Sanktionslistenprüfung: So finden Sie die richtige Software

Wählen Sie eine Sanktionslistenprüfungs‑Software, indem Sie erst Anforderungen (Prüfvolumen, Jurisdiktionen, SLA) klären, dann Funktionsumfang, Datenquellen und Auditfähigkeit vergleichen und zuletzt Integration sowie DSGVO‑ und IT‑Sicherheitsanforderungen prüfen; testen Sie Anbieter mit echten Stammdaten in einer definierten Proof‑of‑Concept‑Phase (30–90 Tage).

Welche Voraussetzungen sollten Sie intern zuerst klären?

Beginnen Sie mit Verantwortlichkeiten und Prozessen: Wer führt die Prüfung durch? Wer eskaliert Treffer? Legen Sie die Prüfobjekte fest – Kunden, Lieferanten, verbundene Firmen (50‑Prozent‑Regel) oder Schiffe – und schätzen Sie das Volumen (Einzelprüfungen vs. Batch). Dokumentieren Sie die Rechtsgrundlage Ihrer Prüfung (rechtliche Verpflichtung oder berechtigtes Interesse) und setzen Sie einen Budgetrahmen inklusive Implementierungs‑ und Schulungskosten. Dienste wie Am I Compliant bieten dabei DSGVO‑konforme Prüfung gegen 200+ offizielle Listen mit auditfestem PDF‑Nachweis. Ohne diese Eckdaten vergleichen Sie Anbieter nur auf Basis von Marketingversprechen.

Welche Funktionalitäten muss die Software mindestens bieten?

Die Lösung sollte folgende Mindestfunktionen unterstützen:

• Echtzeit‑API und Batch‑Verarbeitung für Stammdaten‑Abgleiche.
• Fuzzy‑Matching‑Logik mit konfigurierbaren Schwellenwerten, um falsch‑positive Treffer zu reduzieren.
• Rollenbasierte Zugriffskontrolle (RBAC) und Protokollierung von Reviewer‑Entscheidungen.
• Revisionssichere Prüfprotokolle mit Zeitstempel, Listenquelle und Entscheidungsdokumentation – idealerweise als PDF mit prüfbarer Prüf‑URL.
• Konfigurierbare Eskalationsworkflows für manuelle Reviews und Freigaben.
• Unterstützung für PEP‑ und weitere Risiko‑Kategorien, sofern relevant.

Prüfen Sie diese Funktionen nicht nur auf dem Papier, sondern in der Testphase mit eigenen Beispieldaten.

Wie beurteilen Sie Datenqualität und Aktualität der Listen?

Fragen Sie Anbieter konkret nach der Quellenbasis: werden EU‑Sanktionsbeschlüsse (EU‑Consolidated List), UN‑Listen und nationale Listen automatisiert abgefragt und wie schnell werden Neuerungen eingespielt? Für EU‑Unternehmen sind EU‑Listen unmittelbar verbindlich^[1]. Achten Sie auf SLA‑Angaben zur Update‑Latenz – konkrete Werte wie „Änderungen innerhalb von X Stunden“ sind verhandelbar. Verlangen Sie eine vollständige Quellenliste der abgedeckten Listen sowie Angaben zu Aggregation und Normalisierung der Daten^[5][3].

Wie stellen Sie Auditfähigkeit, Nachvollziehbarkeit und Betriebssicherheit sicher?

Die wichtigsten Kriterien:

• Revisionssichere Belege für jede Prüfung: wer, wann, gegen welche Quelle, Ergebnis und Reviewer‑Kommentar.
• Nachweis über IT‑Sicherheitsmaßnahmen: ISO‑27001‑Zertifikat, regelmäßige Penetrationstests und ein Verzeichnis der Subprozessoren.
• Datenschutz‑Nachweise: AVV/Art.‑28‑Vertrag, Löschkonzept, Angaben zu Drittlandtransfers (z. B. Standardvertragsklauseln) und DPIA‑Erwägung bei großflächiger automatisierter Verarbeitung.
• Protokolle und Nachweise sollten bei Audits rasch vorgelegt werden können; ein Anbieter‑Claim wie „Audit‑PDF mit Prüf‑URL“ ist zu testen.

Rechtliche Sanktionen sind nicht akademisch: nationale Straf‑ und Bußgeldregelungen können erhebliche Konsequenzen haben^[4].

Wie prüfen Sie Integration, Datenschutz und Betriebspraxis?

Testen Sie Integration und Betrieb in drei Schritten:

1. Technischer Quickcheck – API‑Calls, Batch‑Uploads, Antwortzeiten und Fehlerbehandlung.
2. Datenschutzprüfung – Standort der Verarbeitung, Subprozessoren, AVV, Mechanismen für Datenminimierung und Betroffenenrechte.
3. Operative Probe – Rollout in einer Pilotabteilung mit realen Datensätzen; messen Sie False‑Positive‑Rate, Review‑Aufwand und Systemverfügbarkeit.

