Sanktions- und Watchlist-Screening für KMU: Minimal-Setup, um EU-Sanktionsrisiken und aufsichtsrechtliche Risiken zu reduzieren

Autor: NEXORA Unternehmensberatung GmbH Datum: Januar 2026 Lesezeit: ca. 11 Minuten

Die 5 wichtigsten Punkte auf einen Blick:

• EU-Sanktionen betreffen jedes KMU, das mit Drittstaaten, Distributoren oder sensiblen Gütern arbeitet – unabhängig davon, ob Sie direktes Russland-Geschäft haben. Lieferketten, Export und Zahlungsverkehr können Sanktionsrisiken bergen.

• Ein Minimal-Setup kann auch ohne teure Software funktionieren: Mit klar definierten Trigger-Events, zugewiesenen Verantwortlichkeiten und einfacher Dokumentation können KMU ein wirksames Sanktions-Screening etablieren.

• Vier zentrale Prüfpunkte bilden den Kern: Geschäftspartner-Screening beim Onboarding, Checks bei Export und Zahlungen, regelmäßige Re-Checks in Risikofällen sowie strukturierte Behandlung von Treffern.

• Strukturierte Prozesse können konkrete Risiken reduzieren: Haftungsrisiken gegenüber Behörden, Probleme mit Banken (Kontokündigungen, Payment-Stops) und Reputationsschäden lassen sich durch nachvollziehbare, dokumentierte Verfahren deutlich reduzieren.

• Offizielle EU-Guidance liefert den Rechtsrahmen: Die Europäische Kommission spricht in ihren Leitlinien zur Umgehung von Sanktionen explizit von „appropriate due diligence" für EU-Operatoren – dieser Artikel zeigt, wie KMU daraus ein pragmatisches Setup ableiten.

Warum KMU betroffen sind – realistische Business-Fälle ohne Panikmache

Viele KMU-Inhaber und Geschäftsführer gehen davon aus, dass Sanktions-Compliance nur für Großkonzerne oder Unternehmen mit direktem Russland-Geschäft relevant ist. Diese Annahme ist riskant, denn EU-Sanktionen greifen breiter als oft vermutet.

Typische KMU-Situationen mit Sanktionsrisiken

Export von Maschinen oder Software über Distributoren: Ein österreichischer Maschinenbauer exportiert CNC-Fräsen über einen Distributor in der Türkei oder den Vereinigten Arabischen Emiraten. Der Distributor verkauft weiter – unter Umständen auch in sanktionierte Länder. Wenn der österreichische Hersteller keine angemessene Prüfung (due diligence) durchführt, kann er ungewollt zu Konstruktionen beitragen, die als Umgehung von EU-Sanktionen gewertet werden könnten.

Komplexe Lieferketten mit Zwischenhändlern: Ein IT-Dienstleister bezieht Hardwarekomponenten über mehrere Zwischenhändler. Plötzlich tauchen neue Lieferanten auf, die Lieferung soll über „Freihandelszonen" oder Drittländer erfolgen. Solche Konstruktionen können auf mögliche Umgehungsversuche hindeuten – Stichwort Re-Export-Risiko.

Verstärkte Banken-Kontrollen bei Zahlungsverkehr: Ihre Hausbank stellt zunehmend Fragen zu Zahlungen in bestimmte Länder oder zu Geschäftspartnern. Oder schlimmer: Zahlungen werden blockiert, Konten gekündigt. Banken sind selbst reguliert und führen intensives Sanktions-Screening durch. Wenn Ihr Unternehmen nicht nachweisen kann, dass es eigene angemessene Prüfungen vornimmt, können Sie schnell zum Risikokunden werden.

FMA-Risiken für nicht beaufsichtigte KMU – was bedeutet das konkret? - Für nicht unmittelbar beaufsichtigte KMU entstehen FMA-Risiken vor allem mittelbar – etwa über strengere Sanktions-Prüfungen ihrer Banken und anderer von der FMA beaufsichtigter Institute. Mit dem Sanctions Act 2024 (SanktG 2024), der am 11.02.2025 in Kraft getreten ist, hat der österreichische Nationalrat die rechtliche Basis für die Implementierung finanzieller Sanktionen geschaffen. Ab 01.01.2026 übernimmt die FMA von der OeNB die zentrale Aufsichtsfunktion für die Einhaltung finanzieller Sanktionen und ist befugt, Verwaltungsstrafen bei Verstößen zu verhängen.

Was heißt das für KMU praktisch?

• Ihre Bank (FMA-beaufsichtigt) verschärft Compliance-Anforderungen und kann bei unzureichender Dokumentation Konten kündigen oder Zahlungen stoppen

• Bei Verdacht auf Sanktionsverstöße können Banken verpflichtet sein, Meldungen an die FMA zu erstatten

• Direkte Kontakte zwischen nicht-finanziellen KMU und der FMA in Sanktionsfragen bleiben eher Ausnahmefälle – die Regulierung erfolgt typischerweise über die Finanzintermediäre

Warum „Wir haben keine Russland-Geschäfte" nicht ausreicht

EU-Sanktionen umfassen weit mehr als Russland. Die EU hat Sanktionsregime gegen zahlreiche Länder und Einzelpersonen etabliert – von Belarus über Iran bis hin zu spezifischen terroristischen Organisationen und Personen, die in Menschenrechtsverletzungen verwickelt sind. Zudem besteht das Risiko der Sanktionsumgehung: Auch wenn Sie nicht direkt in sanktionierte Länder liefern, können Ihre Produkte oder Dienstleistungen über Umwege dorthin gelangen.

Die Europäische Kommission hat in ihrer Guidance zur Umgehung russischer Sanktionen (2023) klargestellt: EU-Operatoren müssen „appropriate due diligence" durchführen, die an ihr Geschäftsmodell und ihr Risikoprofil angepasst ist. In Sektoren mit erhöhtem Umgehungsrisiko wird sogar „enhanced due diligence" erwartet.

Was ist „Sanktions- und Watchlist-Screening"?

Definition zu AML/KYC : Was wird geprüft und warum?

