Website besuchen →
← Zurück zum Blog

Lieferkettensorgfaltspflichten in Deutschland: Der Praxisleitfaden

13. August 2026
Lieferkettensorgfaltspflichten in Deutschland: Der Praxisleitfaden

Unternehmen in Deutschland müssen ein risikobasiertes Sorgfaltspflichtsystem nach dem Lieferkettensorgfaltspflichtengesetz (LkSG) einrichten, dokumentieren und jährlich berichten. Das gilt seit 2023 für Unternehmen ab 3.000 Beschäftigten, seit 2024 für solche ab 1.000. Wer noch nicht gestartet ist, riskiert Bußgelder und den Ausschluss aus öffentlichen Vergabeverfahren.

Die ersten Schritte sind klar:

  • Policy verabschieden: Eine schriftliche Grundsatzerklärung zu Menschenrechten und Umwelt, vom Vorstand unterzeichnet.
  • Lieferkette kartieren: Direkte Lieferanten (Tier 1) vollständig erfassen, Tier-2-Ebene risikobasiert einbeziehen.
  • Risikoanalyse durchführen: Tatsächliche und potenzielle Risiken nach Branche, Herkunftsland und Rohstoffkategorie priorisieren.
  • Maßnahmen umsetzen: Präventions- und Abhilfemaßnahmen, Schulungen, Vertragsklauseln.
  • Berichten und dokumentieren: Jährlicher Bericht, revisionssichere Nachweise, Beschwerdeverfahren.

Primär betroffen sind Unternehmen mit Sitz oder Niederlassung in Deutschland, die die Schwellenwerte überschreiten. Kleinere Unternehmen trifft die Pflicht indirekt, sobald sie Lieferant eines verpflichteten Unternehmens sind.

Wichtige Erkenntnisse

Unternehmen in Deutschland müssen ein risikobasiertes, dokumentiertes Sorgfaltspflicht-System nach LkSG und OECD-Rahmen einrichten, das Policy, Mapping, Risikoanalyse, Maßnahmen und jährliches Reporting umfasst.

ThemaDetails
Gesetzliche GrundlageLkSG gilt ab 1.000 Beschäftigten; EU-CSDD und Konfliktmineralien-Verordnung 2017/821 kommen hinzu.
KernprozessPolicy, Mapping, Risikoanalyse, Maßnahmen, Monitoring, Beschwerdeverfahren und Jahresbericht sind Pflicht.
PriorisierungBeginnen Sie mit den Top-20-Lieferanten nach Spend und Risikoprofil, bevor Sie die gesamte Basis bearbeiten.
SanktionenBußgelder bis 2 % des weltweiten Jahresumsatzes und Ausschluss aus Vergabeverfahren bis zu drei Jahre möglich.
ZrgmineralPrädiktive Alerts, Coverage Map und Compliance Black Box unterstützen Mapping, Monitoring und revisionssichere Dokumentation.

Inhaltsverzeichnis

Welche Gesetze und Rahmenwerke gelten für die Sorgfaltspflicht in der Lieferkette?

Das Lieferkettensorgfaltspflichtengesetz (LkSG)

Das LkSG verpflichtet betroffene Unternehmen, Risiken für Menschenrechte und bestimmte Umweltstandards in ihrer gesamten Lieferkette zu identifizieren und zu adressieren. Die Kernpflichten umfassen: eine Grundsatzerklärung, eine jährliche Risikoanalyse, Präventions- und Abhilfemaßnahmen, ein Beschwerdeverfahren sowie einen öffentlichen Bericht. Zuständige Aufsichtsbehörde ist das Bundesamt für Wirtschaft und Ausfuhrkontrolle (BAFA), das Berichte entgegennimmt, Kontrollen durchführt und Bußgelder verhängen kann. Das Bundesministerium für Arbeit und Soziales (BMAS) hat ergänzende Handreichungen und Umsetzungshilfen veröffentlicht, die den Einstieg erleichtern.

EU-Rahmenwerke: CSDD, EUDR und Konfliktminerale

Die EU Corporate Sustainability Due Diligence Directive (CSDD) geht über das LkSG hinaus: Sie verlangt zivilrechtliche Haftung und erfasst auch indirekte Geschäftsbeziehungen. Die CSDD ist in nationales Recht umzusetzen und wird das LkSG mittelfristig überlagern. Parallel dazu gilt die EU-Entwaldungsverordnung (EUDR) für bestimmte Rohstoffe wie Soja, Palmöl oder Holz. Für Unternehmen, die Zinn, Tantal, Wolfram oder Gold verarbeiten, ist die EU-Verordnung 2017/821 verbindlich: Sie schreibt Sorgfaltspflichten für Konfliktmineralien vor und verweist auf OECD-konforme Prozesse.

