Sanktionslistenprüfung: Welche Software ist 2026 die Richtige

Software für die Sanktionslistenprüfung muss täglich aktualisierte Listen von UN, EU, OFAC, UK und Schweiz verarbeiten, DSGVO-konform arbeiten und in bestehende ERP- oder CRM-Systeme integrierbar sein. Cloud-Lösungen eignen sich für Unternehmen ohne eigene IT-Infrastruktur; lokale Installationen bieten volle Datenkontrolle. Jede Prüfung muss auditfest dokumentiert werden – Datum, Prüfgegenstand, Ergebnis, verwendete Listen. Die Wahl hängt von Prüfvolumen, IT-Infrastruktur und Datenschutzanforderungen ab.

Quartalsprüfungen reichen für EU-Sanktionslisten nicht aus

Zwischen Mai 2025 und April 2026 verabschiedete die EU vier große Sanktionspakete gegen Russland – das 17., 18., 19. und 20. Paket^[3]. Das 18. Paket vom Juli 2025 listete 105 weitere Schiffe der russischen Schattenflotte; die Gesamtzahl stieg auf 444^[4]. Das 19. Paket im Oktober 2025 fügte 117 Schiffe hinzu, Gesamtzahl: 557^[3]. Im April 2026 kamen 46 Schiffe hinzu, Gesamtzahl: 632^[3].

Ein Unternehmen, das im Mai 2025 prüfte und erst im August 2026 erneut prüft, übersieht über 500 neue maritime Risiken. Die Schweiz übernahm die Listungen des 20. EU-Pakets vom 23. April 2026 erst am 22. Mai 2026^[1] – ein Monat Differenz, genug Zeit für Vertragsabschlüsse, die später als Sanktionsverstoß gewertet werden.

Die Prüfung ist keine Einmalaufgabe. Sie ist eine gesetzlich vorgeschriebene Routine^[2].

Software muss EU-rechtliche und branchenspezifische Anforderungen erfüllen

Wie schnell müssen Listen aktualisiert werden?

Die Software muss täglich aktualisierte Listen verarbeiten. Mindestabdeckung: UN Security Council Consolidated List (730 Personen, 272 Einrichtungen, Stand 8. Juli 2026), EU Consolidated Financial Sanctions List (rund 5.900 Sanktionsziele), US-amerikanische SDN-Liste (rund 19.800 Sanktionsziele), UK Sanctions List und Schweizer Listen^[1].

Wer nur eine Liste prüft, übersieht Treffer aus anderen Rechtsräumen. Die EU-Russland-Sanktionen basieren auf zwei Kernverordnungen: VO (EU) 269/2014 (Einfrieren und Bereitstellungsverbot) und VO (EU) 833/2014 (sektorale Maßnahmen, einschließlich Sanktionen gegen Güter mit doppeltem Verwendungszweck). Listungen wirken ab Veröffentlichung im EU-Amtsblatt sofort. Software muss diese Änderungen am Veröffentlichungstag verarbeiten.

Ist DSGVO-Konformität verhandelbar?

Die Verarbeitung von Kunden- oder Lieferantendaten muss DSGVO-konform erfolgen. Kritisch ist die Speicherung und Übertragung der Prüfungsdaten an externe Server. Einige Unternehmen bevorzugen EU-souveräne Lösungen, um Abhängigkeiten von US-amerikanischen Anbietern zu vermeiden und die Verschlüsselung innerhalb der EU zu halten^[1].

Am I Compliant beispielsweise ist ein EU-souveräner Dienst, der Kunden, Lieferanten und verbundene Firmen (50-Prozent-Regel für Eigentum und Kontrolle) in Sekunden gegen über 200 offizielle Listen abgleicht. Jede Prüfung wird als auditfestes PDF mit Prüf-URL dokumentiert; die Übertragung ist verschlüsselt und DSGVO-konform.

Muss die Software in bestehende Systeme integrierbar sein?

Die Lösung sollte API-basiert in bestehende ERP- oder CRM-Systeme integrierbar sein^[2]. Manuelle Einzelprüfungen sind für Unternehmen mit hunderten Geschäftspartnern nicht praktikabel. Die Software muss mit dem Unternehmen mitwachsen – von 50 Prüfungen im Monat zu 500.

Cloud-Lösungen oder lokale Installation – die passende Wahl treffen

Wann eignet sich eine Cloud-Lösung?

Vorteile: Keine eigene IT-Infrastruktur nötig, geringe Anfangsinvestitionen, Updates erfolgen automatisch durch den Anbieter^[2]. Für kleine und mittlere Unternehmen ohne eigene Server ist das der schnellste Weg zur Compliance.

Nachteile: Abhängigkeit vom Anbieter, Datenschutzbedenken bei US-Anbietern^[2]. Die Prüfungsdaten verlassen das Unternehmen. Wenn der Anbieter die Preise erhöht oder den Dienst einstellt, steht das Unternehmen ohne Lösung da.

Wann lohnt sich eine lokale Installation?

Vorteile: Volle Datenkontrolle, keine Abhängigkeit von externen Servern, Prüfungsdaten bleiben im Haus^[2]. Für Unternehmen mit eigener IT-Abteilung und hohen Datenschutzanforderungen die bevorzugte Wahl.

Nachteile: Höhere Anfangsinvestitionen, eigene IT-Ressourcen für Installation, Wartung und Updates erforderlich^[2]. Die Listen müssen manuell oder über Schnittstellen aktualisiert werden.