Sanktions- und Watchlist-Screening ist ein systematischer Prozess, mit dem EU-Operatoren (Unternehmen, die in der EU ansässig sind oder EU-Recht anwenden müssen) ihre Kunden, Lieferanten, Distributoren, wirtschaftlich Berechtigten (Ultimate Beneficial Owners, UBOs) und relevante Transaktionen gegen verschiedene Risikolisten abgleichen. Zu diesen Listen gehören:

• EU-Sanktionslisten (konsolidierte Listen von Personen, Organisationen und Einrichtungen, gegen die EU-Sanktionen verhängt wurden)

• UN-Sanktionslisten (z.B. Terrorismus-Listen; Hinweis: die Verbindlichkeit von UN-Sanktionen in der EU erfolgt über EU-Rechtsakte)

• Weitere Watchlists, je nach Risikoprofil (z.B. PEP-Listen für politisch exponierte Personen, Adverse Media)

Das Ziel: Sicherstellen, dass Ihr Unternehmen nicht gegen das Verbot verstößt, sanktionierten Personen oder Organisationen Gelder oder wirtschaftliche Ressourcen zur Verfügung zu stellen, und dass Sie nicht in Umgehungskonstruktionen verwickelt werden.

Abgrenzung zu AML/KYC – wo sind die Überschneidungen?

Viele KMU kennen bereits die Begriffe AML (Anti-Money Laundering) und KYC (Know Your Customer). Diese Konzepte zielen primär auf die Bekämpfung von Geldwäsche und Terrorismusfinanzierung ab. Sanktions-Screening hat einen anderen rechtlichen Fokus, ist aber organisatorisch oft im selben Framework integriert.

Vergleich AML/KYC vs. Sanktions-Screening:

Praktische Überschneidung: Rechtlich beruhen Sanktionspflichten und AML-Pflichten auf unterschiedlichen EU-Verordnungen und Richtlinien; organisatorisch können sie in einem integrierten Risiko-Framework zusammengeführt werden. Die Datenpunkte (Name, Adresse, UBO) sind oft dieselben, und auch die Prüflogik ähnelt sich.

Informationsquellen: EU Sanctions Map und offizielle Listen

Die EU Sanctions Map (https://www.sanctionsmap.eu/) ist ein zentrales Informationsportal der Europäischen Union. Sie bietet:

• Einen Überblick über alle EU-Sanktionsregime nach Ländern

• Links zu den offiziellen Rechtsakten (Ratsverordnungen und -beschlüsse)

• Die konsolidierte Liste sanktionierter Personen und Einrichtungen

Wichtiger Hinweis: Die EU Sanctions Map ist eine Informations- und Navigationshilfe, aber nicht die rechtlich authentische Quelle. Rechtlich verbindlich sind ausschließlich die im Amtsblatt der Europäischen Union (Official Journal) und auf EUR-Lex veröffentlichten Texte. Die Map erleichtert aber KMU den Zugang erheblich, ohne dass Sie sich durch hunderte Seiten EUR-Lex-Dokumente arbeiten müssen.

Minimal-Setup in 7 Bausteinen

Ein effektives Sanktions-Screening für KMU muss nicht komplex oder kostspielig sein. Entscheidend ist, dass Sie die richtigen Prozesse definieren, Verantwortlichkeiten klar zuweisen und Ihre Prüfungen nachvollziehbar dokumentieren. Die folgenden sieben Bausteine bilden das Fundament.

4.1 Scope & Risiko-Trigger – welche Fälle müssen Sie prüfen?

Nicht jeder Kunde und nicht jede Transaktion erfordert dasselbe Maß an Screening. Ein risiko-basierter Ansatz hilft Ihnen, Ressourcen effizient einzusetzen:

Definieren Sie Ihren Scope:

• Geschäftspartner (Kunden, Lieferanten, Distributoren) mit Sitz oder wirtschaftlichem Bezug zu sanktionierten Ländern oder Hochrisiko-Jurisdiktionen

• Export bestimmter Güter oder Technologien (Dual-Use-Güter, sensible Technologien)

• Zahlungen in oder aus Drittstaaten mit erhöhtem Umgehungsrisiko (z.B. laut EU-Guidance zu Russland-Sanktionen)

• Transaktionen mit ungewöhnlich hohen Beträgen oder unklaren Endverwendern

Legen Sie interne Trigger-Events fest: Definieren Sie klar, wann ein Screening durchgeführt werden muss – etwa bei neuen Geschäftspartnern, neuen Zielländern, ungewöhnlichen Zahlungswegen oder wenn Ihre Bank Rückfragen stellt. Eine Liste mit praxisnahen Trigger-Beispielen finden Sie weiter unten im Artikel.

4.2 Verantwortlichkeiten – Owner, Backup und Eskalationswege

Ein häufiges Problem in KMU: Niemand fühlt sich für Sanktions-Compliance ausdrücklich zuständig, Fragen „versanden" zwischen Vertrieb, Einkauf und Buchhaltung.

Benennen Sie einen Sanctions-Owner:

• Typischerweise der CFO, Head of Finance, Legal oder Compliance

• Diese Person ist verantwortlich für die Umsetzung der Screening-Prozesse, Entscheidungen bei Treffern und die Dokumentation

• Benennen Sie zusätzlich eine Stellvertretung, falls der Owner abwesend ist

Definieren Sie klare Eskalationswege:

• Vertrieb/Einkauf/Finance melden auffällige Fälle (Trigger-Events) an den Sanctions-Owner

• Owner entscheidet über Screening-Maßnahmen und bewertet Treffer

• Bei komplexen oder unklaren Treffern: Eskalation an die Geschäftsführung und – falls erforderlich – an externe, spezialisierte Rechts- oder Compliance-Beratung

4.3 Datenpunkte und Identifikatoren – was Sie mindestens brauchen

Die Qualität Ihrer Screening-Ergebnisse hängt direkt von der Qualität Ihrer Stammdaten ab. Schlechte oder unvollständige Daten führen zu vielen „False Positives" (Fehlalarmen) und erschweren die Arbeit erheblich.

