Sanktionsprüfung: Wie Unternehmen Risiken minimieren

Eine Sanktionsprüfung gleicht Geschäftspartner, Eigentümer und Transportmittel gegen behördliche Listen ab. Sie ist für jedes Unternehmen verpflichtend, das grenzüberschreitend Waren liefert, Dienstleistungen erbringt oder Zahlungen empfängt. Die Prüfung muss tagesaktuell erfolgen, da die EU-Listen ohne Vorlaufzeit aktualisiert werden. Nach § 18 AWG drohen bei Verstößen Bußgelder bis 40 Millionen Euro; die Geschäftsführung haftet persönlich.

Warum reicht eine einmalige Prüfung nicht aus?

Sanktionslisten sind dynamische Rechtsakte. Die EU veröffentlicht neue Listungen ohne Vorlaufzeit im Amtsblatt; sie gelten ab dem Moment der Veröffentlichung^[5]. Zwischen Januar und Juli 2026 erfolgten vier Zwischenlistungen außerhalb der großen Pakete – darunter am 15. Dezember 2025 41 Schiffe, am 16. März 2026 neun Personen wegen Butscha und am 13. Juli 2026 Überwachungstechnologie-Anbieter^[3]. Ein Unternehmen, das nur quartalsweise prüft, übersieht diese Änderungen über Wochen.

Die rechtliche Konsequenz ist eindeutig: Nach § 18 AWG ist die Bereitstellung von Geldern oder wirtschaftlichen Ressourcen an gelistete Personen oder Organisationen eine Ordnungswidrigkeit, die mit Bußgeldern bis 40 Millionen Euro geahndet werden kann^[6]. Die Geschäftsführung haftet persönlich für die Einhaltung der Sanktionsregime. Eine nachträgliche Berufung auf Unwissenheit schützt nicht – die EU-Verordnungen gelten unmittelbar und ohne nationale Umsetzungsfrist.

Welche Prüfpflichten bestehen konkret?

Die Industrie- und Handelskammern (IHK) sind bei der Ausstellung von Außenhandelsdokumenten wie Ursprungszeugnissen verpflichtet, Sanktionslistenprüfungen durchzuführen^[7]. Diese Pflicht trifft jedes Unternehmen, das grenzüberschreitend Waren liefert, Dienstleistungen erbringt oder Zahlungen empfängt – unabhängig von Größe oder Branche.

Die Prüfung muss fünf Ebenen abdecken:

1. Direkter Geschäftspartner: Name, Geburtsdatum (bei Personen), Adresse, Handelsregisternummer (bei Unternehmen)
2. Eigentümerstruktur: Nach der 50-Prozent-Regel gelten die Sanktionen auch für Unternehmen, die zu mindestens 50 Prozent im Eigentum oder unter der Kontrolle einer gelisteten Person oder Organisation stehen^[8]
3. Schiffe und Flugzeuge: Bei Seetransporten oder Luftfracht muss das Transportmittel selbst geprüft werden – die EU-Listen führen aktuell 632 gelistete Schiffe^[3]
4. Digitale Infrastruktur: Bei Cloud-Diensten, SaaS-Angeboten oder KI-Modellen müssen Serverstandorte, Hosting-Anbieter und die Herkunft der Kunden geprüft werden
5. Zahlungsströme: SWIFT-Codes, Kryptowährungen und Zahlungsdienstleister unterliegen ebenfalls der Prüfpflicht

Ein konkretes Einstellungsangebot löst zudem die Pflicht zur Sanktionslistenprüfung von Arbeitnehmern aus. Diese Prüfung ist nach DSGVO zulässig, sobald das Angebot vorliegt, und muss dokumentiert werden^[9]. Eine anlasslose Prüfung ohne konkretes Beschäftigungsverhältnis ist hingegen unzulässig.

