Geschäftspartner prüfen: Due Diligence als Kern der Korruptionsprävention

Ein mittelständisches Unternehmen aus Nordrhein-Westfalen verliert einen Großauftrag, weil ein Geschäftspartner auf einer Sanktionsliste steht – und niemand hat es vorher geprüft. Der Auftraggeber, ein internationaler Konzern, hatte die Zusammenarbeit kurzfristig ausgesetzt, weil sein eigenes Compliance-System den Partner als Risiko einstufte. Für den Mittelständler bedeutet das: monatelange Vorarbeit, gebundene Kapazitäten und ein Umsatzausfall im siebenstelligen Bereich. Genau solche Fälle zeigen, warum die Prüfung von Geschäftspartnern längst kein Nebenthema mehr ist, sondern zum Fundament jeder wirksamen Korruptionsprävention gehört.

Warum Geschäftspartnerprüfung kein Nice-to-have ist

Wer Geschäfte mit Dritten macht, haftet mit. Nach § 30 OWiG kann gegen Unternehmen eine Verbandsgeldbuße verhängt werden, wenn Mitarbeiter oder Beauftragte Straftaten wie Bestechung begehen. § 130 OWiG verpflichtet die Geschäftsleitung ausdrücklich dazu, Aufsichtsmaßnahmen zu ergreifen, die solche Verstöße verhindern. Fehlt eine systematische Due Diligence, gilt das schnell als Organisationsverschulden. Das Lieferkettensorgfaltspflichtengesetz (LkSG) verschärft die Lage zusätzlich: Es gilt seit 2023 für Unternehmen ab 3.000 Mitarbeitern, ab 2024 ab 1.000 Beschäftigten – und verlangt ausdrücklich Risikoanalysen entlang der Lieferkette.

Wie teuer Nachlässigkeit wird, zeigen prominente Fälle. Siemens zahlte in den 2000er-Jahren rund 1,6 Milliarden Euro an Bußgeldern und Vergleichen, nachdem Schmiergeldzahlungen in mehreren Ländern aufgeflogen waren. Der FIFA-Skandal um korrupte Funktionäre und Vermarktungsverträge kostete nicht nur Millionen, sondern zerstörte über Jahre das Vertrauen von Sponsoren. In beiden Fällen fehlten klare Prüfprozesse für Geschäftspartner und Vermittler.

Rechtliche Grundlagen: OWiG, LkSG und EU-Sanktionen

Die Pflichtenlandschaft ist inzwischen dreigeteilt. Erstens das nationale Ordnungswidrigkeitenrecht mit § 30 OWiG und § 130 OWiG, das die Verantwortung der Geschäftsleitung für Aufsichtspflichten regelt. Zweitens das LkSG mit seinen Sorgfaltspflichten in der Lieferkette. Drittens die EU-Sanktionsverordnungen, die den Umgang mit gelisteten Personen und Organisationen verbieten – Verstöße sind strafbar und können mit empfindlichen Bußgeldern geahndet werden. Wer Geschäftspartner nicht prüft, verstößt potenziell gegen alle drei Regelwerke gleichzeitig.

Reputationsrisiken: Was ein einziger Fall anrichten kann

Der finanzielle Schaden ist oft nur die halbe Wahrheit. Ein öffentlich gewordener Korruptionsfall führt zu negativer Presse, verunsicherten Kunden und erschwerten Kreditkonditionen. Banken prüfen bei der Kreditvergabe zunehmend Compliance-Strukturen. Ausschreibungen von Bund, Ländern und großen Konzernen verlangen Eigenerklärungen zur Korruptionsfreiheit. Wer hier nicht liefern kann, fliegt raus – oft dauerhaft.

Die richtige Due-Diligence-Strategie für den Mittelstand

Ein risikobasiertes Prüfsystem ist Pflicht, aber es muss zur Unternehmensgröße passen. Große Konzerne setzen auf Tools wie Refinitiv World-Check oder Dow Jones Risk & Compliance, die Sanktionslisten, PEP-Datenbanken und Medienberichte automatisiert abgleichen. Kleinere Betriebe können mit pragmatischen Eigenlösungen arbeiten: eine Excel-basierte Prüfliste, manuelle Abfragen bei EU-Sanktionslisten, Handelsregisterauszüge und eine dokumentierte Einschätzung. Entscheidend ist nicht das Tool, sondern die Systematik.

Risikoklassifizierung: Wen prüfen wir intensiv, wen nur oberflächlich?

Nicht jeder Lieferant braucht eine vollständige Hintergrundprüfung. Sinnvoll ist eine dreistufige Klassifizierung:

• Niedriges Risiko: Standardlieferanten mit Sitz in Deutschland, transparente Eigentümerstruktur, geringes Auftragsvolumen – Basisprüfung per Handelsregister und Sanktionslistenabgleich.
• Mittleres Risiko: Geschäftspartner in Ländern mit erhöhtem Korruptionsindex, Beraterverträge, Vermittler – erweiterte Prüfung inklusive Medienrecherche und Eigentümeranalyse.
• Hohes Risiko: Vertreter in Hochrisikoländern, politische Verbindungen, unklare Provisionen – vollständige Due Diligence mit externer Unterstützung und regelmäßiger Neubewertung.

