Die geplante Reform des Ordnungswidrigkeitengesetzes (OWiG) könnte das Sanktionsrisiko für Unternehmen deutlich erhöhen. Besonders relevant sind höhere Verbandsgeldbußen und neue Kriterien für deren Bemessung. Für Compliance-Verantwortliche ist dabei entscheidend: Die Qualität der unternehmensinternen Präventions- und Aufdeckungsmaßnahmen soll ausdrücklich berücksichtigt werden.

Stand: 17. August 2026 | Hinweis: Der Gesetzentwurf wurde am 11. Juni 2026 erstmals im Bundestag beraten und anschließend an die Ausschüsse überwiesen. Das Gesetzgebungsverfahren ist noch nicht abgeschlossen. Die nachfolgenden Änderungen beziehen sich auf den Regierungsentwurf (BT-Drs. 21/6133).

Das Wichtigste zum OWiG auf einen Blick

Der Regierungsentwurf zur Umsetzung der europäischen Umweltstrafrechtsrichtlinie sieht unter anderem Änderungen des § 30 OWiG vor. Diese wären allerdings nicht auf Umweltverstöße beschränkt.

Vorgesehen ist insbesondere:

• Das Höchstmaß der Verbandsgeldbuße soll bei einer vorsätzlichen Straftat von 10 Mio. auf 40 Mio. Euro steigen.
• Bei einer fahrlässigen Straftat soll es von 5 Mio. auf 20 Mio. Euro steigen.
• Für die Bemessung der Geldbuße sollen gesetzlich konkretere Kriterien festgelegt werden.
• Dabei sollen ausdrücklich auch Vorkehrungen zur Vermeidung und Aufdeckung von Straftaten und Ordnungswidrigkeiten berücksichtigt werden.
• Der Bundesrat hat darüber hinaus vorgeschlagen, wesentliche Elemente geeigneter Compliance-Maßnahmen stärker in § 130 OWiG zu verankern.

Für Unternehmen ist deshalb weniger die Zahl „40 Millionen“ die entscheidende Nachricht als die dahinterstehende Entwicklung: Die Qualität der Unternehmensorganisation und des Compliance-Systems soll für die Sanktionierung stärker ins Gewicht fallen.

Was sich beim § 30 OWiG ändern soll

30 OWiG ermöglicht bereits heute eine Geldbuße gegen eine juristische Person oder Personenvereinigung, wenn eine Leitungsperson eine Straftat oder Ordnungswidrigkeit begeht und dadurch Unternehmenspflichten verletzt werden oder das Unternehmen bereichert wurde beziehungsweise werden sollte. Nach geltendem Recht liegt das Höchstmaß bei einer vorsätzlichen Straftat grundsätzlich bei 10 Mio. Euro, bei einer fahrlässigen Straftat bei 5 Mio. Euro.

Der Regierungsentwurf sieht eine Vervierfachung dieser beiden Beträge vor:

Anknüpfungstat	Heute	Regierungsentwurf
vorsätzliche Straftat	10 Mio. €	40 Mio. €
fahrlässige Straftat	5 Mio. €	20 Mio. €

Dabei handelt es sich um das vorgesehene gesetzliche Höchstmaß nach § 30 Absatz 2 Satz 1 OWiG-E, nicht um ein regelmäßig festzusetzendes Bußgeld. Die konkrete Sanktion muss weiterhin anhand der Umstände des jeweiligen Falles bestimmt werden. Genau hier setzt eine weitere geplante Änderung an.

Compliance wird ausdrücklich zum Bemessungsfaktor

Der Regierungsentwurf sieht eine Neufassung des § 30 Abs. 2a OWiG vor. Danach sollen unter anderem die Bedeutung der Tat, der gegen das Unternehmen gerichtete Vorwurf und dessen wirtschaftliche Verhältnisse berücksichtigt werden.

Besonders relevant für Compliance ist ein weiteres Kriterium: Bei der Bemessung sollen auch die Vorkehrungen des Unternehmens zur Vermeidung und Aufdeckung von Straftaten und Ordnungswidrigkeiten eine Rolle spielen. Damit wird eine für die Compliance-Praxis zentrale Frage ausdrücklich mit der Sanktionshöhe verknüpft:

Wie gut hat sich das Unternehmen organisatorisch gegen Rechtsverstöße aufgestellt?

Das bedeutet nicht, dass ein Unternehmen jeden Verstoß verhindern muss. Ein wirksames Compliance-System ist keine Garantie dafür, dass einzelne Mitarbeiter niemals gegen Regeln verstoßen.

Entscheidend ist vielmehr, ob das Unternehmen:

• seine wesentlichen Risiken kennt,
• angemessene Präventionsmaßnahmen eingerichtet hat,
• Verantwortlichkeiten klar geregelt hat,
• Kontrollen tatsächlich durchführt,
• Hinweise und Verdachtsfälle ernst nimmt,
• Verstöße untersucht und
• erkannte Schwachstellen anschließend beseitigt.

Für Compliance-Verantwortliche verschiebt sich damit der Schwerpunkt von der Existenz eines CMS zur nachweisbaren Wirksamkeit des CMS.

