HinSchG für IT-Dienstleister + MSSP: Spezifika

Weiterlesen: HinSchG: Interne Meldestelle einrichten — wie die interne Meldestelle nach dem HinSchG Schritt für Schritt eingerichtet wird, mit Checkliste.

1. Doppel-Regulierung NIS2 + HinSchG

IT-Dienstleister und MSSP unterliegen zwei Regelwerken mit getrennten Auslösern: Der Hinweisgeberschutz knüpft grundsätzlich an die Beschäftigtenzahl an, NIS2 zuerst an die Einrichtungsart nach den Sektor-Anlagen und erst danach an die Größe. IT-Dienstleister sind oft NIS2-betroffen (Cloud, Managed Services). HinSchG kommt zusätzlich ab in der Regel 50 Beschäftigten hinzu.

In Österreich verlangt § 3 Abs. 1 i. V. m. § 11 Abs. 1 HSchG dasselbe ab 50 Arbeitnehmern. Anlage und Umsatz spielen für diese Pflicht keine Rolle; der Sektor nur im Rahmen des § 12 Abs. 3 HinSchG — für die dort genannten Beschäftigungsgeber gilt die Pflicht unabhängig von der Zahl der Beschäftigten. Dazu zählen unter anderem Wertpapierdienstleistungsunternehmen, Börsenträger, Institute nach KWG und Wertpapierinstitutsgesetz, Kapitalverwaltungsgesellschaften, Versicherungsunternehmen sowie Krypto- und Zahlungsdiensteinstitute; ein IT-Dienstleister, der zugleich unter eine dieser Kategorien fällt, braucht die Meldestelle ab dem ersten Beschäftigten.

Dagegen greift NIS2 in Deutschland für Unternehmen in der Regel erst, wenn eine Art nach den Anlagen des BSIG vorliegt (Einrichtungen der Bundesverwaltung werden gesondert nach § 29 BSIG erfasst); daneben gelten Betreiber kritischer Anlagen unabhängig davon als besonders wichtige Einrichtung (§ 28 Abs. 1 BSIG). Einschlägig für IT-Dienstleister sind die Verwaltung von IKT-Diensten (Managed Services) nach Anlage 1 BSIG sowie die Anbieter digitaler Dienste nach Anlage 2 BSIG. Unabhängig von der Größe gelten in Deutschland unter anderem Betreiber kritischer Anlagen, qualifizierte Vertrauensdiensteanbieter, Top-Level-Domain-Name-Registries und DNS-Diensteanbieter als besonders wichtige Einrichtung (§ 28 Abs. 1 BSIG); Vertrauensdiensteanbieter zählt § 28 Abs. 2 BSIG daneben zu den wichtigen Einrichtungen, soweit sie nicht bereits besonders wichtige Einrichtung sind — ein kleiner Vertrauensdiensteanbieter fällt also nicht schon deshalb heraus, weil er die Größenschwellen der Tabelle unten nicht erreicht. Für Anbieter öffentlich zugänglicher Telekommunikationsdienste und Betreiber öffentlicher Telekommunikationsnetze gelten eigene Einstufungsregeln (§ 28 Abs. 1 Nr. 3 und Abs. 2 Nr. 2 BSIG). In Österreich sind qualifizierte Vertrauensdiensteanbieter, TLD-Namenregister und DNS-Diensteanbieter größenunabhängig wesentliche Einrichtungen, Telekommunikations- und Vertrauensdiensteanbieter größenunabhängig wichtige Einrichtungen, sofern sie nicht bereits wesentliche Einrichtung sind (§ 24 Abs. 1 und Abs. 2 NISG 2026).

Die Tabelle bildet ausschließlich größenabhängige Schwellen ab; die größenunabhängigen NIS2-Fälle stehen im Absatz darüber. Für die Größenbestimmung ist die Empfehlung 2003/361/EG mit Ausnahme von Art. 3 Abs. 4 ihres Anhangs anzuwenden (§ 28 Abs. 4 BSIG; § 25 NISG 2026).

