wer beide Begriffe sauber trennt, versteht besser, welche Pflichten für das eigene Unternehmen gelten – und warum das eine ohne das andere nicht funktioniert. Dieser Beitrag erklärt den Unterschied verständlich, zeigt die Überschneidungen und ordnet DSGVO, ISO 27001 und die Rolle von Schulungen ein.

Was ist der Unterschied zwischen Datenschutz und Informationssicherheit?

Der zentrale Unterschied liegt im Schutzobjekt: Datenschutz schützt ausschließlich personenbezogene Daten und damit das Persönlichkeitsrecht der betroffenen Menschen. Informationssicherheit schützt alle schützenswerten Informationen eines Unternehmens – ob personenbezogen oder nicht, ob digital oder auf Papier.

Vier Merkmale machen den Unterschied zwischen Datenschutz und Informationssicherheit greifbar:

Beide verfolgen also verwandte, aber nicht identische Ziele. Ein Beispiel: Eine Kundenliste enthält personenbezogene Daten – hier greifen Datenschutz und Informationssicherheit. Ein internes Bauplan-Dokument ohne Personenbezug ist dagegen nur ein Thema der Informationssicherheit, nicht des Datenschutzes.

Was bedeutet Datenschutz?

Datenschutz bezeichnet den rechtlich geregelten Schutz personenbezogener Daten. Sein Ziel ist es, das Grundrecht auf informationelle Selbstbestimmung zu wahren – also die Kontrolle jedes Menschen darüber, wer welche seiner Daten zu welchem Zweck verarbeitet.

Im Zentrum steht die Frage der Rechtmäßigkeit: Datenschutz regelt, ob und unter welchen Bedingungen personenbezogene Daten überhaupt erhoben, gespeichert oder weitergegeben werden dürfen. Dazu gehören Grundsätze wie Zweckbindung, Datenminimierung, Transparenz und die Rechte betroffener Personen, etwa auf Auskunft oder Löschung. Datenschutz ist damit in erster Linie eine rechtliche und organisatorische Disziplin.

Was bedeutet Informationssicherheit?

Informationssicherheit umfasst alle technischen und organisatorischen Maßnahmen, die Informationen vor Bedrohungen schützen. Sie orientiert sich an drei klassischen Schutzzielen:

• Vertraulichkeit: Nur Berechtigte haben Zugriff auf Informationen.
• Integrität: Informationen bleiben korrekt und unverfälscht.
• Verfügbarkeit: Informationen sind bei Bedarf zugänglich und nutzbar.

Anders als der Datenschutz fragt die Informationssicherheit nicht, ob eine Verarbeitung erlaubt ist, sondern ob die Informationen wirksam geschützt sind. Ihr Gegenstand ist breiter: Sie schützt Geschäftsgeheimnisse, Konstruktionspläne, Finanzdaten und eben auch personenbezogene Daten – kurz alles, was für ein Unternehmen einen Wert hat. Ein methodisches Fundament dafür liefert etwa der IT-Grundschutz des BSI.

Wo überschneiden sich Datenschutz und Informationssicherheit?

Die Schnittmenge ist groß – und genau hier entsteht die Verwechslung. Überall dort, wo personenbezogene Daten verarbeitet werden, greifen beide Disziplinen gleichzeitig. Personenbezogene Daten sind eine Teilmenge aller Informationen, und für diese Teilmenge gelten die Anforderungen des Datenschutzes zusätzlich zu denen der Informationssicherheit.

Konkret heißt das: Eine Maßnahme wie die Verschlüsselung einer Kundendatenbank ist zugleich Informationssicherheit (sie schützt die Vertraulichkeit) und Datenschutz (sie schützt personenbezogene Daten). Der Datenschutz verlangt solche technischen und organisatorischen Maßnahmen sogar ausdrücklich – er setzt Informationssicherheit also voraus, ohne selbst deren Methoden zu liefern.

Warum gehören Datenschutz und Informationssicherheit zusammen?

Weil das eine ohne das andere nicht funktioniert. Datenschutz und Informationssicherheit bedingen sich gegenseitig: Wer personenbezogene Daten rechtmäßig verarbeiten will, muss sie zugleich technisch und organisatorisch absichern. Ein Unternehmen, das die Datenschutzregeln kennt, seine Systeme aber nicht schützt, erfüllt seine Pflichten ebenso wenig wie eines mit perfekter Technik, aber ohne Rechtsgrundlage für die Verarbeitung.

Praktisch gedacht sind sie zwei Seiten derselben Medaille: Der Datenschutz definiert was geschützt werden muss und warum, die Informationssicherheit liefert das Wie. Deshalb betrachten viele Unternehmen beide Themen gemeinsam in einem Managementsystem – und schulen ihre Beschäftigten zu beiden zugleich.

Welche Rolle spielen DSGVO und ISO 27001?

Die beiden Disziplinen haben jeweils ihren zentralen Bezugsrahmen.

Die DSGVO ist das maßgebliche Gesetz für den Datenschutz in der EU, ergänzt durch das BDSG in Deutschland. Sie verpflichtet Unternehmen unter anderem, personenbezogene Daten durch geeignete technische und organisatorische Maßnahmen zu schützen – und schlägt damit direkt die Brücke zur Informationssicherheit.

Die ISO 27001 ist der internationale Standard für ein Informationssicherheits-Managementsystem (ISMS). Sie beschreibt, wie Unternehmen Informationssicherheit systematisch aufbauen, steuern und nachweisen. Ergänzend bietet der BSI IT-Grundschutz eine in Deutschland verbreitete Umsetzungsmethodik. Hinzu kommt seit Dezember 2025 das NIS2-Umsetzungsgesetz, das für viele Unternehmen konkrete Cybersicherheitspflichten verbindlich macht – inklusive einer Schulungspflicht für Geschäftsleitung und Beschäftigte.

Wichtig: DSGVO und ISO 27001 schließen sich nicht aus, sondern ergänzen einander. Ein gut geführtes ISMS erleichtert es erheblich, auch die technischen Anforderungen des Datenschutzes nachweisbar zu erfüllen.

Warum sind Schulungen für Datenschutz und Informationssicherheit entscheidend?

So wichtig Technik und Regelwerke sind – der häufigste Schwachpunkt ist der Mensch. Ein unbedachter Klick auf eine Phishing-Mail, ein zu schwaches Passwort oder ein falsch adressierter Datenexport können sowohl den Datenschutz als auch die Informationssicherheit aushebeln. Sensibilisierte Beschäftigte sind deshalb die wirksamste Schutzschicht überhaupt.

Regelmäßige Schulungen sind zugleich Pflicht: DSGVO, ISO 27001 und NIS2 setzen voraus, dass Beschäftigte unterwiesen werden – und dass diese Unterweisung nachweisbar erfolgt. In der Praxis scheitert es oft nicht am Schulen selbst, sondern am Beleg im Auditfall. Eine strukturierte, auditfähige Dokumentation ist daher genauso wichtig wie die Schulung.

Über eine E-Learning-Plattform wie reteach lassen sich beide Themen abbilden: von der DSGVO-Schulung über Schulungen zur Informationssicherheit bis zur datenschutzkonformen Weiterbildung – jeweils mit automatischer Nachweisführung, die einen Nachweisbeitrag für DSGVO, ISO 27001 und NIS2 liefert.

Fazit

Datenschutz und Informationssicherheit sind eng verwandt, aber nicht dasselbe: Datenschutz schützt personenbezogene Daten und fragt nach der Rechtmäßigkeit der Verarbeitung, Informationssicherheit schützt alle Informationen und sorgt für Vertraulichkeit, Integrität und Verfügbarkeit. Ihre große Schnittmenge – überall dort, wo personenbezogene Daten im Spiel sind – macht deutlich, warum beides zusammengehört: Ohne Informationssicherheit lässt sich Datenschutz technisch gar nicht umsetzen. Für Unternehmen bedeutet das, beide Themen gemeinsam zu denken, an DSGVO und ISO 27001 auszurichten und ihre Beschäftigten nachweisbar dafür zu sensibilisieren.

