Sanktionslisten: Wie Unternehmen den Überblick behalten

Eine weltweit einheitliche Sanktionsliste existiert nicht. Unternehmen im DACH-Raum müssen mindestens fünf Rechtsräume beachten: UN Security Council Consolidated List (730 Personen, 272 Einrichtungen), EU Consolidated Financial Sanctions List (rund 5.900 Sanktionsziele), US-amerikanische SDN-Liste (rund 19.800 Einträge), UK Sanctions List und Schweizer SECO-Listen. Die EU-Listen sind für alle Unternehmen in Deutschland unmittelbar verbindlich, unabhängig von Größe oder Branche. Verstöße gegen EU-Sanktionen sind nach § 18 Außenwirtschaftsgesetz strafbar und können mit Geldbußen bis 40 Millionen Euro geahndet werden.

Warum unterscheiden sich internationale Sanktionslisten?

Sanktionen sind Hoheitsakte einzelner Rechtsräume^[1]. Jede Jurisdiktion entscheidet selbst, wen sie listet, was die Listung bewirkt und wen die Pflichten treffen. Die Bestände weichen deshalb deutlich voneinander ab. Die UN Security Council Consolidated List führt 730 natürliche Personen und 272 Einrichtungen (Stand 8. Juli 2026)^[1]. Die EU Consolidated Financial Sanctions List umfasst dagegen rund 5.900 Sanktionsziele^[2]. Die US-amerikanische SDN-Liste des Office of Foreign Assets Control (OFAC) enthält nach Angaben von OpenSanctions rund 19.800 Einträge, darunter 7.475 Personen, 9.701 Organisationen, 1.494 Schiffe, 344 Luftfahrzeuge und 797 Krypto-Wallets (Stand 27. Juni 2026)^[3].

Wer nur eine dieser Listen prüft, übersieht Treffer aus den anderen Rechtsräumen. Die Listen sind zudem unterschiedlich schnell: Die Schweiz übernahm die Listungen des 20. EU-Russland-Pakets vom 23. April 2026 erst am 22. Mai 2026^[4]. Zwischen Listung in der EU und Umsetzung in der Schweiz können Wochen vergehen.

Der politische Hintergrund erklärt die Unterschiede. Am Beispiel der EU muss eine Einigung aller Mitgliedsstaaten der Europäischen Union bestehen, um die restriktiven Maßnahmen durchzusetzen – das Ergebnis der Abstimmung muss immer einstimmig sein^[5]. Die ausgearbeiteten Unterlagen werden letztlich dem Rat vorgelegt und im Zuge eines Ratsbeschlusses und einer dazugehörigen Ratsverordnung angenommen, verlängert oder aufgehoben^[5]. Die USA entscheiden unilateral, die Schweiz vollzieht EU-Sanktionen zeitversetzt nach eigenem Recht.

Welche Sanktionslisten sind für Unternehmen im DACH-Raum verbindlich?

Unabhängig von der Nationalität der konkreten Geschäftskontakte sollten alle Unternehmen das Thema Sanktionslisten weltweit betrachten^[6]. Denn nicht nur die von der EU erstellte Liste sanktionierter Personen, Organisationen oder Güter ist zu beachten^[6].

UN Security Council Consolidated List: 730 natürliche Personen und 272 Einrichtungen (Stand 8. Juli 2026)^[1]. Die UN-Sanktionen werden von der EU in EU-Recht umgesetzt und dadurch für europäische Unternehmen verbindlich. Nach Art. 25 der UN-Charta sind die Mitgliedstaaten verpflichtet, die Beschlüsse des Sicherheitsrats umzusetzen.

EU Consolidated Financial Sanctions List: Rund 5.900 Sanktionsziele, davon 4.348 Personen und 1.545 Organisationen (Stand 7. Juni 2026)^[2]. Diese Liste ist für alle Unternehmen in Deutschland unmittelbar verbindlich, ohne Größenschwelle. Die Umsetzung beschlossener EU-Sanktionen fällt in den Verantwortungsbereich der Mitgliedsstaaten – die Beschlüsse sind bindend und müssen umgehend in die Rechtsordnungen der Staaten einfließen^[5]. Ob die Sanktionen entsprechend eingehalten werden, obliegt einer stetigen Überprüfung der Europäischen Kommission^[5]. Tools wie Am I Compliant ermöglichen den Abgleich von Geschäftspartnern gegen diese Listen.

