Fast jede Startup-Krise folgt einem ähnlichen Muster: Die Runway wird knapp, die geplante Runde verzögert sich, dann bricht sie weg. Es kommen Notgespräche mit Bestandsinvestoren, Bridge-Verhandlungen, Debt-to-Equity-Konstrukte, Down-Rounds, Asset Deals – oder am Ende der Insolvenzantrag. In dieser Krisenphase entstehen die meisten strafrechtlichen Probleme, die ich später als Verteidiger aufarbeite: Insolvenzverschleppung (§ 15a InsO), Gläubigerbenachteiligung (§ 283c StGB), Bankrott (§ 283 StGB), Untreue (§ 266 StGB), Kapitalanlagebetrug (§ 264a StGB), Betrug (§ 263 StGB) und Steuerhinterziehung (§ 370 AO). Der gemeinsame Nenner: Founder treffen unter Zeitdruck Entscheidungen, deren strafrechtliche Dimension sie erst Jahre später erkennen – wenn ein Insolvenzverwalter, eine Staatsanwaltschaft oder ein enttäuschter Investor die Vorgänge rekonstruiert. Dieser Beitrag ist der Abschluss unseres Startup-Cluster-Ratgebers und führt die Themen aus den Beiträgen 25 bis 29 in einem End-to-End-Krisenszenario zusammen. Ziel: klare Handlungsleitplanken für Founder in jeder Krisenphase.

Für Startups galt lange die informelle Regel: Cybersecurity ist ein Thema für später, wenn Product-Market-Fit erreicht ist und die ersten Enterprise-Kunden Zertifikate verlangen. Diese Sichtweise ist juristisch überholt. Mit dem Inkrafttreten von NIS-2 (Umsetzung in Deutschland durch NIS2UmsuCG), der Verschärfung der DSGVO-Rechtsprechung und der zunehmenden strafrechtlichen Nutzung von § 42 BDSG, § 130 OWiG (Aufsichtspflichtverletzung) und den §§ 202a ff. StGB entstehen für Gründer strafrechtliche Risiken bereits ab dem ersten Kundenvertrag. Wer als Founder eine SaaS-Plattform betreibt, Kundendaten verarbeitet oder ein Cloud-Setup managt, kann bei mangelhafter IT-Sicherheit persönlich in Haftung geraten – zivilrechtlich, ordnungswidrigkeitenrechtlich und strafrechtlich. Dieser Beitrag zeigt, wo die Grenzen verlaufen, welche Straftatbestände in Startup-Konstellationen greifen und wie Founder eine belastbare Compliance-Grundlage aufbauen. Aus der Doppelperspektive Strafverteidiger und CEO eines Compliance-Startups.

Der gefährlichste Paragraph für Startup-Gründer heißt § 15a InsO. Er verpflichtet die Geschäftsführung, bei Zahlungsunfähigkeit oder Überschuldung innerhalb von drei Wochen einen Insolvenzantrag zu stellen. Wer die Frist überschreitet, macht sich strafbar – mit Freiheitsstrafe bis zu drei Jahren (§ 15a Abs. 4 InsO), bei Fahrlässigkeit bis zu einem Jahr (§ 15a Abs. 5 InsO). Für Startups ist die Norm besonders tückisch, weil Sanierungsversuche, Bridge-Verhandlungen und Down-Round-Diskussionen häufig länger dauern als drei Wochen. Und weil die Frist bereits mit Eintritt der Insolvenzreife läuft – nicht mit deren Feststellung durch den Founder. Dieser Beitrag erklärt, wann die Uhr genau anfängt zu ticken, was Founder in den drei Wochen noch dürfen, wie sie Fortführungsprognosen belastbar dokumentieren und wann persönliche Haftung entsteht. Aus der Praxis eines Strafverteidigers und Founders.

