Reform des Nachrichtendienstrechts: Die neuen Mitwirkungspflichten für Unternehmen — und was sie für die geldwäscherechtliche Meldepraxis bedeuten

Ein Systemwechsel, kein Detail

Wer die öffentliche Debatte um die Reform des Nachrichtendienstrechts verfolgt, liest vor allem über Online-Durchsuchung, aktive Schutzmaßnahmen der Dienste und die Bündelung der Kontrolle beim Unabhängigen Kontrollrat. Für Unternehmen und ihre Rechtsabteilungen liegt die eigentliche Zäsur an anderer Stelle — in einem Teil des 691-seitigen Entwurfs, der bislang kaum Aufmerksamkeit erfährt: der Verallgemeinerung bislang punktueller Mitwirkungspflichten zu einem durchsetzbaren, branchenübergreifenden Pflichtenregime für private Stellen.

Bisher beruhte die Zusammenarbeit von Verfassungsschutz und BND mit vielen Unternehmen überwiegend auf freiwilliger Auskunft oder auf deutlich enger zugeschnittenen Sonderkonstellationen, insbesondere des G10-Rechts. Der Entwurf verallgemeinert und verbreitert diese Ansätze zu einem behördlich anordenbaren, aufsichtsrechtlich flankierten und sanktionsbewehrten System (§§ 9, 11 bis 15 BVerfSchG-E; §§ 12 bis 17 BNDG-E). Das ist die Verschiebung, die Unternehmen zuerst verstehen müssen: Sie werden nicht mehr allein um Kooperation gebeten, sondern zu Adressaten eigener Pflichten, deren Verletzung Geldbußen, Zwangsgeld und in einer Kernkonstellation Freiheitsstrafe nach sich ziehen kann.

Wer verpflichtet wird

Der Verpflichtetenkreis ist bewusst weit gefasst und reicht deutlich über den Telekommunikations- und Postsektor hinaus, der bei staatlichen Auskunftsersuchen traditionell im Fokus steht. § 11 Abs. 1 BVerfSchG-E und der spiegelbildliche § 12 Abs. 2 BNDG-E erfassen:

• Anbieter von Diensten des Güter- und Personenverkehrs — also Speditionen, Paket- und KEP-Dienste, Personenbeförderer;
• Anbieter digitaler Dienste — breit gefasst, je nach Auslegung Plattformen, SaaS-Anbieter, Marktplätze, Hosting;
• Kfz-Hersteller und -Werkstätten zu Telemetriedaten, ausdrücklich einschließlich Daten wirtschaftlich Berechtigter;
• Anbieter technischer Zahlungsdienste im Sinne des Zahlungsdiensteaufsichtsgesetzes;
• Post- und Warensendungsdienste;
• Verfügungsberechtigte privater Videoüberwachungseinrichtungen des öffentlich zugänglichen Raums;
• und — für die geldwäscherechtliche Praxis zentral — sämtliche Verpflichteten nach § 2 Abs. 1 GwG.

Die territoriale Anknüpfung ist weit: Verpflichtet ist, wer in Deutschland eine Niederlassung hat oder in Deutschland Leistungen erbringt oder daran mitwirkt (§ 11 Abs. 2 BVerfSchG-E). Die Geheimhaltungspflicht trifft grundsätzlich auch ausländische Stellen ohne Inlandsniederlassung, soweit nicht das Recht des Hauptsitzstaates entgegensteht — mit spürbarer Relevanz für Konzernstrukturen mit ausländischer Muttergesellschaft.

Zwei Aufsichtsregime stehen dabei nebeneinander. Wer die Pflicht durchsetzt, richtet sich danach, ob das Ersuchen vom Verfassungsschutz oder vom BND stammt:

Fallbeispiel A: GwG-Verpflichtete zwischen Meldepflicht und Mitteilungsverbot

Für Verpflichtete nach dem Geldwäschegesetz — Kreditinstitute, Zahlungsdienstleister, Versicherer, Güterhändler, Immobilienmakler und die rechtsberatenden Berufe im nichtprivilegierten Bereich — entsteht die praktisch heikelste Konstellation des gesamten Entwurfs. Sie sind zugleich Adressaten der nachrichtendienstlichen Auskunftspflicht (§ 11 Abs. 1 Nr. 3 BVerfSchG-E, § 12 Abs. 2 Nr. 3 BNDG-E) und Träger der geldwäscherechtlichen Verdachtsmeldepflicht nach § 43 GwG.

