Sanktions-Audit im Unternehmen — die vollständige Selbstprüfungs-Checkliste vor der Behördenprüfung

Rechtsstand: 26. Mai 2026.

Wenn Sie bereits wissen, dass Ihr Unternehmen Sanctions Screening durchführen muss — dann ist es Zeit zu prüfen, ob Sie es tatsächlich so betreiben, dass es einer BAFA-Außenwirtschaftsprüfung, einer Zoll-Außenprüfung oder einer Prüfung durch die Deutsche Bundesbank standhält. Ein Sanktions-Audit ist kein aufwendiger Prozess, der externe Prüfer erfordert. Es ist eine interne Selbstbewertung, die sich an einem Nachmittag erledigen lässt — vorausgesetzt, Sie haben eine Checkliste.

In diesem Beitrag erhalten Sie 10 Bereiche zum Abarbeiten, jeweils mit konkreten Kontrollfragen, Rechtsgrundlage und Hinweisen darauf, was auf mangelnde Bereitschaft hindeutet.

TL;DR

• Ein Sanktions-Audit dauert 90–180 Minuten für ein typisches KMU (10–250 Beschäftigte). Es erfordert keinen externen Prüfer.
• Sie prüfen 10 Bereiche — von der Benennung eines Compliance Officers bis zur Dokumentation von Entscheidungen.
• 3 kritische Bereiche (BLOCK): kein Compliance Officer, kein Verfahren zur Geschäftspartnerprüfung, keine Sanktionsliste im Einsatz — das sind Mängel, die ein Prüfer in den ersten Minuten erkennt.
• Korrektur-Priorität: BLOCK → 7 Tage, großer FIX → 30 Tage, kleiner FIX → 90 Tage.
• Das Audit sollte einmal alle 12 Monate wiederholt werden oder nach einer wesentlichen Änderung (neue Branche, neuer Markt, neues Sanktionspaket).

Was ist ein Sanktions-Audit und wie unterscheidet es sich vom Geldwäsche-Audit

Ein Sanktions-Audit ist eine interne Bewertung, ob das Unternehmen die Pflichten erfüllt, die sich ergeben aus:

• den unmittelbar geltenden EU-Verordnungen 269/2014 (Einfrieren von Vermögenswerten von Personen)¹ und 833/2014 (sektorale Russland-Sanktionen)²,
• der Verordnung 765/2006 (Belarus)³,
• dem deutschen Durchsetzungsrahmen — Außenwirtschaftsgesetz (AWG) und Sanktionsdurchsetzungsgesetz (SanktDG)⁴,
• den verbindlichen Sanktionslisten — der konsolidierten EU-Liste, der UN-Konsolidierungsliste und ggf. der OFAC-SDN-Liste bei US-Berührungspunkten⁵.

Ein Geldwäsche-Audit (GwG-Audit) hingegen umfasst alle Pflichten aus dem Geldwäschegesetz (GwG)⁶ — darunter Kundensorgfaltspflichten (KYC), die kundenbezogene Risikobewertung, Verdachtsmeldungen an die FIU und die Feststellung des wirtschaftlich Berechtigten.

Der wichtigste Unterschied: Das Sanktionsregime erfasst einen weiteren Kreis von Akteuren. EU-Verordnungen gelten unmittelbar für alle Unternehmen in der Union — nicht nur für die sogenannten Verpflichteten nach § 2 GwG. Mit anderen Worten: Selbst wenn Ihr Unternehmen kein Verpflichteter im Sinne des GwG ist, muss es die EU-Sanktionen einhalten.

Die Unterschiede zwischen Geldwäschebekämpfung und Sanktionen erläutern wir ausführlich im Beitrag Geldwäsche und Sanktionen — die Unterschiede.

