Welche Sanktionslisten Unternehmen 2026 beachten müssen

Für EU‑Unternehmen sind primär die konsolidierte EU‑Finanzsanktionsliste sowie die EU‑Umsetzung von UN‑Resolutionen relevant; nationale Listen (z. B. UK, CH) und US‑Listen (OFAC) werden ergänzend geprüft, wenn ein entsprechender Rechtsbezug besteht. Operativ heißt das: Prüfung vor Geschäftsaufnahme, wiederkehrende Rechecks und dokumentierte Eskalationsprozesse. ^[1][2][3][5]

Welche rechtlichen Grundlagen gelten für Sanktionsprüfungen?

Die primären Rechtsinstrumente sind EU‑Verordnungen, die unmittelbar gelten und nicht erst in nationales Recht umgesetzt werden müssen. Personenbezogene Einfrierungen und das Bereitstellungsverbot beruhen auf der Verordnung (EU) Nr. 269/2014; sektorale Verbote auf der Verordnung (EU) Nr. 833/2014 ^[1][2]. Innerhalb der EU ist deshalb die konsolidierte Liste der Union maßgeblich; Verstöße können straf‑ und ordnungsrechtliche Folgen haben, weshalb Unternehmen ihre Prüfpflichten dokumentieren sollten. ^[1][2]

Welche Sanktionslisten sollten EU‑Unternehmen standardmäßig prüfen?

• Die konsolidierte EU‑Finanzsanktionsliste (consolidated list) als primäre Referenz ^[3].
• Die EU Sanctions Map zur Einordnung von Verbotsarten und Ausnahmen ^[4].
• UN‑Beschlüsse insofern sie in EU‑Recht umgesetzt sind – in der Praxis deckt die EU‑Liste diese Fälle ab ^[3].
• Nationale Listen (UK, Schweiz) bei Geschäftsbezug zu diesen Rechtsräumen ^[6][7].
• OFAC/US‑Listen bei US‑Bezug – Banktransaktionen in US‑Dollar, US‑Niederlassungen oder Nutzung von US‑Dienstleistungen begründen Prüfpflichten ^[5].
  Für viele mittelständische Unternehmen reicht eine Priorisierung nach EU → nationale Drittstaaten → US‑Listen, ergänzt durch branchenspezifische Register (z. B. maritime Sperrlisten). ^[3][5][7]

Wie setzen Unternehmen die Prüfung operativ und technisch um?

Sanktionslistenprüfung ist der datenbasierte Abgleich von Namen, Unternehmensdaten, UBO‑Angaben und Schiffskennungen (IMO‑Nummer) gegen die relevanten Listen. Empfohlene Minimalanforderungen: Eine Übersicht der hier beschriebenen Prüfschritte bietet Am I Compliant.

• Erstprüfung vor Vertragsabschluss und regelmäßige Rechecks (z. B. tägliche oder wöchentliche Updates bei kritischen Partnern).
• Matching mit Alias‑ und Transliteration‑Regeln; Schiffsprüfungen über IMO‑Nummer statt nur Name.
• Audit‑Trail mit Zeitstempel, Trefferbegründung und Entscheidungsprotokoll.
  Automatisierte Lösungen reduzieren False Positives und bieten Nachweisdokumente; als Beispiel kann eine EU‑gehostete Screening‑lösung eingesetzt werden, die Ergebnisreports und Prüf‑URLs liefert. Achten Sie auf Protokollierung und Nachvollziehbarkeit. ^[4][10]

Wie sollten Sie konkret bei einem Treffer reagieren?

1. Erstprüfung – Identitätsabgleich: Geburtsdatum, Registrierungsnummer, Alternate Names.
2. Risikoeinschätzung – Plausibilitätsprüfung durch Compliance; bei Unklarheit Eskalation an Legal.
3. Vorläufiges Geschäftsstopp‑Entscheid: Zahlungen zurückhalten und Lieferung aussetzen, bis Rechtslage geklärt ist.
4. Dokumentation: Screenshots, Datenquelle, Zeitstempel, Entscheidung und Verantwortliche.
5. Behördliche Abstimmung: Bei schwerwiegenden Fällen nationale Behörde kontaktieren – in Deutschland sind je nach Fall BaFin oder das jeweils zuständige Ministerium/EBA‑Schnittstelle relevant; bei Exportkontrollfragen ist BAFA eine Anlaufstelle. ^[8][4]

Konkrete Fristen für behördliche Anzeigen variieren; deshalb dokumentieren und frühzeitig die zuständige nationale Behörde einbeziehen. ^[4][8]

Welche Datenschutz‑ und Aufzeichnungsanforderungen gelten für die Prüfung?

