Durchsuchungen Teil 4: Wie läuft eine Durchsuchung ab? Was Unternehmen wissen sollten

Durchsuchungen treffen zunehmend auch Unternehmen. Ein Grund dafür ist, dass Unternehmen verstärkt im Fokus der Verfolgungsbehörden stehen. Zudem speichern Unternehmen oft große Datenmengen, die vor allem für die Aufklärung von Straftaten im Bereich der Wirtschaftskriminalität von Bedeutung sein können, auch wenn sich die Ermittlungen nicht gegen das durchsuchte Unternehmen selbst richten.

Welchen rechtlichen Vorgaben eine Durchsuchung unterliegt, haben wir bereits bei uns im Blog erläutert. Auch wie man sich in einer Durchsuchungssituation bestmöglich verhält, haben wir schon in unserer Checkliste zusammengefasst. Dieser Beitrag konzentriert sich daher auf die Frage, wie eine Unternehmensdurchsuchung im Normalfall abläuft.

Das Wichtigste in Kürze:

• Durchsuchungen finden in den meisten Fällen unangekündigt am frühen Morgen statt.
• Ermittler sind nicht verpflichtet, mit dem Beginn der Durchsuchung auf einen geeigneten Ansprechpartner zu warten.
• Voraussetzung für eine rechtmäßige Durchsuchung ist grundsätzlich ein richterlicher Durchsuchungsbeschluss, der die Grenzen der Durchsuchung bestimmt.
• Ermittler können nicht blindlings alles sicherstellen, sondern sind verpflichtet, verfahrensrelevante von -irrelevanten Daten und Unterlagen zu trennen.
• Widerspricht der Gewahrsamsinhaber der Sicherstellung kann der potentielle Beweisgegenstand beschlagnahmt werden.
• Ermittler dürfen auf Daten zugreifen, die in einer Cloud gespeichert sind, sofern sich deren Server im Inland befindet.
• Mitarbeitende müssen Passwörter grundsätzlich nur dann preisgeben, wenn sie formal als Zeuge geladen werden; das gilt nicht für den Beschuldigten des Verfahrens.
• Zum Abschluss der Durchsuchung müssen die Ermittler ein Durchsuchungsprotokoll und auf Verlangen ein Sicherstellungsverzeichnis aushändigen.
• Unternehmen können ihre Mitarbeitenden mithilfe von Schulungen etc. auf Durchsuchungen vorbereiten.

Was passiert zu Beginn einer Durchsuchung?

Meist erscheinen die Ermittler unangekündigt am frühen Morgen, wenn erst wenige Mitarbeitende im Hause sind. Deswegen werden Durchsuchungen auch „Dawn Raids“ genannt. Die Ermittler nutzen auf diese Weise den erhofften Überraschungseffekt aus. Die gesetzlich definierte „Nachtzeit“, in der grundsätzlich keine Durchsuchungen stattfinden, beginnt um 21 Uhr und endet um 6 Uhr morgens (§ 104 Abs. 3 StPO).

Die Ermittler melden sich in aller Regel beim Empfang des Unternehmens und teilen mit, dass ein richterlicher Durchsuchungsbeschluss vorliegt. In der Regel informiert der Empfang daraufhin telefonisch die Geschäftsleitung oder die Rechtsabteilung. Auch die Hinzuziehung des IT-Verantwortlichen ist regelmäßig sinnvoll, um den Zugriff der Ermittler auf die IT des Unternehmens fachmännisch zu begleiten (vgl. dazu unsere Checkliste für IT-Durchsuchungen). Idealerweise wird zudem ein im Strafrecht versierter Rechtsanwalt dazu geholt, der mit den Ermittlungsbeamten professionell umzugehen weiß.

Eine Pflicht der Ermittlungsbeamten, auf das Eintreffen eines geeigneten Ansprechpartners zu warten, besteht indes nicht. Erfahrungsgemäß halten sich die Ermittler nicht immer an die Bitte, mit dem Beginn der Durchsuchung zu warten bis ein geeigneter Ansprechpartner eingetroffen ist oder zumindest telefonischer Kontakt zu diesem bestand.

Der Inhaber der zu durchsuchenden Räume (oder sein Vertreter) darf der Durchsuchung beiwohnen, das ist aber lediglich ein Recht und keine Pflicht (§ 105 Abs. 1 StPO). Sofern bei der Durchsuchung kein Staatsanwalt (oder Richter) dabei ist, müssen – wenn möglich – zudem Durchsuchungszeugen hinzugezogen werden (§ 105 Abs. 2 StPO).

Aushändigen des Durchsuchungsbeschlusses

Voraussetzung für eine rechtmäßige Durchsuchung ist grundsätzlich ein richterlicher Durchsuchungsbeschluss. Diesen sollte sich ein Vertreter des Unternehmen gleich zu Beginn aushändigen lassen und eine Kopie davon machen, um einem fachkundigen Rechtsanwalt dessen Prüfung zu ermöglichen. Folgende Fragen sind unter anderem zu prüfen:

• Ist der Durchsuchungsbeschluss (noch) gültig?
• Welches Unternehmen ist im Durchsuchungsbeschluss genannt?
• Welche Räumlichkeiten (oder Arbeitsplätze) dürfen durchsucht werden?
• Welche Beweismittel werden gesucht?
• Ist die Auffindevermutung ausreichend dargelegt?
• Wer ist Beschuldigter des Verfahrens?
• Wie lautet der Tatvorwurf?

