72-Stunden-Readiness-Check: Ist Ihr Unternehmen prüfungs- und durchsuchungsfest?

Vorbereitet. Erreichbar. Auskunftsfähig.

Die ersten 72 Stunden nach einer unangekündigten Prüfung oder Durchsuchung entscheiden mehr als viele Monate danach — nicht, weil dann Urteile fallen, sondern weil dann Weichen gestellt werden. Dieser Check zeigt Ihnen in drei Minuten, ob Ihr Haus vorbereitet wäre: Zuständigkeit, Ablaufplan, Datenzugriff, Nachweise, Versicherung, Kommunikation, Liquidität. Er ist eine Standortbestimmung zur Krisenbereitschaft, keine Rechtsberatung und keine Prognose — ausgewertet ausschließlich lokal in Ihrem Browser.

So funktioniert der Check

Sie beantworten acht Fragen zur Ernstfall-Organisation Ihres Hauses mit Ja, Nein oder Weiß nicht — am besten aus dem Stand, denn genau so käme der Ernstfall. Ihr Ergebnis erscheint sofort als Ampel, berechnet lokal in Ihrem Browser; „Weiß nicht" zählt wie „Nein", denn eine Regelung, die niemand kennt, ist im Ernstfall keine. Je nach Farbe folgt der passende nächste Schritt: Readiness-Checkliste, Rückruf oder Akutlinie. In drei Minuten wissen Sie, ob Ihr Haus bereit wäre.

Die Ampel bewertet Ihre Antworten, nicht Ihr Unternehmen. Sie ersetzt keine Prüfung des Einzelfalls.

Was das Ergebnis bedeutet

Grün heißt: Ihre Readiness steht — Zuständigkeit, Ablauf und Nachweise sind geregelt. Der Auftrag lautet jetzt Pflege statt Aufbau: einmal jährlich prüfen, nach jedem Personalwechsel aktualisieren, gelegentlich üben. Ein Plan, der zwei Beförderungen und einen Empfangswechsel verschlafen hat, ist keiner mehr.

Gelb heißt: Bausteine vorhanden, aber mit Lücken — typischerweise fehlt der schriftliche Ablaufplan, der Versicherungsmeldeweg oder die 72-Stunden-Akte. Das ist in wenigen Wochen planvoll zu schließen; entscheidend ist die Reihenfolge, denn im Ernstfall zählt die schwächste Stelle. Ein kurzer Rückruf klärt, welche das bei Ihnen ist.

Rot heißt: Der Ernstfall träfe Ihr Haus weitgehend unvorbereitet — wie die meisten Unternehmen, die diese Frage noch nie gestellt bekommen haben. Das ist kein Grund zur Dramatik, aber einer zum Handeln, solange niemand vor der Tür steht: erst Zuständigkeit, externe Rufnummer und Datenzugriff regeln, dann der Rest — geordnet, nicht hektisch.

Warum diese Fragen

Die acht Fragen folgen der Chronologie des Ernstfalls — und jedem Punkt liegt eine nüchterne rechtliche oder praktische Beobachtung zugrunde.

Der Ausgangspunkt: Umsatzsteuer-Nachschau und Durchsuchung kommen unangekündigt; das ist ihr gesetzlicher Zweck. Vorbereitung ist deshalb keine Frage des Ob, sondern der Organisation — Zuständigkeit, Ablaufplan und erreichbarer externer Beistand (Fragen 1 bis 3) entscheiden, ob die ersten Stunden geordnet oder chaotisch verlaufen. Die Compliance-Literatur zählt Durchsuchungsregeln und Notfallplanung ausdrücklich zum Pflichtbestandteil eines Compliance-Management-Systems — nicht als Sonderkür für Konzerne, sondern als Grundausstattung.

Der Datenzugriff (Frage 4) hat eine doppelte Logik: Was unkoordiniert das Haus verlässt, fehlt später der Verteidigung — und lässt sich in seiner Deutung kaum noch einfangen. Protokollierte Übergaben schützen beide Seiten.