Interne vs. externe Dienstleister: Was lohnt sich?

Externe Dienstleister liefern Geschwindigkeit und Datenbreite, kosten aber Geld und erfordern klare Schnittstellen. Für mittelständische Unternehmen lohnt sich oft ein Hybridmodell: Standardprüfungen laufen intern über geschulte Mitarbeiter, Hochrisikofälle gehen an spezialisierte Anbieter oder Wirtschaftsprüfungsgesellschaften. Wichtig ist, dass die Ergebnisse in einem einheitlichen System landen – sonst entsteht ein Flickenteppich, der im Ernstfall nicht belastbar ist.

Rote Flaggen erkennen: Worauf wir bei der Prüfung achten

Es gibt Warnsignale, die fast immer auf ein Problem hindeuten. Dazu gehören Barzahlungen ohne nachvollziehbaren Grund, unklare Eigentumsstrukturen mit Briefkastenfirmen in Panama oder Zypern, enge Verbindungen zu politischen Amtsträgern sowie auffällig hohe Provisionen ohne erkennbare Gegenleistung. Der Airbus-Korruptionsskandal zeigt, wie solche Muster über Jahre unentdeckt bleiben konnten – und am Ende zu Milliardenvergleichen mit britischen, französischen und US-Behörden führten.

Politisch exponierte Personen (PEP) und Sanktionslisten

PEP sind Personen, die öffentliche Ämter bekleiden oder bekleidet haben, sowie deren Familienangehörige und enge Vertraute. Geschäfte mit ihnen sind nicht verboten, aber sie unterliegen einer verstärkten Sorgfaltspflicht. Sanktionslisten der EU, der USA und der Vereinten Nationen müssen vor jeder Vertragsunterzeichnung abgeglichen werden – und danach in regelmäßigen Abständen erneut, weil Listen sich ändern.

Eigentümerstrukturen und wirtschaftlich Berechtigte

Wer ist der wahre Eigentümer? Diese Frage ist entscheidend. Nach dem Geldwäschegesetz müssen Unternehmen die wirtschaftlich Berechtigten ihrer Geschäftspartner identifizieren. Verschachtelte Beteiligungen über mehrere Jurisdiktionen sind ein klassisches Warnsignal. Wir empfehlen, Transparenzregisterauszüge einzuholen und bei Zweifeln auf notariell beglaubigten Eigentümernachweisen zu bestehen.

Due Diligence dokumentieren: Von der Checkliste zum Audit-Trail

Prüfungen müssen nachvollziehbar dokumentiert werden. Im Ernstfall fragt die Staatsanwaltschaft nicht, ob geprüft wurde, sondern wie. Ein lückenloser Audit-Trail zeigt, dass das Unternehmen seiner Aufsichtspflicht nachgekommen ist. Die Compliance-Monitorings bei Siemens nach dem Korruptionsskandal sind ein Beispiel dafür, wie detailliert Prüfprozesse dokumentiert werden müssen, um Behörden zu überzeugen. Die ISO 37001, der internationale Standard für Antikorruptionsmanagementsysteme, verlangt ebenfalls eine dokumentierte Due Diligence.

Was gehört in den Prüfbericht?

Ein guter Prüfbericht enthält mindestens: Identität und Eigentümerstruktur des Geschäftspartners, Ergebnis der Sanktionslisten- und PEP-Prüfung, Risikoklassifizierung, eingeholte Nachweise, Bewertung durch den Prüfer sowie Datum und Unterschrift. Bei Hochrisikofällen kommen Medienrecherche, Referenzen und ggf. Vor-Ort-Prüfungen hinzu.

Aufbewahrungsfristen und Datenschutz (DSGVO)

Prüfberichte enthalten personenbezogene Daten und unterliegen der DSGVO. Wir empfehlen, eine Aufbewahrungsfrist von fünf bis zehn Jahren festzulegen, je nach Branche und Rechtsgrundlage. Zugriffsrechte sollten klar geregelt sein: Nur Compliance-Beauftragte und die Geschäftsleitung erhalten Einsicht. Löschkonzepte müssen dokumentiert werden.

Hinweisgeberschutz als Teil der Geschäftspartnerprüfung

Das Hinweisgeberschutzgesetz (HinSchG) ist seit Juli 2023 in Kraft. Es verpflichtet Unternehmen ab 50 Mitarbeitern, interne Meldekanäle einzurichten. Wichtig: Meldungen können auch Geschäftspartner betreffen – etwa wenn ein Mitarbeiter von Schmiergeldzahlungen an einen Lieferanten erfährt. Ein funktionierendes Meldesystem nach § 16 HinSchG ergänzt die Due Diligence, weil es Verdachtsfälle frühzeitig sichtbar macht.