Was Unternehmen jetzt konkret prüfen sollten

Die Reform ist noch nicht abgeschlossen. Die folgenden Prüffelder sind praktische Ableitungen aus den allgemein formulierten Bemessungskriterien; sie werden im Regierungsentwurf nicht als verbindlicher Maßnahmenkatalog vorgeschrieben. Sie bieten aber einen guten Anlass, die bestehende Compliance-Organisation einem Belastbarkeitstest zu unterziehen.

1. Risikoanalyse

Welche Rechtsverstöße sind für unser konkretes Geschäftsmodell besonders relevant? Eine belastbare Risikoanalyse sollte nicht nur Rechtsgebiete aufzählen, sondern tatsächliche Geschäftsprozesse berücksichtigen – etwa Vertrieb, Einkauf, Drittparteien, Genehmigungen, Produktion, Export, Finanzen oder Umweltmanagement. Entscheidend ist außerdem, dass die Analyse aktuell gehalten wird.

2. Verantwortlichkeiten

Für wesentliche Compliance-Risiken sollte eindeutig feststehen:

• Wer trägt die operative Verantwortung?
• Wer kontrolliert?
• Wer berichtet an die Geschäftsleitung?
• Wer entscheidet bei Verstößen oder Eskalationen?

Gerade an Schnittstellen zwischen Fachbereich, Compliance, Legal, Internal Audit und Geschäftsleitung entstehen häufig organisatorische Lücken.

3. Kontrollen

Unternehmen sollten ihre wesentlichen Compliance-Kontrollen erfassen und nicht nur deren Existenz dokumentieren. Für eine relevante Kontrolle sollte nachvollziehbar sein: Was wird kontrolliert? Wer kontrolliert? Wie häufig? Mit welchem Ergebnis? Was passiert bei einer Abweichung? Damit lässt sich im Ernstfall wesentlich besser zeigen, dass Compliance nicht nur auf dem Papier existiert.

4. Schulungen

Eine hohe Schulungsquote ist nicht automatisch ein Zeichen guter Compliance. Die entscheidende Frage lautet: Passt die Schulung zum konkreten Risiko und zur Tätigkeit des Mitarbeiters?

Ein Mitarbeiter im Vertrieb benötigt beispielsweise andere Compliance-Inhalte als ein Mitarbeiter im Einkauf oder in der Produktion. Risikoorientierung ist wichtiger als möglichst viele Schulungsstunden.

5. Hinweisgebersystem

Ein Hinweisgebersystem sollte nicht nur technisch vorhanden sein. Unternehmen sollten prüfen:

• Ist es bekannt und leicht erreichbar?
• Sind Vertraulichkeit und Schutz der Hinweisgeber gewährleistet?
• Wer bearbeitet Meldungen?
• Wie werden Interessenkonflikte vermieden?
• Wie wird entschieden, ob eine Untersuchung eingeleitet wird?
• Wie werden Ergebnisse und Folgemaßnahmen dokumentiert?

Ein funktionierender Prozess zur Aufdeckung und Untersuchung von Verstößen ist ein wesentlicher Bestandteil einer belastbaren Compliance-Organisation.

§30 OWiG: Aufsicht bleibt ein Schlüsselthema

Neben § 30 OWiG ist § 130 OWiG für Unternehmen besonders relevant. Die Vorschrift betrifft die Verletzung der Aufsichtspflicht in Betrieben und Unternehmen. Nach geltendem Recht müssen die erforderlichen Aufsichtsmaßnahmen getroffen werden, um bestimmte Pflichtverletzungen zu verhindern oder wesentlich zu erschweren.

Der Bundesrat hat im aktuellen Gesetzgebungsverfahren vorgeschlagen, § 130 OWiG stärker zu konkretisieren. Genannt werden unter anderem:

• sorgfältige Auswahl, Unterweisung und Überwachung von Mitarbeitern,
• regelmäßige Ermittlung und Bewertung von Compliance-Risiken,
• Richtlinien und Schulungen,
• ein vertrauliches Hinweisgebersystem,
• die Aufklärung von Verdachtsfällen und der Umgang mit Fehlverhalten.

Die Bundesregierung hat den Vorschlag ausdrücklich abgelehnt (BT-Drs. 21/6668, S. 24). Nach ihrer Auffassung hängen die erforderlichen Maßnahmen vom jeweiligen Einzelfall ab, insbesondere von Branche, Größe, Struktur und Risikoprofil des Unternehmens. Zudem bezweifelt sie, dass § 130 OWiG als Bußgeldvorschrift der richtige Ort für allgemeine Anforderungen an die Unternehmens-Compliance ist.

Die vom Bundesrat vorgeschlagenen Konkretisierungen sind damit zwar weder geltendes Recht noch Bestandteil des Regierungsentwurfs. Gleichwohl benennen sie zentrale Bereiche der Unternehmensorganisation, die für die Vermeidung und Aufdeckung von Rechtsverstößen praktisch relevant sein können. Für Unternehmen kann es sich daher lohnen, diese Bereiche risikoorientiert zu überprüfen – nicht als verbindlichen gesetzlichen Maßnahmenkatalog, sondern als Orientierung für die Beurteilung der eigenen Compliance-Organisation.