Die 72-Stunden-Akte (Frage 5) ist der Kern — und hier schließt sich der Kreis zur Kittel-Rechtsprechung: In Wissenmüssen-Fällen entscheidet die Beweisfrage, und die Behörde rekonstruiert Indizien rückwärts — wobei sie nach der Mahagében-Linie die Beweislast trägt und keine unzumutbare Vorsorge verlangen darf. Wer binnen drei Tagen einen geordneten Prüfpfad vorlegen kann — Prüfungen, Freigaben, Zahlungs- und Lieferbelege —, verändert die Ausgangslage des gesamten Verfahrens; genau dafür ist das Evidence Pack gebaut. Der dokumentierte Prüfpfad ist zugleich das, was die Verwaltung selbst im Anwendungserlass zur Abgabenordnung als Indiz gegen Vorsatz und Leichtfertigkeit anerkennt.

Versicherung, Kommunikation und Liquidität (Fragen 6 bis 8) bilden die wirtschaftliche Flanke. Die Verteidigungsliteratur beschreibt nüchtern, was auf dem Spiel steht: In Karussell-Verdachtslagen können Sicherungsmaßnahmen und Haftungsbescheide ein Unternehmen wirtschaftlich treffen, lange bevor rechtlich irgendetwas geklärt ist — Banken, Warenkreditversicherer und Geschäftspartner reagieren auf Verdachtslagen oft schneller als Gerichte. Verpasste Versicherungsmeldefristen kosten Deckung im teuersten Moment; ungesteuerte Kommunikation beschädigt Kreditlinien; und die Frage, wie das Haus auf einen sofort vollziehbaren Bescheid oder eine Kontensperre reagieren würde, gehört durchgespielt, bevor sie sich stellt. Das ist keine Schwarzmalerei, sondern Verfahrensrealität — und der Grund, warum die ersten 72 Stunden im Akutfall eine eigene Seite haben.

Wenn die Server mitfahren: Daten-Resilienz

Eine Durchsuchung nimmt selten nur Ordner mit. Mitgenommen oder zur Durchsicht sichergestellt werden regelmäßig Server, Notebooks, Telefone, komplette Buchhaltungs- und ERP-Systeme — und damit genau die Daten, aus denen sich die eigene Entlastung ergeben würde. Die bittere Pointe: Ohne eigene Daten keine Verteidigung. Wer nicht mehr rekonstruieren kann, was wann geprüft, gebucht und freigegeben wurde, kann der Erzählung der Ermittler nichts entgegensetzen — und der Geschäftsbetrieb steht zusätzlich still.

Daten-Resilienz ist deshalb fester Teil der Krisenvorsorge — mit drei Bausteinen. Erstens die Sicherung: georedundante, revisionssichere Kopien der Beweis- und Buchhaltungsdaten außerhalb der beschlagnahmefähigen Sphäre des Unternehmens — etwa bei einem externen Treuhänder oder in einer Cloud mit sauberem Auftragsverarbeitungsvertrag (Art. 28 DSGVO), GoBD-konform und mit Zeitstempeln. Zweitens die Wiederherstellung: dokumentierte, getestete Restore-Prozesse, die auch unter Stress funktionieren — eine Sicherung, die niemand zurückspielen kann, ist keine. Drittens die Rechte: Bei der Durchsicht nach § 110 StPO sind Daten noch nicht beschlagnahmt, und der Anspruch auf Datenkopien für den laufenden Geschäftsbetrieb ist aktiv geltend zu machen — die Verhältnismäßigkeit gebietet, dem Unternehmen betriebsnotwendige Daten zu belassen oder zu spiegeln, statt es durch Totalzugriff faktisch stillzulegen.

Entscheidend ist die Reihenfolge: Die Sicherungsarchitektur muss stehen, bevor jemand klingelt — nachträglich ist sie weder aufbaubar noch glaubwürdig. Deshalb gehören Speicherorte, Zuständigkeiten, Wiederanlaufplan und vorbereitete Kopien-Anträge in das 72-Stunden-Playbook und in die Krisenvorsorge-Vereinbarung — benannt, geübt, aktuell gehalten.

FAQ