Hinweisgebersystem-Software
für das HinSchG

Ohne Lizenzkosten sind zum Beispiel die Open-Source-Systeme OpenWhistle (GPL-3.0) und GlobaLeaks (AGPL-3.0). Beide betreiben Sie auf Ihrem eigenen Server. Den Vergleich mit Quellen bietet der Artikel Hinweisgebersystem-Anbieter im Vergleich 2026.

Ja, OpenWhistle ist Open Source unter der GNU General Public License v3.0. Der gesamte Quellcode liegt öffentlich auf GitHub. Sie dürfen ihn prüfen, ändern und kommerziell einsetzen.

Ja, OpenWhistle gibt es nur selbst gehostet: Sie betreiben es mit Docker Compose oder Helm auf Ihrem Server. Einen gehosteten Dienst des Projekts gibt es nicht. Die Installation beschreibt die Dokumentation.

Jedes selbst gehostete System läuft dort, wo Ihr Server steht, also auch in der EU. Das gilt für OpenWhistle und GlobaLeaks. Unter den Diensten nennen etwa das Hinweisgeberportal OpenSource und WhistlePort Rechenzentren in Deutschland, Stand 27. September 2026 (Hinweisgebersystem mit EU-Hosting).

Die Software unterstützt einen DSGVO-konformen Betrieb; ob der Betrieb konform ist, verantworten Sie als Betreiber. OpenWhistle speichert keine IP-Adressen, verschlüsselt Meldungen und löscht abgeschlossene Fälle automatisch. Verarbeitungsverzeichnis, Vertrag mit dem Hoster und gegebenenfalls eine Datenschutz-Folgenabschätzung bleiben Ihre Aufgabe.

Ja. Jede Meldung hat einen eigenen Datenschlüssel, mit dem Text, Nachrichten und Anhänge verschlüsselt gespeichert werden. Der Hauptschlüssel liegt nie in der Datenbank. Zum Browser läuft die Verbindung über TLS.

Die Oberfläche gibt es auf Deutsch, Englisch, Französisch, Spanisch und Portugiesisch (Brasilien). Sie folgt der Sprache des Browsers, bis die Person selbst eine wählt.

Ja. Die Software steht unter der GNU General Public License v3.0. Es gibt keine bezahlte Ausgabe, keine Funktion hinter einer Bezahlschranke und kein Abonnement. Kosten entstehen für Ihren Server und den Betrieb.

Die Lizenz kostet 0 €. Es bleiben ein Server, Zeit für Updates und Backups und die Arbeit der Meldestelle selbst. Das Gesetz verlangt zusätzlich einen mündlichen Kanal per Telefon (§ 16 Abs. 3 HinSchG).

OpenWhistle deckt den Meldekanal in Textform ab: Eingangsbestätigung in 7 Tagen, Rückmeldung in drei Monaten, Kontakt zur hinweisgebenden Person, Vertraulichkeit und Löschung. Den telefonischen Kanal, die Besetzung und die Folgemaßnahmen organisieren Sie selbst.

OpenWhistle speichert keine IP-Adresse, weder in der Datenbank noch in Protokollen. nginx entfernt die IP-Header, die App verwirft die Adresse, das Schema hat keine IP-Spalte. Zeiten des Hinweisgebers werden nur auf den Tag genau gespeichert.

Für Beschäftigungsgeber mit in der Regel mindestens 50 Beschäftigten, bestimmte Finanzunternehmen jeder Größe und öffentliche Stellen. Die GPL-3.0 erlaubt die kommerzielle Nutzung ausdrücklich.

Docker 24 oder neuer mit Compose v2, 1 vCPU, mindestens 512 MB RAM (1 GB empfohlen) und 5 GB Speicher. Dazu eine Domain mit HTTPS-Zertifikat. PostgreSQL 18 und Redis 8 sind im Compose-Stack enthalten.

Nein. Hilfe gibt es über GitHub Issues. Das Projekt entsteht in der Freizeit. Wer Betrieb und Support einkaufen möchte, findet verwaltete Angebote im Vergleichsartikel.

OpenWhistle läuft nur selbst gehostet und kostet keine Lizenz. Der Quellcode ist öffentlich. Einen Vergleich mit GlobaLeaks und kommerziellen Anbietern, mit Quellen und Datum, bietet der Artikel „Hinweisgebersystem-Anbieter im Vergleich 2026“.

Ja. Der erste Faktor kann ein Passwort, LDAP beziehungsweise Active Directory oder ein OIDC-Anbieter sein. Der TOTP-Code bleibt immer Pflicht. Seit 2.1 verknüpft jede Person ihr Konto unter „Mein Konto“ selbst mit dem Anbieter.

Ja. Ab Version 1.0.0 unterstützt OpenWhistle Multi-Tenancy. Verwaltbar ist sie seit 2.0.1, weil erst dort das erste Konto Superadmin wird; seit 2.1 wählt der Superadmin für jedes neue Konto die Organisation. Jede Organisation hat eigene Meldungen, Kategorien, Standorte, Konten und einen eigenen Meldelink.