NEU: Laden Sie noch heute den Whistleblowing-Benchmark-Bericht 2026 herunter

Welche Funktionen sind bei einem Whistleblowing-System am wichtigsten?

Die Beschaffung von Whistleblowing-Systemen orientiert sich häufig an Funktionslisten. Anbieter legen umfangreiche Listen mit Funktionen vor, und die Beschaffungsteams bewerten diese anhand gewichteter Kriterien.

Das Ergebnis kann ein Auswahlverfahren sein, bei dem die Breite der Funktionen gegenüber der Tiefe der Dienstleistungen bevorzugt wird – und bei dem der theoretische Leistungsumfang des Systems Vorrang vor dem hat, was es in der Praxis tatsächlich leisten wird.

Für Compliance-Beauftragte, die für die Auswahl oder Überprüfung eines Whistleblowing-Systems zuständig sind, lautet die entscheidende Frage nicht, welches System die meisten Funktionen bietet, sondern welche Funktionen tatsächlich darüber entscheiden, ob das Programm seine Ziele erreicht: Menschen zur Meldung von Missständen zu ermutigen, verwertbare Informationen zu erfassen, gesetzliche Verpflichtungen zu erfüllen und dem Vorstand den Nutzen des Programms aufzuzeigen. Diese Informationsquelle zeigt auf, welche Funktionen am wichtigsten sind – und erläutert, warum einige viel gepriesene Funktionen einer genaueren Prüfung bedürfen, als ihnen zuteilwird.

Multikanal-Berichterstattung, die die gesamte Belegschaft erreicht

Ein System, das lediglich ein Webportal bietet, ist keine vollständige Whistleblowing-Lösung. Der „Report to the Nations 2024“ der ACFE bestätigte, dass die webbasierte Meldung (40 %) das Telefon (30 %) als weltweit häufigste Meldeform überholt hat, doch hinter dieser Gesamtzahl verbergen sich erhebliche Unterschiede. Der Whistleblowing-Benchmark-Bericht 2024 von Safecall ergab, dass jeder dritte Hinweisgeber nach wie vor das Telefon bevorzugt – und dass Hinweisgeber, die das Telefon nutzen, sich mit einer um 22,7 % höheren Wahrscheinlichkeit zu erkennen geben als diejenigen, die schriftliche Kanäle nutzen.

Entscheidend ist nicht nur die Verfügbarkeit mehrerer Kanäle, sondern auch deren jeweilige Qualität. Ein Telefonkanal, der von geschulten Fachkräften mit Erfahrung in der Ermittlungsbefragung betreut wird, liefert detailliertere und besser verwertbare Meldungen als ein Kanal, der sich auf Callcenter-Mitarbeiter oder automatisierte Voicemail stützt. Ein Webportal, das für Mobilgeräte optimiert ist, in den Sprachen der gesamten Belegschaft verfügbar ist und ohne Unternehmenszugangsdaten genutzt werden kann, erreicht Bevölkerungsgruppen, die ein rein desktopbasiertes, englischsprachiges Portal verfehlen würde.

Das Arbeitsrechtsgesetz von 2025, mit dem ab dem 6. April 2026 ein erweiterter Schutz für Hinweisgeber eingeführt wurde, sowie die Vorgabe der EU-Whistleblower-Richtlinie, sowohl schriftliche als auch mündliche Meldemöglichkeiten bereitzustellen, unterstreichen, dass die Bereitstellung mehrerer Kanäle eine gesetzliche Mindestanforderung ist – und kein Luxusmerkmal.

Architektur für Anonymität und Vertraulichkeit

Jedes Whistleblowing-System gibt vor, anonyme Meldungen zu unterstützen. Entscheidend ist jedoch, wie gründlich die Anonymität auf technischer Ebene gewährleistet wird. Der Compliance-Beauftragte sollte prüfen, ob die Plattform bei anonymen Sitzungen die Protokollierung von IP-Adressen unterbindet, Metadaten aus hochgeladenen Dokumenten entfernt (Autornamen, Gerätekennungen, GPS-Koordinaten, Änderungshistorie), auf Analyse- oder Tracking-Skripte von Drittanbietern innerhalb der Meldeumgebung verzichtet und keine Cookies oder lokalen Daten speichert, die die Aktivitäten des Hinweisgebers nach Beendigung der Sitzung identifizieren könnten.

