Hinweisgeberschutzgesetz: interne Meldestelle für KMU

Kurz gesagt: Ab 50 Beschäftigten braucht Ihr Betrieb eine interne Meldestelle für Hinweise auf Rechtsverstöße. Das Bußgeld dafür ist niedriger, als fast überall zu lesen ist – nämlich 20.000 Euro, nicht 50.000. Der eigentliche wirtschaftliche Hebel des Gesetzes liegt woanders: bei der Beweislastumkehr, die jede Personalmaßnahme gegen einen Hinweisgeber angreifbar macht. Und einen anonymen Meldekanal müssen Sie nicht anbieten – auch wenn es klug sein kann.

Wen die Pflicht trifft – und ab wann

Das Hinweisgeberschutzgesetz gilt seit dem 2. Juli 2023. Es setzt eine EU-Richtlinie um, die Deutschland so spät umgesetzt hat, dass der Europäische Gerichtshof im März 2025 einen Pauschalbetrag von 34 Millionen Euro verhängte.

Die zentrale Schwelle: Zur internen Meldestelle verpflichtet ist jeder Beschäftigungsgeber mit in der Regel mindestens 50 Beschäftigten. Maßgeblich ist dabei das Unternehmen als Rechtsträger, nicht der einzelne Standort: Wer drei Filialen mit je 20 Beschäftigten betreibt, kommt auf 60 und ist pflichtig. Für Unternehmen ab 250 Beschäftigten galt das sofort; Betriebe mit 50 bis 249 Beschäftigten mussten ihre Meldestelle bis zum 17. Dezember 2023 einrichten.

„In der Regel“ bedeutet dabei keinen Stichtag, sondern einen Rückblick auf die bisherige Personalstärke und eine Einschätzung der weiteren Entwicklung. Als Beschäftigte zählen neben Arbeitnehmern auch Auszubildende und arbeitnehmerähnliche Personen.

Ein ehrlicher Hinweis zur Zählweise: Ob Teilzeitkräfte voll mitzählen oder auf Vollzeitstellen umgerechnet werden, regelt das Gesetz nicht ausdrücklich. Die überwiegende Auffassung geht vom Kopfprinzip aus – jede Person zählt einfach –, weil eine Umrechnungsregel wie im Kündigungsschutzrecht fehlt. Höchstrichterlich geklärt ist das nicht. Wer nahe an der 50 liegt, sollte die Meldestelle vorsichtshalber einrichten; das gilt auch für die ungeklärte Frage, ob Leiharbeitnehmer beim Entleiher mitzählen.

Unabhängig von der Größe – also ab dem ersten Beschäftigten – gilt die Pflicht für Unternehmen des Finanz-, Wertpapier-, Krypto-, Zahlungsdienste- und Versicherungssektors sowie für Börsenträger.

Was die Meldestelle können muss

Die Anforderungen sind überschaubarer, als viele Anbieter suggerieren:

• Ein Meldekanal genügt – das Gesetz verlangt Meldungen „in mündlicher oder in Textform“. Ein geschütztes Postfach oder ein Webformular erfüllt die Vorgabe. Zusätzlich muss auf Wunsch eine persönliche Zusammenkunft möglich sein.
• Vertraulichkeit ist zu wahren – für Hinweisgeber, Betroffene und Dritte. Zugriff dürfen nur die zuständigen Personen haben; ein Sammelpostfach der Personalabteilung ist damit ausgeschlossen.
• Eingangsbestätigung binnen sieben Tagen.
• Rückmeldung binnen drei Monaten über geplante und ergriffene Folgemaßnahmen.
• Unabhängigkeit und Fachkunde der beauftragten Person. Doppelfunktionen sind erlaubt, solange keine Interessenkonflikte entstehen.
• Dokumentation der Meldungen, zu löschen drei Jahre nach Abschluss des Verfahrens.
• Information der Beschäftigten über das interne Verfahren – und ausdrücklich auch über die externen Meldewege.

Eine Frist wird dabei fast immer falsch wiedergegeben: Die drei Monate für die Rückmeldung laufen ab der Eingangsbestätigung, nicht ab der Meldung. Wer die Bestätigung am siebten Tag versendet, hat entsprechend länger Zeit. Wurde gar nicht bestätigt, gilt eine Frist von drei Monaten und sieben Tagen ab Eingang.

