Sanktionslistenprüfung für KMU: So bleiben Sie 2026 rechtskonform

Die Sanktionslistenprüfung ist der Abgleich von Personen, Unternehmen und Schiffen gegen behördliche Listen; für in der EU ansässige Unternehmen ist insbesondere die konsolidierte EU‑Liste maßgeblich und Prüfpflicht sowie Dokumentationspflicht bestehen unabhängig von der Unternehmensgröße^[4][1][3].

Welche rechtlichen Pflichten treffen mein Unternehmen?

EU‑Verordnungen zu personenbezogenen Maßnahmen und zu sektoralen Sanktionen sind unmittelbar anwendbar und verpflichten alle Marktteilnehmer in der EU^[1][2]. In Deutschland sind Zuwiderhandlungen straf‑ und ordnungswidrig geregelt; die Geschäftsführung kann persönlich haftbar werden^[3]. Das Bereitstellungsverbot (kein Bereitstellen von Geldern oder wirtschaftlichen Ressourcen an gelistete Ziele) gilt bis zur Klärung eines Treffers^[1].

Welche Listen muss ich mindestens prüfen?

Primär ist die konsolidierte EU‑Finanzsanktionsliste zur Erfüllung der gesetzlichen Pflichten relevant; die EU‑Sanctions‑Map bietet einen zentralen Einstieg in die konsolidierten Einträge^[4]. In Geschäftskontexten mit US‑Dollar‑Zahlungen, US‑Korrespondenzbanken oder US‑Bezug empfiehlt sich zusätzliches Screening gegen OFAC‑Listen^[6]. Für Exportkontrollen und Genehmigungspflichten ist BAFA die zuständige nationale Stelle^[5].

Wie setze ich die Prüfung praktisch, rechts‑ und datenschutzkonform um?

Kurzversion des empfohlenen Prozesses für KMU:

1. Erstprüfung: Name, Rechtsform, Sitz – automatisiert gegen die tagesaktuelle EU‑Liste^[4].
2. Treffer‑Qualifizierung: Abgleich von Identifikatoren (Geburtsdatum, Adresse, Unternehmens‑IDs) bevor Entscheidungen getroffen werden.
3. Transaktionsstopp: Bis vollständige Prüfung gilt das Bereitstellungsverbot^[1].
4. Eskalation: Sachbearbeiter → Compliance/Exportbeauftragter → Geschäftsführung → externe Rechtsberatung.
5. Revisionssichere Dokumentation: Zeitstempel, genutzte Listen‑Version, Prüfprotokoll.

Ergänzend sind folgende Governance‑Elemente erforderlich: Rollenmatrix mit Entscheidungsbefugnissen, Schulungsplan für Einkauf/Vertrieb, Lösch‑ und Speicherfristen unter DSGVO‑Rechtfertigung und technisch geschützte Zugriffskontrollen.

Welche technischen und datenschutzrechtlichen Anforderungen gelten beim Einsatz von Software?

Wesentliche Mindestanforderungen an Anbieter oder an eine Eigenlösung:

• Hosting und Datenverarbeitung in der EU oder mit klaren rechtlichen Garantien zur DSGVO‑Konformität.
• Verfügbarkeit von audit‑tauglichen Protokollen (Audit‑Logs, Zeitstempel, Listen‑Versionierung).
• SLA für List‑Updates (tagesaktuelle Aktualisierungen) und Verfügbarkeitsgarantie.
• API‑Schnittstelle, Batch‑Checks, und Konfigurierbares Fuzzy‑Matching (Transliteration, Alias‑Handling).
• Data‑Processing‑Agreement (DPA) und Nachweis zu Sicherheitszertifikaten (z. B. ISO‑Zertifizierungen).
  Wenn eine Lösung Teile mit selbstlernenden Algorithmen nutzt, sollten Sie Transparenz zu Entscheidungsregeln und mögliche regulatorische Anforderungen prüfen.

Ein Beispiel für eine auf KMU ausgerichtete Lösung existiert als europäischer RegTech‑Dienst^[8] – prüfen Sie diesen Typus gegen die genannten Mindestkriterien, nicht allein nach Feature‑Marketing.

[^Note zur DSGVO:] Erfassen Sie nur die Minimaldaten, die für die Treffer‑Qualifizierung nötig sind; dokumentieren Sie die Rechtsgrundlage (Erfüllung rechtlicher Pflichten) und begrenzen Sie Zugriffsrechte.

