Sanktionslistenprüfung 2026: so gehen Sie Schritt für Schritt vor

Prüfen Sie Geschäftspartner systematisch: definieren Sie Umfang und Frequenz, erfassen Sie eindeutige Identifikatoren, screenen Sie gegen die relevanten Sanktionslisten, analysieren Treffer nach einem festgelegten Eskalationspfad und dokumentieren jede Entscheidung revisionssicher für Behörden und Audit. Diese Schritte reduzieren Haftungs- und Betriebsrisiken konkret und nachvollziehbar.

Warum ist eine Sanktionslistenprüfung verpflichtend?

Weil Sanktionen in der EU durch verbindliche Verordnungen umgesetzt sind und Verstöße nach dem deutschen Außenwirtschaftsrecht sanktioniert werden. Das Bereitstellungsverbot (Einfrieren von Geldern und Verbot, wirtschaftliche Ressourcen bereitzustellen) gilt unmittelbar und kann straf‑ sowie bußgeldrechtliche Folgen auslösen^[1][2]. Unternehmen müssen daher nach dem Risiko ihres Geschäfts tätig werden.

Welche Listen sollten Sie mindestens abdecken?

Es gibt keine globale Einheitsliste. EU‑Unternehmen müssen mindestens die konsolidierte EU‑Sanktionsliste berücksichtigen; zusätzlich prüfen viele Unternehmen UN‑Listen, nationale Listen (z. B. UK, CH) sowie bei US‑Exposure die OFAC‑SDN-Liste^{[4][5][6][7][10]}. Die Listenbestände unterscheiden sich erheblich und entwickeln sich laufend weiter; deshalb ist eine Priorisierung nach Geschäftsrisiko nötig^[5].

Bereitstellungsverbot (Verbot, gelisteten Personen wirtschaftliche Ressourcen bereitzustellen), PEP (politisch exponierte Person), False Positive (Namensgleichheit ohne tatsächliche Identitätstreue).

Wie führe ich die Sanktionslistenprüfung Schritt für Schritt durch?

H3 Wie setze ich Umfang und Frequenz fest?

Bestimmen Sie, welche Gegenparteien geprüft werden (Kunden, Lieferanten, verbundene Firmen inklusive 50‑%‑Regel) und legen Sie eine risikobasierte Frequenz fest: High‑Risk monatlich, Medium‑Risk vierteljährlich, Low‑Risk jährlich. Dokumentieren Sie die Risikokriterien und Genehmigungsinstanz.

H3 Welche Identifikationsdaten brauche ich?

Erfassen Sie Vollname bzw. exakte Firmenbezeichnung und, wo möglich, Ergänzungen wie Geburtsdatum, Registrierungssnummer, Adresse, IMO‑Nummer bei Schiffen. Zusätzliche Identifikatoren reduzieren False Positives und beschleunigen die Validierung.

H3 Wie erfolgt der Abgleich gegen Listen?

Nutzen Sie automatisierte Abfragen gegen die konsolidierten Quellen und ergänzende Listen; verifizieren Sie, dass der Anbieter EU‑, UN‑ und relevante nationale Quellen anbietet und die Update‑Frequenz dokumentiert ist^{[4][5][6][7][10]}. Achten Sie auf Einstellbarkeit der Fuzzy‑Matching‑Schwelle und auf einen auditfähigen Nachweis jeder Prüfung.

H3 Wie analysiere und eskaliere ich Treffer?

Treffer sind Risiken, keine finale Entscheidung. Empfohlenes Eskalationsmodell:

• Automatischer Screening‑Treffer → Erstbewertung durch Compliance innerhalb 24 Stunden.
• Wenn Indizien für Übereinstimmung vorliegen → Payment‑Hold und Lieferstopp plus 4‑Augen‑Review innerhalb 8 Stunden.
• Bei Bestätigung → sofortige Meldung an die zuständige Behörde und dokumentierte Fallakte.
  Legalisieren Sie diesen Ablauf intern als verbindliche Verfahrensanweisung.

H3 Wie dokumentiere ich revisionssicher?

Speichern Sie Prüfprotokoll, Suchparameter, genutzte Quellen, Analyse‑Notizen, getroffene Entscheidungen und Timestamp als unveränderbares Dokument (z. B. PDF/A mit Prüf‑URL). Halten Sie Aufbewahrungsfristen und Verantwortlichkeiten im Verzeichnis der Verarbeitungstätigkeiten fest.