US OFAC SDN-Liste: Rund 19.800 Sanktionsziele (Stand 27. Juni 2026)^[3]. US-Sanktionen binden zunächst nur US-Personen und US-Unternehmen. Sie entfalten aber extraterritoriale Wirkung: Wer mit einem SDN-gelisteten Unternehmen Geschäfte macht, kann selbst auf die SDN-Liste geraten (sekundäre Sanktionen). Für DACH-Unternehmen mit US-Geschäft, US-Dollar-Zahlungsverkehr oder US-Tochtergesellschaften ist die OFAC-Liste faktisch bindend.

UK Sanctions List: Seit dem Brexit führt das Vereinigte Königreich eigene Sanktionslisten. Die UK Sanctions List ist seit 28. Januar 2026 die einzige maßgebliche britische Quelle^[6]. Für Unternehmen mit UK-Geschäft oder britischen Tochtergesellschaften ist sie zu beachten.

Schweizer SECO-Listen: Die Schweiz setzt EU-Sanktionen in eigene Verordnungen um, zeitlich versetzt. Für Unternehmen mit Schweizer Standorten oder Schweizer Geschäftspartnern ist die SECO-Liste relevant.

Neben personenbezogenen Sanktionslisten müssen Unternehmen unbedingt auch länder- und güterbezogene Beschränkungen beachten^[8]. Der Abgleich der Geschäftskontakte mit einzelnen sanktionierten Personen, Organisationen oder Unternehmen reicht nicht aus^[8]. Güterbezogene Sanktionslisten werden aus politischen oder wirtschaftlichen Gründen erstellt – Grund kann die Exportbeschränkung (Exportkontrolle) sein, wie bei Dual-Use-Gütern (Güter mit ziviler und militärischer Anwendung)^[7].

Wie oft müssen Unternehmen Sanktionslisten prüfen?

Sanktionslisten werden laufend aktualisiert^[9]. Personen, die zum Zeitpunkt der Einstellung noch nicht gelistet waren, können wenige Monate später auf einer Sanktionsliste erscheinen^[9].

Unternehmen, die ausschließlich beim Onboarding prüfen, riskieren, Veränderungen zu übersehen und sich unwissentlich regulatorischen Verstößen auszusetzen^[9]. Erforderlich sind sowohl Pre-Employment Screening – die Prüfung vor Beginn eines Arbeitsverhältnisses oder einer Geschäftsbeziehung – als auch kontinuierliches In-Employment Screening bestehender Mitarbeiter, externer Dienstleister und Geschäftspartner^[9].

Für alle Geschäftspartner (Lieferanten, Dienstleister, Kunden) und gegebenenfalls auch Mitarbeiter ist regelmäßig zu prüfen, ob gegen sie Sanktionen verhängt wurden^[8]. Die Prüffrequenz hängt vom Risikoprofil ab: Hochrisiko-Geschäftsbeziehungen (etwa in sensiblen Ländern oder Branchen) erfordern monatliche oder quartalsweise Prüfungen, Standardgeschäft mindestens jährlich.

Wie können Unternehmen den Überblick behalten?

Die systematische Prüfung gegen alle relevanten Jurisdiktionen erfordert eine klare Architektur. Vier Prinzipien tragen eine wirksame Compliance-Struktur:

Vollständige Abdeckung: Prüfung gegen UN, EU, USA (OFAC), UK und Schweiz. Für Unternehmen mit Geschäft in anderen Rechtsräumen kommen nationale Behördenlisten hinzu (etwa Kanada, Australien, Japan).

Mehrdimensionale Prüfung: Personenbezogene Listen, länderbezogene Beschränkungen und güterbezogene Sanktionen müssen parallel geprüft werden. Ein Geschäftspartner kann selbst nicht gelistet sein, aber in einem sanktionierten Land sitzen oder sanktionierte Güter handeln.

Kontinuierliches Monitoring: Nicht nur einmalige Prüfung beim Onboarding, sondern laufende Überwachung bestehender Geschäftsbeziehungen. Die Prüfung muss wiederholt werden, sobald sich Listen ändern.

Dokumentation: Lückenlose Nachweisführung für Compliance-Zwecke. Jede Prüfung muss dokumentiert werden – wer wurde wann gegen welche Listen geprüft, mit welchem Ergebnis.