Häufig gestellte Fragen

IT-Compliance bezeichnet die Einhaltung aller gesetzlichen, regulatorischen und internen Vorgaben, die für die IT und die Informationssicherheit eines Unternehmens gelten. Was früher als Aufgabe einzelner Spezialistinnen und Spezialisten galt, ist längst zur Führungspflicht geworden: Mit dem novellierten BSI-Gesetz, der DSGVO und branchenspezifischen Regelwerken wie DORA haften Unternehmen – und teils persönlich die Geschäftsführung – für Versäumnisse. Dieser Beitrag erklärt die Grundlagen der IT-Compliance, die wichtigsten Rechtsrahmen und wie Unternehmen die Anforderungen strukturiert und nachweisbar umsetzen.

Was bedeutet IT-Compliance?

IT-Compliance beschreibt die Gesamtheit aller Regeln, an die sich ein Unternehmen im Umgang mit IT halten muss – und den Nachweis, dass es das auch tut. Dazu zählen drei Ebenen: gesetzliche Vorgaben (etwa Datenschutz- und IT-Sicherheitsrecht), regulatorische und branchenspezifische Standards (etwa ISO 27001 oder DORA) sowie interne Richtlinien (etwa Passwort- oder Berechtigungskonzepte).

Der Kern ist immer derselbe: Vertraulichkeit, Integrität und Verfügbarkeit von Informationen sicherstellen und das prüfbar dokumentieren. IT-Compliance ist damit kein einmaliges Projekt, sondern ein fortlaufender Prozess aus Regeln definieren, Maßnahmen umsetzen, Wirksamkeit überprüfen und Nachweise führen.

Abzugrenzen ist der Begriff von der reinen IT-Sicherheit: IT-Sicherheit umfasst die technischen und organisatorischen Schutzmaßnahmen, IT-Compliance stellt sicher, dass diese Maßnahmen den geltenden Vorgaben entsprechen und belegbar sind. Sicherheit ist also das Was, Compliance das Ob-nach-Regel-und-nachweisbar.

Welche gesetzlichen Grundlagen und Standards gehören zur IT-Compliance?

Die Anforderungen an die IT-Compliance ergeben sich aus einem Geflecht von Gesetzen und Standards. Diese sind die wichtigsten für Unternehmen in Deutschland.

DSGVO und BDSG

Die Datenschutz-Grundverordnung ist der Ausgangspunkt jeder IT-Compliance. Sie verpflichtet Unternehmen, personenbezogene Daten durch geeignete technische und organisatorische Maßnahmen zu schützen, Verarbeitungstätigkeiten zu dokumentieren und Datenpannen zu melden. Verstöße können mit Bußgeldern von bis zu 20 Mio. Euro oder 4 Prozent des weltweiten Jahresumsatzes geahndet werden.

BSI-Gesetz und NIS2

Mit dem NIS2-Umsetzungsgesetz wurde das BSI-Gesetz grundlegend novelliert. Es ist seit dem 6. Dezember 2025 in Kraft – ohne Übergangsfrist – und weitet die Cybersicherheitspflichten massiv aus: von rund 4.500 auf etwa 29.500 regulierte Unternehmen in 18 Sektoren. Betroffen sind Einrichtungen ab 50 Beschäftigten oder 10 Mio. Euro Umsatz in Branchen wie Produktion, Logistik, Chemie, Energie oder digitale Dienste. Zu den Pflichten zählen Risikomanagement, Meldepflichten bei erheblichen Sicherheitsvorfällen und eine Registrierung beim BSI. Bei Verstößen drohen Bußgelder bis zu 10 Mio. Euro, und die Geschäftsleitung haftet persönlich. Ob ein Unternehmen betroffen ist, lässt sich über die Betroffenheitsprüfung des BSI erst einschätzen.

DORA (Finanzsektor)

Für den Finanzsektor gilt seit dem 17. Januar 2025 der Digital Operational Resilience Act (DORA). Als EU-Verordnung wirkt er unmittelbar in allen Mitgliedstaaten und verpflichtet Banken, Versicherungen, Zahlungsdienstleister und ihre IKT-Dienstleister zu einheitlichen Anforderungen an IKT-Risikomanagement, Vorfallmeldung, Resilienztests und das Management von Drittanbietern.

ISO 27001, BSI IT-Grundschutz und TISAX

Neben den Gesetzen sind Standards die praktische Arbeitsgrundlage. ISO 27001 ist der internationale Standard für ein Informationssicherheits-Managementsystem (ISMS). Der BSI IT-Grundschutz bietet dazu eine methodische, in Deutschland weit verbreitete Umsetzungshilfe. TISAX ist der Prüf- und Austauschstandard der Automobilindustrie. Diese Standards sind meist nicht gesetzlich verpflichtend, werden aber von Kunden, Partnern oder Ausschreibungen häufig vorausgesetzt – und liefern zugleich die Struktur, mit der sich gesetzliche Pflichten sauber erfüllen lassen.

Welche Pflichten ergeben sich konkret für Unternehmen?

Über die einzelnen Regelwerke hinweg wiederholen sich einige Kernpflichten, die den Alltag der IT-Compliance ausmachen:

• Risikomanagement: systematisch erfassen, welche IT-Risiken bestehen, und angemessene Schutzmaßnahmen ableiten.
• Technische und organisatorische Maßnahmen (TOM): von Zugriffskontrolle und Verschlüsselung über Back-up-Konzepte bis zu Notfallplänen.
• Meldepflichten: erhebliche Sicherheitsvorfälle fristgerecht an die zuständige Behörde melden – unter NIS2 in engen Zeitfenstern.
• Dokumentation und Nachweise: Richtlinien, Maßnahmen und deren Wirksamkeit prüfbar festhalten.
• Schulung und Sensibilisierung: Beschäftigte regelmäßig zu Datenschutz und IT-Sicherheit unterweisen.
• Lieferkettensicherheit: auch die IT-Sicherheit von Dienstleistern und Lieferanten berücksichtigen.

Entscheidend ist: Eine Maßnahme, die nicht dokumentiert ist, gilt im Zweifel als nicht umgesetzt. Nachweisbarkeit ist deshalb keine Fleißaufgabe, sondern Teil der Pflicht selbst.

Wer ist im Unternehmen für IT-Compliance verantwortlich?

IT-Compliance ist ausdrücklich Chefsache. Die NIS2-Richtlinie verpflichtet Geschäftsführungen betroffener Einrichtungen, die Risikomanagementmaßnahmen umzusetzen, deren Umsetzung zu überwachen und sich selbst zu Cyberrisiken schulen zu lassen. Die Verantwortung lässt sich nicht vollständig delegieren – bei Verstößen haftet die Leitungsebene persönlich.

In der Praxis verteilt sich die operative Arbeit auf mehrere Rollen: Die Geschäftsführung trägt die Gesamtverantwortung, ein CISO oder IT-Sicherheitsbeauftragte steuern das Informationssicherheits-Management, Datenschutzbeauftragte verantworten die DSGVO-Themen, und die IT-Abteilung setzt technische Maßnahmen um. Der oft unterschätzte Faktor sind jedoch alle übrigen Beschäftigten – denn Regeln wirken nur, wenn sie im Arbeitsalltag auch gelebt werden.

Welche Rolle spielen Mitarbeitende und Schulungen für die IT-Compliance?

Ein Großteil erfolgreicher Cyberangriffe beginnt nicht mit einer technischen Lücke, sondern mit menschlichem Verhalten: ein Klick auf eine Phishing-Mail, ein zu schwaches Passwort, ein unbedachter Umgang mit Daten. Technische Maßnahmen allein greifen deshalb zu kurz. Sensibilisierte Mitarbeitende sind die wirksamste und zugleich am häufigsten vernachlässigte Schutzschicht.

