Sanktionslistenprüfung automatisiert: EU-Vorgaben, Werkzeuge, Belegkette

Die EU unterhält rund 40 thematische Sanktionsregime mit über 2.500 gelisteten natürlichen Personen und Organisationen, ergänzt um Güter- und Sektorlisten in den Verordnungen zu Russland, Belarus, Iran, Syrien, Nordkorea und weiteren Adressaten. Wer ein Unternehmen in Deutschland führt, muss diese Vorgaben einhalten, auch wenn er nicht im klassischen Außenwirtschaftsverkehr aktiv ist. Die Verordnung (EU) 2580/2001 zur Bekämpfung der Terrorismusfinanzierung und die jeweiligen Länderverordnungen, etwa (EU) 833/2014 zu Russland, untersagen die Bereitstellung wirtschaftlicher Ressourcen an gelistete Personen oder Organisationen. Ein Verstoß ist nach § 18 AWG strafbar mit Freiheitsstrafe bis zu zehn Jahren oder Geldstrafe, juristische Personen treffen Bußgelder nach § 30 OWiG.

Die manuelle Prüfung gegen die konsolidierte EU-Sanktionsliste ist bei mehr als wenigen Kunden, Lieferanten oder Mitarbeitern praktisch nicht leistbar. Eine automatisierte Prüfung mit täglich aktualisierter Datenquelle, Treffer-Prozess und Belegkette ist daher der Stand der Technik. Dieser Beitrag erklärt die rechtliche Pflichtenlage, die Architekturoptionen, die Schnittstellen zur konsolidierten EU-Liste, den Umgang mit Treffern und Falschtreffern sowie die Verzahnung mit Geldwäschegesetz, Außenwirtschaftsrecht und der Bestellurkunde des Geldwäschebeauftragten. Audit-fest, dokumentiert, § ...-fest gilt auch für jede Sanktionsprüfung, die Sie heute durchführen.

Die Pflicht zur Sanktionslistenprüfung leitet sich aus mehreren Quellen ab. Erste Quelle sind die EU-Sanktionsverordnungen selbst. Die Verordnung (EG) 881/2002 zu Al-Qaida-nahen Personen, die Verordnung (EU) 2580/2001 zur Terrorismusfinanzierung sowie die Länderverordnungen (EU) 833/2014 zu Russland, (EU) 765/2006 zu Belarus, (EU) 267/2012 zu Iran, (EU) 36/2012 zu Syrien und weitere enthalten ein Bereitstellungsverbot: Es ist verboten, Personen, Organisationen oder Einrichtungen auf der jeweiligen Liste finanzielle Mittel, wirtschaftliche Ressourcen oder Dienstleistungen direkt oder indirekt zur Verfügung zu stellen. Daraus folgt eine Prüfpflicht gegen die konsolidierte Liste vor jeder Bereitstellung.

Zweite Quelle ist das deutsche Außenwirtschaftsgesetz (AWG) und die Außenwirtschaftsverordnung (AWV). § 18 AWG kriminalisiert Verstöße gegen die EU-Sanktionen, § 19 AWG sieht Bußgelder vor. Dritte Quelle ist das Geldwäschegesetz: Im Rahmen der verstärkten Sorgfaltspflichten nach § 15 GwG ist die Sanktionsprüfung Teil des Kunden-Screenings, insbesondere bei Hochrisikoländern oder politisch exponierten Personen. Vierte Quelle sind branchenspezifische Vorgaben, etwa die BaFin-Rundschreiben für Banken und Finanzdienstleister. Die Geldwäschebeauftragten-Rolle deckt die GwG-Seite ab, ergänzt um die Schnittstelle zum Exportkontrollverantwortlichen, der die Sanktionsverstöße im Außenwirtschaftskontext überwacht. Ohne klare Zuordnung der Verantwortlichkeiten entstehen graue Zonen, in denen sich Beteiligte gegenseitig zuschauen, während ein Trefferfall ungeprüft durchläuft. Hinzu kommt das Embargo-spezifische Strafrecht: § 17 AWG sanktioniert vorsätzliche Verstöße gegen Waffenembargos mit Freiheitsstrafe von einem bis zu zehn Jahren, in besonders schweren Fällen länger. Auch fahrlässige Verstöße sind nach § 18 Absatz 5 AWG strafbar. Wer als Geschäftsleitung die Einführung einer wirksamen Sanktionsprüfung verzögert, riskiert nicht nur Bußgelder, sondern persönliche strafrechtliche Verantwortung. Die Bundesbank-Webseite informiert dazu monatlich über aktuelle Listungsänderungen, mehr als ein Indiz für die Aufsichtspraxis ist die unmittelbare Verbindlichkeit der Verordnungen selbst.

