Sanktionslisten EU, UN, OFAC und UK — Leitfaden für Unternehmen

Wenn Sie in Deutschland ein ganz normales Unternehmen führen — keine Bank, keine Wechselstube, keine Großkanzlei —, müssen Sie Ihre Kunden und Geschäftspartner trotzdem gegen die EU-Sanktionslisten prüfen. Diese Pflicht ergibt sich unmittelbar aus den EU-Verordnungen, die ohne Umsetzung durch den Bundestag direkt gelten. Anders als manche Nachbarländer hat Deutschland dabei keine eigene nationale Sanktionsliste — maßgeblich sind die EU- und UN-Listen sowie, bei US-Berührungspunkten, die OFAC-Liste. Die meisten KMU wissen davon bis heute nichts.

Dieser Artikel beantwortet eine einfache Frage: welche Listen genau Ihr Unternehmen betreffen und worin sie sich unterscheiden.

Rechtsstand: 17. Mai 2026.

TL;DR

• EU-Liste (Verordnungen 269/2014 und 833/2014 + Anhänge der weiteren Pakete) — gilt für jeden Rechtsträger in der EU. Das ist Ihre Basis.
• UN-Liste (Security Council Consolidated List) — mittelbar, weil die EU UN-Sanktionen über eigene Verordnungen umsetzt. In der Praxis genügt die EU-Liste.
• OFAC SDN-Liste (USA) — formal für ein deutsches Unternehmen nicht bindend, betrifft es aber bei USD-Abwicklung, im Verkehr mit US-Korrespondenzbanken und bei Verträgen mit Sanktionsklausel.
• Keine nationale Sanktionsliste in Deutschland — anders als z. B. Polen (MSWiA-Liste) stützt sich der deutsche Vollzug ausschließlich auf das EU-Recht; Aufsicht und Durchsetzung liegen bei BAFA, Bundesbank und Zoll.
• UK-Liste (OFSI/HMT) — relevant, wenn Sie eine Niederlassung, Kunden oder Zahlungen im Vereinigten Königreich haben.

Woher diese Pflicht überhaupt kommt

Wirtschaftssanktionen der EU wirken in der deutschen Rechtsordnung anders als die meisten Regelungen. EU-Verordnungen (269/2014, 833/2014, 765/2006 und die weiteren Pakete) bedürfen keines Umsetzungsgesetzes. Sie gelten unmittelbar ab dem Tag ihrer Veröffentlichung im Amtsblatt der EU. Sie betreffen jede natürliche und juristische Person in der EU — unabhängig von Branche, Größe und davon, ob jemand je von ihnen gehört hat.

Zwei zentrale Vorschriften der Verordnung 269/2014:

• Bereitstellungsverbot für Personen und Einrichtungen aus Anhang I (man darf ihnen nichts verkaufen, vermieten, verleihen oder zur Verfügung stellen — gar nichts).
• Pflicht zur Einfrierung von Geldern, wenn solche Personen bereits Ihr Kunde sind oder bei Ihnen Geld, Ware, ein Depot oder eine offene Rechnung haben.

Diese beiden Pflichten setzen schon für sich genommen voraus, dass Sie wissen, wer auf der Liste steht. Und um das zu wissen, müssen Sie prüfen. Daher das gesamte Sanction Screening.

Auf nationaler Ebene ergänzen das Außenwirtschaftsgesetz (AWG) und das Sanktionsdurchsetzungsgesetz (SanktDG) den EU-Rahmen.¹ Diese Gesetze setzen die EU-Verordnungen nicht um — eine Umsetzung ist nicht erforderlich —, sondern schaffen den Vollzugsrahmen und legen die Sanktionen für Verstöße fest. Wichtig: Deutschland verfügt nicht über eine eigene nationale Sanktionsliste auf Bundesebene; verbindlich sind die EU-Listen, die UN-Konsolidierungsliste und bei US-Bezug die OFAC SDN-Liste.²

Die EU-Liste — Ihre Basis, an der kein Weg vorbeiführt

Die EU-Liste ist nicht eine einzige Datei. Sie ist ein Bündel von Anhängen zu verschiedenen Verordnungen, dazu eine konsolidierte Datenbank, die die Europäische Kommission als CSV/XML bereitstellt.

Die zwei wichtigsten Verordnungen, die man kennen muss

Verordnung (EU) Nr. 269/2014 des Rates vom 17. März 2014 betrifft restriktive Maßnahmen gegen Personen und Einrichtungen, die für Handlungen verantwortlich sind, welche die territoriale Unversehrtheit der Ukraine untergraben.³ Diese Verordnung ist „personenbezogen" — Anhang I enthält das Verzeichnis der Namen und Firmen, deren Vermögenswerte eingefroren sind.