Betreiben können Sie die Meldestelle mit eigenem Personal, mit einer internen Arbeitseinheit oder über einen Dritten – etwa einen Ombudsanwalt oder Dienstleister. Für Betriebe mit 50 bis 249 Beschäftigten gibt es zusätzlich eine wirtschaftlich attraktive Option: Mehrere private Unternehmen dürfen eine gemeinsame Meldestelle betreiben. Betriebe im Eigentum oder unter der Kontrolle der öffentlichen Hand – etwa eine kommunale GmbH oder Stadtwerke – sind von dieser Option ausgenommen. Die Pflicht, einen Verstoß abzustellen und dem Hinweisgeber zurückzumelden, bleibt allerdings bei jedem Beschäftigungsgeber selbst – eine vollständige Auslagerung gibt es nicht.

Anonyme Meldungen: keine Pflicht, aber eine Überlegung wert

Das Gesetz ist hier eindeutig: Es besteht keine Verpflichtung, Meldekanäle so zu gestalten, dass anonyme Meldungen möglich sind. Zugleich soll die Meldestelle anonym eingehende Hinweise bearbeiten – eine Soll-Vorschrift, keine Muss-Vorschrift.

Beide verbreiteten Extrempositionen sind damit falsch: weder muss ein anonymer Kanal her, noch dürfen anonyme Hinweise einfach ignoriert werden. Und wichtig: Wird die Identität eines zunächst anonymen Hinweisgebers später bekannt, greift der gesetzliche Schutz rückwirkend.

Zu einer kursierenden Falschmeldung: Im Netz findet sich die Behauptung, eine Gesetzesänderung vom Dezember 2025 habe ab Januar 2026 Prüf- und Nachweispflichten zur tatsächlichen Anonymität von Meldekanälen eingeführt. Das trifft nicht zu. Die betreffende Änderung stammt aus dem NIS-2-Umsetzungsgesetz und passte lediglich Verweise auf das BSI-Gesetz an. Die einzige inhaltliche Änderung des Jahres 2026 ist eine andere – dazu gleich.

Der teuerste Irrtum: die Bußgeldhöhe

Nahezu überall ist zu lesen, eine fehlende Meldestelle koste bis zu 50.000 Euro. Das ist falsch. Der Rahmen beträgt für diesen Verstoß bis zu 20.000 Euro. Die 50.000 Euro gelten für andere Tatbestände: Behinderung einer Meldung, Ergreifen einer Repressalie und Verletzung der Vertraulichkeit.

Interessanter ist der Punkt, den dieselben Ratgeber weglassen: Für Unternehmen verzehnfacht das Ordnungswidrigkeitenrecht diese Beträge – bis zu 500.000 Euro bei Behinderung, Repressalie sowie vorsätzlicher und leichtfertiger Vertraulichkeitsverletzung; selbst die fahrlässige Variante erreicht so bis zu 100.000 Euro. Für die fehlende Meldestelle gilt diese Verzehnfachung ausdrücklich nicht. Sie setzt zudem eine Tat durch eine Leitungsperson voraus und trifft den Einzelunternehmer nicht.

Die Botschaft daraus ist unbequem, aber nützlich: Das Risiko liegt nicht dort, wo die meisten es vermuten. Nicht die fehlende Meldestelle ist teuer, sondern der Umgang mit einem Hinweisgeber, der sich gemeldet hat.

Der eigentliche Hebel: die Beweislastumkehr

Repressalien gegen Hinweisgeber sind verboten – ebenso deren Androhung und Versuch. Entscheidend ist die Beweisregel dahinter, und sie gilt unabhängig von der Betriebsgröße, also auch im Betrieb mit fünf Beschäftigten.

Erleidet jemand nach einer Meldung eine berufliche Benachteiligung und macht geltend, sie sei eine Reaktion darauf, wird vermutet, dass genau das der Fall ist. Dann muss der Arbeitgeber beweisen, dass die Maßnahme auf hinreichend gerechtfertigten Gründen beruhte oder nichts mit der Meldung zu tun hatte.

Das Bundesarbeitsgericht hat im Dezember 2025 klargestellt, wie weit das reicht: Die hinweisgebende Person muss die Meldung und die Benachteiligung darlegen und beweisen – den Zusammenhang zwischen beidem muss sie lediglich behaupten, ohne ihn zu belegen. Zugleich zog das Gericht eine Grenze: Erforderlich ist eine tatsächlich erfolgte Meldung. Es genügt nicht, dass jemand geltend macht, er sei benachteiligt worden, weil er von einem Verstoß Kenntnis erlangt hatte – der bloße innere Entschluss zur Meldung löst den Schutz noch nicht aus.