Nach dem Verstoß ist vor der Korrektur

Ein Compliance-Vorfall sollte nicht mit der Feststellung des Fehlverhaltens enden. Unternehmen sollten vielmehr dokumentieren:

1. Wie wurde der Verstoß entdeckt?
2. Wie schnell wurde reagiert?
3. Welche Sofortmaßnahmen wurden ergriffen?
4. Wie wurde der Sachverhalt untersucht?
5. Welche organisatorischen Ursachen wurden festgestellt?
6. Welche Kontrolllücken bestanden?
7. Welche Verbesserungsmaßnahmen wurden umgesetzt?
8. Wurde später geprüft, ob diese Maßnahmen tatsächlich funktionieren?

Gerade der letzte Punkt wird häufig unterschätzt. Eine erfolgreiche Korrektur beseitigt nicht nur den konkreten Fehler. Sie soll verhindern, dass er sich wiederholt.

Der Regierungsentwurf sieht ausdrücklich vor, bestimmte Maßnahmen des Unternehmens bei der Bemessung der Verbandsgeldbuße zu berücksichtigen. Dazu können auch Reaktionen auf einen bereits eingetretenen Verstoß gehören.

Compliance Evidence: Nachweisbarkeit wird wichtiger

Unternehmen sollten nicht nur ein Compliance-System betreiben, sondern auch die wesentlichen Nachweise über dessen Funktionsweise strukturiert verfügbar halten.

Dazu können gehören:

• aktuelle Risikoanalysen,
• Verantwortungsmatrizen,
• Schulungsnachweise,
• Kontroll- und Monitoringberichte,
• Auditfeststellungen,
• Compliance-Berichte an die Geschäftsleitung,
• Dokumentation von Hinweisen und Untersuchungen,
• Remediation-Maßnahmen,
• Follow-up-Prüfungen.

Dabei gilt: Dokumentation ersetzt keine wirksame Compliance. Sie kann aber entscheidend dafür sein, die Funktionsweise eines Systems später nachvollziehbar darzustellen. Die praktische Frage lautet daher: Könnte die Geschäftsleitung in zwei oder drei Jahren noch nachvollziehbar erklären, warum bestimmte Compliance-Maßnahmen eingeführt wurden, wie ihre Wirksamkeit überprüft wurde und was nach einem festgestellten Defizit geschah? Wenn die Antwort nein lautet, besteht zumindest Anlass für eine nähere Prüfung.

Was die Reform für den Mittelstand bedeutet

Die geplante Reform ist keineswegs nur ein Thema für internationale Konzerne. Auch mittelständische Unternehmen können erhebliche Compliance-Risiken haben – etwa durch internationale Lieferketten, Vertriebspartner, Umweltpflichten, Exportgeschäfte oder weitreichende Delegation von Verantwortung.

Ein System aber muss zum Unternehmen und seinen Risiken passen. Für viele mittelständische Unternehmen sind deshalb fünf Fragen besonders hilfreich:

1. Welche drei bis fünf Compliance-Risiken sind für uns besonders relevant?
2. Wer trägt dafür Verantwortung?
3. Welche konkreten Kontrollen verhindern oder erkennen Verstöße?
4. Was passiert bei einem Hinweis oder Verdacht?
5. Wie weisen wir nach, dass unser System funktioniert?

Wer diese Fragen belastbar beantworten kann, hat bereits eine gute Grundlage.

Jetzt ist der richtige Zeitpunkt für den Compliance-Check

Die geplante OWiG-Reform unterstreicht eine Entwicklung, die für Unternehmen ohnehin immer wichtiger wird: Nicht nur das Fehlverhalten einzelner Personen zählt. Auch die Qualität der Unternehmensorganisation rückt in den Fokus.

Die wichtigste Frage lautet daher nicht: „Haben wir ein Compliance-Management-System?“, sondern: „Können wir nachweisen, dass unser Compliance-System für unsere Risiken geeignet ist und tatsächlich funktioniert?“

Genau diesen Test sollten Unternehmen jetzt durchführen – unabhängig davon, in welcher endgültigen Fassung die OWiG-Reform verabschiedet wird.

Der kompakte Compliance-Readiness-Check

• Wesentliche Compliance-Risiken aktuell bewertet?
• Verantwortlichkeiten und Aufsicht eindeutig geregelt?
• Wesentliche Kontrollen identifiziert und auf Wirksamkeit geprüft?
• Mitarbeiter risikoorientiert geschult?
• Hinweisgebersystem praktisch funktionsfähig?
• Prozess für interne Untersuchungen definiert?
• Remediation nach Verstößen strukturiert?
• Wirksamkeit von Verbesserungsmaßnahmen überprüft?
• Compliance-Berichte an die Geschäftsleitung dokumentiert?
• Nachweise über die Funktionsfähigkeit des CMS verfügbar?

Wer diese zehn Fragen belastbar beantworten kann, ist für die weitere Entwicklung des Unternehmenssanktionsrechts deutlich besser aufgestellt.