Genau an dieser Schnittstelle setzt § 9 Abs. 3 BVerfSchG-E an. Die Norm verbietet dem verpflichteten Unternehmen und seinen Beschäftigten,

1. die betroffene Person oder andere Stellen über das Ersuchen zu informieren — und zwar ausdrücklich auch „im Wege gesetzlicher Verdachtsmeldungen“ —, sowie
2. allein aufgrund des Ersuchens nachteilige einseitige Handlungen vorzunehmen, insbesondere eine Geschäftsbeziehung zu beenden, einzuschränken oder Entgelte zu erheben oder zu erhöhen.

Für die Praxis heißt das: Das Ersuchen selbst darf nicht zum Anlass oder Inhalt einer Verdachtsmeldung an die FIU werden, und die Geschäftsbeziehung darf nicht „allein aufgrund“ des Ersuchens gekündigt werden. Das ist kein pauschales Meldeverbot. Eine Verdachtsmeldung kommt weiterhin in Betracht, wenn sie auf eigenständigen, vom Ersuchen unabhängig dokumentierten Verdachtsmomenten beruht und weder das Ersuchen noch dessen Durchführung offenlegt. Verboten ist die Mitteilung über das Ersuchen — nicht die Erfüllung einer aus anderen Gründen bestehenden Pflicht.

Das Verbot ist nicht folgenlos: Ein Verstoß ist nach § 74 BVerfSchG-E (bzw. § 136 BNDG-E) strafbewehrt — Freiheitsstrafe bis zu zwei Jahren oder Geldstrafe, bei Gefährdung des Maßnahmezwecks oder eingesetzter Personen sogar drei Monate bis zu fünf Jahre.

Damit kann die Compliance-Funktion in konkreten Fallkonstellationen in ein Spannungsverhältnis geraten: die geldwäscherechtliche Meldepflicht auf der einen, das strafbewehrte Mitteilungsverbot auf der anderen Seite. Wichtig ist, wie der Entwurf mit diesem Spannungsverhältnis umgeht: Er lässt es nicht offen, sondern nimmt in der Begründung ausdrücklich eine Auflösung vor. Danach ist ein nachrichtendienstliches Ersuchen gerade keine Tatsache, die eine Verdachtsmeldung nach § 43 GwG veranlasst — die Begründung nennt hierfür selbst das Beispiel einer um Finanzauskünfte ersuchten Bank (Begründung zu § 9 Abs. 3 BVerfSchG-E; parallel zu § 8 BNDG-E). Zusätzlich synchronisiert der Verweis auf § 2 Abs. 1 GwG den Kreis der Mitwirkungspflichtigen bewusst mit dem der Meldepflichtigen. Der Gesetzgeber hat den Konflikt also gesehen und normativ adressiert.

Aus der Verteidigerperspektive verlagert sich das Problem damit von der Rechtsfrage auf die operative Umsetzung. Die gesetzgeberische Trennung — Meldung nur auf Grundlage eigenständiger, vom Ersuchen unabhängiger Verdachtsmomente, ohne das Ersuchen offenzulegen — ist sauber, aber praktisch anspruchsvoll. Heikel bleibt die Abgrenzung im Einzelfall: Wer zeitlich nach Eingang eines Ersuchens meldet oder eine Geschäftsbeziehung beendet, muss die Eigenständigkeit dieser Entscheidung belegen können. Besonderes Augenmerk verdient das automatisierte Transaktionsmonitoring: Ein System, das ein Ersuchen wie einen gewöhnlichen Auffälligkeitstreffer verarbeitet und daraus eine Meldung erzeugt, würde die vom Gesetzgeber vorausgesetzte Trennung gerade unterlaufen. Die Formulierung „allein aufgrund“ des Ersuchens verweist damit auf die Kausalitäts- und Dokumentationsebene.

Für den Umgang mit dem Spannungsverhältnis von Meldung und Geheimnisschutz lohnt der Blick auf die bereits an anderer Stelle behandelte Frage, wann eine Strafanzeige das Unternehmen schützt und wann sie das Geheimnis erst preisgibt.

Die Konsequenz für die Aufbau- und Ablauforganisation ist deutlich: Es bedarf eines dedizierten, streng zugriffsbeschränkten Prozesses zur Bearbeitung nachrichtendienstlicher Ersuchen, der von den regulären Geldwäsche- und Sanktions-Workflows entkoppelt ist. Nur so lässt sich verhindern, dass ein Ersuchen automatisiert eine Verdachtsmeldung auslöst — und damit unbeabsichtigt den Straftatbestand des § 74 BVerfSchG-E verwirklicht.