Bei telefonischen Meldungen stellt sich die Frage, ob die Anrufe aufgezeichnet werden. Eine Sprachaufzeichnung stellt personenbezogene Daten dar und kann unter bestimmten Verarbeitungsbedingungen als biometrische Daten gelten – was zu Verpflichtungen gemäß der DSGVO hinsichtlich Speicherung, Zugriff und Löschung führt und ein Identifizierungsrisiko mit sich bringt, das die garantierte Anonymität untergräbt. Anbieter, die keine Anrufe aufzeichnen – sondern stattdessen auf geschulte Mitarbeiter setzen, die den Inhalt der Meldungen schriftlich erfassen –, eliminieren diese gesamte Datenkategorie. Es handelt sich um einen „Privacy-by-Design“-Ansatz: Die sichersten Daten sind Daten, die niemals erstellt werden.

Die EU-Whistleblower-Richtlinie schreibt vor, dass die Identität des Hinweisgebers nur autorisierten Mitarbeitern bekannt gegeben werden darf. Die ACFE stellte fest, dass Organisationen mit anonymen Meldemechanismen um 50 % geringere Betrugsverluste verzeichneten. Die Architektur der Anonymität ist kein nebensächliches technisches Detail – sie ist ein entscheidender Faktor dafür, ob das Programm die Meldungen generiert, die für sein Funktionieren erforderlich sind.

Integriertes Fallmanagement

Der Meldekanal erfasst das Anliegen. Die Fallmanagement-Plattform entscheidet, ob daraus konkrete Maßnahmen resultieren. Die wichtigsten Funktionen im Fallmanagement sind diejenigen, die sicherstellen, dass keine Meldung verloren geht, alle behördlichen Fristen eingehalten werden und jede Maßnahme dokumentiert wird.

Automatische Bestätigungen innerhalb der in der EU-Richtlinie vorgeschriebenen Frist von sieben Tagen, konfigurierbare Triage-Workflows, die Fälle je nach Kategorie und Schweregrad weiterleiten, rollenbasierte Zugriffskontrollen, die den Zugriff auf sensible Informationen auf autorisierte Ermittler beschränken, umfassende Prüfpfade, die jede im Zusammenhang mit einem Fall durchgeführte Aktion aufzeichnen, sowie die Nachverfolgung von Fristen mit Eskalationswarnungen für die dreimonatige Rückmeldepflicht – all dies sind keine optionalen Erweiterungen. Es handelt sich vielmehr um die operative Infrastruktur, die einen Meldekanal in ein funktionierendes Compliance-Programm verwandelt.

Da der seit September 2025 geltende Straftatbestand der unterlassenen Betrugsbekämpfung im Rahmen des ECCTA diese Infrastruktur für die Rechtsverteidigung unmittelbar relevant macht, befindet sich eine Organisation, die anhand ihrer Fallbearbeitungsunterlagen nachweisen kann, dass Meldungen im Rahmen eines strukturierten Prozesses entgegengenommen, priorisiert, untersucht und geklärt wurden, in einer wesentlich stärkeren Position als eine Organisation, die sich auf E-Mail-Korrespondenz und Tabellenkalkulationen stützt.

Analytik und Programmberichterstattung

Ein Whistleblowing-System, das zwar Daten erfasst, diese aber nicht analysieren kann, schöpft nur die Hälfte seines Potenzials aus. Entscheidend sind jene Funktionen, die einzelne Falldaten in programmatische Erkenntnisse umwandeln: Berichts-Dashboards, die Kennzahlen zu Umfang, Kategorien, Ergebnissen und Zeitnähe anzeigen; Trendanalysen über Zeiträume, Regionen und Geschäftsbereiche hinweg; sowie die Möglichkeit, Vergleiche mit externen Referenzwerten anzustellen.