OECD Due Diligence Guidance als internationaler Standard

Die OECD Due Diligence Guidance for Responsible Business Conduct definiert Due Diligence als fortlaufenden, proaktiven Prozess: Unternehmen identifizieren, verhindern, mindern und legen Rechenschaft ab über negative Auswirkungen auf Menschen und Umwelt. Dieser Rahmen ist die methodische Grundlage für LkSG, CSDD und die meisten Branchenstandards. Die normative Basis liegt in der Allgemeinen Erklärung der Menschenrechte der Vereinten Nationen, auf die sich alle wesentlichen Sorgfaltspflicht-Regelwerke beziehen.

RegelwerkKernpflichtZuständige Stelle
LkSG (Deutschland)Risikoanalyse, Maßnahmen, BerichtBAFA, BMAS
EU CSDDErweiterter Anwendungsbereich, HaftungEU-Kommission, nationale Behörden
EU-Verordnung 2017/821Sorgfalt bei KonfliktmineralienEU-Kommission
EUDREntwaldungsfreie LieferkettenEU-Kommission
OECD DDGMethodischer ReferenzrahmenOECD (nicht bindend, aber maßgeblich)

Wie sieht der Due-Diligence-Prozess in der Praxis aus?

Die OECD-Guidance empfiehlt, Due Diligence als iterativen, risikobasierten Prozess zu verstehen, der in bestehende Managementsysteme integriert wird. Kein einmaliges Projekt, sondern ein Regelkreis.

1. Grundsatzerklärung (Policy) Formulieren Sie eine schriftliche Erklärung zu Menschenrechten, Umweltstandards und Verhaltenserwartungen an Lieferanten. Vorstand oder Geschäftsführung müssen unterzeichnen. Die BMAS-Handreichungen bieten Musterformulierungen.

2. Lieferketten-Mapping Erfassen Sie alle direkten Lieferanten vollständig. Für Tier-2 und weiter upstream genügt ein risikobasierter Ansatz: Wo sind die größten Einkaufsvolumina, welche Rohstoffe kommen aus Hochrisikoländern? Die OECD Easy-to-Use-Guidance beschreibt, welche Stufen eines Rohstoff-Wertstroms besonders risikobehaftet sind, etwa Extraktion, Transport und erste Veredelung.

3. Risikoanalyse Bewerten Sie Lieferanten nach Branche, Herkunftsland, Rohstoffkategorie und Subunternehmer-Strukturen. Nützliche Quellen für Risikoindikatoren: Corruption Perceptions Index (Transparency International), ILO-Länderberichte, BAFA-Risikohinweise. Priorisieren Sie nach Schwere und Wahrscheinlichkeit des Schadens, nicht nur nach Einkaufsvolumen.

4. Präventions- und Abhilfemaßnahmen Vertragliche Klauseln (Verhaltenskodex, Auditrechte), Lieferantenschulungen, Capacity-Building-Programme. Bei identifizierten Verstößen: Korrekturpläne mit klaren Fristen und Eskalationspfaden.

5. Monitoring und Überprüfung Regelmäßige Selbstauskünfte, Fragebögen, Third-party-Audits. Wichtig: Audits ersetzen kein Managementsystem, sie verifizieren es. Das bestätigt auch die EU-Plattform „Due Diligence Ready!“.

6. Beschwerdeverfahren (Remediation) Ein zugänglicher Beschwerdemechanismus für Betroffene innerhalb und außerhalb des Unternehmens ist gesetzlich vorgeschrieben. Dokumentieren Sie jeden Eingang, jede Prüfung und jede Reaktion.

7. Berichterstattung Jährlicher öffentlicher Bericht über durchgeführte Maßnahmen, identifizierte Risiken und Ergebnisse. Einreichung beim BAFA.

Priorisierungslogik: Viele Unternehmen nutzen einen 80/20-Ansatz: Die 20 % der Lieferanten mit dem höchsten Spend oder dem höchsten Risikoprofil decken oft 80 % der relevanten Risiken ab. Beginnen Sie dort, bevor Sie die gesamte Lieferantenbasis bearbeiten.

Profi-Tipp: Für Unternehmen, die Zinn, Tantal, Wolfram oder Gold beziehen, ist das Conflict Minerals Reporting Template (CMRT) der Responsible Minerals Initiative der etablierte Standard, um Schmelzer- und Raffineriedaten entlang der Lieferkette nachzuverfolgen. Downstream-Unternehmen fordern es routinemäßig von ihren Lieferanten an.