Startup-Finanzierungen laufen fast immer schneller als die dazugehörige Rechtsdokumentation. Term Sheets werden per PDF unterschrieben, SAFEs und Convertible Notes verwenden angelsächsische Muster, Cap Tables entstehen als Excel- oder Notion-Dokumente ohne konsistente Vertragsgrundlage. Dieser Kontrollverlust ist zivilrechtlich problematisch – strafrechtlich kann er existenzbedrohend werden. Die zentralen Straftatbestände sind § 264a StGB (Kapitalanlagebetrug), § 263 StGB (Betrug), § 266 StGB (Untreue) und – bei Ausländer-Beteiligung – § 370 AO (Steuerhinterziehung) durch verdeckte Gewinnausschüttungen. Founder machen sich strafbar, wenn sie im Pitch-Deck oder Term Sheet unrichtige Angaben zu Umsatz, Kunden, Technologie oder Cap Table machen, wenn Gesellschafter im Hintergrund verschwiegen werden, oder wenn eingesammeltes Kapital zweckwidrig verwendet wird. Dieser Beitrag zeigt die typischen Konstellationen aus meiner Praxis – als Strafverteidiger und als Founder, der selbst mehrere Finanzierungsrunden geführt hat.

Startup-Gründer bewegen sich in einer Umgebung mit strafrechtlichen Risiken, die im normalen Wirtschaftsberatungsdiskurs selten adressiert werden. Anders als etablierte Manager treffen Founder ihre wichtigsten Entscheidungen häufig ohne strukturierte Rechtsberatung, ohne dokumentierte Prozesse und in Situationen mit hohem Zeit- und Finanzierungsdruck. Das Ergebnis: strafrechtliche Fallstricke, die Jahre später – bei Down-Rounds, Kontrollverlust, Insolvenz oder Exit – zu persönlichen Haftungsverfahren führen können. Dieser Beitrag beschreibt die acht häufigsten Konstellationen aus meiner Praxis als Strafverteidiger und Gründer. Wer sie kennt, vermeidet sie – oder dokumentiert sie so, dass später eine Verteidigung möglich bleibt. Die relevanten Straftatbestände: § 15a InsO, § 266 StGB, § 264a StGB, § 42 BDSG, §§ 202a ff. StGB, § 370 AO, § 130 OWiG. Das gemeinsame Muster: früh unklare Verhältnisse, spät durchsetzbare Ansprüche.

Wer als Vorstand, Aufsichtsrat, Emittent oder Marktteilnehmer eine BaFin-Anfrage oder ein Auskunftsersuchen erhält, sollte drei Dinge sofort verstehen: Erstens agiert die BaFin nicht als Strafverfolgungsbehörde, kann aber jederzeit Fälle an die Staatsanwaltschaft abgeben. Zweitens laufen viele BaFin-Verfahren parallel als aufsichtsrechtliches Bußgeldverfahren nach WpHG und als strafrechtliche Ermittlung nach § 119 WpHG. Drittens sind Auskünfte gegenüber der BaFin zwar häufig verpflichtend, aber der Selbstbelastungsschutz greift auch hier – aussagefähige Antworten müssen strategisch koordiniert werden. Die praktisch häufigsten Fallgruppen: Insiderhandel (Art. 14 MAR / § 119 WpHG, bis zu 5 Jahre Freiheitsstrafe), Marktmanipulation (Art. 15 MAR / § 119 WpHG), Verstöße gegen die Ad-hoc-Publizität (Art. 17 MAR) und Meldepflichten (Directors' Dealings, Beteiligungsmitteilungen). Der wichtigste erste Schritt ist immer: Anwalt mit Kapitalmarktstrafrechts-Erfahrung, bevor die erste Antwort an die BaFin herausgeht.

Deutschland ist eine der wenigen westlichen Rechtsordnungen ohne echtes Unternehmensstrafrecht. Statt einer strafrechtlichen Verbandshaftung existieren aktuell nur die administrative Verbandsgeldbuße nach § 30 OWiG und die Einziehung nach §§ 73 ff. StGB. Ein 2020 vorgelegter Entwurf für ein Verbandssanktionengesetz (VerSanG-E) scheiterte 2021 im Bundesrat; seither wurde die Reform mehrfach politisch angekündigt, aber nicht abgeschlossen. Der Stand Mitte 2026: Diskussion aktiv, konkreter Referentenentwurf jedoch noch nicht wieder eingebracht. Der letzte Entwurf sah für Konzerne mit über 100 Millionen Euro Jahresumsatz Sanktionen bis zu 10 % des Jahresumsatzes vor – ein Vielfaches der aktuellen § 30 OWiG-Grenze. Für Unternehmen ist die zentrale strategische Frage nicht mehr „ob", sondern „wann" – und wie die eigene Compliance-Struktur bereits heute die Grundlage für spätere Milderungsregelungen legt.