Digitale Compliance: Wie Sanktionen KI- und SaaS-Unternehmen treffen

Für Unternehmen, die digitale Produkte oder Dienstleistungen anbieten, gelten dieselben Sanktionsregime wie für Warenexporteure. Ein mittelständisches KI-Unternehmen aus München, das eine Lead-Generierungs-Software über AWS betreibt, muss prüfen, ob Kunden in sanktionierten Ländern das Tool nutzen. Wenn AWS Server in Irland betreibt, ist das unproblematisch. Betreibt AWS jedoch Server in den USA und ein Kunde in Russland nutzt das Tool, könnte das gegen US-Sanktionen verstoßen – selbst wenn das deutsche Unternehmen keine direkte Verbindung zu Russland hat.

Die DSGVO und der EU AI Act verschärfen die Anforderungen: Hochrisiko-KI-Systeme, die in sanktionierten Ländern eingesetzt werden, können gegen Art. 52 der EU-Grundrechtecharta verstoßen^[16]. Zahlungsabwicklungen über Kryptowährungen oder SWIFT müssen ebenfalls geprüft werden – die US-SDN-Liste führt aktuell 797 gelistete Krypto-Wallets^[11].

Wie unterscheiden sich die Rechtsräume?

Eine weltweit einheitliche Sanktionsliste existiert nicht. Jede Jurisdiktion führt eigene Listen mit eigenem Geltungsbereich:

• UN Security Council Consolidated List: 730 natürliche Personen und 272 Einrichtungen (Stand 8. Juli 2026)^[10]
• US-amerikanische SDN-Liste: rund 19.800 Sanktionsziele, darunter 7.475 Personen, 9.701 Organisationen, 1.494 Schiffe, 344 Luftfahrzeuge und 797 Krypto-Wallets^[11]
• UK Sanctions List: seit 28. Januar 2026 die einzige maßgebliche britische Quelle^[12]
• Schweiz: eigene Verordnungen mit zeitversetztem Nachvollzug der EU-Pakete^[4]

Für Unternehmen in Deutschland sind die EU-Listen unmittelbar verbindlich. Die UN-Listen werden durch EU-Verordnungen in europäisches Recht umgesetzt und sind damit ebenfalls verpflichtend^[13]. Die US-Listen gelten nicht direkt, können aber relevant werden, wenn ein Unternehmen US-Dollar-Zahlungen abwickelt oder US-Tochtergesellschaften hat. Unternehmen mit US-Dollar-Zahlungen oder US-Tochtergesellschaften müssen die OFAC-Liste prüfen, da US-Banken und Zahlungsdienstleister sanktionierte Transaktionen blockieren können.

Wer nur eine dieser Listen prüft, übersieht Treffer aus den anderen Rechtsräumen. Ein bulgarischer Zulieferer kann auf der EU-Liste stehen, ohne auf der UN-Liste geführt zu werden. Ein Schweizer Geschäftspartner kann vier Wochen früher auf der EU-Liste erscheinen als auf der Schweizer Liste^[4].

Wie lässt sich die Prüfung rechtssicher umsetzen?

Die IHK empfiehlt die Nutzung offizieller EU-Datenbanken oder zertifizierter Dienstleister^[7]. Die manuelle Prüfung über die EU-Sanktionskarte (sanctionsmap.eu) ist möglich, aber fehleranfällig: Namensgleichheiten, Transliterationsvarianten (z. B. kyrillische oder arabische Namen) und komplexe Eigentümerstrukturen lassen sich manuell kaum zuverlässig abbilden.

Automatisierte Lösungen wie Am I Compliant gleichen Kunden, Lieferanten und verbundene Firmen in Sekunden gegen über 200 offizielle Sanktions-, PEP- und Kriminalitätslisten aus EU, UN, OFAC, UK und Schweiz ab. Jede Prüfung wird als auditfestes PDF mit Prüf-URL dokumentiert; die Übertragung ist verschlüsselt und DSGVO-konform. Die Prüfpflicht gilt größenunabhängig für jedes Unternehmen.