Die EU veröffentlicht eine konsolidierte Liste der finanziellen Sanktionen über den Financial Sanctions Files (FSF) der Generaldirektion Finanzstabilität, Finanzdienstleistungen und Kapitalmarktunion. Die Liste ist als XML-Datei abrufbar, wird in der Regel bei Listungsänderungen mehrmals pro Woche aktualisiert und enthält alle Personen und Organisationen, die unter den EU-Sanktionsverordnungen gelistet sind. Jeder Eintrag enthält strukturierte Felder wie Name, Aliasnamen, Geburtsdatum, Geburtsort, Adressen, Pass- und Ausweisnummern sowie die Listungsgrundlage und das Datum der Listung. Die Daten werden unentgeltlich bereitgestellt, ein Konto wird nicht benötigt.

Ergänzend werden weitere Listen benötigt: die UN-Sanktionsliste (sofern nicht ohnehin in EU-Recht umgesetzt), die OFAC SDN-Liste für US-Geschäftsbeziehungen, die UK HMT-Sanktionsliste für Geschäftsbeziehungen ins Vereinigte Königreich, die Schweizer SECO-Liste, sowie nationale Listen für bestimmte Sektoren. Eine automatisierte Lösung sollte mehrere Listen parallel führen, die EU-Liste als Mindeststandard, weitere je nach Geschäftsbezug. Die Aktualisierung muss täglich erfolgen, idealerweise als Pull-Job am frühen Morgen, bevor das operative Geschäft startet. Andere führen Compliance wie einen Aktenschrank. Wir führen sie wie Software. Im CIVAC-Workspace wird die Aktualisierungslogik automatisiert abgebildet und jede Listenversion mit Zeitstempel archiviert, sodass spätere Prüfungen rekonstruiert werden können. Eine Listenarchitektur unterscheidet zwischen Kern-, Sekundär- und Spezial-Listen. Kern sind EU, UN, OFAC, UK HMT und SECO. Sekundär sind die Listen befreundeter Drittstaaten, die für bestimmte Geschäftsbeziehungen relevant werden. Spezial sind PEP-Listen, Mediensanktionslisten und Adverse-Media-Indikatoren, die zwar nicht zwingend verboten sind, aber zur verstärkten Sorgfalt führen. Ein Versionsverlauf je Liste, mit Datum, Dateigröße, Hashwert und Importprotokoll, gehört in die Belegkette.

Eine automatisierte Sanktionsprüfung besteht aus mehreren Bausteinen. Erstens die Datenquelle, also die täglich aktualisierte konsolidierte Liste, idealerweise mit Versionsverwaltung. Zweitens die zu prüfenden Stammdaten: Kunden, Lieferanten, wirtschaftlich Berechtigte, Mitarbeiter, Geschäftsleiter, Zahlungsempfänger, Frachtempfänger. Drittens die Matching-Engine, die Namen, Geburtsdaten, Adressen und gegebenenfalls Ausweisnummern mit den Listen abgleicht und fuzzy-tolerant arbeitet, also Schreibvarianten, Transliterationen und Tippfehler erkennt. Viertens der Trefferfall-Prozess mit Prüfung, Eskalation, Entscheidung und Dokumentation. Fünftens die Belegspeicherung, die jeden Prüfvorgang mit Zeitstempel, Listenversion, Datenstand und Entscheidungsverlauf revisionssicher ablegt.

