Das System, das seine Aufklärer bestraft

Als Pav Gill den Wirecard-Betrug enthüllte, reagierte die Finanzaufsicht BaFin 2019 mit einer Ermittlung: gegen den Financial-Times-Journalisten, der seine Dokumente veröffentlicht hatte, wegen Marktmanipulation. Wirecard selbst ließ die Behörde unbehelligt. Seit dem Kollaps des Konzerns 2020 und dem Bekanntwerden von 1,9 Milliarden Euro, die nie existiert hatten wartet Gill auf ein offizielles Dankeschön des deutschen Staates. Er wartet bis heute.

Zwei Gesetze, eine Schutzlücke

Deutschland hat seit 2019 zwei Gesetze, die Whistleblower theoretisch schützen sollen. Das Gesetz zum Schutz von Geschäftsgeheimnissen (GeschGehG), im April 2019 in Kraft getreten, setzt die EU-Richtlinie 2016/943 um. Das Hinweisgeberschutzgesetz (HinSchG), das am 2. Juli 2023 in Kraft trat, setzt die EU-Whistleblower-Direktive 2019/1937 um. Beide haben ein zentrales Problem: Sie schützen auf dem Papier, versagen in der Praxis.

Beim GeschGehG war die Schutzlücke schon in der Entstehung angelegt. Der ursprüngliche Entwurf sah Ausnahmen für Whistleblower nur als Rechtfertigungsgründe vor, nicht als echte tatbestandliche Ausnahmen vom Verbot. Das bedeutete in der Praxis: Wer als Journalist oder Hinweisgeber Geschäftsgeheimnisse weitergab, musste vor Gericht begründen, warum er dies getan hatte und riskierte dabei, Quellen preiszugeben. Der Deutsche Journalisten-Verband (DJV) sprach von einer existenziellen Bedrohung für den Quellenschutz. Erst nach massiven Protesten von Presseverbänden und Gewerkschaften wurden die Ausnahmeklauseln im parlamentarischen Ausschuss erweitert. Journalisten und Hinweisgeber sind seitdem ausdrücklich geschützt, wenn sie Geschäftsgeheimnisse im öffentlichen Interesse offenbaren. Die ursprüngliche Konstruktion hätte das verhindert.

Beim HinSchG verlief die Entstehungsgeschichte ähnlich schlecht. Die EU-Direktive 2019/1937 hätte bis zum 17. Dezember 2021 in deutsches Recht umgesetzt sein müssen. Deutschland verfehlte diese Frist um rund 18 Monate. Am 27. Januar 2022 schickte die EU-Kommission formelle Mahnschreiben an Deutschland und 23 weitere Mitgliedsstaaten. Am 10. Februar 2023 scheiterte das Gesetz im Bundesrat, weil die unionsgeführten Länder ihre Zustimmung verweigerten: zu große Belastung kleiner und mittlerer Unternehmen, zu viel Bürokratie. Die Koalition spaltete das Gesetz daraufhin in zwei Teile, wovon nur einer als zustimmungspflichtig eingestuft wurde. Verfassungsrechtler bezweifelten das Verfahren. Erst am 2. Juli 2023 trat das Gesetz in Kraft.

Das Ergebnis ist ein Schutzrahmen mit strukturellen Löchern. Das HinSchG verpflichtet Unternehmen ab 50 Beschäftigten zur Einrichtung interner Meldestellen. Es schreibt jedoch keine Pflicht zur Entgegennahme anonymer Meldungen vor. Es lässt den Begriff der Repressalie undefiniert. Und es beschränkt den Schutz auf Verstöße gegen EU-Recht: Wer Verstöße gegen deutsches Steuerrecht sieht, ist damit nur eingeschränkt geschützt.

Drei Fälle, ein Muster

Die abstrakte Gesetzesarchitektur hat konkrete Folgen. Drei Fälle der vergangenen Jahre zeigen, wie das System Aufklärer systematisch allein lässt.

Wirecard. Pav Gill war senior legal counsel des Konzerns in Singapur, als er 2019 der Financial Times interne Dokumente über Buchungsfälschungen übergab. Die Reaktion der BaFin: Im Februar 2019 erließ die Behörde ein zweimonatiges Leerverkaufsverbot auf Wirecard-Aktien und leitete Ermittlungen wegen Marktmanipulation ein, allerdings gegen den FT-Reporter, nicht gegen den Konzern. Wirecard nutzte das als Beweis, Opfer einer Medien-Verschwörung zu sein.

