I. Einführung 

Warum Sie diesen Beitrag lesen sollten? Weil der Trugschluss, ESG sei ein reines Wohlfühlthema, das Management künftig Kopf und Kragen kosten kann. Mit der anstehenden Novellierung des Umweltstrafrechts (Richtlinie (EU) 2024/1203) rückt Nachhaltigkeit direkt in den Fokus der Staatsanwaltschaften. Dieser Beitrag veranschaulicht, wie IT-Sicherheitslücken zu erheblichen Umweltschäden führen und neue Unternehmensgeldbußen von bis zu 40 Millionen Euro mit sich bringen können. Handeln Sie rechtzeitig und zukunftsorientiert.

1. Wichtige zeitliche Daten (Fristen)

• 21. Mai 2026: Dies war die offizielle Frist der Europäischen Union, bis zu der die Richtlinie (EU) 2024/1203 in nationales Recht umgesetzt werden musste. Da dieses Datum bereits verstrichen ist, wird der Gesetzentwurf von der Bundesregierung als besonders eilbedürftig behandelt.
  
  
• Inkrafttreten: Der Gesetzentwurf sieht weder eine Karenzzeit noch Übergangsfristen vor. Das Gesetz tritt unmittelbar am Tag nach der Verkündung in Kraft.
  
  
• 30. Dezember 2026: Zu diesem Zeitpunkt beginnt für bestimmte Unternehmen die Wirksamkeit der EU-Entwaldungsverordnung (EUDR). Der Entwurf weist darauf hin, dass die entsprechende Strafbarkeit für Verstöße gegen ebendiese Verordnung in einem gesonderten, künftigen Gesetzgebungsverfahren umgesetzt wird.
  
  
• 21. Mai 2027: Das ist der Stichtag, bis zu dem Deutschland verpflichtet ist, eine umfassende „Nationale Strategie zur Bekämpfung der Umweltkriminalität“ festzulegen sowie zu veröffentlichen.

2. Maßgebliche finanzielle Daten (Modifizierte Haftungssummen)

• 40 Millionen Euro: Das ist das vorgesehene neue Höchstmaß für Verbandsgeldbußen (vgl. § 30 OWiG), sofern eine Leitungsperson eine vorsätzliche Straftat begeht.
  
  
• 20 Millionen Euro: Das ist das geplante neu angesetze Höchstmaß für Verbandsgeldbußen, wenn der Leitungsperson fahrlässiges Handeln vorzuwerfen ist.
  
  
• Strafrahmen 1 bis 10 Jahre: Der neue Strafrahmen für Freiheitsstrafen bei besonders schweren Fällen von Umweltstraftaten („qualifizierte Straftaten“), wenn beispielsweise ein Ökosystem weitreichend und langfristig geschädigt wird.
  
  
• Mindestens 3 Jahre: Dies ist die festgelegte Mindestfreiheitsstrafe, wenn durch eine vorsätzliche Umweltstraftat der Tod eines Menschen verursacht wird.

3. Wichtige behördliche Daten (Verfahrenskosten)

• 9.000 Euro: Die neue Höchstgebühr, die in Bußgeldverfahren der Verwaltungsbehörden verlangt werden kann (bisher lediglich 7.500 Euro).
  
  
• 30 Euro: Die neue Mindestgebühr für solche Verfahren (bisher 25 Euro).
  
  
• 5,50 Euro: Die neue Auslagenpauschale für Postzustellungen durch Behörden und Gerichte (bisher 3,50 Euro).

Die sehr hohen Bußgelder von bis zu 40 Millionen Euro knüpfen direkt an die Pflichtverletzung von zuständigen Leitungspersonen an. Damit wird die Corporate Governance unweigerlich in die Pflicht des gesamten Managements genommen.

Um Haftungsrisiken proaktiv zu minimieren, müssen C-Level und Compliance folgende Pflichten operativ umsetzen:

1. Verpflichtende Verknüpfung der Risikoanalysen (IT & Umwelt)

• Der Status quo: Bisher arbeiten IT-Sicherheitsbeauftragte (NIS-2/DORA) und Umweltmanager isoliert voneinander.
  
  
• Die neue Pflicht: Die Risikoanalyse des Unternehmens muss unbedingt um die Konstellation erweitert werden, bei der Cyber-Vorfälle physische Umweltschäden (z. B. durch fehlerhafte Anlagensteuerung) auslösen. Da künftig bereits die bloße Eignung zur Verursachung von erheblichen Schäden strafbar ist (Eignungsdelikte), müssen solche Risiken im Vorfeld identifiziert und technisch sowie rechtlich abgesichert werden.

2. Etablierung einer rechtssicheren Präventiv-Compliance

• Hintergrund: Der neue § 30 Abs. 2a OWiG-E erfasst zum ersten Mal gesetzlich, dass vor einer Tat getroffene, geeignete Compliance-Vorkehrungen die Verbandsgeldbuße drastisch mindern können.
  
  
• Die operative Pflicht: Das C-Level muss nachweislich funktionierende Kontrollsysteme implementieren, die unter Berücksichtigung von Unternehmensgröße, Branche und spezifischem Risikoprofil angemessen und zumutbar sind. Dazu gehören der Erlass hinreichend bestimmter, aktualisierter Richtlinien sowie die kontinuierliche Schulung der Mitarbeiter zur Vermeidung unternehmensbezogener Strafverfolgung.

3. „Tone from the top“ aktiv vorleben

• Hintergrund: Compliance-Systeme werden vor Gericht nicht anerkannt, wenn die Führungsebene sie selbst nicht beachtet oder umgeht.
  
  
• Die Pflicht des C-Level: Die Geschäftsleitung trifft die Pflicht zu einer gelebten und transparenten Compliance-Kultur. Wenn Mitgliedern des C-Level selbst Verstöße vorzuwerfen sind, entfällt jeglicher Anspruch auf Bußgeldminderung. Wenn die Compliance-Struktur nur zum Schein vorgenommen wird („Window Dressing“), wird das vom Gericht strafverschärfend berücksichtigt.

4. Hinweisgebersysteme und interne Ermittlungsprozesse („Nachtat-Compliance“)

• Hintergrund: Das Aufdecken von Straftaten und das aktive Bemühen um Schadenswiedergutmachung wirken ebenfalls stark bußgeldmindernd.
  
  
• Die operative Pflicht: Es müssen vertrauliche Meldekanäle (im Einklang mit dem HinSchG) zur Verfügung stehen, die es Mitarbeitern ermöglichen, interne Missstände frühzeitig anzuzeigen. Tritt ein Verdachtsmoment auf, ist die Compliance-Leitung verpflichtet, diesen aufzuklären, das Fehlverhalten arbeitsrechtlich zu ahnden und die Schwachstellen im CMS umgehend zu schließen.

5. Lückenlose Dokumentation in der Projekt- und Produkt-Compliance

• Hintergrund: Der neue § 327a StGB-E setzt die ungenehmigte Ausführung von UVP-pflichtigen Vorhaben unter Strafe, während § 325 Abs. 2 StGB-E das Inverkehrbringen umweltgefährdender Produkte ahndet.
  
  
• Die operative Pflicht: Künftig muss vor dem Start von entsprechenden Großprojekten oder der Markteinführung neuer Erzeugnisse bezüglich der Einhaltung aller behördlichen Auflagen, Genehmigungsprozesse und Umweltverträglichkeitsprüfungen eine revisionssichere Dokumentation gewährleistet werden.

Im Rahmen einer Detailbetrachtung der persönlichen Management-Risiken gilt es insbesondere folgende Risiken zu beachten:

1. Die zivilrechtliche Innenhaftung (Privatvermögen)

Vorstände und Geschäftsführer unterliegen der sogenannten „Legalitätspflicht“ – sie müssen dafür sorgen, dass das Unternehmen rechtmäßig handelt. Wenn es an einem angemessenen, technisch adäquaten Compliance-Management-System (CMS) mangelt oder entsprechende Warnsignale ignoriert werden, kann das Unternehmen Schadensersatz vom Manager fordern. Das größte Risiko hierbei: Es gilt die Beweislastumkehr. Der Manager muss lückenlos beweisen, dass er seine Pflichten erfüllt und angemessene Präventivmaßnahmen getroffen hat (deswegen ist die vorstehend unter Punkt 5 aufgeführte revisionssichere Dokumentation so wichtig).

2. Aufsichtspflichtverletzung (§ 130 OWiG)

Dies ist einer der häufigsten Hebel der Ermittlungsbehörden, um das Management unmittelbar zu sanktionieren. Wenn Mitarbeiter Straftaten begehen (wie beispielsweise die ungenehmigte Freisetzung von Schadstoffen oder Datenpannen) und diese durch „angemessene Aufsichtsmaßnahmen“ hätten verhindert werden können, hat dies letztlich zur Konsequenz, dass die Geschäftsleitung persönlich haften muss. Ein nicht existentes oder mangelhaftes Kontrollsystem gilt eo ipso – also automatisch – als Aufsichtspflichtverletzung.

3. Strafrechtliche Garantenstellung (Beihilfe durch Unterlassen gem. § 13 StGB)

Das C-Level und der Compliance-Officer haben eine rechtliche „Garantenstellung“ für das Unternehmen. Wenn das Management von Missständen erfährt (z. B. durch das Hinweisgebersystem) und nicht aktiv einschreitet, um die Tat zu stoppen, wird dies strafrechtlich als aktive Beihilfe zu einer Straftat qualifiziert. Die Ausrede „Ich habe das ja nicht selbst gemacht“ hat vor Gericht keinen Bestand.

4. Das Risiko für die D&O-Versicherung

Viele Manager verlassen sich auf die Manager-Haftpflichtversicherung (Directors & Officers Versicherung). Diese greift jedoch ausschließlich bei leichter oder normaler Fahrlässigkeit. Wenn ein Unternehmen wissentlich auf den Aufbau einer „rechtssicheren Präventiv-Compliance“ verzichtet, werten Gerichte und Versicherer dies zunehmend als grobes Verschulden oder schlimmstenfalls sogar als Vorsatz. In diesem Fall verweigert die Versicherung den Schutz sowie die Zahlung, sodass das C-Level vollumfänglich selbst haftet.

Um der zivil- und strafrechtlichen Inanspruchnahme wirksam vorzubeugen und die Exkulpationsmöglichkeit (Entlastungsbeweis) des Managements zu sichern, empfehlen sich folgende vordringliche Maßnahmen:

1. Durchführung integrierter Risiko-Audits (Silos aufbrechen)

Die isolierte Betrachtung von Risiken reicht nicht mehr aus. Es muss zwingend ein interdisziplinäres Risk-Assessment etabliert werden, das IT-Sicherheit, Umweltschutz und rechtliche Compliance verknüpft. Konkret sollten regelmäßige Audits prüfen, ob beispielsweise Cyber-Bedrohungen (Hacking, Systemausfälle) zu physischen Umweltschäden oder Datenschutzverstößen führen können. Diese Szenarien müssen dokumentiert und in entsprechende Notfallpläne aufgenommen werden.