Hinzu kommt eine zweite geldwäscherechtliche Neuerung. Art. 17 Nr. 1 des Entwurfs fügt § 8 Abs. 1 GwG einen Satz an, wonach die Aufzeichnung und Aufbewahrung der Identität des Vertragspartners bei entgegenstehenden überwiegenden Sicherheitsinteressen so erfolgen kann, dass eine eindeutige Identifizierung nicht möglich ist. Das durchbricht das KYC-Grundprinzip punktuell und wirft Fragen für die Nachvollziehbarkeit der Sorgfaltspflichten und die spätere Prüfbarkeit durch die Aufsicht auf. Zur Einordnung des gesamten EU-Meldeformats der AMLA und seiner Schnittstellen zur nationalen Meldepflicht empfiehlt sich die dort entwickelte Systematik.

Fallbeispiel B: Logistik und die personenbezugsfreie Routenabfrage

Die zweite Konstellation betrifft Transport-, Logistik- und Post-/Warensendungsunternehmen — und enthält die aus datenschutz- und grundrechtlicher Sicht wohl umstrittenste Einzelbefugnis des Entwurfs.

Im Ausgangspunkt gilt auch hier die einzelfallbezogene Auskunftspflicht: Auf ein Ersuchen hin sind Bestandsdaten und — auf erhöhter Schwelle — weitergehende Informationen zu erteilen. § 13 Abs. 3 BNDG-E geht jedoch entscheidend darüber hinaus. Danach dürfen Auskunftsersuchen an Anbieter des Güterverkehrs sowie an Post- und Warenverkehrsdienste ohne konkreten Bezug zu einer Person ergehen, wenn und soweit tatsächliche Anhaltspunkte dafür vorliegen, dass die Auskunft erforderlich ist, um grenzüberschreitende Transportwege und Beschaffungsrouten aufzuklären und Informationen zu zumindest erheblichen Bedrohungen zu erlangen.

Der Sache nach handelt es sich um eine datensatzbezogene Abfrage, die je nach Zuschnitt erhebliche Datenmengen betreffen kann: Nicht die Sendungsdaten einer bestimmten Zielperson werden abgefragt, sondern Transport- und Routendaten in einem sachlich umrissenen Feld. Für Speditionen und KEP-Dienste ist dies die praktisch einschneidendste Neuerung, weil sie den Charakter der Mitwirkung verändert — von der punktuellen Auskunft zur strukturierten Datenlieferung über ganze Verkehrsströme. Ob und wieweit eine solche personenbezugsfreie Auskunft verfassungsrechtlich trägt, ist im weiteren Verfahren zu klären.

Für Post- und Warensendungsdienste tritt eine weitere Pflicht hinzu: Bei besonders erheblichen Bedrohungen können ihnen anvertraute Sendungen zur Aushändigung an den Dienst verlangt werden (§ 14 Abs. 2 BVerfSchG-E; parallel im BNDG-E). Das berührt die betrieblichen Kernprozesse unmittelbar.

Die Nähe zu den Fragestellungen, die sich für Unternehmen stellen, wenn Mitarbeiter vom Geheimdienst angeworben werden, ist strukturell: In beiden Konstellationen wird das Unternehmen zum Schnittpunkt staatlicher Sicherheitsinteressen und eigener Compliance-Pflichten.

Die Durchsetzung: Aufsicht, Zwangsgeld, Betriebsuntersagung

Was das Regime von einer bloßen Auskunftsobliegenheit unterscheidet, ist seine verwaltungsrechtliche Bewehrung. Sie ist regimespezifisch getrennt zugewiesen: Für die Pflichten nach dem BVerfSchG-E ist das Bundesministerium des Innern die durchsetzende Stelle (§ 72 BVerfSchG-E), für die Pflichten nach dem BNDG-E das Bundesverwaltungsamt (§ 134 BNDG-E). Diese Unterscheidung ist praktisch bedeutsam, weil sie Aufsichtsadressat, Rechtswegstrategie und internen Ansprechpartner bestimmt.

Inhaltlich sind die Instrumente in beiden Normen deckungsgleich: Anordnungsbefugnis, eigener Auskunftsanspruch gegen das Unternehmen und ein Betretungs- und Besichtigungsrecht für Geschäfts- und Betriebsräume während der üblichen Geschäftszeiten. Die Befugnisse der Bundesnetzagentur bleiben jeweils unberührt.

