Wirtschaftsstrafrecht für Startups: Die 8 häufigsten Fallstricke
Kurz und klar
Startup-Gründer bewegen sich in einer Umgebung mit strafrechtlichen Risiken, die im normalen Wirtschaftsberatungsdiskurs selten adressiert werden. Anders als etablierte Manager treffen Founder ihre wichtigsten Entscheidungen häufig ohne strukturierte Rechtsberatung, ohne dokumentierte Prozesse und in Situationen mit hohem Zeit- und Finanzierungsdruck. Das Ergebnis: strafrechtliche Fallstricke, die Jahre später – bei Down-Rounds, Kontrollverlust, Insolvenz oder Exit – zu persönlichen Haftungsverfahren führen können. Dieser Beitrag beschreibt die acht häufigsten Konstellationen aus meiner Praxis als Strafverteidiger und Gründer. Wer sie kennt, vermeidet sie – oder dokumentiert sie so, dass später eine Verteidigung möglich bleibt. Die relevanten Straftatbestände: § 15a InsO, § 266 StGB, § 264a StGB, § 42 BDSG, §§ 202a ff. StGB, § 370 AO, § 130 OWiG. Das gemeinsame Muster: früh unklare Verhältnisse, spät durchsetzbare Ansprüche.
Inhaltsverzeichnis
1. Fallstrick 1: Die Vor-GmbH-Phase
Situation: Zwei Founder beschließen im Sommer, ein Unternehmen zu gründen. Der Notartermin ist Anfang Oktober. Zwischen Beschluss und Eintragung ins Handelsregister fließen bereits Rechnungen (Server, Marketing, erste Freelancer), es wird auf Business Cards agiert, erste Kundenverträge werden geschlossen.
Das Problem: Zwischen Gründungsbeschluss und Eintragung existiert die Vor-GmbH als Rechtsträger, aber die persönliche Haftung der Gesellschafter ist noch nicht vollständig auf die Kapitalgesellschaft übergegangen. Konkret:
Vor-GmbH-Handelndenhaftung: Wer im Namen der noch nicht eingetragenen Gesellschaft handelt, haftet persönlich (§ 11 Abs. 2 GmbHG).
Verlustdeckungshaftung der Gesellschafter, wenn die Vor-GmbH überschuldet in die Eintragung geht.
Insolvenzantragspflicht kann bereits in dieser Phase greifen, wenn Zahlungsunfähigkeit oder Überschuldung eintritt.
Strafrechtliche Konsequenzen:
§ 15a InsO (Insolvenzverschleppung). Für die Vor-GmbH gilt die Antragspflicht bereits – die Drei-Wochen-Frist läuft. Founder, die in dieser Phase weiter Verbindlichkeiten eingehen, können sich strafbar machen.
§ 266a StGB. Nicht abgeführte Sozialversicherungsbeiträge für erste Mitarbeiter oder Freelancer.
§ 370 AO. Steuerliche Verpflichtungen entstehen bereits vor Eintragung – nicht abgegebene Anmeldungen können Steuerhinterziehung sein.
Prävention:
Eintragung so schnell wie möglich vollziehen. Zeit zwischen Beurkundung und Eintragung minimieren.
Bis zur Eintragung nur zwingend notwendige Geschäfte abwickeln, größere Verbindlichkeiten vermeiden.
Bei Verzögerungen der Eintragung: Rechtsberatung einholen, ob unverzügliche Insolvenzantragsprüfung geboten ist.
Angemessene Stammkapitalausstattung – nicht am Minimum von 25.000 Euro sparen, wenn absehbar ist, dass mehr benötigt wird.
2. Fallstrick 2: Founder-Selbstbedienung
Situation: In der Frühphase eines Startups ist die Trennung zwischen persönlichen und geschäftlichen Sphären häufig unscharf. Founder tanken die Firmenkarte auch für Privatfahrten voll, gehen mit Kunden essen und rechnen es zu 100 % ab, buchen Flüge über die GmbH, wenn zumindest ein geschäftlicher Nebenzweck angenommen wird. Häufig geschieht das mit stillschweigender Duldung durch die Mit-Gesellschafter.