2. Kunden-Geheimnis: was eine Meldung an Verschwiegenheitspflichten ändert

Mandanten- und Kundendaten bleiben geschützt — eine Meldung hebt Verschwiegenheitspflichten nicht pauschal auf, umgekehrt können Verschwiegenheitsklauseln den Hinweisgeberschutz aber nicht abbedingen. Der Hinweisgeber darf Sicherheitslücken melden; ob die Weitergabe geschützt ist, entscheidet sich nach § 35 HinSchG daran, ob hinreichender Grund zu der Annahme bestand, sie sei zur Aufdeckung eines Verstoßes erforderlich — an diesem Maßstab misst sich auch, gegenüber wem Kundennamen genannt werden.

Rechtlich trägt das zwei Normen. Erstens § 35 HinSchG: für die Beschaffung der Informationen entfällt die Verantwortlichkeit nur, solange die Beschaffung nicht selbst eine eigenständige Straftat ist. In Österreich regelt § 22 Abs. 1 und 2 HSchG die Haftungsfreiheit für die Folgen eines berechtigten Hinweises: Ein verfahrenskonform gegebener berechtigter Hinweis verletzt keine Geheimhaltungsverpflichtungen, soweit hinreichender Grund zur Annahme bestand, dass er zur Aufdeckung oder Verhinderung einer Rechtsverletzung notwendig ist. Zweitens § 39 HinSchG: Vereinbarungen, die Rechte hinweisgebender Personen einschränken, sind unwirksam — das gilt auch für Verschwiegenheitsklauseln in Arbeitsverträgen, Kundenverträgen oder Auftragsverarbeitungsverträgen.

Der sachliche Anwendungsbereich unterscheidet sich: In Deutschland erfasst § 2 Abs. 1 Nr. 1 bis 3 HinSchG alle strafbewehrten Verstöße, bußgeldbewehrte Verstöße, soweit die verletzte Vorschrift dem Schutz von Leben, Leib oder Gesundheit oder dem Schutz der Rechte von Beschäftigten oder ihrer Vertretungsorgane dient, sowie zahlreiche aufgezählte Rechtsvorschriften. Österreich ist enger: § 3 Abs. 3 HSchG nennt die EU-Bereiche einschließlich Datenschutz zuzüglich der Korruptionsdelikte nach §§ 302 bis 309 StGB.

Praxisempfehlung (keine Rechtspflicht): Meldeformular und Fallakte so trennen, dass Kundennamen nur im geschützten Verfahren erfasst werden und nicht in allgemeine Ticket-Systeme gelangen. Für den Umgang mit Kundenangaben in der Meldung selbst:

• im Regelfall Systemkennung, Mandanten-ID oder Vertragsnummer statt Kundenname;
• Kundenname erst, wenn die Aufklärung ohne ihn nicht möglich ist — Maßstab bleibt die Erforderlichkeit nach § 35 HinSchG;
• Rohdaten (Logs, Screenshots aus Kundensystemen) nicht an die Meldung anhängen, sondern im Zielsystem sichern und referenzieren;
• bei Meldung an die externe Meldestelle gilt derselbe Maßstab, § 39 HinSchG verhindert eine vertragliche Einschränkung.

3. Insider-Threat oder Hinweisgeber: woran sich die Abgrenzung entscheidet

Die Abgrenzung entscheidet sich an der Art der Informationsbeschaffung und daran, was der Arbeitgeber beweisen kann. Sie ist im Einzelfall schwierig: Wer Daten kopiert, kann sich strafbar machen; wer Lücken meldet, ist Hinweisgeber.

Für die Beschaffungsseite gilt § 35 HinSchG (Abschnitt 2): Der Schutz greift nicht, wenn die Beschaffung als solche eine eigenständige Straftat darstellt. Für die Reaktionsseite gilt § 36 Abs. 1 HinSchG — Repressalien einschließlich ihrer Androhung und ihres Versuchs sind verboten — und § 36 Abs. 2 HinSchG: Erleidet die hinweisgebende Person eine Benachteiligung und macht sie geltend, diese infolge der Meldung erlitten zu haben, wird eine Repressalie vermutet; der Benachteiligende muss dann beweisen, dass die Benachteiligung auf hinreichend gerechtfertigten Gründen basierte oder nicht auf der Meldung beruhte. Zum abweichenden österreichischen Standard — Glaubhaftmachung nach § 23 HSchG statt voller Beweislastumkehr — siehe die FAQ am Ende des Artikels.