Regelmäßige Schulungen sind darum kein „Nice-to-have“, sondern ein fester Bestandteil der Pflichten. DSGVO, ISO 27001 und NIS2 setzen Awareness und Unterweisung voraus – und verlangen zugleich, dass diese nachweisbar erfolgen. Genau hier liegt ein häufiges Versäumnis: Viele Unternehmen schulen zwar, können es im Auditfall aber nicht belegen. Eine lückenlose, auditfähige Dokumentation, wer wann welche Schulung absolviert hat, ist deshalb genauso wichtig wie die Schulung selbst.

Wie führen Unternehmen IT-Compliance Schritt für Schritt ein?

IT-Compliance lässt sich nicht an einem Tag herstellen, aber gut strukturieren. Ein bewährter Ablauf:

1. Betroffenheit klären: Welche Gesetze und Standards gelten für das eigene Unternehmen? Fällt es unter NIS2? Welche Kunden- oder Branchenanforderungen kommen hinzu?
2. Ist-Analyse: den aktuellen Stand von Technik, Prozessen und Dokumentation erfassen und Lücken identifizieren.
3. Risiken bewerten: Bedrohungen und Schwachstellen priorisieren, um Maßnahmen sinnvoll zu steuern.
4. Richtlinien und Maßnahmen festlegen: interne Regeln, TOM und Zuständigkeiten definieren und einführen.
5. Mitarbeitende schulen: Awareness aufbauen und regelmäßig auffrischen – dokumentiert.
6. Nachweise führen und auditieren: Wirksamkeit prüfen, Belege sammeln, auf interne und externe Audits vorbereiten.
7. Kontinuierlich verbessern: IT-Compliance als laufenden Zyklus betreiben, nicht als Einmalprojekt.

Wer diesen Kreislauf einmal etabliert hat, wandelt IT-Compliance von einer reaktiven Pflichtübung in einen belastbaren, wiederholbaren Prozess.

Wie unterstützt ein LMS wie reteach bei der IT-Compliance?

IT-Compliance ist weit mehr als Software – aber der Schulungs- und Nachweisteil lässt sich mit dem richtigen Werkzeug erheblich vereinfachen. Genau IT-Compliance ist weit mehr als Software – aber der Schulungs- und Nachweisteil lässt sich mit dem richtigen Werkzeug erheblich vereinfachen. Genau hier setzt reteach als E-Learning-Plattform an: nicht als GRC-System, das Ihre gesamte Compliance abbildet, sondern als verlässliche Ebene für Schulung, Sensibilisierung und Nachweis.

• Compliance- und Datenschutzschulungen sowie Schulungen zur Informationssicherheit vermitteln Beschäftigten die Grundlagen zu Datenschutz und IT-Sicherheit – strukturiert, wiederholbar und mit Wissenschecks.
• reteach Phishing Awareness trainiert den wohl kritischsten menschlichen Faktor mit realitätsnahen Simulationen und Aufklärung im Klick-Moment.
• Auditfähige Nachweise: reteach dokumentiert automatisch, wer welche Schulung wann abgeschlossen hat. Diese Nachweise liefern einen Nachweisbeitrag für Anforderungen aus NIS2, ISO 27001 und TISAX.
• Zertifikate und Fortschrittsübersichten machen den Schulungsstand jederzeit belegbar – ohne manuelle Listenpflege.

So schließen Sie die Schulungs- und Dokumentationslücke, an der IT-Compliance in der Praxis am häufigsten scheitert. Welche Kurse dafür bereitstehen, zeigt der gesamte reteach Kurskatalog als PDF.

Fazit

IT-Compliance ist für Unternehmen keine Kür mehr, sondern eine belegbare Pflicht mit realer Haftung. Die Grundlagen bilden DSGVO, das novellierte BSI-Gesetz mit NIS2 und – im Finanzsektor – DORA, flankiert von Standards wie ISO 27001, BSI IT-Grundschutz und TISAX. Wer sie erfüllen will, braucht drei Dinge: klare Zuständigkeiten bis in die Geschäftsführung, geeignete technische und organisatorische Maßnahmen und sensibilisierte Mitarbeitende, deren Schulung auditfähig dokumentiert ist. Der letzte Punkt entscheidet in der Praxis oft über Bestehen oder Scheitern eines Audits – und ist zugleich der Teil, der sich am einfachsten systematisieren lässt.

Häufig gestellte Fragen

Laut einer Bitkom-Erhebung nutzt bereits rund die Hälfte der deutschen Unternehmen generative KI – aber nur ein Bruchteil hat dafür verbindliche Regeln. Das Ergebnis ist Schatten-KI: Beschäftigte kopieren Kundendaten in kostenlose Chatbots, laden vertrauliche Dokumente hoch und veröffentlichen ungeprüfte KI-Texte. Genau hier setzt eine KI-Nutzungsrichtlinie an.

Eine KI-Nutzungsrichtlinie ist der organisatorische Rahmen, der den KI-Einsatz im Arbeitsalltag sicher, rechtskonform und einheitlich regelt. Dieser Beitrag erklärt, was hineingehört, wie Sie in wenigen Schritten vorgehen und welche Fehler Sie vermeiden sollten – inklusive einer Vorlage zum Anpassen.

Was ist eine KI-Nutzungsrichtlinie?

Eine KI-Nutzungsrichtlinie – auch AI Policy oder KI-Richtlinie genannt – ist ein unternehmensinternes Regelwerk, das den verantwortungsvollen und gesetzeskonformen Einsatz von KI-Systemen steuert. Sie beantwortet die zentralen Fragen des Arbeitsalltags: Welche Tools dürfen genutzt werden? Mit welchen Daten? Wer trägt die Verantwortung? Und was ist ausdrücklich verboten?

Wichtig ist die Abgrenzung: Eine Datenschutzrichtlinie regelt die Verarbeitung personenbezogener Daten nach DSGVO. Eine KI-Nutzungsrichtlinie geht darüber hinaus und regelt den gesamten Umgang mit KI – von der Tool-Auswahl über Transparenz bis zur Verantwortung. Sie ersetzt bestehende Datenschutz- und Compliance-Regeln nicht, sondern ergänzt sie.

Warum braucht Ihr Unternehmen eine KI-Nutzungsrichtlinie?

Für eine verbindliche Regelung sprechen mehrere Gründe – rechtliche wie praktische:

KI-Kompetenz ist Pflicht: Seit dem 2. Februar 2025 verlangt Artikel 4 des EU AI Act, dass Unternehmen für ein ausreichendes Maß an KI-Kompetenz bei allen Mitarbeitenden sorgen, die KI-Systeme nutzen. Diese Pflicht erfordert Dokumentation – eine Richtlinie ist die organisatorische Grundlage dafür.

Datenschutz und Vertraulichkeit: Kopiert eine Person Kundendaten in einen kostenlosen KI-Dienst, können vertrauliche Informationen auf externen Servern landen. Ein solcher DSGVO-Verstoß kann Bußgelder und Imageschäden nach sich ziehen.

Schatten-KI eindämmen: Ohne klare Regeln nutzen Beschäftigte eigenmächtig Tools, die IT und Compliance nicht kennen. Eine Richtlinie plus eine Positivliste geprüfter Werkzeuge holt diese Nutzung aus dem Graubereich.

Geistiges Eigentum und Haftung: Wer haftet, wenn ein KI-Ergebnis fehlerhaft ist oder Rechte Dritter verletzt? Ohne definierte Zuständigkeiten bleibt diese Frage offen – mit entsprechendem Risiko.

Transparenzpflichten: Ab dem 2. August 2026 greift die KI-Kennzeichnungspflicht nach dem EU AI Act. Eine interne Richtlinie ist der praktische Hebel, um sie im Alltag umzusetzen.

Was gehört in eine KI-Nutzungsrichtlinie?