Das Problem: Formal ist die GmbH ein eigenständiger Vermögensträger. Jede Entnahme, die nicht durch einen Gesellschafterbeschluss, Anstellungsvertrag oder ordnungsgemäße Gewinnverteilung gedeckt ist, kann § 266 StGB (Untreue) erfüllen. Die Frühphasen-Praxis geht in der Regel unbeanstandet, solange die Founder gemeinsam entscheiden. Sobald aber:
ein VC-Investor einsteigt,
ein Co-Founder ausscheidet,
eine Down-Round oder Restrukturierung erfolgt,
ein Insolvenzverwalter das Ruder übernimmt,
wird jede historische Selbstbedienung zum Untersuchungsobjekt.
Strafrechtliche Konsequenzen:
§ 266 StGB (Untreue). Bei jeder nicht gedeckten Entnahme. Vorsatz häufig indiziert.
§ 370 AO. Bei nicht angezeigten verdeckten Gewinnausschüttungen.
§ 43 GmbHG (zivilrechtlich). Regressansprüche der Gesellschaft gegen die Geschäftsführung.
Prävention:
Frühzeitig klare Anstellungsverträge zwischen Founder und GmbH abschließen.
Angemessene Founder-Gehälter dokumentieren – nicht symbolisch, aber marktgerecht.
Reisekostenabrechnung strikt trennen zwischen dienstlich und privat.
Firmenkarten nur für Firmenzwecke.
Bei Grauzonen: Vorabklärung im Gesellschafterkreis mit Beschluss.
Kein „Wir machen das schon mal, klären wir dann" bei größeren Positionen.
3. Fallstrick 3: Insolvenzverschleppung im Krisenfall
Situation: Ein Startup steht kurz vor dem Ausgehen des Runway. Der geplante Bridge-Loan zieht sich, ein potenzieller Investor zögert. Der Founder-CEO hofft weiter – vielleicht kommt noch der Deal. In dieser Phase werden Gehälter verzögert, Lieferantenrechnungen mit Verzögerung bezahlt, große Positionen auf spätere Zahlungsvereinbarungen umgestellt.
Das Problem: § 15a InsO verlangt die Insolvenzantragstellung bei Zahlungsunfähigkeit oder Überschuldung binnen drei Wochen. Diese Frist läuft ab dem Zeitpunkt, an dem der Insolvenzgrund erkennbar wird. Startup-typisch: Runway-Berechnungen zeigen die Zahlungsunfähigkeit häufig Wochen vor dem tatsächlichen Kontoüberschreiten. Die Uhr tickt dann bereits.
Strafrechtliche Konsequenzen:
§ 15a Abs. 4 InsO (Insolvenzverschleppung). Freiheitsstrafe bis zu 3 Jahren.
§ 283 StGB (Bankrott). Bei nachweisbaren Handlungen zur Vermögensverschiebung.
§ 266a StGB. Bei nicht abgeführten Sozialabgaben – strafrechtlich häufig der erste Angriffspunkt, weil die Beweisführung einfach ist.
§ 370 AO. Bei nicht abgeführter Lohnsteuer.
Prävention:
Frühwarnsystem für Runway. Rolling forecast, monatliche Cash-Position-Analyse.
Krise erkennen. Wenn Runway unter 3 Monate fällt, ist die Zeit für aktive Krisenberatung, nicht mehr für Hoffnung.
Dokumentierte Prüfung. Bei drohender Zahlungsunfähigkeit dokumentierter Prüfvorgang mit Datum, Ergebnis, Handlungsentscheidung.
Zahlungspriorisierung. Bei knapper Liquidität hat die Zahlung der Sozialabgaben und Lohnsteuer Vorrang – Nichtabführung ist selbst strafbar.
Externe Beratung. Bei Runway-Krisen sofortige Einbindung von Restrukturierungs- und Strafrechtlern.
4. Fallstrick 4: Pitch-Deck und Prospekthaftung
Situation: In der Fundraising-Phase präsentieren Founder ihre Zahlen in einer Weise, die den Marketing-Optimismus wiedergibt. „Wir werden nächstes Jahr X Millionen erreichen." „Unser CAC ist Y." „Wir sind marktführend in Segment Z." Investoren investieren auf Basis dieser Angaben.