2. Saubere Delegation und Definition der Verantwortlichkeiten

Die Geschäftsleitung kann und muss Aufgaben delegieren, bleibt aber in der Aufsichtspflicht. Um sich hier abzusichern, müssen die Berichtswege, Zuständigkeiten und Eskalationsstufen schriftlich und hinreichend bestimmt definiert werden (z. B. durch eine RACI-Matrix). Nur wenn das C-Level nachweisen kann, dass Aufgaben an sorgfältig ausgewählte, fachlich qualifizierte Personen (wie den Compliance-Officer oder CISO) übergeben und diese regelmäßig überwacht wurden, greift der Haftungsschutz. Dementsprechend gelingt den verantwortlich handelnden Personen der Entlastungsbeweis.

3. Implementierung eines beweissicheren "Incident Response Plans"

Ein Hinweisgebersystem allein genügt nicht; entscheidend ist der prozessuale Umgang mit den Meldungen. Es bedarf eines vorab klar ausgestalteten Notfallplans (Incident Response), der exakt regelt, wer im Falle eines Compliance-Verstoßes (Verdachtsmoments) in Kenntnis gesetzt wird, wie die interne Untersuchung ("Internal Investigation") abläuft und ab wann externe Rechtsbeistände oder Behörden eingeschaltet werden müssen. Dies ist der Kern einer funktionierenden Nachtat-Compliance.

4. Revisionssichere Dokumentation und Zertifizierung

Um die Beweislastumkehr bei der zivilrechtlichen Innenhaftung abzuwenden, muss das Compliance-Management-System (CMS) jederzeit lückenlos nachweisbar sein. Dies gelingt am besten durch die Einführung von Systemen, die gängigen Standards entsprechen (wie beispielsweise der ISO 37301 für Compliance-Management oder ISO 27001 für Informationssicherheit). Sämtliche Schulungen, Richtlinien-Updates und Kontrollmaßnahmen des C-Levels müssen mit Datum, Teilnehmern und Inhalten gerichtsfest protokolliert werden.

5. Aktive Überprüfung der D&O-Versicherungsbedingungen

In Anbetracht der drohenden Deckungslücken bei "grobem Verschulden" sollte die bestehende Manager-Haftpflichtversicherung (D&O) zwingend juristisch geprüft werden. Verträge sollten im besten Fall entsprechende Klauseln enthalten, die den Versicherungsschutz nicht sofort entfallen lassen, wenn erste Vorwürfe einer Aufsichtspflichtverletzung im Raum stehen (z. B. durch vorläufigen Rechtsschutz für die Abwehr von Organhaftungsansprüchen).

Die regulatorische Verdichtung durch NIS-2, DORA sowie die anstehenden StGB- und OWiG-Novellen zwingt das Management zum sofortigen Handeln. Ein Abwarten bis zum Verstreichen von Übergangsfristen begründet bereits ein eigenständiges Haftungsrisiko. Wer die Implementierung eines wirksamen, interdisziplinären Compliance-Management-Systems (CMS) verzögert, beraubt sich im Schadensfall jeglicher Exkulpationsmöglichkeit und riskiert die persönliche Inanspruchnahme wegen grob fahrlässiger Aufsichtspflichtverletzung (§ 130 OWiG i. V. m. § 93 AktG bzw. § 43 GmbHG).

Aufgrund der strengen Beweislastumkehr bei der zivilrechtlichen Innenhaftung ist ein proaktives Handeln ex ante unerlässlich. Nur ein zeitnah etabliertes, revisionssicheres CMS schützt das Privatvermögen des C-Levels und sichert den D&O-Versicherungsschutz. Die Erfüllung dieser unabdingbaren Legalitätspflicht duldet daher keinen rechtlichen Aufschub.

Deutscher Bundestag, Drucksache 21/6668 – Stellungnahme des Bundesrates und Gegenäußerung der Bundesregierung: Entwurf eines Gesetzes zur Änderung des Strafrechts - Umsetzung der Richtlinie (EU) 2024/1203 über den strafrechtlichen Schutz der Umwelt sowie zur Änderung der Zustellungspauschalen und Gebühren im Gesetz über Ordnungswidrigkeiten und in den Justizkostengesetzen, veröffentlicht am 24.06.2026:https://dserver.bundestag.de/btd/21/066/2106668.pdf [PDF], abgerufen am 08.07.2026.

Deutscher Bundestag, Drucksache 21/6133 – Gesetzentwurf der Bundesregierung: Entwurf eines Gesetzes zur Änderung des Strafrechts - Umsetzung der Richtlinie (EU) 2024/1203 über den strafrechtlichen Schutz der Umwelt sowie zur Änderung der Zustellungspauschalen und Gebühren im Gesetz über Ordnungswidrigkeiten und in den Justizkostengesetzen, veröffentlicht am 26.05.2026:https://dserver.bundestag.de/btd/21/061/2106133.pdf [PDF], abgerufen am 08.07.2026.

Strategische Exzellenz auf C-Level erfordert kontinuierliche Orientierung. Damit du nach deinem Lehrgang nicht allein gelassen wirst, haben wir S+P C.O.R.E. entwickelt.

S+P Mehrwert-Garantie: Dein Wissens-Vorsprung für 2026

Jede Buchung eines S+P Seminars beinhaltet automatisch den kostenfreien Zugang zum quartalsweisen S+P C.O.R.E. Executive Update. Warum? Weil wir wissen, dass die regulatorische Welt nicht stillsteht. Wir halten dein Wissen aktuell – garantiert.

I. Einführung in die Thematik

Die Anforderungen an Interne Revision, Compliance und Governance haben sich mit den Global Internal Audit Standards (GIAS) grundlegend verschärft. Was bislang als „Best Practice“ galt, wird zunehmend zum verbindlichen Maßstab – auch im Hinblick auf persönliche Haftungsrisiken für das C-Level.

Dieser Beitrag zeigt, was heute eine wirksame Interne Revision tatsächlich ausmacht: nicht nur formal implementierte Strukturen, sondern ein belastbares, prüfbares und GIAS-konformes Revisionssystem, das Risiken frühzeitig erkennt und wirksam adressiert. Ziel ist es, die zentralen Elemente guter Revisionspraxis systematisch aufzufächern – von Governance und Prüfmethodik bis hin zu Qualitätssicherung und Dokumentation.

Wer die GIAS nicht konsequent berücksichtigt, riskiert nicht nur Defizite in der Prüfungsqualität, sondern auch eine angreifbare Entlastungsbasis im Haftungsfall. Dieser Text liefert die notwendige Orientierung, um die Interne Revision strategisch, regulatorisch und haftungssicher neu auszurichten.

Hier ist die Übersicht der wesentlichen zeitlichen Fenster und Termine für die Interne Revision im Jahr 2026, übersichtlich und komplett ohne Fußnoten:

1. Spezifische Stichtage und Neuerungen in 2026

• 5. Februar 2026 – Inkrafttreten der Cybersecurity-Vorgaben:

  Ab diesem Datum werden die themenspezifischen Anforderungen (Topical Requirements) des Institute of Internal Auditors (IIA) für den Bereich Cybersicherheit verbindlich. Sie müssen ab diesem Stichtag zwingend in die entsprechenden Prüfungstätigkeiten einbezogen werden.

• Laufendes Jahr 2026 – Öffentliche Konsultationen:

Das IIA plant für diesen Zeitraum weitere Konsultationen zu neuen „Topical Requirements“.

Im Fokus stehen dabei voraussichtlich die Bereiche Organisationsverhalten (Organisational Behaviour) und organisatorische Widerstandsfähigkeit (Organisational Resilience).

2. Jährliche und wiederkehrende Fristen

• Jährliche Risikobeurteilung und Revisionsplanung:

  Gemäß Standard 9.2 der neuen Global Internal Audit Standards (GIAS) muss die Revisionsleitung einen Prüfungsplan erstellen, der auf einer dokumentierten Beurteilung der Strategien, Ziele und Risiken der Organisation basiert. Diese Evaluierung ist mindestens jährlich durchzuführen. Hierbei wird oft die aktuelle Ausgabe der Studie „Risk in Focus“ (für 2026) als Maßstab für wesentliche und aufkommende Risiken herangezogen.
  
  

• Fünfjahres-Turnus für das External Quality Assessment (EQA):

  Eine externe Qualitätsbeurteilung der Internen Revision ist alle fünf Jahre vorgeschrieben. Für Abteilungen, die ihr letztes Assessment im Jahr 2021 absolviert haben, steht 2026 die nächste Überprüfung an. Diese erfolgt dann bereits nach dem aktualisierten Quality Assessment Manual und den neuen Kriterien der GIAS.

3. Der formale Rahmen

• Vollständige GIAS-Konformität:

  Die allgemeine Übergangsfrist für die neuen Global Internal Audit Standards ist bereits am 9. Januar 2025 abgelaufen. Das Jahr 2026 stellt somit einen Zeitraum dar, in dem von den Revisionsabteilungen erwartet wird, dass sie lückenlos und vollständig nach dem neuen Regelwerk arbeiten.

Eine solide, gut funktionierende Interne Revision muss heute mehrschichtige Pflichtblöcke erfüllen: Governance/Organisation, fachlich‑methodische Standards und Qualitätssicherung/Beweisvorsorge.

1. Governance und Organisation

• Klare Verankerung im Mandat/schriftlich fixierten Ordnung: Selbstverpflichtung auf die GIAS als Berufsstandard, definierte Aufgaben, Unabhängigkeit, Berichtslinien und Zugriffrechte.
  
  
• Organpflichten erfüllen: Vorstand/Geschäftsführung müssen eine angemessen organisierte, mit Ressourcen ausgestattete Revision einrichten (insb. i.S.v. § 93 AktG, § 43 GmbHG, § 25a KWG analog zu den inhaltlichen GIAS‑Vorgaben).

Kernpflicht: Die Revisionsleitung hat eine Revisionsstrategie zu konzipieren, jährlich mit Geschäftsleitung und Überwachungsorgan abzustimmen und Leistungsziele zur Genehmigung vorzulegen.

2. Fachlich‑methodische Standards

• Einhaltung der GIAS‑Domänen und Prinzipien: Zweck, Ethik/Professionalität, Governance der Revision, Leitung der Revision und Erbringung von Revisionsleistungen sind entlang der 15 Prinzipien und 52+ Standards umzusetzen.
  
  
• Risikoorientierte Prüfungsplanung und Durchführung: Revisionsplan, Prüfungsprogramme, Einsatz von Datenanalysen/Technologie (z.B. KI, Data Analytics) sowie die enge Verzahnung mit GRC‑Prozessen sind explizit gefordert.

3. Qualitätssicherung und externe Quality Assessments

• Internes QS‑System: Vorgaben zur Leistungsmessung, regelmäßige interne Reviews und jährliche Beurteilung der Revisionsleitung durch das Organ sind vorgesehen.
  
  
• Externe Qualitätsbeurteilung: Die GIAS und DIIR‑3 verlangen periodische externe Quality Assessments, künftig mit der Anforderung, dass mindestens ein Prüfer CIA‑qualifiziert ist.
  Die Revision muss zudem geeignete Nachweise der Standard‑Einhaltung führen (Dokumentation von Prozessen, Methoden, Schulungen, Prüfungsdurchführung und ‑berichten).

