Forensik-Arbeitsplatz mit ausgebauten Festplatten in Antistatikbeuteln und angeschlossenem Sicherungsgerät (Symbolbild, KI-generiert)

Interne Untersuchungen im Unternehmen: Ablauf, Rechtsgrundlagen und anwaltliche Durchführung

16. September 202515 Min.

Symbolbild, KI-generiert

Stand: Oktober 2026Zuletzt geprüft: 06.10.2026Nächste Überprüfung: Oktober 2027

AUF EINEN BLICK

Eine interne Untersuchung ist die eigenverantwortliche Aufklärung eines Verdachts auf Rechtsverstöße durch das Unternehmen selbst, regelmäßig durch beauftragte Rechtsanwälte. Die Aufklärungspflicht folgt aus §§ 91, 93 AktG, § 43 GmbHG und § 130 OWiG. Sofortmaßnahmen in den ersten Stunden: externes Mandat, Legal Hold, Rechtsgrundlage für die Datenauswertung, keine Mitarbeiterkommunikation mit Behörden ohne Abstimmung. Kein automatischer Beschlagnahmeschutz: Unterlagen aus internen Untersuchungen sind nach der vom BVerfG gebilligten fachgerichtlichen Auslegung nur geschützt, wenn das Unternehmen Beschuldigter oder beschuldigtenähnlich ist (BVerfG, Beschl. v. 27.06.2018 – 2 BvR 1405/17).

Ein Hinweis über die Meldestelle, ein auffälliger Revisionsbefund, die Ankündigung einer Durchsuchung: Der Verdacht steht im Raum, und die Unternehmensleitung muss handeln. Dieser Leitfaden beschreibt, wie eine interne Untersuchung abläuft — von der Sofortreaktion über die fünf Phasen bis zu den Rechten der Betroffenen und der Rechtsprechung, die den Rahmen setzt.

Verdachtsfall im Unternehmen: die ersten 48 Stunden

Die Entscheidungen der ersten beiden Tage bestimmen, ob die Untersuchung später trägt. Sechs Maßnahmen stehen am Anfang.

Externe Strafverteidiger beauftragen, bevor Befragungen beginnen. Der Beschlagnahmeschutz für Untersuchungsunterlagen ist nicht gewährleistet, wenn die beauftragten Anwälte das Unternehmen beraten, ohne dass dieses Beschuldigter oder beschuldigtenähnlich ist. Mandatsbezogene Kommunikation zwischen einem Beschuldigten und seinem eigenen Verteidiger ist dagegen nach § 97 Abs. 1 Nr. 1 StPO geschützt.
Legal Hold sofort anordnen. Schriftliche Weisung an alle potenziell betroffenen Personen: E-Mails, Chatverläufe, Buchungsbelege und Zutrittsprotokolle dürfen nicht gelöscht, verändert oder überschrieben werden. Ein Verstoß kann eigenständig strafbar sein — bei Urkunden nach § 274 StGB, bei elektronisch gespeicherten Daten nach § 303a StGB, bei Verdeckungshandlungen zugunsten Dritter zusätzlich nach §§ 257, 258 StGB.
Rechtsgrundlage für die Datenauswertung klären. Vor der ersten Auswertung ist der Verdacht zu dokumentieren. Die Auswertung wird auf Art. 6 Abs. 1 lit. f DSGVO gestützt; die Kriterien des § 26 Abs. 1 S. 2 BDSG bleiben der Maßstab der Interessenabwägung, seit das Bundesarbeitsgericht § 26 Abs. 1 Satz 1 BDSG für unanwendbar erklärt hat (BAG, Urt. v. 08.05.2025 – 8 AZR 209/21). Bei systematischer Auswertung von Kommunikationsdaten kommt eine Datenschutz-Folgenabschätzung nach Art. 35 DSGVO hinzu.
Interne Kommunikation zur Sache einstellen. Nachrichten über Slack, Teams oder E-Mail zum Untersuchungsgegenstand sind beschlagnahmefähig und legen die Strategie offen. Abstimmungen laufen über den externen Verteidiger.
Keine Erstbefragung durch HR oder Compliance. Informelle Klärungsgespräche fixieren eine Version, bevor die Rechtslage steht, setzen den Betroffenen unter Druck und erzeugen Verwertungsprobleme für das spätere Verfahren.
Behördenkontakte ausschließlich über den externen Verteidiger. Jede Reaktion auf eine Anfrage von Staatsanwaltschaft, BaFin oder Kartellamt gilt als inhaltliche Stellungnahme des Unternehmens — auch die telefonische.