Minimal-Datenset für juristische Personen (mindestens):

• Vollständiger Firmenname (inkl. Rechtsform)

• Sitz/Adresse

• Handelsregisternummer

• UID-Nummer (falls EU)

• Soweit möglich: Informationen zu wirtschaftlich Berechtigten (UBOs) und Kontrollstrukturen

Minimal-Datenset für natürliche Personen (mindestens):

• Vollständiger Name (Vor- und Nachname)

• Geburtsdatum

• Staatsangehörigkeit

• Ggf. Geburtsort

Wichtig: Pflegen Sie Namensvarianten und Schreibweisen sorgfältig. Sanktionslisten enthalten oft transliterierte Namen (z.B. aus kyrillischen oder arabischen Schriften), die in verschiedenen Varianten auftauchen können. Daher sollten Sie gängige Schreibvarianten dokumentieren und bei Treffern bewusst mit Varianten arbeiten.

4.4 Screening-Prozess – wann und wie wird geprüft?

Ein strukturierter Screening-Prozess integriert sich in Ihre bestehenden Geschäftsabläufe:

Prozess-Flow im Überblick:

• Trigger erkannt

↓

• Datenerhebung (Name, Adresse, UBO etc.)

↓

• Screening gegen EU-/UN-Listen

↓

• Bewertung (Treffer/False Positive/Kein Treffer)

↓

• Eskalation (bei Unsicherheit)

↓

• Entscheidung (Freigabe/Ablehnung/Auflagen)

↓

• Dokumentation & Ablage

Konkrete Screening-Punkte:

Pre-Contract Screening:

• Prüfen Sie neue Geschäftspartner (Kunden, Lieferanten, Distributoren) bevor Sie Verträge abschließen

• Besonders wichtig bei Partnern in Hochrisiko-Jurisdiktionen oder in sensiblen Branchen

Invoice/Order Level Screening:

• Bei bestimmten Merkmalen (Land, Betrag, Güterart) prüfen Sie auch auf Rechnungs- oder Auftragsebene

• Praxisbeispiel (keine gesetzliche Vorgabe): Export von Dual-Use-Gütern, Zahlungen über z.B. 50.000 EUR in Drittstaaten (Schwellwert unternehmensindividuell festzulegen)

Payment Level Screening:

• Vor Ausführung von Zahlungen in risikorelevante Länder oder an unbekannte Empfänger

• Koordination mit Ihrer Buchhaltung/Treasury-Abteilung

Periodic Review (regelmäßige Wiederholungsprüfung):

• Eine mögliche Orientierung: Hochrisiko-Partner (sensible Länder, Branchen, hohe Beträge) jährlich oder bei Trigger-Events, Standardrisiko-Partner alle 2–3 Jahre oder bei wesentlichen Änderungen (UBO-Wechsel, Geschäftsmodell, neue Märkte)

• Anlassbezogener Re-Check bei Trigger-Events

4.5 Treffer-Handling – False Positives, Eskalation und Dokumentation

Nicht jeder Treffer beim Screening ist ein echter Treffer. Die Herausforderung liegt darin, False Positives (Fehlalarme) von echten Übereinstimmungen zu unterscheiden.

Strukturiertes Vorgehen bei Treffern:

• Erstprüfung: Stimmen Name, Geburtsdatum, Adresse oder andere Merkmale wirklich überein? Oft führen ähnliche Namen oder häufige Schreibweisen zu Fehltreffern.

• Plausibilitätscheck: Gibt es weitere Hinweise, die eine Übereinstimmung bestätigen oder ausschließen (z.B. Branche, Geschäftstätigkeit, öffentliche Informationen)?

• Eskalation bei Unsicherheit: Wenn Sie nicht sicher sind, ob es sich um einen echten Treffer handelt, holen Sie eine zweite Meinung ein – intern (Geschäftsführung) oder extern (spezialisierte Rechts- oder Compliance-Beratung).

• Dokumentation der Entscheidung: Halten Sie schriftlich fest, warum Sie einen Treffer als False Positive bewertet haben oder warum Sie eine Geschäftsbeziehung ablehnen bzw. beenden. Diese Dokumentation kann als wichtiger Nachweis gegenüber Banken, Wirtschaftsprüfern und gegebenenfalls Behörden dienen.

Prinzip „angemessene Sorgfalt": Der Begriff „Best Efforts" ist kein offizieller Rechtsbegriff, sondern beschreibt ein angemessenes, dokumentiertes Sorgfaltsniveau, wie es die EU-Guidance erwartet. EU-Operatoren können in der Praxis keine 100%ige Sicherheit erreichen – entscheidend ist, dass sie angemessene, dokumentierte Maßnahmen ergreifen, die dem Risiko entsprechen. Ein dokumentierter, nachvollziehbarer Prozess ist dabei entscheidender als Perfektion.

4.6 Recordkeeping & Audit Trail – welche Dokumente aufbewahren?

Eine lückenlose Dokumentation ist nicht nur „nice to have", sondern essenziell. Sie schützt Sie bei Prüfungen durch Banken, Wirtschaftsprüfer oder Behörden und hilft Ihnen bei internen Ermittlungen.

Was sollten Sie aufbewahren?

• Screening-Protokolle: Datum, verwendete Liste/Quelle, Suchkriterien, Ergebnis (kein Treffer/Treffer/False Positive)

• Treffer-Analyse: Dokumentation Ihrer Bewertung (warum False Positive, warum echter Treffer)

• Eskalations-Korrespondenz: E-Mails, Notizen zu internen Diskussionen, externe Rechtsberatung

• Freigaben/Entscheidungen: Wer hat die finale Entscheidung getroffen (Geschäftsbeziehung ja/nein)?

• Kommunikation mit Banken: Falls Ihre Bank Fragen stellt oder Zahlungen blockiert

Aufbewahrungsfristen: In Österreich gelten in der Regel mindestens 7 Jahre nach steuerlichen Vorschriften; im Sanktionskontext kann bei komplexen Fällen eine längere Aufbewahrung sinnvoll sein (nach Einzelfallbeurteilung).

