Compliance schützt Unternehmen vor rechtlichen und wirtschaftlichen Risiken. Im Mittelpunkt stehen Criminal Compliance zur Prävention strafrechtlicher Verstöße sowie KI-Compliance für den rechtskonformen Einsatz künstlicher Intelligenz. Als Rechtsanwalt in Aachen informieren wir über Organisationspflichten, interne Kontrollen, den AI Act und den Umgang mit Compliance-Verstößen. Die Beiträge verbinden Strafrecht, IT-Recht und unternehmerische Praxis. Der AI Act verfolgt dabei einen risikobasierten Ansatz und stellt je nach KI-Anwendung unterschiedliche Anforderungen.
Achtung: Bis zum 01.09.26 übernehmen wir nur noch ausgewählte Strafverteidigungen und sind nur per Mail erreichbar!
Nur wenige Kilometer von Alsdorf entfernt entsteht in Jülich vielleicht – so die ganz grosse Hoffnung – in naher Zukunft ein Stück europäischer Digitalgeschichte: Der Supercomputer Jupiter, bereits heute der größte öffentliche Rechner außerhalb der USA, könnte zum Kern einer der ersten KI-Gigafabriken der EU werden. Warum das nicht nur eine technische, sondern auch eine rechtliche Chance ist.
Update im Juni 2026: Irgendwie läuft es nicht rund (siehe unten …)
(mehr …)
Am 23. Juni 2025 legte ein simpler Wartungsfehler am Bahnfunk den gesamten deutschen Zugverkehr lahm, und innerhalb weniger Stunden stand eine ganz andere Forderung im Raum: ein Verbot chinesischer Komponenten in kritischer Infrastruktur. Dabei zeigt der Vorfall vor allem eines, nämlich dass es keinen nachgewiesenen Angriff und keinen Bezug zum Herkunftsland einer Komponente braucht, damit ein Betreiber plötzlich vor einer Untersagungsverfügung nach § 41 BSIG und Millionenkosten für den erzwungenen Ausbau steht.
Wer in kritischen Infrastrukturen tätig ist, kennt das Thema schon aus dem IT-Sicherheitsgesetz 2.0 von 2021: Bestimmte IKT-Produkte können vom Bundesministerium des Innern (BMI) verboten werden, wenn ihr Einsatz die öffentliche Sicherheit oder Ordnung der Bundesrepublik gefährdet. Früher war das in § 9b BSIG a.F. geregelt, nun – nach dem NIS-2-Umsetzungsgesetz vom 2. Dezember 2025 – findet es sich in § 41 BSIG n.F. Kommentarliteratur zur neuen Fassung ist noch kaum vorhanden.
Das bedeutet aber nicht, dass die inhaltliche Behandlung von vorn beginnen müss: Die zur Vorgängernorm § 9b BSIG a.F. erschienene Kommentarliteratur dürfte in wesentlichen Teilen ihre Relevanz behalten, weil der neue § 41 BSIG strukturell und inhaltlich stark an die Vorgängernorm anknüpft.
Hinweis: Ich kommentiere im BeckOK-StPO zum Thema kritische Komponenten im Bereich der Telekommunikation.
(mehr …)
Während Schatten-IT – also die Nutzung nicht autorisierter Software oder Hardware – bereits seit Längerem bekannt ist, gewinnt nun ein verwandtes Phänomen an Bedeutung: Schatten-KI. Gemeint ist der Einsatz künstlicher Intelligenz durch Mitarbeiter ohne Wissen oder Genehmigung der Unternehmensführung.
Eine aktuelle Umfrage zeigt auf, dass ein beträchtlicher Teil der Fachkräfte, insbesondere in MINT-Berufen, KI-Tools wie ChatGPT, Google Gemini oder andere generative Systeme im Arbeitsalltag nutzt, oft ohne dass dies von der IT-Abteilung oder Geschäftsleitung autorisiert wurde. Die Rede ist hier von drei von vier MINT-Fachkräften (77 Prozent). Durch einen solchen (unkontrollierten) Einsatz werden nicht nur technische, sondern vor allem rechtliche und organisatorische Fragen aufgeworfen.
Hinweis/Update: Zu dem Thema habe ich dem IT-Fachmagazin t3n im Juni 2026 ein Interview gegeben.