Verordnung (EU) Nr. 833/2014 des Rates vom 31. Juli 2014 betrifft sektorale Sanktionen gegen Russland — Ausfuhr, Einfuhr, Dienstleistungen, Finanzierung.⁴ Hier geht es nicht um Namenslisten, sondern um Branchen und Produkte. Sektorsanktionen sind im Compliance oft schwieriger als Personenlisten, weil sie verlangen zu prüfen, was Sie verkaufen — und nicht nur an wen.

Für Belarus erfüllt die analoge Rolle die Verordnung (EG) Nr. 765/2006.⁵ Für den Iran — 267/2012. Für Nordkorea — 2017/1509. Und so weiter. Die Liste der Staaten, gegen die ein EU-Sanktionsregime besteht, umfasst 2026 über 30 Positionen.

Die konsolidierte EU-Liste — wo herunterladen

Die Europäische Kommission führt die EU Financial Sanctions Files (FSF) — eine einzige Datei, die alle Sanktionsregime und alle Anhänge zusammenfasst.⁶ Das ist die zentrale Quelle für die gesamte EU.

Adresse: https://webgate.ec.europa.eu/fsd/fsf

Format: XML (vollständig) sowie CSV (vereinfacht). Aktualisierungsfrequenz: jeweils nach Veröffentlichung eines neuen Pakets oder einer Listungsänderung im Amtsblatt der EU. In der Praxis — mehrmals im Monat.

Eine zweite gute Quelle ist die EU Sanctions Map (https://www.sanctionsmap.eu/) — eine interaktive Karte, auf der Sie ein Land anklicken und sehen, welche Regime es erfassen.⁷ Gut zum Lernen, schwach zur Automatisierung.

Was in der konsolidierten Datei steht

Jeder Eintrag enthält:

• Name (sowie Aliase, Transliterationen, frühere Namen),
• Geburtsdatum, Geburtsort, Staatsangehörigkeit (bei Personen),
• Registernummer, Anschrift (bei Einrichtungen),
• Passnummer (sofern bekannt),
• Rechtsgrundlage — welcher Anhang, welches Paket, welches Regime,
• Aufnahmedatum.

Allein den Namen zu haben, reicht für einen Treffer nicht aus. Sanction Screening ist kein Strg+F nach dem Vornamen. Sie müssen Aliase, Transliterationen (Putin / Putyn / Putine), Schreibvarianten und Geburtsdaten berücksichtigen. Daher Werkzeuge mit Fuzzy Matching und einem dreistufigen Ergebnis statt eines simplen JA/NEIN — dazu gesondert beim Umsetzungsverfahren.

Die UN-Liste — formal wichtig, in der Praxis schon in der EU

Die UN Security Council Consolidated List ist die Liste der Personen und Einrichtungen, die Sanktionen aufgrund von Resolutionen des UN-Sicherheitsrats unterliegen.⁸ Regime: ISIL/Al-Qaida, Taliban, Iran (pre-JCPOA), Nordkorea, Libyen, Sudan, Somalia und einige weitere.

Adresse: https://www.un.org/securitycouncil/content/un-sc-consolidated-list

In der EU gilt der Grundsatz: Jede UN-Sanktion, sobald sie vom Sicherheitsrat beschlossen wird, wird durch eine eigene Verordnung in das Unionsrecht transponiert.⁹ Setzt die UN also jemanden auf die Taliban-Liste, erlässt die EU binnen weniger Wochen eine Umsetzungsverordnung. Ab diesem Zeitpunkt steht die Person auch auf der EU-Liste.

Praktische Folgerung: Wenn Sie die konsolidierte EU-Liste prüfen, ist die UN-Liste darin enthalten. Eine gesonderte UN-Prüfung ist nur dann nötig, wenn Sie in der Phase zwischen UN-Resolution und EU-Transposition handeln — das ist sehr selten und betrifft vor allem Banken und Logistikunternehmen am laufenden Markt. Die meisten KMU dürfen die UN-Liste als Teil der EU-Liste behandeln.

Die OFAC SDN-Liste — amerikanisch, aber Achtung Extraterritorialität

OFAC ist das Office of Foreign Assets Control beim US-Finanzministerium. Es führt die SDN-Liste (Specially Designated Nationals and Blocked Persons), die zehntausende Einträge umfasst und nahezu täglich aktualisiert wird.¹⁰

Adresse: https://ofac.treasury.gov/sanctions-list-search-tool. Suchmaschine: https://sanctionssearch.ofac.treas.gov/.

