Ein Einkäufer eines DAX-Konzerns schickt Ihnen einen 40-seitigen Selbstauskunftsbogen. Oben steht: 'LkSG-Compliance-Anforderung unserer Lieferkette'. Ihr Unternehmen hat 150 Mitarbeiter — Sie fallen nicht direkt unter das Gesetz. Trotzdem liegt der Ball bei Ihnen.
Das Lieferkettensorgfaltspflichtengesetz (LkSG) gilt seit Januar 2023 zunächst für Unternehmen ab 3.000 Beschäftigten, seit Januar 2024 für alle Unternehmen ab 1.000 Beschäftigten im Inland gemäß § 1 LkSG. Wer darunterliegt, ist formal nicht verpflichtet — aber über vertragliche Weitergabeklauseln faktisch trotzdem betroffen.
Dazu kommt: Das Gesetz wird gerade neu justiert. Die Berichtspflicht ist seit Oktober 2025 ausgesetzt, Bußgelder werden nur noch bei schweren Verstößen verhängt — die materiellen Kernpflichten wie Risikoanalyse, Prävention und Beschwerdeverfahren aber bleiben vollständig bestehen. Dieser Ratgeber ordnet ein, was für welche Unternehmensgröße konkret zu tun ist.
Wer fällt direkt unter das LkSG?
Direkt verpflichtet sind seit Januar 2024 alle Unternehmen mit mindestens 1.000 Beschäftigten im Inland, die ihre Hauptverwaltung, Hauptniederlassung, ihren Verwaltungssitz oder satzungsmäßigen Sitz in Deutschland haben (§ 1 Abs. 1 LkSG). Die Rechtsform spielt keine Rolle — GmbH, AG, GmbH & Co. KG und Personengesellschaften sind gleichermaßen erfasst.
Bei der Mitarbeiterzählung gelten konkrete Regeln: Maßgeblich ist der Durchschnittswert der letzten drei Geschäftsjahre, nicht allein das aktuelle Jahr. Leiharbeitnehmer zählen mit, wenn ihre Einsatzdauer sechs Monate übersteigt. Bei Konzernstrukturen sind die Mitarbeitenden sämtlicher Konzernunternehmen zusammenzurechnen. Wer die Schwelle überschreitet, muss ab dem folgenden Geschäftsjahr sämtliche Sorgfaltspflichten erfüllen.
Für KMU mit deutlich weniger als 1.000 Mitarbeitenden besteht keine direkte gesetzliche Bindung. Das ändert sich jedoch schlagartig, sobald das Unternehmen als direkter Zulieferer eines verpflichteten Unternehmens fungiert: In diesem Fall verlangen Großkunden regelmäßig Selbstauskunftsbögen, Verhaltenskodex-Unterzeichnungen und Audit-Rechte. Wer diese Anforderungen nicht erfüllt, riskiert den Verlust des Lieferantenstatus.
Ein Praxis-Beispiel: Ein mittelständischer Automobilzulieferer aus dem Raum Stuttgart mit 280 Mitarbeitenden erhielt von seinem Tier-1-Kunden eine Anfrage nach einer vollständigen LkSG-konformen Lieferantenselbstauskunft samt Nachweis über ein Beschwerdeverfahren. Ohne eigenes Compliance-Fundament konnte das Unternehmen die Anfrage nicht fristgerecht beantworten — der Rahmenvertrag stand auf der Kippe. Nach vier Wochen strukturierter Dokumentationsarbeit und Einführung eines einfachen Melde-Kanals war die Anforderung erfüllt.
Welche Pflichten gelten konkret für verpflichtete Unternehmen?
Das LkSG begründet keine Erfolgspflicht, sondern eine Bemühenspflicht: Unternehmen müssen in angemessenem Umfang Vorkehrungen treffen, um menschenrechtliche und umweltbezogene Risiken zu erkennen, zu vermeiden und zu minimieren (§ 3 LkSG). Ein Null-Risiko-Versprechen wird nicht verlangt — entscheidend sind nachweisbare Prozesse.
Die gesetzlich geforderten Kernelemente umfassen erstens die Einrichtung eines Risikomanagements sowie regelmäßige und anlassbezogene Risikoanalysen im eigenen Geschäftsbereich und bei direkten Zulieferern. Zweitens ist eine Grundsatzerklärung zur unternehmerischen Menschenrechtsstrategie zu verabschieden und intern bekannt zu machen. Drittens müssen Präventionsmaßnahmen gegenüber direkten Vertragspartnern in Form von Vertragspflichten, Schulungen oder Audits etabliert werden.