Ablagestruktur: Nutzen Sie ein einfaches, konsistentes System – etwa einen eigenen Ordner „Sanctions Screening" mit Unterordnern pro Jahr und Geschäftspartner.

4.7 Schulung & „Do/Don't"-Regeln für Sales, Procurement und Finance

Selbst das beste Setup nützt wenig, wenn Ihre Mitarbeiter nicht wissen, wann und wie sie es anwenden sollen.

Praxisnahe Schulungen für Front-Teams:

• Was ist eine Sanktion?

Kurze Erklärung, warum EU-Sanktionen für das Unternehmen relevant sind

• Welche Risiken betreffen unser Geschäft?

Konkrete Beispiele aus Ihrem Geschäftsbereich (Export, Lieferkette, Zahlungsverkehr)

• An wen melde ich auffällige Fälle?

Klarer Verweis auf den Sanctions-Owner und Eskalationswege

• Was sind typische Red Flags?

Siehe nächster Abschnitt zu Trigger-Events

Do/Don't-Liste für die Praxis:

DO:

• Bei neuen Ländern oder Geschäftspartnern frühzeitig den Sanctions-Owner informieren

• Auffällige Zahlungsinstruktionen oder Umwege über Drittländer sofort melden

• Dokumentieren Sie Auffälligkeiten schriftlich, auch wenn Sie sich nicht sicher sind

DON'T:

• Vertragsänderungen blind akzeptieren, die den realen Endempfänger verschleiern

• Zahlungsanweisungen in Drittländer ohne Rücksprache und Freigabe durch den Sanctions-Owner ausführen

• Auf Druck von Geschäftspartnern schnelle Lieferungen ohne Klärung von Endverwendern vornehmen

10 Beispiele für Trigger-Events – wann Sie hellhörig werden sollten

Die folgenden Situationen sollten bei Ihnen ein internes Screening oder zumindest eine Rückfrage beim Sanctions-Owner auslösen:

• Neuer Distributor in einem Drittstaat mit Nähe zu sanktionierten Ländern – z.B. Türkei, VAE, bestimmte Staaten in Zentralasien – je nach Produkt, Branche und aktueller EU-Guidance für Produkte, die auch in Russland nachgefragt werden.

• Unerwartete Nachfrage aus einem Land, das in der EU Sanctions Map als sanktioniert oder teilweise sanktioniert aufscheint – z.B. plötzliche Anfragen aus Belarus, Iran, Nordkorea.

• Bitte, Waren über einen alternativen Zwischenhändler oder eine „Freizone" zu liefern – besonders wenn die Erklärung vage bleibt oder von der üblichen Praxis abweicht.

• Änderung des wirtschaftlich Berechtigten (UBO) kurz vor größeren Aufträgen – kann auf den Versuch hindeuten, Sanktionen zu umgehen.

• Auffällige Preisgestaltung oder ungewöhnlich hohe Margen für bestimmte Märkte – deutet möglicherweise auf Re-Export-Aktivitäten oder Schmuggel hin.

• Zahlungen sollen über Banken oder Finanzintermediäre in Hochrisiko-Jurisdiktionen laufen – z.B. über russische, iranische oder andere sanktionierte Banken oder Intermediäre, die in EU-Sanktionslisten genannt sind.

• Aufforderung, Ware „neutral" zu labeln oder Dokumente umzuschreiben, um Endnutzer oder Zielland zu verschleiern – klares Red Flag für Umgehung.

• Wiederholte Ablehnung, ausreichende Informationen zum Endverwender zu liefern – legitime Geschäftspartner sollten transparent sein.

• Substantielle negative Medienberichte oder Hinweise auf Sanktionsrisiken bei bestehenden oder neuen Partnern – etwa bei Adverse Media Screening oder Google-Suchen.

• Hinweise Ihrer Hausbank auf „Sanktionsrisiko" oder vermehrte Rückfragen zu Transaktionen – nehmen Sie solche Signale ernst; Banken haben oft strengere interne Prozesse und erkennen Muster früher.

Dokumentation, die wirklich zählt – die 1-Seiten Evidence-Liste

Viele KMU scheuen Compliance-Maßnahmen aus Angst vor bürokratischem Aufwand. Die gute Nachricht: Sie brauchen keine 50-seitige Policy. Was zählt, ist Minimal-Viable-Dokumentation – schlank, aber lückenlos.

Ihre 1-Seiten Evidence-Liste sollte enthalten:

• Prozessbeschreibung (1/2 Seite):

• Kurzbeschreibung: Was wird geprüft, wann, von wem?

• Verweis auf Trigger-Events

• Eskalationswege

• Liste der definierten Trigger-Events (1/4 Seite):

• Bulletpoint-Liste wie im Abschnitt oben

• Screening-Nachweis pro Fall:

• Screenshot oder Export aus genutzter Liste/Tool (inkl. Datum, Suchkriterien, Ergebnis)

• Hinweis: Auch bei „kein Treffer" sollten Sie dokumentieren, dass Sie geprüft haben

• Treffer-Handling Protokoll:

• Kurzes Formular für jeden Treffer: Datum, Beschreibung, Analyse, Entscheidung, Unterschrift

• Vorlage finden Sie im Download-Paket unten

• Schulungsnachweise:

• Agenda, Teilnehmerliste, kurzes Handout der letzten Schulung

• Genügt 1x jährlich für bestehende Teams, bei Neueinstellungen individuell

• Ablage von Korrespondenz:

• Ordner mit relevanten E-Mails zu Banken-Anfragen, Behördenkontakten, externen Beratungen

Aufbewahrung: Führen Sie eine zentrale digitale oder physische Ablage. Einfachstes Setup: ein Ordner „Sanctions Compliance" mit Unterordnern pro Jahr und thematischen Kategorien.

10 häufige Fehler bei KMU – und wie Sie sie vermeiden

• „Wir haben keine Russland-Geschäfte, also brauchen wir kein Sanktions-Setup."

