Der Zusammenbruch eines mittelständischen Technologieunternehmens innerhalb von nur 72 Stunden sorgt derzeit für Aufsehen in der deutschen Wirtschaft – ausgelöst durch eine Personalentscheidung, die jäh nach hinten losging.
Die Nextcore Technologies GmbH, Spezialist für sichere Datenübertragung und langjähriger Auftragnehmer öffentlicher Stellen, steht vor dem wirtschaftlichen Aus. Nicht eine Marktkrise, nicht eine Produktpanne, sondern die Ausgliederung einer einzelnen Mitarbeiterin hat das Unternehmen in den Abgrund gerissen.
Johanna Klein, 14 Jahre lang Compliance-Beauftragte des Unternehmens, wurde vom neuen Chief Operating Officer als “aufgebläht” und “nicht essenziell” eingestuft. Ihre Rolle wurde an einen externen Dienstleister vergeben. Was folgte, war eine der spektakulärsten behördlichen Suspensionen der jüngeren Unternehmensgeschichte.
Die zuständigen Aufsichtsbehörden haben Nextcore inzwischen von mehreren Registern genommen. Sechs staatliche Verträge sind eingefroren, Zahlungen wurden gestoppt, und die Geschäftsführung sucht verzweifelt nach einem Ausweg. Bisher vergeblich.
Recherchen zufolge war Klein nicht irgendeine Angestellte. Sie war die einzige Person im Unternehmen mit einer behördlich registrierten Compliance-Designation. Nur sie war rechtlich befugt, Einreichungen beim Finanzamt, beim Bundesbeschaffungsamt und bei der BaFin zu signieren.
Ohne ihren Namen und ihre kryptografischen Schlüssel kollabierte das gesamte regulatorische Gerüst.
Internen Dokumenten zufolge hatte Klein wiederholt schriftlich darauf hingewiesen, dass ihre Rolle nicht übertragbar sei. Ein Memo aus dem Jahr 2019 mit dem Titel “Nichtübertragbarkeit von Compliance-Kontrollen” wurde vom Gründer persönlich gegengezeichnet. Es wurde nie beachtet.
Der neue COO, der erst vor wenigen Monaten vom Konkurrenzunternehmen gewechselt war, fegte alle Warnungen vom Tisch. In einer Besprechung zur Kostenanpassung erklärte er Klein vor versammelter Führungsriege: “Deine Rolle wird outgesourct, Liebling.” Der Raum lachte halb aus Angst, halb aus Gewohnheit.
Klein reagierte nicht mit Wutausbruch oder Tränen. Sie griff in ihre Handtasche und legte ihren Compliance-Ausweis auf den Tisch. Schwarzes Plastik, laminiert mit einem behördlichen Siegel, versehen mit einem hellorangenen Anhänger: “Bevollmächtigter Vertreter, designierter Unterzeichner”.
Der COO spottete: “Ach, wie süß. Ist das deine Art zu protestieren?” Kleins Antwort war trocken: “Das ist kein Protest, das ist Protokoll.”
Sie übergab der anwesenden Personalvertretung einen USB-Stick mit dem Abschlussbericht, inklusive aller Unterzeichnungsprotokolle, ausstehender Zertifizierungen und sechs Monaten vorgeprüfter Prüfpfade. Dann stand sie auf, strich ihren Blazer glatt und verließ den Raum. Ihre Absätze klackten auf dem Laminat wie ein Countdown.
Was das Management nicht wusste: Dieser Ausweis war kein dekoratives Accessoire. Er war mit jeder rechtlichen Ausnahme, jedem öffentlichen Auftrag und jeder Prüfverteidigung verknüpft, die Klein jemals durch die bürokratischen Strukturen des Unternehmens geschleust hatte. Es war der Schlüssel zum gesamten System.
Am darauffolgenden Samstag deautorisierte Klein ihre Zugangsberechtigungen von jedem Zugangspunkt. Sie entfernte ihre Soft-Tokens, entkoppelte ihren USB-Token und löschte ihre biometrischen Backups. Bis 11 Uhr vormittags war sie digital vollständig vom Unternehmen getrennt.
Dann informierte sie die Behörden. In einer formellen E-Mail an drei Aufsichtsinstanzen heißt es: “Mit sofortiger Wirkung diene ich nicht mehr als designierte Compliance-Verbindungsperson für Nextcore Technologies GmbH.” Kein 𝒹𝓇𝒶𝓂𝒶, kein Kommentar.