Reichen mildere Mittel nicht aus, kann die zuständige Stelle den Betrieb des Unternehmens oder die Erbringung des betreffenden Dienstes ganz oder teilweise untersagen (§ 72 Abs. 2 BVerfSchG-E, § 134 Abs. 2 BNDG-E). Jenseits von Geldbußen ist dies die einschneidendste Sanktion, weil sie das Geschäftsmodell selbst trifft. Zur Durchsetzung kann ein Zwangsgeld bis zu 1 Million Euro festgesetzt werden.

Der Bußgeldrahmen (§ 75 BVerfSchG-E, § 137 BNDG-E) ist gestaffelt: bis 300.000 Euro bei Zuwiderhandlung gegen ein vollziehbares Ersuchen, bis 500.000 Euro bei Verstößen gegen Geheimschutz- und Personalvorkehrungen, bis 100.000 Euro bei verletzter Auskunftspflicht gegenüber der Aufsicht. Bußgeldbehörde ist auf BVerfSchG-Seite das Bundesministerium des Innern, auf BNDG-Seite das Bundesverwaltungsamt.

Die Kombination aus Betretungsrecht, Zwangsgeld, Bußgeld und Betriebsuntersagung stellt die nachrichtendienstliche Mitwirkung organisatorisch auf eine Stufe mit regulierten KRITIS– und Telekommunikationspflichten.

Personal- und Geheimschutz als Dauerpflicht

Für Telekommunikationsanbieter — und über Verweise für weitere Verpflichtete — begründet der Entwurf einen laufenden Vorhalteaufwand unabhängig vom Einzelfall. Zu treffen sind Geheimschutzmaßnahmen für als „VS-NUR FÜR DEN DIENSTGEBRAUCH“ eingestufte Informationen; vorzuhalten ist Personal, das zu einer einfachen Sicherheitsüberprüfung nach dem Sicherheitsüberprüfungsgesetz bereit ist (§ 13 Abs. 6 BVerfSchG-E). Bemerkenswert ist die Befugnis, Sicherheitsüberprüfungen bereits als organisatorische Vorkehrung anzuordnen — also bevor überhaupt ein konkretes Ersuchen vorliegt. Verstöße gegen diese Vorkehrungen sind mit dem höchsten Bußgeldrahmen von bis zu 500.000 Euro belegt.

Die organisatorische Nähe zur SÜG-Novelle 2026 und zu den KRITIS-Pflichten ist unübersehbar; Unternehmen, die dort bereits Strukturen aufgebaut haben, können hierauf aufsetzen.

Rechtsschutz — und seine Grenzen

Gegen qualifizierte Telekommunikationsersuchen und deren Vollzug ist der Rechtsweg für die betroffene Person bis zur Mitteilung ausgeschlossen (§ 13 Abs. 7 BVerfSchG-E). Für das verpflichtete Unternehmen bleibt der Verwaltungsrechtsweg gegen Anordnungen der Aufsicht grundsätzlich eröffnet. Die praktische Wahrnehmung wird jedoch durch das strafbewehrte Mitteilungsverbot und die Geheimschutzanforderungen erschwert.

Auskünfte werden nach dem Justizvergütungs- und -entschädigungsgesetz entschädigt; besondere Vereinbarungen sind möglich, „in der Regel“ aber nicht bei bloßer Auswertung strukturiert gespeicherter Daten. Die Kostenerstattung deckt den strukturellen Vorhalte- und Compliance-Aufwand damit nicht ab — er verbleibt beim Unternehmen. Die in der Entwurfsbegründung genannten rund 50.000 Euro jährlicher Wirtschaftsaufwand allein für BND-Ersuchen dürften den tatsächlichen Umsetzungsaufwand deutlich unterzeichnen.

Was Unternehmen jetzt tun sollten

Solange der Entwurf nicht verabschiedet ist, geht es um Vorbereitung, nicht um Umsetzung. Vier Schritte sind aus der Verteidigerperspektive vorrangig.

Erstens die Betroffenheitsanalyse: Fällt das Unternehmen unter einen der weit gefassten Katalogtatbestände — insbesondere „digitale Dienste“, „Güter-/Personenverkehr“ oder die GwG-Anknüpfung? Die Konzernstruktur ist mitzuprüfen, weil die territoriale Anknüpfung auch reine Leistungserbringung im Inland erfasst.