Eine gute KI-Nutzungsrichtlinie ist kurz, verständlich und alltagstauglich – meist reichen wenige Seiten. Diese Bausteine sollten enthalten sein:

1. Zweck und Geltungsbereich: Wofür gilt die Richtlinie, und für wen? Definieren Sie, welche Abteilungen, Prozesse und KI-Systeme betroffen sind.

2. Freigegebene Tools: Eine gepflegte Positivliste („Diese Tools dürfen Sie nutzen“) ist praktikabler als ein endloser Verbotskatalog. Bevorzugen Sie Werkzeuge mit geschäftlichem Vertrag, bei denen Eingaben nicht zum Training verwendet werden. Private oder kostenlose Accounts für dienstliche Zwecke sollten Sie kritisch prüfen.

3. Datenregeln: Das ist der wichtigste Abschnitt. Legen Sie fest, welche Informationen niemals in ein nicht freigegebenes KI-Tool gehören – typischerweise personenbezogene Daten, Geschäftsgeheimnisse, Quellcode, unveröffentlichte Zahlen und Zugangsdaten. Datenklassen (öffentlich, intern, vertraulich, besonders schutzbedürftig) machen die Regeln alltagstauglich.

4. Prüfpflicht und Verantwortung: KI-Ergebnisse müssen vor der Verwendung inhaltlich geprüft werden. Die Verantwortung verbleibt bei der nutzenden Person.

5. Transparenz und Kennzeichnung: Regeln Sie, wann und wie KI-generierte Inhalte gekennzeichnet werden – abgestimmt auf die gesetzlichen Kennzeichnungspflichten.

6. Urheberrecht und geistiges Eigentum: Klären Sie, wie mit den Rechten an KI-Outputs umzugehen ist und dass Ergebnisse vor Veröffentlichung auf rechtliche Risiken geprüft werden.

7. Rollen und Ansprechpartner: Bestimmen Sie, wer für den KI-Einsatz verantwortlich ist – etwa eine KI-Compliance-Rolle, die Datenschutzbeauftragten oder ein interdisziplinäres Gremium.

8. Schulung, Verstöße und Aktualisierung: Halten Sie fest, wie Mitarbeitende geschult werden, welche Konsequenzen Verstöße haben und wann die Richtlinie überprüft wird.

In sechs Schritten zur Richtlinie

Die Erstellung muss nicht kompliziert sein. Dieses Vorgehen hat sich bewährt:

1. KI-Inventar erstellen: Erfassen Sie alle genutzten KI-Systeme – auch Tools, die einzelne Teams eigenständig einsetzen. Notieren Sie: welches System, wer nutzt es, wofür.
2. Bestehende Regelungen prüfen: Gleichen Sie Datenschutz-, IT-Sicherheits- und Arbeitsanweisungen ab, damit die Richtlinie anschlussfähig ist.
3. Stakeholder einbeziehen: Holen Sie IT, Datenschutz, Fachabteilungen und – falls vorhanden – den Betriebsrat an einen Tisch. Bei KI-Systemen, die Mitarbeitendendaten verarbeiten, besteht ein Mitbestimmungsrecht; ohne Beteiligung kann die Richtlinie unwirksam sein.
4. Richtlinie entwerfen: Formulieren Sie die acht Bausteine schlank und mit konkreten Beispielen.
5. Prüfen und freigeben: Lassen Sie den Entwurf fachlich und rechtlich prüfen, etwa durch die Datenschutzbeauftragten.
6. Kommunizieren und schulen: Führen Sie die Richtlinie mit einer Schulung ein und verankern Sie sie im Onboarding neuer Mitarbeitender.

Häufige Fehler dabei: nur eine Tool-Liste ohne Datenregeln, eine einmal erstellte und nie aktualisierte Richtlinie, fehlende Schulung und ein übergangener Betriebsrat.

Vorlage: KI-Nutzungsrichtlinie zum Anpassen

Die folgende Vorlage lässt sich direkt übernehmen und an Ihr Unternehmen anpassen. Ersetzen Sie die Platzhalter in eckigen Klammern und halten Sie das Dokument bewusst kurz.

KI-Nutzungsrichtlinie der [Unternehmensname]

1. Zweck und Geltungsbereich Diese Richtlinie regelt den verantwortungsvollen Einsatz von KI-Werkzeugen bei [Unternehmensname]. Sie gilt für alle Beschäftigten, die KI-Tools für dienstliche Aufgaben nutzen.

2. Freigegebene Tools Erlaubt sind ausschließlich die in der aktuellen Tool-Liste genannten Werkzeuge [z. B. Tool A, Tool B]. Bevorzugt werden Tools mit geschäftlichem Vertrag, bei denen Eingaben nicht zum Training verwendet werden. Private oder kostenlose Accounts sind für dienstliche Zwecke [nicht zulässig / nur nach Freigabe zulässig].

3. Datenregeln Folgende Informationen dürfen nicht in nicht freigegebene KI-Tools eingegeben werden: personenbezogene Daten von Kundschaft, Mitarbeitenden und Bewerbenden, Geschäftsgeheimnisse, Quellcode, Kalkulationen, unveröffentlichte Zahlen und Zugangsdaten. Faustregel: Was nicht offen per E-Mail an Externe ginge, gehört nicht in ein öffentliches KI-Tool.

4. Prüfpflicht und Verantwortung KI-Ergebnisse sind vor der Verwendung auf Richtigkeit, Plausibilität und Quellen zu prüfen. Die Verantwortung für das Ergebnis verbleibt bei der nutzenden Person.

5. Transparenz und Kennzeichnung KI-generierte Inhalte werden dort gekennzeichnet, wo dies gesetzlich vorgeschrieben ist. Zuständig für die Umsetzung ist [Rolle].

6. Urheberrecht und geistiges Eigentum Vor Veröffentlichung sind KI-Outputs auf rechtliche Risiken (z. B. Urheber- und Markenrechte) zu prüfen. Für die Rechte an KI-Ergebnissen gilt: [interne Regelung].

7. Rollen und Ansprechpartner Verantwortlich für Fragen zum KI-Einsatz ist [Rolle / Person / Gremium]. Bei Unsicherheit oder vor der Einführung neuer Tools wenden sich Beschäftigte an [Kontakt].

8. Schulung Alle Beschäftigten, die KI nutzen, werden zu dieser Richtlinie und zur KI-Kompetenz geschult – bei Einführung sowie mindestens [jährlich]. Neue Mitarbeitende werden im Onboarding informiert.

9. Verstöße Verstöße werden abgestuft und verhältnismäßig geahndet: [von der Ermahnung über die Abmahnung bis zu arbeitsrechtlichen Konsequenzen].

10. Inkrafttreten und Aktualisierung Diese Richtlinie tritt am [Datum] in Kraft und wird mindestens [jährlich] überprüft und aktualisiert. Verantwortlich ist [Rolle].

Diese Vorlage ist ein Ausgangspunkt und stellt keine Rechtsberatung dar. Da sich Regulierung und Technik schnell entwickeln, sollten Sie die Richtlinie an Ihre Situation anpassen und rechtlich prüfen lassen.

Fazit: Der erste Schritt zählt

Eine KI-Nutzungsrichtlinie muss nicht perfekt sein – sie muss existieren. Wer jetzt ein KI-Inventar erstellt, die wichtigsten Datenregeln festlegt und die Verantwortlichkeiten klärt, schafft in wenigen Tagen eine belastbare Grundlage und vermeidet spätere Nacharbeit unter Zeitdruck.

Entscheidend für die Wirkung ist die Schulung: Eine Richtlinie, die niemand kennt oder versteht, bleibt folgenlos. Der Aufbau von KI-Kompetenz ist deshalb nicht nur gesetzliche Pflicht, sondern der eigentliche Hebel. Wie sich solche Pflichtthemen effizient schulen lassen, zeigt unser Vergleich der Compliance-Schulungsanbieter.

