Sanctions Compliance Officer im KMU — brauchen Sie ihn wirklich?

Rechtsstand: 20. Mai 2026.

Konzerne haben Compliance-Abteilungen mit mehreren Spezialisten. Sie führen ein Unternehmen, in dem ein paar Leute für alles zuständig sind — und gerade haben Sie gelesen, dass die Pflicht zur Prüfung von Geschäftspartnern gegen EU-Sanktionslisten auch Sie betrifft. Die naheliegende Frage lautet: Müssen Sie jetzt einen Sanctions Compliance Officer einstellen? Die Antwort ist einfacher, als Sie denken — und sie bedeutet definitiv keine neue Vollzeitstelle.

TL;DR — die wichtigsten Punkte

• Die Gesetze verlangen von einem normalen KMU keine formelle Position „Sanctions Compliance Officer" — die Pflicht zur Bestellung eines Geldwäschebeauftragten nach § 7 GwG trifft nur Verpflichtete nach § 2 GwG, nicht jedes Unternehmen.
• Die Pflicht zur Prüfung der Geschäftspartner gegen EU-Sanktionslisten besteht unabhängig davon — sie folgt unmittelbar aus den unionsrechtlichen Verordnungen, die für alle gelten.¹²
• In der Praxis genügt es, eine Person im Unternehmen schriftlich zu benennen, die für Sanktionen verantwortlich ist — das kann die Geschäftsführerin, die Finanzleitung oder eine ausdrücklich beauftragte Mitarbeiterin sein.
• Eine juristische Ausbildung ist nicht erforderlich. Erforderlich sind Verfahrenskenntnis, Zugang zu aktuellen Listen und konsequentes Handeln.
• Schulung und Zertifizierung der verantwortlichen Person helfen, Kompetenz nachzuweisen, und schützen das Unternehmen bei einer BAFA- oder Zoll-Außenwirtschaftsprüfung.
• Ein Werkzeug zur Screening-Automatisierung reduziert Zeit und Fehlerquote drastisch — vor allem bei größerem oder dynamischem Partnerbestand.

Muss ein KMU einen Sanctions Compliance Officer haben?

Kurze Antwort: Es gibt für die Gesamtheit der Unternehmen keine ausdrückliche Pflicht zur Bestellung eines „Sanctions Compliance Officers". Eine ausdrückliche Pflicht zur Bestellung eines Compliance-Verantwortlichen — speziell eines Geldwäschebeauftragten — trifft vor allem Verpflichtete nach § 2 GwG³ (Kreditinstitute, Wertpapierfirmen, Notare, Immobilienmakler ab einer bestimmten Tätigkeit). § 7 GwG verlangt die Bestellung eines Geldwäschebeauftragten und seines Stellvertreters auf Ebene der Geschäftsführung, soweit die Aufsicht es anordnet — typischerweise bei größeren Verpflichteten. Ist Ihr Unternehmen kein Verpflichteter, gilt diese formale Anforderung für Sie nicht.

Das heißt aber etwas Wichtiges: Das Fehlen einer formellen Stellenpflicht entbindet nicht von der Prüfpflicht selbst. Das sind zwei verschiedene Fragen — und ihre Vermengung ist einer der häufigsten Fehler im KMU.

Für nicht-verpflichtete Unternehmen ist die Bestellung eines Sanctions Compliance Officer (SCO) damit Best Practice, keine Rechtspflicht. In einer BAFA-Außenwirtschaftsprüfung oder einer Zoll-Außenprüfung ist die dokumentierte Benennung einer verantwortlichen Person allerdings der stärkste Nachweis „gebotener Sorgfalt" — und damit faktisch unverzichtbar, sobald Ihr Unternehmen regelmäßig grenzüberschreitend tätig ist oder mit Partnern aus Risikoländern arbeitet.

Die Prüfpflicht besteht unabhängig von einer Stelle

Die unionsrechtlichen Verordnungen — insbesondere die Verordnung (EU) Nr. 269/2014 des Rates vom 17. März 2014 über restriktive Maßnahmen angesichts von Handlungen, die die territoriale Unversehrtheit der Ukraine untergraben¹ sowie die Verordnung (EU) Nr. 833/2014 des Rates vom 31. Juli 2014 über restriktive Maßnahmen angesichts der Handlungen Russlands² — sind unmittelbar geltende Rechtsakte in jedem Mitgliedstaat, ohne dass eine Umsetzung in nationales Recht erforderlich ist.⁴ Das bedeutet: Ihr Unternehmen unterliegt diesen Vorschriften automatisch — gleich, ob Sie einen oder hundert Mitarbeitende haben.

