Warum Unternehmen ihre interne Meldestelle jetzt auf den Prüfstand stellen sollten.
Am 2. Juli 2026 ist das Hinweisgeberschutzgesetz (HinSchG) genau drei Jahre in Kraft.1 Die Übergangsfristen sind damit längst abgelaufen. Für private Unternehmen mit in der Regel 50 bis 249 Beschäftigten musste die interne Meldestelle spätestens zum 17. Dezember 2023 eingerichtet sein; für Unternehmen ab 250 Beschäftigten galt die Verpflichtung bereits seit Inkrafttreten des Gesetzes.2
Spätestens seit dem 1. Dezember 2023 ist das Thema zudem nicht mehr nur eine Frage guter Compliance-Organisation, sondern auch bußgeldrechtlich relevant: Das Fehlen einer vorgeschriebenen internen Meldestelle kann geahndet werden. Seit dem 15. April 2025 ist für die Verfolgung und Ahndung entsprechender Ordnungswidrigkeiten das Bundesamt für Justiz zuständig.3
Welche Verstöße können teuer werden?
Das HinSchG unterscheidet mehrere Bußgeldtatbestände. Besonders praxisrelevant sind drei Fallgruppen: die fehlende Einrichtung und der fehlende Betrieb einer vorgeschriebenen internen Meldestelle, die Behinderung einer Meldung oder der Kommunikation mit der Meldestelle sowie Repressalien gegen hinweisgebende Personen. Hinzu kommen Verstöße gegen das Vertraulichkeitsgebot.
Die Bußgeldhöhe ist dabei nicht einheitlich. Für die unterlassene Einrichtung oder den unterlassenen Betrieb einer vorgeschriebenen internen Meldestelle sieht das Gesetz eine Geldbuße von bis zu 20.000 Euro vor. Für die Behinderung von Meldungen, für Repressalien sowie für bestimmte Verstöße gegen die Vertraulichkeit sind Bußgelder von bis zu 50.000 Euro möglich.
Für Unternehmen bedeutet das: Die interne Meldestelle ist keine bloße Formalie und auch kein „Postfach mit Hinweistext“. Sie ist ein gesetzlich geregelter Bestandteil der Compliance-Organisation – mit klaren Anforderungen an Verfahren, Vertraulichkeit und Bearbeitung.
Mehr als Pflichterfüllung: die interne Meldestelle als Frühwarnsystem
Das HinSchG verfolgt nicht nur einen Sanktionsansatz. Es schafft zugleich einen Rahmen, in dem Hinweise auf Regelverstöße, Missstände oder Risiken frühzeitig und vertraulich in die Organisation gelangen können.[6] Das ist praktisch bedeutsam, denn Beschäftigte und sonstige Personen im beruflichen Umfeld können frei wählen, ob sie sich an eine interne oder an eine externe Meldestelle wenden.
Gerade deshalb lohnt sich ein funktionierender interner Meldeweg. Wer intern einen verlässlichen, vertraulichen und professionell betriebenen internen Kanal anbietet, erhöht die Chance, dass Hinweise zunächst im Unternehmen ankommen und dort geprüft werden können, statt unmittelbar extern adressiert zu werden.
Auch Unternehmen unterhalb der Schwelle von 50 Beschäftigten sollten nicht wegsehen
Zwar trifft die gesetzliche Pflicht zur Einrichtung einer internen Meldestelle private Beschäftigungsgeber grundsätzlich erst ab 50 Beschäftigten. Das bedeutet aber nicht, dass kleinere Unternehmen mit dem Thema nichts zu tun hätten. Hinweisgebende Personen können sich nach dem Gesetz auch unmittelbar und jederzeit an die externe Meldestelle des Bundes wenden; eine vorherige interne Meldung ist nicht Voraussetzung.
Wer unterhalb der gesetzlichen Schwelle keinen verlässlichen internen Meldeweg anbietet, verzichtet deshalb unter Umständen auf die Chance, Hinweise frühzeitig intern zu erhalten und aufzuklären. Aus Compliance-Sicht kann es daher sinnvoll sein, auch freiwillig eine praxistaugliche interne Lösung vorzusehen.
Worauf es in der Praxis ankommt
Eine interne Meldestelle muss Vertraulichkeit gewährleisten und ein geregeltes Verfahren vorhalten. Interne Meldestellen bestätigen den Eingang einer Meldung spätestens nach sieben Tagen und müssen der hinweisgebenden Person grundsätzlich innerhalb von drei Monaten – gerechnet ab Eingangsbestätigung, spätestens aber drei Monate und sieben Tage nach Eingang der Meldung – Rückmeldung geben.4
Hinzu kommt, dass die Identität der hinweisgebenden Person, der von der Meldung betroffenen Personen sowie der sonst in der Meldung genannten Personen gesetzlich besonders geschützt ist. Interne Meldestellen sollen zwar auch anonym eingehende Meldungen bearbeiten, müssen ihre Kanäle dafür aber nicht zwingend so ausgestalten, dass anonyme Meldungen abgegeben werden können. Bei der externen Meldestelle des Bundes besteht die Möglichkeit der anonymen Meldung ausdrücklich.5
Für kleinere und mittlere Unternehmensstrukturen ist zudem wichtig: Mehrere private Beschäftigungsgeber mit in der Regel 50 bis 249 Beschäftigten können eine gemeinsame interne Meldestelle nutzen. Das eröffnet praxistaugliche Gestaltungsoptionen, entbindet aber nicht von den gesetzlichen Anforderungen an Vertraulichkeit, Verfahren und ordnungsgemäße Bearbeitung.
Fazit
Drei Jahre nach Inkrafttreten des Hinweisgeberschutzgesetzes geht es nicht mehr um Übergangsfristen, sondern um belastbare Umsetzung. Unternehmen sollten daher nicht nur prüfen, ob eine interne Meldestelle vorhanden ist, sondern vor allem, wie sie organisiert ist: Sind Zuständigkeiten klar geregelt? Ist Vertraulichkeit gewährleistet? Funktionieren Fristen, Dokumentation und Bearbeitungsabläufe auch in der Praxis?
Genau darin liegt der Unterschied zwischen formaler Pflichterfüllung und funktionierender Compliance.
Wir unterstützen Unternehmen bei der Auswahl und Umsetzung einer passenden Lösung – vom internen Meldekanal über digitale Lösungen bis hin zu externer Unterstützung.
1 Inkrafttreten des HinSchG zum 02.07.2023, Art. 10 Abs. 2 des Gesetzes.
2 § 42 Abs. 1 HinSchG
3 § 40 HinSchG, § 42 Abs. 2 HinSchG
4 § 17 HinSchG
5 § 16 HinSchG