Nur eine Tatsache.
Der Zusammenbruch begann am Montagmorgen um 7:12 Uhr. Der Gründer, der normalerweise erst später eintraf, erschien mit blassem Gesicht und einem Laptopkoffer, den er wie einen Schuldschein trug. In der Hand hielt er eine ausgedruckte E-Mail des Finanzamts, die an seine Privatadresse geschickt worden war.
Der Inhalt: Die Q4-Regulierungsposition des Unternehmens sei nicht konform. Ausnahmen für öffentliche Aufträge würden überprüft. Der Lieferantenstatus beim Bundesbeschaffungsamt sei suspendiert.
Gleichzeitig war der Zugang zum behördlichen Lieferantenportal vollständig gesperrt.
Die Führungsetage reagierte zunächst mit Unglauben. Der COO sprach von einem “Systemfehler von Johannas Abgang” und einem “Abschiedswutanfall”. Doch die Rechtsabteilung machte unmissverständlich klar: Kleins Designation war behördlich verifiziert.
Eine Reaktivierung ohne sie war unmöglich.
Um 11:30 Uhr wurde eine Notfallvorstandssitzung einberufen. Die Frage des ersten Vorstandsmitglieds lautete: “Wer ist der amtierende Compliance-Beauftragte?” Die Antwort der Rechtsabteilung war vernichtend: “Niemand.”
Die Erkenntnis traf die Runde wie ein Schlag. Man hatte nicht nur eine Mitarbeiterin entlassen. Man hatte den Schlussstein aus der rechtlichen Architektur des Unternehmens gezogen.
Und erwartet, dass das Gebäude stehen bleibt.
Die erste Kündigung von Verträgen traf nachmittags ein. Ein Behördenlieferant für hochsichere Technologietransfers suspendierte alle aktiven Engagements mit sofortiger Wirkung. Der Grund: Kleins Berechtigungen waren nicht mehr aktiv.
Drei weitere Lieferanten folgten innerhalb von Stunden.
Der Chief Financial Officer versuchte, das Prüfsystem zu öffnen. Der Bildschirm zeigte: “Warnung: Zugang verweigert. Berechtigungsfehlanpassung.
Gültige Unterschrift erforderlich: J. Klein.” Auch das GRC-Tool, die Lieferantenvertragsdatenbank und das Compliance-Portal blieben blockiert.
Ein leiser IT-Ingenieur namens Leo erklärte der geschockten Runde: “Johannas Ausweis trug kryptografische Autorität. Sie war die Root-Admin für unsere Prüfprotokolle, Vertragsprüfketten und Compliance-Pfadverschlüsselung. Im Grunde bewegt sich nichts, ohne dass sie es digital unterschreibt.”
Der Gründer fragte: “Du sagst, sie hat uns ausgesperrt?” Die Antwort: “Nein, sie hat euch nicht ausgesperrt. Sie ist einfach gegangen.
Die Systeme waren so gebaut, dass sie ihre Validierung erfordern – nach Design. Ihr habt es vor Jahren genehmigt.”
Tatsächlich hatte Klein nie verheimlicht, dass sie die einzige autorisierte Person war. Sie hatte es mehrfach in der Compliance-Architekturdokumentation festgehalten. Seite 3.
Das Memo von 2019 war nur eines von mehreren Dokumenten, die im Unternehmensarchiv schlummerten.
Die panischen Anrufe häuften sich. Lieferanten fragten, wer nun genehmigen könne. Das Unternehmen konnte keine Antwort geben.
Um 16:45 Uhr traf der Warnbrief eines Verteidigungsministerium-Auftragnehmers für das Projekt “Delta Echo” ein: “Euer interner Status ist markiert. Wir suspendieren allen Zugang mit sofortiger Wirkung.”
Am Dienstagmorgen sah das Büro des Gründers aus wie ein Schlachtfeld. Leere Kaffeetassen, eine Krawatte über der Lampe, ein ergonomischer Stuhl halb in die Wand gedrückt. Er hatte nicht geschlafen.
Er scannte alte PDFs nach Hinweisen, nach einem letzten Strohhalm.