Wie beurteile ich Screening‑Software und Anbieter?

Nutzen Sie diese Checkliste bei der Auswahl (ein Bullet‑Listelement, evaluativ und handlungsorientiert):

• Update‑Frequenz der Quellen und belegbare Quelle(n) (EU konsolidiert, UN, nationale Listen), Proof of Audittrail, Nachvollziehbarkeit der Matches, false‑positive‑Rate und Einstellbarkeit der Matching‑Parameter, Integrationen (ERP/CRM), Sicherheits‑ und Datenschutzstandards (ISO27001, DPA), Datenresidenz und Transfermechanismen, SLA‑Zeiten für Support und Korrektur.

Wenn Sie sich für einen Anbieter entscheiden, verlangen Sie einen Testlauf mit Ihren eigenen Daten und ein Proof‑of‑Concept‑Szenario.

^[11]

Welche datenschutzrechtlichen und regulatorischen Vorgaben gelten?

Die Verarbeitung personenbezogener Daten zur Erfüllung einer rechtlichen Pflicht stützt sich auf Art. 6 Abs. 1 lit. c DSGVO; dennoch gelten Grundsätze der Datenminimierung und Speicherbegrenzung. Prüfpunkte: DPIA bei großflächigen Scans, Auftragsverarbeitungsvertrag (DPA) mit SaaS‑Anbietern, Dokumentation im Verzeichnis der Verarbeitungstätigkeiten, Regelungen zu Drittlandtransfers (ggf. SCC). Bei Einsatz automatisierter Matching‑Algorithmen halten Sie Transparenz- und Dokumentationsanforderungen vor – relevante Aspekte können auch im EU AI Act relevant werden.

Welche Behörden melden und wann muss ich informieren?

Meldewege unterscheiden sich nach Sanktionsart und Branche. In Deutschland gelten Ausfuhrkontrollen und Embargovorschriften typischerweise als BAFA‑Aufgaben; Finanzsanktionsfragen können Aufsichtsbehörden betreffen^[8][9]. Vereinbaren Sie intern eine Kontaktmatrix mit juristischer Freigabe, damit im Bestätigungsfall die Meldung ohne Verzögerung erfolgen kann.

Welche KPIs und Governance brauche ich?

Messen Sie: Screening‑Coverage (% aller Counterparties), mittlere Zeit bis Erstbewertung, False‑Positive‑Rate, Anzahl eskalierter Fälle, Anzahl Behördenmeldungen pro Jahr, System‑Verfügbarkeit. Verankern Sie Verantwortlichkeiten in einer Compliance‑Policy mit Eskalationspfaden und regelmäßigen Tests.

Häufig gestellte Fragen?

Muss ich als kleines Unternehmen Sanktionslisten prüfen?
Jedes Unternehmen mit wirtschaftlichen Beziehungen kann unter das Bereitstellungsverbot fallen; die Umsetzung erfolgt risikobasiert, aber eine grundsätzliche Prüfpflicht besteht unabhängig von der Unternehmensgröße^[1][4].

Welche Listen sind für EU‑Geschäfte rechtlich bindend?
EU‑Verordnungen und die konsolidierte EU‑Sanktionsliste sind für Unternehmen in der EU unmittelbar verbindlich; UN‑Beschlüsse werden durch EU‑Maßnahmen umgesetzt^[2][4].

Was ist bei einem False Positive zu tun?
Dokumentieren Sie die Analyse, führen Sie zusätzliche Identifikatoren an und schließen Sie den Fall ab, wenn keine Übereinstimmung nachweisbar ist; die Dokumentation dient als Nachweis gegenüber Aufsichtsbehörden.

Ersetzt automatisiertes Screening die menschliche Prüfung?
Nein. Automatisierte Tools beschleunigen die Erkennung, die endgültige Bewertung muss jedoch durch qualifiziertes Personal erfolgen und dokumentiert werden.

Ist die Prüfung DSGVO‑konform?
Die Verarbeitung ist durch die Erfüllung einer rechtlichen Pflicht zulässig, zugleich müssen jedoch DSGVO‑Grundsätze wie Datenminimierung, Zweckbindung und Informationssicherheit beachtet werden.