Das Problem: Investoren-Präsentationen sind rechtlich häufig als „vorteilhafte Angaben" im Sinne von § 264a StGB (Kapitalanlagebetrug) einzustufen. Der Tatbestand erfasst falsche oder täuschungsmäßig unrichtige Angaben in Verkaufsprospekten oder ähnlichen Unterlagen bei der Anlage in Wertpapieren, Unternehmensbeteiligungen und ähnlichen Instrumenten.
Was in der Startup-Welt als „Storytelling" verstanden wird, kann strafrechtlich das Merkmal der „vorteilhaften Angabe" erfüllen – wenn:
Zahlen anders dargestellt werden, als sie tatsächlich sind (etwa MRR-Definitionen, die verzögerte Kündigungen ausblenden)
Zukunftsangaben ohne belastbare Grundlage
Marktbehauptungen ohne Belege
Verschleierung negativer Sachverhalte (Rechtsstreitigkeiten, drohende Rückabwicklungen, Regulierungsverfahren)
Strafrechtliche Konsequenzen:
§ 264a StGB (Kapitalanlagebetrug). Freiheitsstrafe bis zu 3 Jahren.
§ 263 StGB (Betrug). Bei konkreter Täuschung mit Vermögensverfügung.
§ 265b StGB (Kreditbetrug). Bei Bankfinanzierungen.
Zusätzlich zivilrechtliche Rückabwicklungsansprüche der Investoren.
Prävention:
Trennung zwischen Fakt und Vision. Historische Zahlen dokumentiert und verifizierbar. Zukunftsangaben klar als Prognose gekennzeichnet.
Disclosure aller wesentlichen Risiken. In Prozessen mit institutionellen Investoren typischerweise über Data Room und Disclosure Schedule.
Konsistenz zwischen Pitch-Deck und Due-Diligence-Antworten. Widersprüche sind später schwer zu erklären.
Anwaltliche Prüfung des Pitch-Decks bei größeren Runden ist heute Standard und rechtfertigt sich schon aus Risikoabwägung.
Dokumentation der Investorenkommunikation. E-Mails, Präsentationen, Q&A-Sessions – aufbewahren.
5. Fallstrick 5: Datenschutz-Compliance im Wachstumsdruck
Situation: Ein B2C-Startup wächst schnell, das Marketing sammelt E-Mail-Adressen, das Vertriebsteam verknüpft Datenbanken, US-Cloud-Anbieter werden ohne rechtliche Prüfung eingesetzt. „Machen wir später sauber, wenn wir Größer sind."
Das Problem: DSGVO gilt ab Tag 1. Bei Startups mit 20+ Mitarbeitenden ist die Struktur häufig unauffällig, weil noch niemand aufgefallen ist. Aber:
Whistleblower aus dem Team können Aufsichtsbehörden informieren
Kundenkonflikte führen zu Auskunftsersuchen (Art. 15 DSGVO), die die interne Rechtslage sichtbar machen
Bei Datenpannen (Art. 33 DSGVO) wird die gesamte Compliance-Landschaft geprüft
Beim Exit prüft der Käufer die DSGVO-Compliance intensiv
Strafrechtliche und aufsichtsrechtliche Konsequenzen:
§ 42 BDSG. Bei gewerbsmäßiger Weitergabe personenbezogener Daten großer Personenkreise Freiheitsstrafe bis zu 3 Jahren.
Art. 83 DSGVO. Bußgelder bis zu 20 Millionen Euro oder 4 % Umsatz.
Beim Exit. Rückabwicklungsklauseln, Kaufpreisminderung, Haftungsvorbehalte durch den Käufer.
Prävention:
DSGVO-Basis-Setup ab dem ersten Mitarbeiter. Verzeichnis der Verarbeitungstätigkeiten (Art. 30), Datenschutzerklärung, Auftragsverarbeitungsverträge.
Externer Datenschutzbeauftragter ab dem Zeitpunkt, an dem ein interner nicht sinnvoll darstellbar ist (spätestens bei 20+ Mitarbeitern).
US-Cloud-Anbieter-Prüfung. Nach Schrems II und CLOUD-Act-Problematik prüfen, welche Transfer-Mechanismen greifen.
Marketing- und Vertriebs-Prozesse dokumentiert und Compliance-geprüft.
Data Mapping. Wer verarbeitet welche Daten wo und wozu?
