Sanktionslistenprüfung: So wählen Sie die passende Software

Eine Software für die Sanktionslistenprüfung muss täglich mindestens EU-, UN-, OFAC-, UK- und BAFA-Listen aktualisieren, ausschließlich in EU-Rechenzentren verarbeiten und jede Prüfung als auditfestes Protokoll dokumentieren. Wer nur Teilmengen prüft oder auf veraltete Daten setzt, riskiert Bußgelder bis 40 Millionen Euro nach § 19 AWG und strafrechtliche Haftung nach § 13 und § 14.2 StGB. Ab 50 Geschäftspartnern pro Monat ist eine manuelle Prüfung weder wirtschaftlich noch rechtssicher.

Warum genügt eine beliebige Compliance-Software nicht?

Die EU Consolidated Financial Sanctions List umfasst rund 5.900 Sanktionsziele, die US-amerikanische SDN-Liste etwa 19.800^[1]. Keine einheitliche Weltliste existiert – stattdessen führen UN, EU, USA, UK und Schweiz eigene Verzeichnisse mit eigenem Geltungsbereich. Wer nur EU-Listen prüft, übersieht OFAC-Treffer; wer nur OFAC prüft, übersieht EU-Listungen. Die Schweiz übernahm die Listungen des 20. EU-Russland-Pakets vom 23. April 2026 erst am 22. Mai 2026^[1].

Eine Software, die nur eine Teilmenge abdeckt oder keine täglichen Updates bietet, erzeugt Compliance-Lücken. Veraltete Daten führen zudem zu unnötigen False Positives – also Fehlalarmen, die Mitarbeiter binden und Geschäftsprozesse verzögern. Die Anforderung an „zumutbare Organisationsmaßnahmen" nach § 130 OWiG bedeutet konkret: Das Unternehmen muss nachweisen, dass es alle relevanten Listen geprüft hat. Eine Software ohne auditfeste Protokollierung erfüllt diese Anforderung nicht.

Welche Kriterien entscheiden über die richtige Wahl?

Muss die Lösung wirklich in der EU betrieben werden?

Für Unternehmen im DACH-Raum ist die Frage, wo personenbezogene Daten verarbeitet werden, rechtlich entscheidend. Die DSGVO verlangt nach Art. 32, dass die Sicherheit der Verarbeitung gewährleistet ist. Viele internationale Anbieter nutzen Cloud-Infrastrukturen in den USA oder anderen Drittländern – das birgt Risiken durch den US Cloud Act und andere extraterritoriale Zugriffe.

Der Europäische Gerichtshof hat in mehreren Urteilen klargestellt, dass der Schutz personenbezogener Daten nach Art. 8 der EU-Grundrechtecharta nicht durch Drittland-Transfers ausgehebelt werden darf^[2]. Eine EU-souveräne Lösung bedeutet:

• Entwicklung und Betrieb ausschließlich in der EU
• Datenverarbeitung in EU-Rechenzentren ohne Transfer in Drittländer nach Art. 44–49 DSGVO
• Zertifizierungen wie ISO 27001 oder SOC 2 Type II

Unternehmen sollten explizit nachfragen, ob Subunternehmer außerhalb der EU eingesetzt werden. Laut einer Studie zur DSGVO-Konformität von Sanktionslisten-Software erfüllen nur 60 Prozent der getesteten Lösungen alle EU-Anforderungen^[3]. Aktuelle Embargomaßnahmen und Sanktionslisten können über das BAFA – Embargos und Sanktionen abgerufen werden.

Wie aktuell sind die Datenbanken wirklich?

Die Dynamik der Sanktionslisten ist erheblich. Allein die EU-Russland-Sanktionen umfassen nach 20 Paketen über 2.700 gelistete Personen und Organisationen – mit laufenden Ergänzungen^[1]. Die UN Security Council Consolidated List führt 730 natürliche Personen und 272 Einrichtungen (Stand 8. Juli 2026)^[1].

Eine Software muss daher:

• Alle relevanten Listen (EU, UN, OFAC, nationale Behörden wie BAFA) täglich aktualisieren
• Transparenz über die Datenquellen bieten
• Eine niedrige False-Positive-Rate durch präzise Matching-Algorithmen erreichen

Billige Lösungen verzichten oft auf Echtzeit-Updates oder decken nur EU-Listen ab – das reicht nicht, sobald ein Unternehmen internationale Geschäftsbeziehungen unterhält. Wer etwa mit Schweizer Partnern arbeitet, muss beachten, dass die Schweiz EU-Pakete zeitversetzt übernimmt.

Lässt sich die Lösung in bestehende Systeme einbinden?