Diese und mögliche weitere Informationen aus dem Durchsuchungsbeschluss geben dem Unternehmen die Möglichkeit zu prüfen, ob die Durchsuchung durch eine freiwillige Herausgabe der gesuchten Gegenstände abgewendet werden kann. Hierbei sind indes zwingend datenschutzrechtliche Vorgaben und möglicherweise Verschwiegenheitspflichten nach § 203 StGB zu beachten.

Identitätsfeststellung und Fragen der Ermittler

Die Ermittler sind grundsätzlich berechtigt, die Identität der Anwesenden festzustellen. Auch können sie verlangen, dass Informationen zu Standorten der gesuchten Beweismittel preisgegeben werden. Weitere Fragen müssen die Mitarbeitenden nicht beantworten.

Dennoch verwickeln routinierte Ermittler die Mitarbeitenden während der Durchsuchung oftmals in ein Gespräch. Nach Außen erweckt das den Anschein einer harmlosen Unterhaltung. Tatsächlich finden sich die Informationen aus solchen als beiläufig empfundenen Gesprächen später häufig in einem Vermerk in der Ermittlungsakte wieder. Sie werden damit ungewollt zum Gegenstand des Verfahrens. Aus diesem Grund kann es sinnvoll sein, von Beginn an für die Mitarbeitenden einen anwaltlichen Zeugenbeistand anzufordern. Bis zu dessen Eintreffen sollten keine Äußerungen getätigt werden.

Durchsuchung der Geschäftsräumlichkeiten

Nicht selten handelt es sich bei den gesuchten Gegenständen um Geschäfts- und Buchführungsunterlagen, Verträge, Bankdokumente, Korrespondenz und unternehmensinterne Kommunikation, Lohnunterlagen etc. Insoweit werden die Ermittler in der Regel auf elektronische Datenträger, wie Computer bzw. deren Festplatten, Laptops, USB-Sticks etc. zugreifen, weil die fraglichen Dokumente oftmals nur noch digital gespeichert sind. Hierbei ist den Ermittlern eine Entschlüsselung von Passwörtern mithilfe technischer Hilfsmittel oder vor Ort aufgefundener Passwortlisten erlaubt. Eine gezielte Suche der Ermittler nach Beweismitteln, die nicht vom Beschluss erfasst sind oder in Räumlichkeiten, die darin nicht aufgeführt sind, ist aber unzulässig.

Durchsicht der IT

Bei der Durchsicht von elektronischen Speichermedien sind die Ermittler aus Gründen der Verhältnismäßigkeit gehalten, nicht einfach alle Daten abzugreifen, sondern die für das Verfahren relevanten Daten zu isolieren. In der Praxis geschieht das regelmäßig mithilfe von Suchwortlisten. Teilweise sind die Datenmengen aber so groß, dass die Ermittler die Daten nahezu komplett kopieren und dann – manchmal wochen- oder monatelang – in den Räumen der Ermittler eine sogenannte Durchsicht nach § 110 Abs. 3 StPO durchführen, die der Trennung verfahrensrelevanter Dateien von unerheblichen Daten dient. Das Gleiche gilt übrigens auch für Papierunterlagen, die zur Prüfung, ob sie zu beschlagnahmen oder zurückzugeben sind, erst einmal mitgenommen werden, wenn eine sofortige Sichtung an Ort und Stelle, etwa aufgrund ihres Umfangs, nicht möglich ist (§ 110 Abs. 1 StPO).

Sicherstellung und Beschlagnahme

Kommt einem Gegenstand potentiell Beweisbedeutung zu, d.h. ist er möglicherweise für das Straf- oder Ordnungswidrigkeitenverfahren von Bedeutung, kann er im Wege der Sicherstellung in amtliche Verwahrung genommen werden (§ 94 ff. StPO). Widerspricht der Gewahrsamsinhaber kann der Gegenstand auch beschlagnahmt werden. Hierfür muss ein Ermittlungsrichter die Beschlagnahme förmlich anordnen oder bei Gefahr im Verzug nachträglich bestätigen (§ 98 StPO).

Sollte unklar sein, ob die Beschlagnahme von Unterlagen zulässig ist, zum Beispiel weil die Dokumente möglicherweise einem Beschlagnahmeverbot unterliegen, können die beschlagnahmten Unterlagen versiegelt werden. Sollte nachfolgend ein Rechtsmittel gegen die Anordnung der Beschlagnahme eingelegt werden, ist eine Auswertung der versiegelten Unterlagen erst nach einem zustimmenden Gerichtsbeschluss zulässig.