Die Matching-Engine ist der technisch anspruchsvollste Teil. Reine String-Equality-Vergleiche reichen nicht aus, weil Namen in unterschiedlichen Schreibweisen vorkommen (kyrillisch vs. lateinisch, mit oder ohne Vatersname, mit oder ohne Bindestrich, mit verschiedenen Transliterationen). Üblich sind Algorithmen wie Soundex, Metaphone, Jaro-Winkler oder Levenshtein-Distanz, ergänzt um Aliaslisten und kontextuelle Heuristiken. Die Treffer werden in Konfidenzklassen sortiert: sicher, wahrscheinlich, möglich, unwahrscheinlich. Die Schwellwerte sind dokumentiert und werden regelmäßig anhand von Falschtrefferquoten kalibriert. Eine zu enge Schwelle führt zu Missern, eine zu weite zu Falschtrefferfluten und entsprechender Mitarbeiterermüdung. Eine ausbalancierte Kalibrierung mit dokumentierter Schwellwerthistorie ist Stand der Technik und sollte in der Verfahrensbeschreibung der internen Sicherungsmaßnahmen erscheinen. Zur Architektur gehört ferner die Frage, an welcher Stelle des Geschäftsprozesses geprüft wird. Sinnvoll sind Prüfpunkte vor der Anlage eines neuen Kunden im ERP, vor jeder ausgehenden Zahlung im Treasury-System, vor jeder Bestellung im Einkauf und periodisch über den gesamten Stammdatenbestand. Eine echte Real-Time-Prüfung in der Transaktion verhindert, dass eine Zahlung an einen erst kurz zuvor gelisteten Empfänger ungeprüft durchläuft, vorausgesetzt die Schnittstelle zwischen Zahlungssystem und Sanktionslisten-Engine ist konsistent gestaltet.

Wenn die Matching-Engine einen Treffer ausweist, beginnt der eigentliche Compliance-Prozess. Schritt eins ist die Trefferprüfung durch einen geschulten Mitarbeiter, der die Konfidenzklasse, die Übereinstimmungspunkte und die Listungsgrundlage analysiert. Schritt zwei ist die Sachverhaltsklärung: Identitätsabgleich mit den vorhandenen Kundendaten, Klärung über Aliase, Geburtsdaten und Adressen, gegebenenfalls direkte Kontaktaufnahme zum Kunden zur Klärung. Schritt drei ist die Entscheidung: Falschtreffer (mit Begründung in der Akte), Treffer mit Einfrieren der Geschäftsbeziehung oder Eskalation an Geschäftsleitung und Geldwäschebeauftragten.

Bei einem bestätigten Treffer ist die Geschäftsbeziehung sofort einzufrieren, eine Zahlung oder Lieferung darf nicht ausgeführt werden. Die Deutsche Bundesbank ist nach Art. 8 der jeweiligen EU-Verordnung über das eingefrorene Vermögen zu informieren, das Bundesamt für Wirtschaft und Ausfuhrkontrolle (BAFA) wird je nach Sanktionsregime einbezogen. Bei Bezug zum Geldwäschegesetz erfolgt zusätzlich eine Verdachtsmeldung nach § 43 GwG an die FIU. Frist läuft ab Kenntnis: Die Meldung darf nicht in Erwartung weiterer Erkenntnisse verzögert werden. Der gesamte Vorgang wird im Workspace mit Zeitstempel, beteiligten Personen, vorgelegten Dokumenten und entschiedenem Ergebnis dokumentiert. Audit-fest, dokumentiert, § 18 AWG-fest. Bei späteren Aufsichtsbesuchen oder im Strafverfahren ist diese Belegkette die wesentliche Entlastung. Eine wichtige Nebenpflicht ist das interne Kommunikationsverbot, das sogenannte Tipping-off-Verbot nach § 47 GwG: Der betroffene Kunde darf bei einer Verdachtsmeldung an die FIU oder einer Sanktions-Eskalation nicht über den Vorgang informiert werden, sonst droht eine zusätzliche Straftat. Eine Schulung der beteiligten Mitarbeiter zu Wortlaut und Tonfall der Kundenansprache im Trefferfall verhindert, dass aus operativem Aktionismus ein zweiter Straftatbestand entsteht. Auch eine vorbereitete Kommunikationsvorlage gehört in die Audit-Vorlagen.