4. Ethik, Kompetenz und Fortbildung

• Ethik und Berufsausübung: Integrität, Objektivität, Vertraulichkeit und fachliche Kompetenz sind als verbindliche Anforderungen verankert.
  
  
• Kontinuierliche Weiterbildung: Mindestanforderungen an berufliche Fortbildung und gezielten Kompetenzaufbau (inkl. GIAS‑Kenntnis, Umgang mit Technologien, Spezialthemen wie Cyber oder Nachhaltigkeit) sind vorgesehen.
  Eine gut funktionierende Revision entsteht damit nicht allein durch „Vorhandensein“, sondern durch nachweisbare Umsetzung dieser Governance‑, Methoden‑ und Qualitätspflichten entlang der GIAS und der darauf aufsetzenden IDW/DIIR‑Standards.

Bei einer Internen Revision nach aktuellen Standards stehen vier Haftungsfelder im Fokus: Organhaftung (Vorstand/GF/Aufsichtsrat), Haftung aus Organisationsverschulden, persönliche Haftung in der Revision selbst und Haftungsrisiken aus Nichterfüllung der neuen Prüfungs‑ und QA‑Standards.

1. Organhaftung wegen mangelhafter Organisation (IRS/Governance)

• Leitungsorgane haften persönlich, wenn sie keine angemessene, wirksame Revisionsfunktion einrichten bzw. überwachen (Organisationsverschulden nach § 93 AktG, § 43 GmbHG, analog auch im GmbH‑Kontext).
  
  
• Fehlt eine GIAS‑konforme, risikoorientierte Interne Revision, kann im Schadensfall (z.B. Fraud, IT‑Ausfall, Compliance‑Verstoß) argumentiert werden, dass Überwachungs‑ und Legalitätspflichten verletzt wurden; FISG und aktuelle Rechtsprechung erhöhen hier den Druck.
  
  Risikokern: „Revision vorhanden, aber nicht angemessen organisiert“ reicht im Haftungsprozess regelmäßig nicht mehr zur Enthaftung.

2. Haftung wegen unzureichender oder fehlender Quality Assessments

• Die nicht oder nur formal durchgeführte externe Qualitätsbeurteilung des Internen Revisionssystems (z.B. kein QA nach GIAS/DIIR‑3/IDW PS 983 n.F.) kann als Indiz für Organisationsverschulden und fehlende Überwachung des IRS gewertet werden.
  
  
• Wer trotz bekannter QA‑Defizite keine wirksamen Maßnahmen ergreift, riskiert neben BaFin‑Rügen (bei regulierten Instituten) ausdrücklich persönliche Haftung von Vorstand und Aufsichtsrat.
  

Risikokern: „Kein oder schlechtes QA und keine Reaktion“ schwächt die Entlastungsstory massiv.

3. Haftung durch Nichtbeachtung von GIAS und IDW PS 983 n.F.

• IDW PS 983 n.F. verankert die GIAS als Referenzrahmen für die Prüfung des Internen Revisionssystems; eine deutliche GIAS‑Non‑Conformance kann in Gutachten und Berichten explizit als Mangel des IRS benannt werden.
  
  
• Verlassen sich Organmitglieder auf ein schwach aufgesetztes IRS (z.B. veraltete IPPF‑Logik, keine Topical Requirements, keine aktuelle SfO), kann das im Schadenfall als Verstoß gegen die Business Judgement Rule gewertet werden („keine Entscheidung auf angemessener Informationsgrundlage“).
  Risikokern: Wer die neuen Standards ignoriert, verliert im Ernstfall die Argumentationsbasis, „nach anerkannten Standards“ organisiert zu haben.

4. Persönliche Haftung von Revisionsleitung und Revisoren

• Fehlerhafte Prüfungen (grobe Pflichtverletzungen, offensichtliche Prüfungslücken, Ignorieren von Warnsignalen) können zu zivilrechtlicher Haftung und – im Extremfall – strafrechtlicher Verantwortlichkeit führen, insbesondere für die Leitung der Internen Revision.
  
  
• Unzureichende Dokumentation (Arbeitsprogramme, Arbeitspapiere, Follow‑up) erschwert den Nachweis ordnungsgemäßer Prüfungsarbeit und erhöht das persönliche Haftungsrisiko für Revisoren.
  Risikokern: „Nicht oder schlecht dokumentiert“ wird im Streitfall wie „nicht gemacht“ gewertet.

5. Haftung aus vernachlässigten Risikofeldern (Topical Requirements)

• Werden wesentliche Risikofeldern, die in den GIAS‑Topical Requirements adressiert sind (insb. Cybersecurity, Third‑Party, Organizational Behavior), trotz eindeutiger Gefährdungslage nicht angemessen geprüft, drohen Organ‑ und ggf. Revisionshaftung bei Eintritt eines Schadensereignisses.
  
  
• Gerade bei IT‑Ausfällen, Lieferketten‑/Outsourcing‑Problemen oder Conduct‑Skandalen wird zunehmend geprüft, ob Revision und Management die anerkannten Themenstandards berücksichtigt haben.
  Risikokern: „Topical Requirements konsequent ignoriert“ = Verstoß gegen Berufsmaßstab und Risiko‑Beherrschungspflicht.

6. Haftungsrisiko durch fehlende oder schwache Entlastungsdokumentation

• Ohne konsistente Dokumentation von Revisionsstrategie, Mandat, QA‑Berichten, Maßnahmenregistern und Eskalationen ist eine Enthaftung der Organe im Streitfall deutlich erschwert.
  
  
• Die Rechtsprechung betont, dass ohne belastbare Dokumentation ein funktionierendes Compliance‑/Revisionssystem kaum nachweisbar ist; die Beweislastlastigkeit liegt faktisch bei den Organen.
  Risikokern: „Kein Papier, kein System“ – fehlende Nachweise sind selbst ein Haftungsrisiko.

Ein tragfähiger Maßnahmenkatalog sollte fünf Ebenen abdecken: Governance, Prüfarchitektur, Qualitätssicherung, Ressourcen/Skills und Dokumentation – jeweils GIAS‑ und IDW‑kompatibel gedacht.

1. Governance & Mandat

• Mandat/SfO GIAS‑konform aktualisieren: Auftrag, Unabhängigkeit, Berichtslinien, Zugriffsrechte, Verantwortung der IR klar und schriftlich festlegen, inkl. risikobasierter Jahresplan und Eskalationswege an GL/Aufsichtsorgan.
• Revisionsstrategie beschließen: Mehrjährige, risikoorientierte Strategie (Risikouniversum, Prüfzyklen, Technologieeinsatz, Rolle in GRC) vom C‑Level/Aufsichtsorgan genehmigen und jährlich fortschreiben.

2. Prüfarchitektur & Methodik

• Risikobasierter Prüfplan: Systematischer Prüfplan über mehrere Jahre, abgestützt auf Unternehmens‑Risikoanalyse, Wesentlichkeit, Materiality und Wirtschaftlichkeit.
  
  
• Standardisierter Prüfprozess: Klar definierter Audit‑Lifecycle (Planung, Risikoscoping, Fieldwork, Befundanalyse, Reporting, Follow‑up, Lessons Learned) mit verbindlichen Methoden, Templates und Rollen.

3. Qualitätssicherung & externe Beurteilung

• Internes QS‑Programm: Regelmäßige interne Reviews, KPI‑Set (z.B. Umsetzungsquote Maßnahmen, Durchlaufzeiten, Abdeckungsgrad Risikouniversum), jährliche Selbstbeurteilung gegen GIAS.
  
  
• Externes Quality Assessment: QA‑Zyklus (mindestens alle 5 Jahre) nach GIAS/DIIR‑3/IDW PS 983 n.F. etablieren und Management‑Reaktion auf Feststellungen (Maßnahmenplan, Monitoring) verbindlich regeln.

4. Ressourcen, Skills & Technologie

• Ressourcenplan & Budget: Angemessene personelle und sachliche Ausstattung auf Basis des Prüfplans, inkl. Fachspezialisten (IT, Cyber, Outsourcing, Regulatorik) und möglicher Co‑/Outsourcing‑Modelle.
  
  
• Kompetenz‑ und Schulungsprogramm: Systematischer Aufbau von GIAS‑Know‑how, Branchen‑/Regulierungskompetenz, Data‑Analytics/KI‑Skills sowie Soft Skills, dokumentiert in einer Kompetenzmatrix.

5. Reporting, Maßnahmen‑Management & Dokumentation

• Klare, adressatengerechte Berichte: Standard für Berichtsaufbau (Risiko, Ursachen, Maßnahmen, Fristen, Verantwortliche), inklusive Management‑Antwort und expliziter Bewertung der Wirksamkeit von Kontrollen.
  
  
• Strenges Maßnahmen‑ und Follow‑up‑System: Zentrales Maßnahmenregister, Status‑Tracking bis Wirksamkeitsnachweis, regelmäßige Berichterstattung an C‑Level/Aufsichtsrat (inkl. „rote Linien“ bei Nichtumsetzung).

6. GIAS‑Readiness & Rechtskonformität

• GIAS‑Gap‑Analyse: Systematischer Soll‑Ist‑Abgleich der fünf GIAS‑Domains und 15 Prinzipien auf IRS‑Ebene (Mandat, Governance, Methodik, Qualität, Ressourcen), inkl. priorisiertem Maßnahmenplan.
  
  
• Verzahnung mit Rechtsrahmen: Konsistente Anbindung an AktG/GmbHG‑Organpflichten, KWG/MaRisk bzw. branchenspezifische Normen sowie IDW PS 983 n.F. (Angemessenheits‑/Wirksamkeitsprüfung).

Institute of Internal Auditors (IIA), Global Internal Audit Standards (GIAS), veröffentlicht am 09.01.2024: https://www.theiia.org/globalassets/site/standards/editable-versions/global-internal-audit-standards-german.pdf [PDF], abgerufen am 03.07.2026.

Institut der Wirtschaftsprüfer in Deutschland e.V. (IDW), IDW PS 983 n.F. (12.2025) – Grundsätze ordnungsmäßiger Prüfung von Internen Revisionssystemen: https://www.idw.de/idw/idw-aktuell/pruefung-von-internen-revisionssystemen-neufassung-des-idw-pruefungsstandards-idw-ps-983-n-f-12-2025.html, abgerufen am 03.07.2026.

Deutsches Institut für Interne Revision e.V. (DIIR), DIIR-Revisionsstandard Nr. 3 (Neufassung vom 15.12.2025): https://www.diir.de/content/uploads/2025/12/DIIR-Revisionsstandard-Nr.-3-20251215.pdf [PDF], abgerufen am 03.07.2026.

Strategische Exzellenz auf C-Level erfordert kontinuierliche Orientierung. Damit du nach deinem Lehrgang nicht allein gelassen wirst, haben wir S+P C.O.R.E. entwickelt.