6. Fallstrick 6: Cybersecurity-Vernachlässigung
Situation: Ein SaaS-Startup wächst, Kundendaten werden zunehmend sensibler. IT-Sicherheit wird als „später"-Thema behandelt: Multi-Faktor-Authentifizierung ist nur teilweise implementiert, Backups werden nicht regelmäßig getestet, Pentests werden verschoben, Mitarbeiter-Onboarding und -Offboarding erfolgen ohne dokumentierte Zugriffs-Reviews.
Das Problem: Cybersecurity-Verstöße werden zu Straftaten in zwei Konstellationen:
Erstens: Aktive Verantwortung. Bei einem Cyber-Vorfall wird geprüft, ob angemessene Sicherheitsmaßnahmen implementiert waren. Bei nachweisbaren Lücken droht Haftung wegen § 43 GmbHG, § 93 AktG. Bei personenbezogenen Datenverletzungen kommt § 42 BDSG ins Spiel.
Zweitens: NIS-2 seit Dezember 2025. Für viele SaaS-Startups gilt die NIS-2-Umsetzung. § 38 BSIG verlangt persönliche Zustimmung zu Risikomanagementmaßnahmen. Ohne dokumentierte Umsetzung: § 130 OWiG und § 266 StGB als mögliche Anknüpfungspunkte.
Strafrechtliche Konsequenzen:
§ 130 OWiG. Aufsichtspflichtverletzung bei fehlenden Sicherheitsmaßnahmen mit resultierendem Vorfall.
§ 266 StGB. Untreue bei nachweisbarer Nichtinvestition in erkannte Risiken.
§ 42 BDSG. Bei personenbezogenen Datenverletzungen.
§ 65 BSIG (NIS-2-Bußgelder). Bei betroffenen Einrichtungen bis zu 10 Millionen Euro oder 2 % Umsatz.
Prävention:
Cybersecurity-Roadmap ab Series A oder ab dem Zeitpunkt, an dem sensitive Kundendaten verarbeitet werden.
ISO 27001 oder gleichwertiger Standard als Ziel, auch wenn Zertifizierung erst später erfolgt.
Dokumentierte Sicherheitsmaßnahmen – Technical and Organizational Measures (TOMs) im DSGVO-Kontext, ISMS-Struktur.
Regelmäßige Pentests und Vulnerability-Scans.
Incident-Response-Plan vorbereitet, bevor der Vorfall passiert.
Cyberversicherung mit passender Deckung.
7. Fallstrick 7: Steuerliche Konstruktionen und Grauzone
Situation: Ein Founder-Team optimiert seine Struktur: Der CEO wohnt (zumindest formal) in einem Nachbarland mit niedrigeren Steuern, die Beteiligungsstruktur läuft über eine Holding in einem anderen EU-Land, Vorzugsaktien und Mitarbeiter-Optionen werden mit steueroptimierten Vehikeln gestaltet.
Das Problem: Steuerliche Optimierung ist zulässig – Steuerhinterziehung nicht. Die Grenze verläuft an mehreren Punkten:
Substanzanforderungen bei ausländischen Holdings. Reine Briefkastenkonstruktionen ohne wirtschaftliche Substanz sind steuerlich unwirksam und können § 370 AO erfüllen.
Meldepflichten. Grenzüberschreitende Strukturen müssen nach DAC 6 gemeldet werden.
Erweiterte Mitwirkungspflichten bei Auslandssachverhalten (§ 90 Abs. 3 AO).
Wegzugsteuer bei Änderung der Steueransässigkeit.
Verrechnungspreise bei konzerninternen Leistungen.
Verdeckte Gewinnausschüttung bei nicht marktgerechten Konzernstrukturen.
Strafrechtliche Konsequenzen:
§ 370 AO (Steuerhinterziehung). Grundstrafrahmen bis 5 Jahre, in schweren Fällen bis 10 Jahre.
§ 371 AO (Selbstanzeige). Bei Erkennen eigener Fehlkonstruktionen häufig relevanter Ausweg – aber hochtechnisch, siehe eigener Artikel.
Auslandsermittlungen. Bei internationalen Strukturen häufig langwierig, aber nicht ausgeschlossen.
Prävention:
Steueranwalt mit internationaler Kompetenz frühzeitig einbinden, nicht nur den Steuerberater.
Substanz herstellen. Ausländische Holding braucht echte Geschäftsaktivität, nicht nur Postanschrift.