Typische Warnsignale (Red Flags) im Mapping:

  • Lieferanten in Ländern mit bekannten Arbeitsrechtsverletzungen oder bewaffneten Konflikten
  • Fehlende Transparenz über Subunternehmer oder Herkunftsregionen
  • Sehr kurze Lieferketten-Dokumentation bei komplexen Rohstoffen
  • Häufige Lieferantenwechsel ohne nachvollziehbaren Grund

Wie organisieren Sie Governance, Rollen und Nachweise intern?

Wer trägt die Verantwortung?

Das LkSG verlangt, dass ein Menschenrechtsbeauftragter benannt wird, der direkt an die Geschäftsführung berichtet. In der Praxis liegt die operative Verantwortung meist bei Compliance, Einkauf oder Nachhaltigkeit, je nach Unternehmensstruktur. Entscheidend ist, dass Eskalationswege klar definiert sind: Wer entscheidet bei einem identifizierten Risiko über Maßnahmen? Wer genehmigt Lieferantensperrungen?

Welche Dokumente müssen Sie vorhalten?

  • Grundsatzerklärung (unterzeichnet, datiert, öffentlich zugänglich)
  • Jährliche Risikoanalyse mit Methodik und Ergebnissen
  • Maßnahmenplan mit Verantwortlichkeiten und Fristen
  • Audit-Protokolle und Third-party-Audit-Berichte
  • Beschwerdeverfahren-Dokumentation (Eingang, Prüfung, Reaktion)
  • Schulungsnachweise für relevante Mitarbeiter
  • Vertragsklauseln und Lieferanten-Selbstauskünfte

Revisionssicherheit ist kein Nice-to-have. BAFA-Prüfer und externe Auditoren erwarten, dass Sie jeden Schritt des Prozesses mit Datum, Verantwortlichem und Ergebnis nachweisen können. Ein Audit-Log, das zeigt, wann welche Risikoanalyse durchgeführt und welche Maßnahme eingeleitet wurde, ist das stärkste Argument gegenüber Behörden.

Profi-Tipp: Legen Sie von Anfang an ein zentrales Dokumentenregister an, das alle Due-Diligence-Nachweise mit Versionierung und Zeitstempel speichert. Wer das erst nachträglich aufbaut, verliert bei Prüfungen wertvolle Zeit.

Typische Maßnahmen, die sich bewährt haben: Verhaltenskodex als Vertragsbestandteil, jährliche Lieferanten-Selbstauskunft per standardisiertem Fragebogen, risikobasierte Vor-Ort-Audits bei Hochrisiko-Lieferanten, Schulungen für Einkäufer zu Erkennungsmerkmalen von Verstößen.

Was droht bei Verstößen gegen Berichts- und Sorgfaltspflichten?

Berichtspflichten im Überblick

Verpflichtete Unternehmen müssen jährlich einen Bericht über ihre Sorgfaltspflicht-Maßnahmen veröffentlichen und beim BAFA einreichen. Der Bericht muss konkrete Angaben zu identifizierten Risiken, ergriffenen Maßnahmen und deren Wirksamkeit enthalten. Die EU-CSDD wird zusätzliche Berichtsanforderungen mit sich bringen, sobald sie vollständig in deutsches Recht umgesetzt ist.

Kontrollen und Durchsetzung

Das BAFA kann anlassbezogen und systematisch prüfen: Dokumentenanforderungen, Vor-Ort-Kontrollen, Befragungen. Third-party-Audits liefern unabhängige Nachweise, ersetzen aber keine eigene Sorgfaltspflicht. Zivilrechtlich ist die Haftungsfrage im LkSG noch begrenzt, die CSDD wird das ändern.

Mögliche Konsequenzen bei Verstößen:

  • Bußgelder: Bis zu 2 % des weltweiten Jahresumsatzes bei schwerwiegenden Verstößen (LkSG)
  • Ausschluss aus öffentlichen Vergabeverfahren: Für bis zu drei Jahre
  • Reputationsschäden: Medienberichterstattung, NGO-Kampagnen, Kundenverlust
  • Zivilrechtliche Haftung: Unter der CSDD künftig ausdrücklich vorgesehen

Fristen: Der erste Bericht war für das Geschäftsjahr 2023 fällig (Einreichung 2024). Berichte sind jährlich zu aktualisieren. Risikoanalysen müssen mindestens einmal jährlich, bei wesentlichen Änderungen auch unterjährig, durchgeführt werden.