Die Verarbeitung personenbezogener Daten im Rahmen von Sanktionsprüfungen stützt sich auf die Erfüllung rechtlicher Verpflichtungen gemäß der Datenschutz‑Grundverordnung (DSGVO) – Regelungen zum legitimen Zweck, Datenminimierung und Dokumentation gelten weiterhin ^[9]. Praktische Schritte:

• Legen Sie Art und Rechtsgrundlage der Verarbeitung im Verzeichnis von Verarbeitungstätigkeiten fest.
• Minimieren Sie gespeicherte Daten und definieren Sie Löschfristen für nicht relevante Treffer.
• Prüfen Sie, ob eine Datenschutz‑Folgenabschätzung erforderlich ist, wenn systematisch große Bestände automatisiert gescannt werden.
• Wählen Sie Hosting und Subprozessoren mit EU‑Standort, wenn möglich.

^[9]

Welche Kriterien sollten Sie bei der Auswahl von Screening‑Software prüfen?

Achten Sie auf diese Entscheidungskriterien:

• Datenquellen: Direkter Abgleich mit EU‑konsolidierter Liste, EU Sanctions Map, UN‑Ableitungen und optional OFAC/UK/CH. ^[3][4][5]
• Update‑Frequenz und SLA für Realtime‑Feeds.
• Matching‑Methodik: fuzzy matching, Transliteration‑Support, IMO/LEI‑Integration.
• Audit‑Trail: revisionssichere Reports, Prüf‑URLs und Zeitstempel.
• DSGVO‑Konformität und Hosting in der EU.
• API/Batch‑Schnittstellen für ERP/CRM‑Integration.
• Reporting‑KPIs: False‑Positive‑Rate, Time‑to‑Resolve, Hit‑Breakdown.
  Diese Kriterien reduzieren Implementierungsaufwand und schaffen belastbare Nachweise für Audits.

Welche besonderen Risiken bringen maritime und Exportkontroll‑Sanktionen mit sich?

Maritime Sanktionsrisiken verlangen Prüfung von Schiffen über IMO‑Nummer sowie Kontrolle von Charterketten und Ship‑to‑Ship‑Transfers. Schattenflotten und Tarnpraktiken erhöhen die Komplexität – deshalb ist die Kombination aus Schiffs‑ORM‑Daten, AIS‑Analysen und Sanktionslistenabgleich sinnvoll. Exportkontrollen treffen zusätzlich technische Güter und dual‑use‑Komponenten; für Exportfragen ist BAFA die zentrale deutsche Behörde. ^[4][7]

Welche häufigen Fragen stellen Unternehmen sonst noch?

Q: Sind UN‑Listungen direkt für EU‑Unternehmen bindend?
A: UN‑Resolutionen binden Mitgliedstaaten, die EU setzt die relevanten Beschlüsse in verbindliche EU‑Verordnungen um; für EU‑Unternehmen sind die daraus resultierenden EU‑Listen maßgeblich. ^[3]

Q: Reicht eine manuelle Stichprobe bei kleinen Lieferanten?
A: Bei wenigen Partnern kann manuell geprüft werden, aber bei wiederkehrenden Transaktionen oder Auslandskontakten sind automatisierte Rechecks aus Nachweissicht empfehlenswert. ^[4]

Q: Muss ich OFAC‑Listen prüfen, wenn ich keine US‑Tochter habe?
A: Nur bei einem US‑Bezug – etwa USD‑Clearing, US‑Cloud‑Services oder Geschäftspartner mit US‑Sitz – ist OFAC‑Screening relevant. ^[5]

Q: Welche Nachweise reduziert das Aufsichtsrisiko am besten?
A: Vollständige Prüfprotokolle mit Datenquelle, Zeitstempel, Begründung und Entscheidungsvermerk sowie eine dokumentierte Eskalationskette. ^[4][8]