Verlangen Sie transparenter Preismodelle: Pay‑per‑check vs. Flat‑Fee, Preisstaffelung bei Batch‑Volumina und Testkontingente.

Welche Vendor‑Fragen sollten Sie im Auswahlgespräch stellen?

Fordern Sie klare Antworten und Belege zu folgenden Punkten:

• Welche konkreten Listenquellen und wie viele Einträge werden aktuell abgedeckt?^[5]
• Update‑SLA: Wie viele Stunden vergehen nach einer offiziellen Listenänderung bis zur Verfügbarkeit in der Lösung?^[3]
• Sicherheit: ISO‑27001, Pen‑Test‑Berichte (Summaries), SOC‑Reports oder vergleichbare Nachweise.
• Datenschutz: AVV (Art. 28), Subprozessorenliste, Drittlandtransfers, Löschfristen, DPIA‑Ergebnisse.
• Betrieb: Verfügbarkeitssla, Supportzeiten, Reaktionszeit bei Ausfällen.
• False‑Positive‑Handling: automatische Entlastung, manuelle Review‑Tools, Audit‑Log mit Verantwortlichen.
• Integrationen: Beispiele für erfolgreiche ERP/CRM‑Anbindungen und Unterstützung für Batch‑Migrationsszenarien.
• Preismodell: enthaltene Checks, Overages, Testzugänge.

Notieren Sie die Antworten und bewerten Sie sie nach Relevanz für Ihr Anforderungsprofil.

Welche praktischen Fallen und wie vermeiden Sie sie?

Häufige Fehler sind Preisfixierung ohne Scope‑Abgleich, fehlende Audit‑Nachweise und unterschätzter Review‑Aufwand bei False‑Positives. Vermeiden Sie diese Fallen so:

• Bestehen Sie auf Proof‑of‑Concept‑Tests mit eigenen Daten.
• Verlangen Sie SLA‑Angaben zur Listenaktualität und kontrollieren Sie diese in der Pilotphase.
• Klären Sie Verantwortlichkeiten intern – ohne definierte Reviewer‑Rollen bleibt die beste Software wirkungslos.

Eine reale Messung aus unserer Am‑I‑Compliant‑Analyse, 2026 (Stichprobe n=50 Prüfungen, Jan–Jun 2026) zeigte durchschnittliche Prüfzeiten moderner Lösungen von rund 28–35 Sekunden pro Einzelprüfung bei aktiver OCR/Bulk‑Erkennung^[7].

Welche nächsten Schritte sollten Sie jetzt durchführen?

1. Erstellen Sie eine Shortlist (2–3 Anbieter) anhand Ihres Anforderungsdokuments.
2. Führen Sie eine 30–90‑tägige Pilot‑/PoC‑Phase mit echten Stammdaten durch.
3. Verhandeln Sie SLA, AVV und Subprozessorennachweise vor Vertragsabschluss.
4. Schulen Sie Reviewer und legen Sie ein Audit‑Repository an.

Setzen Sie Prioritäten: für DACH‑Mittelstand zählen EU‑Listen, Nachweisdokumentation und DSGVO‑Compliance mehr als eine vollständige Abdeckung aller außereuropäischen Listen; verhandeln Sie Erweiterungen bei Bedarf.

Häufig gestellte Fragen zur Sanktionslistenprüfung?

Q: Welche Listen sind für ein EU‑Unternehmen vorrangig relevant?
A: Primär sind EU‑Sanktionslisten und die in EU‑Recht umgesetzten UN‑Sanktionen relevant; je nach Geschäftsbeziehungen können nationale Listen und länderfremde Regime (z. B. OFAC) ergänzt werden^[1][2].

Q: Muss die Software DSGVO‑konform sein?
A: Ja. AVV (Art. 28 DSGVO), Datenminimierung, Löschkonzept und gegebenenfalls DPIA sind Pflichtbestandteile der Beschaffung.

Q: Worauf achten Auditoren bei der Prüfung?
A: Revisionssichere Prüfprotokolle mit Zeitstempel, Listenquelle, Ergebnis und Verantwortlichen ‑ idealerweise in einem durchsuchbaren Audit‑Repository.

Q: Welche SLA‑Angaben sind kritisch?
A: Update‑Latenz für Listenänderungen (Stunden), Systemverfügbarkeit (%), Support‑Reaktionszeit und RTO/RPO für Ausfälle.

Q: Wie gehen wir mit False‑Positives um?
A: Definieren Sie einen Eskalationsworkflow, dokumentieren jede Entscheidung und messen den manuellen Review‑Aufwand in der Pilotphase.