If your company or you personally are targeted by a criminal investigation in Germany, three things are different from what US executives typically expect. First, German prosecutors are legally obligated to investigate any credible suspicion – there is no prosecutorial discretion to simply decline. Second, most white collar investigations start silently: no target letter, no negotiation window, but a coordinated dawn raid on offices and homes. Third, the German trial is directed by the presiding judge, not the parties. There is no jury, no adversarial cross-examination in the US sense, and no plea bargaining in the American form – but there is a distinct German mechanism called Verständigung (§ 257c StPO), which is functionally close but procedurally different. This guide covers what US executives need to understand to make sound decisions in the first 48 hours of a German white collar matter – and how German criminal procedure differs from what your US counsel is used to.

Wenn Sie eine Vorladung als Beschuldigter erhalten, müssen Sie zwei Dinge sofort unterscheiden: Bei einer Polizei-Vorladung besteht keine Erscheinungspflicht – Sie dürfen den Termin absagen und schweigen. Bei einer Vorladung durch Staatsanwaltschaft oder Richter besteht Erscheinungspflicht, aber ebenfalls keine Aussagepflicht. In beiden Fällen gilt: Nicht selbst hingehen und aussagen. Nehmen Sie sofort einen Strafverteidiger. Der Verteidiger fordert die Ermittlungsakte an, prüft den Vorwurf und legt gemeinsam mit Ihnen fest, ob – und wenn ja: was – Sie aussagen. Wer ohne Akteneinsicht spricht, verteidigt sich blind. Das ist der häufigste, folgenschwerste Fehler in Ermittlungsverfahren.

Wenn ein aktueller oder ehemaliger Mitarbeiter Unternehmensdaten – Kundenlisten, technische Konzepte, Preiskalkulationen, Quellcode – kopiert, mitnimmt oder weitergibt, greifen bis zu fünf Straftatbestände parallel: § 23 Geschäftsgeheimnisgesetz (bis 3 Jahre Freiheitsstrafe, bei schweren Fällen bis 5 Jahre), § 202a StGB (Ausspähen von Daten), § 42 BDSG (bei personenbezogenen Daten, bis 3 Jahre), § 202d StGB (Datenhehlerei bei Weiterverwendung), § 303a StGB (Datenveränderung bei Löschung). Zivilrechtlich kommen Unterlassungs-, Auskunfts- und Schadensersatzansprüche aus GeschGehG, UWG, § 823 BGB und Arbeitsvertrag hinzu. Die entscheidende Weiche stellen Sie in den ersten 48 Stunden: forensische Beweissicherung, dokumentierte interne Untersuchung und die strategische Entscheidung zwischen zivilrechtlicher Eile (einstweilige Verfügung) und strafrechtlicher Anzeige.

§ 263a StGB stellt Computerbetrug unter Strafe: die unbefugte Beeinflussung eines Datenverarbeitungsvorgangs mit dem Ziel, sich oder einem anderen einen rechtswidrigen Vermögensvorteil zu verschaffen. Bei CEO-Fraud, Business Email Compromise (BEC) und den meisten Phishing-Varianten liegt aber in der Regel nicht § 263a, sondern der klassische Betrug (§ 263 StGB) vor – weil ein Mensch getäuscht wird, nicht ein Automat. Die Abgrenzung ist entscheidend, weil beide Normen unterschiedliche Tatbestände, Verjährungsfristen und Qualifikationen (Bandenbetrug, gewerbsmäßiger Betrug) haben. In der Praxis werden Verfahren häufig nebeneinander mit beiden Normen geführt – die Verteidigung muss die Abgrenzung präzise beherrschen.