Umgekehrt schützt das Gesetz den Arbeitgeber gegen wissentliche Falschmeldungen: § 38 HinSchG begründet Schadensersatz bei vorsätzlich oder grob fahrlässig unrichtigen Meldungen, und nach § 9 Abs. 1 HinSchG entfällt in diesen Fällen der Identitätsschutz. Das LAG Niedersachsen hat mit Urteil vom 11.11.2024 (7 SLa 306/24) das zweistufige Prüfschema bestätigt. Praxisempfehlung (keine Rechtspflicht): Für jede HR-Maßnahme nach einer Meldung einen Unabhängigkeitsnachweis dokumentieren. Hineingehören Datum und Anlass der Maßnahme, die entscheidende Person, der Beleg, dass der Vorgang bereits vor Eingang der Meldung angestoßen war, und ein identitätsfreier Verweis auf den Meldungsvorgang statt der Personendaten; abgelegt wird der Nachweis außerhalb der Meldestellen-Akte, damit die Zugriffsgrenzen des § 8 Abs. 1 HinSchG erhalten bleiben.

Technisch flankiert NIS2 dieses Risiko: Zugriffskontrolle, Multi-Faktor-Authentifizierung und Personalsicherheit gehören zum gesetzlichen Mindestkatalog der Risikomanagementmaßnahmen (§ 30 Abs. 2 BSIG; Österreich § 32 Abs. 4 NISG 2026) — der vollständige Katalog und die Dokumentationspflicht des § 30 Abs. 1 BSIG stehen in Abschnitt 6. Ein Privileged-Access-Management ist die verbreitete Praxis-Umsetzung dieser Vorgabe, nicht ihr gesetzlicher Wortlaut. Praxisempfehlung (keine Rechtspflicht): privilegierte Sitzungen so protokollieren, dass sich nach einer Meldung noch nachvollziehen lässt, wer wann worauf zugegriffen hat — das ist die Grundlage für den Unabhängigkeitsnachweis oben. Konkret betrifft das die Rollen mit Kunden-Admin-Zugängen im SOC; protokolliert werden Identität, Zeitfenster und Zielsystem, nicht Inhalte aus Meldungen. Für die Aufbewahrungsdauer bietet sich der Gleichlauf mit den Löschfristen der Meldestelle an — drei Jahre in Deutschland, fünf Jahre in Österreich, Fundstellen in Abschnitt 7.

4. Vorfall-Eskalation zum Kunden: welche Frist wann läuft

Ein Hinweis auf eine Sicherheitslücke beim Kunden kann mehrere Fristen auslösen — jede mit eigenem Auslöser: die HinSchG-Fristen ab Eingang der Meldung (7 Tage Eingangsbestätigung) beziehungsweise ab Bestätigung des Eingangs (3 Monate Rückmeldung; in Österreich ab Entgegennahme), die NIS2-Frist erst bei einem erheblichen Sicherheitsvorfall ab Kenntnis, die DSGVO-Frist beim Verantwortlichen ab Kenntnis einer Verletzung des Schutzes personenbezogener Daten. Bei Hinweis auf eine Sicherheitslücke beim Kunden ist der Kunde zu informieren; Grundlage ist der Auftragsverarbeitungsvertrag nach Art. 28 DSGVO (Mindestinhalt siehe Abschnitt 6).

Jede Zeile hat einen eigenen Auslöser: Die NIS2-Fristen laufen nur bei einem erheblichen Sicherheitsvorfall im Sinne von § 2 Nr. 11 BSIG bzw. § 35 Abs. 1 NISG 2026 — also bei schwerwiegenden Betriebsstörungen oder finanziellen Verlusten der Einrichtung oder erheblichen Schäden bei Dritten. Die DSGVO-Fristen richten sich an den Verantwortlichen, im MSSP-Verhältnis also regelmäßig an den Kunden. Die HinSchG-Fristen laufen unabhängig davon im eigenen Haus weiter.

Nach Zeit sortiert ergibt derselbe Fall — ein SOC-Mitarbeiter meldet eine Lücke, die einen Kunden betrifft — diese Reihenfolge; die Fundstellen stehen jeweils in der Tabelle darüber. Die Schritte 4, 5 und 7 treffen nur die Einrichtung, bei der der erhebliche Sicherheitsvorfall eingetreten ist, und nur, wenn sie besonders wichtige oder wichtige Einrichtung ist (AT: wesentliche oder wichtige Einrichtung); betrifft der Vorfall die Systeme des Kunden, trifft die NIS2-Meldepflicht diesen.