Die Durchsuchung eines IT-Unternehmens folgt denselben rechtlichen Grundlagen wie jede andere Durchsuchung (§§ 102, 103 StPO), stellt aber grundlegend andere praktische Herausforderungen. § 110 StPO regelt die Sichtung digitaler Datenträger – und in § 110 Abs. 3 StPO erlaubt der Gesetzgeber den Zugriff auf räumlich getrennte Speichermedien, insbesondere Cloud-Systeme, sofern diese vom durchsuchten Endgerät aus erreichbar sind. Für IT-Unternehmen bedeutet das: Ein einziger durchsuchter Laptop kann rechtlich Zugriff auf Server im Rechenzentrum, auf Cloud-Verzeichnisse mehrerer Provider und auf synchronisierte mobile Endgeräte eröffnen. Die Verteidigung setzt auf drei Ebenen an: der Rechtmäßigkeit der Sichtung, der Reichweite des § 110 Abs. 3 StPO, und der forensischen Beweiskette. Wer im Ernstfall keine dokumentierten Zugriffsstrukturen und keinen Incident-Response-Plan hat, verliert häufig sowohl juristisch als auch operativ.

Ein alphabetisch geordnetes Glossar der wichtigsten Begriffe des deutschen Wirtschaftsstrafrechts – für Manager, Gründer, Vorstände, Aufsichtsräte, DPOs, CISOs, Compliance-Verantwortliche und alle anderen, die im Ernstfall wissen müssen, worüber Ermittler und Verteidiger sprechen. Jeder Eintrag: eine präzise Definition, gefolgt von der praktischen Bedeutung im Verfahren. Zum Nachschlagen, zum systematischen Lesen oder als Referenz vor dem ersten Gespräch mit einem Verteidiger.

Cross-border investigations involving German prosecutors and the US Department of Justice have become a fixture of modern corporate enforcement. What used to be the exception – parallel criminal proceedings on two continents involving the same conduct – is now a common pattern, particularly in FCPA matters, sanctions cases, cybercrime, tax investigations, and antitrust enforcement. The core challenges are structural: incompatible discovery regimes, different privilege rules, the GDPR barrier to producing personal data to US authorities, and asymmetric plea/settlement mechanisms. Coordination is possible but must be actively managed. This guide explains how the two systems interact, what the MLAT framework provides (and does not), how to structure defense coordination between German and US counsel, and where the biggest strategic mistakes typically occur.

§ 299 StGB stellt Bestechlichkeit und Bestechung im geschäftlichen Verkehr unter Strafe – Grundstrafrahmen bis zu drei Jahre Freiheitsstrafe, im besonders schweren Fall bis zu fünf Jahre. Zwei Varianten sind erfasst: das Wettbewerbsmodell (Nr. 1) mit Bevorzugung im Wettbewerb und das Pflichtverletzungsmodell (Nr. 2), seit der Reform 2015 auch ohne Wettbewerbsbezug bei Pflichtverletzung gegenüber dem Geschäftsherrn. § 299 richtet sich an Angestellte und Beauftragte eines Unternehmens – nicht an Inhaber selbst. Für Unternehmen ist die Norm über § 130 OWiG mittelbar relevant: Wer keine funktionierenden Compliance-Systeme etabliert und dadurch Bestechungshandlungen ermöglicht, riskiert Geldbußen bis 10 Millionen Euro plus Einziehung. Der zentrale Verteidigungsanker: Nicht jeder wirtschaftliche Vorteil ist tatbestandsmäßig. Übliche Gastronomie, Werbegeschenke im angemessenen Rahmen und marktgerechte Vergütungen bleiben zulässig – die Grenze zieht die konkrete Unrechtsvereinbarung.

Art. 33 DSGVO verlangt bei jeder Verletzung des Schutzes personenbezogener Daten eine Meldung an die zuständige Aufsichtsbehörde – unverzüglich und möglichst binnen 72 Stunden ab Kenntnis. Ausnahme: die Verletzung führt voraussichtlich nicht zu einem Risiko für die Rechte und Freiheiten natürlicher Personen. Die Frist beginnt mit der Kenntnis des Verantwortlichen von der Verletzung, nicht mit vollständiger Aufklärung. Verstöße können mit Bußgeldern bis zu 10 Mio. Euro oder 2 % des weltweiten Jahresumsatzes nach Art. 83 Abs. 4 DSGVO geahndet werden. Wichtig: Eine erfolgte Meldung nach Art. 33 DSGVO darf nach § 42 Abs. 4 BDSG in einem Strafverfahren gegen den Meldepflichtigen nur mit dessen Zustimmung verwendet werden. Dieser Selbstbelastungsschutz ist ein zentraler, aber häufig unterschätzter Grund, warum die Meldung auch bei möglichem eigenen Fehlverhalten erfolgen sollte.