Häufig gestellte Fragen

Seit dem 2. August 2026 gilt eine Pflicht, die viele Unternehmen unterschätzen: die KI-Kennzeichnungspflicht nach Artikel 50 des EU AI Act. Bestimmte KI-generierte Inhalte müssen seit diesem Stichtag erkennbar als solche markiert werden — von Chatbot-Interaktionen über KI-Bilder im Marketing bis zu Deepfakes und bestimmten KI-Texten.

Der weit verbreitete Irrtum: „Das betrifft nur große Tech-Konzerne.“ Tatsächlich trifft die KI-Kennzeichnungspflicht praktisch jedes Unternehmen, das generative KI einsetzt — vom Mittelständler mit KI-gestütztem Marketing bis zur Kanzlei mit Chatbot.

Seit dem 20. Juli 2026 liegen zudem die finalen Leitlinien der EU-Kommission zu Artikel 50 vor. Sie schaffen keine neuen Pflichten, entscheiden aber in vielen Grenzfällen darüber, ob ein Inhalt gekennzeichnet werden muss — und sie entlasten an einer zentralen Stelle deutlicher, als viele erwartet haben. Dieser Beitrag erklärt, wer betroffen ist, welche Inhalte unter die KI-Kennzeichnungspflicht fallen, welche Ausnahmen greifen und was für Bestandsinhalte gilt.

Was ist die KI-Kennzeichnungspflicht?

Die KI-Kennzeichnungspflicht ist Teil des EU AI Act (Verordnung (EU) 2024/1689), der ersten umfassenden gesetzlichen Regelung für Künstliche Intelligenz in Europa. Die Verordnung ist am 1. August 2024 in Kraft getreten und wird stufenweise umgesetzt. Die Transparenz- und Kennzeichnungspflichten sind in Artikel 50 des EU AI Act geregelt und seit dem 2. August 2026 anwendbar — 24 Monate nach Inkrafttreten.

Ziel ist Transparenz: Menschen sollen erkennen können, ob sie mit einer KI interagieren oder ob ein Inhalt künstlich erzeugt wurde. Damit will der Gesetzgeber Risiken wie Desinformation und Täuschung durch Deepfakes begrenzen.

Für die Auslegung sind zwei Dokumente maßgeblich. Der Code of Practice on Transparency of AI-generated Content liegt seit dem 10. Juni 2026 final vor; Ende Juli 2026 hatten ihn rund 190 Organisationen unterzeichnet. Wer unterzeichnet, kann sich auf die dort beschriebenen Maßnahmen als Compliance-Nachweis stützen. Wer einen anderen Weg wählt, muss die Angemessenheit der eigenen Maßnahmen gegenüber den Marktüberwachungsbehörden einzeln belegen. Ergänzend hat die Kommission die Leitlinien zu den Transparenzpflichten nach Artikel 50 vorgelegt (C(2026) 5054 final, inhaltlich gebilligt am 20. Juli 2026). Beide Dokumente sind rechtlich nicht bindend. Verbindlich auslegen kann die KI-Verordnung letztlich nur der Europäische Gerichtshof.

Wichtig zu wissen: Der viel diskutierte Digital Omnibus verschiebt diese Frist nicht. Die geplanten Fristverlängerungen betreffen ausschließlich Hochrisiko-KI-Systeme — etwa in der Personalauswahl oder Kreditvergabe. Die Transparenzpflichten aus Artikel 50 gelten unverändert seit dem 2. August 2026. Einen Überblick über alle Fristen und Stufen gibt der Beitrag zum EU AI Act.

Wer ist von der KI-Kennzeichnungspflicht betroffen?

Der EU AI Act unterscheidet zwei Rollen, und beide haben Pflichten:

• Anbieter: Unternehmen, die KI-Systeme entwickeln oder auf den Markt bringen — etwa Anbieter von Chatbots, Bildgeneratoren oder Sprachmodellen.
• Betreiber: Unternehmen, die ein KI-System unter eigener Verantwortung einsetzen, zum Beispiel in Marketing, Kundenservice oder HR.

Diese Trennung ist praktisch bedeutsam, weil sich die Pflichten scharf aufteilen. Anbieter tragen den Chatbot-Hinweis und die maschinenlesbare Markierung. Betreiber tragen die Offenlegung von Deepfakes und die Kennzeichnung von KI-Texten zu Themen öffentlichen Interesses. Marketing-, Content- und HR-Teams sind fast immer Betreiber — was bedeutet, dass ein großer Teil von Artikel 50 sie gar nicht trifft.

Ein Unternehmen kann beides gleichzeitig sein, etwa wenn es einen eigenen Chatbot auf Basis eines fremden KI-Modells anbietet.

Bei externen Dienstleistern kommt es auf die Entscheidungsmacht an. Wer eine Agentur beauftragt, ohne über deren KI-Einsatz zu entscheiden oder ihn zu kontrollieren, ist nach den Leitlinien kein Betreiber — die Pflicht liegt dann bei der Agentur. Umgekehrt bleibt das Unternehmen Betreiber, wenn Freelancer oder Dienstleister in seinem Auftrag und unter seiner Kontrolle arbeiten.

Die Regelung gilt nicht nur für Unternehmen mit Sitz in der EU, sondern für alle, deren KI-Inhalte auf dem europäischen Markt veröffentlicht oder bereitgestellt werden. Der rein private Einsatz ist ausgenommen.

Welche Inhalte müssen gekennzeichnet werden?

Artikel 50 enthält nicht eine, sondern vier Pflichtenkreise, die sich je nach KI-Einsatz und Rolle unterscheiden.

1. Chatbots und KI-Interaktion (Anbieterpflicht)

Systeme, die für die direkte Interaktion mit Menschen bestimmt sind — Chatbots, Voicebots, virtuelle Assistenten —, müssen so gestaltet sein, dass Personen erkennen können, dass sie mit einer KI interagieren und nicht mit einem Menschen.

Der Hinweis muss vom Anbieter im System angelegt sein. Ein Blick auf den eigenen Website-Chatbot lohnt trotzdem: Sichtbar sein muss der Hinweis tatsächlich, und zwar bei der ersten Interaktion.

2. Maschinenlesbare Markierung KI-generierter Inhalte (Anbieterpflicht)

Anbieter generativer KI-Systeme, die Texte, Bilder, Audio- oder Videodateien erzeugen, müssen die Ergebnisse in einem maschinenlesbaren Format markieren — etwa durch Wasserzeichen oder Metadaten —, sodass sie als künstlich erzeugt erkennbar sind.

Diese Pflicht gilt seit dem 2. August 2026. Für generative Systeme, die zu diesem Zeitpunkt bereits auf dem Markt waren, gibt es eine begrenzte Nachfrist bis zum 2. Dezember 2026 — ausschließlich für die maschinenlesbare Markierung. Bei Systemen, die teils interaktiv und teils generativ sind, war der Chatbot-Hinweis auch dort ab dem 2. August fällig.

Für Marketing- und Content-Teams ist dieser Pflichtenkreis nachrangig: Wasserzeichen und Metadaten sind Sache der Tool-Anbieter. In eigene Dateien muss nichts eingebettet werden.

3. Deepfakes: Bild, Audio und Video (Betreiberpflicht)

Betreiber, die mit KI Deepfakes erzeugen oder manipulieren, müssen die künstliche Herkunft offenlegen. Der Begriff ist im EU AI Act deutlich weiter gefasst als in der öffentlichen Wahrnehmung.

Nach den Leitlinien müssen vier Kriterien zusammen erfüllt sein: eine erkennbare Ähnlichkeit zu einem Motiv, ein Gezeigtes, das existiert oder plausibel existieren könnte, ein Bezug auf Personen, Gegenstände, Orte, Einrichtungen oder Ereignisse — und die Eignung, über die Echtheit zu täuschen.

Zwei Punkte werden dabei regelmäßig unterschätzt: Eine Täuschungsabsicht ist nicht erforderlich, und dass eine Person frei erfunden ist, entlastet nicht — ein fotorealistisch generiertes Gesicht erfüllt das Existenzkriterium bereits, weil ein solcher Mensch existieren könnte.