Wann sie ein deutsches Unternehmen betrifft

Formal? Ein deutsches Unternehmen muss die US-amerikanische SDN-Liste nicht beachten, denn das ist US-Recht. Praktisch? Es muss sie in vier Situationen beachten:

1. Sie rechnen in US-Dollar ab. Jede USD-Transaktion läuft über eine Korrespondenzbank in den USA. Steht die Gegenseite auf der SDN-Liste, blockiert die Bank die Überweisung — unabhängig davon, was Sie davon halten.
2. Sie haben Kunden / Lieferanten in den USA. Der amerikanische Partner wird verlangen, dass Sie nach seinen eigenen Standards „sanktionssauber" sind — also nach OFAC.
3. Sie haben einen Vertrag mit Sanktionsklausel. In internationalen Verträgen ist die Klausel „compliance with applicable sanctions, including OFAC" Standard. Ein Verstoß gegen diese Klausel = Vertragsverletzung, nicht nur Rechtsverletzung.
4. Ihre Tätigkeit hat einen „US nexus" — z. B. Sie nutzen US-amerikanische Software, haben Kunden mit Green Card oder liefern etwas in das US-Territorium. Dann kann OFAC US-Jurisdiktion annehmen.

Für ein Unternehmen, das ausschließlich in Deutschland tätig ist, ohne USD, ohne US-Kunden, ohne US-Software — gilt OFAC formal nicht. Aber solche Unternehmen sind seltener, als man denkt. Analysieren Sie immer Ihre Liefer- und Zahlungskette, bevor Sie sagen „das betrifft uns nicht".

Sekundärsanktionen von OFAC

Eine eigene Kategorie: secondary sanctions. Mit diesem Instrument können die USA ein Unternehmen außerhalb der USA für die Zusammenarbeit mit einem SDN-gelisteten Subjekt bestrafen — selbst wenn dieses Unternehmen keinerlei Anknüpfungspunkt in den Staaten hat. Strafe: Abschneiden vom Dollar-System und Aufnahme genau dieses Unternehmens auf die SDN-Liste. Das ist das Ende des internationalen Geschäfts. Eingesetzt vor allem gegen den Iran und ausgewählte russische Subjekte.

Deutschland — keine eigene nationale Sanktionsliste

Anders als manche Mitgliedstaaten — etwa Polen mit der MSWiA-Liste oder das Vereinigte Königreich mit der OFSI-Liste — verfügt Deutschland nicht über eine eigenständige nationale Sanktionsliste auf Bundesebene.² Verbindlich sind ausschließlich die konsolidierten EU-Listen (Verordnungen 269/2014, 833/2014 und weitere), die UN-Konsolidierungsliste sowie, bei US-Berührungspunkten, die OFAC SDN-Liste. Das BAFA (Bundesamt für Wirtschaft und Ausfuhrkontrolle) ist Aufsichts- und Durchsetzungsbehörde für güterbezogene Sanktionen, aber kein Listenhalter.²

Wer in Deutschland den Vollzug verantwortet

Der deutsche Sanktionsvollzug ist auf mehrere Behörden verteilt:¹¹

• BAFA — Ausfuhrkontrolle und güterbezogene Sanktionen,
• Deutsche Bundesbank — Finanzsanktionen, Einfrieren von Vermögenswerten, Kapital- und Zahlungsverkehr,
• Zoll — Ein- und Ausfuhrkontrolle an der Grenze,
• ZfS (Zentralstelle für Sanktionsdurchsetzung) bei der Bundeskasse — seit Januar 2023, koordiniert die Durchsetzung,
• FIU Deutschland beim Zollkriminalamt — Verdachtsmeldungen von Verpflichteten nach § 2 GwG.¹²

Diese Behördenstruktur ist der Grund, warum es in Deutschland keine eine zentrale „nationale Liste" braucht: Das unmittelbar geltende EU-Recht ist die Liste; die Behörden sorgen für Aufsicht und Durchsetzung.

Was das praktisch bedeutet

Für Ihr Unternehmen bedeutet das: Sie prüfen gegen die EU-Liste (samt eingebetteter UN-Liste) und — bei US-Bezug — gegen OFAC. Es gibt keine zusätzliche deutsche „Bundesliste", die Sie separat herunterladen müssten. Das vereinfacht das Screening gegenüber Jurisdiktionen mit eigener nationaler Liste — die Pflichten selbst sind dadurch jedoch nicht weniger streng.