Der häufigste Fehler in der Akutsituation ist das klärende Gespräch: HR oder der Compliance Officer sprechen den Betroffenen unmittelbar nach Eingang des Hinweises an, ohne Mandat, ohne Rechtsgrundlage, ohne Belehrungskonzept. Das Gespräch ist nicht geschützt und kann beschlagnahmt werden. Die Reihenfolge der Schritte in den ersten 48 Stunden entscheidet über den späteren Beschlagnahmeschutz.

Was ist eine interne Untersuchung — und wann ist sie erforderlich?

Eine interne Untersuchung (englisch Internal Investigation) ist keine staatliche Ermittlung, sondern ein strukturierter, dokumentierter Prozess, mit dem ein Unternehmen einen Verdacht auf Fehlverhalten eigenverantwortlich aufklärt — vor, während oder nach dem Einschalten staatlicher Behörden. Ein eigenes Gesetz regelt sie im deutschen Recht nicht.

Die Aufklärungspflicht folgt aus der Legalitätspflicht der Unternehmensleitung (§§ 76 Abs. 1, 93 Abs. 1 AktG; § 43 Abs. 1 GmbHG) und der Überwachungspflicht nach § 91 Abs. 2 AktG. Bei hinreichenden Verdachtsmomenten besteht für das „Ob“ regelmäßig kein Ermessen; die Rechtsprechung spricht von der Pflichtentrias Aufklären – Abstellen – Ahnden. Das „Wie“ unterliegt der Business Judgment Rule (§ 93 Abs. 1 S. 2 AktG). Wird die Pflicht verletzt, haftet die Leitung persönlich, und die Beweislast kehrt sich um (§ 93 Abs. 2 S. 2 AktG, für die GmbH entsprechend; Haftung nach § 43 Abs. 2 GmbHG); das Landgericht München I hat das im Neubürger-Urteil konkretisiert (LG München I, Urt. v. 10.12.2013 – 5 HK O 1387/10).

Erforderlich ist eine interne Untersuchung typischerweise, wenn über das Hinweisgebersystem ein Hinweis auf strafrechtlich relevantes Verhalten eingeht, wenn Revisions- oder Forensikbefunde auf systematische Unregelmäßigkeiten deuten, wenn Behörden Ermittlungen einleiten oder ankündigen, wenn eine Durchsuchung stattgefunden hat, wenn belastendes Material nach außen getragen wird oder wenn das Unternehmen kooperieren will, um eine Bußgeldminderung zu erreichen.

Welche Entscheidungen dabei rechtlich zu treffen sind — Zuständigkeit, Rechtsgrundlage, Fristen, Aufbau des Abschlussberichts — behandelt der Beitrag Interne Untersuchung durchführen: Rechtsgrundlagen, Fristen und Beweiswert.

Wie läuft eine interne Untersuchung ab? Die fünf Phasen

Eine professionell geführte Untersuchung gliedert sich typischerweise in fünf Phasen. Die Zeitangaben sind Erfahrungswerte, keine Vorgaben.

Phase 1: Initialanalyse und Mandatserteilung (Tag 1–3)

Sobald ein Verdacht besteht, wird ein externes Anwaltsteam mandatiert. Das Mandat sollte schriftlich erteilt werden und die Verteidigungs- beziehungsweise Beratungskomponente ausdrücklich benennen. Die eigene Rechtsabteilung kann aufklären, koordinieren und dokumentieren, aber keine Verteidigerrolle übernehmen: Nach § 46c Abs. 2 S. 2 BRAO dürfen Syndikusrechtsanwälte in Straf- oder Bußgeldverfahren gegen ihren Arbeitgeber oder dessen Mitarbeiter nicht als Verteidiger oder Vertreter tätig werden. Welche Kanzlei die Untersuchung führen sollte und warum Untersuchungsführung und Verteidigung getrennt gehören, behandelt der Beitrag Anwalt für interne Untersuchungen.