(mehr …)
Für viele Unternehmen war KI lange ein technisches Thema: spannend fürs Marketing, interessant für die IT, aber ohne existenzielle Relevanz für das eigene Risiko‑Profil. Diese Phase ist vorbei. Generative KI erzeugt heute in Sekunden Bilder, Videos, Stimmen und Texte, die sich von „echten“ Inhalten kaum noch unterscheiden – und genau das ist der Punkt, an dem Recht und Compliance sehr ungemütlich werden.
Mit Art. 50 der KI‑Verordnung, flankiert vom Digital Services Act, Datenschutzrecht, Persönlichkeitsrecht und einem neuen Gesetz gegen digitale Gewalt, wird Transparenz zur Pflichtaufgabe. Wer KI‑Inhalte nutzt, muss künftig nicht nur abstrakt „verantwortungsvoll“ handeln, sondern konkret kennzeichnen, wie Inhalte entstanden sind, welche Systeme im Einsatz waren und wo synthetische Medien im Spiel sind. Das ist kein kosmetisches Thema, sondern berührt Haftung, Governance und letztlich das Vertrauen in die eigene Kommunikation.
Im Folgenden geht es deshalb um drei Ebenen: zunächst die rechtliche Einordnung von Deepfakes und synthetischen Medien aus Sicht des Persönlichkeits‑ und Strafrechts, dann die – durchaus kritische – Rolle des geplanten Gesetzes gegen digitale Gewalt und schließlich den Kern: Art. 50 KI‑VO und seine praktische Umsetzung im Management, abgeschlossen mit einer bewusst ausführlichen Checkliste. Den früheren Beitrag habe ich im Juni 2026 unter Berücksichtigung des EU-Verhaltenskodex für die Kennzeichnung KI-generierter Inhalte aktualisiert.
(mehr …)
Am Abend des 12. Juni 2026 erhielt Anthropic um 17:21 Uhr Ortszeit einen Brief von Handelsminister Howard Lutnick. Der Inhalt war knapp und folgenreich: Das US-Handelsministerium ordnete gestützt auf Exportkontrollrecht an, dass Claude Fable 5 und Claude Mythos 5 sämtlichen ausländischen Staatsangehörigen zu sperren seien, und zwar unabhängig davon, ob sie sich innerhalb oder außerhalb der USA aufhielten, einschließlich ausländischer Mitarbeiter von Anthropic selbst. Da es keinen verlässlichen technischen Mechanismus gibt, Staatsbürgerschaft auf API-Ebene zu verifizieren, tat Anthropic das einzig Mögliche: beide Modelle wurden weltweit für alle Nutzer abgeschaltet. Das erste Mal in der Geschichte des kommerziellen KI-Markts zwang eine staatliche Exportkontrollanordnung ein US-Unternehmen dazu, sein Flaggschiffprodukt in Echtzeit vom Netz zu nehmen.
Wer das für eine Kuriosität hält, unterschätzt die Tragweite. Es geht nicht um einen Einzelfall, sondern um eine grundlegende Verschiebung: KI-Modellgewichte werden rechtlich immer deutlicher als Exportgut behandelt – mit allen Konsequenzen, die das für Unternehmen, Nutzer und Strafverteidiger in Deutschland und der EU hat.
(mehr …)
Mit dem am 10. Juni 2026 vom Ausschuss für Digitales und Staatsmodernisierung zur Annahme empfohlenen und sodann beschlossenen Gesetz zur Durchführung der Verordnung (EU) 2024/1689 schafft der Bund die nationale Vollzugsarchitektur für den AI Act. Kernstück des Artikelgesetzes ist Artikel 1, mit dem das KI-Marktüberwachungs- und Innovationsförderungs-Gesetz (KI‑MIG) geschaffen wird und das die Bundesnetzagentur (BNetzA) zur zentralen Marktüberwachungsbehörde, Anlaufstelle und Beschwerdestelle bestimmt … und zugleich ein verschachteltes System sektoraler und föderaler Zuständigkeiten konserviert.
(mehr …)
Die Einziehung im Strafverfahren ist inzwischen eine ganz erhebliche existenzielle Bedrohung für Angeklagte geworden – die auch bis heute unterschätzt wird! In manchen Strafverfahren kann die Vermögensabschöpfung in Form der Einziehung durch die Angeklagten belastender als die eigentliche Strafe wahrgenommen werden.