Ergänzend gelten in Deutschland das Außenwirtschaftsgesetz (AWG) und das Sanktionsdurchsetzungsgesetz (SanktDG), die nationale Durchsetzungsinstrumente und Sanktionsnormen bereitstellen. Auf Grundlage des § 19 AWG kann ein Bußgeld bis zu 500.000 EUR verhängt werden; nach § 30 OWiG kann gegen die juristische Person zusätzlich eine Verbandsgeldbuße bis zu 10 Mio. EUR festgesetzt werden; bei vorsätzlichen Verstößen sieht § 17 AWG Freiheitsstrafe bis zu zehn Jahren vor.

Mit anderen Worten: Das Fehlen eines Compliance Officers ist kein Alibi. Die Strafe trifft den Verstoß — nicht das Fehlen einer Stelle. Mehr zu den finanziellen Folgen finden Sie im Beitrag zu den Strafen bei Verstößen gegen EU-Sanktionen.

Wer sollte in einem KMU praktisch für Sanktionen verantwortlich sein?

Da es keine Stellenpflicht gibt, stellt sich die praktische Frage: Wer trägt diese Verantwortung sinnvoll? Aus der Praxis haben sich mehrere Modelle bewährt.

Geschäftsführerin oder Inhaber — die einfachste Lösung in Unternehmen bis etwa zehn Mitarbeitenden. Sie haben volle Entscheidungsgewalt und unmittelbaren Zugriff auf Partnerinformationen. Nachteil: Jede neue Compliance-Aufgabe landet direkt bei Ihnen — bei dynamischem Wachstum schwer haltbar.

Person aus dem Finanz- oder Buchhaltungsbereich — eine logische Wahl, denn dort laufen Zahlungen und Partnerdaten zusammen. Häufig besteht bereits Kontakt zu GwG-Prozessen (Hausbank, Steuerberater) und ein Verständnis für Dokumentation.

Benannter Mitarbeiter — „Ansprechpartner für Sanktionen" — eine formell bestellte Person, die nicht mehr leisten muss als ein klares Verfahren: Partner vor der Transaktion prüfen, Ergebnis dokumentieren, bei Treffer eskalieren. Der Titel muss nicht „Sanctions Compliance Officer" lauten — entscheidend ist die schriftliche Delegation der Aufgaben.

Ab etwa 20 Mitarbeitenden empfiehlt sich aus unserer Sicht die ausdrückliche Bestellung eines internen Sanctions Compliance Officers mit einer Sanqto-Zertifizierung oder einer vergleichbaren Qualifikation. Darunter ist die Auslagerung an einen externen Compliance-Dienstleister oder die Bündelung der Aufgabe bei der Finanzleitung oft die effizientere Lösung.

Entscheidend in jeder Variante: schriftliche Benennung. Eine interne Bestellungsurkunde oder ein Eintrag in der Sanktionsrichtlinie, der festlegt, wer für das Screening verantwortlich ist, wer im Trefferfall entscheidet und wie die Eskalation läuft — das ist das Minimum, das Unternehmen und benannte Person absichert.

Welche Kompetenzen werden benötigt (und warum kein Jurastudium erforderlich ist)?

Diese Frage blockiert viele Unternehmen unnötig. Sie müssen weder eine Rechtsanwältin noch eine AML-Spezialistin aus dem Bankensektor einstellen. Die für Sanktionen in einem KMU verantwortliche Person braucht:

Verfahrenswissen — Verständnis dafür, was eine Sanktionsliste ist, welche Listen gelten (EU-Konsolidierte Liste, UN-Liste, OFAC SDN bei US-Berührung), wie ein Partner geprüft wird und was bei einem „möglichen Treffer" zu tun ist. Dieses Wissen erwirbt man durch eine Schulung — nicht durch Jahre Berufserfahrung.

Zugang zu aktuellen Listen — Sanktionslisten werden laufend aktualisiert. Die EU-Konsolidierte Liste wird von der Europäischen Kommission (GD FISMA, EEAS) bereitgestellt⁵. Eine eigenständige nationale Sanktionsliste existiert in Deutschland nicht — verbindlich sind die EU- und UN-Listen sowie ggf. die US-OFAC-SDN-Liste bei US-Berührungspunkten. Die verantwortliche Person muss wissen, wo aktuelle Daten zu finden sind — oder ein Werkzeug nutzen, das die Daten automatisch aktualisiert.

Dokumentationsfähigkeit — Erfassen des Prüfergebnisses mit Datum, geprüfter Liste und getroffener Entscheidung. Es geht nicht um Aufsätze — ein einfaches Trefferregister reicht.

