Krisen treten heute nicht mehr isoliert auf. Sie überlagern sich, gehen häufig mit behördlichen Maßnahmen einher und erzeugen erheblichen Reputationsdruck. Die Vorbereitung auf Krisen, behördliche Untersuchungen und regulatorische Herausforderungen wird damit zu einem wesentlichen Faktor organisatorischer Resilienz. Zugleich verändert sich das anwaltliche Rollenverständnis: Gefragt ist nicht mehr allein der juristische Spezialist, sondern der Trusted Advisor, der Entscheidungsträger strategisch begleitet und auch in Ausnahmesituationen Orientierung gibt.
Für Unternehmen stellt sich heute weniger die Frage, ob sie von einer Krise betroffen sein werden, als vielmehr, wann und in welcher Form. Geopolitische Konflikte, divergierende Sanktionsregime und Handelsbeschränkungen, Cyberangriffe, Lieferkettenstörungen, ESG-bezogene Vorwürfe und damit einhergehende behördliche Ermittlungen überlagern sich, verstärken sich gegenseitig und erzeugen komplexe Wechselwirkungen. Diese Entwicklung wird häufig als Polykrise beschrieben. Sie zwingt Unternehmen dazu, Krisenmanagement nicht länger als Ausnahmezustand zu begreifen, sondern als dauerhafte Organisations- und Leitungsaufgabe.
Die gesellschaftsrechtlichen Organisations- und Überwachungspflichten machen deutlich, dass Risiken nicht nur verwaltet, sondern systematisch erkannt, bewertet und adressiert werden müssen. Dazu zählen insbesondere die Pflicht zur Einrichtung eines angemessenen Risikoüberwachungs- und Früherkennungssystems nach § 91 Abs. 2 Aktiengesetz (AktG) sowie – für börsennotierte Gesellschaften – eines angemessenen und wirksamen internen Kontroll- und Risikomanagementsystems (§ 91 Abs. 3 AktG), darüber hinaus die Organpflichten nach § 93 Abs. 1 AktG bzw. § 43 GmbH-Gesetz (GmbHG) sowie die Überwachungsaufgabe des Aufsichtsrats nach § 111 Abs. 1 AktG. Die eigentliche Herausforderung liegt aber selten in der Kenntnis einzelner Vorschriften, sondern darin, rechtliche, wirtschaftliche, operative und reputationsbezogene Risiken in ihrem Zusammenspiel zu erfassen und daraus belastbare Entscheidungen abzuleiten.
Von der Risikoanalyse zur Investigation-Readiness
Jede wirksame Krisenvorsorge beginnt mit einer realistischen Analyse des eigenen Risikoprofils. Eine allgemeingültige Krisenvorsorge gibt es daher nicht; erforderlich ist ein risikobasierter Ansatz, der Geschäftsmodell, Marktumfeld und individuelle Risikoexposition berücksichtigt.
Besondere Brisanz gewinnt die Risikoanalyse im angespannten geopolitischen Umfeld. Sanktionen, Exportkontrollen, Investitionsbeschränkungen und Lieferkettenvorgaben verfolgen zunehmend unterschiedliche geopolitische Ziele und beanspruchen Wirkung über nationale Grenzen hinaus. Entscheidungsträger müssen daher handeln, während mehrere Rechtsordnungen zugleich Geltung beanspruchen und ein und dieselbe Handlung mitunter diametral unterschiedlich bewerten. Klassische Complianceanalysen greifen hier oft zu kurz; gefragt ist ein integriertes Verständnis rechtlicher, wirtschaftlicher und geopolitischer Risiken.
Notfallpläne, Krisenstäbe und Kommunikationsstrategien bleiben unverzichtbar, reichen heute aber häufig nicht mehr aus. Hier setzt das Konzept der Investigation-Readiness an: die Fähigkeit, relevante Informationen schnell zu identifizieren, Daten rechtskonform zu sichern, Sachverhalte strukturiert aufzuklären und Entscheidungsträgern belastbare Grundlagen für weitere Maßnahmen zu liefern. Über das Ausmaß des Schadens entscheidet häufig nicht allein die Krise selbst, sondern die Geschwindigkeit und Qualität der ersten Reaktion.