1. T+0: Meldung geht bei der internen Meldestelle ein; Vertraulichkeit nach § 8 Abs. 1 HinSchG herstellen (Österreich: § 7 Abs. 1 und 2 HSchG).
2. T+0: erst prüfen, ob das eigene Unternehmen überhaupt Einrichtung nach Abschnitt 1 ist — wenn nein, entfallen die Schritte 4, 5 und 7; dann prüfen, ob ein erheblicher Sicherheitsvorfall nach § 2 Nr. 11 BSIG (Österreich: § 35 Abs. 1 NISG 2026) vorliegt — erst diese Einstufung startet die NIS2-Uhr.
3. Unverzüglich: die Empfänger der Dienste unterrichten und den Kunden als Verantwortlichen informieren — im MSSP-Verhältnis über Art. 28 und Art. 33 Abs. 2 DSGVO in Verbindung mit dem AVV.
4. T+24 Stunden: frühe Erstmeldung an die gemeinsame Meldestelle von BSI und BBK — Österreich: Frühwarnung an das zuständige CSIRT.
5. T+72 Stunden: Meldung mit Erstbewertung.
6. T+7 Tage: Eingangsbestätigung an die hinweisgebende Person.
7. T+1 Monat nach der 72-Stunden-Meldung: Abschlussmeldung, in Österreich Abschlussbericht.
8. T+3 Monate: Rückmeldung über Folgemaßnahmen an die hinweisgebende Person — die Frist läuft in Deutschland ab Bestätigung des Eingangs, in Österreich ab Entgegennahme.

Ohne eigene NIS2-Pflicht bleiben die HinSchG-Fristen (Schritte 1, 6, 8) und die AVV-Kette zum Kunden (Schritt 3) — die Weitergabe an den Kunden schuldet der MSSP dann vertraglich, nicht aufsichtsrechtlich (Abschnitt 6).

5. SOC-Mitarbeiter-Schutz: Rollen, Wahlrecht, Bußgeldrahmen

SOC-Mitarbeitende sind hinweisgebende Personen wie alle anderen Beschäftigten — geschützt durch § 8, § 35 und § 36 HinSchG, soweit die Meldung in den sachlichen Anwendungsbereich des § 2 Abs. 1 HinSchG fällt (Österreich enger: § 3 Abs. 3 HSchG).

Sie können wählen, ob sie sich an die interne oder an eine externe Meldestelle wenden; die interne Meldung soll bevorzugt werden, wenn intern wirksam abgeholfen werden kann und keine Repressalien zu befürchten sind (§ 7 Abs. 1 HinSchG). Meldungen zu behindern oder dies zu versuchen, ist verboten (§ 7 Abs. 2 HinSchG). Externe Meldestelle des Bundes ist das Bundesamt für Justiz (§ 19 Abs. 1 HinSchG), in Österreich das Bundesamt zur Korruptionsprävention und Korruptionsbekämpfung (§ 15 Abs. 1 HSchG), soweit nicht eine besondere externe Meldestelle zuständig ist (in Deutschland u. a. BaFin nach § 21, Bundeskartellamt nach § 22 HinSchG; in Österreich u. a. FMA und Bundeswettbewerbsbehörde nach § 15 Abs. 2 HSchG). Für den Identitätsschutz nach § 8 Abs. 1 HinSchG gelten die Zugriffsgrenzen aus Abschnitt 7. Betrifft die Meldung eine Lücke bei einem Kunden statt den eigenen Betrieb, gilt zusätzlich der Ablauf aus Abschnitt 4.