Schnell-Checkliste: Zeitachsen und Kostenfaktoren realistisch einschätzen

30/90/180-Tage-Starterplan

Bis 30 Tage:

  • Grundsatzerklärung verabschieden
  • Menschenrechtsbeauftragten benennen
  • Lieferantenliste (Tier 1) vollständig erfassen
  • Beschwerdeverfahren einrichten (auch einfach: E-Mail-Adresse + Prozess)

Bis 90 Tage:

  • Erste Risikoanalyse für Top-20-Lieferanten abschließen
  • Risikobasierte Priorisierung dokumentieren
  • Verhaltenskodex in neue Lieferantenverträge integrieren
  • Schulung für Einkaufsteam durchführen

Bis 180 Tage:

  • Monitoring-Prozess etablieren (Fragebögen, Audit-Planung)
  • Ersten Bericht vorbereiten
  • IT-gestützte Dokumentation einführen (bei größeren Lieferketten)
  • Pilotaudit bei einem Hochrisiko-Lieferanten durchführen

Kostenfaktoren

Die tatsächlichen Kosten hängen stark von Lieferkettenkomplexität, Anzahl der Lieferanten, Audit-Frequenz und IT-Integration ab. Grobe Orientierung:

Profi-Tipp: Wer mit Excel und CMRT-Template startet, kann die ersten Pflichten mit überschaubarem Aufwand erfüllen. IT-gestützte Lösungen lohnen sich ab etwa 50 aktiven Lieferanten oder wenn Tier-2-Transparenz gefordert wird.

Welche Vorlagen und Instrumente helfen Ihnen beim Start?

Welche Vorlagen und Instrumente helfen Ihnen beim Start? — overview diagram

Für den Einstieg gibt es eine Reihe bewährter Ressourcen, die Sie direkt nutzen können.

Standardisierte Templates:

  • Das CMRT der Responsible Minerals Initiative ist der Industriestandard für Konfliktmineralien: Es ermöglicht Downstream-Unternehmen, Schmelzer- und Raffineriedaten strukturiert abzufragen und Traceability nachzuweisen.
  • Die OECD bietet ergänzend sektorspezifische Anhänge zur Due-Diligence-Guidance an (Mineralien, Landwirtschaft, Bekleidung).
  • Das BMAS hat Handreichungen und Muster-Policies veröffentlicht, die direkt als Vorlage dienen.

IT-Tools und Plattformen: Bei der Toolauswahl sollten Sie auf folgende Kriterien achten: Lieferanten-Onboarding-Prozess, Dokumentenmanagement mit Versionierung, Risikomonitoring in Echtzeit, Audit-Log-Funktion und Exportmöglichkeiten für Berichte. Für kritische Mineralien und komplexe Lieferketten sind spezialisierte Plattformen sinnvoll, die Tier-2-Sichtbarkeit und prädiktive Risikohinweise bieten.

Wann reicht Excel? Für Unternehmen mit weniger als 30–50 Lieferanten und überschaubarer Rohstoffbasis ist ein strukturiertes Excel-Register mit CMRT-Anhang oft ausreichend für die ersten Compliance-Zyklen. Sobald Lieferketten mehrstufig werden, Sanktions-Screening nötig ist oder Auditoren revisionssichere Logs verlangen, stoßen Tabellenkalkulationen an ihre Grenzen.

Nützliche externe Ressourcen:

Wie unterstützen prädiktive Frühwarnungen die Sorgfaltspflicht konkret?

Compliance-Teams stehen vor einem strukturellen Problem: Risikoanalysen sind oft Momentaufnahmen. Bis ein Lieferant ausfällt oder ein Verstoß bekannt wird, ist die Reaktionszeit knapp. Prädiktive Monitoring-Systeme lösen genau das, indem sie Signale aus Marktdaten, Lieferketten-Netzwerken und Rohstoffmärkten frühzeitig aggregieren.

Konkrete Nutzenpunkte:

  • Frühzeitige Substitutionsentscheidungen: Wer 6–8 Wochen vor einem Engpass gewarnt wird, kann Alternativen prüfen, bevor Produktionslinien betroffen sind.
  • Priorisierung von Audits: Alerts auf bestimmte Lieferanten oder Herkunftsregionen helfen, Audit-Ressourcen dort einzusetzen, wo das Risiko gerade steigt, nicht nach starrem Jahresplan.
  • Exposure-Berechnung in Euro: Wenn ein Risiko in konkreten Eurowerten ausgedrückt wird, lassen sich Investitionen in Präventionsmaßnahmen gegenüber der Geschäftsführung begründen.
  • Revisionssichere Dokumentation: Automatisch protokollierte Alerts und Reaktionen bilden ein Audit-Log, das Behörden und Prüfern zeigt, dass das Unternehmen aktiv überwacht hat.