S+P Mehrwert-Garantie: Dein Wissens-Vorsprung für 2026

Jede Buchung eines S+P Seminars beinhaltet automatisch den kostenfreien Zugang zum quartalsweisen S+P C.O.R.E. Executive Update. Warum? Weil wir wissen, dass die regulatorische Welt nicht stillsteht. Wir halten dein Wissen aktuell – garantiert.

I. Einführung in die Thematik

Als CFO, Geldwäschereibeauftragter oder Financial Compliance Officer in der Schweiz stehen Sie 2026 im unmittelbaren Fadenkreuz verschärfter Haftungs– und Strafbestimmungen. Die Annahme, dass das Schweizer Recht im Vergleich zur EU eine regulatorische „Sicherheitsinsel“ darstellt, ist ein existenzieller Trugschluss. Dieser Text liefert Ihnen die essenzielle Verteidigungsstrategie gegen existenzbedrohende persönliche Haftungsansprüche nach Art. 754 OR (Aktienrechtliche Verantwortlichkeit) und korrespondierenden Bestimmungen im GmbH-Recht.

Er deckt Ihre blinden Flecken bei der Bilanzierung auf, schützt Sie vor strafrechtlichen Konsequenzen nach dem Schweizerischen Strafgesetzbuch (StGB) sowie dem Bundesgesetz über das Verwaltungsstrafrecht (VStrR) und bietet einen konkreten 90-Tage-Aktionsplan zur Absicherung Ihres Privatvermögens.

Basierend auf den regulatorischen Entwicklungen sind für in der Schweiz tätige CFOs insbesondere folgende Fristen und Stichtage von strategischer Bedeutung:

Fristen und Stichtage (Laufendes Jahr 2026)

• Laufend im 1. Halbjahr 2026:

Art. 964a-c OR (Klimaberichterstattung & ESG): Operative Konsolidierung der ESG-Datenströme (Berichtszyklus 2025/2026) zur Vorlage an die Generalversammlung und Gewährleistung der geforderten Transparenz.

OECD-Mindestbesteuerung (Pillar Two): Fortlaufende Umsetzung der Schweizer Ergänzungssteuer (Kombination aus nationaler und internationaler Ebene). Der 30. Juni 2026 gilt als kritischer Meilenstein für die finale Validierung der Steuerdaten und Safe-Harbour-Prüfungen für betroffene Konzerne (Umsatz > 750 Mio. EUR).

FINMA-Geldwäschereiverordnung (GwV-FINMA): Vollständige operative Umsetzung der per 1. Januar 2026 revidierten Verordnungsvorgaben, insbesondere der verschärften Schwellenwerte für Krypto-Transaktionen („Travel Rule“).

• Juni / Juli 2026:

EU-Entgelttransparenzrichtlinie: Schweizer Unternehmen mit wesentlichen Tochtergesellschaften oder Marktpräsenz in der EU müssen die Budgetierung für Lohnanpassungen und HR-Systeme abgeschlossen haben.

EU-Lieferkettenrichtlinie (CSDDD): Offizielle EU-Umsetzungsfrist; vertragliche Überwälzung von ESG-Finanzrisiken auf Schweizer Zulieferer wird ab Juli 2026 zum weltweiten Marktstandard.

• 02. August 2026 (EU AI Act):

  Inkrafttreten der Transparenzpflichten und Strafvorschriften für KI-Governance, die über Marktortprinzipien auch Schweizer Finanz- und Operativprozesse betreffen.

• Herbst / Ende 2026:

Transparenzregister (TJG): Ablauf interner Übergangsfristen zur lückenlosen Identifikation und Erfassung aller wirtschaftlich berechtigten Personen (UBO) im neuen eidgenössischen Register zur Vermeidung von strafrechtlichen Bussen.

Cybersecurity & ISG-Meldepflichten: Validierung der 24-Stunden-Meldeprozesse bei schwerwiegenden Cyberangriffen an das Bundesamt für Cybersicherheit (BACS) für kritische Infrastrukturen und deren direkte Zulieferer.

Country-by-Country Reporting (CbCR): Bis zum 31. Dezember 2026 muss die Validierung internationaler CbCR-Austauschbeziehungen gemäss den Vorgaben der Eidgenössischen Steuerverwaltung (ESTV) abgeschlossen sein.

1. Pflichten in der Nachhaltigkeitsberichterstattung & Lieferketten-Compliance (Art. 964 OR)

• Sicherstellung der Audit-Ready-Datenqualität: Der CFO trägt die Mitverantwortung dafür, dass die nichtfinanziellen Berichte (Klima, CO2-Ziele, Arbeitnehmerbelange) den gesetzlichen Schweizer Mindestanforderungen entsprechen. Falschangaben sind gemäss Art. 325bis StGB strafbewehrt.
  
  
• Sorgfalts- und Prüfungspflichten (Kinderarbeit / Konfliktmineralien): Etablierung eines lückenlosen Rückverfolgbarkeitssystems in der Lieferkette. Verstösse führen zu direkter strafrechtlicher Verantwortung der handelnden Organe.

2. Pflichten in der Steuer-Compliance & nationalen Finanz-Governance

• Etablierung eines steuerlichen Kontrollsystems (Tax IKS): Zur Abwendung von Vorwürfen der (eventualvorsätzlichen) Steuerhinterziehung oder des Steuerbetrugs nach dem Bundesgesetz über die direkte Bundessteuer (DBG) oder dem Mehrwertsteuergesetz (MWSTG) muss das IKS steuerliche Risiken automatisiert erfassen.
  
  
• OECD-Mindestbesteuerung (Pillar Two): Laufende Überwachung und fristgerechte Erfassung der Schweizer Ergänzungssteuer sowie Koordination mit ausländischen Steuerbehörden zur Vermeidung von Doppelbesteuerungsrisiken.

3. Pflichten in der Financial Compliance, Geldwäschereiprävention (GwG) & Transparenz (TJG)

• UBO-Identifikation nach dem Transparenzgesetz (TJG): Der CFO und der Geldwäschereibeauftragte tragen ab sofort die persönliche Verantwortung für die lückenlose Identifikation und korrekte Meldung der wirtschaftlich berechtigten Personen (Ultimate Beneficial Owner, UBO) an das neue eidgenössische Zentralregister.
  
  
• Sorgfaltspflichten für „Berater“ im Konzern: Unternehmenseigene Holdingstrukturen, interne Treasury-Zentren oder Management-Leistungsgesellschaften müssen auf die Anwendbarkeit des revidierten Geldwäschereigesetzes (GwG) geprüft werden, sobald sie Strukturen aufsetzen oder Immobilientransaktionen im Konzern begleiten.
  
  
• Umsetzung der GwV-FINMA & Krypto-Compliance: Im Finanz- und Krypto-nahen Sektor müssen Geldwäschereibeauftragte die verschärften Prüfpflichten für Krypto-Transaktionen (Einhaltung der „Travel Rule“ ohne Freigrenzen bei unhosted wallets) und die angehobenen Kriterien zur Erkennung von Geschäftsbeziehungen mit erhöhtem Risiko (PEP-Screening, automatisierte Transaktionsüberwachung) zwingend im IKS verankert haben. Einbindung automatisierter Sanktionslisten-Screenings (gemäss Embargogesetz / EmbG) direkt im ERP/Zahlungsverkehrssystem.

4. Pflichten im Rahmen der KI-Governance (EU AI Act & CH-Regulierung)

• Bilanzielle Risikovorsorge: Schweizer CFOs müssen den Einsatz von KI im Finanzbereich (z.B. automatisierte Bonitätsprüfungen, Fraud-Detection oder Cashflow-Prognosen) überwachen. Bußgelder nach dem EU AI Act können Schweizer Mutterhäuser empfindlich treffen und erfordern vorsorgliche finanzielle Rückstellungen.

5. Liquiditätsüberwachung, Cyber-Resilienz & ISG-Meldepflichten (Art. 725a OR)

• Drohende Zahlungsunfähigkeit: Bei begründeter Besorgnis einer drohenden Zahlungsunfähigkeit muss der CFO gemäss Art. 725a OR mit ausserordentlicher Dringlichkeit handeln, Massnahmen zur Sicherung der Liquidität ergreifen und dem Verwaltungsrat Bericht erstatten.

• ISG-Meldepflicht als Liquiditätsrisiko: Durch die gesetzliche Meldepflicht für Cyberangriffe an das BACS sind Sicherheitsvorfälle nicht mehr vertuschbar. Ein Angriff, der Finanzsysteme lahmlegt, zieht sofort Publizitäts- und Reputationsrisiken nach sich, die der CFO zeitgleich in der rollierenden 12-Monats-Liquiditätsplanung abbilden muss.
  
  
• Cyber-Budgetrecht: Bereitstellung adäquater Mittel für das Informationssicherheits-Managementsystem (ISMS). Da Cyber-Vorfälle die Existenz des Unternehmens und somit die Solvenz bedrohen, gilt die ungenügende finanzielle Ausstattung der IT-Infrastruktur als Verletzung der organschaftlichen Sorgfaltspflicht der Geschäftsleitung (Art. 716a OR).

1. Das persönliche Haftungsrisiko des CFO (Art. 754 OR & Strafrecht)

• Aktiengesetzliche Verantwortlichkeit: Nach Art. 754 OR haften Mitglieder der Geschäftsleitung (und somit der CFO) für den Schaden, den sie durch absichtliche oder fahrlässige Verletzung ihrer Pflichten verursachen. Die Haftung greift direkt auf das Privatvermögen.
  
  
• Faktisches Organ: Auch wenn der CFO formal nicht im Handelsregister als Mitglied des Verwaltungsrats eingetragen ist, wird er durch seine umfassende Finanzkompetenz und strategische Entscheidungsmacht als faktisches Organ eingestuft und unterliegt denselben strengen Haftungsmaßstäben.
  
  
• Das strafrechtliche Risiko (TJG & Art. 325bis StGB): Wer im Bericht über nichtfinanzielle Angelegenheiten unwahre Angaben macht, wird mit Busse bis zu CHF 100’000 bestraft. Ebenso führen vorsätzliche Falschmeldungen oder die Verweigerung der UBO-Meldung nach dem neuen Transparenzgesetz (TJG) zu drastischen persönlichen Bussen für die verantwortlichen Führungskräfte. Bei Steuer- und Abgabenvergehen im Rahmen des VStrR drohen zudem erhebliche persönliche Primärstrafen.

2. Kriminalisierung von Organisationsmängeln (Art. 102 StGB)

• Nach Art. 102 StGB (Unternehmensstrafrecht) wird ein Unternehmen unabhängig von der Strafbarkeit natürlicher Personen mit bis zu CHF 5 Millionen sanktioniert, wenn ihm wegen mangelhafter Organisation vorgeworfen werden kann, Straftaten wie Bestechung, Geldwäscherei oder die Verletzung von Sanktionslisten nicht verhindert zu haben. Der CFO haftet intern für den daraus resultierenden Vermögensschaden, wenn das Finanz-IKS diese Mängel aufwies oder Geldwäschereisysteme (GwV-FINMA) nicht ordnungsgemäss überwacht wurden.

