Seit dem 17. Dezember 2023 sind die Bußgeldtatbestände des Hinweisgeberschutzgesetzes (HinSchG) vollständig anwendbar. Wer als Beschäftigungsgeber seine Pflichten verletzt, muss mit Geldbußen bis zu 50.000 € rechnen — in bestimmten Fällen sogar bis zu 500.000 €. Doch der Bußgeldrahmen ist nur ein Teil des realen Risikos.
Die fünf Bußgeldtatbestände im Überblick
§40 HinSchG zählt die ahndungsfähigen Verstöße auf. Die wichtigsten:
| Verstoß | Maximales Bußgeld |
| Behindern einer Meldung oder der Folgekommunikation | 50.000 € |
| Repressalie gegen Hinweisgeber:in | 50.000 € |
| Verletzung des Vertraulichkeitsgebots | 50.000 € |
| Vorsätzlich unrichtige Information durch Hinweisgeber:in | 20.000 € |
| Keine interne Meldestelle eingerichtet | 20.000 € |
Hinzu kommt: Bei Verstößen gegen das Repressionsverbot kann die Bußgeldhöhe nach §30 OWiG bei juristischen Personen auf das Zehnfache angehoben werden — also bis zu 500.000 €.
Was die Bußgelder *nicht* abbilden
Viele Compliance-Teams denken in den genannten Maximalbeträgen. Das unterschätzt die tatsächlichen Folgekosten erheblich. Drei Faktoren werden regelmäßig vergessen:
1. Schadensersatz an Hinweisgebende. §37 HinSchG gibt der hinweisgebenden Person einen Anspruch auf Ersatz materiellen und immateriellen Schadens, wenn sie eine Repressalie erlitten hat. In der Praxis bewegen sich solche Vergleiche im fünfstelligen Bereich, bei Kündigungsschutzprozessen mit anschließendem Vergleich oft bei mehreren Bruttomonatsgehältern.
2. Reputationsschaden. Bußgeldverfahren werden nach Abschluss in vielen Bundesländern öffentlich gemacht. Branchenmedien greifen Compliance-Versäumnisse dankbar auf — gerade im Mittelstand kann das laufende Vertragsverhandlungen, Ausschreibungen oder ESG-Ratings beschädigen.
3. Aufsichtskosten und Folgeprüfungen. Wer einmal auffällig wird, zieht Folgeprüfungen anderer Behörden nach sich: Datenschutz, Arbeitsschutz, BaFin (bei Finanzdienstleistern). Die internen Aufwände solcher Verfahren übersteigen das eigentliche Bußgeld in der Regel um ein Vielfaches.
Wer wird tatsächlich belangt?
Bislang (Stand: 2026) sind nur wenige Bußgeldverfahren publik geworden. Das hat zwei Gründe:
- Die Bußgeldverfahren sind nicht öffentlich, solange keine Pressemitteilung erfolgt.
- Die zuständigen Behörden (Bundesamt für Justiz und Landesbehörden) bauen ihre Kapazitäten erst auf.
Die Tendenz aus vergleichbaren Compliance-Bereichen (Datenschutz, Geldwäsche) zeigt aber: Nach 18–24 Monaten Karenzphase folgen sprunghaft Verfahren — meist bei Anlässen wie Beschwerden ehemaliger Mitarbeitender oder bei Routineprüfungen. Wer 2026 noch ohne funktionierende Meldestelle arbeitet, geht ein zunehmend konkretes Risiko ein.
Vier Dinge, die jetzt zwingend sitzen müssen
1. Eine eingerichtete interne Meldestelle, die mindestens schriftlich und mündlich erreichbar ist (§16 HinSchG). 2. Ein dokumentiertes Verfahren zur Eingangsbestätigung innerhalb von sieben Tagen und zur Rückmeldung innerhalb von drei Monaten (§17 HinSchG). 3. Geschulte Sachkunde der Meldestellenbeauftragten — nachweisbar durch eine Schulung von mindestens vier bis acht Stunden plus regelmäßige Auffrischung (§15 HinSchG). 4. Technische Vertraulichkeit des Meldekanals — eine reine E-Mail-Adresse erfüllt das nicht, ein verschlüsseltes Hinweisgebersystem schon.
Fazit
Die nominalen Bußgelder klingen für mittelständische Unternehmen überschaubar — die realen Kosten eines Verstoßes liegen aber regelmäßig im sechsstelligen Bereich, sobald Schadensersatz, Folgeprüfungen und Reputationsfolgen zusammentreffen. Wer die Pflichten des HinSchG bisher als nachrangig behandelt hat, sollte 2026 spätestens nachziehen: Der Aufbau einer rechtskonformen Meldestelle dauert mit einem fertigen System wenige Stunden — Bußgeldverfahren dauern Jahre.