Die UK-Liste (OFSI / HMT) — wann sie zählt

Der Brexit hat das britische Sanktionsregime vom europäischen getrennt. Das Vereinigte Königreich führt seine eigene Liste über das OFSI (Office of Financial Sanctions Implementation) beim HM Treasury.¹³ Sie ist umfangreich und weicht oft von der EU-Liste ab — das UK listet russische Oligarchen, die die EU ausgelassen hat, und umgekehrt.

Adresse: https://www.gov.uk/government/publications/financial-sanctions-consolidated-list-of-targets

Für ein deutsches Unternehmen zählt die UK-Liste, wenn Sie:

• eine Niederlassung, Gesellschaft oder Kunden im UK haben,
• in GBP abrechnen,
• Verträge mit einer britischen Sanktionsklausel haben.

Wenn Sie nichts mit dem UK zu tun haben — überspringen Sie sie. Es ergibt keinen Sinn, jede Liste der Welt zu prüfen, wenn Sie keinen Berührungspunkt haben.

Vergleichstabelle

In der Praxis ist für die meisten deutschen KMU die Mindestkonfiguration EU (inkl. UN). Wenn Sie in USD abrechnen oder einen US-Partner haben — fügen Sie OFAC hinzu. Haben Sie irgendetwas mit dem UK — fügen Sie OFSI hinzu. Die UN-Liste steckt in der EU-Liste, sie muss nicht separat geprüft werden.

Was Sie konkret in Ihrem Unternehmen tun

1. Benennen Sie eine verantwortliche Person. Das muss kein Jurist sein. In KMU landet das meist beim Compliance-Officer, beim kaufmännischen Leiter oder beim Inhaber. Wichtig ist, dass klar ist, wer.
2. Legen Sie Ihren Listenumfang fest. EU (inkl. UN) — immer. OFAC — bei USD oder US nexus. OFSI — bei UK nexus. Andere — nur nach Analyse.
3. Wählen Sie die Datenquelle. Entweder Sie laden manuell aus den offiziellen Quellen herunter (arbeitsintensiv, menschliche Fehlerquelle) oder Sie nutzen ein Werkzeug, das das automatisch erledigt. Excel als Datenbank raten wir ab — dazu haben wir gesondert geschrieben.
4. Legen Sie die Prüffrequenz fest. Minimum: bei jedem neuen Kunden, bei jeder neuen wesentlichen Transaktion. Standardmäßig: vollständiger Abgleich der Kundenbasis einmal im Monat. Aktualisierung der Listen selbst — mindestens einmal pro Woche.
5. Dokumentieren Sie jede Prüfung. Keine Dokumentation = kein Nachweis, dass Sie die erforderliche Sorgfalt gewahrt haben. Eine Prüfung durch BAFA, Bundesbank oder Zoll wird fragen „wann haben Sie Herrn Iwanow zuletzt geprüft" — Sie müssen Datum, Uhrzeit und Ergebnis vorweisen können.
6. Legen Sie ein Trefferverfahren fest. Was tun Sie bei POSSIBLE / MATCH? Wen verständigen Sie? Wann frieren Sie ein? Schreiben Sie das Verfahren einmal auf und nutzen Sie es immer wieder.
7. Bleiben Sie rechtlich aktuell. Die EU erlässt Pakete. Die Umsetzung der Richtlinie 2024/1226 — Kriminalisierung von EU-Sanktionsverstößen erfolgte in Deutschland durch eine Novelle des AWG/AWV (BGBl. 2026 I Nr. 27, in Kraft seit 06.02.2026; ändert u. a. §§ 18, 19 AWG) und verschärfte die Regeln.¹⁴ Jemand im Unternehmen muss das Amtsblatt der EU und die BAFA-Bekanntmachungen verfolgen — oder einen Newsletter abonnieren, der das übernimmt.

In einem gesonderten Artikel behandeln wir das Verfahren zum Sanction Screening Schritt für Schritt — einschließlich Muster einer Sanktionsrichtlinie und eines Trefferregisters.

Was Sie riskieren, wenn Sie es nicht tun

Drei Risikoebenen, in aufsteigender Reihenfolge.

Erstens, das Bußgeld. Verstöße gegen die Pflichten aus den EU-Sanktionsverordnungen können nach § 19 AWG mit einem Bußgeld von bis zu 500.000 EUR bei vorsätzlichen und bis zu 30.000 EUR bei fahrlässigen Verstößen geahndet werden; zusätzlich kommt nach § 30 OWiG eine Verbandsgeldbuße bis 10 Mio. EUR gegen das Unternehmen selbst in Betracht.¹⁵ Verhängt werden diese durch die zuständigen Behörden — BAFA, Bundesbank, Zoll.