Die Kosten für KMU steigen durch Automatisierung um 15 bis 20 Prozent (Sorgfalt-Analyse, 2026: Stichprobe n=12, mittelständische Industrie- und Handelsunternehmen, Zeitraum Januar–Juli 2026), doch die Alternative ist riskanter: Ein einziger unentdeckter Verstoß kann die Exportlizenz kosten und Bußgelder auslösen, die den Jahresgewinn übersteigen.

Kosten-Nutzen-Rechnung: Manuelle Prüfung vs. Automatisierung

Für ein Unternehmen mit 200 Kundenprüfungen pro Monat kostet die manuelle Prüfung (30 Minuten pro Prüfung × 200 = 100 Stunden pro Monat) 5.000 Euro Arbeitszeit. Ein zertifiziertes Tool reduziert die Zeit auf 5 Minuten pro Prüfung (16 Stunden pro Monat = 800 Euro) – bei einer Ersparnis von 4.200 Euro pro Monat. Die Investition in ein Tool amortisiert sich bereits nach zwei bis drei Monaten.

Das durchschnittliche Bußgeld bei Verstößen liegt bei 1,2 Millionen Euro (Sorgfalt-Analyse, 2026: Auswertung von 8 öffentlich dokumentierten Bußgeldverfahren, Zeitraum 2023–2026), die Wahrscheinlichkeit eines Verstoßes bei 1:500. Der erwartete Schaden beträgt also 2.400 Euro pro Jahr – deutlich höher als die Tool-Kosten.

Wie gehe ich mit falsch-positiven Treffern um?

Automatisierte Systeme können zu falsch-positiven Ergebnissen führen – etwa bei Namensgleichheiten oder unvollständigen Adressangaben^[15]. Ein Notfallplan ist deshalb zwingend:

1. Sofortige Dokumentation: Screenshot des Treffers, Datum, Uhrzeit, geprüfte Datenfelder
2. Manuelle Nachprüfung: Abgleich der vollständigen Identitätsmerkmale (Geburtsdatum, Geburtsort, Adresse, Handelsregisternummer)
3. Freigabe durch Compliance Officer: Schriftliche Freigabe mit Begründung, warum kein echter Treffer vorliegt
4. Archivierung: Dokumentation für mindestens fünf Jahre aufbewahren (Aufbewahrungsfrist nach § 257 HGB)

Die EU-Grundrechtecharta verlangt, dass Sanktionsprüfungen verhältnismäßig sein müssen (Art. 52 Charta)^[16]. Eine zu extensive Prüfung, die systematisch zu Fehltreffern führt und Geschäftsbeziehungen ohne Grund blockiert, kann gegen Art. 8 Grundrechtecharta (Schutz personenbezogener Daten) verstoßen^[16].

In 80 Prozent der Fälle sind Falsch-Positive auf Namensgleichheiten zurückzuführen (Sorgfalt-Analyse, 2026: Auswertung von 1.200 Prüfungen, Zeitraum Januar–Juli 2026). Eine manuelle Nachprüfung anhand vollständiger Identitätsmerkmale löst das Problem in der Regel innerhalb von zehn Minuten.

Wie können Unternehmen Sanktionsprüfung effektiv umsetzen?

Die Sanktionsprüfung ist keine optionale Bürde, sondern eine existenzielle Notwendigkeit. Die EU-Sanktionslisten wachsen weiter – das 21. Paket wird für Herbst 2026 erwartet. Unternehmen, die jetzt keine auditfeste Prüfung implementieren, riskieren nicht nur Bußgelder, sondern den Verlust von Exportlizenzen und Geschäftspartnern.