Wer sollte das Audit durchführen

Das Audit sollte jedes Unternehmen durchführen, das mindestens eine der folgenden Bedingungen erfüllt:

1. Es ist ein Verpflichteter im Sinne des § 2 Abs. 1 GwG⁶ — Steuerberater, Buchhaltungsbüros, Immobilienmakler, Wechselstuben, Versicherungsmakler, Anbieter von Dienstleistungen rund um Kryptowerte, Händler von Luxusgütern über 10.000 EUR usw.
2. Es wickelt internationale Geschäfte ab — Export, Import, Dienstleistungen für ausländische Kunden, Exportfactoring, grenzüberschreitendes Leasing.
3. Es erbringt finanznahe Leistungen außerhalb der Finanzbranche — Operating-Leasing, Factoring, Ratenverkauf, Verbraucherdarlehen unterhalb der GwG-Schwellen.
4. Es nimmt an öffentlichen Vergabeverfahren teil — § 123 GWB i.V.m. Art. 5k VO 833/2014 (mehr dazu im Beitrag Sanktionen und öffentliche Aufträge).
5. Es bedient Kunden aus Risikolisten — Russland, Belarus, Iran, Nordkorea, von ausgewählten sektoralen Sanktionen erfasste Länder.

In der Praxis — in unseren prioritären Branchen — sollten alle Unternehmen aus Reisebüros / Tourismus, Versicherungen, Immobilien, Leasing und E-Commerce ein Audit durchführen. Ebenso Steuerberater und Buchhaltungsbüros sowie Anwaltskanzleien — als Verpflichtete nach dem GwG.

Die eigentliche Checkliste — 10 Bereiche zum Prüfen

Gehen Sie der Reihe nach vor. Jeder Bereich = eine Hauptfrage + 2–3 Kontrollfragen. Die Antwort lautet JA / NEIN / TEILWEISE. Schauen Sie nicht vorab in die Prioritäten — erkennen Sie zunächst selbst, wie viel Schmerz Sie im Unternehmen sehen.

1. Compliance Officer — benannt und bekannt?

Hauptfrage: Hat Ihr Unternehmen eine Person benannt, die für Sanctions Screening und Compliance verantwortlich ist? (Das kann dieselbe Person sein, die für Geldwäschebekämpfung zuständig ist, oder eine separate.)

Kontrollfragen:

• Ist die Benennung schriftlich erfolgt (Geschäftsführungsbeschluss oder Entscheidung des Inhabers, Erklärung des Mitarbeiters)?
• Hat diese Person Zugang zu den Sanktionslisten und Prüfwerkzeugen?
• Ist im Unternehmen bekannt, an wen ein verdächtiger Treffer zu melden ist?

Rechtsgrundlage: § 7 GwG⁶ (für Verpflichtete nach § 2 GwG) — Pflicht zur Bestellung eines Geldwäschebeauftragten auf Leitungsebene, soweit die Aufsicht es anordnet. Für Unternehmen außerhalb des Verpflichtetenkreises — Gebot der ordnungsgemäßen Risikosteuerung; bei einer Sanktionsprüfung gilt das Fehlen einer benannten Person als Indiz für eine Sorgfaltspflichtverletzung.

Was auf einen Mangel hindeutet: „niemand macht das konkret", „die Geschäftsführung beaufsichtigt das allgemein", keine konkrete Person in der Antwort.

Hinweis: In einem KMU von 10–50 Beschäftigten ist das in der Regel der Prokurist, die Finanzleitung oder die Hauptbuchhaltung. In größeren Unternehmen — eine eigene Compliance-Funktion / ein Compliance Officer. Den praktischen Zuschnitt der Rolle beschreiben wir im Beitrag Sanctions Compliance Officer im KMU.

2. Internes Sanctions-Screening-Verfahren — schriftlich fixiert?

Hauptfrage: Haben Sie ein schriftliches Dokument, das beschreibt, wann und wie Sie Geschäftspartner gegen die Sanktionslisten prüfen?

Kontrollfragen:

• Legt das Dokument den Prüfzeitpunkt fest (vor Vertragsabschluss, vor der ersten Zahlung, zyklisch)?
• Bestimmt es, welche Listen geprüft werden (EU, UN, OFAC, UK OFSI)?
• Bestimmt es, wer bei MATCH / POSSIBLE entscheidet?

Rechtsgrundlage: § 6 GwG⁶ (interne Sicherungsmaßnahmen für Verpflichtete). Für übrige Unternehmen — Bestandteil der gebotenen Sorgfalt, die sich aus der unmittelbaren Geltung der EU-Verordnungen ergibt.

Was auf einen Mangel hindeutet: „jeder Mitarbeiter macht das auf seine Weise", „wir prüfen aus dem Bauch heraus", „das steht irgendwo in einer Mail vom Anwalt".

