Ein Whistleblowing-Kanal, auf den nur während der Arbeitszeit von einem Büro-Computer aus zugegriffen werden kann, schließt den Großteil der weltweiten Belegschaft aus.

Telearbeiter, Mitarbeiter auf Dienstreisen, Außendienstmitarbeiter, internationale Teams, Auftragnehmer und Mitarbeiter in der Lieferkette müssen die Möglichkeit haben, Bedenken zu äußern – egal wo sie sich gerade befinden, zu jeder beliebigen Zeit und über jedes verfügbare Gerät. Die Herausforderung für Compliance-Beauftragte besteht darin, diese Zugänglichkeit zu gewährleisten, ohne die Sicherheits-, Vertraulichkeits- und Datenschutzstandards zu beeinträchtigen, die für Whistleblowing-Daten erforderlich sind.

Diese Ressource beschreibt die praktischen Anforderungen, um Whistleblowing-Kanäle von jedem Ort, auf jedem Gerät und zu jeder Zeit sicher zugänglich zu machen – sowie die Implementierungsentscheidungen, die darüber entscheiden, ob der Fernzugriff das Programm stärkt oder schwächt.

Warum ortsunabhängiger Zugriff wichtig ist

Angesichts der Zusammensetzung der modernen Belegschaft ist der ortsunabhängige Zugriff keine Annehmlichkeit, sondern eine Notwendigkeit. Durch hybride und remote Arbeitsmodelle sind viele Mitarbeiter nur noch selten in den Räumlichkeiten des Unternehmens anzutreffen. Internationale Geschäftstätigkeiten führen zu Belegschaften, die über verschiedene Zeitzonen verteilt sind, sodass es keine einheitlichen „Bürozeiten“ gibt, die für alle gelten. Mitarbeiter vor Ort, Schichtarbeiter und Mitarbeiter mit Kundenkontakt – in den Bereichen Bauwesen, Fertigung, Logistik, Einzelhandel und Pflege – sitzen während ihres Arbeitstages möglicherweise nie an einem Schreibtisch.

Fehlverhalten beschränkt sich nicht auf Büroräume oder reguläre Arbeitszeiten. Ein Sicherheits- oder Gesundheitsrisiko während der Nachtschicht, ein Bestechungsversuch auf einer Geschäftsreise, Belästigung bei einer Veranstaltung außerhalb des Unternehmens, eine finanzielle Unregelmäßigkeit, die ein Remote-Mitarbeiter bei der Durchsicht von Unterlagen von zu Hause aus entdeckt – in jedem dieser Fälle ist ein Meldeweg erforderlich, der in diesem Moment, an diesem Ort und auf dem Gerät, das dem Meldenden gerade zur Verfügung steht, zugänglich ist.

Die Freshfields-Umfrage zum Thema Whistleblowing 2023 ergab, dass die Beteiligung an Whistleblowing insgesamt deutlich zugenommen hat – von 32 % im Jahr 2020 auf 43 % im Jahr 2023. Wenn der Kanal nicht dann und dort zugänglich ist, wo und wann der Hinweisgeber ihn benötigt, führt diese wachsende Bereitschaft, sich zu äußern, nicht zu Meldungen, auf die das Unternehmen reagieren kann.

Sichere webbasierte Berichtsportale

Ein webbasiertes Meldeportal ist die wichtigste Möglichkeit für einen ortsunabhängigen digitalen Zugriff. Bei korrekter Implementierung ermöglicht es einem Meldenden, ein Anliegen von jedem mit dem Internet verbundenen Gerät – Laptop, Tablet oder Smartphone – aus einzureichen, ohne spezielle Software installieren oder sich mit einem Unternehmensnetzwerk verbinden zu müssen.

Die Sicherheitsanforderungen für ein aus der Ferne zugängliches Portal entsprechen denen jeder anderen Whistleblowing-Plattform, doch treten bestimmte Aspekte stärker in den Vordergrund, wenn der Zugriff von außerhalb der kontrollierten IT-Umgebung der Organisation erfolgt:

• TLS-Verschlüsselung: Die gesamte Kommunikation zwischen dem Gerät des Meldenden und der Plattform muss unter Verwendung aktueller Transport Layer Security-Protokolle verschlüsselt werden. Dadurch werden die Meldedaten während der Übertragung geschützt, unabhängig davon, ob der Meldende ein Unternehmensnetzwerk, eine Breitbandverbindung zu Hause oder öffentliches WLAN nutzt.
• Keine Installation auf dem Endgerät: Das Portal sollte vollständig browserbasiert sein, sodass weder ein Software-Download noch die Installation von Plugins erforderlich ist. Dies gewährleistet den Zugriff von privaten Geräten aus und verhindert, dass auf gemeinsam genutzten oder firmeneigenen Geräten Spuren der Berichtstätigkeit zurückbleiben.
• Responsives Design: Das Portal muss auf mobilen Geräten einwandfrei funktionieren. Ein Reporter, der während einer Pause auf einer Baustelle oder während seiner Schicht in der Pflege über sein Smartphone auf den Kanal zugreift, benötigt eine Benutzeroberfläche, die auf einem kleinen Bildschirm funktioniert, ohne dass dabei die Benutzerfreundlichkeit oder die Sicherheit beeinträchtigt wird.
• Keine Abhängigkeit vom Unternehmensnetzwerk: Das Portal muss über das öffentliche Internet zugänglich sein und darf nicht hinter einer Unternehmensfirewall oder einem VPN gehostet werden, die den Zugriff auf verwaltete Geräte einschränken. Eine Beschränkung des Zugriffs auf das Unternehmensnetzwerk würde den Zweck eines vertraulichen Kanals zunichte machen – und Auftragnehmer, Mitarbeiter der Lieferkette sowie alle Personen ausschließen, die von außerhalb der IT-Infrastruktur der Organisation berichten.

Der „Report to the Nations“ 2024 der ACFE ergab, dass die webbasierte Meldung (40 %) die telefonischen Hotlines (30 %) als häufigste Methode zur Übermittlung von Hinweisen abgelöst hat. Damit dieser Kanal effektiv funktioniert, muss er von jedem Ort aus zugänglich sein, an dem sich der Hinweisgeber befindet – nicht nur über das eigene Netzwerk der Organisation.

Telefonischer Erreichbarkeit rund um die Uhr in allen Regionen

Die telefonische Meldung ermöglicht standardmäßig einen ortsunabhängigen Zugriff – ein Melder kann von jedem Telefon aus, überall und jederzeit anrufen. Für multinationale Unternehmen erfordert ein wirklich globaler telefonischer Zugriff jedoch eine spezielle Infrastruktur:

• Orts- oder gebührenfreie Nummern: Reporter sollten eine Nummer anrufen können, die in ihrem Land lokaal ist, idealerweise gebührenfrei. Eine einzige internationale Nummer ist möglicherweise aus manchen Ländern nicht erreichbar oder verursacht Gebühren, die Reporter abschrecken könnten.
• Mehrsprachigkeit: Ein Reporter, der aus dem Ausland anruft, muss in seiner eigenen Sprache kommunizieren können. Dabei geht es nicht nur um die Übersetzung – der Gesprächspartner muss das Gespräch so flüssig führen können, dass er die Nuancen und Details erfasst, die den Bericht aussagekräftig machen.
• Verfügbarkeit rund um die Uhr: Aufgrund von Zeitunterschieden steht ein Telefonkanal, der während der britischen Geschäftszeiten in Betrieb ist, Reportern im asiatisch-pazifischen Raum während ihres Arbeitstages und Reportern in Nord- und Südamerika während ihrer Abendstunden nicht zur Verfügung. Eine echte Rund-um-die-Uhr-Verfügbarkeit stellt sicher, dass kein Reporter warten muss, bis ein geeigneter Zeitpunkt gekommen ist, um ein Anliegen vorzubringen – denn bis dahin könnte seine Bereitschaft oder Fähigkeit zur Meldung bereits nachgelassen haben.

Der Telefonservice von Safecall ist rund um die Uhr an 365 Tagen im Jahr in über 175 Sprachen und in 150 Ländern verfügbar. Die Mitarbeiter sind allesamt ehemalige britische Polizeibeamte mit jeweils mehr als 25 Jahren Ermittlungserfahrung. Diese Kombination aus globaler Reichweite und fachlicher Kompetenz stellt sicher, dass ein Hinweisgeber an jedem Ort denselben Servicestandard erhält – einen geschulten, unabhängigen Fachmann, der das Gespräch in der Sprache des Hinweisgebers führen und eine detaillierte, strukturierte Schilderung des Sachverhalts erfassen kann.