Anforderungen an interne Meldekanäle

Der Kanal muss vertraulich, unabhängig und für Hinweisgeber kostenlos sein. Er muss auch anonyme Meldungen ermöglichen. Fristen sind einzuhalten: Eingangsbestätigung innerhalb von sieben Tagen, Rückmeldung innerhalb von drei Monaten. Wir raten dazu, den Kanal nicht nur für Mitarbeiter, sondern auch für externe Partner zu öffnen.

Zusammenarbeit mit Ombudsleuten und Compliance-Beauftragten

Ombudsleute bieten eine niedrigschwellige Alternative zum internen Meldekanal, besonders wenn Mitarbeiter Angst vor Repressalien haben. Compliance-Beauftragte koordinieren die eingehenden Hinweise, prüfen sie auf Substanz und leiten bei Bedarf Due-Diligence-Maßnahmen ein. Diese Verzahnung ist entscheidend, damit Hinweise nicht im Sande verlaufen.

Praktische Umsetzung: Unser Fahrplan für die ersten 90 Tage

Wir empfehlen einen klaren Zeitplan. In den ersten 30 Tagen: Bestandsaufnahme aller Geschäftspartner und Identifikation von Hochrisikofällen. Tage 31 bis 60: Risikoanalyse, Aufbau des Prüfprozesses, Auswahl von Tools oder Dienstleistern. Tage 61 bis 90: erste Prüfungen durchführen, Schulungen für Einkauf und Vertrieb, Einrichtung des Hinweisgeberkanals. Der Branchenstandard des Deutschen Instituts für Compliance (DICO) zur Geschäftspartnerprüfung sowie die IHK-Leitfäden bieten dafür eine gute Orientierung.

Quick Wins: Was sofort geht

Sofort umsetzbar sind: Sanktionslistenabgleich für alle bestehenden Verträge, Einführung einer Prüfcheckliste, Schulung der Einkaufsmitarbeiter auf rote Flaggen sowie die Dokumentation aller laufenden Prüfungen in einem zentralen Verzeichnis. Diese Maßnahmen kosten wenig und reduzieren das größte Risiko erheblich.

Langfristige Verankerung in der Unternehmenskultur

Due Diligence darf nicht als einmaliges Projekt enden. Sie muss in Einkaufsprozessen, Vertragsvorlagen und Jahresgesprächen verankert werden. Führungskräfte sollten vorleben, dass Prüfungen kein Misstrauen sind, sondern Teil guter Geschäftspraxis. Nur so entsteht eine Kultur, in der Korruptionsprävention selbstverständlich ist.

FAQ

Ab welcher Unternehmensgröße gilt das LkSG?

Das Lieferkettensorgfaltspflichtengesetz gilt seit 2023 für Unternehmen ab 3.000 Mitarbeitern, ab 2024 ab 1.000 Beschäftigten. Kleinere Unternehmen sind nicht direkt verpflichtet, können aber als Zulieferer indirekt betroffen sein, wenn ihre Auftraggeber Sorgfaltspflichten weitergeben.

Was passiert, wenn wir einen Geschäftspartner nicht prüfen und es fällt auf?

Es drohen Verbandsgeldbußen nach § 30 OWiG, persönliche Haftung der Geschäftsleitung nach § 130 OWiG, Vertragsstrafen von Auftraggebern und der Verlust von Ausschreibungen. Zudem kann die Staatsanwaltschaft Ermittlungen wegen Organisationsverschuldens einleiten.

Reicht ein Sanktionslistenabgleich als Due Diligence aus?

Nein. Der Sanktionslistenabgleich ist nur ein Baustein. Hinzu kommen müssen PEP-Prüfung, Eigentümeranalyse, Medienrecherche und eine Risikobewertung. Erst die Kombination ergibt eine belastbare Prüfung.

Wie oft müssen wir Geschäftspartner erneut prüfen?

Wir empfehlen: Hochrisikopartner mindestens jährlich, mittleres Risiko alle zwei Jahre, niedriges Risiko alle drei Jahre. Zusätzlich bei Vertragsänderungen, Eigentümerwechseln oder neuen Sanktionslisteneinträgen.

Was kostet ein externer Due-Diligence-Dienstleister?

Die Kosten variieren stark: einfache Sanktionslistenprüfungen gibt es ab wenigen Euro pro Abfrage, vollständige Hintergrundprüfungen kosten je nach Land und Tiefe zwischen 500 und 5.000 Euro. Für mittelständische Unternehmen lohnt sich oft ein Hybridmodell aus interner Basisprüfung und externer Unterstützung bei Hochrisikofällen.

Fassen wir zusammen: Geschäftspartnerprüfung ist kein bürokratisches Anhängsel, sondern ein Wettbewerbsvorteil. Wer sauber prüft, gewinnt Vertrauen bei Kunden, Banken und Behörden – und schützt sich vor Bußgeldern, Reputationsschäden und Auftragsverlusten. In unseren nächsten Länderprofilen zeigen wir, worauf bei der Due Diligence in Brasilien, China und den Vereinigten Arabischen Emiraten besonders zu achten ist.