Damit fallen deutlich mehr Bildmotive unter die Pflicht, als der Begriff „Deepfake“ vermuten lässt, gerade im Marketing. Ein offensichtlich stilisiertes Logo, eine Illustration oder ein Comic-Mockup dagegen nicht. Welche Motive konkret betroffen sind und wie sich das in einer Bildstrecke prüfen lässt, zeigt der Beitrag zur Kennzeichnung von KI-Bildern im Marketing.

4. KI-generierte Texte von öffentlichem Interesse (Betreiberpflicht)

Betreiber, die KI-generierte Texte veröffentlichen, um die Öffentlichkeit über Angelegenheiten von öffentlichem Interesse zu informieren, müssen diese kennzeichnen. Drei Voraussetzungen müssen zusammen erfüllt sein:

• Veröffentlicht: Der Text ist für einen unbestimmten, größeren Kreis unverbundener Leserinnen und Leser zugänglich. Ein Abonnement oder eine Bezahlschranke schließt das nicht aus.
• Die Öffentlichkeit informierend: Der Text vermittelt Wissen, Meinungen oder Fakten. Kurze Textbausteine ohne substanziellen Informationsgehalt genügen nicht.
• Angelegenheit von öffentlichem Interesse: Politik und demokratische Prozesse, öffentliche Verwaltung und Daseinsvorsorge, Justiz, Grundrechte, öffentliche Sicherheit und Gesundheit, Umweltschutz, Verbrauchersicherheit sowie wirtschaftliche, finanzielle, wissenschaftliche oder kulturelle Entwicklungen, die Gegenstand öffentlicher Debatte sein können.

Interne Unternehmenskommunikation, Intranet-Beiträge und Korrespondenz in geschlossenen Gruppen fallen heraus. Klassische Werbetexte und Produktbeschreibungen ebenfalls — aber nicht, sobald sie Aussagen zu Gesundheit, Verbrauchersicherheit oder Nachhaltigkeit enthalten. Auch Nachhaltigkeits- und Investorenberichte auf der eigenen Website fallen in den Anwendungsbereich, und ein Newsletter mit großem, offenem Verteiler ist wie ein Blog zu behandeln.

Ergänzend gilt: Betreiber von Systemen zur Emotionserkennung oder biometrischen Kategorisierung müssen die betroffenen Personen darüber informieren.

Wie muss eine KI-Kennzeichnung aussehen?

Pflichtformulierungen schreibt die Verordnung nicht vor. Maßgeblich sind drei Anforderungen: Der Hinweis muss klar, unterscheidbar und spätestens beim ersten Kontakt wahrnehmbar sein.

Klar heißt wahrnehmbar, verständlich und zugänglich. Unterscheidbar heißt, dass der Hinweis leicht als eigenständige Information vom übrigen Inhalt und vom Umfeld abgrenzbar ist. Nicht ausreichend ist alles, was unter normalen Bedingungen leicht übersehen wird — versteckt in Menüs, im Handbuch oder in Nutzungsbedingungen.

Nicht ausreichend sind ein pauschaler Sammelhinweis im Footer oder in den Nutzungsbedingungen, ein Vermerk ausschließlich in Bildrechten oder im Impressum, die Wasserzeichen und Metadaten des Generators allein sowie Hinweise, die erst nach Klick, Hover oder Aufklappen sichtbar werden. Die Leitlinien stellen ausdrücklich klar, dass Betreiber sich nicht auf die maschinenlesbare Markierung des Anbieters berufen können — sie ist für Menschen nicht wahrnehmbar.

Zum Code of Practice hat die Kommission außerdem einen Satz offizieller Kennzeichnungs-Icons bereitgestellt. Deren Verwendung ist freiwillig; die Anforderungen aus Artikel 50 bleiben in jedem Fall verpflichtend.

Wie sich Hinweis, Alternativtext und Ausspielung über mehrere Kanäle praktisch lösen lassen, behandelt der Beitrag zur Kennzeichnung von KI-Bildern im Marketing.

Welche Ausnahmen gibt es?

Nicht jeder KI-Einsatz muss gekennzeichnet werden. Der EU AI Act und die Leitlinien sehen mehrere Ausnahmen vor:

• Unterstützende Funktionen und Standardbearbeitung: Übernimmt die KI nur Aufgaben wie Grammatik- oder Rechtschreibkorrektur, Farbkorrektur, Retusche oder Freistellen und verändert die Aussage nicht wesentlich, ist keine Kennzeichnung nötig.
• Offensichtliche KI-Interaktion: Bei Chatbots entfällt der Hinweis, wenn für eine durchschnittlich informierte Person ohnehin offensichtlich ist, dass sie mit einer KI spricht. Diese Ausnahme ist rechtlich schwer einzuschätzen und sollte vorsichtig genutzt werden.
• Physisch Unmögliches: Inhalte, die nicht plausibel existieren könnten, sind keine Deepfakes.
• Künstlerische Werke: Bei Deepfakes, die Teil eines offensichtlich künstlerischen, kreativen, satirischen oder fiktionalen Werks sind, entfällt die Pflicht nicht, darf die Kennzeichnung aber so erfolgen, dass sie Darstellung und Genuss des Werks nicht beeinträchtigt. Die Leitlinien legen die Kategorien eng aus: Vermischen sich informativer und kreativer Charakter, setzt sich der informative durch.

Wann entfällt die Kennzeichnungspflicht bei KI-Texten?

Die praktisch wichtigste Ausnahme ist die redaktionelle Kontrolle. Sie greift nur, wenn vier Punkte zusammen erfüllt sind:

• Inhaltliche Prüfung: Eine Person mit einschlägigem Fachwissen und fachlichem Urteilsvermögen prüft den Text bewusst inhaltlich; ein Faktencheck ist Mindestanforderung. Alternativ genügt die tatsächlich ausgeübte Kontrolle einer verantwortlichen redaktionellen Instanz.
• Änderungsbefugnis: Diese Person oder Instanz kann den Text inhaltlich ändern oder ablehnen.
• Benannte Verantwortung: Eine natürliche oder juristische Person trägt die letztverantwortliche rechtliche Verantwortung für die Veröffentlichung. Identität und Kontaktdaten dieser Person oder Funktion sollen öffentlich und leicht auffindbar sein, etwa im Impressumsbereich oder in den Nutzungsbedingungen. Ein Häkchen im CMS genügt nicht.
• Keine KI nach der Freigabe: Wird der Text nach der redaktionellen Freigabe noch substanziell mit KI verändert, ergänzt oder umformuliert, entfällt die Ausnahme wieder.

Nicht ausreichend sind oberflächliche, rein formale oder prozedurale Prüfungen: Rechtschreibkorrektur, das bloße Vorhandensein einer Redaktionsrichtlinie, automatisierte Prüfprozesse und flüchtige Freigaben ohne inhaltliche Auseinandersetzung. Besonders relevant für Content-Teams ist der letzte Punkt: Der typische Ablauf „Redaktion gibt frei, danach läuft das SEO-Tool drüber“ macht die Entlastung zunichte. Die KI-Arbeit gehört vor die Freigabe.

Entscheidend ist außerdem: Diese Ausnahme gilt ausschließlich für Texte. Bei Bild, Video und Audio hilft sie nicht. Ein Deepfake bleibt kennzeichnungspflichtig, egal wie gründlich ihn jemand freigegeben hat.

Gilt die KI-Kennzeichnungspflicht für bestehende Inhalte?

Hier liegt die praktisch wichtigste Entlastung — und die Leitlinien behandeln Bild und Text unterschiedlich.