→ Trügerisch. EU-Sanktionen betreffen viele Länder, und Umgehungsrisiken entstehen auch in Drittstaaten.

• Kein definierter Owner – Sanktionsfragen „versanden" zwischen Abteilungen.

→ Lösung: Benennen Sie einen klaren Sanctions-Owner mit Entscheidungsbefugnis.

• Screening nur bei Neukunden, nicht bei Distributoren, Lieferanten oder Zahlungen.

→ Risiko: Sie verpassen Umgehungsstrukturen in der Lieferkette oder im Zahlungsverkehr.

• Kein dokumentierter Prozess für Treffer-Handling – Entscheidungen bleiben informell.

→ Problem: Bei Prüfungen können Sie nicht nachweisen, dass Sie angemessen geprüft haben.

• Keine saubere Datenbasis (Namensvarianten, fehlende UBO-Infos).

→ Folge: Hohe False-Positive-Rate, ineffizientes Screening, Frustration.

• Verlass auf Bank-Screening als einzige Maßnahme: „Die Bank wird schon alles prüfen."

→ Fehler: Die EU-Guidance adressiert ausdrücklich die Verantwortung des jeweiligen EU-Operators selbst. Banken sind Ergänzung, nicht Ersatz.

• Keine Schulung für Front-Teams – Red Flags werden nicht erkannt oder nicht gemeldet.

→ Lösung: Investieren Sie in kurze, praxisnahe Schulungen mindestens 1x jährlich.

• Keine regelmäßige Überprüfung des Programms bei neuen Märkten oder Produkten.

→ Risiko: Ihr Setup passt nicht mehr zu Ihrem tatsächlichen Risikoprofil.

• Nutzung inoffizieller oder unklarer Listen ohne Verständnis der Quelle/Qualität.

→ Fehler: Sie wissen nicht, ob Ihre Prüfungen rechtlich ausreichend sind. Nutzen Sie offizielle EU-Quellen.

• Fehlender Disclaimer/Verweis auf externe Beratung bei komplexen Export- oder Embargo-Fragen.

→ Problem: KMU sind keine Sanktionsspezialisten. Bei Unsicherheit sollten Sie externe Expertise hinzuziehen.

„Was tun als Nächstes?" – Ihr 14-Tage Quick-Win Plan

Sie müssen nicht monatelang planen. Mit diesem 14-Tage-Plan legen Sie die Grundlagen für ein funktionierendes Minimal-Setup:

Tag 1–2: Rollen und Ist-Analyse

• Benennen Sie Ihren Sanctions-Owner und Stellvertretung

• Machen Sie einen Quick-Check Ihrer bestehenden Prozesse: Wie legen Sie aktuell Kunden, Lieferanten und Zahlungen an? Wo könnten Sanktions-Checks integriert werden?

Tag 3–5: Trigger-Events und SOP-Entwurf

• Definieren Sie 5–10 konkrete Trigger-Events für Ihr Unternehmen (nutzen Sie die Beispiele aus diesem Artikel)

• Erstellen Sie eine 1-seitige SOP für Screening und Treffer-Handling (Basisversion) – nutzen Sie die Vorlagen aus dem Download-Paket als Ausgangspunkt

Tag 6–8: Auswahl der Screening-Quellen

• Entscheiden Sie, welche Listen Sie nutzen: Mindestens EU Sanctions Map (als Navigationshilfe) / EUR-Lex (rechtlich verbindlich) / offizielle EU-Listen

• Optional: Evaluieren Sie professionelle Screening-Anbieter (falls Budget vorhanden), aber starten Sie notfalls auch mit manuellen Checks gegen offizielle Listen

Tag 9–11: Dokumentationsroutine einrichten

• Legen Sie eine einfache Ablagestruktur an (digital oder physisch)

• Erstellen Sie Vorlagen: Screening-Protokoll, Treffer-Handling Formular

• Definieren Sie, wer wo was ablegt

Tag 12–14: Schulung und Entscheidung über externe Unterstützung

• Führen Sie eine 1-stündige Schulung für Sales, Procurement und Finance durch (nutzen Sie die Do/Don't-Liste aus diesem Artikel)

• Entscheiden Sie, ob Sie einen externen Sanctions Quick-Check oder ein Policy-Paket buchen möchten (siehe CTA unten)

Nach 14 Tagen haben Sie:

• Einen definierten Owner

• Eine Liste von Trigger-Events

• Eine 1-seitige Basis-SOP

• Eine einfache Dokumentationsstruktur

• Geschulte Mitarbeiter

Das ist Ihr Minimal-Setup – und es kann eine solide Basis bieten.

Wann sollten Sie Behörden oder spezialisierte Beratung einbinden?

Nicht alle Sanktionsfragen lassen sich intern klären. In folgenden Situationen sollten Sie externe Expertise oder Behördenkontakt in Erwägung ziehen:

Kontakt zu österreichischen Behörden:

BMF (Bundesministerium für Finanzen) / FMA (Finanzmarktaufsicht):

• Bei Fragen zur Interpretation des Sanctions Act 2024

• Wenn Sie Unklarheiten über die Anwendung finanzieller Sanktionen haben

• Kontaktinformationen finden Sie auf: https://www.bmf.gv.at/ und https://www.fma.gv.at/

OeNB (Oesterreichische Nationalbank):

• Für Praxisinformationen zu Sanktionen (insbesondere historische Fälle bis 31.12.2025)

• Kontakt: https://www.oenb.at/

BMEIA (Bundesministerium für europäische und internationale Angelegenheiten):

• Bei Fragen zu außenpolitischen Sanktionen, Embargos und Export-Kontrollen

• Kontakt: https://www.bmeia.gv.at/

Spezialisierte Rechts-/Compliance-Beratung einschalten bei:

• Unklaren Treffern mit hohem Transaktionsvolumen oder kritischen Geschäftsbeziehungen

• Export von Dual-Use-Gütern in sensible Jurisdiktionen

• Komplexen UBO-Strukturen bei Hochrisiko-Partnern

• Behördlichen Anfragen oder Verdacht auf Sanktionsverstöße

• Einrichtung von Sanktions-Compliance bei erstmaligem Export-/Import-Geschäft

FAQ – Häufig gestellte Fragen zu Sanktions-Screening für KMU

1. Gilt das wirklich für jedes KMU – auch ohne Exportgeschäft?

Antwort: Ja, sobald Ihr Unternehmen Zahlungen tätigt, Geschäftsbeziehungen unterhält oder Lieferketten nutzt, die eine Sanktionsdimension haben können. Das umfasst auch inländische Geschäfte, wenn Ihre Geschäftspartner selbst international tätig sind oder unklare Eigentümerstrukturen haben. EU-Sanktionsverordnungen sind in der Regel direkt anwendbar und betreffen alle Unternehmen in der EU.