Die EU-Sanktionen beschränken sich nicht auf Personenlisten. Zahlreiche Verordnungen enthalten Güter- und Sektorbeschränkungen, etwa das Embargo für Dual-Use-Güter nach Verordnung (EU) 2021/821, das Russland-Embargo nach (EU) 833/2014 mit umfangreichen Güter- und Technologielisten, das Iran-Embargo (EU) 267/2012 mit Bezug zu Nuklear- und Raketentechnologie oder das Belarus-Embargo (EU) 765/2006 mit Beschränkungen für Holzwerkstoffe, Kalisalze und Energieprodukte. Wer technische Güter, Software oder Dienstleistungen exportiert, muss eine Klassifizierung nach Güterlisten durchführen und prüfen, ob das konkrete Geschäft genehmigungs- oder verbotsbehaftet ist.

Eine automatisierte Lösung kann diese Sektor-Sanktionen unterstützen, indem sie Produktcodes (HS-Code, Dual-Use-Listenkennung) mit den Sanktions-Güterlisten abgleicht. Voraussetzung ist die korrekte Klassifizierung der eigenen Produkte. Die Verantwortung dafür liegt beim Unternehmen, nicht beim Tool. Die Rollenseite im Überblick zeigt, welche Beauftragten für welche Sanktions- und Exportkontrollaspekte zuständig sein können, vom Geldwäschebeauftragten über den Exportkontrollverantwortlichen bis zur Geschäftsleitung. Der Prüfer ruft an, der Nachweis liegt bereit. Die Audit-Spur muss erkennen lassen, dass die Klassifizierung bewusst und mit Belegen erfolgte, etwa durch eine Stoff- oder Produktstammdatenbank mit dokumentierter Klassifizierungsentscheidung und Verantwortlichem. Hinzu kommen Dienstleistungs-Sanktionen, die in den letzten Jahren stark ausgeweitet wurden. Wirtschaftsprüfungs-, Rechts-, Beratungs- und IT-Dienstleistungen unterliegen je nach Ziel- oder Herkunftsland eigenen Beschränkungen. Wer eine SaaS-Lizenz an einen Kunden mit russischem Geschäftsbezug verkauft, sollte die Liste der untersagten Dienstleistungen kennen und in der Sanktionsprüfung berücksichtigen, ergänzt um eine Klärung, ob ein Genehmigungsverfahren in Betracht kommt.

Das Bereitstellungsverbot der EU-Sanktionen gilt nicht nur für direkte Lieferungen an gelistete Personen, sondern auch für mittelbare Bereitstellungen über Strohleute, verbundene Unternehmen oder Treuhandkonstruktionen. Wer einen Kunden in einem Drittstaat hat, dessen wirtschaftlich Berechtigter eine gelistete Person ist, fällt unter das Verbot. Die Sanktionsliste verweist häufig auf Beteiligungsschwellen (typischerweise 50 Prozent Eigentum oder kontrollierender Einfluss), unterhalb derer die Bereitstellung möglich bleibt, wenn keine Hinweise auf eine Umgehungskonstellation vorliegen. Die Prüfung der Eigentümerstruktur ist daher Teil der Sanktionsprüfung und überschneidet sich mit der Pflicht zur Ermittlung des wirtschaftlich Berechtigten nach § 11 GwG.

Praktisch hat sich bewährt, ein Beneficial-Ownership-Screening in die Sanktionsprüfung zu integrieren. Quellen sind Handelsregister, Transparenzregister nach § 18 GwG, Wirtschafts- und Kreditdatenbanken sowie Selbstauskünfte des Kunden. Bei Unklarheiten ist eine verstärkte Sorgfaltspflicht angezeigt: zusätzliche Dokumentation, Geschäftsleitungsfreigabe, engmaschigere Überwachung. Bestellurkunde, unterschrieben, abgelegt, belegbar: Diese Logik gilt nicht nur für den Beauftragten selbst, sondern auch für jede Geschäftsleitungsfreigabe einer riskanten Geschäftsbeziehung. Ohne dokumentierte Freigabe trägt der einzelne Mitarbeiter die Verantwortung, was im Trefferfall personelle Folgen haben kann. Eine klar geführte Eskalationsmatrix verhindert solche Fehlzuordnungen und stabilisiert die Verantwortlichkeit auf der richtigen Ebene. Bei Geschäftsbeziehungen mit Bezug zu Drittstaaten lohnt sich außerdem eine schriftliche Sanktions-Klausel im Vertrag, die der Gegenseite die Pflicht auferlegt, Sanktionsverstöße auszuschließen und die eigene Eigentümerstruktur transparent offenzulegen. Eine solche Klausel schafft im Trefferfall einen Anhaltspunkt für die zivilrechtliche Auflösung des Vertrags ohne Schadensersatzansprüche der Gegenseite. Sie ist kein Ersatz für die operative Prüfung, sondern eine vertragliche Absicherung.