Eine Konstellation hat das Gericht ausdrücklich offengelassen: ob geschützt ist, wer eine Meldung bereits angekündigt, aber noch nicht abgesetzt hat – und dem gekündigt wird, um der Meldung zuvorzukommen. In der Literatur wird das als Repressalie diskutiert. Als Arbeitgeber sollten Sie in dieser Lage von einem erheblichen Risiko ausgehen und keinesfalls darauf setzen, dass eine angekündigte Meldung schutzlos bleibt.

Praktisch heißt das für die Geschäftsführung: Jede Personalmaßnahme gegenüber jemandem, der gemeldet hat – Kündigung, Versetzung, Nichtbeförderung, Abmahnung, Gehaltsentscheidung – muss auf eigenständige sachliche Gründe gestützt und vorher aktenkundig gemacht werden. Das ist der wirtschaftlich relevanteste Teil des Gesetzes, nicht das Bußgeld.

Was gemeldet werden kann – und was nicht

Der Anwendungsbereich ist ein abschließender Katalog, nicht „jedes Fehlverhalten“:

• Alle Straftaten – hier ist das Gesetz sehr weit.
• Bußgeldbewehrte Verstöße nur eingeschränkt: nämlich soweit die verletzte Vorschrift Leben, Leib, Gesundheit oder Rechte von Beschäftigten schützt.
• Ein Katalog von Sachgebieten – unter anderem Geldwäsche, Produktsicherheit, Umweltschutz, Lebensmittel, Verbraucherrechte, Datenschutz, IT-Sicherheit und Vergaberecht oberhalb der EU-Schwellenwerte.
• Neu seit Juli 2026: Verstöße gegen die EU-KI-Verordnung. Wer KI einsetzt, sollte das mitdenken – Näheres im Beitrag zur KI-Verordnung für KMU.

Nicht erfasst sind dagegen Verstöße gegen rein interne Richtlinien, allgemeines Fehlverhalten ohne Rechtsverstoß sowie rein steuerrechtliche oder nur bußgeldbewehrte Verstöße natürlicher Personen. Steuerstraftaten sind dagegen erfasst – über die Auffangregel, die sämtliche strafbewehrten Verstöße einbezieht. Ebenfalls ausgenommen sind Berufsgeheimnisse – etwa die anwaltliche und ärztliche Verschwiegenheit.

Und noch ein verbreiteter Irrtum: Beschäftigte müssen sich nicht zuerst intern melden. Sie haben ein freies Wahlrecht zwischen interner Stelle und der externen Meldestelle beim Bundesamt für Justiz. Das Gesetz empfiehlt den internen Weg lediglich. Wer intern eine Vorrangpflicht anordnet, riskiert einen bußgeldbewehrten Verstoß gegen das Behinderungsverbot.

Was Betriebe unter 50 Beschäftigten wissen sollten

Sie müssen keine Meldestelle einrichten – von den genannten Finanzsektor-Ausnahmen abgesehen. Alles Übrige gilt trotzdem: das Repressalienverbot samt Beweislastumkehr, der Schadensersatzanspruch, das Behinderungsverbot und das Recht der Beschäftigten, sich direkt an die Behörde zu wenden.

Daraus ergibt sich eine Überlegung, die über die reine Pflichterfüllung hinausgeht: Ohne internen Kanal erfahren Sie von einem Missstand möglicherweise erst durch die Behörde. Ein freiwilliger, niedrigschwelliger Meldeweg ist deshalb auch unterhalb der Schwelle weniger Bürokratie als Risikovorsorge – und deutlich billiger als ein Verfahren, in dem Sie die Beweislast tragen.

Häufige Fragen

Ab wie vielen Beschäftigten brauchen wir eine interne Meldestelle?
Ab in der Regel 50 Beschäftigten. Für Betriebe ab 250 Beschäftigten galt die Pflicht seit dem 2. Juli 2023, für 50 bis 249 Beschäftigte seit dem 17. Dezember 2023. Unabhängig von der Größe – also ab dem ersten Beschäftigten – gilt sie für Unternehmen des Finanz-, Wertpapier-, Krypto-, Zahlungsdienste- und Versicherungssektors sowie für Börsenträger.