Phase 2: Beweissicherung und Legal Hold (Tag 1–5)

Parallel zur Mandatserteilung wird der Legal Hold ausgesprochen und die forensische Sicherung veranlasst: E-Mails, Messengerdaten, Buchhaltungsbelege, Reisekostenabrechnungen. Zu den strafrechtlichen Grenzen der Auswertung im Beschäftigungsverhältnis informiert der Beitrag Strafbarkeit der Arbeitnehmerüberwachung.

Phase 3: Dokumentenanalyse und Forensik (Woche 1–4)

Aus den gesicherten Daten wird der Sachverhalt rekonstruiert; IT-Forensiker und Wirtschaftsprüfer kommen je nach Komplexität hinzu. Der Grundsatz der Datenminimierung verlangt ein zweistufiges Vorgehen: erst automatisierte Stichwortsuche, dann Sichtung der Treffer. Eine anlasslose Vollauswertung aller Postfächer ist unzulässig. Die Einzelheiten behandeln die Beiträge zur E-Mail- und Diensthandy-Auswertung und zu eDiscovery.

Phase 4: Mitarbeiterbefragungen (Woche 2–6)

Befragungen folgen einem festen Protokoll und beginnen mit der Information über Rechte und Pflichten. Werden technische Einrichtungen eingesetzt, die zur Verhaltens- oder Leistungskontrolle geeignet sind, greift das Mitbestimmungsrecht des Betriebsrats nach § 87 Abs. 1 Nr. 6 BetrVG. Aktuell dazu der Beitrag Compliance-Abschlussbericht und Einsichtsrecht in die Personalakte.

Phase 5: Bericht und Maßnahmen (Woche 6–12)

Der Abschlussbericht dokumentiert Sachverhalt, Bewertung und Empfehlungen. Er ist Grundlage für arbeitsrechtliche Maßnahmen, für eine Strafanzeige oder für die Kooperation mit Behörden — und er ist das Dokument, an dem die Untersuchung später gemessen wird. Sein Aufbau sollte deshalb von Beginn an trennbar sein: Tatsachenfeststellungen, personenbezogene Daten, rechtliche Würdigung und Hinweise an den Auftraggeber. Die ersten Schritte beschreibt der Beitrag MeToo-Untersuchung im Unternehmen.

Welche Verfahrensordnung Unternehmen dafür vorhalten sollten, zeigt der Beitrag Interne Compliance-Ermittlungen: Verfahrensordnung. Ob die Untersuchungskosten auf den betroffenen Arbeitnehmer abgewälzt werden können, behandelt der Beitrag zu den Kosten interner Untersuchungen.

Welche Rechte haben beschuldigte Mitarbeiter?

Auch in der internen Untersuchung haben betroffene Beschäftigte erhebliche Rechte. Werden sie verletzt, wird die gesamte Untersuchung angreifbar.

Auskunftspflicht und Selbstbelastungsfreiheit. Im laufenden Arbeitsverhältnis besteht eine Pflicht zur Auskunft über betriebliche Vorgänge aus §§ 666, 675 BGB und § 241 Abs. 2 BGB. Der strafprozessuale Grundsatz der Selbstbelastungsfreiheit gilt im Arbeitsverhältnis nicht unmittelbar. Das Bundesverfassungsgericht hat im Gemeinschuldner-Beschluss entschieden, dass unter Auskunftszwang erlangte Angaben im Strafverfahren einem Verwertungsverbot unterliegen, soweit keine gesetzliche Ausnahme besteht (BVerfG, Beschl. v. 13.01.1981 – 1 BvR 116/77, BVerfGE 56, 37). Ob und wieweit sich das auf arbeitsvertraglich erzwungene Auskünfte übertragen lässt, ist umstritten und nicht abschließend geklärt — die Frage gehört in jede Befragungsvorbereitung.