Die Sanktionen sind in beiden Rechtsräumen unterschiedlich zugeschnitten. In Deutschland ahndet § 40 HinSchG die Behinderung einer Meldung und Repressalien (Abs. 2 Nr. 1 und 3) sowie den vorsätzlichen oder leichtfertigen Vertraulichkeitsverstoß (Abs. 3) mit bis zu 50.000 EUR, die fehlende interne Meldestelle (Abs. 2 Nr. 2) mit bis zu 20.000 EUR und den fahrlässigen Vertraulichkeitsverstoß (Abs. 4) mit bis zu 10.000 EUR (§ 40 Abs. 6 Satz 1 HinSchG); für juristische Personen ist über § 30 Abs. 2 Satz 3 OWiG eine Verzehnfachung bis 500.000 EUR möglich — ausdrücklich nicht beim Tatbestand der fehlenden Meldestelle (§ 40 Abs. 6 Satz 2 HinSchG). In Österreich verhängt die Bezirksverwaltungsbehörde Verwaltungsstrafen bis 20.000 EUR, im Wiederholungsfall bis 40.000 EUR (§ 24 HSchG).

SOC-spezifisch ist vor allem der Rollenkonflikt: Wer eine Meldung bearbeitet, entscheidet über Folgemaßnahmen gegen Kolleginnen und Kollegen derselben Schicht — und über Zugänge, die er selbst betrieblich braucht. Die notwendige Fachkunde verlangt § 15 Abs. 2 HinSchG gesondert; sie sollte nach dem Praxisstandard der Meldestellen-Schulung das Verfahren, die Vertraulichkeit, die DSGVO-Schnittstelle, den Repressalienschutz und die Sachverhaltsaufklärung abdecken — eine juristische Ausbildung verlangt die Norm nicht. Praxisempfehlung (keine Rechtspflicht): Die Meldestelle nicht aus der SOC-Linie besetzen und die Unabhängigkeitserklärung der beauftragten Person dokumentieren. Wer im eigenen Haus keine konfliktfreie Besetzung findet, kann die Aufgaben der Meldestelle einem Dritten übertragen — Voraussetzungen und Grenzen in Abschnitt 7. Als zweite Auffanglösung bleibt das Wahlrecht des § 7 Abs. 1 HinSchG: die externe Meldestelle ist für SOC-Mitarbeitende der Ausweg, wenn die interne Stelle in der eigenen Linie sitzt.

6. NIS2-Lieferkette: § 30 BSIG in MSSP-Verträgen

Lieferkettensicherheit steht im gesetzlichen Mindestkatalog der Risikomanagementmaßnahmen — praktische Folge: NIS2-Anforderungen erreichen den MSSP über Kundenverträge, auch wenn er selbst unterhalb der Schwellen liegt. § 30 Abs. 1 BSIG verpflichtet besonders wichtige und wichtige Einrichtungen zu geeigneten, verhältnismäßigen und wirksamen technischen und organisatorischen Maßnahmen und zu deren Dokumentation; § 30 Abs. 2 Nr. 1 bis 10 BSIG nennt die Pflichtbereiche, darunter Lieferkettensicherheit, Vorfallsbewältigung, Business Continuity, Kryptografie, Zugriffskontrolle und Multi-Faktor-Authentifizierung. In Österreich entspricht dem § 32 Abs. 1 und 4 NISG 2026, unionsrechtlich Art. 21 Abs. 1 und 2 NIS-2-Richtlinie.

Was das für den Vertrag bedeutet, lässt sich aus dem Katalog ableiten. Die folgende Übersicht ordnet jeder typischen Vertragsanforderung ihren gesetzlichen Anker beim Kunden zu und benennt, was der MSSP dafür liefern muss; wo kein Rechtssatz dahintersteht, ist die Zeile ausdrücklich als Praxisempfehlung gekennzeichnet:

Die Verantwortung liegt dabei oben: Geschäftsleitungen besonders wichtiger und wichtiger Einrichtungen müssen die Maßnahmen nach § 30 BSIG umsetzen und ihre Umsetzung überwachen; verletzen sie diese Pflichten, haften sie ihrer Einrichtung (§ 38 Abs. 1 bis 3 BSIG). In Österreich haben die Leitungsorgane die Einhaltung der Risikomanagementmaßnahmen nach § 32 NISG 2026 sicherzustellen und zu beaufsichtigen (§ 31 Abs. 1 und 2 NISG 2026) — Einzelheiten in der FAQ.