Die Fachanwälte für Strafrecht in unserer, auf die Strafverteidigung spezialisierten, Kanzlei verteidigen Sie umfassend bei Einziehung im Strafverfahren. Auf unserer Webseite wird eine Vielzahl von Informationen zur Einziehung bzw. Vermögensabschöpfung im Strafverfahren angeboten. Wir beraten Unternehmen im Wirtschaftsstrafrecht und Verbraucher im Rahmen einer Strafverteidigung.
Was Einziehung in der Praxis bedeutet – in Zahlen: Allein im Rahmen der Encrochat-Ermittlungen stellte das BKA im Jahr 2021 Vermögensarreste in Höhe von 168 Millionen Euro sowie weitere 28 Millionen Euro an gesicherten Vermögenswerten sicher – in einem einzigen, wenn auch außergewöhnlich großen Ermittlungskomplex. Das verdeutlicht: Wenn der Staat die Einziehungsmaschinerie in Gang setzt, denkt er in Dimensionen, die das Leben der Betroffenen vollständig verändern. Im Jahr 2023 wurden in Deutschland rund 526.000 Personen gerichtlich verurteilt – und in jedem dieser Verfahren war die Einziehung von Amts wegen zu prüfen, unabhängig davon, ob die Staatsanwaltschaft einen Antrag gestellt hat oder nicht. Die meisten Angeklagten ahnen davon nichts, bis es zu spät ist. Gerade bei Taten mit Bezug zu Geld, geldwerten Mitteln oder Vermögenswerten offenbart sich seit der Reform der Einziehung vor einigen Jahren ein regelrechter Abgrund.
Die Vermögensabschöpfung, die sogenannte Einziehung, ist in einem Strafverfahren immer unterschätzt und oft existenzbedrohend – auf unserer Webseite finden Sie dazu aus gutem Grund viele Informationen:
Es gibt Rechtsgebiete, die sich anfühlen wie ein schlecht dokumentiertes Legacy-System: komplex aufgebaut, selten angefasst, und wenn man doch hineinschaut, erschrickt man, was dort seit Jahren vor sich hinläuft. Das Exportkontrollrecht für Software und Mikrochips gehört dazu – mit dem entscheidenden Unterschied, dass eine fehlerhafte Entscheidung hier keine Downtime produziert, sondern ein Strafverfahren.
Seit dem russischen Angriff auf die Ukraine im Februar 2022 ist dieses Recht aus seinem Dornröschenschlaf gerissen worden. Das 20. Sanktionspaket der EU, verabschiedet Ende April 2026, ist inzwischen ein Regelwerk mit einer Komplexität, die selbst erfahrene Außenwirtschaftsanwälte auf Trab hält. Für Unternehmen, die Hardware oder Software in nicht-europäische Märkte liefern – oder auch nur API-Zugänge bereitstellen, Cloud-Instanzen vermieten oder Remote-Support leisten –, ist das Thema kein Compliance-Randproblem mehr. Es ist handfestes Strafrecht.
Ich berate und verteidige umfassend in diesem Bereich – spätestens seit dem Ukraine-Krieg ist der Beratungsbedarf erheblich gestiegen, wie ich immer wieder merke. Dabei lassen sich Unsicherheiten im Regelfall schnell ausräumen. Gerade mit meiner spezialisierten Ausrichtung zwischen Strafrecht und IT-Recht bei eigenem technologischem Hintergrund kann ich hier Blickrichtungen aufwerfen, die gerne aus dem Fokus geraten.
(mehr …)
Eine der gravierendsten modernen Cyberrisiken ist die Gefahr durch nordkoreanische IT-Arbeiter, die sich als trojanische Pferde in Unternehmen auf der ganzen Welt einschleichen. Derart hochqualifizierte Hacker agieren verdeckt, tarnen ihre wahre Identität und dringen so in die Netzwerke von Firmen ein, um enorme Summen zu generieren – Gelder, die letztlich das nordkoreanische Waffenprogramm finanzieren. Im Folgenden kurz dazu, wie diese Hacker vorgehen, welche Risiken sie darstellen und warum es unerlässlich ist, funktionierende Verifikationsprozesse für externe IT-Remote-Arbeiter zu etablieren.