Durch die Prüfung können illegale Geschäftspraktiken vermieden werden und das Risiko von Rechtsstreitigkeiten und Strafen wird minimiert^[6].

Welche rechtlichen Konsequenzen drohen bei Verstößen?

Die Verpflichtung zur Sanktionslistenprüfung gilt größenunabhängig. Verstöße gegen EU-Sanktionen sind in Deutschland nach § 18 Außenwirtschaftsgesetz (AWG) strafbar. Die Geldbuße kann bis zu 40 Millionen Euro betragen. Die Prüfung ist keine optionale Compliance-Maßnahme, sondern rechtliche Pflicht.

Für mittelständische Unternehmen ohne eigene Compliance-Abteilung ist eine manuelle Prüfung gegen mehrere Listen praktisch nicht leistbar. Online-Dienste ermöglichen den Abgleich gegen über 200 offizielle Sanktions-, PEP- und Kriminalitätslisten aus EU, UN, OFAC, UK und Schweiz in Sekunden. Jede Prüfung wird als auditfestes PDF mit Prüf-URL dokumentiert; die Übertragung ist verschlüsselt und DSGVO-konform.

Die Frage, inwieweit datenschutzrechtliche Bedenken einer (elektronischen) Prüfung von Mitarbeitern, Kunden oder Lieferanten auf Basis der Sanktionslisten entgegenstehen, ist rechtlich schwierig zu beantworten^[7]. In einem 2010 veröffentlichten Aufsatz kommt der Autor zu dem Schluss, dass diese Überprüfung datenschutzrechtlich zulässig ist^[7]. Die Prüfung dient der Erfüllung einer gesetzlichen Pflicht und ist damit nach Art. 6 Abs. 1 lit. c DSGVO erlaubt.

Welche praktischen Maßnahmen sollten Unternehmen ergreifen?

Vier Sofortmaßnahmen schaffen eine wirksame Compliance-Grundlage:

Definieren Sie relevante Jurisdiktionen. Mindeststandard im DACH-Raum: EU, UN, OFAC (USA), UK, Schweiz. Für Unternehmen mit Geschäft in weiteren Rechtsräumen kommen nationale Listen hinzu.

Legen Sie Prüfintervalle fest. Hochrisiko-Geschäftsbeziehungen monatlich, Standardgeschäft mindestens jährlich, neue Geschäftspartner vor Vertragsschluss. Die Listen ändern sich nicht nur durch neue Pakete, sondern auch durch Streichungen, Änderungen von Aliasnamen und Korrekturen. Wer nur einmal prüft, verliert den Überblick.

Dokumentieren Sie jede Prüfung. Datum, geprüfte Listen, Ergebnis. Im Streitfall ist die Beweislast umgekehrt – Sie müssen nachweisen, dass Sie geprüft haben.

Schulen Sie Mitarbeiter in Vertrieb, Einkauf und Logistik. Die Prüfung ist keine reine Compliance-Aufgabe, sondern muss im operativen Geschäft verankert sein.

Die Listen ändern sich nicht nur durch neue Pakete wie die EU-Verordnung 833/2014, sondern auch durch Streichungen, Änderungen von Aliasnamen und Korrekturen.

Zusammenfassung: Fünf Schritte für eine lückenlose Sanktionsprüfung

Eine weltweit einheitliche Sanktionsliste existiert nicht und wird es auf absehbare Zeit nicht geben. Unternehmen im DACH-Raum müssen mindestens fünf Rechtsräume beachten: UN, EU, USA, UK und Schweiz. Die EU-Listen sind unmittelbar verbindlich, unabhängig von Unternehmensgröße oder Branche. Die Prüfung muss kontinuierlich erfolgen – Listen ändern sich täglich. Wer nur beim Onboarding prüft, riskiert Verstöße gegen Sanktionen, die erst später verhängt wurden.

Die Komplexität lässt sich durch systematische Prozesse und technische Unterstützung beherrschen. Entscheidend ist die Dokumentation: Im Streitfall müssen Sie nachweisen, dass Sie geprüft haben. Die Investition in eine automatisierte Sanktionslistenprüfung ist nicht nur Compliance-Aufwand, sondern Risikomanagement für die Geschäftsgrundlage selbst. Wer heute nicht prüft, zahlt morgen – finanziell, rechtlich und reputativ.