Eskalationsfähigkeit — Wenn etwas verdächtig wirkt, muss diese Person wissen, an wen sie eskaliert (Geschäftsführung, externer Anwalt) und wann die Transaktion zu stoppen ist.

Keine dieser Kompetenzen erfordert eine juristische Ausbildung. Sie erfordern allerdings Regelmäßigkeit und Disziplin — ein einmaliges Screening genügt nicht, wenn die Listen aktualisiert werden und neue Partner hinzukommen.

Wie sich die Aufgaben ohne neue Vollzeitstelle verteilen lassen

Eine Sanktions-Compliance-Funktion im KMU muss weder viel Geld noch viel Zeit kosten. Hier das praktische Schema für ein KMU:

1. Benennen Sie eine Person schriftlich — idealerweise jemanden aus Finanzen oder Operations. Benennen Sie sie namentlich in einer internen Bestellung oder der Sanktionsrichtlinie.

2. Beschreiben Sie das Verfahren in wenigen Schritten — wann zu prüfen ist (vor jeder neuen Transaktion, bei Vertragsabschluss, bei Wiederaufnahme der Geschäftsbeziehung), wie zu prüfen ist (manuell oder per Werkzeug), was mit dem Ergebnis zu tun ist.

3. Setzen Sie eine Eskalationsschwelle — Ergebnis CLEAR: Transaktion läuft weiter. POSSIBLE oder MATCH: Fall geht an Geschäftsführung oder Anwalt. Die benannte Person trifft die Entscheidung bei nicht-trivialen Treffern nicht allein.

4. Führen Sie ein Register — Prüfdatum, geprüftes Subjekt, Liste, Ergebnis, prüfende Person, Entscheidung. Eine Excel-Datei reicht zu Beginn — wichtig ist, dass es existiert.

5. Legen Sie die Frequenz der wiederkehrenden Prüfung fest — Bestandskunden sollten quartalsweise oder bei jeder neuen Zahlung erneut geprüft werden, weil Sanktionslisten regelmäßig aktualisiert werden.

6. Sorgen Sie für eine Dokumentationsspur — Ausdruck oder Speicherung des Ergebnisses jeder Prüfung mit Datum und Unterschrift. Bei einer Außenprüfung ist das der Nachweis, dass das Verfahren funktioniert hat.

Eine solche Lösung verlangt keine neue Stelle. Sie verlangt einige Minuten pro Woche — und Konsequenz.

Schulung und Zertifizierung — Kompetenzaufbau ohne Aufbaustudium

Der für Sanktionen benannten Person sollte eine Schulung angeboten werden. Nicht wegen einer Rechtspflicht, sondern aus praktischen Gründen: erstens, weil sie dadurch weiß, was sie tut, und sich sicher fühlt; zweitens, weil ein Schulungszertifikat im Fall einer behördlichen Prüfung dokumentiert, dass das Unternehmen das Thema ernst nimmt.

Eine gute Schulung im Bereich Sanktions-Compliance sollte umfassen:

• Rechtsgrundlagen — welche Verordnungen und Gesetze gelten (Verordnungen 269/2014 und 833/2014, AWG, SanktDG), welche Strafen drohen,
• Listenkunde — EU-Konsolidierte Liste, UN-Liste, OFAC SDN⁶, UK OFSI, Unterschiede zwischen ihnen, kein eigenständiges nationales deutsches Register,
• Prüfverfahren — wie ein Screening durchzuführen, das Ergebnis zu bewerten und ein Treffer zu behandeln ist,
• Dokumentation und Trefferregister — Führung, Aufbewahrung (analog § 8 GwG: fünf Jahre).

Eine Schulung muss keine Woche dauern. Ein konzentrierter Online-Kurs mit Abschlussprüfung und Zertifikat ist ausreichend für eine Person, die das Screening in einem KMU betreut. Sanqto bietet ein solches Paket im Rahmen des Produkts an — Schulung, Online-Prüfung und Zertifikat als Compliance Officer für die in Ihrem Unternehmen benannte Person. Es lohnt sich, auch übrige Mitarbeitende mit Partnerkontakt zu schulen — wie das zu organisieren ist, beschreiben wir im Beitrag zur Schulung der Mitarbeiter zu Sanktionen.

Wann lohnen sich Outsourcing oder Automatisierung?

Manuelle Prüfung — eigenhändige Durchsicht der Sanktionslisten — ist möglich, hat aber eine Skalierungsgrenze. Bei wenigen Partnern monatlich gut zu beherrschen. Bei einigen Dutzend wird sie riskant (Auslassungen, veraltete Daten, Dokumentationslücken).