3. Existenzbedrohende Bußgelder, Covenants & Liquiditätsrisiken

• Internationale Bußgelder (z.B. DSGVO- oder AI Act-Sanktionen der EU) sowie Schweizer Wettbewerbsstrafen belasten direkt die Erfolgsrechnung. Sie können die Einhaltung von Bank-Covenants (Kreditklauseln) schlagartig verunmöglichen, was zu einer Kreditkündigung und akuten Solvenzkrise führt.

4. Kritische Schnittstellen & „Blinde Flecken“ in der Schweizer Praxis

• Der CSDDD-Sogeffekt: Auch ohne eins-zu-eins Schweizer Lieferkettengesetz kündigen EU-Konzerne Verträge mit Schweizer Zulieferern, wenn diese keine validen ESG-Finanzkennzahlen liefern können. Das Risiko ist umsatz- und liquiditätsgetrieben, nicht primär behördlich.
  
  
• Mangelhaftes Sanierungs-Timing: Die Pflichten bei Kapitalverlust und Überschuldung (Art. 725b OR) sind strikt. Verzögert der CFO die Erstellung von geprüften Zwischenbilanzen oder die Meldung an den Verwaltungsrat, haftet er persönlich mit seinem Privatvermögen für die Schadensvergrösserung (Konkursverschleppung).
  
  
• Das FINMA-Berufsverbot: Im regulierten Sektor sieht das Finanzmarktaufsichtsrecht bei anhaltenden Compliance-Mängeln oder ungenügenden Geldwäsche-Abklärungen temporäre oder dauerhafte Tätigkeitsverbote für die Geschäftsleitung oder den Geldwäschereibeauftragten vor. Ein solcher Ausfall lähmt die finanzielle Handlungsfähigkeit des Unternehmens unmittelbar.

Um finanzielle Haftungsrisiken effektiv zu entschärfen, wird folgender strukturierter 90-Tage-Plan für Schweizer CFOs und Compliance-Verantwortliche empfohlen:

Phase 1: Die ersten 30 Tage – Sofortmaßnahmen & finanzielle Bestandsaufnahme

Lösung 1: Solvenz- und Art. 725a/b OR-Check

Maßnahme: Überprüfen Sie das Liquiditäts-Dashboard. Stellen Sie sicher, dass rollierende 12-Monats-Liquiditätsplanungen implementiert sind, um eine drohende Zahlungsunfähigkeit ex ante zu erkennen und die Dokumentationspflicht zur Exculpation zu erfüllen.

Lösung 2: TJG- & UBO-Audit

Maßnahme: Überprüfen Sie sämtliche Konzerngesellschaften auf die Einhaltung der neuen Meldepflichten nach dem Transparenzgesetz (TJG). Verifizieren Sie die wirtschaftlich berechtigten Personen (UBO) und gleichen Sie diese mit den Meldungen an das eidgenössische Zentralregister ab.

Lösung 3: Auditierung des Tax-, ESG- & GwG-IKS

Maßnahme: Validieren Sie die Datenströme für die Berichterstattung nach Art. 964 OR. Finanzintermediäre müssen ein Ad-hoc-Audit der Transaktionsüberwachungssysteme gemäss den verschärften Kriterien der neuen GwV-FINMA (insb. Krypto-Schwellenwerte) durchführen. Stellen Sie sicher, dass automatische Abgleichungen gegen die SECO-Sanktionslisten im ERP integriert sind.

Phase 2: Tage 31 bis 60 – Prozessuale Verankerung & Vertragsschutz

Lösung 4: ESG-Lieferanten-Controlling & Vertragsschutzklauseln

Maßnahme: Verankern Sie in Verträgen mit internationalen Zulieferern standardisierte Schadensersatz- und Freistellungsklauseln für den Fall, dass fehlerhafte Drittdaten zu Berichtsfehlern in Ihrer Schweizer Berichterstattung (Art. 964 OR) oder zu Verstössen gegen Sorgfaltspflichten führen.

Lösung 5: KI-Finanz-Governance

Maßnahme: Einführung einer „Human-in-the-loop“-Richtlinie für alle KI-gestützten Finanz- und Complianceprozesse. Keine Bilanzbuchung, automatisierte KYC-Prüfung oder Liquiditätsdisposition darf ausschließlich durch Algorithmen freigegeben werden.

Phase 3: Tage 61 bis 90 – Dashboard-Upgrade & Cyber-Notfallpläne

Lösung 6: Integration von Non-Financials & Reg-Tech in das Management Reporting

Maßnahme: Erweitern Sie das monatliche Controlling-Dashboard um den Erfüllungsgrad des Transparenzregisters (TJG), den Compliance-Status der OECD-Ergänzungssteuer sowie Cyber-Sicherheitskennzahlen. Im Haftungsfall gilt nur als aktiv gesteuert, was dokumentiert ausgewiesen wurde.

Lösung 7: ISG-Meldeprozesse & finanzstrafrechtliche Notfallpläne

Maßnahme: Koppeln Sie den IT-Notfallplan bei Cyberangriffen direkt mit dem CFO-Ressort: Ein schwerwiegender Angriff muss innerhalb von 24 Stunden regelkonform an das BACS gemeldet und gleichzeitig bezüglich seiner Auswirkungen auf Bank-Covenants und Liquidität bewertet werden. Definition von Prozessen für den Fall von Steuerprüfungen (ESTV/Kanton) oder Untersuchungen wegen Verletzung von Embargovorschriften.

Phase 4: Kontinuierliche Absicherung – Organ- und D&O-Vorsorge

Lösung 8: Sanierung des persönlichen Versicherungsschutzes (D&O)

Maßnahme: Auditieren Sie die Directors-and-Officers-Police (D&O).

Fokus: Stellen Sie sicher, dass die Deckungssumme internationale Bußgeldrisiken (EU AI Act, DSGVO) reflektiert, die Organhaftung als faktisches Organ sowie die persönliche Verantwortung des Geldwäschereibeauftragten explizit eingeschlossen sind und ausreichende Nachhaftungsfristen bei Ausscheiden vereinbart sind.

- Schweizerisches Obligationenrecht (OR)

Umfasst die aktienrechtliche Verantwortlichkeit (Art. 754), die Sanierungspflichten bei finanziellem Engpass (Art. 725 ff.) sowie die Nachhaltigkeits- und Sorgfaltspflichten (Art. 964a ff.).

Fedlex – Systematische Rechtssammlung (SR 220)

- Schweizerisches Strafgesetzbuch (StGB)

Regelt das Unternehmensstrafrecht bei Organisationsmängeln (Art. 102) und die Strafen für Falschangaben im Rahmen der nichtfinanziellen Berichterstattung (Art. 325bis).

Fedlex – Systematische Rechtssammlung (SR 311.0)

- Geldwäschereigesetz (GwG)

Bildet die gesetzliche Grundlage für die erweiterten Sorgfaltspflichten von Finanzintermediären und Beratern (inkl. der regulatorischen Basis für Krypto-Transaktionen).

Fedlex – Systematische Rechtssammlung (SR 955.0)

- Informationssicherheitsgesetz (ISG)

Enthält die gesetzliche Grundlage für die Resilienz kritischer Infrastrukturen und verankert die 24-Stunden-Meldepflicht bei schweren Cyberangriffen.

Fedlex – Systematische Rechtssammlung (SR 120.4)

- EU-Rechtsrahmen (Extraterritoriale Auswirkung)

Das offizielle EU-Portal für den direkten Zugriff auf den EU AI Act (Verordnung 2024/1689) sowie die CSRD (Richtlinie 2022/2464), welche Schweizer Marktteilnehmer über das Marktort- und Zuliefererprinzip betreffen.

EUR-Lex – Das Portal zum Recht der Europäischen Union

Strategische Exzellenz auf C-Level erfordert kontinuierliche Orientierung. Damit du nach deinem Lehrgang nicht allein gelassen wirst, haben wir S+P C.O.R.E. entwickelt.

S+P Mehrwert-Garantie: Dein Wissens-Vorsprung für 2026

Jede Buchung eines S+P Seminars beinhaltet automatisch den kostenfreien Zugang zum quartalsweisen S+P C.O.R.E. Executive Update. Warum? Weil wir wissen, dass die regulatorische Welt nicht stillsteht. Wir halten dein Wissen aktuell – garantiert.

Das Corporate Governance- und Risikomanagement in Österreich ist 2026 durch tiefgreifende europäische und nationale Gesetzesverschärfungen geprägt. Diese begründen unmittelbare finanzielle Bilanzierungspflichten sowie drastische Haftungsrisiken für das C-Level. Als CFO verantworten Sie die finanzielle Integrität, die Validierung der Berichterstattung sowie die Implementierung robuster interner Überwachungssysteme.

Neben der Nachhaltigkeitsberichterstattung (CSRD/ESRS), deren Datenströme aus der Lieferkette 2026 erstmals vollumfänglich abschlussprüfungsfest konsolidiert werden müssen, bestimmen hochaktuelle steuer- und finanzrechtliche Hebel das Risiko-Szenario. Das Inkrafttreten des Mindestbesteuerungsgesetzes (MinBestG / Pillar Two) zwingt zu komplexen Neubewertungen latenter Steuern, während das Gemeinnützigkeitsreformgesetz (GemRefG) verschärfte Dokumentations- und digitale Meldepflichten mit direkter Organhaftung etabliert. Zudem dehnt das EU-AML-Paket (Geldwäscheprävention) im Zuge der Financial Compliance die Pflichten auf Nicht-Finanzunternehmen aus – strikt exekutiert durch die neue Sanktionsaufsicht der Finanzmarktaufsicht (FMA).

Flankiert wird diese Entwicklung durch den EU AI Act (Rückstellungen für drakonische Bußgelder im Finanzressort) sowie das neue NISG (NIS2), welches die persönliche Geschäftsleitungshaftung für die Freigabe und Überwachung von IT-Sicherheitsbudgets festschreibt. Dieses Beitrag dient als strategische Entscheidungshilfe, um finanzielle Schäden, Reputationsrisiken und persönliche Haftungsansprüche – insbesondere nach § 25 GmbHG, § 84 AktG, dem Unternehmensgesetzbuch (UGB) und dem Finanzstrafgesetz (FinStrG) – rechtzeitig abzuwenden.

Basierend auf den behandelten regulatorischen Entwicklungen für das Jahr 2026 sind für in Österreich tätige CFOs insbesondere folgende Fristen und Stichtage von strategischer Bedeutung:

Akute Fristen & Stichtage

(Laufendes Jahr 2026)

Laufend im 1. Halbjahr 2026:

CSRD & ESRS: Operative Konsolidierung der ESG-Datenströme (Berichtszyklus 2026) zur Sicherstellung der Prüfungsbereitschaft (Limited Assurance).

MinBestG (Pillar Two): Umsetzung der OECD- und BMF-Leitlinien für Safe Harbours sowie bilanzielle Neubewertungen für Konzerne ab 750 Mio. EUR Umsatz.

Pillar-Two-Feuertaufe: Erfahrungswerte und regulatorische Vorgaben zeigen, dass der 30. Juni 2026 hierbei als konkreter Stichtag für die ersten wesentlichen Compliance-Schritte gilt.