Dokumentierte Verrechnungspreise. Marktgerechte Konditionen bei konzerninternen Leistungen.
DAC-6-Compliance. Grenzüberschreitende Gestaltungen melden.
Bei Zweifeln: verbindliche Auskunft der Finanzverwaltung einholen.
Bei Fehlern: Selbstanzeige rechtzeitig prüfen (§ 371 AO).
8. Fallstrick 8: Exit und die Rekonstruktion früherer Handlungen
Situation: Der Exit steht bevor. Ein strategischer Käufer oder Private-Equity-Investor führt eine intensive Due Diligence durch. Legal, Financial, Tax, IT, Commercial DD. Und plötzlich tauchen frühere Sachverhalte wieder auf: die Vor-GmbH-Phase, die Founder-Selbstbedienung in der Frühphase, die unklaren DSGVO-Prozesse, die grenzwertigen Angaben im Pitch-Deck der Series B.
Das Problem: Beim Exit wird die gesamte Historie überprüft. Sachverhalte, die intern längst „verjährt" schienen, kommen wieder ans Licht. Der Käufer nutzt Findings, um:
Den Kaufpreis zu drücken
Rückabwicklungsklauseln und Haftungsvorbehalte einzuziehen
Escrow-Beträge einzubehalten
In Extremfällen: den Deal platzen zu lassen
Zusätzlich problematisch: Manche Findings müssen behördlich angezeigt werden – DSGVO-Verstöße, steuerliche Sachverhalte, Insolvenz-relevante Handlungen. Der Käufer wird die Compliance dieser Meldungen einfordern.
Strafrechtliche Konsequenzen:
§ 266 StGB (Untreue). Wenn Founder-Selbstbedienungen entdeckt werden.
§ 264a StGB (Kapitalanlagebetrug). Wenn frühere Investoren-Präsentationen fehlerhaft waren.
§ 370 AO. Bei steuerlichen Konstruktionen ohne Substanz.
§ 42 BDSG. Bei systematischen DSGVO-Verstößen.
§ 15a InsO. Bei nachträglich erkannter Insolvenzverschleppung.
Prävention:
Vendor Due Diligence. Vor dem Exit-Prozess eigene DD durchführen, um Probleme selbst zu identifizieren und vor dem Käufer zu adressieren.
Corporate Housekeeping. Über die Jahre saubere Beschluss- und Vertragsdokumentation aufbauen.
Compliance-Dokumentation. Datenschutz, IT-Sicherheit, arbeitsrechtliche Themen.
Bei erkannten Altlasten. Vor dem Exit rechtlich beraten lassen, ob Selbstanzeigen, Meldungen oder aktive Bereinigungen geboten sind.
Timing. Zwischen Erkennen eines Problems und Signing bleibt idealerweise Zeit für Bereinigung. Zu enge Timing-Prozesse erhöhen Risiken.
9. Was Founder anders machen müssen als etablierte Manager
Startup-Gründer stehen strukturell in einer anderen Position als Manager etablierter Unternehmen. Vier zentrale Unterschiede:
9.1 Persönliche und geschäftliche Verflechtung
Founder halten Anteile, arbeiten operativ, führen strategisch und sind häufig gleichzeitig Geschäftsführer, Aufsichtsrat, Investor. Diese Verflechtung ist strategisch sinnvoll – aber sie multipliziert Interessenkonflikte und schafft strafrechtliche Angriffsflächen, die es bei rein angestellten Managern nicht gibt.
9.2 Fehlende institutionelle Compliance
Startups haben in der Frühphase keine Rechtsabteilung, keinen Compliance-Officer, keine dokumentierten Prozesse. Entscheidungen werden schnell und informal getroffen. Was in etablierten Konzernen selbstverständlich ist – 4-Augen-Prinzip, Vorstandsbeschluss, dokumentierte Freigaben – existiert bei Startups häufig nicht. Diese Lücke wird bei jeder späteren Prüfung sichtbar.
9.3 Zeit- und Finanzierungsdruck
Founder treffen ihre wichtigsten Entscheidungen unter maximalem Zeit- und Ressourcendruck. Rechtsberatung wird als teuer und langsam empfunden. Die Folge: Entscheidungen mit langfristigen strafrechtlichen Konsequenzen werden ohne juristische Prüfung getroffen.