Outsourcing — die Vergabe des Compliance-Prozesses an eine Kanzlei oder einen spezialisierten Dienstleister — ist sinnvoll, wenn das Unternehmen keine internen Ressourcen hat und die operative Verantwortung verlagern möchte. Wichtig zu wissen: Die rechtliche Verantwortung verbleibt beim Unternehmen als Adressaten — nicht beim externen Berater. Outsourcing ist aus unserer Sicht eine tragfähige Option für sehr kleine Unternehmen (unter ca. 10 Mitarbeitende) ohne grenzüberschreitende Routine.

Automatisierung — ein Werkzeug für Sanctions Screening prüft den Partner gegen die aktuellen Listen und liefert das Ergebnis: MATCH, POSSIBLE oder CLEAR. Es reduziert die Prüfzeit auf Sekunden, eliminiert menschliche Fehler bei Teiltreffern (z. B. ähnliche Vor- und Nachnamen) und legt automatisch eine Dokumentationsspur an. Für Reisebüros, Immobilienmakler, Versicherungsmakler und andere Unternehmen außerhalb der Finanzbranche, die Dutzende oder Hunderte von Partnern prüfen, bedeutet Automatisierung eine reale operative Entlastung.

Erwägen Sie Automatisierung, wenn:

• Sie monatlich mehr als 20–30 Partner prüfen,
• Ihre Branche schnelle Entscheidungen erfordert (z. B. Buchungen, Fernabsatzverträge),
• Sie sicherstellen wollen, dass Daten stets aktuell sind — ohne manuelles Listenupdate,
• Sie ein fertiges Trefferregister für den Fall einer Prüfung benötigen.

Sanqto ist eine On-Premise-Lösung — installiert in der Infrastruktur Ihres Unternehmens, ohne Datenübertragung an externe Server. Sie liefert das Ergebnis in drei Zuständen (MATCH / POSSIBLE / CLEAR) und legt automatisch eine Dokumentationsspur jeder Prüfung an. Mehr dazu, wie die Prüfung eines Geschäftspartners in der Praxis aussieht, finden Sie im Beitrag zur Geschäftspartnerprüfung gegen Sanktionen.

FAQ — häufige Fragen

Muss auch eine Einzelunternehmerin Geschäftspartner gegen Sanktionslisten prüfen?

Ja. EU-Verordnungen gelten für alle — natürliche Personen mit Gewerbe, Personengesellschaften, GmbHs, Vereine.⁴ Die Rechtsform entbindet nicht von der Pflicht. Eine Einzelunternehmerin, die Geld an einen gelisteten Adressaten überweist oder ihm eine Leistung erbringt, verletzt dieselben Normen wie eine große Aktiengesellschaft.

Wie viel Zeit kostet die manuelle Prüfung eines Partners?

Die Prüfung einer einzelnen Person oder Firma — über die EU-Konsolidierte Liste und gegebenenfalls die UN-Liste — dauert in der Regel einige Minuten. Schwierig wird es bei größerer Partnerzahl, bei ähnlichen Namen (False Positive / False Negative), bei der Pflicht zur Prüfung wirtschaftlich Berechtigter (50-%-Regel⁷) und bei der Dokumentation des Prozesses.

Was ist die 50-%-Regel und muss ich auch die Eigentümer prüfen?

EU-Sanktionen erfassen nicht nur die ausdrücklich gelisteten Adressaten, sondern auch Einrichtungen, an denen eine gelistete Person oder Einrichtung mehr als 50 % der Anteile hält oder über die sie Kontrolle ausübt.⁷ In der Praxis bedeutet das: Eine Prüfung allein des Firmennamens kann unzureichend sein — die wirtschaftlich Berechtigten sollten ebenfalls geprüft werden, vor allem bei Unternehmen aus Risikojurisdiktionen. In Deutschland liefert das Transparenzregister (geführt vom Bundesanzeiger Verlag im Auftrag des BVA) Informationen zu den wirtschaftlich Berechtigten deutscher Gesellschaften. Auf EU-Ebene wird das EU-Beneficial-Ownership-Register schrittweise umgesetzt. Die Mechanik erläutern wir ausführlich im Beitrag zur 50-%-Eigentumsregel.

Haftet die für das Screening benannte Person persönlich für einen Sanktionsverstoß?