Juni / Juli 2026:

EU-Entgelttransparenzrichtlinie: Ablauf der nationalen Umsetzungsfrist (Budgetierung für Lohnanpassungen/HR-Systeme).

Lieferkettensorgfalt (CSDDD): Offizielle EU-Umsetzungsfrist; vertragliche Absicherung von ESG-Finanzrisiken wird vom Markt ab Juli gefordert.

02. August 2026 (EU AI Act):

Inkrafttreten der Transparenzpflichten und Strafvorschriften für KI-Governance. (Vorgaben für Hochrisiko-KI verschoben auf den 02. Dezember 2027).

01. Oktober 2026 (NISG / NIS2):

Geplantes Inkrafttreten des österreichischen NISG 2026 (Überwachung der IT-Sicherheitsbudgets).

09. Dezember 2026:

Umsetzung der neuen EU-Produkthaftungsrichtlinie (Neubewertung der Haftungsrückstellungen für Software).

31. Dezember 2026:

NISG-Registrierungsfrist: Letzter Termin zur verpflichtenden Registrierung betroffener Einrichtungen im nationalen Register.

Country-by-Country Reporting (CbCR): Bis zum Jahresende 2026 muss zudem die Validierung internationaler CbCR-Austauschbeziehungen vollständig abgeschlossen sein.

Aus den vorliegenden regulatorischen Rahmenbedingungen für das Jahr 2026 ergeben sich für Österreichs CFOs konkrete finanzstrategische und governance-bezogene Pflichten:

1. Pflichten in der Nachhaltigkeitsberichterstattung (CSRD/ESRS) & CSDDD

• Sicherstellung der Audit-Ready-Datenqualität: Der CFO trägt die Letztverantwortung dafür, dass die ESG-Daten (insbesondere Scope 1-3 Emissionen und Kennzahlen von KMU-Zulieferern) den Grundsätzen ordnungsgemäßer Buchführung entsprechen und einer externen Prüfung standhalten.
  
  
• Finanzielle Wesentlichkeitsanalyse: Verankerung der „Double Materiality“ (doppelte Wesentlichkeit) im Risikomanagement – Identifikation, wie Nachhaltigkeitsaspekte die Finanzlage, Performance und Entwicklung des Unternehmens beeinflussen.

2. Pflichten in der Steuer- Compliance & nationalen Finanz-Governance (Neuheiten der letzten 6 Monate)

• Etablierung eines Tax Compliance Managementsystems (TCMS): Zur Abwendung von Vorwürfen der groben Fahrlässigkeit oder des Vorsatzes bei Betriebsprüfungen muss der CFO ein zertifiziertes Steuer-IKS implementieren und überwachen.
  
  
• MinBestG-Compliance (Pillar Two): Laufende Überwachung und fristgerechte Deklaration der globalen Mindeststeuer unter Einbeziehung der neusten BMF-Formulare und Safe-Harbour-Regelungen.
  
  
• Automatisierte Meldepflichten nach dem GemRefG: Für spendenbegünstigte oder gemeinnützige Konzerneinheiten muss das IKS die Datenübermittlung an FinanzOnline fehlerfrei und vollautomatisch abbilden, um eine persönliche Haftung für entgangene Steuern zu verhindern.
  
  
• Bilanzielle Korrektur von Start-up-Mitarbeiterbeteiligungen: Überwachung der korrekten lohnsteuerlichen Behandlung (§ 26a EStG) und der Abgrenzung von Eigen- zu Fremdkapital bei der Ausgabe von Unternehmenswertanteilen (insb. bei Tochtergesellschaften in der Rechtsform der neuen FlexKapG).

3. Pflichten in der Financial Compliance & Anti-Geldwäsche (EU-AML-Paket)

• IKS-Upgrades für Nicht-Finanzunternehmen: Überprüfung und Anpassung des Internen Kontrollsystems (IKS). Sobald das Unternehmen (z. B. im Immobilien-, Güterhandels- oder Holdingbereich) als „Verpflichteter“ eingestuft wird, müssen lückenlose Sanktionsprüfungen und AML-Screenings im ERP-System verankert sein.
  
  
• FMA-konforme Meldewege: Umstellung aller internen Verdachtsmeldewege auf die Finanzmarktaufsicht (FMA) als neue zentrale Sanktionsbehörde in Österreich.

4. Pflichten im Rahmen der KI-Governance (EU AI Act)

• Bilanzielle Risikovorsorge: Bewertung des potenziellen Strafenrisikos. Bei Verstößen drohen Bußgelder, die direkt die Gewinn- und Verlustrechnung (GuV) belasten. Der CFO muss sicherstellen, dass Schatten-IT im Finanzbereich (z. B. unautorisierte KI-Tools zur Cashflow-Prognose) eliminiert wird.
  
  
• ROI- & Investitions-Controlling: Budgetierung und Freigabe von Finanzmitteln ausschließlich für KI-Systeme, die nachweislich die Anforderungen des AI Acts (z. B. Artikel 4: KI-Kompetenz) erfüllen.
  
  
• Budget- und Kontrollpflicht: Die Geschäftsleitung haftet persönlich für die Implementierung der Sicherheitsmaßnahmen. Der CFO ist verpflichtet, angemessene Ressourcen für das ISMS bereitzustellen und deren zweckgemäße Verwendung im Sinne des Risikomanagements zu überwachen.
  
  
• Pflichten im HR- und Vergütungsbereich (Entgelttransparenz & Namensrecht)
  
  
• Rückstellungsmanagement: Analyse des „Gender Pay Gaps“ im Unternehmen. Der CFO muss in Abstimmung mit HR finanzielle Rücklagen für potenzielle Gehaltsnachzahlungen oder -anpassungen bilden, die sich aus den neuen Auskunftsansprüchen der Belegschaft ab Mitte 2026 ergeben.
  
  
• Systemumstellung Lohnverrechnung: Überwachung der Budgetierung und IT-seitigen Umsetzung des neuen Kindschafts- und Namensrechts-Änderungsgesetzes zur fehlerfreien Berechnung von Familienbonus Plus und Absetzbeträgen.

1. Sanktionen: Vom "Best Effort" zum Echtzeit-Screening

Da "Leichtfertigkeit" nun strafbar ist (§ 18 AWG), gilt jedes Versäumnis bei der Systemaktualisierung als potenzielles Delikt.

• System-Audit: Prüfung, ob Ihr Screening-Anbieter die Financial Sanctions Database (FSDA) der EU automatisiert einliest. Manuelle Uploads einmal pro Woche sind ab sofort ein Haftungsrisiko.
  
  
• Karenzzeit-Check: Eliminierung von Verzögerungen. Wenn eine Listung im EU-Amtsblatt erscheint, muss das System innerhalb von Stunden (nicht Tagen) blockieren.
  
  
• Dual-Use-Klassifizierung: Erneute Prüfung des Warenstamms. Besonders bei Gütern, die zivil und militärisch nutzbar sind, ist die Sorgfaltspflicht durch die neue Richtlinie (EU) 2024/1226 massiv erhöht.

2. Cyber Resilience (CRA): Kapazitäten sichern

Der Mai 2026 ist der "Flaschenhals"-Monat für die langfristige Marktfähigkeit.

• Notified Body Booking: Unverzügliche Kontaktaufnahme mit Stellen wie dem TÜV, DEKRA oder spezialisierten IT-Prüfstellen. Sichern Sie sich Kontingente für die Konformitätsbewertung Ihrer Produkte für das Jahr 2027.
  
  
• SBOM-Erstellung: Implementierung einer Software Bill of Materials (SBOM) für alle vernetzten Produkte. Ohne lückenlose Dokumentation der Lieferkette ist keine Zertifizierung möglich.
  
  
• Vulnerability-Reporting: Einrichtung einer internen Meldestelle, die in der Lage ist, Schwachstellen binnen 24 Stunden an das BSI zu melden (Vorbereitung auf September 2026).

3. Entgelttransparenz: Datenhoheit gewinnen

Bis zum 7. Juni 2026 müssen die Systeme stehen, um die Beweislastumkehr zu beherrschen.

• Gehalts-Audit: Durchführung einer statistischen Analyse der Entgeltstrukturen nach Geschlecht und Funktionsgruppen (Equal Pay Check).
  
  
• Auskunftsprozess definieren: Erstellung von Standard-Berichtsformaten für Mitarbeiteranfragen. HR muss ad hoc auskunftsfähig sein, um Klage-Indizien zu vermeiden.
  
  
• Stellenbewertung: Harmonisierung der Kriterien für "gleiche oder gleichwertige Arbeit". Nur objektive, geschlechtsneutrale Kriterien (Skills, Verantwortung, Belastung) schützen vor Schadensersatz.

4. Geldwäsche (AML): Harmonisierung

Vorbereitung auf das "Single Rulebook" und die AMLA-Aufsicht.

• KYC-Update: Anpassung der Kunden-Identifizierung an die neuen EU-Mindeststandards der Verordnung (EU) 2024/1624. Nationale Besonderheiten müssen durch den EU-Standard ersetzt werden.
  
  
• Bargeld-Sperre: Implementierung technischer Zahlungsstopps bei Beträgen über 10.000 € (bzw. entsprechende Risiko-Workflows für Händler hochwertiger Güter).
  
  
• Transaktionsmonitoring: Upgrade der Software auf KI-basierte Mustererkennung, um den kommenden technischen Standards der AMLA (Mai/Juni 2026) zu entsprechen.

Europäische Union, Richtlinie (EU) 2022/2464 des Europäischen Parlaments und des Rates vom 14.12.2022 hinsichtlich der Nachhaltigkeitsberichterstattung von Unternehmen (CSRD):

https://eur-lex.europa.eu, abgerufen am 15.06.2026.

Republik Österreich, Rechtsinformationssystem des Bundes (RIS), Bundesgesetz über die Gewährleistung einer globalen Mindestbesteuerung für Unternehmensgruppen (Mindestbesteuerungsgesetz – MinBestG):

https://www.ris.bka.gv.at, abgerufen am 15.06.2026.

Republik Österreich, Rechtsinformationssystem des Bundes (RIS), Bundesgesetz, mit dem die Bundesabgabenordnung, das Einkommensteuergesetz 1988 und das Körperschaftsteuergesetz 1988 geändert werden (Gemeinnützigkeitsreformgesetz 2023 – GemRefG) idF 2026:

https://www.ris.bka.gv.at, abgerufen am 15.06.2026.

Republik Österreich, Bundesministerium für Finanzen (BMF), Amtliche Veröffentlichungen und Richtlinien zu Tax Compliance Managementsystemen (TCMS) sowie Erläuterungen zum Kindschafts- und Namensrechts-Änderungsgesetz:

https://www.bmf.gv.at, abgerufen am 15.06.2026.

Republik Österreich, Rechtsinformationssystem des Bundes (RIS), Gesetz vom 6. März 1906, betreffend Gesellschaften mit beschränkter Haftung (§ 25 GmbHG), Aktiengesetz 1965 (§ 84 AktG) sowie Bundesgesetz vom 19. Oktober 1932 über das Finanzstrafrecht (Finanzstrafgesetz – FinStrG):

https://www.ris.bka.gv.at, abgerufen am 15.06.2026.