2. Reicht es, wenn unsere Bank Sanktions-Screening macht?

Antwort: Nein. Die EU-Guidance zur Umgehung von Sanktionen spricht explizit die Verantwortung des „EU-Operators" an – also Ihres Unternehmens. Banken führen eigene Checks durch, um ihre eigenen regulatorischen Pflichten zu erfüllen. Diese ersetzen aber nicht Ihre eigene due diligence. Wenn Ihre Bank ein Problem entdeckt und Sie können keine eigenen Prüfungen nachweisen, riskieren Sie Kontokündigungen oder Payment-Stops.

3. Müssen wir jeden Geschäftspartner gegen alle globalen Listen prüfen?

Antwort: Nein, Sie sollten risiko-basiert vorgehen. Fokussieren Sie sich auf EU- und UN-Sanktionslisten sowie auf Listen, die für Ihr Geschäftsmodell und Ihre Zielmärkte relevant sind. Ein österreichischer Möbelhändler, der nur in der DACH-Region tätig ist, braucht typischerweise kein globales PEP-Screening. Ein Exporteur von Dual-Use-Gütern in Drittstaaten schon.

4. Wie oft sollten wir Bestandskunden re-screenen?

Antwort: Das hängt vom Risikoprofil ab. Eine mögliche Praxisorientierung (keine gesetzlich vorgegebenen Intervalle, sondern risikobasierte Empfehlung):

• Hochrisiko-Partner (sensible Länder, Branchen, hohe Beträge): jährlich oder bei Trigger-Events

• Standardrisiko-Partner: alle 2–3 Jahre oder bei wesentlichen Änderungen (UBO-Wechsel, Geschäftsmodell, neue Märkte)

• Niedrigrisiko-Partner (EU-Kunden, etablierte Beziehungen): alle 3–5 Jahre oder anlassbezogen

Diese Intervalle sind Praxisbeispiele und ersetzen keine individuelle, risikobasierte Festlegung. Die tatsächlichen Intervalle sollten Sie an Ihr Geschäftsmodell anpassen.

5. Welche Tools sind für KMU geeignet?

Antwort: Dieser Artikel bleibt bewusst tool-neutral. Wichtiger als die Software sind klare Prozesse, gute Datenqualität und nachvollziehbare Dokumentation. Für KMU mit begrenztem Budget können manuelle Checks gegen offizielle Listen (EU Sanctions Map als Navigationshilfe, EUR-Lex für rechtlich verbindliche Listen, UN-Listen) ein Startpunkt sein. Professionelle Screening-Tools bieten Automatisierung, bessere Datenqualität und weniger False Positives – die Investition lohnt sich ab einer gewissen Transaktionsanzahl. Die Tool-Wahl ist eine Einzelfallentscheidung.

6. Was passiert, wenn wir trotz Screening etwas übersehen?

Antwort: Entscheidend ist, ob Sie ein angemessenes, dokumentiertes Programm etabliert haben, das ein vernünftiges Sorgfaltsniveau widerspiegelt (wie es die EU-Guidance beschreibt). Wenn Sie nachweisen können, dass Sie dem Risiko angemessene Maßnahmen ergriffen, Prozesse definiert und geschult haben, kann das Haftungsrisiko deutlich geringer sein – im Vergleich zu einer Situation, in der Sie überhaupt nichts getan haben. Bei Zweifeln oder komplexen Fällen sollten Sie frühzeitig spezialisierte Beratung hinzuziehen oder gegebenenfalls Kontakt zu zuständigen Behörden aufnehmen.

7. Wie grenzt sich Sanktions-Screening von AML/KYC ab?

Antwort: AML/KYC fokussiert auf Geldwäsche und Terrorismusfinanzierung und umfasst Kundenidentifikation, Risikobewertung und Transaktionsmonitoring. Sanktions-Screening zielt auf die Einhaltung spezifischer Verbote (Bereitstellung von Geldern/Ressourcen an sanktionierte Personen, Export-Embargos). Rechtlich sind es eigenständige Verpflichtungen aus unterschiedlichen EU-Verordnungen. Organisatorisch können viele KMU beide in einem integrierten Risiko-Framework bündeln – die Datenpunkte und Prüfprozesse überschneiden sich häufig.

8. Wo finden wir offizielle Informationen zu EU-Sanktionen?

Antwort:

• EU Sanctions Map: https://www.sanctionsmap.eu/ (Informations- und Navigationsportal; rechtlich verbindlich sind nur die im Official Journal veröffentlichten Texte)

• EUR-Lex / Rat der EU: Primärquellen für Sanktionsverordnungen und -beschlüsse (rechtlich authentische Quelle)

• Europäische Kommission: Guidance-Dokumente zur Umgehung von Sanktionen

• Österreich:

• Bundesministerium für Finanzen (BMF) / Finanzmarktaufsicht (FMA): Informationen zur Umsetzung von Finanzsanktionen seit 01.01.2026

• Oesterreichische Nationalbank (OeNB): Praxisinformationen (historisch bis 31.12.2025)

• Bundesministerium für europäische und internationale Angelegenheiten (BMEIA): Informationen zu Embargos und außenpolitischen Sanktionen

• Wirtschaftskammer Österreich (WKO): Praktische Informationen für Unternehmen (soweit offiziell)

Self-Assessment: Wie reif ist Ihr Sanktions-Screening?