The NIS-2 Directive (EU 2022/2555) has transformed cybersecurity from an operational IT concern into a matter of personal accountability for European management bodies. Article 20 of the directive requires management bodies of essential and important entities to approve cybersecurity risk-management measures, oversee their implementation, and follow training – with a clear legislative statement that they can be held liable for infringements. Germany implemented this through its NIS-2 Transposition and Cybersecurity Strengthening Act, which entered into force on December 6, 2025. Under § 38 BSIG, this liability is non-delegable and cannot be excluded by contract. For CTOs and CISOs the question is more nuanced: they are typically not formal management-body members, but they operate under direct influence of Article 20 duties – and can face parallel exposure through supervisory duty violations (§ 130 OWiG), breach of trust (§ 266 StGB) in serious cases, and personal civil liability under general company law (§ 43 GmbHG, § 93 AktG). This guide explains the framework, the actors, and what practical steps European technology leaders should take now.

Die Selbstanzeige nach § 371 AO ist eines der letzten strafbefreienden Instrumente des deutschen Strafrechts – aber ein sehr empfindliches. Sie wirkt nur, wenn drei Voraussetzungen zusammenkommen: vollständige Berichtigung aller unverjährten Steuerstraftaten einer Steuerart (mindestens aber der letzten zehn Kalenderjahre), kein Sperrgrund nach § 371 Abs. 2 AO (etwa Bekanntgabe einer Prüfungsanordnung, Einleitung eines Strafverfahrens, Tatentdeckung) und fristgerechte Nachzahlung der hinterzogenen Steuern samt Zinsen. Bei Beträgen über 25.000 Euro pro Tat greift § 398a AO – die Steuerhinterziehung bleibt strafbar, aber das Verfahren wird gegen Zahlung eines Zuschlags (10 % bis 20 % je nach Höhe) eingestellt. Die Reform 2014/2015 hat die Anforderungen dramatisch verschärft: Bereits eine Abweichung von mehr als 5 % im Zehnjahreszeitraum kann die gesamte Selbstanzeige unwirksam machen. Ohne fachanwaltliche Vorbereitung ist die Wirksamkeit heute die Ausnahme, nicht die Regel.

Am 18. März 2021 hat die Geldwäsche-Reform § 261 StGB grundlegend umgestaltet: Der bisherige Vortatenkatalog wurde abgeschafft und durch den All-Crime-Ansatz ersetzt. Jede rechtswidrige Vortat kann jetzt Anknüpfungspunkt für Geldwäsche sein – nicht mehr nur ausgewählte Katalogtaten. Kombiniert mit der schon vorher geltenden Leichtfertigkeits-Strafbarkeit ist § 261 StGB damit zur allgegenwärtigen Norm des Wirtschaftsverkehrs geworden: Wer im Verlauf normaler Geschäftstätigkeit mit Vermögenswerten in Berührung kommt, deren illegale Herkunft ihm hätte einleuchten müssen, ist strafbar. Der Strafrahmen: bis zu fünf Jahre Freiheitsstrafe, bei gewerbsmäßiger oder bandenmäßiger Begehung bis zu zehn Jahre. Für Unternehmer, Anwälte, Steuerberater, Immobilienmakler, Kunsthändler und Vermögensverwalter bedeutet das: Sorgfaltspflichten und Compliance-Systeme sind kein Nice-to-have mehr, sondern die Verteidigungslinie gegen einen Alltagsvorwurf.

§ 303b StGB stellt die erhebliche Störung einer für einen anderen wesentlichen Datenverarbeitung unter Strafe – Grundstrafe bis zu drei Jahre Freiheitsstrafe. Bei Angriffen auf Datenverarbeitungen von Unternehmen, Behörden oder öffentlichen Einrichtungen steigt der Strafrahmen auf bis zu fünf Jahre (§ 303b Abs. 2), in besonders schweren Fällen bis zu zehn Jahre (§ 303b Abs. 4). Erfasst sind alle Angriffsformen: DDoS-Attacken, Ransomware, Malware, Datenlöschung, Verschlüsselung, physische Zerstörung von IT-Anlagen. Auch bereits die Vorbereitung ist strafbar – § 303b Abs. 5 verweist auf § 202c StGB (Herstellen und Zugänglichmachen von Hackertools). Für die Verteidigung sind zwei Punkte zentral: die technische Beweiskette (Attribution, forensische Sicherung) und die Frage der „erheblichen Störung" – nicht jeder IT-Vorfall erreicht diese Schwelle.