Europäische Union, Verordnung (EU) 2024/1689 des Europäischen Parlaments und des Rates vom 13. Juni 2024 zur Festlegung harmonisierter Vorschriften für künstliche Intelligenz (AI Act):

https://eur-lex.europa.eu, abgerufen am 15.06.2026.

Republik Österreich, Rechtsinformationssystem des Bundes (RIS), Bundesgesetz über die Gewährleistung eines hohen Cybersicherheitsniveaus von Netz- und Informationssystemen (Netz- und Informationssystemsicherheitsgesetz 2026 – NISG 2026):

https://www.ris.bka.gv.at, abgerufen am 15.06.2026.

Strategische Exzellenz auf C-Level erfordert kontinuierliche Orientierung. Damit du nach deinem Lehrgang nicht allein gelassen wirst, haben wir S+P C.O.R.E. entwickelt.

S+P Mehrwert-Garantie: Dein Wissens-Vorsprung für 2026

Jede Buchung eines S+P Seminars beinhaltet automatisch den kostenfreien Zugang zum quartalsweisen S+P C.O.R.E. Executive Update. Warum? Weil wir wissen, dass die regulatorische Welt nicht stillsteht. Wir halten dein Wissen aktuell – garantiert.

Sowohl das C-Level als auch die Compliance-Verantwortlichen müssen diesen Beitrag zwingend lesen: Das Jahr 2026 verändert die Haftung im Embargo- und Sanktionsrecht grundlegend. Die Funktion der Kontrollinstanzen als reiner Berater ist Geschichte – im schlimmsten Fall stehen die Verantwortlichen persönlich in der Haftung.

Durch die AWG-Novelle und das 20. EU-Sanktionspaket greift die Strafverfolgung bei der Missachtung von Handels- und Güterbeschränkungen direkt auf die Kontrollinstanzen durch. Dahinter steht eine ausdifferenzierte juristische Systematik:

1. § 13 StGB Begehen durch Unterlassen

Die strafrechtliche Norm (§ 13 StGB i.V.m. der übertragenen Exportkontrollfunktion): Aus Ihrer Rolle als operativ Verantwortlicher für die Exportkontrolle erwächst Ihnen eine nicht übertragbare Garantenstellung. Wenn Sie unvollständige Embargo-Prüfungen oder veraltete Systeme dulden, haften Sie im „worst case Szenario“ nach § 13 StGB wegen Begehung durch Unterlassen wie ein aktiver Täter. 

2. Haftung für Leichtfertigkeit gemäß § 18 Abs. 8a AWG

Das Leichtfertigkeitsrisiko aus § 18 Abs. 8a AWG: Ein zentrales Risiko liegt nicht nur in vorsätzlichen Verstößen, sondern auch in grob unzureichenden Kontrollprozessen. Werden offensichtliche Warnsignale ignoriert, Systeme nicht aktualisiert oder Zuständigkeiten unklar geregelt, kann dies rechtlich massiv ins Gewicht fallen.

Für die Praxis heißt das: Unternehmen sollten nicht nur einzelne Treffer prüfen, sondern auch die Angemessenheit ihres gesamten Kontrollrahmens regelmäßig dokumentieren. Dazu gehören Systemaktualität, Trefferbearbeitung, Eskalationswege, Vier-Augen-Prüfungen und revisionssichere Nachweise.

Dieser Beitrag liefert Ihnen das maßgeschneiderte regulatorische Rüstzeug und den technischen Action Plan, um diese persönlichen Haftungsrisiken im laufenden Geschäftsjahr rechts- und haftungssicher zu abzusichern.

Im Sanktions- und Embargorecht kommt es zunehmend auf schnelle Reaktionsfähigkeit an. Neue Listungen, geänderte Güteranhänge, zusätzliche Meldepflichten oder angepasste sektorale Beschränkungen müssen zeitnah in die internen Systeme und Prozesse übernommen werden.

Unternehmen sollten deshalb sicherstellen, dass relevante Änderungen nicht erst im Rahmen periodischer manueller Prüfungen erkannt werden. Besonders kritisch sind automatisierte Zahlungen, laufende Lieferungen, Altverträge, Logistikdaten und Stammdatenprüfungen. Je kürzer die interne Reaktionszeit, desto geringer ist das Risiko, dass Transaktionen nach einer relevanten Änderung unbeabsichtigt weiterlaufen.

1. Das Unverzüglichkeitsgebot (Die „Sofort-Frist“)

• Der Wegfall der 48-Stunden-Schonfrist: Seit dem 6. Februar 2026 ist die historische Übergangsfrist für Neulistungen in Deutschland ersatzlos gestrichen.
  
  
• Fristenlauf: Sobald eine Person, ein Schiff oder ein Unternehmen im EU-Amtsblatt (VO 269/2014) gelistet wird, greift das Bereitstellungs- und Handelsverbot sofort (in Sekundenschnelligkeit).
  
  
• Operative Praxis: Konten müssen binnen weniger Stunden nach der Online-Veröffentlichung eingefroren und Lieferungen gestoppt werden. Jede automatisierte Transaktion, die Minuten nach der Veröffentlichung durchrutscht, erfüllt den Straftatbestand der strafbaren Leichtfertigkeit (§ 18 Abs. 8a AWG).

2. Übergangsregelungen für Altverträge (Sanktions-Update 2026/506)

• Das am 24. April 2026 in Kraft getretene 20. EU-Sanktionspaket gewährt für neu aufgenommene Warengruppen (wie die verschärften ISO-Normen für Schmiermittel und Chemikalien in den Anhängen zu Art. 3i und 3k) eng gefasste „Wind-down“-Fristen, um Altgeschäfte sauber abzuwickeln:
  
  
• 3-monatige Übergangsfrist (Ablauf: Juli 2026): Gilt für spezifische, neu aufgenommene Güter des Einfuhr- und Ausfuhrverbots. Bis zu diesem Stichtag müssen bestehende Verträge final abgewickelt oder rechtssicher gekündigt sein.
  
  
• 9-monatige Übergangsfrist (Ablauf: Januar 2027): Gilt für ausgewählte, komplexe Gütergruppen im strategischen Anhang XXI (Einfuhrverbot).
  
  
• Haftungsfalle: Diese Fristen greifen ausschließlich für Verträge, die nachweislich vor dem Stichtag der Sanktionierung geschlossen wurden. Jede nachträgliche Änderung oder Erweiterung (Addendum) im Jahr 2026 vernichtet den schützenden Altvertragsstatus sofort.

3. Der Krypto- und Wallet-Stichtag

24. Mai 2026 (Bereits aktiv): Dies ist der harte, spezifische Stichtag auf der gesetzlichen Timeline für den Finanz- und Fintech-Sektor.

Operative Praxis: Seit diesem Datum müssen alle Screening-, Herkunftsprüfungs- und Transaktionsüberwachungssysteme für Wallets absolut fehlerfrei implementiert sein. Jegliche Interaktion mit russischen oder belarussischen Krypto-Dienstleistern (CASPs) sowie die Nutzung des digitalen Rubels sind vollumfänglich kriminalisiert.

4. Behördliche Meldepflichten und regulatorische Deadlines

Die gesetzliche „Jedermannspflicht“ (§ 18 Abs. 5a AWG): Wer beruflich Kenntnis über blockierte Vermögenswerte, versuchte Sanktionsumgehungen oder eingefrorene Gelder erlangt, muss dies unverzüglich (in der Praxis binnen maximal 24 Stunden) an die Deutsche Bundesbank und die FIU (Financial Intelligence Unit) melden. Ein Hinauszögern zur detaillierten internen Prüfung ist strafbar.

AMLA-Fristen für Technische Standards (Sommer 2026): Bis zum 10. Juli 2026 veröffentlicht die neue EU-Aufsichtsbehörde (AMLA) die verbindlichen Technischen Regulierungsstandards (RTS). C-Level-Verantwortliche müssen im direkt darauffolgenden Quartal die personelle und finanzielle Ausstattung der Compliance-Abteilungen an diese quantitativen Mindestvorgaben anpassen, um ein Organisationsverschulden (§ 130 OWiG) proaktiv auszuschließen.

Aus den aktuellen regulatorischen Entwicklungen im Außenwirtschafts-, Sanktions- und Geldwäscherecht ergeben sich mehrere Pflichtenschwerpunkte, auf die Unternehmen im Jahr 2026 besonders Augenmerk legen sollten. Im Vordergrund stehen nicht einzelne Formalien, sondern die nachweisbare Wirksamkeit des gesamten Kontrollsystems.

Wichtig sind insbesondere die regelmäßige Aktualisierung von Sanktionsdaten, die Prüfung kritischer Güter und Dual-Use-Konstellationen, die Überwachung von Drittlandgeschäften, die Kontrolle logistischer Risiken sowie klare Melde- und Eskalationsprozesse.

1. Die strafrechtliche Kernhaftung der Kontrollinstanzen

Der Tatbestand der strafbaren Leichtfertigkeit: § 18 Abs. 8a AWG Bezug: Die zentrale Strafnorm des Außenwirtschaftsgesetzes. Bei der unzulässigen Ausfuhr von Rüstungsgütern oder sensiblen Dual-Use-Gütern (z. B. Mikrochips oder Software nach Anhang I der EU-Dual-Use-Verordnung) reicht bereits Leichtfertigkeit (grobe Fahrlässigkeit) für eine Kriminalisierung des Compliance Officers aus.

Extrem hohes Strafmaße für Vorsatztaten: § 18 Abs. 1 AWG i.V.m. § 18 Abs. 7 AWG Bezug: Vorsätzliche Verstöße gegen Embargos oder Bereitstellungsverbote werden mit bis zu 5 Jahren, in schweren Fällen (z. B. gewerbsmäßige oder bandenmäßige Umgehung) mit bis zu 10 Jahren Freiheitsstrafe geahndet.

2. Das Echtzeit-Dilemma & Die Sofort-Fristen

Das unverzügliche Bereitstellungs- und Einfrierverbot: Art. 2 VO (EU) Nr. 269/2014 Bezug: Die primäre europäische Rechtsgrundlage für personenbezogene Finanzsanktionen. Alle Gelder und wirtschaftlichen Ressourcen von gelisteten Subjekten müssen unverzüglich eingefroren werden.

Wegfall der Schonfrist im nationalen Recht: § 18 Abs. 1 AWG (in der Fassung der AWG-Novelle) Bezug: Durch die Streichung der historischen 48-Stunden-Schonfrist gilt das Verbot ab der Sekunde der Veröffentlichung im EU-Amtsblatt (L-Serie). Jede untertägige Latenz im Screening-System ist seit dem 6. Februar 2026 ein potenzieller Straftatbestand.

Die gesetzliche „Jedermanns–Meldepflicht“: § 18 Abs. 5a AWG i.V.m. Art. 8 VO (EU) 2026/506 Bezug: Verpflichtet jede Person, die im Rahmen ihrer beruflichen Tätigkeit Kenntnis von eingefrorenen Vermögenswerten oder versuchten Sanktionsumgehungen erlangt, diese Informationen unverzüglich an die Deutsche Bundesbank und die FIU zu melden.