Schutz der Anonymität auf privaten und gemeinsam genutzten Geräten

Wenn Hinweisgeber über private Geräte, gemeinsam genutzte Familiencomputer oder Geräte in öffentlichen Räumen auf den Kanal zugreifen, ergeben sich zusätzliche Überlegungen hinsichtlich der Anonymität. Die Whistleblowing-Plattform selbst mag zwar sicher sein, doch Spuren der Meldungstätigkeit auf dem Gerät könnten die Anonymität des Hinweisgebers gefährden.

Zu den praktischen Maßnahmen, um dem entgegenzuwirken, gehören die Gestaltung des Portals, sodass für die erstmalige Meldung keine Kontoerstellung oder Anmeldung erforderlich ist (die anonyme Referenznummer und das Passwort werden erst während des Meldeprozesses und nicht vorher generiert), die Gewährleistung, dass die Plattform keine Cookies oder lokalen Daten speichert, die den Besuch des Meldenden identifizieren könnten, die Bereitstellung klarer Anleitungen für Meldende zur Nutzung privater oder Inkognito-Browsing-Modi sowie der Verzicht auf jegliche Anforderungen an den Meldenden, Dateien herunterzuladen oder Bestätigungs-E-Mails zu empfangen, die auf einem gemeinsam genutzten Gerät entdeckt werden könnten.

Diese Überlegungen mögen detailliert erscheinen, spiegeln jedoch die Realität wider, wie viele Meldende auf den Kanal zugreifen werden. Ein Bauarbeiter, der von einem gemeinsam genutzten Tablet im Baustellenbüro ein Sicherheitsproblem meldet, oder ein Mitarbeiter, der von einem privaten Laptop zu Hause eine Beschwerde wegen Mobbing einreicht, muss darauf vertrauen können, dass die Meldung keine Spuren hinterlässt, anhand derer er identifiziert werden könnte.

Ausweitung des Zugangs zur Lieferkette und zu Dritten

Die EU-Whistleblowing-Richtlinie erweitert den Schutz auf einen breiten Personenkreis, der über die direkten Beschäftigten hinausgeht: Auftragnehmer, Freiberufler, Freiwillige, Anteilseigner, Bewerber und Personen in der Lieferkette des Hinweisgebers. Viele nationale Umsetzungsvorschriften erweitern diesen Anwendungsbereich noch weiter. Damit der Whistleblowing-Kanal diesen Personengruppen dienen kann, muss er zugänglich sein, ohne dass eine Mitarbeiter-ID, eine Unternehmens-E-Mail-Adresse oder der Zugriff auf die internen Systeme der Organisation erforderlich ist.

Ein öffentlich zugängliches Webportal – erreichbar über eine URL, die auf der Website der Organisation veröffentlicht, in Lieferantenverträge aufgenommen und über die Kommunikation innerhalb der Lieferkette verbreitet werden kann – gewährleistet diese Zugänglichkeit. Der Telefonkanal unterstützt von Natur aus den Zugang durch Dritte, da jede Person die veröffentlichte Nummer anrufen kann. Zusammen sorgen diese Kanäle dafür, dass die Reichweite des Programms den gesamten Kreis der gesetzlich definierten geschützten Personen abdeckt.

Für Unternehmen mit komplexen Lieferketten – sei es im Bauwesen, in der Fertigung, in der Lebensmittelproduktion oder im Einzelhandel – ist diese erweiterte Transparenz nicht nur eine Frage der Einhaltung gesetzlicher Vorschriften. Sie ist eine praktische Notwendigkeit, um Missstände wie moderne Sklaverei, Ausbeutung von Arbeitskräften und Umweltverstöße aufzudecken, die von den Beschäftigten in der Lieferkette eher bemerkt werden als von den eigenen Mitarbeitern des Unternehmens.

Datenspeicherort und grenzüberschreitender Zugriff

Wenn ein Reporter in Deutschland über ein in Großbritannien gehostetes Portal eine Meldung einreicht, überqueren die Daten dieser Meldung eine internationale Grenze. Compliance-Beauftragte müssen sicherstellen, dass die Datenarchitektur der Plattform dem Rechnung trägt: entweder durch das Hosting der Daten innerhalb der Rechtsordnung, aus der die Meldung stammt, durch die Gewährleistung geeigneter DSGVO-konformer Übermittlungsmechanismen (Standardvertragsklauseln, Angemessenheitsbeschlüsse) oder durch die Nutzung eines Anbieters, dessen Infrastruktur so konzipiert ist, dass grenzüberschreitende Datenströme konform abgewickelt werden.