Jede Sanktionsprüfung muss nachweisbar sein, sonst gilt sie als nicht durchgeführt. Die Belegkette umfasst mindestens: den geprüften Datensatz (Name, Geburtsdatum, Adresse, wirtschaftlich Berechtigter, Produkt- oder Güterklassifizierung), die Listenversion mit Datum, die Konfidenzklasse des Treffers, die Entscheidung mit Begründung und Verantwortlichem sowie den Zeitstempel des Vorgangs. Bei Treffern sind zusätzlich die Eskalationsschritte, die Meldungen an Bundesbank, BAFA oder FIU sowie die Kommunikation mit dem Kunden zu dokumentieren. Die Aufbewahrungsfrist richtet sich nach § 8 GwG (regelmäßig 5 Jahre, in besonderen Fällen länger) und nach § 257 HGB für die Handelsdokumentation.

Die Belegkette muss im Audit nachvollziehbar sein. Reine Logfiles ohne Geschäftskontext genügen nicht. Eine prüffähige Lösung verknüpft jeden Prüfvorgang mit dem auslösenden Geschäftsvorgang (Kundenanlage, Bestellung, Zahlungseingang) und mit dem verantwortlichen Mitarbeiter. Wer das im CIVAC-Workspace abbildet, kann die Belegkette in wenigen Klicks für Aufsicht, Wirtschaftsprüfer oder die eigene Geschäftsleitung darstellen. Lizenzieren Sie den Workspace für Ihre internen Beauftragten, oder lassen Sie unsere Beauftragten bestellen, je nach Eigenkapazität. Die 490 einsatzbereiten Audit-Vorlagen umfassen unter anderem eine Vorlage Sanktionsprüfung-Protokoll, eine Vorlage Trefferentscheid und eine Vorlage Meldung an Bundesbank. So lässt sich das Belegmanagement standardisieren, ohne die individuelle Sachverhaltsbeurteilung zu beschneiden. Zur Belegkette gehören auch die Schulungsnachweise der prüfenden Mitarbeiter. Wer ohne dokumentierte Schulung Trefferentscheidungen fällt, riskiert, dass die Aufsicht der Entscheidung die Sachkunde abspricht. Ein jährlicher Schulungstermin mit Fallbeispielen, dokumentiert mit Teilnehmerliste, Schulungsmaterial und Wissenstest, schließt diese Lücke. Eine zentrale Schulungsdatenbank zeigt, wer wann welchen Stand erreicht hat, und stößt automatisch Erinnerungen vor Ablauf eines Schulungszyklus aus.

Erstens: Manuelle Prüfung bei mittlerem oder hohem Bestand. Wer wöchentlich gegen die Liste manuell abgleicht, übersieht zwischenzeitliche Listungsänderungen und kann den Audit-Nachweis nicht führen. Zweitens: Einmalprüfung bei Vertragsschluss ohne laufendes Monitoring. Listungen erfolgen kurzfristig, Bestandskunden können nachträglich gelistet werden. Drittens: Reine Namensprüfung ohne Beneficial-Ownership-Abgleich. Wer den Strohmann nicht erkennt, riskiert das Bereitstellungsverbot zu umgehen. Viertens: Falschtrefferentsorgung ohne Dokumentation. Wer den Falschtreffer einfach wegklickt, kann später nicht belegen, dass die Prüfung sorgfältig erfolgte.