Gill verlor seine Stelle, erlitt nach eigenen Angaben Karriereschaden und psychischen Druck. Erst als Wirecard im Juni 2020 Insolvenz anmeldete und sich herausstellte, dass 1,9 Milliarden Euro auf Treuhandkonten in den Philippinen schlicht nicht existierten, wurde das Ausmaß des Betrugs sichtbar. Die deutsche Aufsicht hatte jahrelang weggesehen. Gill bekam keine offizielle Anerkennung. Der parlamentarische Untersuchungsausschuss empfahl danach eine Reform des Hinweisgeberschutzes bei der BaFin. Was folgte, war eine Kontaktstelle mit begrenzten Ressourcen.

Cum-Ex. Anne Brorhilker leitete ab 2013 die Ermittlungen der Kölner Staatsanwaltschaft im größten Steuerskandal der Bundesrepublik. Die Cum-Ex-Geschäfte, bei denen Banken und Investoren die Erstattung von Dividendensteuern mehrfach erwirkten, die sie nur einmal abgeführt hatten, verursachten nach Schätzungen einen Schaden von bis zu 40 Milliarden Euro am deutschen Fiskus. Brorhilker initiierte Dutzende Ermittlungsverfahren und erreichte die ersten Verurteilungen in einem Bereich, in dem Strafverfolgung lange als kaum möglich galt.

Im April 2024 reichte sie ihren Rücktritt ein, mit Wirkung zum 31. Mai 2024. Ihr Vorgesetzter hatte ihre Arbeit als inhaltlich unzureichend bezeichnet, ein Urteil, das angesichts ihrer Ermittlungsbilanz von Beobachtern als absurd bewertet wurde. Brorhilker äußerte offen, der Staat sei gegen Steuerbetrug in dieser Dimension schlecht ausgerüstet. Heute leitet sie die Bürgerbewegung Finanzwende. Stand Mai 2026 ermittelt die Kölner Staatsanwaltschaft gegen rund 1.750 Beschuldigte, hat aber lediglich 16 Anklagen gegen 26 Personen erhoben, mit 13 Verurteilungen. Weniger als zwei Prozent der Beschuldigten wurden angeklagt. Dazu kommt: Die auf 15 Jahre verlängerte Verjährungsfrist lief in vielen Cum-Ex-Fällen Ende 2025 aus, was Ermittler unter extremen Zeitdruck gesetzt hatte.

VW-Dieselgate. Den Dieselgate-Skandal deckten nicht deutsche Behörden auf, sondern die US-amerikanische Umweltbehörde EPA im September 2015. Es gab kein deutsches Whistleblower-System, das die jahrelange Manipulation von Abgaswerten zuvor öffentlich gemacht hätte. Zehn Jahre nach dem Skandal verurteilte das Landgericht Braunschweig im Mai 2025 vier frühere VW-Manager wegen Betrugs: Der ehemalige Leiter der Dieselentwicklung erhielt viereinhalb Jahre Haft, der frühere Leiter der Antriebselektronik zwei Jahre und sieben Monate, zwei weitere Manager erhielten Bewährungsstrafen. Konzernchef Martin Winterkorn schied wegen Verhandlungsunfähigkeit aus dem Verfahren aus.

Das Muster in allen drei Fällen ist ähnlich: Aufdeckung erfolgte ohne oder gegen das bestehende Schutzsystem, die Verfolgung war langsam und unvollständig, die Personen, die Fehlverhalten öffentlich machten, zahlten persönliche Kosten.

Was die Industrie blockiert hat

Die Schutzlücken sind kein Zufall. Sie sind das Ergebnis erfolgreicher Interessenpolitik.

Der Verband der Familienunternehmer bezeichnete die ursprünglichen Gesetzesentwürfe zur Umsetzung der EU-Direktive als fast zwanghafte legislative Übererfüllung und sprach vom alten Problem der deutschen Gesetzgebung, über das EU-Minimum hinauszugehen. Die Positionen fanden Gehör in der Union, deren Bundesratsblockade im Februar 2023 das Gesetz verzögerte und letztlich zu einem schwächeren Ergebnis führte.

Die Implementierungskosten belaufen sich nach Schätzungen auf rund 190 Millionen Euro für die Einrichtung interner Meldestellen und rund 200 Millionen Euro jährlich für den Betrieb. Ein erheblicher Bürokratieapparat entstand, ohne dass die Schutzwirkung für Hinweisgeber proportional dazu gestiegen wäre. ver.di und der DGB kritisieren, dass arbeitsrechtliche Schutzansprüche zwar formal existieren, aber in der Durchsetzung schwach bleiben. Die Beweislastumkehr, wonach Arbeitgeber seit 2023 nachweisen müssen, dass eine Kündigung keine Vergeltung war, ist in der gerichtlichen Praxis schwer durchzusetzen.