Welche Auswahlkriterien helfen bei der Anbieterauswahl?

Nutzen Sie diese Checkliste als Vergleichsrahmen – jede Zeile ist ein Ausschlusskriterium, falls nicht erfüllt:

Hosting und Rechtsraum?

Datenverarbeitung in der EU oder klare vertragliche Garantien zur DSGVO‑Konformität.

Update‑Rythmus und Abdeckung?

Tägliche Updates; Abgleich gegen EU‑konsolidiert plus relevante Drittlisten (OFAC, UK, CH) wenn Ihr Geschäft sie benötigt^[6][7].

Auditierbarkeit?

Audit‑PDFs oder API‑Logs mit Zeitstempel und verwendeter Listen‑Version.

Matching‑Qualität?

Konfigurierbare Fuzzy‑Matching‑Parameter, Alias‑Handling, Schwellenwerte für manuelle Überprüfung.

Vertrag und Sicherheit?

DPA, Verschlüsselung in Transit/at‑rest, ISO‑Zertifikate, Incident‑Response‑Plan.

Operative Integration?

Batch‑Processing, API, einfache Nutzeroberfläche für Einkauf und Vertrieb, Schulungsangebote.

Wie organisiere ich eine Minimalimplementierung in 90 Tagen?

Woche 1–2: Risiko‑Scoping – Geschäftsbereiche mit Auslandsbezug priorisieren.
Woche 3–4: Tool‑Shortlist anhand der obigen Checkliste; Pilotdatensatz definieren.
Woche 5–8: Testphase mit 1–2 Geschäftseinheiten, Validierung der FP/TP‑Rate, Prozesse beschreiben.
Woche 9–12: Rollout, Schulung der Anwender, Einrichtung der Eskalationskette, Live‑Monitoring mit KPIs.

Empfohlene KPIs: durchschnittliche Prüfzeit pro Datensatz, False‑Positive‑Rate, Zeit bis Eskalation, Anteil automatisiert freigegebener Fälle.

Was muss ich bei einem Treffer konkret tun?

1. Keine Zahlung, keine Lieferung – bis qualifiziert. Das gilt auch für verbundene Firmen nach der 50‑%‑Regel.
2. Qualifizierung: zusätzliche Identifikatoren prüfen.
3. Interne Eskalation und Dokumentation mit Begründung der Entscheidung.
4. Bei bestätigtem Treffer: Geschäftsbeziehung sofort beenden; gegebenenfalls Meldung an zuständige Behörden prüfen – für Exportkontrollen BAFA ist zuständig^[5]. Bei Unsicherheit: zeitnah Rechtsberatung hinzuziehen.

Welche maritimen Risiken sollten Einkauf und Logistik wissen?

Für Seefracht und Charter sind Schiffs‑Identifikatoren (IMO‑Nummer) verlässlichstes Identifikationsmerkmal; IPS‑Abgleich minimiert Fehlbewertungen. Schattenflotte‑Risiken zeigen sich in häufigen Flaggenwechseln, AIS‑Ausfällen und Ship‑to‑Ship‑Transfers – beachten Sie erhöhte Sorgfalt bei Tanker‑Geschäften und Dienstleistern aus Hochrisikoregionen^[9][11].

Welche Fragen haben KMU zur Sanktionslistenprüfung?

Q: Muss ich als kleines Unternehmen wirklich prüfen?
A: Ja. EU‑Verordnungen gelten unabhängig von der Größe; die Pflicht zur Vermeidung des Bereitstellens von Mitteln an gelistete Ziele trifft alle Marktteilnehmer^[1][2].

Q: Welche Listen reichen aus?
A: Für die rechtliche Pflicht genügt die konsolidierte EU‑Liste; in praktisch relevanten Fällen ergänzen Sie OFAC/UK/CH‑Checks je nach Geschäftsbeziehung^[4][6][7].

Q: Wie lange muss ich Prüfprotokolle aufbewahren?
A: Bewahren Sie Prüfprotokolle so lange auf, wie sie für die Erfüllung rechtlicher Pflichten oder für mögliche Aufsichtsprüfungen erforderlich sind – dokumentieren Sie die Rechtsgrundlage unter DSGVO‑Gesichtspunkten.

Q: Ersetzt eine Software die Rechtsberatung?
A: Nein. Software liefert Recherche‑ und Dokumentationsunterstützung; die rechtliche Bewertung und endgültige Entscheidung obliegt dem Unternehmen.