In vielen mittelständischen Unternehmen hält sich hartnäckig die Annahme, Compliance sei ein Thema für Banken, Versicherer und Konzerne mit eigener Rechtsabteilung. Das Gegenteil ist der Fall: Ein erheblicher Teil der geltenden Prüfpflichten kennt keine Größenschwelle, keine Bagatellgrenze und keine Übergangsfrist für kleinere Betriebe. Wer Waren liefert, Dienstleistungen erbringt, Personal beschäftigt oder Zahlungen leistet, ist Adressat – unabhängig von Umsatz, Mitarbeiterzahl oder Branche.
Sanktionsrecht gilt für jedes Unternehmen
EU-Sanktionsverordnungen sind Verordnungen im Sinne des Art. 288 AEUV: Sie gelten unmittelbar in allen Mitgliedstaaten und binden jede natürliche und juristische Person, die dem Unionsrecht unterliegt. Eine Umsetzung in nationales Recht ist nicht erforderlich, eine Ausnahme für kleine und mittlere Unternehmen existiert nicht.
Kern der Pflichten ist das Bereitstellungsverbot, etwa in Art. 2 Abs. 2 der Verordnung (EU) Nr. 269/2014 im Zusammenhang mit der Ukraine-Krise: Gelder und wirtschaftliche Ressourcen dürfen gelisteten Personen und Einrichtungen weder unmittelbar noch mittelbar zur Verfügung gestellt werden. „Wirtschaftliche Ressourcen“ ist dabei denkbar weit zu verstehen – Maschinen, Ersatzteile, Software, Beratungsleistungen oder auch die Auszahlung eines Gehalts können darunterfallen. Wer die Reichweite dieses Verbots unterschätzt, riskiert Verstöße, ohne sie zu bemerken. Eine Einordnung finden Sie in unserer Übersicht zum Bereitstellungsverbot im EU-Sanktionsrecht.
Hinzu kommt das Umgehungsverbot. Nicht nur die direkte Lieferung an eine gelistete Person ist untersagt, sondern auch die bewusste und gewollte Umgehung über Dritte, Tochtergesellschaften oder Zwischenhändler. Praktisch bedeutet das: Der Abgleich der eigenen Geschäftspartner mit den Sanktionslisten ist der Mindeststandard, nicht das Maximum. Wo Eigentums- und Kontrollstrukturen eine Rolle spielen, ist zusätzlich eine mittelbare Sanktionslistenprüfung entlang der Beteiligungsverhältnisse erforderlich.
Haftung: Fahrlässigkeit genügt
Die Sanktionierung von Verstößen erfolgt in Deutschland über das Außenwirtschaftsgesetz. Vorsätzliche Verstöße gegen Bereitstellungsverbote sind nach § 18 AWG strafbewehrt; fahrlässiges Handeln kann als Ordnungswidrigkeit nach § 19 AWG geahndet werden. Für Geschäftsführer kommt die Aufsichtspflichtverletzung nach § 130 OWiG hinzu, die auch dann greift, wenn der Verstoß auf der Sachbearbeiterebene passiert ist – die Organisationsverantwortung bleibt oben.
Der europäische Rahmen ist in den vergangenen Jahren deutlich schärfer geworden. Mit der Richtlinie (EU) 2024/1226 über die strafrechtliche Ahndung von Verstößen gegen restriktive Maßnahmen der Union hat der Unionsgesetzgeber Mindeststandards für Straftatbestände und Sanktionen festgelegt, einschließlich der Verantwortlichkeit juristischer Personen. Die Umsetzungsfrist für die Mitgliedstaaten lief im Mai 2025 ab. Für Unternehmen bedeutet das: Der Ermessensspielraum der Behörden wird enger, die Erwartung an nachweisbare interne Kontrollen größer.
Geldwäscherecht: mehr Verpflichtete, als viele denken
Auch das Geldwäschegesetz trifft nicht nur den Finanzsektor. Zum Kreis der Verpflichteten nach § 2 GwG zählen unter anderem Güterhändler, Immobilienmakler, Rechtsdienstleister, Steuerberater sowie Kunst- und Edelmetallhändler. Für sie gelten Pflichten zum Risikomanagement, zu Sorgfaltspflichten gegenüber Vertragspartnern und zur Verdachtsmeldung an die FIU.
Die europäische Geldwäscheverordnung (EU) 2024/1624 wird diesen Rahmen ab Juli 2027 weitgehend vereinheitlichen und unmittelbar anwendbar machen – flankiert von der neuen Aufsichtsbehörde AMLA mit Sitz in Frankfurt am Main. Vorgesehen ist unter anderem eine unionsweite Obergrenze für Barzahlungen im geschäftlichen Verkehr. Wer heute Prozesse aufsetzt, sollte diese Entwicklung bereits mitdenken, statt in zwei Jahren erneut umzubauen. Dazu gehört auch die Frage, wie politisch exponierte Personen (PEP) systematisch identifiziert werden.
Was der Mittelstand konkret tun sollte
- Zuständigkeit klären: Eine benannte, dokumentierte Verantwortlichkeit auf Leitungsebene – kein „macht die Buchhaltung nebenbei“.
- Prüfumfang festlegen: Kunden, Lieferanten, Dienstleister, Interessenten und Beschäftigte; die einschlägigen Listen ergeben sich aus dem Geschäftsmodell.
- Frequenz sichern: Listen ändern sich laufend. Eine Prüfung bei Anlage des Stammdatensatzes reicht nicht; erforderlich ist ein wiederkehrender Abgleich des gesamten Bestands.
- Trefferbearbeitung regeln: Wer entscheidet, wer eskaliert, wer dokumentiert – und in welcher Frist.
- Nachweise aufbewahren: Was nicht dokumentiert ist, gilt in der Prüfung als nicht geschehen.
Der letzte Punkt wird regelmäßig unterschätzt. In Betriebsprüfungen, Zollprüfungen oder bei Anfragen von Geschäftspartnern und Kreditinstituten ist nicht die Behauptung entscheidend, man habe geprüft, sondern der revisionssichere Nachweis mit Zeitstempel, Listenstand und Ergebnis.
Verhältnismäßiger Aufwand statt Überforderung
Compliance im Mittelstand muss nicht die Strukturen eines Konzerns abbilden. Entscheidend ist ein risikobasierter, dokumentierter und tatsächlich gelebter Prozess, der zur Größe und zum Geschäftsmodell passt. Manuelle Einzelrecherchen in Listenportalen sind dafür bei mehr als einer Handvoll Geschäftspartnern weder wirtschaftlich noch fehlerfrei leistbar.
easycompliance automatisiert den regelmäßigen Abgleich Ihrer Stammdaten mit den relevanten Sanktions-, Terror- und PEP-Listen und erzeugt dabei die Nachweise, die Sie im Prüfungsfall benötigen. Wie das in der Praxis abläuft, zeigt unsere Darstellung der automatisierten Sanktionslistenprüfung.