Norton Rose Fulbright hat festgestellt, dass Whistleblowing-Daten in Verbindung mit anderen organisatorischen Kennzahlen Trends bei systemischen Risiken aufzeigen können. Der Benchmark-Bericht von Safecall bietet Kunden einen externen Bezugspunkt, um die Leistung ihres Programms mit branchenweiten Daten zu vergleichen. Für Finanzdienstleistungsunternehmen, die sich auf die im September 2026 in Kraft tretenden FCA-Vorschriften zu nichtfinanziellen Verfehlungen vorbereiten, wird die Fähigkeit, neben traditionellen Finanzdelikten auch über Mobbing, Belästigung und Diskriminierung zu berichten, zu einer für die Compliance entscheidenden Analysefunktion.

Sicherheits- und Compliance-Infrastruktur

Sicherheitsmerkmale werden oft in Form einer Checkliste dargestellt: Verschlüsselung, Zugriffskontrollen, Zertifizierung. Der Compliance-Beauftragte sollte über die Checkliste hinausblicken, um den tatsächlichen Gehalt zu beurteilen. Eine durchgängige Verschlüsselung (TLS während der Übertragung, AES-256 bei der Speicherung) ist die Mindestanforderung. Die ISO 27001-Zertifizierung bietet eine unabhängig geprüfte Bestätigung, dass das Sicherheitsmanagementsystem des Anbieters internationalen Standards entspricht. Der Datenstandort – insbesondere, wo Berichtsdaten gehostet werden und ob dies mit den rechtlichen Verpflichtungen der Organisation im Einklang steht – bestimmt die Komplexität der Compliance bei grenzüberschreitenden Datenübertragungen.

Das externe Hosting durch einen unabhängigen Anbieter bietet einen strukturellen Sicherheitsvorteil, der in Funktionslisten nicht immer zum Ausdruck kommt. Wenn die Whistleblowing-Plattform außerhalb der unternehmenseigenen IT-Infrastruktur angesiedelt ist, wird der Zugriff durch interne IT-Administratoren verhindert – einer der größten Insider-Bedrohungsfaktoren für sensible Meldedaten. Diese strukturelle Unabhängigkeit ist besonders wichtig bei Meldungen, die die Geschäftsleitung oder die IT-Abteilung selbst betreffen.

Umfassende Berichterstattung zu Sprache und Barrierefreiheit

Viele Systeme werben mit mehrsprachiger Unterstützung, doch der Compliance-Beauftragte sollte prüfen, inwieweit diese Behauptung zutrifft. Ist das Webportal in alle Sprachen übersetzt, die von der gesamten Belegschaft gesprochen werden – einschließlich der nicht englischsprachigen Mitarbeiter mit Kundenkontakt? Ist der telefonische Kundendienst in denselben Sprachen verfügbar, mit Mitarbeitern, die ein echtes Gespräch führen können, anstatt auf Dolmetscher von Drittanbietern angewiesen zu sein? Ist der Service rund um die Uhr an 365 Tagen im Jahr verfügbar oder nur während der Geschäftszeiten des Anbieters?

Die im Gleichstellungsgesetz von 2010 festgelegte Pflicht zu angemessenen Anpassungen erstreckt sich auch auf Whistleblowing-Kanäle. Ein System, das die Barrierefreiheitsstandards WCAG 2.1 erfüllt und durch eine telefonische Alternative für Mitarbeiter mit eingeschränkter digitaler Kompetenz oder begrenztem Zugang zu Geräten ergänzt wird, gewährleistet die inklusive Abdeckung, die sowohl für die Einhaltung gesetzlicher Vorschriften als auch für die tatsächliche Wirksamkeit des Programms erforderlich ist. Der „Impact Report 2025“ von Protect verzeichnete einen deutlichen Anstieg der Kontaktaufnahmen durch Freiwillige und Nicht-Mitarbeiter – also Personengruppen, die Zugang ohne Unternehmenszugangsdaten benötigen.

Was in Funktionslisten oft fehlt

Der wichtigste Faktor für die Wirksamkeit eines Whistleblowing-Systems lässt sich durch keinen Funktionsvergleich erfassen. Es sind die Qualität, die Erfahrung und die Unabhängigkeit der Menschen, die dahinter stehen.