Fehlende Prüfung führt zu Strafen nach EU-Recht und nationalem AWG

Die Verordnung (EU) 269/2014 regelt das Einfrieren von Geldern (Art. 2 Abs. 1) und das Bereitstellungsverbot (Art. 2 Abs. 2)^[1]. Verstöße sind in Deutschland nach § 18 AWG strafbar^[1]. Unternehmen müssen zumutbare Organisationsmaßnahmen ergreifen, um Verstöße zu vermeiden – so die Haftungsregel nach § 130 OWiG und § 13, § 14.2 StGB^[2].

Was „zumutbar" ist, definiert die BaFin im Einzelfall. Eine dokumentierte, regelmäßige automatisierte Prüfung gilt als zumutbar. Eine Excel-Liste von 2023 nicht.

Die Dokumentationspflicht ist absolut. Jede Prüfung muss protokolliert werden: Datum, Prüfgegenstand, Ergebnis, verwendete Listen^[1]. Im Falle einer Behördenprüfung muss das Unternehmen nachweisen, dass es zum Zeitpunkt des Vertragsabschlusses keine Kenntnis von einer Listung hatte. Ohne Dokumentation ist dieser Nachweis unmöglich.

Lösung wählen Sie nach Prüfvolumen, IT und Datenschutz

Die Antwort hängt von drei Faktoren ab: Prüfvolumen, IT-Infrastruktur und Datenschutzanforderungen.

Für KMU ohne eigene IT-Abteilung: Cloud-Lösungen mit EU-Rechenzentren. Achten Sie auf transparente Preismodelle, tägliche Updates und auditfeste Dokumentation. EU-souveräne Lösungen bieten Prüfungen gegen über 200 offizielle Listen mit verschlüsselter Übertragung und DSGVO-konformer Speicherung in der EU.

Für Unternehmen mit eigener IT-Infrastruktur: Lokale Installation mit API-Anbindung an ERP-Systeme. Prüfen Sie, ob der Anbieter die Listen täglich aktualisiert und ob die Software die 50-Prozent-Regel für Eigentum und Kontrolle automatisch prüft.

Für Unternehmen mit hohem Prüfvolumen: Automatisierung über API-Schnittstellen. Jeder neue Kunde, jeder neue Lieferant wird beim Anlegen im System automatisch geprüft.

Jetzt vier Schritte zur Sanktionscompliance einleiten

Das BIP-Wachstum in Deutschland lag 2025 bei 0,24 Prozent, die Inflation bei 2,17 Prozent^[5]. Unternehmen stehen unter Kostendruck. Gleichzeitig steigt die Zahl der Sanktionsziele: Die EU-Russland-Sanktionen umfassen mittlerweile über 2.700 Personen und Organisationen^[1]. Das Risiko, ungewollt gegen Sanktionen zu verstoßen, steigt mit jedem Paket.

Vier Schritte zur Compliance:

1. Prüfen Sie Ihre aktuelle Praxis. Wann haben Sie zuletzt alle Geschäftspartner gegen aktuelle Listen geprüft? Falls die letzte Prüfung älter als drei Monate ist, besteht Handlungsbedarf.

2. Dokumentieren Sie jede Prüfung auditfest. Datum, Prüfgegenstand, Ergebnis, verwendete Listen. Die BaFin akzeptiert keine mündlichen Zusicherungen.

3. Automatisieren Sie die Prüfung. Monatliche manuelle Prüfungen sind fehleranfällig und zeitaufwendig. Software prüft in Sekunden.

4. Schulen Sie Ihre Mitarbeiter. Das 18. Paket senkte die Ölpreisobergrenze von 60 auf 47,60 USD^[4]. Solche Änderungen müssen im Vertrieb, Einkauf und Logistik bekannt sein.

Die Sanktionslistenprüfung ist keine optionale Bürde. Sie ist eine existenzielle Notwendigkeit für jedes Unternehmen im DACH-Raum, unabhängig von seiner Größe. Eine proaktive, präzise und auditfeste Prüfung schützt nicht nur vor Strafen – sie sichert die Geschäftsgrundlage selbst.

Rechtlicher Hinweis: Dieser Artikel ersetzt keine Rechtsberatung. Bei konkreten Fragen zu Sanktionsverstößen oder Haftungsrisiken konsultieren Sie einen auf Außenwirtschaftsrecht spezialisierten Anwalt.

Häufig gestellte Fragen

Muss meine Software alle Sanktionslisten abdecken?

Ja. Die EU verlangt die Prüfung gegen alle relevanten Listen (VO (EU) 269/2014, Art. 2). Eine Software, die nur die EU-Liste prüft, übersieht OFAC-Listungen – dies kann zu Haftung führen. Mindestabdeckung: UN, EU, OFAC, UK, Schweiz^[1].

Darf ich eine US-amerikanische Cloud-Lösung nutzen?

Theoretisch ja, aber DSGVO-konform nur mit EU-Rechenzentren. Die Übertragung personenbezogener Daten an US-Server unterliegt dem Cloud Act – dies gefährdet die Compliance. Empfohlen werden EU-souveräne Anbieter mit Zertifizierungen wie ISO 27001^[1].

Wie oft muss ich meine Geschäftspartner prüfen?

Mindestens monatlich, bei dynamischen Sanktionen wöchentlich. Das 20. EU-Sanktionspaket wurde im April 2026 veröffentlicht – wer im Mai prüft, verpasst Änderungen^[3].

Was muss ich dokumentieren?

Jede Prüfung: Datum, Prüfgegenstand, Ergebnis, verwendete Listen. Ohne Protokollierung ist der Nachweis der Compliance im Behördenfall unmöglich^[1].