Compliance-Lektionen aus Niedersachsen

Ein langjähriger Mitarbeiter der niedersächsischen Justizverwaltung soll nach Berichten des NDR über einen Zeitraum von fast neun Jahren hinweg öffentliche Gelder in Höhe von 1,4 Millionen Euro unrechtmäßigerweise abgeführt haben. Demnach sollen sich Unregelmäßigkeiten in Abrechnungen und Zahlungen über einen längeren Zeitraum angesammelt haben, bis sie im Zuge einer internen Prüfung im Jahr 2024 auffielen. Zur Verschleierung habe der Gerichtsmitarbeiter fiktive Rechtsanwaltsvergütungen konstruiert, so der Vorwurf der Staatsanwaltschaft Braunschweig. Das Geld aus der Landeskasse wanderte auf das private Konto des Mannes. Derzeit wird der Fall vor Gericht verhandelt; dem Mitarbeiter werden Untreue, Betrug sowie Geldwäsche vorgeworfen.

Warum der Fall für jede Compliance relevant ist

Der Fall ist aus mehreren Gründen brisant: Zum einen durch die Höhe des Schadens und die Dauer bis zur Aufdeckung. Dass sich über Jahre hinweg auffällige Zahlungen summieren und Gelder abzweigen lassen konnten, deutet auf grundlegende Schwachstellen in Prozessen und Kontrollen einer betroffenen Organisation hin – unabhängig von der Rechtsform.

Zum anderen ist die Institution selbst besonders sensibel: Gerichte und Justizverwaltungen genießen gesellschaftliches Vertrauen, weshalb ein Missbrauch solcher Positionen das Vertrauen deutlich stärker untergräbt als ein vergleichbarer Fall in einer kommerziellen Organisation. Schließlich verschärfen die typischen Rahmenbedingungen von Gerichten tendenziell die Aufdeckung und Aufklärung etwaiger Fälle. Insbesondere spezielle IT-Systeme, die üblicherweise nicht interoperabel sind, Verfahrensgeheimnisse und die gebotenen Abstimmungswege erschweren tendenziell erforderliche Prüfvorgänge bereits durch den Umstand, dass der Zugang zu den benötigten Unterlagen erschwert ist. Letztlich wurden die mutmaßlichen Vorgänge erst durch eine sorgfältige interne Prüfung offengelegt, obwohl bereits ein Vier-Augen-Prinzip für die Tätigkeit des Beschuldigten in Kraft war.

Wie der Fall auf Schwachstellen hinweist

In Fällen, in denen ein einzelner Mitarbeiter über Jahre relevante Gelder abzweigen konnte, liegt der Verdacht nahe, dass es an klarer „Segregation of Duties“ (Funktionstrennung) mangelt. Wenn dieselbe Person Rechnungen anlegt, prüft und Zahlungen freigibt oder Änderungen an Lieferantenstammdaten durchführen kann, entstehen offensichtliche Angriffsflächen. Ebenso problematisch sind unzureichende Audit-Trails (Prüfpfade). Fehlen revisionssichere Protokolle oder sind diese manipulierbar, lässt sich ein solcher Missbrauch später nur schwer aufklären. Die Aufdeckung erfolgte mit großer Verzögerung, was in anderen Institutionen oft ein typischer Hinweis darauf ist, dass Monitoring und Stichprobenprüfungen nicht in ausreichender Häufigkeit oder Tiefe durchgeführt wurden. Zudem gibt es im oben genannten Fall keinen Hinweis darauf, dass der Mitarbeiter Hilfe von anderen Mitarbeitenden hatte. Als Kontomitinhaberin steht lediglich die Partnerin des Mannes vor Gericht.