Die beste Sanktionslisten-Software nützt wenig, wenn sie isoliert läuft und Mitarbeiter Daten manuell übertragen müssen. Die Lösung sollte:

• ERP-Systeme wie SAP oder Microsoft Dynamics anbinden können
• API-Schnittstellen für automatisierte Prüfungen bereitstellen
• Modular erweiterbar sein (etwa für PEP-Prüfung oder Handelsembargos)

Unternehmen, die bereits automatisierte Prozesse für die Sanktionslistenprüfung nutzen, berichten von deutlich geringeren Fehlerquoten und schnelleren Freigaben. Wer etwa Kundendaten aus dem CRM direkt prüfen lassen möchte, braucht eine RESTful API oder Webhooks.

Wie benutzerfreundlich ist die Oberfläche?

Compliance-Software wird von Mitarbeitern ohne IT-Hintergrund bedient. Die Oberfläche muss intuitiv sein, Schulungen sollten angeboten werden. Ebenso wichtig: Wie schnell reagiert der Support bei Fragen zu neuen Sanktionspaketen oder technischen Problemen?

Ein 24/7-Support ist besonders für Unternehmen relevant, die international und in verschiedenen Zeitzonen tätig sind. Wer morgens eine Lieferfreigabe braucht, kann nicht bis zum nächsten Werktag warten.

Was kostet eine rechtssichere Lösung tatsächlich?

Die Preismodelle variieren stark:

• Mietmodelle (SaaS): monatliche Gebühr, oft nach Prüfvolumen oder Nutzerzahl gestaffelt. Flexibel, aber langfristig teurer.
• Kaufmodelle (On-Premise): höhere Anfangsinvestition, dafür mehr Kontrolle über Daten und keine laufenden Lizenzgebühren.

Für mittelständische Unternehmen liegen die Kosten für EU-souveräne Lösungen bei etwa 200 Euro monatlich, abhängig vom Prüfvolumen. Enterprise-Lösungen mit internationalen Anbietern starten oft bei 500 Euro monatlich, bieten aber nicht zwingend höhere Datenqualität.

Eine empirische Studie des ifo Instituts aus dem Jahr 2024 belegt: Mittelständische Unternehmen mit automatisierten Prüftools erhalten seltener Bußgelder oder Strafen^[4]. Die Investition in eine hochwertige Software amortisiert sich bereits durch die Vermeidung von Compliance-Verstößen.

Welche Fehler sollten Sie unbedingt vermeiden?

Cloud-Lösungen ohne DSGVO-Prüfung

Nicht jede Cloud-Lösung ist rechtssicher. Unternehmen sollten explizit prüfen, ob der Anbieter Daten in Drittländer überträgt. Der Europäische Gerichtshof hat in mehreren Urteilen klargestellt, dass der Schutz personenbezogener Daten nach Art. 8 der EU-Grundrechtecharta nicht durch Drittland-Transfers ausgehebelt werden darf^[2].

Manuelle Prüfungen als vermeintliche Kosteneinsparung

Ab 50 Geschäftspartnern pro Monat ist eine manuelle Prüfung nicht mehr wirtschaftlich und fehleranfällig. Die vermeintliche Einsparung führt zu Compliance-Risiken und bindet Mitarbeiterkapazität, die anderswo produktiver eingesetzt werden könnte. Wer etwa drei Stunden pro Woche für manuelle Prüfungen aufwendet, verliert jährlich 156 Stunden – bei einem Stundensatz von 50 Euro sind das 7.800 Euro Opportunitätskosten.

Fehlende Dokumentation

Eine Prüfung ohne auditfeste Dokumentation ist rechtlich wertlos. Die Software muss für jede Prüfung ein Protokoll erstellen, das Datum, geprüfte Listen, Ergebnis und den Prüfenden festhält. Im Zweifel muss das Unternehmen gegenüber Behörden nachweisen können, dass die Prüfung stattgefunden hat. Wer keine PDF-Protokolle mit Prüf-URL vorweisen kann, steht bei einer Betriebsprüfung ohne Beleg da.

Was bedeutet das für die Praxis?

Die Wahl der richtigen Software ist keine einmalige Entscheidung, sondern ein fortlaufender Prozess. Unternehmen sollten:

1. Eine Bestandsaufnahme machen: Wie viele Geschäftspartner werden monatlich geprüft? Welche Listen sind relevant? Gibt es internationale Geschäftsbeziehungen?
2. EU-Souveränität prüfen: Wo werden Daten verarbeitet? Gibt es Zertifizierungen?
3. Testphase vereinbaren: Seriöse Anbieter bieten Testphasen an, in denen die Software mit echten Daten geprüft werden kann.
4. Integration planen: Wie fügt sich die Lösung in bestehende ERP- und CRM-Systeme ein?
5. Support und Schulung einfordern: Welche Unterstützung bietet der Anbieter bei der Implementierung und im laufenden Betrieb?