Hinweis: Das Verfahren muss operativ sein — auf 2–4 Seiten in einer Sprache beschrieben, die auch der Vertrieb versteht. Kein 30-seitiges, vom Anwalt verfasstes Dokument. Eine Vorlage und Struktur zeigen wir in Sanktionsrichtlinie — Musterdokumente.

3. Trefferregister — geführt und aktuell?

Hauptfrage: Führen Sie ein Register der Fälle, in denen das Prüfsystem MATCH oder POSSIBLE zurückgegeben hat — jeweils mit Entscheidung und Begründung?

Kontrollfragen:

• Hat jeder Eintrag ein Datum, eine Kundenkennung, die Quellliste und die Art des Ergebnisses?
• Hat jede Entscheidung (Fortsetzung / Ablehnung / Meldung an die FIU) eine Begründung?
• Ist das Register unveränderlich (append-only) — lässt es sich nicht rückwirkend „korrigieren"?

Rechtsgrundlage: § 8 GwG⁶ (Aufzeichnungs- und Aufbewahrungspflicht, fünf Jahre). Für das Einfrieren von Vermögenswerten — Dokumentationspflichten aus den EU-Verordnungen i.V.m. AWG/SanktDG⁴.

Was auf einen Mangel hindeutet: kein Register, Ad-hoc-Notizen in Excel ohne Versionierung, „das steht im CRM, aber niemand hat reingeschaut".

Hinweis: Eine Vorlage für das Trefferregister (mit Pflichtfeldern und Entscheidungsmuster) — Register der Sanktions-Treffer.

4. Sanktionsrichtlinie — vorhanden und unterzeichnet?

Hauptfrage: Existiert im Unternehmen ein schriftliches Dokument der Sanktionsrichtlinie, das von der Geschäftsführung oder dem Inhaber genehmigt wurde?

Kontrollfragen:

• Legt es fest, wen, wann und mit welchen Mitteln wir prüfen?
• Enthält es Bezüge auf konkrete Rechtsakte (VO 269/2014, 833/2014, AWG, SanktDG)?
• Bestimmt es, was im Fall eines MATCH zu tun ist (Eskalationsverfahren)?
• Ist es aktuell (Überprüfung mindestens einmal jährlich)?

Rechtsgrundlage: § 6 GwG⁶ — interne Sicherungsmaßnahmen, deren Bestandteil die Sanktionspflichten sind; ergänzend die Dokumentationsanforderungen aus AWG/SanktDG⁴.

Was auf einen Mangel hindeutet: „eine Richtlinie haben wir nicht, aber ein Verfahren", „das Dokument liegt in der Schublade beim Anwalt", „niemand hat es je gelesen".

5. Sanktionsklausel in Handelsverträgen — aufgenommen?

Hauptfrage: Enthalten die mit Geschäftspartnern geschlossenen Verträge eine Sanktionsklausel?

Kontrollfragen:

• Umfasst die Klausel eine Erklärung des Partners, nicht von Sanktionen erfasst zu sein?
• Räumt sie Ihnen ein Rücktrittsrecht ein, falls der Partner gelistet wird?
• Umfasst sie eine Pflicht zur Information über Änderungen der Eigentümerstruktur?

Rechtsgrundlage: Grundsatz der Vertragsfreiheit (§ 311 Abs. 1 BGB) — die Klausel ist gesetzlich nicht vorgeschrieben, aber ihr Fehlen bedeutet, dass Sie bei einer Listung des Partners keine Instrumente für eine sichere Vertragsbeendigung haben. Marktpraxis, die auch im Kontext öffentlicher Vergabeverfahren empfohlen wird⁷.

Was auf einen Mangel hindeutet: „wir haben alte Vertragsmuster, von vor 2022", „Verträge werden ohne Klausel unterschrieben, weil sie niemand liest".

Hinweis: Eine Sanktionsklausel in Handelsverträgen sollte auch den Aspekt öffentlicher Aufträge abdecken, wenn das Unternehmen an Ausschreibungen teilnimmt.

6. Mitarbeiterschulungen — durchgeführt und dokumentiert?

Hauptfrage: Wurden die Mitarbeitenden mit Kundenkontakt (Vertrieb, Kundenservice, Buchhaltung, Recht) in den Regeln der Sanktionsprüfung geschult?