Er fand, was er suchte. Das Memo aus dem Jahr 2019, das er damals selbst unterschrieben hatte. Der entscheidende Absatz: “Gemäß bestehenden behördlichen Vertragsbedingungen ist die Designation des designierten Compliance-Beauftragten nicht ersetzbar ohne vollständige Neuautorisierung durch die ausstellenden Behörden.”
Der Gründer erinnerte sich. Er hatte das Memo damals als übertriebene Absicherungsbürokratie abgetan. In Wirklichkeit hatte Klein das Unternehmen vor Leuten wie ihm schützen wollen.
Jetzt war dieser Schutz zum Stacheldraht um den eigenen Hals geworden.
Am Mittwoch traf die formelle Mitteilung des Generalinspektors ein. Betreff: “Verletzung des Abkommensprotokolls, Compliance-Suspendierung ausstehend.” Die Nachricht ließ keinen Raum für Interpretationen.
Nextcore wurde von fünf Datenbanken suspendiert, darunter das Sigel-Register, das Bundesbeschaffungsamt-Vertragsportal und die BSI-Systemfreigabe.
Alle bislang gewährten Ausnahmen und aufgeschobenen Einreichungen unter Kleins Designation wurden eingefroren. Der Brief endete mit der unmissverständlichen Warnung: Jeder Versuch, unter bestehenden behördlichen Verträgen zu operieren, könne als Betrug gewertet werden.
Der COO, der die Katastrophe ausgelöst hatte, versuchte sich herauszureden. Er habe von nichts gewusst, habe Kleins Warnungen für Übertreibung gehalten. Doch die Rechtsabteilung hielt dagegen: Klein habe es mehrfach schriftlich festgehalten.
Sie habe nicht geschrien, weil sie wusste, dass er es nicht verstehen würde.
Der CEO kündigte eine interne Town-Hall-Veranstaltung an, um die Belegschaft zu beruhigen. Er sprach von einem “Übergangsstolperer” und einem “geerbten Chaos”. Mitten im Satz wurde er von der Rechtsabteilung vom Stream getrennt.
Die Botschaft war klar: Kein Spin mehr.
Karla, die Leiterin der Rechtsabteilung, legte einen dicken Ordner auf den Tisch. “Johanna hat nichts falsch gemacht”, sagte sie. “Sie hat nicht sabotiert, keinen Vertrag gebrochen.
Sie hat gekündigt, legal ihren Zugang deaktiviert und uns mehrmals gesagt, dass ihre Rolle nicht ersetzbar ist.”
Die Situation eskalierte weiter. Sechs Vorstandsmitglieder baten um Notfallrechtsberatung. Die Personalabteilungsleiterin kündigte.
Zwei weitere Verteidigungsauftragnehmer sprangen ab. Das Unternehmen verlor in weniger als 48 Stunden seine behördliche Existenzgrundlage.
Dann kam der Moment, den niemand vergessen wird. Der Gründer griff zum Telefon und rief Klein an. Sie ging ran.
“Was?” , fragte er. “Hast du den Kern deaktiviert?”
Ihre Antwort war ruhig: “Nein, ich habe nur meinen Namen davon entfernt.”
Keine Drohung, kein Triumphgeschrei. Nur die leise Bestätigung einer Tatsache, die das Management jahrelang ignoriert hatte. Klein war nicht Teil des Systems.
Sie war das System gewesen. Die Compliance-Karte, der rechtliche Schild, die Prüfinstanz, der die Behörden wirklich vertrauten.
Experten sehen in dem Fall ein warnendes Beispiel. “Unternehmen, die Compliance als Kostenfaktor behandeln, riskieren genau diese Szenarien”, sagt ein auf Behördenrecht spezialisierter Anwalt gegenüber dieser Redaktion. “Wer seine rechtliche Grundlage auf eine einzelne Person aufbaut, muss für deren Ablösung einen planbaren Übergang haben.”
Johanna Klein hat das Gebäude nicht niedergebrannt. Sie hat lediglich ihren Namen aus dem Grundbuch entfernt. Der Sturm hat den Rest erledigt.
Nextcore Technologies GmbH steht heute vor einem Scherbenhaufen, der sich in einer einzigen Besprechung hätte vermeiden lassen. In einer Besprechung, in der jemand die Fußnoten gelesen hätte.