Beantworten Sie die folgenden Fragen mit Ja/Nein, um Ihren aktuellen Stand einzuschätzen:

Auswertung:

• 6–7 Ja: Sehr gut! Sie haben ein solides Basis-Setup. Optimieren Sie kontinuierlich und bleiben Sie auf dem Laufenden über neue Sanktionen.

• 3–5 Ja: Guter Start, aber es gibt Lücken. Priorisieren Sie die fehlenden Elemente in den nächsten 3–6 Monaten.

• 0–2 Ja: Kritisch. Sie sollten umgehend mit dem 14-Tage-Plan beginnen oder einen Sanctions Quick-Check buchen.

Nächster Schritt: Kontaktieren Sie NEXORA für einen 90-minütigen Remote Quick-Check und konkrete Handlungsempfehlungen.

Download-Pakete – Vorlagen zum direkten Einsatz

Die folgenden drei Dokumente können Sie als Basis für Ihr eigenes Setup nutzen. Sie sind bewusst schlank gehalten – passen Sie sie an Ihr Geschäftsmodell an.

A) KMU Sanktions-Screening – 1-Seiten SOP (Outline)

Zweck und Geltungsbereich:

• Diese SOP regelt das Sanktions- und Watchlist-Screening für [Firmenname]

• Geltungsbereich: Alle relevanten Geschäftspartner (Kunden, Lieferanten, Distributoren) und relevante Transaktionen und UBOs

• Ziel: Einhaltung von EU-Sanktionen und Vermeidung von Umgehungsrisiken

Rollen und Verantwortlichkeiten:

• Sanctions-Owner: [Name, Funktion] – verantwortlich für Screening-Prozess, Treffer-Bewertung, Eskalation

• Backup: [Name, Funktion]

• Meldestellen: Vertrieb/Einkauf/Finance melden Trigger-Events an Sanctions-Owner

Trigger-Events (wann wird geprüft?):

• Neuer Geschäftspartner

• Neues Zielland (außerhalb etablierter Märkte)

• Zahlungen über definierten Schwellwert (individuell festzulegen, z.B. [Betrag] EUR) in Drittstaaten

• Export sensibler Güter/Technologien

• UBO-Wechsel bei bestehenden Partnern

• Hinweise der Bank auf Sanktionsrisiken

• Substantielle negative Medienberichte zu Geschäftspartnern

• Ungewöhnliche Zahlungswege oder Umwege über Drittländer

• Aufforderung, Dokumente/Endverwendung zu verschleiern

• [weitere individuell ergänzen]

Prozessschritte:

• Datenerhebung: Mindestdaten gemäß Abschnitt 4.3 erfassen (Name, Adresse, UBO soweit möglich)

• Screening: Abgleich gegen EU Sanctions Map (als Navigationshilfe) / EUR-Lex (rechtlich verbindlich) / offizielle Listen [oder genutztes Tool]

• Bewertung: Kein Treffer / False Positive / plausibler Treffer?

• Eskalation: Bei unklaren Treffern → Sanctions-Owner → ggf. Geschäftsführung/externe Beratung

• Entscheidung: Freigabe / Ablehnung / zusätzliche Auflagen

• Dokumentation: Screening-Protokoll, Treffer-Handling Formular ausfüllen, ablegen

Referenz auf offizielle Quellen:

• EU Sanctions Map (Navigationshilfe): https://www.sanctionsmap.eu/

• EUR-Lex / Rat der EU (rechtlich verbindlich): Konsolidierte Sanktionslisten

• BMF/FMA: Nationale Umsetzung (Österreich ab 01.01.2026)

• OeNB: Praxisinformationen (bis 31.12.2025)

Version: 1.0 | Datum: [TT.MM.JJJJ] | Nächste Überprüfung: [TT.MM.JJJJ+1]

B) Treffer-Handling Formular (Template)

C) KMU Checkliste: Trigger & Dokumentation

Teil 1: Trigger-Checkliste (bei jedem potenziellen Sanktionsfall abhaken)

• Neuer Partner (Kunde/Lieferant/Distributor)

• Neues Land oder ungewöhnliche Route

• Zahlung über Schwellwert in Drittstaat

• Export sensibler Güter/Technologien

• UBO-Änderung

• Ungewöhnliche Zahlungswege

• Verschleierungs-Aufforderung

• Negative Medien/Adverse Media

• Bank-Hinweis auf Sanktionsrisiko

• Ablehnung Endverwender-Infos

Teil 2: Mindest-Dokumente pro Fall

• Screening-Report (mit Datum, Quelle, Ergebnis)

• Treffer-Handling Formular (bei Treffer)

• Interne Entscheidung (E-Mail/Notiz)

• Externe Beratung (falls nötig)

• Owner-Freigabe (Unterschrift/E-Mail)

Teil 3: Offene Punkte / Follow-Ups

Aufbewahrungsfristen:

• Allgemein: Mindestens 7 Jahre (orientiert an steuerlichen Fristen)

• Komplexe/sensible Fälle: Ggf. länger nach Einzelfallbeurteilung

NEXORA Unternehmensberatung – Ihre Unterstützung bei Sanctions Compliance

KMU Sanctions Quick-Check (Remote, 90 Minuten)

Sie möchten wissen, wo Ihr Unternehmen beim Thema Sanktions-Screening steht?

Was Sie bekommen:

• Strukturiertes Review Ihres bestehenden Setups (oder Status quo, falls noch kein Setup vorhanden)

• Rapid Gap-Analyse: Was fehlt, was ist bereits vorhanden?

• Konkrete Prioritätenliste für die nächsten 3–6 Monate

• Empfehlungen für Quick Wins und kritische Punkte

Format: Remote-Session via Videokonferenz

Zielgruppe: KMU-Inhaber, CFOs, Compliance-Verantwortliche

Policy/SOP-Paket + Training (Fixed Scope)

Sie möchten ein strukturiertes, dokumentiertes Programm – ohne Monate in Konzeption zu investieren?