Kontrollfragen:

• Sind die Schulungen zyklisch (empfohlen: mindestens einmal alle 12 Monate)?
• Existiert eine Teilnehmerliste / eine Teilnahmebescheinigung?
• Enthalten die Schulungsunterlagen konkrete Fälle aus Ihrer Branche?
• Weiß der Mitarbeiter, wie er Warnsignale einer verdächtigen Transaktion (Red Flags) erkennt?

Rechtsgrundlage: § 6 Abs. 2 Nr. 6 GwG⁶ — Pflicht zur Unterrichtung und Schulung der Mitarbeiter bei Verpflichteten; als wiederkehrende Pflicht ausgestaltet.

Was auf einen Mangel hindeutet: „wir schulen sie laufend", „jeder weiß, was zu tun ist", kein Dokument, das die Schulung belegt.

Hinweis: Ein Rahmenplan für die Schulung + eine Themen-Checkliste — Mitarbeiterschulung zu Sanktionen.

7. Aktualisierung der Sanktionslisten — Prozess und Frequenz

Hauptfrage: Wie häufig prüfen Sie Aktualisierungen der Sanktionslisten (EU-Konsolidierte Liste / Anhang I VO 269/2014, OFAC SDN, UN Consolidated List)?

Kontrollfragen:

• Haben Sie die Listenquellen definiert (URLs, Formate)?
• Erfolgt der Aktualisierungsprozess täglich oder ad hoc?
• Prüfen Sie bei einer Erweiterung der Liste (neues EU-Sanktionspaket) Ihre Bestandskunden erneut?
• Haben Sie Alerts / ein Abonnement für Listenerweiterungen?

Rechtsgrundlage: EU-Verordnungen 269/2014 und 833/2014¹² — die Maßnahmen gelten ab ihrem Inkrafttreten. Das Inkrafttreten eines Sanktionspakets ist häufig der Tag nach der Veröffentlichung im Amtsblatt der EU — eine fehlende tägliche Aktualisierung = Risiko, eine Transaktion mit einem neu gelisteten Subjekt abzuwickeln, bevor Sie reagieren.

Was auf einen Mangel hindeutet: „wir haben bei Vertragsabschluss geprüft", „einmal im Quartal schaut jemand drauf", „wir haben ein bezahltes Werkzeug, aber niemand weiß, ob es sich aktualisiert".

Hinweis: die wichtigsten Quellen: Aktualisierungen der Sanktionslisten, konsolidierte EU-Liste und nationale Listen, OFAC-Liste. In Deutschland gibt es keine eigenständige nationale Sanktionsliste auf Bundesebene — verbindlich sind die EU- und UN-Listen.⁵

8. Vorgehen bei MATCH / POSSIBLE — beschrieben?

Hauptfrage: Haben Sie die Schritte beim Auftreten eines Treffers (MATCH oder POSSIBLE) schriftlich festgehalten?

Kontrollfragen:

• Wer erhält die Benachrichtigung?
• Welche Schritte werden ergriffen (Eskalation an Compliance, Anhalten der Transaktion, Verifizierung über eine zweite Quelle)?
• Innerhalb welcher Frist wird die endgültige Entscheidung getroffen?
• Existiert ein Verfahren zur Meldung an die FIU (Formular, Frist, verantwortliche Person)?

Rechtsgrundlage: § 43 GwG⁶ — Pflicht zur unverzüglichen Verdachtsmeldung an die FIU; AWG/SanktDG⁴ — Pflichten bei Feststellung eines einzufrierenden Vermögenswerts und Meldepflichten gegenüber der Deutschen Bundesbank.

Was auf einen Mangel hindeutet: „wir hatten so eine Situation noch nicht", „wir rufen wohl den Anwalt an", „False Positives ignorieren wir, weil ohnehin niemand nachprüft".

Hinweis: die korrekte Behandlung von Ergebnissen — False Positive im Sanctions Screening.

9. Kundenbezogene Risikobewertung — vor Vertragsabschluss durchgeführt?

Hauptfrage: Bewerten Sie vor Vertragsabschluss mit einem neuen Partner das Sanktionsrisiko (Land, Branche, Eigentümerstruktur, Transaktionskontext)?