Bei Bild, Video und Audio zählt das Erzeugungsdatum. Inhalte, die vor dem 2. August 2026 erzeugt oder manipuliert wurden, müssen nicht nachträglich gekennzeichnet werden. Das gilt auch dann, wenn sie weiterhin online stehen, und nach dem Wortlaut auch, wenn sie später erneut ausgespielt werden. Die Leitlinien empfehlen eine freiwillige Kennzeichnung vorhandener unmarkierter Deepfakes, erwarten dafür aber ausdrücklich keinen unverhältnismäßigen Aufwand — als Beispiele für Unverhältnismäßigkeit nennen sie das Auditieren bestehender Content-Datenbanken und das Ändern bereits gedruckter Verpackungen.

Bei Texten zählt das Veröffentlichungsdatum. Ein Text, der vor dem Stichtag KI-generiert wurde, aber am oder nach dem 2. August erscheint, ist kennzeichnungspflichtig. Bei vorproduzierten Redaktionsplänen lohnt eine Prüfung.

Zwei Einschränkungen sollten Unternehmen kennen. Wer ein Altbild nach dem Stichtag erneut wesentlich mit KI bearbeitet, erzeugt ein neues Manipulationsdatum — dann greift der Bestandsschutz nicht mehr. Und das Erzeugungsdatum wird zur Beweisfrage: Wer sich darauf beruft, sollte belegen können, wann ein Bild entstanden ist. Ein entsprechendes Feld in der Mediendatenbank kostet wenig und erspart später Diskussionen.

Was passiert bei Verstößen?

Verstöße gegen die Kennzeichnungspflichten nach Artikel 50 fallen unter die Sanktionsregeln des EU AI Act. Nach Artikel 99 Absatz 4 betragen die Bußgelder bis zu 15 Millionen Euro oder 3 Prozent des weltweiten Jahresumsatzes — je nachdem, welcher Betrag höher ist. Für kleine und mittlere Unternehmen sowie Start-ups gilt nach Artikel 99 Absatz 6 der jeweils niedrigere der beiden Beträge.

Ein Hinweis zur Einordnung: Die häufig zitierten 35 Millionen Euro beziehungsweise 7 Prozent betreffen ausschließlich die verbotenen KI-Praktiken nach Artikel 5, nicht die Transparenzpflichten. Wer beide Zahlenreihen vermischt, verzerrt die eigene Risikobewertung.

Neben dem Bußgeld gibt es ein zweites, oft unterschätztes Risiko: den Vertrauensverlust. Wer KI-Inhalte verschleiert und dabei ertappt wird, riskiert Glaubwürdigkeit bei Kundschaft und Öffentlichkeit — ein Schaden, der sich schwerer reparieren lässt als eine Geldbuße.

Hinzu kommen Risiken außerhalb von Artikel 50. Ein KI-Inhalt, der über Produkt oder Leistung in die Irre führt, bleibt wettbewerbsrechtlich angreifbar, auch mit Hinweis. Und wo KI-Ausgaben reale Personen erkennbar nachbilden, kommen Persönlichkeitsrechte ins Spiel — die Kennzeichnung heilt das nicht.

Checkliste: Wie setzen Sie die KI-Kennzeichnungspflicht um?

Die Anforderungen sind überschaubar, wenn man sie systematisch angeht. Diese Schritte deckt die Umsetzung ab:

• KI-Inventar erstellen: Erfassen Sie alle eingesetzten KI-Systeme — auch KI-Funktionen, die in bestehende Tools integriert sind. Welche generieren oder manipulieren Inhalte?
• Rollen klären: Ist Ihr Unternehmen bei diesen Systemen Anbieter, Betreiber oder beides? Danach richten sich die konkreten Pflichten. Prüfen Sie dabei auch Agentur- und Freelancer-Konstellationen.
• Inhalte einordnen: Prüfen Sie für jeden KI-Output, ob er unter einen der vier Pflichtenkreise fällt — Chatbot, maschinenlesbare Markierung, Deepfake oder Text von öffentlichem Interesse.
• Erzeugungsdatum dokumentieren: Legen Sie ein Feld für das Erzeugungsdatum in der Mediendatenbank an. Es entscheidet bei Bildern über den Bestandsschutz.
• Bildsprache entscheiden: Klären Sie grundsätzlich, ob Sie fotorealistisch arbeiten und kennzeichnen — oder auf einen erkennbar illustrativen Stil umstellen und die Einzelfallprüfung damit vermeiden.
• Standardformulierung und Icon festlegen: Hinterlegen Sie eine gleichbleibende Formulierung und ein Icon in allen CMS- und Social-Templates. Die Kommission stellt zum Code of Practice offizielle Icons bereit.
• Redaktions-Workflow dokumentieren: Halten Sie für KI-Texte fest, wer die inhaltliche Prüfung vornimmt und die Verantwortung trägt — und stellen Sie sicher, dass nach der Freigabe keine KI mehr an den Text geht.
• Verträge und Prozesse anpassen: Regeln Sie Agentur- und Freelancer-Klauseln, CMS-Dokumentation und Zuständigkeiten für nutzergenerierte Inhalte. Eine KI-Nutzungsrichtlinie bündelt diese Vorgaben an einer Stelle.
• Mitarbeitende schulen: Sensibilisieren Sie Ihr Team für die KI-Kennzeichnungspflicht und bauen Sie allgemeine KI-Kompetenz auf — seit Februar 2025 ohnehin eine Pflicht nach Artikel 4 des EU AI Act. Passende Formate finden Sie unter KI-Schulungen.

Fazit: Umsetzen statt abwarten

Die KI-Kennzeichnungspflicht ist keine ferne Regulierung für Tech-Konzerne, sondern eine Pflicht, die seit dem 2. August 2026 fast jedes Unternehmen mit generativer KI betrifft. Die Leitlinien der Kommission haben viele Grenzfälle geklärt, und die Logik lässt sich in zwei Sätzen zusammenfassen: Bei Bildern entscheidet, ob jemand getäuscht werden könnte. Bei Texten entscheidet, ob sie die Öffentlichkeit zu einem gesellschaftlichen Thema informieren — und ob ein Mensch die Verantwortung dafür übernommen hat.

Der Aufwand fällt dabei überwiegend einmalig an: KI-Inventar, benannte Zuständigkeiten, ein Feld für das Erzeugungsdatum, eine Entscheidung zur Bildsprache und hinterlegte Templates. Wer diese fünf Punkte geklärt hat, muss nicht in jedem Einzelfall neu diskutieren.

Ein zentraler Baustein bleibt die Schulung der Mitarbeitenden: Sie müssen wissen, wann ein Inhalt gekennzeichnet werden muss und wie KI im Unternehmen rechtskonform eingesetzt wird. Wie sich Pflichtthemen wie dieses effizient und nachweisbar schulen lassen, zeigt der Vergleich der Compliance-Schulungsanbieter.

Dieser Beitrag gibt den Stand vom August 2026 wieder und ersetzt keine Rechtsberatung. Grundlage sind Artikel 50 der Verordnung (EU) 2024/1689 sowie die Leitlinien der Europäischen Kommission zur Umsetzung der Transparenzpflichten, C(2026) 5054 final vom 20. Juli 2026. Die Leitlinien sind ausdrücklich nicht bindend; eine verbindliche Auslegung kann letztlich nur der Europäische Gerichtshof geben. Konkrete Einzelfragen sollten Unternehmen mit ihrer Rechtsabteilung oder einer Fachanwältin bzw. einem Fachanwalt klären.ben. Konkrete Einzelfragen sollten Unternehmen mit ihrer Rechtsabteilung oder einer Fachanwältin bzw. einem Fachanwalt klären.

Häufig gestellte Fragen

Phishing erkennen zu können, entscheidet im Ernstfall über Sicherheit oder Schaden – denn eine einzige unbedachte Handlung genügt, damit aus einer Phishing-Mail ein echtes Problem wird. Die gute Nachricht: Die meisten Angriffe lassen sich an klaren Merkmalen erkennen, wenn man weiß, worauf zu achten ist. Dieser Beitrag zeigt Ihnen mit einer praktischen Checkliste, woran Sie Phishing erkennen und was im Ernstfall zu tun ist.