Rechtlicher Beistand. Der Beschäftigte darf zu Befragungen einen eigenen Anwalt hinzuziehen. Das Unternehmen kann eine Befragung ohne anwaltliche Begleitung nicht erzwingen.

Informationspflichten. Nach Art. 13 und 14 DSGVO ist über die Verarbeitung der personenbezogenen Daten zu informieren; Ausnahmen gelten nur, soweit die Information den Untersuchungserfolg gefährden würde (Art. 14 Abs. 5 lit. b DSGVO, § 32 Abs. 1 Nr. 4, § 33 Abs. 1 Nr. 2 lit. a BDSG). Aktuell dazu der Beitrag EuGH: Schon das erste DSGVO-Auskunftsersuchen kann rechtsmissbräuchlich sein.

Was Beschäftigte konkret erwartet und wann sie einen eigenen Verteidiger brauchen, behandelt der Beitrag Interne Untersuchung: Rechte und Aussagepflichten des Mitarbeiters.

Hinweisgeberschutzgesetz und interne Untersuchung

Seit dem 2. Juli 2023 (bei 50 bis 249 Beschäftigten seit dem 17. Dezember 2023, § 42 Abs. 1 HinSchG) verpflichtet das Hinweisgeberschutzgesetz Unternehmen ab in der Regel 50 Beschäftigten, eine interne Meldestelle einzurichten (§ 12 Abs. 1 und 2 HinSchG) und Meldungen strukturiert zu bearbeiten. Eine automatische Pflicht, in jedem Fall eine interne Untersuchung durchzuführen, folgt daraus nicht — wohl aber die Pflicht, angemessene Folgemaßnahmen zu ergreifen (§ 17 Abs. 1 Nr. 6, § 18 HinSchG) und eingehende Meldungen zu dokumentieren (§ 11 HinSchG).

Drei Vorgaben prägen das Zusammenspiel mit der Untersuchung. Das Vertraulichkeitsgebot nach § 8 HinSchG schützt die Identität der hinweisgebenden Person; eine Weitergabe ist nur mit Einwilligung oder nach § 9 HinSchG zulässig. Das Repressalienverbot nach § 36 HinSchG untersagt Nachteile wegen der Meldung; bei einer Kündigung nach einer Meldung kehrt sich die Beweislast um (§ 36 Abs. 2 HinSchG). Und die Rückmeldefristen takten den Ablauf: Eingangsbestätigung binnen sieben Tagen (§ 17 Abs. 1 HinSchG), Rückmeldung zu Folgemaßnahmen binnen drei Monaten nach der Eingangsbestätigung (§ 17 Abs. 2 HinSchG). Siehe dazu auch den Beitrag Arbeitszeitbetrug nachweisen.

Bei geldwäscherechtlichen Verstößen geht § 6 Abs. 5 GwG als speziellere Norm vor. Welche Aufklärungs- und Anzeigepflichten daneben bestehen, behandelt der Beitrag zu den Aufklärungs- und Anzeigepflichten in der internen Untersuchung.

Leitentscheidungen im Überblick

Vier Entscheidungen setzen den Rahmen, in dem sich jede interne Untersuchung bewegt.

Gericht	Entscheidung	Kernaussage	Praxis-Konsequenz
BVerfG	2 BvR 1405/17 u. a., Beschl. v. 27.06.2018 (Jones Day)	Fachgerichtliche Auslegung, wonach § 97 StPO nur bei Beschuldigten- oder beschuldigtenähnlicher Stellung schützt, ist verfassungsrechtlich nicht zu beanstanden; künftige Nebenbeteiligung muss nach objektiven Gesichtspunkten in Betracht kommen	Mandat ausdrücklich als Strafverteidigung ausgestalten, Tochtergesellschaften separat mandatieren
EGMR	1022/19 und 1125/19, Entsch. v. 22.10.2024 (Kock u. a./Deutschland)	Beschwerden als offensichtlich unbegründet unzulässig; der Eingriff war gerechtfertigt, weil zwischen der durchsuchten Kanzlei und der betroffenen Gesellschaft kein Mandatsverhältnis bestand	BVerfG-Linie in Straßburg nicht beanstandet — aber fallbezogen und ohne Sachentscheidung zur Reichweite des § 97 StPO
BGH	1 StR 265/16, Urt. v. 09.05.2017	Ein effizientes Compliance-Management-System ist bei der Bemessung nach § 30 OWiG zu berücksichtigen, auch bei nachträglicher Optimierung	Die Aufklärung selbst wirkt auf die Sanktionshöhe
BAG	2 AZR 296/22, Urt. v. 29.06.2023	Aufzeichnungen aus offener Videoüberwachung unterliegen im Kündigungsschutzprozess im Allgemeinen keinem Verwertungsverbot, auch wenn nicht alle datenschutzrechtlichen Vorgaben eingehalten wurden; die Betriebsparteien können ein Verwertungsverbot nicht wirksam anordnen	Datenschutzverstöße führen arbeitsrechtlich nicht automatisch zur Unverwertbarkeit — die aufsichtsrechtlichen Bußgeldrisiken bleiben davon unberührt