Zählen Teilzeitkräfte voll mit?
Nach überwiegender Auffassung ja, denn anders als im Kündigungsschutzrecht enthält das Hinweisgeberschutzgesetz keine Umrechnungsregel auf Vollzeitstellen. Ausdrücklich geregelt ist das allerdings nicht, und höchstrichterlich geklärt ist es ebenfalls nicht. Wer nahe an der Schwelle von 50 liegt, sollte die Meldestelle vorsichtshalber einrichten – auch weil ungeklärt ist, ob Leiharbeitnehmer beim Entleiher mitzählen.

Müssen wir anonyme Meldungen ermöglichen?
Nein. Das Gesetz stellt ausdrücklich klar, dass keine Verpflichtung besteht, die Meldekanäle für anonyme Meldungen auszugestalten. Anonym eingehende Hinweise sollen allerdings bearbeitet werden – das ist eine Soll-Vorschrift. Wird die Identität eines zunächst anonymen Hinweisgebers später bekannt, greift der gesetzliche Schutz.

Wie hoch ist das Bußgeld, wenn wir keine Meldestelle haben?
Bis zu 20.000 Euro – nicht 50.000, wie häufig zu lesen ist. Der Rahmen von 50.000 Euro gilt für Behinderung einer Meldung, Repressalien und Vertraulichkeitsverletzungen; bei Unternehmen erhöht sich dieser Betrag über das Ordnungswidrigkeitenrecht auf bis zu 500.000 Euro. Für die fehlende Meldestelle gilt diese Verzehnfachung ausdrücklich nicht.

Was bedeutet die Beweislastumkehr für uns als Arbeitgeber?
Wird eine Person nach einer Meldung beruflich benachteiligt und behauptet sie einen Zusammenhang, wird vermutet, dass die Maßnahme eine Repressalie war. Sie als Arbeitgeber müssen dann beweisen, dass die Maßnahme sachlich gerechtfertigt war oder nichts mit der Meldung zu tun hatte. Das Bundesarbeitsgericht hat 2025 bestätigt, dass der Hinweisgeber den Zusammenhang lediglich behaupten muss. Personalmaßnahmen gegenüber Hinweisgebern sollten deshalb vorab dokumentiert begründet werden.

Müssen Beschäftigte sich zuerst intern melden?
Nein. Es besteht ein freies Wahlrecht zwischen der internen Meldestelle und der externen Meldestelle beim Bundesamt für Justiz. Das Gesetz empfiehlt den internen Weg lediglich, wenn intern wirksam abgeholfen werden kann. Wer eine interne Vorrangpflicht anordnet oder Meldungen erschwert, riskiert einen bußgeldbewehrten Verstoß gegen das Behinderungsverbot.

Brauchen wir eine spezielle Whistleblowing-Software?
Nicht zwingend. Das Gesetz verlangt Meldungen in mündlicher oder in Textform – ein zugriffsgeschütztes Postfach oder ein Webformular genügt, ergänzt um die Bereitschaft zu einem persönlichen Gespräch auf Wunsch. Eine Softwarelösung lohnt vor allem, wenn Sie Anonymität ermöglichen wollen. Dann lösen Sie allerdings die Mitbestimmung des Betriebsrats bei technischen Einrichtungen und in aller Regel eine Datenschutz-Folgenabschätzung aus.

Quellen

• Hinweisgeberschutzgesetz (HinSchG) – Volltext
• § 12 HinSchG – Pflicht zur Einrichtung interner Meldestellen
• § 16 HinSchG – Interne Meldekanäle
• § 36 HinSchG – Verbot von Repressalien
• § 40 HinSchG – Bußgeldvorschriften
• Bundesamt für Justiz: Externe Meldestelle des Bundes
• BAG, Urteil vom 4. Dezember 2025 – 2 AZR 51/25
• Richtlinie (EU) 2019/1937 (Whistleblower-Richtlinie)

Stand: September 2026. Dieser Beitrag gibt einen allgemeinen Überblick und stellt keine Rechtsberatung dar. Einzelne Fragen – etwa die Zählweise der Beschäftigten oder die Zulässigkeit konzernweiter Meldestellen – sind nicht abschließend geklärt und sollten im Einzelfall arbeitsrechtlich geprüft werden.

Dieser Beitrag ist Teil unseres Leitfadens Digitalisierung im KMU – dort finden Sie alle Themen im Überblick.