Die ersten 24 Stunden: Struktur statt Aktionismus
Ob Durchsuchung, Hinweisgebermeldung, Cybervorfall oder Medienanfrage: Die ersten Stunden nach Bekanntwerden eines Vorfalls prägen häufig dessen weiteren Verlauf. Im Mittelpunkt stehen vier Handlungsfelder:
- Sicherung relevanter Informationen und Daten – einschließlich unverzüglicher Aufbewahrungsanordnungen (Legal Hold) und der Aussetzung automatischer Löschroutinen;
- Erste Sachverhalts- und Risikobewertung – einschließlich der Prüfung fristgebundener Melde- und Offenlegungspflichten, etwa nach Art. 33 Datenschutz-Grundverordnung (DSGVO; 72-Stunden-Frist), Art. 17 Marktmissbrauchsverordnung (MAR; Stichwort Ad-hoc-Publizität) oder gegenüber Versicherern;
- Organisation der Untersuchung – einschließlich klarer Zuständigkeiten, Einbindung der Organe und frühzeitiger Einbeziehung externer Berater zur bestmöglichen Wahrung der Vertraulichkeit;
- Steuerung interner und externer Kommunikation – gegenüber Belegschaft, Behörden, Geschäftspartnern und Medien.
Fehler dieser Phase – vernichtete Daten, versäumte Meldefristen, unbedachte Äußerungen gegenüber Ermittlern oder Medien – lassen sich später kaum korrigieren.
Gleichzeitig verändert sich die Ermittlungspraxis grundlegend. Geschäftskommunikation findet zunehmend über Messengerdienste, Kollaborationsplattformen und mobile Endgeräte statt. Behörden reagieren darauf mit einem stärkeren Fokus auf digitale Beweismittel, mobile Geräte und elektronische Kommunikationsdaten. Für Unternehmen heißt das: Die Kenntnis der eigenen Datenbestände, klare Zuständigkeiten und belastbare Prozesse zur Datensicherung werden zu einem zentralen Bestandteil wirksamer Krisenvorsorge.
Auskunftsersuchen und Internal Investigations
Neben Durchsuchungen setzen Behörden zunehmend auf detaillierte Auskunftsersuchen. Sie fordern große Datenmengen innerhalb kurzer Fristen an und erwarten, dass Unternehmen relevante Datenverantwortliche selbst identifizieren sowie die Dokumente sammeln und bewerten. Das bindet erhebliche interne Ressourcen und birgt eigene Risiken: Unvollständige, unrichtige oder verspätete Antworten können Bußgelder nach sich ziehen. Der Trusted Advisor hilft hier, Umfang und Fristen zu verhandeln, anwaltliche Privilegien und Datenschutz zu wahren und die Antworten in die Gesamtverteidigungsstrategie einzubetten.
Unternehmensinterne Untersuchungen sind heute ein zentraler Bestandteil moderner Krisenbewältigung. Auslöser können Meldungen über Hinweisgebersysteme, Auffälligkeiten bei Revisions- oder Prüfungshandlungen, Medienberichte, behördliche Auskunftsersuchen und Ermittlungen oder Vorwürfe aus Gesellschafter- und Aufsichtsgremien sein. Internal Investigations dienen nicht allein der rückblickenden Aufklärung. Sie bilden zugleich die Grundlage für Entscheidungen über Melde- und Offenlegungspflichten, Kommunikationsstrategien, den Umgang mit Geschäftsbeziehungen, Abhilfemaßnahmen (Remediation) und die Zusammenarbeit mit Behörden.