3. Logistik-Screening & Umgehungsschutz

Das transport-basierte Hafen- und Zugangsverbot: Art. 3s VO (EU) Nr. 833/2014 Bezug: Verbietet Schiffen, die auf den EU-Listen stehen oder russische Fracht unter Umgehung von Preisdeckeln transportieren, den Zugang zu EU-Häfen und -Schleusen.

Die Schwarze Liste der Schattenflotte: Anhang XL der VO (EU) Nr. 833/2014 (erweitert durch das 20. Sanktionspaket) Bezug: Die spezifische Güter- und Schiffsliste, gegen die das Logistik-Screening der Compliance zwingend die IMO-Nummern abgleichen muss (Ausweitung auf Schiffe für Mineralerzeugnisse, Schmiermittel und Chemikalien).

Die vertragliche Wiederexport-Sperre („No-Russia-Clause“): Art. 12g VO (EU) Nr. 833/2014 Bezug: Verpflichtet Exporteure gesetzlich dazu, ihren Drittland-Kunden den Wiederexport sensibler Güter nach Russland vertraglich unter Strafandrohung zu untersagen.

4. Das geopolitische Pflichten-Dilemma (China & EuGH)

Der europäische Audit-Zwang: § 4 LkSG / Art. 5 CSDDD (Corporate Sustainability Due Diligence Directive) Bezug: Zwingt Compliance zur Durchführung lückenloser Lieferketten-Audits und Menschenrechtsprüfungen vor Ort (auch bei Zulieferern in China).

Das chinesische Audit-Verbot (Spionage-Tatbestand): Chinesische State Council Order 834 (Art. 12 & 13) Bezug: In Kraft seit dem 7. April 2026. Deklariert den unkontrollierten Abfluss „sensibler Industriedaten“ aus China als Bedrohung der nationalen Sicherheit und kriminalisiert westliche ESG- und Lieferketten-Audits als Datenspionage.

Das chinesische Anti-Sanktions-Gesetz: Chinesische State Council Order 835 Bezug: In Kraft seit dem 13. April 2026. Stellt die Umsetzung ausländischer (westlicher) Sanktionen durch Unternehmen in China unter Strafe und droht mit Enteignung und Platzierung auf der Malicious Entity List.

Das Verbot des pauschalen De-Riskings bei Basiskonten: EuGH-Urteil vom 11. Juni 2026 (Az. C-81/24 [Jenec]) Bezug: Richterlicher Meilenstein zur Auslegung der Zahlungskontenrichtlinie (2014/92/EU) und der EU-Geldwäscherichtlinie (2015/849). Verbietet die automatische Ablehnung von Basiskonten bei bloßen drittstaatlichen Listungen (z. B. OFAC) und erzwingt stattdessen eine dokumentierte, risikobasierte Einzelfallprüfung unter Berücksichtigung des Prinzips der Verhältnismäßigkeit.

Der folgende Maßnahmenplan soll Unternehmen dabei unterstützen, ihre Sanktions- und Embargoprozesse strukturiert zu überprüfen und gezielt zu verbessern. Im Mittelpunkt stehen technische Aktualität, klare Verantwortlichkeiten, belastbare Dokumentation und eine risikobasierte Steuerung kritischer Geschäftsvorfälle.

Ziel ist nicht die vollständige Eliminierung jedes Restrisikos, sondern ein nachvollziehbarer, wirksamer und prüfbarer Kontrollrahmen. Genau dieser Nachweis ist entscheidend, wenn Unternehmen gegenüber Aufsicht, Banken, Abschlussprüfern oder Ermittlungsbehörden erklären müssen, wie sie ihre Organisationspflichten erfüllt haben.

Stufe 1: Ad-hoc-Sofortmaßnahmen (Fokus: Haftungs-Stopp)

Echtzeit-API aktivieren:

• Unternehmen sollten prüfen, ob ihre Sanktionslisten- und Embargodaten ausreichend aktuell sind und wie schnell Änderungen in operative Systeme übernommen werden. Wo heute noch seltene Batch-Updates, manuelle Prüfungen oder dezentrale Listen genutzt werden, sollte eine Umstellung auf häufigere, automatisierte und protokollierte Aktualisierungen geprüft werden.
  
  
• Wichtig ist außerdem, dass Trefferbearbeitung, Freigabeentscheidungen und Eskalationen nachvollziehbar dokumentiert werden. Nur so lässt sich später belegen, wann ein Risiko erkannt, bewertet und entschieden wurde.

Krypto-Filter schalten: Komplette systemische Blockade von russischen/belarussischen Krypto-Diensten (CASPs) und dem digitalen Rubel im Transaktionsmonitoring umsetzen (§ 18 Abs. 1 AWG).

Basiskonto-Workflows anpassen: Automatische „Hard Stops“ bei OFAC-Treffern deaktivieren; stattdessen manuelle Review-Prüfschleife für die 10-Tages-Einzelfallprüfung einrichten (EuGH C-81/24 [Jenec]).

Meldepflichten-Fast-Lane: Internen Notfall-Workflow mit einer maximalen 24-Stunden-Bearbeitungsfrist für Meldungen eingefrorener Werte an Bundesbank und FIU etablieren (§ 18 Abs. 5a AWG).

Stufe 2: Vertragsrecht & Altverträge (Fokus: Lieferkette)

• Dilemma-Protokolle einführen: Für Pflichtenkollisionen (z. B. CSDDD-Audit vs. China-Recht) fortlaufende Abwägungsberichte erstellen zur Absicherung der Business Judgment Rule (§ 93 AktG).
  
  
• No-Russia-Klauseln eindeutschen: Klauseln nach Art. 12g VO 833/2014 AGB-konform überarbeiten. Unwirksame, verschuldensunabhängige EU-Musterstrafen eliminieren (§ 305 ff. BGB).
  
  
• Altverträge abwickeln: Kontrakte über neu sanktionierte Güter des 20. Pakets (z. B. Schmiermittel/Chemikalien) identifizieren und schriftliche Kündigungs- oder Sunset-Pläne dokumentieren (VO 2026/506).

Stufe 3: Geopolitische Systemtrennung (Fokus: IT & Personal)

• China Data Gating & Audit-Substitution: IT-Systeme für China-Aktivitäten strikt trennen (In-China-for-China IT). Vor-Ort-Audits europäischer Mitarbeiter verbieten und durch lokale, zertifizierte chinesische Prüfer ersetzen (China Order 834).
  
  
• Reisestopps verhängen: Verbindliches Freigabe-Moratorium nach China für AML- und ESG-Prüfer erlassen, um Mitarbeiter vor unberechenbaren Exit-Bans zu schützen (§ 618 BGB).
  
  
• Gekapselte Basiskonten umsetzen: Erzwungene OFAC-Basiskonten technisch maximal beschränken: Transaktionslimits (max. 2.000 €/Monat), Inlands-Geofencing und ein striktes Bargeldeinzahlungsverbot einrichten (§ 261 StGB).

Stufe 4: Strategische Absicherung (Fokus: Governance)

• ISO 37301-Audit starten: Zertifizierung des Compliance-Management-Systems (CMS) einleiten als primären strafrechtlichen Entlastungsbeweis der Chefetage (§ 130 OWiG).
  
  
• Ressourcen-Audit dokumentieren: Formeller Beschluss der Geschäftsführung über die nachweislich ausreichende finanzielle und personelle Budgetierung der Compliance- und AML-Einheiten (§ 43 GmbHG).
  
  
• Banken-Reporting aktivieren: Aktualisiertes Sanktionshandbuch und ISO-Projektstatus proaktiv an Hausbanken senden, um präventiven Kontokündigungen (De-Risking) vorzubeugen.

Die regulatorischen Fallstricke im Embargo- und Sanktionsrecht des Jahres 2026 sind sehr ausgeprägt. Dennoch lautet die Formel für das C-Level und die Kontrollinstanzen: "Gefahr erkannt, Gefahr gebannt." Wer die massiven Haftungsrisiken der AWG-Novelle proaktiv identifiziert und diesen strukturierten Handlungsempfehlungen konsequent umsetzt, begründet ein solides Fundament, um potenziellen Problemen zu begegnen und ebendiese haftungssicher zu lösen. Moderne Technologie und konsistente Dokumentationen wandeln vermeintlich unkalkulierbare Bedrohungen in einen resilienten, zukunftssicheren Wettbewerbsvorteil.

Europäische Union, Verordnung (EU) 2026/506 des Rates vom 23. April 2026 zur Änderung der Verordnung (EU) Nr. 833/2014 über restriktive Maßnahmen angesichts der Handlungen Russlands, die die Lage in der Ukraine destabilisieren:

https://eur-lex.europa.eu/legal-content/DE/TXT/PDF/?uri=OJ:L_202600506, abgerufen am 16.06.2026.

Gerichtshof der Europäischen Union, Urteil des Gerichtshofs in der Rechtssache C-81/24 | [Jenec] vom 11.06.2026 zur Auslegung der Zahlungskontenrichtlinie im Kontext von Drittstaaten-Sanktionslisten:https://curia.europa.eu/jcms/jcms/Jo2_7052/, abgerufen am 16.06.2026.

Bundesministerium der Justiz / Bundesamt für Justiz, Außenwirtschaftsgesetz (AWG) – Straf- und Bußgeldvorschriften (§§ 18, 19) in der Fassung der AWG-Novelle 2026:

https://www.gesetze-im-internet.de/awg_2013/BJNR134610013.html, abgerufen am 16.06.2026.

Ministry of Justice of the People's Republic of China, State Council Order 834 on Provisions on Guarding Against Security Risks in Industrial and Supply Chains vom 07.04.2026:

https://www.moj.gov.cn/pub/sfbgw/gwxw/xwyw/202604/t20260407_533569.html, abgerufen am 16.06.2026.

The State Council of the People's Republic of China, State Council Order 835 on Regulations on Countering Foreign Unjustified Economic and Legal Measures vom 13.04.2026:

https://www.gov.cn/zhengce/content/202604/content_7065398.htm, abgerufen am 16.06.2026.

Europäische Kommission, Pressemitteilung zur Verabschiedung des 20. restriktiven Maßnahmenpakets gegen Russland und der Schließung von Umgehungsnetzwerken vom 24.04.2026:

https://germany.representation.ec.europa.eu/news/eu-verabschiedet-20-sanktionspaket-gegen-russland-2026-04-24_de, abgerufen am 16.06.2026.

Strategische Exzellenz auf C-Level erfordert kontinuierliche Orientierung. Damit du nach deinem Lehrgang nicht allein gelassen wirst, haben wir S+P C.O.R.E. entwickelt.

S+P Mehrwert-Garantie: Dein Wissens-Vorsprung für 2026

Jede Buchung eines S+P Seminars beinhaltet automatisch den kostenfreien Zugang zum quartalsweisen S+P C.O.R.E. Executive Update. Warum? Weil wir wissen, dass die regulatorische Welt nicht stillsteht. Wir halten dein Wissen aktuell – garantiert.