Seit dem 6. Dezember 2025 haften Geschäftsführer besonders wichtiger und wichtiger Einrichtungen nach § 38 BSIG neuer Fassung persönlich für die Umsetzung und Überwachung von Cybersicherheits-Risikomanagementmaßnahmen. Die Pflicht kann nicht delegiert werden. Ein Haftungsverzicht durch Gesellschaftervertrag oder Satzung ist gesetzlich ausgeschlossen. Bei Verstößen drohen Bußgelder bis 10 Millionen Euro oder 2 Prozent des Jahresumsatzes gegen das Unternehmen sowie persönliche Innenhaftung gegenüber der Gesellschaft. Zusätzlich können sich Geschäftsleiter bei schweren Vorfällen strafbar machen – über Untreue (§ 266 StGB), Aufsichtspflichtverletzung (§ 130 OWiG) und in Ausnahmefällen weitere Delikte. Enthaftung gelingt nur durch dokumentierte Billigung der Maßnahmen, aktive Überwachung und regelmäßige Schulungen.

Bei einer Hausdurchsuchung in Ihrem Unternehmen entscheiden die ersten 60 Minuten über die Beweislage der nächsten Jahre. Prüfen Sie den Durchsuchungsbeschluss, verlangen Sie eine Kopie, rufen Sie sofort einen Strafverteidiger, schweigen Sie zur Sache, dokumentieren Sie jeden mitgenommenen Gegenstand und schützen Sie IT-Systeme und Cloud-Zugänge vor unkontrollierter Sichtung. Kein Widerstand, aber auch keine freiwilligen Handlungen – nur was rechtlich geschuldet ist.

§ 202a StGB stellt das Ausspähen von Daten unter Strafe: Wer sich oder einem anderen unbefugt Zugang zu nicht für ihn bestimmten Daten verschafft, die gegen unberechtigten Zugang besonders gesichert sind, wird mit Freiheitsstrafe bis zu drei Jahren oder Geldstrafe bestraft. Die zentrale Frage in fast jedem Verfahren lautet: War die Zugangssicherung „besonders" – und war der Zugang „unbefugt"? An diesen zwei Punkten entscheidet sich die Strafbarkeit. Betroffen sind typischerweise IT-Sicherheitsforscher, Systemadministratoren, ehemalige Mitarbeiter mit Datenzugriff und Personen im Umfeld von Datenlecks.

Nach einem Ransomware-Angriff steht das betroffene Unternehmen in einer rechtlich mehrfach überlagerten Krise: Die Zahlung des Lösegelds ist in Deutschland nicht per se strafbar, kann aber gegen Sanktionsrecht, Geldwäscherecht und aufsichtsrechtliche Pflichten verstoßen. Gleichzeitig laufen 24-, 72- und 48-Stunden-Meldepflichten (BSIG, DSGVO, NIS-2), und die Geschäftsleitung kann für unterlassene oder verspätete Reaktionen persönlich haften. Die zentralen Entscheidungen der ersten 24 Stunden entscheiden nicht nur über den technischen Wiederaufbau, sondern auch über die rechtliche Verteidigungslage der nächsten Jahre.

§ 42 BDSG stellt bestimmte schwere Datenschutzverstöße unter Strafe – mit Freiheitsstrafe bis zu drei Jahren. Erfasst sind zwei Fallgruppen: die gewerbsmäßige Weitergabe nicht allgemein zugänglicher personenbezogener Daten einer großen Zahl von Personen (Absatz 1) und die Verarbeitung nicht allgemein zugänglicher Daten in Bereicherungs- oder Schädigungsabsicht (Absatz 2). Die Norm ist Antragsdelikt. In der Praxis relevant sind vor allem Ex-Mitarbeiter, die Kundendaten mitnehmen, Adress- und Datenhändler außerhalb legitimer Strukturen sowie zunehmend Datenschutzverantwortliche und Geschäftsführer, denen Datenweitergaben zur Last gelegt werden. Ein wichtiger Schutz: DSGVO-Meldungen nach Art. 33 dürfen nur mit Zustimmung des Meldepflichtigen als Beweismittel gegen ihn verwendet werden.