Viertens verlangt § 8 LkSG die Einrichtung eines zugänglichen Beschwerdeverfahrens, über das Personen aus der Lieferkette — Arbeitnehmer bei Lieferanten, betroffene Gemeinden — Hinweise auf Verstöße einreichen können. Fünftens ist die Umsetzung aller Maßnahmen lückenlos zu dokumentieren (§ 10 Abs. 1 LkSG). Diese Dokumentationspflicht bleibt auch nach der Aussetzung der Berichtspflicht bestehen.
Die Pflichten sind nach Einflussmöglichkeiten abgestuft: Im eigenen Geschäftsbereich und bei direkten Zulieferern gelten sie uneingeschränkt. Bei mittelbaren Zulieferern — also Lieferanten der Lieferanten — greifen die Sorgfaltspflichten nur anlassbezogen, wenn ein konkreter Hinweis auf einen möglichen Verstoß vorliegt. Das BAFA als zuständige Aufsichtsbehörde kann Geschäftsräume betreten, Auskünfte verlangen und bei Verstößen Zwangsgelder sowie Bußgelder verhängen.
Unternehmen, die einen Bußgeldbescheid ab einer bestimmten Mindesthöhe erhalten, können zudem für bis zu drei Jahre von der Vergabe öffentlicher Aufträge ausgeschlossen werden (§ 22 LkSG in Verbindung mit § 124 GWB). Für Unternehmen, die im öffentlichen Beschaffungsmarkt aktiv sind, ist das ein erhebliches Reputations- und Umsatzrisiko.
Praxis-Tipp
Das LkSG gilt direkt für Unternehmen ab 1.000 Mitarbeitenden im Inland (§ 1 LkSG) — kleinere KMU sind nicht gesetzlich verpflichtet, aber über Lieferketten-Klauseln ihrer Großkunden faktisch mittelbar betroffen.
Was hat sich 2025 und 2026 geändert?
Das LkSG bleibt in Kraft, wird aber spürbar entschärft: Das Bundeskabinett hat im September 2025 einen Änderungsentwurf beschlossen, der Bundestag hat ihn im Januar 2026 in erster Lesung beraten. Die zentrale Neuerung: Die jährliche Berichtspflicht nach § 10 Abs. 2 bis 4 LkSG soll ersatzlos und rückwirkend ab dem Geschäftsjahr 2023 gestrichen werden.
Das BAFA hat bereits ab Oktober 2025 die Prüfung von Unternehmensberichten eingestellt und den Online-Zugang zur Berichtseinreichung gesperrt. Unternehmen, die bislang keinen Bericht eingereicht haben, müssen dies nicht nachholen. Gleichzeitig werden Bußgelder nur noch bei besonders schweren Verstößen verhängt — konkret dann, wenn Abhilfemaßnahmen trotz bekannter Menschenrechtsverletzungen unterlassen werden oder ein Präventionskonzept vollständig fehlt.
Neun von dreizehn Bußgeldtatbeständen des bisherigen § 24 LkSG sollen gestrichen werden. Die Nichtbenennung eines Menschenrechtsbeauftragten und die fehlende Durchführung regelmäßiger Risikoanalysen sollen künftig nicht mehr bußgeldbewehrt sein. Das BAFA prüft jeden Verstoß unter Anwendung eines sehr restriktiven Aufgriffsermessens — ein Bußgeld ist danach nur noch als letztes Mittel bei eingetretenen gravierenden Menschenrechtsverletzungen vorgesehen.
Für die betroffenen Unternehmen ergibt sich daraus ein differenziertes Bild: Der administrative Aufwand sinkt erheblich, weil keine jährlichen BAFA-Berichte mehr erstellt und eingereicht werden müssen. Die materiellen Pflichten — Risikoanalyse, Prävention, Beschwerdeverfahren, Dokumentation — bleiben jedoch vollständig bestehen und werden weiterhin vom BAFA überwacht. Eine vollständige Entwarnung wäre ein gefährlicher Irrtum.
Wichtig zu wissen
Die jährliche Berichtspflicht nach §§ 10, 12, 13 LkSG ist seit Oktober 2025 ausgesetzt und soll rückwirkend ab 2023 gestrichen werden — Risikoanalyse, Prävention und Beschwerdeverfahren bleiben jedoch Pflicht.