Selbst eine Plattform mit allen technischen Möglichkeiten wird hinter den Erwartungen zurückbleiben, wenn der Telefonkanal mit ungeschulten Mitarbeitern besetzt ist, wenn dem Anbieter die operative Erfahrung fehlt, um komplexe, mehrere Rechtsordnungen umfassende Implementierungen zu unterstützen, oder wenn die finanzielle Stabilität des Anbieters ungewiss ist. Die Freshfields-Whistleblowing-Umfrage 2023 ergab, dass die Bereitschaft der Mitarbeiter, Meldungen an ihre Vorgesetzten zu richten, zurückgegangen ist – was erneut unterstreicht, dass das Vertrauen in die Personen, die die Meldungen bearbeiten, ebenso wichtig ist wie die Technologie, mit der sie verarbeitet werden.

Compliance-Beauftragte, die Systeme bewerten, sollten sich folgende Fragen stellen: Wer nimmt die Anrufe entgegen? Welchen beruflichen Hintergrund haben diese Mitarbeiter? Wie lange ist der Anbieter bereits tätig? Wie hoch ist die Kundenbindungsrate? Steht hinter dem Anbieter eine finanziell stabile Muttergesellschaft? Diese Fragen tauchen in Funktionsvergleichstabellen nicht auf, doch die Antworten darauf entscheiden darüber, ob das System in der Praxis hält, was die Funktionsliste theoretisch verspricht.

Weiterführende Ressourcen

Wie Safecall helfen kann

Der Whistleblowing-Dienst von Safecall bietet die Funktionen, auf die es wirklich ankommt – und das Fachwissen, das sich nicht in Funktionslisten messen lässt. Unsere rund um die Uhr verfügbare Telefon-Hotline wird von ehemaligen britischen Polizeibeamten betreut, die jeweils über mehr als 25 Jahre Erfahrung in der Befragung verfügen – Fachleute, die bereits im ersten Gespräch detaillierte und verwertbare Meldungen erfassen. Unser sicheres Online-Portal bietet mehrsprachigen digitalen Zugang in über 175 Sprachen. Beide Kanäle speisen in ein integriertes Fallmanagement mit automatisierter Fristenüberwachung, rollenbasierten Zugriffskontrollen und Analysen auf Programmebene ein. ISO 27001-zertifiziert, DSGVO-konform, auf Servern in Großbritannien gehostet, unterstützt von der Law Debenture Corporation und mit einer Kundenbindungsrate von 95 % – Safecall liefert die Substanz hinter den Spezifikationen.

Wenn Sie erfahren möchten, wie die Funktionen und das Fachwissen von Safecall Ihren Anforderungen im Bereich Whistleblowing entsprechen, wenden Sie sich bitte an unser Team oder rufen Sie uns unter +44 (0) 191 516 7720 an.

Quellen und weiterführende Literatur

  • Association of Certified Fraud Examiners (ACFE), „Occupational Fraud 2024: A Report to the Nations“ – Präferenzen bei den Meldekanälen, Auswirkungen anonymer Meldungen – acfe.com
  • Safecall, Whistleblowing-Benchmark-Bericht 2024 – Kanalanalyse, Identifizierungsraten von Hinweisgebern – safecall.co.uk
  • Norton Rose Fulbright, Die Rolle von Whistleblowing bei der Schaffung und Aufrechterhaltung einer gesunden Unternehmenskultur – Datenintegration für Risikoanalysen – nortonrosefulbright.com
  • Freshfields Bruckhaus Deringer, Whistleblowing-Umfrage 2023 – Präferenzen bei der Meldung und Vertrauen in die Kanäle – blog.freshfields.us
  • EU-Richtlinie 2019/1937 zum Schutz von Personen, die Verstöße gegen das Unionsrecht melden – eur-lex.europa.eu
  • Gesetz über Arbeitnehmerrechte von 2025 – Schutz von Hinweisgebern (in Kraft seit dem 6. April 2026) – legislation.gov.uk
  • Gesetz über Wirtschaftskriminalität und Unternehmenstransparenz von 2023 – Versäumnis, Betrug zu verhindern (in Kraft seit 1. September 2025) – legislation.gov.uk
  • FCA-Grundsatzerklärung PS25/23, Bekämpfung von nichtfinanziellen Verfehlungen im Finanzdienstleistungssektor (Dezember 2025) – Inkrafttreten: 1. September 2026 – fca.org.uk
  • Protect (britische Wohltätigkeitsorganisation für Whistleblower), Wirkungsbericht 2025 – protect-advice.org.uk