Tony Gallo, geschäftsführender Partner der Sapphire Risk Advisory Group – Interviewreihe

Trotz strenger Vorschriften – insbesondere zur Sicherheit von Geschäften und Anlagen – ist die Verlustprävention in den Cannabis-Märkten der einzelnen Bundesstaaten nach wie vor ein weitverbreitetes Problem. Schwachstellen können viele Formen annehmen: zu lax gehandhabte Zutrittskontrollen und Ausweis-Scans, Diebstahl durch Mitarbeiter oder schlicht offengelassene Außentüren, durch die Schädlinge und Krankheitserreger eindringen können. Ohne ein spezielles Sicherheitssystem und qualifizierte Fachkräfte können Risiken für die Verlustprävention nahezu überall entstehen und sich schneller vervielfachen als im Nutzhanfsektor.

Um mehr über bewährte Strategien zur Verlustprävention zu erfahren – und darüber, wie sich die Sicherheitsvorschriften ändern könnten, wenn eine Anlage als Schedule III registriert wird –, sprach mycannabis.com mit Tony Gallo, geschäftsführendem Partner der Sapphire Risk Advisory Group.

Wie erinnern Sie sich an die Darstellung des Cannabiskonsums und der Cannabiskonsumenten selbst im Studium, als Sie an der Kean University Ihren Bachelorabschluss in Strafrechtspflege machten? Wie wurden frühere Cannabisgesetze und -richtlinien behandelt?

Ich habe 1983 mein Studium abgeschlossen. Deshalb würde ich die damalige Perspektive der Strafrechtspflege von dem unterscheiden, was wir heute über Cannabis wissen. Damals drehte sich die vorherrschende Diskussion um Illegalität, Strafverfolgung und die Folgen des Besitzes oder Vertriebs. Für die Unterscheidungen, die wir heute zwischen medizinischen Patienten, erwachsenen Konsumenten und lizenzierten Geschäftsinhabern treffen, blieb in dieser Diskussion deutlich weniger Raum.

Ohne die entsprechenden Unterlagen einzusehen, möchte ich einem Professor oder einem Lehrbuch keine bestimmte Position zuschreiben. Die größere Veränderung in meiner beruflichen Laufbahn bestand jedoch darin, Cannabis nicht mehr vorwiegend aus der Perspektive der Strafverfolgung zu betrachten, sondern legitimen Unternehmen dabei zu helfen, ihre Mitarbeiter, Kunden und Produkte zu schützen. Cannabiskonsumenten kommen aus allen Gesellschaftsschichten, und wirksame Sicherheitsmaßnahmen beginnen damit, Menschen professionell und respektvoll zu behandeln.

Wie sind Sie erstmals in den Bereich der Verlustprävention eingestiegen? Wie haben Sie Ihren Abschluss in Strafrechtspflege in diesen Tätigkeiten genutzt?

Ich begann als Ladendetektiv in einem Einkaufszentrum. Es war der beste Job, den ich je hatte … Anfang 20 zu sein, von Hunderten Frauen umgeben zu sein und dafür bezahlt zu werden, den Kaufhauscop zu spielen. Durch diese Arbeit bekam ich einen direkten Einblick in Diebstähle, Ermittlungen, das Verhalten von Mitarbeitern und den Alltag beim Betrieb eines Geschäfts.

Meine Ausbildung in Strafrechtspflege vermittelte mir die Grundlagen, um Verhalten zu beobachten, Beweise zu bewerten, Vorfälle zu dokumentieren und die Bedeutung einheitlicher Verfahren zu verstehen. Genauso wichtig war die Erkenntnis, dass ein Verdacht und eine Tatsache zwei verschiedene Dinge sind.

Mit zunehmender Verantwortung richtete sich mein Blick nicht mehr nur darauf, jemanden beim Stehlen zu erwischen. Es ging vielmehr darum, zu verstehen, warum ein Verlust entstanden war und was das Unternehmen ändern konnte, um ihn zu verhindern. So gehe ich auch heute noch an Verlustprävention und Sicherheit heran.

Wie wurden Sicherheitstechnologie und Datenbanksysteme während Ihrer ersten Tätigkeiten und später in Ihrer langjährigen Position bei EZCorp zunehmend zu einem Teil Ihrer Aufgaben und Verantwortlichkeiten? Wie halfen diese Systeme dabei, die Probleme Ihres damaligen Unternehmens mit Verlusten zu verringern?