9.4 Kontrollverlust als Wendepunkt
Solange die Founder das Unternehmen kontrollieren, sind viele der oben beschriebenen Sachverhalte praktisch irrelevant – niemand hinterfragt sie. Nach Down-Rounds, Kontrollverlust an Investoren, Kündigung durch das Board oder Insolvenz werden dieselben Sachverhalte plötzlich zum Angriffspunkt. Wer das Muster kennt, kann es antizipieren – und dokumentiert seine Handlungen entsprechend.
10. Praxis-Insight aus der Founder-Perspektive
Aus meiner Doppelrolle als Rechtsanwalt und Founder eines venture-finanzierten Unternehmens drei Beobachtungen:
Erstens: Die Founder-Community unterschätzt die strafrechtliche Dimension systematisch. Die klassische Startup-Beratung – VC-Anwälte, Steuerberater, Business Coaches – adressiert selten die persönliche strafrechtliche Haftung. Der Fokus liegt auf Term Sheet, Cap Table, Vestingregelung. Die Frage, wie sich Founder in Krisenphasen oder nach Kontrollverlust rechtlich verhalten, bleibt selten adressiert. Das Ergebnis: Fallstricke, die vermeidbar wären, wenn sie einmal thematisiert würden.
Zweitens: Die Dokumentationsqualität entscheidet mehr als die tatsächliche Handlung. In vielen meiner Verteidigungsmandate ist der zugrunde liegende Sachverhalt gar nicht der Kernstreitpunkt – sondern die Frage, ob dokumentierte Compliance-Prozesse zum Zeitpunkt der Handlung vorlagen. Founder, die Beschlüsse, Verträge, Prüfvorgänge sauber dokumentiert haben, gewinnen die meisten Auseinandersetzungen. Founder, die improvisiert haben, verlieren – auch dann, wenn die Handlung selbst objektiv unproblematisch war.
Drittens: Der beste Zeitpunkt für Bereinigung ist immer „jetzt". Ich sehe regelmäßig Founder, die erst im Exit-Prozess erkennen, dass in ihrer Historie strafrechtliche Grauzonen liegen. In diesem Moment ist die Handlungsoption häufig verengt: Selbstanzeigen sind mit Zeitdruck problematisch, Compliance-Nachbesserungen wirken forciert, jede Bereinigungshandlung wird vom Käufer beobachtet. Wer seine Struktur regelmäßig – jährlich – auf strafrechtliche Grauzonen prüft, kann in Ruhe bereinigen. Wer erst am Exit prüft, hat die Kontrolle über den Prozess bereits verloren.
11. Häufige Fragen
Ab wann bin ich als Founder strafrechtlich relevant?
Ab dem Moment, in dem Sie Verfügungs- und Verpflichtungsbefugnis für die Gesellschaft ausüben. Bei der GmbH-Gründung mit Notartermin. Bei einer AG mit Vorstandsbestellung. Bei einer GbR sofort mit Aufnahme der Tätigkeit. Faktische Geschäftsführung reicht bereits – auch ohne formale Bestellung.
Was ist der häufigste strafrechtliche Fall bei Startups?
Nach meiner Erfahrung: Insolvenzverschleppung (§ 15a InsO) in der Krisenphase, häufig verbunden mit § 266a StGB (nicht abgeführte Sozialabgaben). Beide Tatbestände werden systematisch verfolgt und lassen sich vergleichsweise einfach nachweisen. Der zweithäufigste Fall: Founder-Selbstbedienungen nach Kontrollverlust – häufig mit § 266 StGB.
Wie schütze ich mich vor Founder-Selbstbedienungs-Vorwürfen?
Klare Anstellungsverträge zwischen Founder und Gesellschaft. Angemessene Gehälter dokumentiert. Trennung von privaten und geschäftlichen Ausgaben. Bei Grauzonen vorher im Gesellschafterkreis abstimmen und dokumentieren.
Muss ich schon in der Vor-GmbH-Phase auf Insolvenz achten?
Ja. Die Antragspflicht nach § 15a InsO greift auch für die Vor-GmbH. Wenn die Gesellschaft in dieser Phase zahlungsunfähig oder überschuldet wird, gilt die Drei-Wochen-Frist – auch vor Eintragung.