Wie diese Rechtsprechung die Sanktions- und Kooperationsentscheidung prägt und welche Fristen die Untersuchung takten, vertieft der Beitrag Interne Untersuchung durchführen. Zum Rahmen der Unternehmenssanktionierung insgesamt: Unternehmensstrafrecht in Deutschland. Was bei einer Durchsuchung im laufenden Verfahren gilt, behandeln die Beiträge Durchsuchung im Unternehmen und Dawn-Raid-Notfallplan.

Ob Unterlagen einer internen Untersuchung später vor Beschlagnahme geschützt sind, hängt davon ab, in welchem Mandatsverhältnis sie entstehen, und das wird in den ersten Tagen festgelegt, oft bevor ein Ermittlungsverfahren bekannt ist. Die Mandatsstruktur vor der ersten Befragung mit einem Strafverteidiger zu klären, ist an dieser Stelle der übliche Weg.

Häufige Fragen

Was ist eine interne Untersuchung im Unternehmen?

Eine interne Untersuchung ist die eigenverantwortliche, dokumentierte Aufklärung eines Verdachts auf Rechtsverstöße durch das Unternehmen selbst, regelmäßig durch beauftragte Rechtsanwälte und mit dem Ziel eines Abschlussberichts. Sie ist keine staatliche Ermittlung; ein eigenes Gesetz regelt sie im deutschen Recht nicht.

Wann ist eine interne Untersuchung rechtlich geboten?

Bei hinreichenden Verdachtsmomenten für Rechtsverstöße folgt die Aufklärungspflicht aus der Legalitäts- und Überwachungspflicht der Unternehmensleitung (§§ 76 Abs. 1, 93 Abs. 1, 91 Abs. 2 AktG; § 43 Abs. 1 GmbHG). Für das „Ob“ besteht dann regelmäßig kein Ermessen, für das „Wie“ gilt die Business Judgment Rule des § 93 Abs. 1 S. 2 AktG.

Wie lange dauert eine interne Untersuchung?

Die fünf Phasen dauern in der Praxis zwischen sechs und zwölf Wochen, bei komplexen Sachverhalten deutlich länger. Eine gesetzliche Höchstdauer gibt es nicht. Maßgeblich für arbeitsrechtliche Maßnahmen ist die Zwei-Wochen-Frist des § 626 Abs. 2 BGB, die erst mit der Kenntnis des Kündigungsberechtigten beginnt und nicht anläuft, solange er den Sachverhalt mit der gebotenen Eile aufklärt.

Gilt das Anwaltsprivileg für Unterlagen aus einer internen Untersuchung?

Nicht automatisch. Nach der vom Bundesverfassungsgericht gebilligten fachgerichtlichen Auslegung setzt das Beschlagnahmeverbot des § 97 StPO voraus, dass das Unternehmen Beschuldigter oder beschuldigtenähnlich ist; eine künftige Nebenbeteiligung muss nach objektiven Gesichtspunkten in Betracht kommen (BVerfG, Beschl. v. 27.06.2018 – 2 BvR 1405/17). Der EGMR hat die dagegen gerichteten Beschwerden mit Entscheidung vom 22.10.2024 als offensichtlich unbegründet zurückgewiesen — eine Unzulässigkeitsentscheidung, kein Sachurteil.