Unternehmen, die sich unsicher sind, wann eine Sanktionslistenprüfung erforderlich ist, sollten zunächst ihre rechtlichen Pflichten klären. Die Prüfpflicht gilt größenunabhängig für jedes Unternehmen, das grenzüberschreitend tätig ist oder mit Geschäftspartnern außerhalb der EU arbeitet.

Für Unternehmen, die ihre Lieferkettenrisiken systematisch mindern wollen, ist die Sanktionslistenprüfung nur ein Baustein – aber ein unverzichtbarer.

Wer eine Lösung sucht, die diese Anforderungen erfüllt, kann etwa Am I Compliant testen: Der EU-souveräne Dienst prüft Kunden, Lieferanten und verbundene Firmen in Sekunden gegen 200+ offizielle Listen aus EU, UN, OFAC, UK und CH. Jede Prüfung wird als auditfestes PDF mit Prüf-URL dokumentiert; die Übertragung ist verschlüsselt und DSGVO-konform. Optional lässt sich die Prüfung per MCP-Server direkt in KI-Werkzeuge wie Claude einbinden.

Fazit

Die Auswahl einer Software für die Sanktionslistenprüfung erfordert mehr als einen Preisvergleich. Unternehmen müssen rechtliche Anforderungen, Datenqualität, EU-Souveränität und Integrationsfähigkeit gleichermaßen bewerten. Eine Lösung, die nur einen dieser Faktoren erfüllt, schafft neue Risiken statt sie zu mindern.

Die wirtschaftliche Lage im DACH-Raum – geringes Wachstum, moderate Inflation – macht effiziente Compliance-Prozesse wichtiger denn je. Wer heute in eine rechtssichere, automatisierte Lösung investiert, spart morgen Bußgelder, Reputationsschäden und Mitarbeiterkapazität.

Die Frage ist nicht, ob ein Unternehmen eine Software für die Sanktionslistenprüfung braucht – sondern welche.

Häufig gestellte Fragen

Muss ein KMU eine Sanktionslistenprüfungs-Software nutzen?

Ja. Nach § 130 OWiG müssen Unternehmen unabhängig von ihrer Größe zumutbare Organisationsmaßnahmen ergreifen, um Außenwirtschaftsverstöße zu verhindern. Das Außenwirtschaftsgesetz (AWG) und die EU-Sanktionsverordnungen gelten für jedes Unternehmen, das grenzüberschreitend tätig ist oder mit Geschäftspartnern außerhalb der EU arbeitet. Eine manuelle Prüfung ist ab 50 Geschäftspartnern pro Monat nicht mehr wirtschaftlich.

Darf eine US-amerikanische Software trotz Cloud Act genutzt werden?

Nur mit Standardvertragsklauseln (SCC 2021) nach Art. 46 DSGVO oder wenn der Anbieter keine Daten in Drittländer transferiert. Der Europäische Gerichtshof hat in Schrems II (C-311/18) klargestellt, dass US-Cloud-Anbieter ohne zusätzliche Schutzmaßnahmen gegen den Cloud Act verstoßen. Unternehmen sollten explizit prüfen, ob der Anbieter ausschließlich EU-Rechenzentren nutzt und keine Subunternehmer außerhalb der EU einsetzt.

Wie erkenne ich False Positives in der Sanktionslistenprüfung?

False Positives entstehen, wenn die Software einen Treffer meldet, obwohl keine tatsächliche Übereinstimmung vorliegt – etwa weil nur der Nachname übereinstimmt oder das Geburtsdatum fehlt. Hochwertige Lösungen nutzen präzise Matching-Algorithmen (etwa Fuzzy Matching für Namensvarianten) und bieten eine manuelle Nachprüfung bei Verdacht. Wer viele False Positives erhält, bindet Mitarbeiterkapazität und verzögert Geschäftsprozesse.

Wie oft müssen die Listen aktualisiert werden?

Täglich. Die EU veröffentlicht neue Listungen im EU-Amtsblatt, die ab Veröffentlichung sofort gelten. Die USA aktualisieren die SDN-Liste mehrmals wöchentlich. Wer nicht täglich prüft, riskiert, dass ein Geschäftspartner zwischen der letzten Prüfung und der aktuellen Transaktion gelistet wurde. Eine Software, die nur wöchentlich oder monatlich aktualisiert, erfüllt die Anforderungen nicht.

Was muss ein auditfestes Protokoll enthalten?

Jedes Protokoll muss mindestens folgende Angaben enthalten: Datum und Uhrzeit der Prüfung, Name und Geburtsdatum (bei natürlichen Personen) oder Firmenname (bei Organisationen), geprüfte Listen (etwa EU, UN, OFAC), Ergebnis (Treffer oder kein Treffer) und Name des Prüfenden. Das Protokoll sollte als PDF exportierbar und mit einer eindeutigen Prüf-URL versehen sein, damit es bei einer Betriebsprüfung vorgelegt werden kann.