Updates: Im Oktober 2024 hat auch das Bundesamt für Verfassungsschutz eine entsprechende Warnung herausgegeben, die hier aufgenommen wurde. Im Dezember 2025 wurden ein Erfahrungsbericht von Amazon sowie weitere aktuelle Daten in den Beitrag aufgenommen. Und im Juni 2026 habe ich nochmals um aktuelle Entwicklungen erweitert.
(mehr …)
Stellen Sie sich vor, ein mittelständisches Unternehmen kauft für teures Geld eine Personalverwaltungssoftware – modern, funktional, vom etablierten Anbieter. Zwei Jahre später steht die Aufsichtsbehörde im Haus, weil sich Bewerberdaten nicht löschen lassen, jeder Sachbearbeiter sämtliche Personalakten einsehen kann und im Hintergrund Datenbestände schlummern, von denen niemand wusste. Das Bußgeld trifft nicht den Hersteller, sondern den Käufer. Genau hier liegt der wunde Punkt, an dem datenschutzfreundliche Technikgestaltung von einer abstrakten Programmieridee zum handfesten wirtschaftlichen Risiko wird – und an dem sich entscheidet, wer am Ende für die Versäumnisse haftet.
(mehr …)
Die KI-Verordnung („KI-VO“, auch „AI-Act“ – VO (EU) 2024/1689) ist seit dem 1. August 2024 in Kraft und wird im Sommer 2026 in ihrer Substanz wirksam. Mit der politischen Einigung zum sogenannten KI-Omnibus vom 7. Mai 2026 verschiebt der Unionsgesetzgeber zentrale Pflichten für Hochrisiko-Systeme; gleichzeitig erweitert er den Verbotskatalog und zieht die Kennzeichnungspflichten für synthetische Inhalte vor. Im Folgenden möchte ich die Verordnung in ihrem aktuellen Stand einordnen und beschreiben, was Geschäftsführungen und Compliance-Abteilungen (voraussichtlich) in den nächsten Monaten beachten müssen.
Hinweis: Der Beitrag wurde im Mai 2026 neu gefasst und hat den Stand 14. Mai 2026, berücksichtigt also die Trilogeinigung zum KI-Omnibus.
(mehr …)
Am Stuttgarter Staatstheater stand Anfang 2026 plötzlich ein Mann am Telefon, den niemand bestellt hatte: ein Verhandler, der zwischen einem öffentlichen Kulturbetrieb und einer Erpressergruppe vermitteln sollte. Die ZEIT hat den Fall im Januar nachgezeichnet – verschlüsselte Systeme, eine Lösegeldforderung in Kryptowährung, ein Prozess vor dem Landgericht, und am Ende die nüchterne Erkenntnis, dass die Täter sich verhalten wie scheue Wildtiere, die beim kleinsten Fehler verschwinden. Was sich liest wie ein Krimi, ist für die deutsche Wirtschaft längst Alltag. Und es trifft nicht mehr nur die Konzerne, sondern mit voller Wucht den Mittelstand.
Der Bitkom beziffert den jährlichen Schaden durch Datendiebstahl, Spionage und Sabotage für 2025 auf 289,2 Milliarden Euro, davon über 200 Milliarden allein durch Cyberattacken. 87 Prozent der Unternehmen waren betroffen. Das Bundesamt für Sicherheit in der Informationstechnik registrierte zuletzt täglich 119 neue Schwachstellen – ein Zuwachs von fast einem Viertel binnen eines Jahres. Wer in dieser Lage glaubt, ein gut gemeinter Notfallplan im Aktenordner reiche aus, hat die eigentliche Dynamik eines Angriffs nicht verstanden.
Ich selbst habe umfangreich fachlich zu dem Thema publiziert: zur Haftung der Geschäftsleitung, Haftungsverteilung im Schadensfall beim CEO-Fraud, dem Recht der Cyberversicherungen – aber auch zu Erscheinungsformen modernen Cybercrimes.