Muss ein Arbeitnehmer bei einer internen Untersuchung aussagen?

Arbeitsrechtlich besteht eine Auskunftspflicht über betriebliche Vorgänge aus §§ 666, 675 BGB und § 241 Abs. 2 BGB. Der strafprozessuale Grundsatz der Selbstbelastungsfreiheit gilt im Arbeitsverhältnis nicht unmittelbar. Ob unter arbeitsvertraglichem Zwang erlangte Angaben im Strafverfahren verwertbar sind, ist nicht abschließend geklärt; der Gemeinschuldner-Beschluss spricht für ein Verwertungsverbot, seine Übertragung auf das Arbeitsverhältnis ist umstritten.

Darf der Arbeitgeber E-Mails im Rahmen einer internen Untersuchung auswerten?

Bei ausschließlich dienstlicher Nutzung ist die Auswertung zulässig, wenn dokumentierte tatsächliche Anhaltspunkte vorliegen, die Maßnahme erforderlich ist und kein überwiegendes Interesse der beschäftigten Person entgegensteht. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO: Das Bundesarbeitsgericht hat § 26 Abs. 1 Satz 1 BDSG für unanwendbar erklärt, weil die Vorschrift die Anforderungen des Art. 88 DSGVO nicht erfüllt (BAG, Urt. v. 08.05.2025 – 8 AZR 209/21, im Anschluss an EuGH, Urt. v. 30.03.2023 – C-34/21). Die Kriterien des § 26 Abs. 1 S. 2 BDSG bleiben inhaltlich der Maßstab der Abwägung. Ist die private Nutzung erlaubt oder geduldet, gelten erhöhte Anforderungen. In jedem Fall gilt Datenminimierung: erst Stichwortsuche, dann Sichtung der Treffer.

Welche Pflichten hat die interne Meldestelle nach dem Hinweisgeberschutzgesetz?

Sie bestätigt den Eingang binnen sieben Tagen (§ 17 Abs. 1 HinSchG), gibt innerhalb von drei Monaten nach der Eingangsbestätigung Rückmeldung zu geplanten und ergriffenen Folgemaßnahmen (§ 17 Abs. 2 HinSchG), wahrt die Vertraulichkeit nach § 8 HinSchG, ergreift Folgemaßnahmen nach § 18 HinSchG und dokumentiert die Meldungen nach § 11 HinSchG. Repressalien gegen die hinweisgebende Person sind nach § 36 HinSchG untersagt.

Quellen

Normen: § 93 AktG · §§ 76 Abs. 1, 91 Abs. 2 AktG · § 43 GmbHG · § 26 BDSG · Art. 13, 14, 35 DSGVO · §§ 666, 675, 241 Abs. 2, 626 Abs. 2 BGB · § 87 Abs. 1 Nr. 6 BetrVG · § 17 HinSchG, §§ 8, 12, 18, 36 HinSchG · §§ 97, 148 StPO · §§ 274, 303a, 257, 258 StGB · §§ 30, 130 OWiG
BVerfG, Beschl. v. 27.06.2018 – 2 BvR 1405/17 u. a. (Jones Day), Volltext
BVerfG, Beschl. v. 13.01.1981 – 1 BvR 116/77 (Gemeinschuldner), BVerfGE 56, 37
EGMR, Entsch. v. 22.10.2024 – 1022/19 und 1125/19 (Kock u. a./Deutschland)
BGH, Urt. v. 09.05.2017 – 1 StR 265/16
EuGH, Urt. v. 30.03.2023 – C-34/21; BAG, Urt. v. 08.05.2025 – 8 AZR 209/21 (Unanwendbarkeit des § 26 Abs. 1 BDSG)
BAG, Urt. v. 29.06.2023 – 2 AZR 296/22; Vorinstanz LAG Niedersachsen, Urt. v. 06.07.2022 – 8 Sa 1149/20
LG München I, Urt. v. 10.12.2013 – 5 HK O 1387/10 (Siemens/Neubürger), ZIP 2014, 570 = BeckRS 2014, 1998