Konkrete Maßnahmen, nicht nur für Justizverwaltungen

Aus dem beschriebenen Geschehen lassen sich praktikable und zielgerichtete Maßnahmen ableiten, die sowohl technische als auch organisatorische und kulturelle Aspekte berühren. Organisatorisch muss die Trennung der Funktionen oberste Priorität haben: Die Anlage von Rechnungen, die sachliche Prüfung und die Zahlungsfreigabe dürfen nicht in einer Hand liegen; für Zahlungen oberhalb definierter Schwellenwerte sollte zwingend eine zweite Freigabe verlangt werden und zusätzlich sollten, wie für eine solche Organisation erforderlich, auch zumindest jährliche Plausibilitätsprüfungen der gesamten Überweisungsmasse erfolgen. Ergänzend hilft automatisiertes Transaktionsmonitoring dabei, ungewöhnliche Muster – etwa eine Häufung kleiner Zahlungen an denselben Empfänger oder plötzliche Änderungen von Kontodaten – frühzeitig zu erkennen.

Prozesse sollten so gestaltet sein, dass Änderungen an den Stammdaten oder Bankverbindungen von Dienstleistern/Lieferanten nur nach gesicherter, schriftlicher Bestätigung über einen etablierten Zweitkanal wirksam werden. Technisch sind unveränderbare Audit-Logs in Buchungs- und Zahlungsanwendungen unerlässlich.

Auf Personalebene reduzieren in der Verwaltung Pflichturlaub und Jobrotation in Schlüsselpositionen das Risiko, dass Missstände dauerhaft unentdeckt bleiben. Bei der Besetzung finanzrelevanter Stellen sind erweiterte Prüfungen sinnvoll, ebenso kontinuierliche Schulungen zu Compliance, Hinweisgeberschutz und Monitoring von Auffälligkeiten im Zahlungsverkehr. In Behördenumfeldern, in denen informelle Rücksichtnahme oder Angst vor Repression Meldungen hemmen können, ist ein geschützter, idealerweise anonymer Hinweisgeberkanal besonders wichtig – für Behörden und öffentliche Einrichtungen ab 50 Beschäftigten ist eine interne Meldestelle nach dem Hinweisgeberschutzgesetz (HinSchG) sogar Pflicht.

Mit Recht etablierte Compliance-Verfahren

Das bewährte Drei-Linien-Modell des IIA (Institute of Internal Auditors) bietet eine klare Struktur, um Verantwortlichkeiten zu klären und Kontrollen zu verankern. Die operative Leitung bildet die erste Linie: Hier müssen die täglichen Kontrollen, die sachgerechte Prüfung von Belegen und die saubere Dokumentation gewährleistet sein. Die zweite Linie übernehmen Compliance- oder Risikofunktionen; sie sind verantwortlich für Regelwerke, Monitoring und Wirksamkeitsprüfungen. Die dritte Linie schließlich stellen unabhängige Prüfer und Rechnungsprüfungsämter sowie die interne Revision dar. Nur durch unabhängige, auch unangekündigte Prüfungen lässt sich systemischer Missbrauch zuverlässig aufdecken und eine juristische Aufarbeitung forcieren. Im geschilderten Fall zeigt sich, wie wichtig die dritte Linie ist: Ohne unabhängige Überprüfung, die sich Informationen über Vorgänge verschaffen kann, ohne dies bei Sachbearbeitern anzufordern, wären die mutmaßlichen Vorgänge womöglich weiterhin unentdeckt geblieben.

Fazit

Der Fall aus Niedersachsen stellt einen großen finanziellen Schaden für das Land dar und ist sicherlich in seinen Ausmaßen ein Einzelfall in einer Behörde – jedoch mit verheerender Wirkung auf die Öffentlichkeit. Solche Sachverhalte treffen das Vertrauen in staatliche Institutionen besonders hart. Und sie lassen sich ganz einfach vermeiden, z. B. mit einem Compliance-Managementsystem (CMS). Administrative Abläufe, die über Jahre ohne ausreichende Kontrollen funktionierten, spezialisierte IT-Systeme ohne lückenhafte Audit-Fähigkeit und Personalstrukturen, in denen wenige Mitarbeitende weitreichende Entscheidungen treffen können, sind letztlich auch ein Symptom für das sprichwörtliche Sparen an der falschen Stelle. Nicht ohne Grund sehen auch ISO-Managementnormen eine hinreichende Verteilung von Ressourcen für Funktionen vor. Für Compliance-Verantwortliche heißt dies: strukturell vorbeugen.