Kontrollfragen:

• Existiert ein Risikobewertungsformular (KYC light) oder ein Scoring?
• Behandeln Sie Hochrisikokunden (von sektoralen Sanktionen erfasste Länder, Offshore-Strukturen, fehlende Transparenz beim wirtschaftlich Berechtigten) anders?
• Dokumentieren Sie die Entscheidung für einen Vertragsabschluss trotz erkanntem Risiko?

Rechtsgrundlage: § 10 GwG⁶ — risikoangemessene Sorgfaltspflichten gegenüber Kunden; § 5 GwG — kundenbezogene Risikoanalyse.

Was auf einen Mangel hindeutet: „wir vertrauen auf gesunden Menschenverstand", „eine Risikobewertung haben wir nicht, einen Kunden gibt es oder nicht", keine Differenzierung zwischen einem Kunden aus Deutschland und einem aus Zypern.

Hinweis: der ausführliche Prozess — Geschäftspartnerprüfung gegen Sanktionen.

10. Dokumentation der Entscheidungen — 5 Jahre, unveränderlich, verfügbar?

Hauptfrage: Werden alle sanktionsbezogenen Entscheidungen (Prüfung, MATCH, Eskalation, Meldung an die FIU, Entscheidung der Geschäftsführung) dokumentiert und für fünf Jahre nach Beendigung der Geschäftsbeziehung aufbewahrt?

Kontrollfragen:

• Werden die Dokumente vor Veränderung geschützt aufbewahrt (System mit Audit-Log, Backups)?
• Wissen Sie im Prüfungsfall, wo die Dokumente von 2022 liegen (vier Jahre zurück)?
• Sind die Entscheidungen (digital oder handschriftlich) vom Compliance Officer oder einer bevollmächtigten Person unterzeichnet?

Rechtsgrundlage: § 8 Abs. 4 GwG⁶ — „Die Aufzeichnungen und sonstigen Belege […] sind fünf Jahre aufzubewahren." Eine entsprechende Aufbewahrungsfrist gilt für die sanktionsbezogene Dokumentation im Rahmen des AWG/SanktDG⁴.

Was auf einen Mangel hindeutet: „die Dokumente sind irgendwo in einer Mail", „die Buchhaltung hat das archiviert, aber wir wissen nicht wo", kein Zugriff auf Dokumente von vor 2 Jahren innerhalb von 30 Minuten.

Was tun mit den Lücken — Korrektur-Prioritäten

Nach dem Durchgang durch die 10 Bereiche haben Sie ein Ergebnis. Jetzt die Priorität:

BLOCK — innerhalb von 7 Tagen beheben

Wenn Sie in den Bereichen #1, #2, #3 ein NEIN haben — das ist ein BLOCK. Ein Prüfer erkennt diese Lücken in den ersten Minuten der Prüfung.

Folge der Unterlassung: strafrechtliche Verantwortung nach § 18 AWG (Freiheitsstrafe von drei Monaten bis fünf Jahren), in besonders schweren Fällen § 17 AWG (bis zu zehn Jahren), sowie Bußgeld nach § 19 AWG (bis 500.000 EUR) und Verbandsgeldbuße nach § 30 OWiG (bis 10 Mio. EUR)⁴. Eine ausführliche Darstellung der Strafen — Strafen bei Sanktionsverstößen in Deutschland.

Großer FIX — innerhalb von 30 Tagen beheben

Die Bereiche #4, #5, #6, #7 — ein Fehlen = großer FIX. Der Prüfer erkennt das in der zweiten Phase der Prüfung (nach Durchsicht der Dokumente).

Kleiner FIX — innerhalb von 90 Tagen beheben

Die Bereiche #8, #9, #10 — ein Fehlen = kleiner FIX. Der Prüfer erkennt das in der dritten Phase (Prüfung konkreter Fälle).