Was Sie bekommen:

• Erstellung oder Update Ihrer Sanktions- und Screening-Policies inkl. SOPs

• Angepasste Templates (Screening-Protokoll, Treffer-Handling Formular, Checklisten)

• Kompakte Schulung für Ihre Sales-, Procurement- und Finance-Teams (1–2 Stunden, praxisnah)

• Integration in bestehende AML/KYC-Frameworks (falls vorhanden)

Format: Fixed Scope Projekt, remote oder vor Ort (Wien und Umgebung)

Über NEXORA Unternehmensberatung GmbH

NEXORA ist eine in Wien ansässige Boutique-Beratung mit Fokus auf Compliance, RegTech, Market Entry und digitale Prozesse für Finanzdienstleister, FinTech-Startups und KMU in Österreich, Deutschland und der Schweiz.

Unsere Leistungen im Bereich Sanctions & Screening:

• Konzeption von pragmatischen, umsetzbaren Minimal-Setups für KMU

• Integration von Sanktions-Screening in bestehende AML/KYC-Frameworks

• Schulungen und Workshops für Ihre Teams

• Begleitung bei Tool-Auswahl und -Implementierung (produkt-neutral, ohne Verkaufsinteresse)

• Ongoing Advisory und Trouble-Shooting bei konkreten Sanktionsfällen

Unser Ansatz: Wir glauben an „Compliance, die funktioniert" – keine 200-seitigen Policies, die niemand liest, sondern klare Prozesse, die in Ihren Geschäftsalltag passen.

Sanctions-Compliance ist Teil der umfassenderen Entwicklung hin zu sauberen Finanzplätzen („clean financial centre"), Zero-Tolerance-Policies gegen Finanzmarktkriminalität und den FATF-Empfehlungen sowie dem EU AML-Paket. NEXORA unterstützt KMU dabei, diese Anforderungen praxistauglich zu erfüllen.

Disclaimer – Wichtige rechtliche Hinweise

Keine Rechtsberatung: Dieser Artikel stellt allgemeine Informationen dar und ersetzt keine individuelle Rechtsberatung. Die Anforderungen an Sanktions-Compliance hängen vom konkreten Geschäftsmodell, der Jurisdiktion und dem Risikoprofil Ihres Unternehmens ab.

Einzelfallprüfung erforderlich: Bei konkreten Export-, Embargo- oder Hochrisiko-Konstellationen sollten Sie spezialisierte Rechts- oder Compliance-Beratung hinzuziehen. NEXORA Unternehmensberatung GmbH bietet Compliance-Beratung, aber keine Rechtsberatung im Sinne der Rechtsanwaltsordnung und des Rechtsanwaltstarifgesetzes.

Offizielle Quellen maßgeblich: Verlassen Sie sich bei der Umsetzung immer auf die offiziellen Quellen der EU und der zuständigen nationalen Behörden. Die EU Sanctions Map ist ein hilfreiches Informations- und Navigationsportal, aber nicht die rechtlich authentische Quelle – diese finden Sie ausschließlich im Official Journal der EU und auf EUR-Lex, und diese ersetzen nicht die Konsultation der im Amtsblatt der EU veröffentlichten Rechtsakte. Listen und Informationen auf Drittanbieter-Websites sollten nur als Ergänzung dienen.

Dynamische Rechtslage: Der Sanctions Act 2024 bildet seit 11.02.2025 die rechtliche Grundlage für die Implementierung finanzieller Sanktionen in Österreich. Seit 01.01.2026 liegt die zentrale Aufsicht bei der FMA. Diese Regelungen können sich weiterentwickeln – konsultieren Sie regelmäßig die offiziellen Quellen (BMF, FMA, OeNB).

Haftungsausschluss: NEXORA Unternehmensberatung GmbH übernimmt keine Haftung für Schäden, die aus der Nutzung der in diesem Artikel enthaltenen Informationen entstehen. Alle Angaben erfolgen ohne Gewähr.

Quellen & weiterführende Links

EU-Ebene:

• EU Sanctions Map: https://www.sanctionsmap.eu/ – Informations- und Navigationsportal zu EU-Sanktionen (Hinweis: keine rechtlich authentische Quelle; rechtlich verbindlich sind nur die im Official Journal veröffentlichten Texte)

• Europäische Kommission – Guidance zur Umgehung von Sanktionen: https://finance.ec.europa.eu/eu-and-world/sanctions-restrictive-measures_en

• Rat der Europäischen Union / EUR-Lex: https://eur-lex.europa.eu/ – Primärquellen für Sanktionsverordnungen und -beschlüsse (CFSP-Entscheidungen, Ratsverordnungen) – rechtlich authentisch

• Konsolidierte EU-Sanktionsliste: https://data.europa.eu/data/datasets/consolidated-list-of-persons-groups-and-entities-subject-to-eu-financial-sanctions

Österreich:

• Bundesministerium für Finanzen (BMF): https://www.bmf.gv.at/ – Informationen zur Umsetzung von Finanzsanktionen

• Finanzmarktaufsicht (FMA): https://www.fma.gv.at/ – Zentrale Aufsicht über Finanzsanktionen seit 01.01.2026, Praxisinformationen zu Sanctions Act 2024

• Oesterreichische Nationalbank (OeNB): https://www.oenb.at/ – Praxisinformationen zu Sanktionen (insbesondere historische Fälle bis 31.12.2025)

• Bundesministerium für europäische und internationale Angelegenheiten (BMEIA): https://www.bmeia.gv.at/ – Außenpolitische Sanktionen und Embargos

• Wirtschaftskammer Österreich (WKO): https://www.wko.at/ – Praktische Informationen für Unternehmen zu Export-Kontrolle und Sanktionen (soweit offiziell)

UN-Ebene:

• UN Security Council Sanctions Lists: https://www.un.org/securitycouncil/sanctions/information – UN-Sanktionen (Hinweis: Verbindlichkeit in der EU erfolgt über EU-Rechtsakte)

© 2026 NEXORA Unternehmensberatung GmbH. Alle Rechte vorbehalten.