Sicherstellung von Datenträgern

Die Sicherstellung ganzer Datenträger kann mitunter durch Preisgabe des Passworts abgewendet werden. Das ist insbesondere bedeutsam, wenn die Mitnahme ganzer Server droht, was für das betroffene Unternehmen existenzbedrohende Folgen haben kann. Mithilfe des Passwortes wird den Ermittlern der Zugang zu den relevanten Datenträgern und deren Spiegelung ermöglicht.

Zugriff auf Clouddaten

Grundsätzlich können die Ermittler auch auf Daten zugreifen, die in einer Cloud gespeichert sind, sofern sich deren Server im Inland befindet. Steht der Cloud-Server dagegen im Ausland müssen die Ermittler nach aktueller Rechtslage die zuständigen ausländischen Behörden im Wege der Rechtshilfe in Anspruch nehmen (anders sieht dies allerdings das Landgericht Koblenz und das Landgericht Berlin, Beschl. v. 29.12.2022, Az. 519 Qs 8/22). Erst mit der sog. E-Evidence-Verordnung soll innerhalb der EU künftig ein Direktzugriff möglich werden (siehe dazu unseren Blogbeitrag).

Preisgabe von Passwörtern

Passwörter müssen nur dann preisgegeben werden, wenn die betroffene Person – etwa der zuständige IT-Administrator – formal als Zeuge geladen wird. Das ist auch mündlich und formlos zulässig. In diesen Fällen findet die Vernehmung unmittelbar an Ort und Stelle im Anschluss an die „Ladung“ statt. Für Zeugen besteht grundsätzlich eine Aussagepflicht, soweit ihnen kein Auskunftsverweigerungsrecht (§ 55 StPO) oder ein vollumfängliches Schweigerecht (§§ 52ff. StPO) zusteht. Dies ist im Falle der Frage nach Passwörtern aber oft nicht der Fall, sodass sie zumeist offengelegt werden müssen, wenn nicht der Beschuldigte selbst befragt wird (nemo tenetur-Grundsatz).

Mehrtägige Durchsuchung

Wenn die Ermittler so große Mengen an Beweismaterial suchen, dass die Durchsuchung am nächsten Tag fortgesetzt werden soll, werden die bis dahin sichergestellten Unterlagen in der Regel in einem separaten Raum im Unternehmen gelagert. Dieser Lagerraum wird am Ende des ersten Durchsuchungstages meist versiegelt. In diesem Fall muss das Unternehmen sicherstellen, dass nach der Versiegelung keine Versuche unternommen werden, dass sich Mitarbeitende (einschließlich das Reinigungspersonal) Zugang zu dem versiegelten Raum verschaffen (sonst droht ein Siegelbruch nach § 136 Abs. 2 StGB), zum Beispiel kann der Zugang durch einen Wachmann versperrt oder der Eingang mit deutlichen Warnschildern gekennzeichnet werden.

Abschluss der Durchsuchung

Am Ende der Durchsuchung müssen die Ermittler ein Durchsuchungsprotokoll und auf Verlangen ein Sicherstellungsverzeichnis aushändigen, das sämtliche sichergestellten Unterlagen umfasst (§ 107 StPO). Werden Dokumente sichergestellt, die für die Aufrechterhaltung des Betriebs von Bedeutung sind, ist es ratsam, davon zuvor Kopien anzufertigen.

Sobald die Ermittler das Unternehmen endgültig verlassen haben, ist die Durchsuchung beendet. Sie dürfen dann nicht mit demselben Durchsuchungsbeschluss wiederkommen und die Durchsuchung fortsetzen oder wiederholen. Dafür bräuchten sie einen neuen Beschluss.

Was können Unternehmen im Vorfeld einer Durchsuchung tun?

Grundsätzlich gilt, dass eine gute Vorbereitung auf eine Durchsuchung für jedes Unternehmen unabdingbar ist, um eventuellen Fehlerquellen vorzubeugen. Das gilt auch, wenn das Unternehmen selbst gar nicht im Fokus der Ermittlungen steht. Um sicher zu sein, dass im Fall der Fälle an alles gedacht ist, können sich Unternehmen an unserer Checkliste orientieren, die wir für den Ernstfall erstellt haben. Speziell an die Mitarbeitenden gerichtete Durchsuchungsschulungen und sogenannte „Mock Dawn Raids“ sind zudem hilfreiche Mittel, wie Unternehmen ihre Mitarbeitenden bestmöglich auf eine Durchsuchung vorbereiten können. Nicht zuletzt sollte sichergestellt werden, dass Unternehmen im Falle einer Durchsuchung einen Durchsuchungsbeauftragten benennen und einen Strafverteidiger hinzuziehen können. Er achtet darauf, dass die Durchsuchung strafprozessual korrekt verläuft.

Teil 1: Durchsuchungen – die rechtlichen Voraussetzungen

Teil 2: Checkliste für den Ernstfall

Teil 3: Die IT-Durchsuchung

Teil 5: Beschlagnahme von Verteidigerunterlagen