Im Laufe meiner beruflichen Laufbahn wurde die Verlustprävention zunehmend von Informationen geprägt. Kameras, Alarmanlagen, Zutrittskontrollen, Transaktionsdaten und Berichtssysteme verschafften uns einen umfassenderen Überblick über die Vorgänge im Unternehmen.

In einem Unternehmen mit mehreren Standorten kann man nicht jede Transaktion persönlich überwachen und nicht jede Minute Videomaterial sichten. Man braucht Systeme, die dabei helfen, Auffälligkeiten zu erkennen: ungewöhnliche Rückerstattungen, Unstimmigkeiten im Warenbestand, Kassenfehlbeträge oder Muster, die genauer untersucht werden sollten.

Der eigentliche Nutzen entsteht, wenn man die Informationen miteinander verknüpft. Ein Transaktionsbericht kann auf etwas Ungewöhnliches hinweisen, Videoaufnahmen können den Kontext liefern, und eine Untersuchung kann ergeben, ob Diebstahl, ein Schulungsproblem oder ein unzureichendes Verfahren die Ursache war.

Technologie hilft dabei, die Aufmerksamkeit gezielt zu lenken. Erfahrene Mitarbeiter müssen jedoch weiterhin interpretieren, was die Informationen bedeuten, und Maßnahmen ergreifen. Ein guter Befrager bei Diebstahlsfällen war nach wie vor das wichtigste Instrument in der Abteilung.

Nachdem Sie fast zwei Jahrzehnte bei EZCorp und zuvor bei anderen bekannten Unternehmen tätig waren: Was hat Sie daran gereizt, Ihre Expertise in der Verlustprävention auf Cannabisunternehmen anzuwenden? Lag es einfach daran, dass die Bundesstaaten begannen, Cannabis für den Freizeitkonsum zu legalisieren, oder spielten auch andere Faktoren eine Rolle?

Ich kam 2013 in die Cannabisbranche, nachdem ich einen Anruf erhalten hatte, um bei einer neuen Veranstaltung für Start-ups namens MJBiz zu sprechen. Da ich mich während des größten Teils meiner beruflichen Laufbahn auf die Sicherheit im Einzelhandel mit hohem Risiko konzentriert hatte, war die Cannabisbranche ein naheliegender nächster Schritt. 

Die Cannabisbranche steht vor Herausforderungen, die aus dem Einzelhandel, dem Pfandleihgeschäft, dem Schmuckhandel und anderen Hochrisikobereichen bekannt sind: wertvolle Warenbestände, Bargeldrisiken, die Sicherheit der Mitarbeiter, interner Diebstahl und der Bedarf an zuverlässigen Betriebsabläufen. Hinzu kam eine weitere Herausforderung: Diese Schutzmaßnahmen mussten im Rahmen eines sich entwickelnden Regulierungssystems aufgebaut werden.

Mit meinem Hintergrund konnte ich auf praktische Weise einen Beitrag leisten. Diese Unternehmen brauchten Sicherheitsmaßnahmen, die den Anforderungen der Aufsichtsbehörden entsprachen und zugleich ihren täglichen Betrieb unterstützten.

Seit mehr als 13 Jahren unterstützt die Sapphire Risk Advisory Group über 800 Cannabisunternehmen in 38 Bundesstaaten. Ziel war es stets, ihnen dabei zu helfen, sichere und gesetzeskonforme Unternehmen aufzubauen, die erfolgreich sein können.

Da Sie zuvor im Bereich Verlustprävention bei großen Einzelhändlern wie Sears tätig waren: Was sind die größten Unterschiede zwischen den Aufgaben und Zuständigkeiten im Bereich Verlustprävention im traditionellen Einzelhandel und in Cannabisunternehmen?

Die Grundlagen sind sehr ähnlich. Man muss Menschen schützen, Bestände kontrollieren, Geld verbuchen und Unstimmigkeiten untersuchen.

Der größte Unterschied besteht darin, was bei einem Versagen auf dem Spiel steht. Im traditionellen Einzelhandel ist ein Fehlbestand in der Regel ein finanzielles und betriebliches Problem. Zum Beispiel der Verlust einer Uhr oder von Kleidung. Im Cannabissektor kann derselbe Fehlbestand dazu führen, dass die Öffentlichkeit mit einer Droge in Kontakt kommt – ähnlich wie ein Verlust in einer Apotheke öffentlich bekannt werden kann oder Alkohol in einem Spirituosengeschäft

Im Cannabissektor muss man sich außerdem mit Tätigkeiten befassen, mit denen ein herkömmlicher Einzelhändler möglicherweise nie zu tun hat: Anbau, Ernte, Verarbeitung, Vernichtung von Abfällen und Transfers zwischen lizenzierten Betriebsstätten.