Werden Sie im Rahmen einer internen Untersuchung befragt, gilt Folgendes: Sie sind arbeitsvertraglich grundsätzlich zur Auskunft über dienstliche Vorgänge verpflichtet. Diese Pflicht endet aber dort, wo Sie sich selbst einer Straftat oder Ordnungswidrigkeit bezichtigen müssten – hier greift die verfassungsrechtlich geschützte Selbstbelastungsfreiheit (nemo tenetur se ipsum accusare). Sie haben kein gesetzlich festgelegtes Anwaltsbeiziehungsrecht wie in der staatlichen Vernehmung, aber die Rechtsprechung des Bundesarbeitsgerichts zieht der Untersuchungspraxis Grenzen. Aussagen aus internen Untersuchungen sind zudem nicht automatisch strafrechtlich verwertbar – die Beweisverwertung im späteren Verfahren wird zunehmend restriktiv beurteilt. Vor jeder Befragung sollten Sie prüfen: Bin ich potenzieller Beschuldigter im Sinne einer möglichen Strafanzeige? Wenn ja: Anwalt einschalten, bevor Sie Aussagen machen.

§ 266 StGB (Untreue) ist die zentrale Strafnorm für Manager und Gründer im deutschen Wirtschaftsstrafrecht. Wer eine Vermögensbetreuungspflicht innehat – Geschäftsführer einer GmbH, Vorstand einer AG, Prokurist mit weitreichender Verfügungsmacht – und diese verletzt, so dass dem Vermögen des Treugebers ein Nachteil entsteht, macht sich strafbar mit Freiheitsstrafe bis zu fünf Jahren, in besonders schweren Fällen bis zu zehn Jahren. Entscheidend ist seit BGH 3 StR 329/21 (2022) die Business Judgment Rule: Eine strafbare Pflichtverletzung liegt erst vor, wenn eine unternehmerische Entscheidung auf unzureichender Informationsgrundlage getroffen wurde und schlechthin unvertretbar erscheint. Eine nachträglich nachteilige Entscheidung ist für sich noch keine Untreue. Für die Verteidigung bedeutet das: Der Dokumentation des Entscheidungsprozesses zum damaligen Zeitpunkt kommt existenzielle Bedeutung zu.

Ein Vermögensarrest nach § 111e StPO ist eine vorläufige Sicherungsmaßnahme der Staatsanwaltschaft: Konten und Vermögen werden bis zur Höhe des mutmaßlichen Tatertrags eingefroren, um die spätere Einziehung nach § 73 StGB zu sichern. Der Arrest kann ohne vorherige Anhörung erlassen werden – Betroffene erfahren regelmäßig erst, wenn Zahlungen abgewiesen oder Konten blockiert werden. Der wichtigste Handlungsschritt ist die Beschwerde nach § 304 StPO gegen den Arrestbeschluss und der Antrag auf Freistellung angemessener Beträge zur Deckung des notwendigen Lebensbedarfs und der Verteidigungskosten. Beide Wege sind zeitlich nicht befristet, sollten aber schnell beschritten werden, weil ein gesperrtes Konto Geschäfts- und Privatleben binnen Tagen lähmt.

Most US companies think of GDPR enforcement as an administrative fine matter under Article 83. That view is incomplete. In Germany, certain data protection violations are criminal offenses under § 42 of the Federal Data Protection Act (BDSG), punishable by up to three years of imprisonment. These provisions target natural persons – not companies – and apply to individuals who transfer, disclose, or process personal data unlawfully with a commercial motive or with intent to enrich or harm. Meanwhile, the Court of Justice of the EU has confirmed in Deutsche Wohnen (2023) that Article 83 GDPR fines can be imposed directly on legal persons – including US companies subject to the GDPR – without needing to prove misconduct by a specific individual. The combined framework – administrative fines against the company, criminal exposure against executives – creates a two-track risk that many US-headquartered organizations underestimate. This guide explains the criminal side, the extraterritorial reach, and how US companies and their leadership should think about it.