Fünftens: Fehlende Eskalationsregeln. Mitarbeiter ohne Trainingsstand und ohne klare Eskalationsmatrix treffen ad hoc Entscheidungen, die unter Druck nicht zu rekonstruieren sind. Sechstens: Vernachlässigung der Sektor-Sanktionen, weil sie weniger sichtbar sind als die Personenlisten. Ein Lieferant von Industrieelektronik nach Russland hat seit 2022 erheblich verschärfte Pflichten, auch wenn der Kunde nicht persönlich gelistet ist. Siebtens: Unkalibrierte Schwellwerte, die entweder zu viele Falschtreffer oder zu wenige Treffer erzeugen. Eine quartalsweise Kalibrierung anhand der eigenen Statistik ist Stand der Technik. Aus dem Lesen einen Auftrag machen: Wer diese Fehler in der eigenen Organisation entdeckt, sollte sie nicht stehen lassen, sondern aktiv adressieren und in den nächsten Anhörungsbericht des Geldwäsche- oder Exportkontrollbeauftragten aufnehmen, damit die Geschäftsleitung in die Korrektur eingebunden ist. Achtens und schließlich: Fehlende Notfallregeln für Listungen großer Bestandskunden. Wer einen langjährigen Geschäftspartner auf der Liste findet, braucht einen vorbereiteten Eskalationsweg mit Rechtsabteilung, Geschäftsleitung und gegebenenfalls Bundesbank. Ohne diesen Plan vergehen Stunden mit Diskussionen, in denen Zahlungen weiter laufen, ein erhebliches Risiko. Eine vorbereitete Notfall-Runbook-Vorlage mit Telefonliste, Vorlagentexten und Entscheidungspfaden kann diese Lücke schließen.

CIVAC ist eine Compliance-Plattform und Officer-as-a-Service mit 25 Beauftragten-Rollen, alle live. Für die Sanktionsprüfung bedeutet das: tägliche Aktualisierung der konsolidierten EU-Liste mit Versionsverwaltung, fuzzy-tolerante Matching-Engine mit dokumentierten Schwellwerten, Trefferprozess mit Eskalationsmatrix, Vorlagen für Bundesbank-Meldung, BAFA-Anzeige und FIU-Verdachtsmeldung, revisionssichere Belegspeicherung mit Zeitstempel und Verantwortlichem. Audit-fest, dokumentiert, § 18 AWG- und § 5 GwG-fest. Hinzu kommen die EU-Datenresidenz und das ISMS nach ISO/IEC 27001:2022 mit 93 Controls, damit Personen- und Geschäftsdaten der Prüfung auf gleichem Schutzniveau bleiben wie die übrige Compliance.

Zwei Modelle stehen zur Wahl. Lizenzieren Sie den Workspace für Ihre internen Beauftragten, oder lassen Sie unsere Beauftragten bestellen. Im Lizenzmodell erhalten Ihr Geldwäsche- und Exportkontrollbeauftragter die operative Infrastruktur, im Mandatsmodell stellt CIVAC den entsprechenden Beauftragten extern, inklusive Berichtswesen und Vertretung. Beide Wege enden im selben Auditpfad: prüffähig, datiert, freigegeben. Der Prüfer ruft an, der Nachweis liegt bereit. Aus dem Lesen einen Auftrag machen. Schreiben Sie an info@civac.de oder nutzen Sie das Kontaktformular unter civac.de/faq für eine Erstindikation Ihrer Belegkette und Ihrer Schwellwertkalibrierung. Innerhalb der CIVAC-SLA von 2 Werktagen erhalten Sie eine konkrete Einschätzung, statt der klassischen 2 bis 6 Wochen Vorlauf bei externen Beratern. So entsteht aus einem regulatorischen Risiko ein steuerbarer Prozess, mit klaren Verantwortlichkeiten, dokumentiertem Schwellwert-Modell und einer Belegkette, die auch dem nächsten Wirtschaftsprüfer oder Aufseher standhält. Wer den ersten Termin nutzt, um eine Lückenliste zu produzieren, hat anschließend eine konkrete Roadmap, statt sich weiter in allgemeinen Diskussionen zu verlieren.