Reform des § 30 OWiG: Höhere Bußgelder, Compliance als Zumessungskriterium
Wie eng Internal Investigations und Compliance mit dem Sanktionsrisiko verknüpft sind, zeigt der im Mai 2026 vorgelegte Regierungsentwurf zur Umsetzung der Umweltstrafrechtsrichtlinie (EU) 2024/1203, über den der Bundestag am 11.06.2026 in erster Lesung beraten hat („Regierungsentwurf“). Sein für Unternehmen wichtigster Teil liegt jedoch außerhalb des Umweltrechts: § 30 Ordnungswidrigkeitengesetz (OWiG) soll grundlegend neu gefasst werden – und zwar nicht nur für Umweltstraftaten, sondern für alle Anknüpfungstaten. Ein Unternehmensstrafrecht nach dem Vorbild des in der 19. Legislaturperiode gescheiterten Verbandssanktionengesetzes entsteht damit nicht: Die Verbandsgeldbuße knüpft weiterhin an die Tat einer Leitungsperson an, bei Aufsichtsdefiziten vermittelt über § 130 OWiG.
Der Bußgeldrahmen soll sich vervierfachen: bei vorsätzlichen Anknüpfungstaten von 10 auf 40 Millionen Euro, bei fahrlässigen von 5 auf 20 Millionen Euro. Der höhere Rahmen verschiebt den Verhandlungsspielraum und verändert Risikomodelle. Mindestens ebenso bedeutsam ist, dass der Regierungsentwurf erstmals Kriterien für die Bemessung der Verbandsgeldbuße kodifiziert – darunter die Bedeutung der Tat, der gegen den Verband zu erhebende Vorwurf und dessen wirtschaftliche Verhältnisse. Berücksichtigt werden sollen zudem vor und nach der Tat getroffene Vorkehrungen zur Vermeidung und Aufdeckung von Rechtsverstößen. Compliance wird damit zum ausdrücklichen Zumessungsfaktor. Entlastend wirkt sie aber nur, wenn sie nachweisbar wirksam ist: Ein Compliance-Management-System, das nur auf dem Papier steht, bewusst umgangen wird oder erhebliche Defizite aufweist, kann sich bei der Bußgeldbemessung auch nachteilig auswirken. Für Internal Investigations und straf- bzw. ordnungswidrigkeitenrechtlich relevante Krisensituationen folgt daraus: Sie dienen nicht nur der Sachverhaltsaufklärung, sondern bereiten bereits die spätere Bußgeldzumessung vor.
Der Rechtsanwalt als Trusted Advisor und Krisennavigator
Behörden erwarten zunehmend, dass Unternehmen zur Aufklärung komplexer Sachverhalte beitragen. Gleichzeitig müssen Unternehmen Vertraulichkeitsinteressen, Datenschutzanforderungen, anwaltliche Verschwiegenheitspflichten und legitime Verteidigungsinteressen berücksichtigen. Die Herausforderung besteht daher nicht darin, sich zwischen Kooperation und Verteidigung zu entscheiden, sondern beide in eine konsistente Gesamtstrategie einzubetten.
Diese Entwicklung verändert die Rolle des externen Rechtsberaters grundlegend. Die eigentliche Beratungsleistung liegt daher zunehmend nicht in der isolierten Auslegung einzelner Normen, sondern in der strategischen Einordnung komplexer Gesamtrisiken – und in der Bereitschaft, Verantwortung für die Qualität der Entscheidungsgrundlagen mitzutragen.
Zudem lassen sich Krisenmanagement und Kommunikation nicht mehr voneinander trennen. Stakeholder erwarten schnelle und glaubwürdige Informationen, obwohl die Umstände eines Vorfalls anfangs oft noch nicht vollständig bekannt sind. Vorschnelle Stellungnahmen können rechtliche Risiken begründen; eine rein juristisch geprägte Kommunikation kann wiederum erhebliche Reputationsschäden verursachen.
Fazit
Krisenvorsorge, Compliance, Internal Investigations, Krisenkommunikation und Risikomanagement wachsen zunehmend zu einem integrierten Governancethema zusammen. Die geplante Reform des § 30 OWiG zeigt zugleich, dass die Qualität organisatorischer Vorkehrungen, Compliancestrukturen, interner Kontrollen und Untersuchungsprozesse künftig noch stärker in den Fokus von Behörden, Gerichten, Aufsichtsorganen und Gesetzgebern rücken dürfte. Gerade in der Polykrise wird der Rechtsanwalt zum Trusted Advisor und Krisennavigator.