Transparency International Deutschland fasste es in seiner Stellungnahme zum HinSchG zusammen: Whistleblower seien unverzichtbar zur Aufdeckung von Verstößen, aber Behörden handelten teilweise gegen Whistleblower selbst. Die Reform habe das Grundproblem nicht gelöst.

Was USA, UK und Skandinavien anders machen

Der internationale Vergleich zeigt, was möglich wäre.

Die USA haben seit dem False Claims Act von 1863, erneuert 1986, ein System finanzieller Anreize für Whistleblower: Wer erfolgreich staatlichen Betrug meldet, erhält 15 bis 30 Prozent des zurückgeholten Schadens. Der Dodd-Frank Act von 2010 erweitert dieses Prinzip auf Wertpapier- und Rohstoffmärkte. Das Ergebnis: mehr als 50 spezialisierte Whistleblower-Gesetze, hohe staatliche Rückgewinnungsquoten aus Betrugsfällen.

Großbritannien schützt Arbeitnehmer seit dem Public Interest Disclosure Act von 1998 vor Entlassung wegen Whistleblowing. Arbeitsgerichte können psychologische Schäden und Einkommensverluste ersetzen, oft in sechsstelliger Höhe. Das schafft ein anderes Risikoverhältnis für potenzielle Hinweisgeber.

In Skandinavien existieren in größeren Organisationen Ombudsleute, die Hinweisen unabhängig nachgehen. Norwegen hat mit Økokrim eine unabhängige Korruptions- und Wirtschaftskriminalitätsbehörde. Schweden verlangt von Organisationen eigene Ombudspersonen. Dänemark greift früh gerichtlich in Vergeltungsmaßnahmen ein.

Deutschland hat keines dieser Instrumente. Es gibt kein Reward-Programm, keine zentrale Whistleblower-Statistik und keine unabhängige Kontrollinstanz. Die BaFin-Kontaktstelle für Hinweisgeber, seit 2023 formal existent, gilt als personell unterbesetzt. Wer hier meldet, muss darauf vertrauen, dass die Behörde, die im Fall Wirecard versagt hat, diesmal anders handelt.

Was fehlt, benennt Brorhilker beim Namen

Anne Brorhilker nennt von Finanzwende aus drei konkrete Reformen, die das HinSchG erst wirksam machen würden.

Erstens: Erweiterung des Schutzbereichs auf Verstöße gegen nationales Recht. Das geltende Gesetz schützt vorwiegend Meldungen zu EU-Rechtsbrüchen. Wer einen Verstoß gegen deutsches Steuerrecht, deutsches Umweltrecht oder deutsches Arbeitsrecht meldet, ist damit nur eingeschränkt geschützt. Das ist eine Einladung für Täter, ihre Aktivitäten im nationalen Rahmen zu halten.

Zweitens: Pflicht zur Entgegennahme und Bearbeitung anonymer Meldungen. Ohne diese Pflicht bleibt das Meldesystem für viele Hinweisgeber zu riskant. Die Erfahrung aus dem Wirecard-Fall zeigt, was passiert, wenn eine Identität öffentlich wird: Karriereschutt.

Drittens: Ein Reward-Programm nach US-Vorbild. Nicht als Privatisierung von Strafverfolgung, sondern als Anreizstruktur für Menschen, die trotz Risiko handeln.

Das KI-MIG (Gesetz zur Durchführung der KI-Verordnung), im Juni 2026 vom Bundestag verabschiedet, erweitert den Whistleblower-Schutz auf Verstöße gegen den EU AI Act. Das ist ein Fortschritt in einem Teilbereich. Am Strukturdefizit ändert es nichts.

Die Geschichte zeigt das Muster. Wirecard wurde vom eigenen Hinweisgeber verraten und von der Aufsicht gedeckt. Cum-Ex wurde von einer Ermittlerin aufgerollt, die danach die Justiz verließ. Dieselgate wurde von einer ausländischen Behörde aufgedeckt, mit deutschen Konsequenzen nach einem Jahrzehnt. Was fehlt, ist nicht Gesetzestext. Was fehlt, ist der politische Wille, Aufklärer wirklich zu schützen.