(mehr …)
Das Oberlandesgericht Hamm (4. Zivilsenat, Urteil vom 12.05.2026 – 4 UKl 3/25) hatte zu klären, ob ein Unternehmen für irreführende Aussagen eines auf seiner Website eingebundenen KI‑Chatbots lauterkeitsrechtlich einsteht. Der Senat bejaht dies klar und qualifiziert die Antworten des Chatbots als eigene geschäftliche Handlungen der Betreiberin – mit weitreichenden Folgen für den Einsatz von KI im Marketing.
(mehr …)
Die Wirtschaft steckt mitten in einer digitalen Umbruchphase. Wertvolle Informationen liegen heute nicht mehr in verschlossenen Archiven, sondern in vernetzten Systemen, auf mobilen Endgeräten und in der Cloud. Wer hier Daten verliert, verliert nicht nur Know-how, sondern oft auch Marktposition und Verhandlungsmacht. Wirtschaftsspionage – ob man sie klassisch oder als „eSpionage“ bezeichnet – ist damit kein fernes Szenario mehr, sondern ein sehr konkretes Risiko für jedes Unternehmen, das mit sensiblen Informationen arbeitet.
Die moderne Wirtschaftsspionage ist dabei längst nicht mehr ausschließlich das Werk konkurrierender Unternehmen. Immer häufiger sind staatliche Akteure involviert, die gezielt Informationen aus Unternehmen abziehen – sei es, um die eigene Wirtschaft zu stärken oder geopolitische Ziele zu verfolgen. In diesem Kontext verschwimmen die Grenzen zwischen Wirtschaftsspionage, Cyberwar und staatlich gesteuerten Hackerangriffen.
(mehr …)
Ein aktueller Fall an einem deutschen Gymnasium ist erschütternd, aber er ist kein Einzelfall: Zwei Lehrer missbrauchten über mehr als ein Jahrzehnt Schülerinnen sexuell, und an der Schule schritt niemand ein – obwohl es Gerüchte gab, obwohl Kolleginnen offenbar Verdacht hegten, obwohl eine Lehrerin nach der Verhaftung erleichtert sagte: „Gott sei Dank ist das endlich aus.“ Der Vorsitzende Richter brachte es auf den Punkt, als er eine aktuelle Studie der Aufarbeitungskommission des Bundes zitierte: Lehrer, die von Missbrauch wussten, hätten die Kollegialität vor den Schutz der Kinder gestellt, Übergriffe ignoriert oder vertuscht, um den Ruf der Schule zu schützen. Der Schulleiter reagierte auf einen konkreten Hinweis einer Betroffenen mit Desinteresse.
Wer sich mit Compliance-Management in Unternehmen auskennt, erkennt in diesem Versagen sofort strukturelle Parallelen. Es sind dieselben Mechanismen, die auch in Wirtschaftsskandalen immer wieder auftreten: eine Kultur des Wegsehens, fehlende Meldekanäle, Loyalität gegenüber Kollegen statt gegenüber den Schutzbedürftigen, und eine Leitung, die Probleme nicht wahrhaben will. Der Unterschied: In der Wirtschaft hat man in den letzten zwanzig Jahren ein ausdifferenziertes Instrumentarium entwickelt, um genau diese Mechanismen zu durchbrechen. Schulen stehen hier noch am Anfang.
Mein Beitrag hier plädiert dafür, die bewährten Grundsätze aus Compliance, Whistleblower-Schutz und Internal Investigations auf den schulischen Kontext zu übertragen – nicht als bürokratisches Pflichtprogramm, sondern als gelebte Haltung, die den Schutz von Kindern in den Mittelpunkt stellt. Ich schreibe dabei aus der Praxis, mit Erfahrung aus der Verteidigung zahlreicher Missbrauchsfälle, in denen ich seit über einem Jahrzehnt die immer gleichen Fehler in Institutionen sehe. Dabei sind selbst aktuelle Schutzkonzepte (siehe nur hier und hier) mit dem Blick eines Praktikers eher Kontrapdoduktiv – sie kranken daran, offensichtlich aus dem Elfenbeinturm nicht-betroffener heraus entwickelt worden zu sein und sind teilweise sogar kontraproduktiv, da sie typische Rechtfertigungsmuster von Tätern nicht nur ausblenden, sondern verstärken. Ohne schmerzhafte Selbsterkenntnis wird das aber nichts.
(mehr …)