Bin ich als Founder für Cybersecurity strafrechtlich verantwortlich?
Ja, potenziell. Über § 130 OWiG (Aufsichtspflichtverletzung) und – bei erfassten Unternehmen – über § 38 BSIG mit persönlicher Haftung nach der NIS-2-Umsetzung. § 266 StGB kann greifen, wenn bewusst notwendige Cybersecurity-Investitionen unterlassen werden.
Wann sollte ich einen Strafverteidiger einschalten?
Präventiv: bei größeren Weichenstellungen (Krisenphase, komplexe steuerliche Konstruktionen, sensible Investoren-Kommunikation, Down-Rounds). Reaktiv: bei jeder behördlichen Anfrage, Anzeige oder Ermittlung. Nicht warten, bis das Verfahren offiziell eröffnet ist.
Was passiert, wenn Investoren nach einer Down-Round auf frühere Handlungen zeigen?
Verschiedene Konstellationen: zivilrechtliche Regressansprüche (§ 43 GmbHG, § 826 BGB), strafrechtliche Anzeigen bei erkennbaren Tatbeständen, gesellschaftsrechtliche Konsequenzen (Abberufung, Vertragsanpassungen). Vorbereitung durch dokumentierte Handlungsketten ist der einzig wirksame Schutz.
Sind diese Fallstricke bei jedem Startup relevant?
Bei praktisch jedem Startup relevant sind: Vor-GmbH-Phase, Insolvenzverschleppungsgefahr, Steuerthemen, Datenschutz. Weitere Themen (BaFin bei Fintech, NIS-2 bei betroffenen Bereichen, Kapitalanlagebetrug bei institutionellen Runden) sind branchen- und wachstumsphasenabhängig.
Fazit
Startup-Gründer sind rechtlich in einer besonderen Position: Sie tragen persönliche Haftung wie etablierte Manager, agieren aber unter deutlich schwierigeren Rahmenbedingungen. Zeit- und Ressourcendruck, fehlende institutionelle Compliance, komplexe Interessenkonflikte durch die Anteilseigner-Rolle – all das schafft strafrechtliche Angriffsflächen, die im normalen Wirtschaftsberatungsdiskurs selten thematisiert werden.
Die acht Fallstricke in diesem Beitrag decken die häufigsten Konstellationen ab. Kein Founder wird alle vermeiden können. Aber jeder Founder kann sie kennen, sie proaktiv adressieren, seine Handlungen dokumentieren und im Zweifel früh professionelle Rechtsberatung einbinden. Diese Investition zahlt sich später aus – nicht erst im Exit-Prozess, sondern bereits bei der nächsten VC-Runde, im Krisenfall oder bei behördlichen Anfragen.
Der Unterschied zwischen einem Founder, der zehn Jahre in seinem Startup arbeitet und danach unbeschwert in die nächste Runde geht, und einem Founder, der Jahre nach dem Ausscheiden mit persönlichen Haftungsverfahren konfrontiert wird, liegt selten in der objektiven Handlung. Er liegt in der Dokumentation, in der frühen rechtlichen Beratung und im Wissen um die eigenen Risiken.
Rechtlicher Hinweis
Dieser Beitrag ersetzt keine anwaltliche Beratung im Einzelfall. Die Ausführungen geben den Stand zum Veröffentlichungsdatum wieder. Für eine individuelle Einschätzung Ihres Falls vereinbaren Sie bitte ein vertrauliches Erstgespräch.
Über den Autor
Rechtsanwalt Niklas Hanitsch ist seit Ende 2016 als Strafverteidiger in wirtschaftsstrafrechtlichen Verfahren tätig, mit besonderem Schwerpunkt auf der Beratung von Founder-, Gründer- und Managementmandaten. Er ist Gründer und CEO von SECJUR, einem venture-finanzierten Unternehmen für Compliance- und Cybersicherheits-Automatisierung, das für den Google for Startups Cybersecurity Accelerator ausgewählt wurde. Mitglied der Bundesfachkommission Cybersicherheit im Wirtschaftsrat der CDU. Ausgezeichnet als Capital 40under40 (2023) und Deutscher Startup-Pokal Cybersecurity (2022). Frühere Stationen: Amazon Legal, Taylor Wessing (Deutschland und Silicon Valley), Bird & Bird.