Das Gesetz ändert primär das Strafrecht und Strafprozessrecht, enthält aber keine ausdrücklichen Compliance- oder Organisationspflichten. Dennoch ergeben sich aus den materiellen Änderungen mittelbare Handlungspflichten für die genannten Funktionsträger:

1. Geldwäschebeauftragte

Die Neufassung der Terrorismusfinanzierung (§ 89c StGB) ist hier zentral. Der Tatbestand wird erheblich erweitert: Künftig ist nicht nur die Finanzierung der Tat selbst strafbar, sondern auch die Finanzierung von Vorbereitungshandlungen, Anleitung, Anstiftungsversuchen und Androhungen (§ 89c Abs. 2 Nr. 1–5 n.F.). Außerdem wird der Versuch der Terrorismusfinanzierung erstmals strafbar (§ 89c Abs. 8 n.F.).

Daraus folgt konkret: Die Verdachtsmeldepflichten nach dem GwG beziehen sich auf Straftaten nach § 89c StGB. Durch den erweiterten Tatbestand vergrößert sich der Kreis meldepflichtiger Sachverhalte. Transaktionsmonitoring-Szenarien und Typologien müssen angepasst werden, um auch die Finanzierung von Vorfeld- und Unterstützungshandlungen abzudecken. Die internen Gefährdungsanalysen nach § 5 GwG sollten aktualisiert werden.

• Gefährdungsanalyse aktualisieren: Die erweiterten Tatbestände der Terrorismusfinanzierung (§ 89c Abs. 2 Nr. 1–5 und Abs. 8 n.F.) in die unternehmensspezifische Risikoanalyse nach § 5 GwG aufnehmen und dokumentieren.
  
  
• Transaktionsmonitoring anpassen: Szenarien und Regeln im Monitoring-System erweitern, sodass auch Finanzierungen von Vorfeld- und Unterstützungshandlungen (Anleitung, Anwerbung, Ausreise/Einreise, Androhung) erkannt werden können.
  
  
• Schulung der Meldestellenmitarbeiter: Zeitnah über die erweiterten Verdachtsmeldepflichten informieren, insbesondere darüber, dass nun auch die versuchte Terrorismusfinanzierung strafbar ist und damit meldepflichtige Sachverhalte auslösen kann.

2. Compliance-Verantwortliche

Hier sind mehrere Aspekte relevant:

Der neue § 87a StGB (fremde Einflussnahme/Agententätigkeit) schafft einen eigenständigen Straftatbestand für die Befolgung von Aufträgen fremder staatlicher Stellen durch Begehung rechtswidriger Taten in Deutschland. Für Unternehmen mit internationalen Verflechtungen – insbesondere solchen mit Bezug zu autoritären Staaten – entsteht ein neues Compliance-Risiko: Mitarbeiter, die auf Weisung ausländischer staatlicher Stellen handeln, machen sich strafbar, ebenso wer solche Aufträge erteilt.

Die Verschärfung des § 99 StGB (geheimdienstliche Agententätigkeit: künftig 6 Monate bis 10 Jahre statt bisher bis zu 5 Jahre) erhöht das Sanktionsrisiko bei Industriespionage mit geheimdienstlichem Hintergrund erheblich.

Die Änderung des § 123 GWB (Artikel 2 Abs. 9) passt die vergaberechtlichen Ausschlussgründe an. Compliance-Verantwortliche in Unternehmen, die an öffentlichen Vergaben teilnehmen, müssen die geänderten Katalogtaten im Vergabe-Screening aktualisieren.

Außerdem werden in Waffen- und Sprengstoffgesetz die Unzuverlässigkeitstatbestände um § 87a und die neuen Absätze erweitert – relevant für Unternehmen in diesen Branchen.

• Risikoanalyse um § 87a StGB ergänzen: Geschäftsbeziehungen und Mitarbeiter mit Bezug zu ausländischen staatlichen Stellen identifizieren und das Risiko fremder Einflussnahme systematisch bewerten – insbesondere bei Verbindungen zu autoritären Staaten.
  
  
• Vergabe-Screening aktualisieren: Die geänderten Ausschlussgründe nach § 123 GWB n.F. sowie die erweiterten Unzuverlässigkeitstatbestände im Waffen- und Sprengstoffgesetz (§§ 5 WaffG, 8a SprengG) in die internen Prüfprozesse einarbeiten.
  
  
• Sanktions- und Strafrahmenänderungen kommunizieren: Die erhebliche Verschärfung bei § 99 StGB (Mindeststrafe nun 6 Monate) intern dokumentieren und in Awareness-Maßnahmen für exponierte Bereiche (F&E, Einkauf, internationale Kooperationen) integrieren.