Zweitens, die strafrechtliche Verantwortung. Vorsätzliche Verstöße gegen unmittelbar geltende EU-Sanktionsverbote sind nach § 18 AWG (Regelstrafrahmen 3 Monate bis 5 Jahre) und in besonders schweren Fällen nach § 17 AWG (Freiheitsstrafe bis zu 10 Jahren) strafbar.¹ Hinzu kommt die EU-Richtlinie 2024/1226, die die Mitgliedstaaten zur Kriminalisierung von Sanktionsverstößen verpflichtet und in Deutschland durch eine Novelle des AWG/AWV (BGBl. 2026 I Nr. 27, in Kraft seit 06.02.2026) umgesetzt wurde.¹⁴ Ein Sanktionsverstoß ist damit nicht nur eine Ordnungswidrigkeit, sondern in vielen Fällen eine Straftat — mit persönlicher Verantwortung der Geschäftsleitung.

Drittens, das geschäftliche Risiko. Die Bank friert Ihr Konto für die Dauer der Klärung ein, der amerikanische Partner kündigt den Vertrag, ein institutioneller Kunde schließt Sie von einem Vergabeverfahren aus (§ 123 GWB),¹⁶ der Versicherer will keine Police ausstellen. Das passiert schneller als jedes Bußgeld und tut oft mehr weh.

In einem gesonderten Artikel behandeln wir Strafen und in der EU 2024–2026 verhängte Fälle im Detail.

Wie Sanqto helfen kann

Sanqto ist eine Software für Sanction Screening für Unternehmen außerhalb des Finanzsektors. Sie konsolidiert die EU-Liste, die UN-Liste, die OFAC SDN-Liste und die UK OFSI-Liste in einer einzigen Datenbank, aktualisiert sie automatisch, läuft on-premise (die Daten Ihrer Kunden verlassen Ihre Infrastruktur nicht — das ist wichtig für die DSGVO) und liefert das Ergebnis in drei Zuständen: MATCH, POSSIBLE, CLEAR. Sub-30ms pro Anfrage. Dazu ein Paket an Implementierungsdokumenten — Sanktionsrichtlinie, Arbeitsanweisung, Trefferregister — damit Sie nicht beim weißen Blatt anfangen müssen.

Wenn Ihr Unternehmen in einer Branche tätig ist, die wir betreuen, sehen Sie sich die konkreten Hinweise an: Reisebüros, Immobilien, Versicherungen. Finden Sie Ihre nicht — melden Sie sich, wahrscheinlich betreuen wir Sie dennoch, wir haben nur noch keine Landingpage erstellt.

Rechtsgrundlagen

• Verordnung (EU) Nr. 269/2014 des Rates vom 17. März 2014 — CELEX 32014R0269
• Verordnung (EU) Nr. 833/2014 des Rates vom 31. Juli 2014 — CELEX 32014R0833
• Verordnung (EG) Nr. 765/2006 des Rates vom 18. Mai 2006 (Belarus) — CELEX 32006R0765
• Richtlinie (EU) 2024/1226 des Europäischen Parlaments und des Rates vom 24. April 2024 — CELEX 32024L1226
• Außenwirtschaftsgesetz (AWG) — gesetze-im-internet.de/awg_2013
• Sanktionsdurchsetzungsgesetz (SanktDG) — bgbl.de
• Geldwäschegesetz (GwG) — gesetze-im-internet.de/gwg_2017
• EU Financial Sanctions Files — webgate.ec.europa.eu/fsd/fsf
• OFAC SDN List — ofac.treasury.gov
• UN Security Council Consolidated List — un.org/securitycouncil
• UK OFSI Consolidated List of Financial Sanctions Targets — gov.uk
• BAFA — Bundesamt für Wirtschaft und Ausfuhrkontrolle — bafa.de
• Deutsche Bundesbank — Finanzsanktionen — bundesbank.de

Fußnoten

Information, keine Rechtsberatung. Dieser Artikel dient ausschließlich Informationszwecken und stellt keine Rechtsberatung dar. Die konkrete rechtliche Bewertung im Einzelfall sollte mit einem fachkundigen Rechtsanwalt für Außenwirtschafts- und Sanktionsrecht erfolgen. Rechtsstand: 17. Mai 2026.