Beim Nachweis laufen DE und AT auseinander — der Unterschied gehört in jede Vertragsverhandlung mit österreichischen Kunden:

7. Vertraulichkeitskonzept § 8 HinSchG und AVV synchronisieren

Vertraulichkeitskonzept der Meldestelle und AVV-Klauseln zu Kunden müssen dieselben Zugriffsgrenzen beschreiben — sonst verspricht das eine, was das andere ausschließt. § 8 Abs. 1 HinSchG verlangt, die Identität der hinweisgebenden Person, der betroffenen Personen und weiterer in der Meldung genannter Personen zu wahren; Zugriff haben nur die für Entgegennahme und Folgemaßnahmen zuständigen sowie die sie unterstützenden Personen. Österreich regelt dies in § 7 Abs. 1 und 2 HSchG und untersagt zusätzlich die Weitergabe durch Personen, die den Inhalt unbefugt erfahren haben.

Läuft die Meldestelle auf IT-Systemen eines Dienstleisters, ist ein Auftragsverarbeitungsvertrag nach Art. 28 Abs. 1 und 3 DSGVO erforderlich. Weiter gehören dazu ein Eintrag im Verzeichnis der Verarbeitungstätigkeiten, ein meldestellen-spezifisches TOM-Konzept und Datenschutzhinweise für hinweisgebende und beschuldigte Personen. Die Datenschutz-Folgenabschätzung nach Art. 35 DSGVO ist in Deutschland durchzuführen: Nach der Orientierungshilfe der Datenschutzkonferenz zu Whistleblowing-Hotlines (14.11.2018, Abschnitt E 9) unterliegt ein Verfahren zur Meldung von Missständen wegen des besonders hohen Risikos für die Rechte und Freiheiten natürlicher Personen einer Datenschutz-Folgenabschätzung. In Österreich ist sie nach § 8 Abs. 13 HSchG entbehrlich.

Synchronisieren heißt konkret: die vier Stellen abgleichen, an denen eine übliche AVV-Klausel gegen § 8 HinSchG läuft. Die Auflösungen in der rechten Spalte sind Praxisempfehlungen, keine Rechtspflichten:

Aufbewahrung und Verjährung sollten zusammenpassen: Die Verfolgungsverjährung beträgt bei den mit 50.000 und 20.000 EUR bedrohten Tatbeständen drei Jahre (§ 31 Abs. 2 Nr. 1 OWiG), beim fahrlässigen Vertraulichkeitsverstoß nur zwei Jahre (§ 31 Abs. 2 Nr. 2 OWiG) — die deutsche Drei-Jahres-Löschfrist aus der Tabelle darüber deckt damit beide Verjährungsfristen ab. Verlangt eine beschuldigte Person Auskunft nach Art. 15 DSGVO, ist in Deutschland eine geschwärzte Antwort mit Aufschiebung nach § 29 BDSG der etablierte Weg: (1) Antwortfrist wahren — Art. 12 Abs. 3 DSGVO; (2) Identität der hinweisgebenden Person und Angaben, die auf sie zurückschließen lassen, schwärzen — § 8 Abs. 1 HinSchG geht der Auskunft vor; (3) die Aufschiebung und ihren Grund in der Fallakte dokumentieren. Für Österreich trifft dieser Artikel keine Aussage.

Die Aufgaben der internen Meldestelle dürfen einem Dritten übertragen werden (§ 14 Abs. 1 Satz 1 HinSchG); die Pflicht, geeignete Maßnahmen zur Abstellung eines Verstoßes zu ergreifen, bleibt beim Beschäftigungsgeber (§ 14 Abs. 1 Satz 2 HinSchG). Zu § 14 HinSchG führt die Europäische Kommission kein Vertragsverletzungsverfahren gegen Deutschland; das Verfahren INFR(2022)0052 zur Richtlinie (EU) 2019/1937 endete mit dem EuGH-Urteil C-149/23 vom 6. März 2025 (Pauschalbetrag 34 Mio. Euro) und wurde am 4. Juni 2026 eingestellt (Stand: 17.08.2026). Ob die Konzern-Auslagerungs-Lösung des § 14 HinSchG der Anknüpfung der Richtlinie an die juristische Person in jeder Konstellation genügt, ist gerichtlich nicht geklärt. Praxisempfehlung (keine Rechtspflicht): ein Hybrid-Modell (eigene Meldestelle der Tochter plus Konzern-Stelle als Dritter) statt reiner Konzern-Auslagerung verwenden und im Auslagerungsvertrag eine Anpassungs- oder Kündigungsklausel für den Fall einer Gesetzesänderung vorsehen.