Zweitens ein dedizierter Ersuchens-Prozess: Einzurichten ist ein streng zugriffsbeschränkter, von den Geldwäsche- und Sanktions-Workflows entkoppelter Bearbeitungsweg mit klarer Verantwortlichkeit, Fristenmanagement und revisionssicherer Dokumentation. Zentral ist die Absicherung gegen unbeabsichtigte Verstöße gegen das Mitteilungsverbot.

Drittens die Operationalisierung der gesetzgeberischen Trennung von Ersuchen und Verdachtsmeldung: Eine interne Leitlinie sollte festhalten, dass ein Ersuchen keine meldepflichtauslösende Tatsache ist, und zugleich sicherstellen, dass eigenständig begründete Verdachtsmomente unabhängig dokumentiert und ohne Offenlegung des Ersuchens behandelt werden. In der laufenden Verbändeanhörung kann angeregt werden, das Verhältnis von Mitteilungsverbot und § 43 GwG im Normtext selbst — nicht nur in der Begründung — klarzustellen.

Viertens, für Telekommunikations- und verwandte Verpflichtete, die frühzeitige Planung SÜG-fähigen Personals, da eine Vorabanordnung von Sicherheitsüberprüfungen möglich ist und Verstöße dem höchsten Bußgeldrahmen unterliegen.

Einordnung

Der Entwurf fügt sich in eine Reihe jüngerer Vorhaben ein, die private Wirtschaftsakteure in staatliche Sicherheits- und Abwehraufgaben einbinden — vom Gesetz zur Stärkung der Cybersicherheit bis zur KRITIS-Regulierung. Für Unternehmen bedeutet die Reform des Nachrichtendienstrechts weniger eine einzelne neue Auskunftsbefugnis als eine Systematisierung: Bislang auf Sonderkonstellationen beschränkte, bereits bußgeld- und teils strafbewehrte Mitwirkungspflichten werden zu einem allgemeinen, branchenübergreifenden Regime verallgemeinert.

Die vier Komplexe, die jede unternehmensseitige Bewertung zuerst adressieren sollte, sind das strafbewehrte Mitteilungs- und Benachteiligungsverbot samt seiner Berührung mit der geldwäscherechtlichen Meldepflicht, die Aufsichts- und Sanktionsarchitektur samt Betriebsuntersagung, die Ausweitung des Verpflichtetenkreises einschließlich der Logistik-Routenabfrage und die geldwäscherechtliche Anonymisierungsklausel.

Dass der Entwurf noch am Anfang des Verfahrens steht, ist dabei kein Grund zur Untätigkeit, sondern die Gelegenheit, die eigene Betroffenheit zu klären und sich in die Verbändeanhörung einzubringen, bevor die Strukturen stehen.

Quellen

• Bundesministerium des Innern, für Bau und Heimat: Referentenentwurf „Entwurf eines Gesetzes zur Reform des Nachrichtendienstrechts“, Bearbeitungsstand 05.07.2026 (veröffentlicht 06.07.2026). Insbesondere §§ 9, 11–15, 74, 75 BVerfSchG-E (Art. 1); §§ 12–17, 134, 136, 137 BNDG-E (Art. 2); Art. 15 (AO), Art. 16 (ZollVG), Art. 17 (GwG), Art. 18 (SGB X).
• Bundesministerium des Innern: Gesetzgebungsverfahren „Gesetz zur Reform des Nachrichtendienstrechts“ (Umsetzungsstand: Referentenentwurf veröffentlicht 06.07.2026; Regierungsentwurf noch nicht verabschiedet; Ressortabstimmung; Verbändestellungnahmen angefordert).
• Geldwäschegesetz (GwG), insbesondere §§ 2 Abs. 1, 8, 26a, 30, 43.
• Abgabenordnung (AO), insbesondere § 93 Abs. 8, § 93b Abs. 2.
• Zur unterschiedlichen Zuständigkeit: Kontrolle und Durchsetzung der Unternehmenspflichten liegen nach § 72 BVerfSchG-E beim Bundesministerium des Innern, nach § 134 BNDG-E beim Bundesverwaltungsamt.

Der Beitrag bewertet den Referentenentwurf in der Fassung vom 05.07.2026. Änderungen im weiteren Gesetzgebungsverfahren können die unternehmensbezogene Risikobewertung wesentlich verschieben.