Ein Beispiel aus der Praxis: Ein Industrieunternehmen bezieht Lithiumverbindungen aus zwei Quellen. Ein prädiktives System meldet sieben Wochen vor Quartalsende einen signifikanten Preisanstieg bei einem der Lieferanten, ausgelöst durch Exportbeschränkungen im Herkunftsland. Das Beschaffungsteam leitet sofort Gespräche mit dem zweiten Lieferanten ein und sichert Kontingente. Der Engpass tritt ein, trifft das Unternehmen aber nicht.

Die Methodik hinter solchen Frühwarnsystemen kombiniert Echtzeit-Marktdaten mit Netzwerkvisualisierung bis Tier-2 und Upstream, Sanktions-Screening und Frachtweg-Analyse.

Profi-Tipp: Verknüpfen Sie prädiktive Alerts direkt mit Ihrer Risikoanalyse-Dokumentation. Jeder Alert, der zu einer Maßnahme führt, ist ein Nachweis für aktives Monitoring, genau das, was BAFA-Prüfer sehen wollen.

Für nachhaltige Lieferketten gilt dasselbe Prinzip: Wer Risiken früh sieht, kann präventiv handeln statt reaktiv berichten.

Was sind die drei wichtigsten Prioritäten bei knappen Ressourcen?

Viele Compliance-Verantwortliche fragen sich, wo sie anfangen sollen, wenn Budget und Personal begrenzt sind. Die Antwort ist weniger komplex als die Gesetzestexte vermuten lassen.

Erstens: Eine klare, unterzeichnete Policy ist die Voraussetzung für alles andere. Ohne sie gibt es keine Grundlage für Lieferantengespräche, keine Vertragsklauseln, keinen Bericht. Sie kostet wenig und signalisiert intern wie extern, dass das Thema ernst genommen wird.

Zweitens: Sichtbarkeit schlägt Vollständigkeit. Lieber 20 Lieferanten wirklich verstehen als 200 oberflächlich erfassen. Ein risikobasiertes Mapping der Top-Lieferanten nach Spend und Herkunftsland liefert mehr Substanz als eine vollständige, aber inhaltsleere Lieferantenliste.

Drittens: Nachweisführung von Anfang an. Wer Prozesse dokumentiert, bevor er sie perfektioniert, hat bei einer Prüfung etwas vorzuzeigen. Wer wartet, bis alles „fertig“ ist, hat oft gar nichts. Für KMU gilt: Ein schlanker, risikobasierter Ansatz mit klarer Dokumentation ist glaubwürdiger als ein aufwendiges System, das nicht gelebt wird. Die Integration in bestehende Beschaffungs- und Risikomanagementprozesse spart Doppelarbeit und erhöht die Akzeptanz im Unternehmen.

Zrgmineral unterstützt Ihr Compliance-Team bei der operativen Umsetzung

Compliance-Teams, die LkSG-Pflichten erfüllen müssen, brauchen mehr als eine Checkliste. Sie brauchen Sichtbarkeit in die Lieferkette, bevor Probleme eskalieren.

Zrgmineral

Zrgmineral bietet Beschaffungsteams industrieller Unternehmen genau das: prädiktive Frühwarnungen mit 6–8 Wochen Vorlauf vor Preissteigerungen und Engpässen bei kritischen Rohstoffen, eine Lieferanten-Coverage-Map mit Tier-2- und Upstream-Visualisierung, Sanktions-Screening und Frachtweg-Analyse. Die Compliance Black Box protokolliert jeden Schritt revisionssicher als Audit-Log, das BAFA-Prüfern und internen Auditoren standhält. Die Exposure-Berechnung in Euro macht Risiken für die Geschäftsführung greifbar. Für Konfliktmineralien unterstützt die Plattform den CMRT-Prozess direkt.

Starten Sie mit einer kostenlosen Erst-Analyse Ihrer kritischen Materialien: Zum Material-Risikocheck. Oder verschaffen Sie sich einen Überblick über alle Plattformfunktionen auf der Produktseite.

Dieser Artikel enthält allgemeine Informationen und ersetzt nicht die Beratung durch einen qualifizierten Anwalt. Wenden Sie sich an eine qualifizierte Rechtsfachperson zu Ihrer persönlichen Lage, bevor Sie auf Grundlage dieses Inhalts handeln.

Quellen

Empfehlung