Woran erkennt man Phishing? Die wichtigsten Merkmale

Phishing erkennen Sie am schnellsten, wenn Sie auf typische Warnsignale achten. Das Bundesamt für Sicherheit in der Informationstechnik beschreibt in seiner Übersicht Wie erkenne ich Phishing in E-Mails und auf Webseiten? mehrere Merkmale. Werden Sie misstrauisch, wenn eine Nachricht eines oder mehrere dieser Kennzeichen aufweist:

• Dringender Handlungsdruck: „nur noch heute“, „sofort bestätigen“, knappe Fristen.
• Drohungen: angebliche Kontosperrung, Mahngebühren oder rechtliche Konsequenzen.
• Abfrage vertraulicher Daten: Passwörter, PINs, TANs oder Zahlungsdaten sollen eingegeben werden.
• Links oder Formulare: Sie werden zu einer Seite geleitet, die Ihre Daten abfragt.
• Bekannter Absender, ungewöhnliches Anliegen: Die Nachricht wirkt vertraut, die Bitte passt aber nicht zum gewohnten Ablauf.
• Unpersönliche Anrede: „Sehr geehrter Kunde“ statt Ihres Namens (nicht zwingend, aber häufig).

Ein wichtiger Hinweis: Verlassen Sie sich nicht allein auf Rechtschreibfehler. Früher waren holprige Formulierungen ein verlässliches Indiz – heute erstellen Angreifer mithilfe von KI oft fehlerfreie, professionell wirkende Nachrichten. Fehlende Fehler bedeuten also nicht, dass eine Mail echt ist.

Wie prüft man die Absenderadresse?

Wer Phishing erkennen will, prüft zuerst die tatsächliche Absenderadresse – nicht nur den angezeigten Namen. Angreifer setzen einen vertrauenswürdigen Anzeigenamen (etwa „Ihre Bank“ oder den Namen einer Führungskraft), während die dahinterliegende Adresse ganz anders lautet.

So gehen Sie vor:

• Lassen Sie sich die vollständige E-Mail-Adresse anzeigen, nicht nur den Namen.
• Achten Sie auf Tippfehler-Domains wie „amaz0n.de“ oder „paypa1.com“.
• Prüfen Sie, ob die Domain zum angeblichen Absender passt – seriöse Unternehmen schreiben nicht von kostenlosen Freemail-Adressen.

Wichtig: Auch die Absenderadresse lässt sich fälschen (Spoofing). Sie ist ein starkes, aber kein alleiniges Kriterium – prüfen Sie im Zweifel weitere Merkmale.

Wie erkennt man gefährliche Links?

Der gefährlichste Klick ist der auf einen manipulierten Link. Beim Phishing erkennen ist der Blick auf Links deshalb entscheidend – prüfen Sie jeden Link, bevor Sie ihn anklicken:

Im Zweifel manuell aufrufen: Öffnen Sie die betreffende Seite über die offizielle App oder durch direkte Eingabe der Adresse im Browser – nie über den Link in der Nachricht.

Zieladresse anzeigen: Am Computer den Mauszeiger über den Link bewegen (nicht klicken), am Smartphone den Link gedrückt halten. Die tatsächliche Zieladresse wird eingeblendet.

Echte Domain lesen: Entscheidend ist der Teil direkt vor dem ersten einzelnen Schrägstrich. Bei „paypal.com.sicher-login.ru/…“ ist die echte Domain „sicher-login.ru“ – nicht PayPal.

Vorsicht bei Kurz-URLs: Verkürzte Links (z. B. bit.ly) verschleiern das eigentliche Ziel.

Wie geht man mit verdächtigen Anhängen um?

Anhänge sind ein beliebter Weg, um Schadsoftware zu verbreiten. Besonders vorsichtig sollten Sie bei unerwarteten Anhängen sein – auch wenn der Absender bekannt erscheint.

Warnsignale sind:

• Anhänge, die Sie nicht angefordert haben.
• Ausführbare Dateien und potenziell gefährliche Formate.
• Office-Dokumente, die zum Aktivieren von Makros auffordern.
• Ein Anhang als einziger Inhalt einer sonst nichtssagenden Mail.

Öffnen Sie im Zweifel keinen Anhang, sondern fragen Sie beim Absender über einen separaten, bekannten Kanal nach – etwa telefonisch.

Wie erkennt man Phishing per SMS, Anruf und QR-Code?

Phishing beschränkt sich längst nicht mehr auf E-Mails. Dieselben Prinzipien gelten auch für andere Kanäle:

• Smishing (SMS): unerwartete Kurznachrichten mit Links, etwa zu angeblichen Paketproblemen. Links aus SMS grundsätzlich nicht öffnen.
• Vishing (Anruf): angebliche Support- oder Bankmitarbeitende, die am Telefon nach Daten fragen. Seriöse Stellen fragen nie telefonisch nach Passwörtern – im Zweifel auflegen und offiziell zurückrufen.
• Quishing (QR-Code): QR-Codes aus unerwarteten Quellen oder überklebte Codes führen auf gefälschte Seiten. Vor dem Öffnen die eingeblendete Adresse prüfen.

Eine ausführliche Erklärung aller Varianten finden Sie im Beitrag Phishing-Arten im Überblick.

Was tun, wenn man eine Phishing-Mail erkannt hat?

Haben Sie eine Nachricht als Phishing entlarvt, gilt: Ruhe bewahren und richtig reagieren.

1. Nicht klicken, nicht antworten und keine Anhänge öffnen – auch nicht auf „Abmelden“-Links.
2. Im Unternehmen an die IT melden: Nur so können weitere Beschäftigte gewarnt werden. Eine offene Meldekultur ist entscheidend.
3. Privat weiterleiten und löschen: Verdächtige Mails können Sie an das Phishing-Radar der Verbraucherzentrale weiterleiten und anschließend entfernen.

Und falls doch geklickt wurde? Kein Grund zur Panik, aber schnelles Handeln: keine weiteren Daten eingeben, betroffene Passwörter ändern, die IT informieren und – bei Zahlungsdaten – die Bank kontaktieren.

Wie erkennen Unternehmen Phishing zuverlässig?

Im Unternehmen reicht es nicht, wenn Einzelne Phishing erkennen – es müssen möglichst alle die Muster kennen. Technische Filter fangen viele Angriffe ab, aber nie alle. Die zuverlässigste Erkennung entsteht aus dem Zusammenspiel von drei Faktoren:

Eine offene Meldekultur, in der das Melden verdächtiger Nachrichten selbstverständlich und erwünscht ist – eingebettet in ein umfassendes Security Awareness Training.

Regelmäßige Sensibilisierung statt einmaliger Schulung. Wie das gelingt, zeigt der Beitrag Phishing-Schulung für Mitarbeitende.

Realistisches Üben durch Phishing-Simulationen, die das Erkennen unter echten Bedingungen trainieren.

Fazit: Erkennen ist die halbe Miete

Phishing erkennen ist keine Frage von Spezialwissen, sondern von Aufmerksamkeit für wiederkehrende Muster: Dringlichkeit, ungewöhnliche Absender, verdächtige Links und Datenabfragen. Wer bei diesen Signalen kurz innehält und über einen zweiten Kanal prüft, entzieht den meisten Angriffen die Grundlage.

Damit dieses Wissen im Arbeitsalltag auch abrufbar bleibt, braucht es Übung. Mit reteach Phishing Awareness trainieren Sie das Erkennen realistisch: kurze Lerneinheiten und echte Phishing-Simulationen mit sofortiger Aufklärungsseite – datenschutzfreundlich gestaltet, mit auditfähigem Nachweisbeitrag und als eigenständige Komplettlösung mit und ohne reteach LMS nutzbar.

👉 reteach Phishing Awareness kennenlernen oder direkt eine Live-Demo vereinbaren.

Häufig gestellte Fragen