Konkrete Schritte:

1. Tagesaktuelle Prüfung einrichten: Nutzen Sie automatisierte Tools, die alle relevanten Listen (EU, UN, OFAC, UK, Schweiz) abdecken
2. 50-Prozent-Regel umsetzen: Prüfen Sie nicht nur den direkten Geschäftspartner, sondern auch dessen Eigentümer und Kontrollinhaber – Handelsregisterauszüge, BvD-Reports oder LinkedIn-Profile helfen bei der Identifikation des Ultimate Beneficial Owner (UBO)
3. Schulung der Mitarbeiter: Sensibilisieren Sie Vertrieb, Einkauf und Buchhaltung für die Prüfpflicht – wann eine Sanktionslistenprüfung erforderlich ist, sollte jeder kennen
4. Dokumentation: Jede Prüfung muss nachvollziehbar sein – auch Jahre später im Bußgeldverfahren
5. Notfallplan für Treffer: Legen Sie fest, wer bei einem Treffer entscheidet und wie die Freigabe dokumentiert wird

Checkliste: So prüfen Sie einen Geschäftspartner in fünf Schritten

1. Direkte Prüfung: EU-Sanktionsliste über sanctionsmap.eu oder automatisiertes Tool
2. Eigentümerstruktur: Handelsregisterauszug, BvD-Report, LinkedIn-Profile
3. Cloud & Server: AWS/Azure-Geo, Hosting-Anbieter
4. Zahlungsweg: SWIFT-Code, Krypto-Adresse
5. Dokumentation: Screenshot, Prüf-URL, Freigabe durch Compliance

Für KMU, die keine eigene Compliance-Abteilung haben, bietet die IHK kostenlose Erstberatung zur Sanktionsprüfung an^[7]. Automatisierte Sanktionslistenprüfung für kleine und mittelständische Unternehmen ist heute keine Frage der Größe mehr, sondern eine Frage der Geschäftsgrundlage.

Fazit

Die Sanktionsprüfung ist kein einmaliger Compliance-Akt, sondern ein laufender Prozess. Die EU-Listen ändern sich wöchentlich, die Eigentümerstrukturen von Geschäftspartnern sind oft intransparent, und die rechtlichen Konsequenzen bei Verstößen sind existenzbedrohend.

Unternehmen, die heute keine tagesaktuelle, auditfeste Prüfung gegen alle relevanten Listen durchführen, setzen ihre Exportfähigkeit aufs Spiel. Die Geschäftsführung haftet persönlich – und kann sich nicht auf Unwissenheit berufen. Software für Ihre Sanktionsprüfung zur Minderung von Lieferkettenrisiken ist heute keine Kür mehr, sondern Pflicht.

Häufig gestellte Fragen

Müssen auch Schweizer Unternehmen EU-Sanktionslisten prüfen?

Schweizer Unternehmen müssen die Schweizer Sanktionslisten prüfen, die vom SECO veröffentlicht werden. Diese Listen übernehmen EU-Sanktionen oft zeitversetzt – wie beim 20. EU-Russland-Paket, das die Schweiz erst vier Wochen nach der EU umsetzte^[4]. Schweizer Unternehmen, die mit EU-Partnern handeln, sollten beide Listen prüfen.

Wie oft müssen Unternehmen Sanktionslisten aktualisieren?

Die EU-Listen werden ohne Vorlaufzeit aktualisiert und gelten ab dem Moment der Veröffentlichung^[5]. Für neue Verträge ist eine tagesaktuelle Prüfung zwingend. Bei Bestandspartnern empfiehlt sich eine monatliche Nachprüfung, um Zwischenlistungen nicht zu übersehen.

Darf ein Unternehmen manuell prüfen oder ist Automatisierung Pflicht?

Die manuelle Prüfung über die EU-Sanktionskarte ist zulässig, aber fehleranfällig. Die IHK empfiehlt zertifizierte Dienstleister^[7]. Eine Automatisierung ist keine rechtliche Pflicht, aber angesichts der Komplexität (Transliterationsvarianten, Eigentümerstrukturen, 200+ Listen) praktisch unumgänglich.