Ein Anbieter mit Datenaufbewahrung im Vereinigten Königreich und bewährter länderübergreifender Kompetenz vereinfacht dies erheblich. Das Unternehmen kann einen einzigen, weltweit zugänglichen Kanal anbieten, während die Infrastruktur des Anbieters die Einhaltung der Vorschriften zur Datenaufbewahrung und -übertragung gewährleistet, die für den grenzüberschreitenden Zugriff erforderlich sind.

Checkliste für die Implementierung eines sicheren Fernzugriffs

Compliance-Beauftragte, die einen ortsunabhängigen Zugang zu ihrem Whistleblowing-Kanal einrichten oder überprüfen, sollten Folgendes überprüfen:

• Das Webportal ist von jedem Gerät mit Internetverbindung aus zugänglich, ohne dass ein VPN, eine Softwareinstallation oder ein Zugriff auf das Unternehmensnetzwerk erforderlich ist.
• Das Portal ist für Mobilgeräte optimiert und funktioniert einwandfrei auf Smartphones und Tablets.
• Die TLS-Verschlüsselung schützt alle übertragenen Daten, unabhängig von der Netzwerkumgebung des Berichterstatters.
• Das Portal speichert keine Cookies, lokalen Daten oder sonstigen Spuren der Berichtssitzung auf dem Gerät.
• Die telefonische Meldung ist rund um die Uhr an 365 Tagen im Jahr möglich, wobei für jedes Land, in dem wir tätig sind, lokale oder gebührenfreie Rufnummern zur Verfügung stehen.
• Die Mehrsprachigkeit deckt die Sprachen ab, die in der gesamten Belegschaft und Lieferkette gesprochen werden.
• Der Kanal steht Auftragnehmern, Mitarbeitern der Lieferkette und anderen Nicht-Mitarbeitern zur Verfügung, ohne dass eine Unternehmensanmeldung erforderlich ist.
• Die Bestimmungen zum Datenstandort und die Mechanismen für den grenzüberschreitenden Datentransfer entsprechen den Anforderungen der DSGVO und der britischen DSGVO.
• Die Kommunikation über diesen Kanal erfolgt über Materialien, die allen Mitarbeitergruppen zugänglich sind – nicht nur über intranetbasierte Ressourcen, die Nicht-Mitarbeiter ausschließen.

Weiterführende Ressourcen

• Hub für Whistleblowing-Technologie und -Kanäle – Überblick über Meldekanäle und die Auswahl der Technologie.
• Wie ermöglichen sichere digitale Portale eine sichere Meldung von Missständen? – Die Sicherheitsarchitektur des Portals im Detail.
• Wie können digitale Berichtswege Remote- und internationale Teams unterstützen? – Gestaltung für verteilte und internationale Belegschaften.
• Wie lassen sich Whistleblowing-Lösungen an verschiedene Branchen anpassen? – Branchenspezifische Anforderungen an die Barrierefreiheit.

Wie Safecall helfen kann

For multinational organisations, secure access and multilingual capability are inseparable requirements — a channel that is technically accessible from 150 countries but operates only in English will fail a significant portion of the workforce it is meant to serve. Safecall addresses both simultaneously: its web portal and 24/7 telephone hotline are available across 150 countries in 175+ languages, with local or freephone numbers and live interpretation as standard on the telephone channel. Founded in 1999 and trusted by more than 1,200 organisations covering six million employees, Safecall is an established independent provider for compliance teams that need demonstrable multilingual reach alongside the security and anonymity controls this page describes.

Wenn Sie erfahren möchten, wie Safecall einen sicheren, ortsunabhängigen Zugang für Ihr Whistleblowing-Programm bieten kann, wenden Sie sich an unser Team oder rufen Sie uns unter +44 (0) 191 516 7720 an.

Quellen und weiterführende Literatur

• Association of Certified Fraud Examiners (ACFE), „Occupational Fraud 2024: A Report to the Nations“ – Kanaleinstellungen, Zunahme der webbasierten Meldungen – acfe.com
• Freshfields Bruckhaus Deringer, Whistleblowing-Umfrage 2023 – Zunehmende Beteiligung an Whistleblowing – blog.freshfields.us
• EU-Richtlinie 2019/1937 zum Schutz von Personen, die Verstöße gegen das Unionsrecht melden – Kreis der geschützten Personen – eur-lex.europa.eu
• EU-Datenschutz-Grundverordnung (DSGVO), Kapitel V – grenzüberschreitende Datenübermittlungen –gdpr-info.eu
• Safecall, Whistleblowing-Benchmark-Bericht 2024 – Nutzungsverhalten der Kanäle – safecall.co.uk