3. Geschäftsführer / Vorstände

Auf Leitungsebene ergeben sich Pflichten aus der allgemeinen Legalitätspflicht und der Pflicht zur Einrichtung angemessener Compliance-Strukturen (§ 93 AktG, § 43 GmbHG, § 130 OWiG):

Die erweiterten Straftatbestände müssen in bestehende Compliance-Management-Systeme integriert werden. Das betrifft insbesondere Schulungen zu § 87a StGB (fremde Einflussnahme) und den erweiterten Terrorismusfinanzierungstatbeständen. Da das Gesetz ohne Übergangsfrist am Tag nach Verkündung in Kraft tritt, besteht unmittelbarer Handlungsbedarf zur Anpassung.

Besonders relevant ist dies für Vorstände von Unternehmen in sensiblen Branchen (Rüstung, Dual-Use, Finanzsektor, kritische Infrastruktur) sowie für Unternehmen mit Geschäftsbeziehungen in Länder, aus denen geheimdienstliche Einflussnahme bekannt ist.

• Sofortige Anpassung des CMS veranlassen: Da das Gesetz ohne Übergangsfrist in Kraft tritt, ist unverzüglich die Aktualisierung von Richtlinien, Verhaltenskodizes und internen Kontrollen zu beauftragen und zu überwachen.
  
  
• Berichtslinie und Eskalationswege prüfen: Sicherstellen, dass Verdachtsfälle zu fremder Einflussnahme (§ 87a StGB) und geheimdienstlicher Agententätigkeit (§ 99 StGB) über klare Meldewege an die Leitungsebene gelangen – Haftungsrisiko nach § 130 OWiG bei Organisationsverschulden beachten.
  
  
• Dokumentation der Compliance-Maßnahmen: Alle Anpassungsschritte (Risikoanalyse, Schulungen, Systemänderungen) nachweisbar dokumentieren, um im Ernstfall die Erfüllung der Legalitäts- und Organisationspflicht belegen zu können.

A. Geschäftsleitung / Vorstand

Die Geschäftsleitung bzw. der Vorstand sollte kurzfristig (0–14 Tage) eine priorisierte Compliance-Gap-Analyse des bestehenden Compliance-Management-Systems (CMS) beschließen, einschließlich AML, Code of Conduct und interner Kontrollsysteme. Der Bericht sollte binnen zehn Werktagen vorliegen und identifizierte Sachverhalte in strafrechtlich relevante, aufsichtsrechtlich exponierte sowie organisatorisch-strukturelle Risiken klassifizieren. Parallel ist eine verbindliche Interim-Management-Directive zu erlassen, die neu priorisierte Risikofelder (u. a. § 89c, § 87a, § 99 StGB n.F.) aufnimmt, klare Eskalationswege bis auf Vorstandsebene definiert und eine verschärfte Dokumentationspflicht vorsieht. Flankierend sollte ein Vorstandshaftungs-Review zur Wahrnehmung der Legalitäts- und Organisationspflichten (§ 93 AktG / § 43 GmbHG) einschließlich Überprüfung des D&O-Versicherungsschutzes erfolgen.

Mittelfristig (30–90 Tage) ist das CMS strukturell zu erweitern: Anpassung der Risikoanalyse um staatsschutzrelevante Tatbestände, Budgetfreigabe für Monitoring und externe Expertise sowie Überarbeitung von Due-Diligence- und Vergabeprozessen. Zudem sollte eine Länder- und Partnerrisikostrategie mit definierten Hochrisikostaaten und strukturierten Freigabeprozessen beschlossen werden. Zur Krisen-Readiness gehören ein aktualisiertes Internal-Investigation-Playbook, die vorsorgliche Mandatierung externer Strafverteidiger und ein Dawn-Raid-Test. Strategisch empfiehlt sich ein quartalsweises Board-Reporting zu Verdachtsfällen, Hochrisikokooperationen und Expositionsrisiken sowie eine aktive Mitwirkung an branchenspezifischen Mindeststandards.

• Sofortige Governance-Maßnahmen (0–14 Tage): Beschluss einer priorisierten Compliance-Gap-Analyse mit Bericht binnen zehn Werktagen, Erlass einer verbindlichen Interim-Management-Directive zu erweiterten Staatsschutzrisiken sowie Durchführung eines strukturierten Vorstandshaftungs-Reviews einschließlich D&O-Prüfung.
  
  
• Strukturelle CMS-Erweiterung (30–90 Tage): Anpassung der Risikoanalyse um staatsschutzrelevante Tatbestände, Überarbeitung von Due-Diligence- und Vergabeprozessen sowie Budgetfreigabe für Monitoring und externe Expertise.
  
  
• Länder- und Partnerrisikostrategie: Systematische Identifikation staatlicher bzw. staatlich beeinflusster Geschäftspartner, Definition von Hochrisikostaaten und Einführung verbindlicher Freigabeprozesse für sensible Kooperationen.
  
  
• Krisen- und Reporting-Architektur: Aktualisierung des Internal-Investigation-Playbooks, Durchführung eines Dawn-Raid-Tests, Mandatierung externer Strafverteidiger sowie Einführung eines quartalsweisen Board-Reportings zu Verdachtsfällen und Expositionsrisiken.