Wie Sie sich auf eine BAFA- oder Zoll-Prüfung vorbereiten

Eine Prüfung der internen Sanktions-Compliance kann von mehreren Stellen durchgeführt werden:

• Bundesamt für Wirtschaft und Ausfuhrkontrolle (BAFA) und Zoll — kontrollieren die güter- und außenwirtschaftsbezogenen Sanktionspflichten von Unternehmen (Export, Import, Genehmigungspflichten)⁸. Mehr dazu im Beitrag Prüfung im Außenwirtschaftsbereich — wie Sie sich vorbereiten.
• Deutsche Bundesbank — zuständig für Finanzsanktionen und das Einfrieren von Vermögenswerten⁸.
• FIU Deutschland (Zentralstelle für Finanztransaktionsuntersuchungen beim Zoll) — entgegennehmende Stelle für Verdachtsmeldungen der Verpflichteten⁶.
• Zentralstelle für Sanktionsdurchsetzung (ZfS) — seit Januar 2023 bei der Bundeskasse, koordiniert die Durchsetzung der EU-Sanktionen⁴.
• Im Vergaberecht erfolgt der Ausschluss sanktionierter Akteure über § 123 GWB i.V.m. den EU-Sanktionsverordnungen⁷.

Was der Prüfer üblicherweise verlangt:

1. Sanktionsrichtlinie (#4)
2. Internes Screening-Verfahren (#2)
3. Trefferregister (#3)
4. Dokumente zur Benennung des Compliance Officers (#1)
5. Schulungsunterlagen und Teilnehmerlisten (#6)
6. Logs aus dem Screening-System — Nachweis der Prüfung konkreter Kunden (#3, #10)
7. Verfahren bei MATCH + Anwendungsbeispiele (#8)
8. Sanktionsklauseln in ausgewählten Verträgen (#5)

Wenn Sie das Obige innerhalb von 60 Minuten dem Prüfer übergeben können — sind Sie bereit. Wenn Sie es erst zusammenstellen müssen — haben Sie Lücken in den Bereichen #1–#10.

Wie Sanqto hilft

Sanqto ist eine On-Premise-Software für Sanctions Screening — die Daten Ihrer Kunden verlassen Ihre Infrastruktur nicht. Im Kontext des Sanktions-Audits decken wir mehrere Bereiche der Checkliste unmittelbar ab:

• Bereich #2 (Verfahren): eingebautes Prüfverfahren + Audit-Log jeder Entscheidung.
• Bereich #3 (Trefferregister): automatisches Register mit Pflichtfeldern und fünfjähriger Aufbewahrung.
• Bereich #7 (Listenaktualisierung): tägliche Synchronisation der EU-, UN- und OFAC-Listen.
• Bereich #10 (Dokumentation): unveränderlicher Entscheidungsnachweis mit Audit-Log und Backups.

Zusätzlich erhalten Sie ein Einführungspaket: Sanktionsrichtlinie, Arbeitsanweisung, Muster einer Sanktionsklausel, Risikobewertungsformular. Das deckt die Bereiche #1, #4, #5, #9 ab.

Demo vereinbaren oder das Produkt Sanqto kennenlernen.

Rechtsgrundlage

• Außenwirtschaftsgesetz (AWG) i.V.m. Sanktionsdurchsetzungsgesetz (SanktDG) vom 19. Dezember 2022 — nationale Durchsetzung der EU-Sanktionen; § 17 (besonders schwere Fälle), § 18 (Regelstrafrahmen), § 19 (Bußgeld)⁴.
• Geldwäschegesetz (GwG) — § 2 (Verpflichtetenkatalog), § 5, 6, 7, 8, 10, 43⁶.
• § 30 OWiG — Verbandsgeldbuße gegen juristische Personen⁴.
• § 123 GWB — Ausschluss sanktionierter Akteure von Vergabeverfahren⁷.
• Verordnung (EU) Nr. 269/2014 (Einfrieren von Vermögenswerten von Personen und Einrichtungen) — Anhang I¹.
• Verordnung (EU) Nr. 833/2014 (sektorale Sanktionen gegen Russland) — Anhänge IV–XXVI².
• Verordnung (EG) Nr. 765/2006 (Belarus)³.
• Konsolidierte EU-Sanktionsliste (GD FISMA); in Deutschland keine eigenständige nationale Sanktionsliste⁵.

Information, keine Rechtsberatung. Dieser Artikel dient ausschließlich Informationszwecken und stellt keine Rechtsberatung dar. Die konkrete rechtliche Bewertung im Einzelfall sollte mit einem fachkundigen Rechtsanwalt für Außenwirtschafts- und Sanktionsrecht erfolgen. Rechtsstand: 26. Mai 2026.