Ein weiterer Unterschied ist, wie früh Sicherheitsfragen berücksichtigt werden müssen. Grundriss, Warenannahme, Produktbewegungen, Mitarbeiterzugänge und sichere Lagerung sollten vor Baubeginn bedacht werden. Deshalb sage ich: „Erst planen. Dann installieren.“

Wie wirksam sind Ihrer Erfahrung nach die Sicherheits- und Verlustpräventionsvorschriften der einzelnen Bundesstaaten für den Cannabissektor? Gibt es Bundesstaaten mit weniger strengen Sicherheitsstandards als andere?

Meiner Ansicht nach schaffen Vorschriften eine wichtige Grundlage. Eine bestandene Inspektion beweist jedoch nicht, dass ein Unternehmen über ein wirksames Programm zur Verlustprävention verfügt.

Die Anforderungen unterscheiden sich je nach Zuständigkeitsbereich und Lizenzart. Manche Vorschriften legen Ausrüstung und Verfahren detailliert fest, andere lassen mehr Ermessensspielraum. Lokale Vorgaben können eine weitere Ebene hinzufügen. Ich wäre vorsichtig damit, einen ganzen Bundesstaat als „weniger streng“ zu bezeichnen, ohne anzugeben, um welche Anforderung und welche Betriebsart es geht.

Das größere Problem ist, dass Ausrüstungsvorschriften allein keine Verantwortlichkeit schaffen können. Ein Unternehmen kann Kameras haben und Vorfälle dennoch nicht überprüfen. Es kann eine Zutrittskontrolle haben und trotzdem zulassen, dass Mitarbeiter ihre Zugangsdaten teilen.

Vorschriften legen Pflichten fest. Die Geschäftsleitung muss daraus tägliche Arbeitsabläufe machen.

Welche Sicherheits- und Verlustpräventionsprobleme treten bei den Cannabisunternehmen, mit denen Sie über die Sapphire Risk Advisory Group zusammengearbeitet haben, am häufigsten auf? Wo nehmen diese Probleme üblicherweise ihren Anfang, und wie schnell können sie sich in einer so stark regulierten Branche wie dem Cannabissektor verschärfen?

Am häufigsten befasse ich mich mit Bestandsabweichungen, unzureichenden Bargeldkontrollen, übermäßig weitreichenden Mitarbeiterzugriffsrechten, uneinheitlichen Verfahren und installierten, aber schlecht verwalteten Sicherheitssystemen.

Solche Probleme beginnen oft mit einer kleinen Abkürzung im Betriebsalltag. Jemand teilt seine Anmeldedaten. Eine Abweichung bei der Warenannahme wird ohne Untersuchung akzeptiert. Jemand nimmt eine Bestandskorrektur ohne Belege vor. Der Zugang eines ausgeschiedenen Mitarbeiters bleibt aktiv.

Werden solche Abkürzungen zur Normalität, verliert das Unternehmen die Fähigkeit zu erklären, was geschehen ist, wer beteiligt war und wohin die Produkte oder das Geld gelangt sind.

Im Cannabissektor kann sich das schnell verschärfen. Aus einem unerklärlichen Fehlbestand können eine Abweichung in der Nachverfolgung, eine Untersuchung und möglicherweise ein Compliance-Problem werden. Auf das erste Warnzeichen zu reagieren ist gewöhnlich viel einfacher, als Wochen später die Vorgänge zu rekonstruieren.

Welche allgemein wirksamen Maßnahmen können Cannabisunternehmen aller Art über die gesetzlichen Anforderungen hinaus ergreifen, um Probleme bei der Verlustprävention zu minimieren?

Beginnen Sie mit klarer Verantwortlichkeit. Jeder Mitarbeiter sollte wissen, wofür er zuständig ist, auf welche Bereiche er zugreifen darf und wann er ein Problem melden muss.

Ich empfehle praktische Kontrollen: individuelle Zugangsdaten, dokumentierte Verfahren für die Warenannahme, regelmäßige Bestandsabgleiche, unabhängige Prüfungen der Bargeldvorgänge sowie Genehmigungspflichten für Bestandskorrekturen, Rückerstattungen und die Vernichtung von Produkten.