Strafrechtliche Verantwortung für einen Verstoß gegen EU-Sanktionen kann natürliche Personen treffen — auch in der Leitungsebene. Die Richtlinie (EU) 2024/1226 des Europäischen Parlaments und des Rates vom 24. April 2024⁸ verpflichtet die Mitgliedstaaten zur Kriminalisierung von Sanktionsverstößen; Deutschland hat dies durch das SanktDG und Änderungen im AWG umgesetzt. § 17 AWG sieht Freiheitsstrafe bis zu zehn Jahren bei vorsätzlichen Verstößen vor. Die Haftung der einzelnen Mitarbeiterin hängt vom konkreten Sachverhalt und ihrem Aufgabenkreis ab — eine Frage für die anwaltliche Bewertung. Sicher ist hingegen: Das Fehlen jeglicher Verfahren im Unternehmen schützt niemanden.

Wie oft sollte ich Bestandskunden prüfen?

Sanktionslisten werden laufend aktualisiert — neue Einträge erscheinen häufig, unabhängig von „Sanktionspaketen". Eine einmalige Prüfung bei Vertragsabschluss reicht nicht. Üblich ist eine zyklische Prüfung von Bestandspartnern — mindestens bei jeder neuen Zahlung oder regelmäßig (z. B. quartalsweise), zwingend bei jeder wesentlichen Datenänderung auf Partnerseite.

Muss ich auch Privatkunden prüfen, nicht nur Firmen?

Das hängt von der Branche ab. In Tourismus, Immobilien und Versicherungen ist der Kunde häufig eine natürliche Person — und die Sanktionsliste enthält ebenso natürliche Personen wie Unternehmen. Wenn Ihre Firma Privatkunden in Transaktionen mit wesentlichem Wert betreut, sollte die Prüfung auch diese erfassen. Den genauen Umfang der Prüfpflicht behandeln wir im Beitrag zur Sanctions-Screening-Pflicht.

Wie Sanqto helfen kann

Sanqto ist ein Werkzeug für Sanctions Screening, entwickelt für Unternehmen außerhalb der Finanzbranche — Reisebüros, Immobilienmakler, Versicherungsmakler und andere KMU, die Partner prüfen müssen, aber keine eigene Compliance-Abteilung haben. Die Lösung läuft on-premise — Daten Ihrer Kunden und Partner verlassen die Infrastruktur Ihres Unternehmens nicht. Die Prüfung liefert ein Ergebnis in drei Zuständen: MATCH, POSSIBLE oder CLEAR, und jede Prüfung wird automatisch dokumentiert. Zum Produkt gehören ein Paket mit Einführungsdokumenten (Sanktionsrichtlinie, Arbeitsanweisung, Trefferregister) sowie eine Schulung mit Zertifizierung als Compliance Officer für die Person, die Sie in Ihrem Team benennen.

Rechtsgrundlage

• Verordnung (EU) Nr. 269/2014 des Rates vom 17. März 2014 über restriktive Maßnahmen angesichts von Handlungen, die die territoriale Unversehrtheit, Souveränität und Unabhängigkeit der Ukraine untergraben — CELEX 32014R0269
• Verordnung (EU) Nr. 833/2014 des Rates vom 31. Juli 2014 über restriktive Maßnahmen angesichts der Handlungen Russlands, die die Lage in der Ukraine destabilisieren — CELEX 32014R0833
• Außenwirtschaftsgesetz (AWG) — gesetze-im-internet.de/awg_2013
• Sanktionsdurchsetzungsgesetz (SanktDG) — gesetze-im-internet.de/sanktdg
• Geldwäschegesetz (GwG) — gesetze-im-internet.de/gwg_2017
• Richtlinie (EU) 2024/1226 des Europäischen Parlaments und des Rates vom 24. April 2024 über die Definition von Straftaten und Strafen bei Verstößen gegen restriktive Maßnahmen der Union — CELEX 32024L1226
• EU-Konsolidierte Sanktionsliste (GD FISMA) — finance.ec.europa.eu
• OFAC SDN List (U.S. Department of the Treasury) — ofac.treasury.gov
• UN Security Council Consolidated List — un.org
• Transparenzregister Deutschland — transparenzregister.de
• BAFA — Bundesamt für Wirtschaft und Ausfuhrkontrolle — bafa.de

Fußnoten

Information, keine Rechtsberatung. Dieser Artikel dient ausschließlich Informationszwecken und stellt keine Rechtsberatung dar. Rechtsstand: 20. Mai 2026. Die konkreten Pflichten Ihres Unternehmens hängen vom Geschäftsprofil ab und erfordern eine individuelle Bewertung — bei Zweifeln konsultieren Sie eine Rechtsanwältin oder einen Compliance-Berater.