Die Schulungen sollten die tatsächlichen Aufgaben der Mitarbeiter berücksichtigen. Sie sollten wissen, wie sie auf verdächtige Aktivitäten, einen bedrohlichen Kunden, einen Raubüberfall oder den Ausfall eines Sicherheitssystems reagieren müssen.

Überprüfen Sie schließlich das Programm. Rufen Sie Videoaufnahmen ab, kontrollieren Sie die Reaktionen auf Alarme, überprüfen Sie Zugriffsberechtigungen und untersuchen Sie Abweichungen umgehend. Eine schriftliche Richtlinie schützt das Unternehmen nur dann, wenn sich die Mitarbeiter daran halten. Ich empfehle dringend, einmal jährlich eine Sicherheitsrisikobewertung durch ein erfahrenes externes Unternehmen durchführen zu lassen. Sie wären überrascht, was diesen Experten auffällt und Ihnen nicht.

Wenn ein Anbaubetrieb mit einer Lizenz eines Bundesstaats die Registrierung für Schedule III beantragen würde: Wie würde diese Registrierung auf Bundesebene die erforderlichen Sicherheits- und Verlustpräventionssysteme beeinflussen?

Zunächst würde ich klären, welcher bundesrechtliche Registrierungsweg gilt. Es wäre irreführend, jedem staatlich zugelassenen Anbaubetrieb zu sagen, dass eine Registrierung nach Schedule III automatisch einen neuen Tresorraum, mehr Kameras oder eine vollständige Neugestaltung des Sicherheitskonzepts erfordert.

Die Bundesregelung vom April 2026 schuf einen Registrierungsweg für berechtigte Inhaber staatlicher Lizenzen für medizinisches Marihuana. Im Rahmen dieses Weges gilt die Erfüllung der Anforderungen des jeweiligen Bundesstaates an die physische Sicherheit als ausreichend. Deshalb sind die Unterscheidung zwischen medizinischer Nutzung und Nutzung durch Erwachsene sowie die jeweils geltende Registrierungskategorie entscheidend.

Eine Registrierung auf Bundesebene bringt weiterhin Pflichten mit sich. Die Regelung enthält Vorgaben zu Anbauflächen sowie Bestimmungen zur Lagerung der Ernte, zum Zugang der DEA und zur bundesstaatlichen Aufsicht über die Produktion. Diese Pflichten müssen mit den bestehenden Verfahren des Betriebs abgeglichen werden.

Ich würde zunächst die konkreten Anforderungen prüfen, etwaige Lücken ermitteln und dokumentieren, wie das Unternehmen sie erfüllen wird. Die Investitionen sollten sich nach dieser Prüfung richten.

Wie werden Sicherheit und Verlustprävention Ihrer Meinung nach auch künftig Bestand haben, wenn die Cannabisbranche in neue Märkte und Geschäftsfelder in verschiedenen Bundesstaaten expandiert? Welche einfach umsetzbaren Maßnahmen können diese neuen Cannabisunternehmen künftig ergreifen?

Sicherheit und Verlustprävention bleiben für das Wachstum der Branche unverzichtbar. Größere Betriebe, mehr Standorte und komplexere Lieferketten schaffen mehr Möglichkeiten für Fehler, Diebstahl und mangelnde Rechenschaftspflicht.

Ich gehe davon aus, dass physische Sicherheit, Warenwirtschaftssysteme, Transaktionsüberwachung und Cybersicherheit künftig enger miteinander verknüpft sein werden. Unternehmen müssen sowohl nachvollziehen können, wer einen Raum betreten hat, als auch, wer einen Warenbestandseintrag geändert oder eine Zahlung freigegeben hat.

Für neue Betreiber sind die sinnvollsten Schritte unkompliziert: Sicherheitsexpertise in die Planung einbeziehen, Abläufe an den tatsächlichen Arbeitsprozessen ausrichten, Zuständigkeiten festlegen, Mitarbeitende schulen und die Leistung regelmäßig überprüfen.

Mein Rat: Entwickeln Sie ein Konzept, das Ihr Team zuverlässig umsetzen kann. Ausrüstung zu kaufen, ist eine Entscheidung. Das Unternehmen zu schützen, ist eine tägliche Aufgabe.

Vielen Dank, dass Sie bei uns zu Gast waren, Tony! Weitere Informationen zu den Dienstleistungen von Sapphire finden Sie auf der Website.