Zahlungsinstitute müssen Sanktionsrisiken über den gesamten Zahlungsprozess hinweg steuern – nicht nur bei der Aufnahme eines Kunden. Sie führen Zahlungen zwischen Personen und Unternehmen aus, häufig in kurzer Zeit und unter Beteiligung wechselnder Zahler, Zahlungsempfänger, Händler, Begünstigter, Auszahlungsadressaten und Finanzinstitute. Wer ausschließlich den Kontoinhaber prüft, kann sanktionsrechtlich relevante Risiken im eigentlichen Zahlungsvorgang übersehen.
Dieser Leitfaden zeigt, wie sich ein auf den Zahlungsverkehr zugeschnittener Prozess zur Sanktionsprüfung aufbauen lässt. Er richtet sich an Compliance-Verantwortliche, Geldwäschebeauftragte, Führungskräfte im Zahlungsbetrieb und Produktverantwortliche. Der Leitfaden ist keine Rechtsberatung. Welche Maßnahme im Einzelfall rechtlich geboten ist, richtet sich nach dem anwendbaren Sanktionsregime, den rechtlichen Anknüpfungspunkten des Instituts, dem Sachverhalt, möglichen Genehmigungen oder Ausnahmen und den Vorgaben der zuständigen Behörde.
Sanktionskontrollen am Zahlungsvorgang ausrichten
Ein Betriebsmodell für die Sanktionsprüfung im Zahlungsverkehr lässt sich anhand von vier Fragen beurteilen:
- Beteiligte: Welche Zahler, Zahlungsempfänger, Begünstigten, Händler, Auszahlungsadressaten, maßgeblichen Eigentümer oder kontrollierenden Personen und Institute der Zahlungskette kommen bei jedem Produkt vor?
- Prüfanlässe: Bei welchen neuen Parteien, Datenänderungen, Zahlungen, Auszahlungen, Listenänderungen, Änderungen von Eigentum oder Kontrolle und neuen Korridoren ist eine erneute Bewertung erforderlich?
- Umgang mit Treffern: Wie wird der Vorgang soweit möglich angehalten, die Identität geklärt, das anwendbare Regime bestimmt und die Eigentums- oder Kontrollfrage bewertet, bevor der dafür vorgesehene Entscheidungsweg beschritten wird?
- Nachweise und Zuständigkeiten: Welche Quellen, Daten, Begründungen, Entscheidungen und Zeitstempel werden aufbewahrt, und wer trägt die Verantwortung für Warteschlange, Eskalation, Freigabe und Reaktion auf Listenänderungen?
Diese Seite behandelt das Betriebsmodell für den Zahlungsverkehr. Der allgemeine Sanktionsleitfaden erläutert den übergeordneten Rechtsrahmen sowie die Grundlagen zu Listen und Sanktionsregimen.
Warum Zahlungsinstitute einen eigenen Prüfprozess brauchen
Bei Zahlungsinstituten entsteht das Risiko durch die konkrete Bewegung von Geldern. Auch nach einer unauffälligen Kundenprüfung kann ein neuer Sanktionsbezug entstehen: etwa wenn der Kunde einen Begünstigten hinzufügt, eine Auszahlung an einen Händler veranlasst, sich seine Eigentums- oder Kontrollstruktur ändert, ein neuer Korridor hinzukommt oder ein anderer Zahlungsweg genutzt wird.
Hinzu kommt die Geschwindigkeit des Zahlungsverkehrs. Beim Acquiring können Händler, Abwicklungskonto und Eigentümer relevant werden; bei einer Überweisung der Begünstigte und zwischengeschaltete Institute; bei einer Marktplatzauszahlung ein Verkäufer, der nicht als Endkunde aufgenommen wurde. Vor der Auswahl der Kontrollen muss deshalb der Zahlungsweg feststehen: Wer ist zu welchem Zeitpunkt bekannt? Welche Daten liegen vor? Wo lässt sich der Vorgang anhalten? Welche Rechtseinheit verantwortet die Entscheidung?
Vier Normebenen klar trennen
Sanktionsrechtliche Inhalte werden irreführend, wenn verbindliches Recht, aufsichtliche Hinweise und interne Umsetzungsentscheidungen vermischt werden. Die folgende Einteilung verhindert, dass eine interne Kontrollentscheidung fälschlich als gesetzliche Pflicht erscheint.
| Ebene | Bedeutung für ein Zahlungsinstitut |
|---|---|
| Verbindliche rechtliche Vorgabe | Ein Verbot, eine Verordnung, ein Beschluss oder eine nationale Umsetzungsmaßnahme, die für das Institut, die Person, den Vermögenswert oder die Transaktion im jeweiligen Anwendungsbereich gilt. So ergänzte die Verordnung (EU) 2024/886 die Verordnung (EU) Nr. 260/2012 um eine besondere Vorschrift für Echtzeitüberweisungen. |
| Aufsichtliche Erwartung oder Leitlinie | Hinweise einer Aufsichtsbehörde oder sonstigen Behörde dazu, wie Unternehmen wirksame Systeme und Kontrollen nachweisen können. Sie sind relevant, aber nicht automatisch für jedes Unternehmen und jeden Rechtsraum eine gesetzliche Pflicht. |
| FATF-Standard | Ein internationaler Standard, der sich in erster Linie an Staaten und Rechtsordnungen richtet. Er prägt nationale Regelwerke, begründet aber nicht ohne Umsetzung eine unmittelbar geltende Pflicht für jedes Privatunternehmen. |
| Von Checklynx empfohlene Umsetzungspraxis | Ein aus Rechts- und Aufsichtsquellen abgeleiteter Vorschlag für die praktische Ausgestaltung von Kontrollen. Er muss zu Produkten, Risikoprofil und rechtlichem Anwendungsbereich des Instituts passen und darf nicht als allgemein verbindliche Rechtsvorgabe dargestellt werden. |
Die konsolidierte Liste des UN-Sicherheitsrats und die FATF-Empfehlungen 6 und 7 sind wichtige internationale Bezugspunkte. Sie bestimmen jedoch nicht sämtliche Pflichten eines privatwirtschaftlichen Marktteilnehmers. EU- und UK-Maßnahmen können im jeweils anwendbaren Rechtsrahmen auch Unternehmen erfassen, die einer gelisteten Person gehören oder von ihr kontrolliert werden. Die hier behandelte automatische OFAC-50-Prozent-Regel greift dagegen bei einer direkten oder indirekten, zusammengerechneten Beteiligung gesperrter Personen von mindestens 50 Prozent; eigenständige Programmbeschränkungen sind gesondert zu prüfen.23
Für Zahlungsinstitute in der EU oder im EWR bilden die einschlägigen EU-Rechtsakte und nationalen Maßnahmen den Ausgangspunkt. Die EBA-Leitlinien zu restriktiven Maßnahmen sind aufsichtliche Leitlinien. Die FCA grenzt ebenfalls klar ab: Screening ist nicht die zugrunde liegende rechtliche Pflicht, unterstützt Unternehmen aber dabei, Verstöße zu vermeiden. In den USA ist jedes OFAC-Programm gesondert zu prüfen; der risikobasierte Compliance-Rahmen von OFAC ersetzt das jeweils anwendbare Programm nicht.
Rechtlichen Anwendungsbereich und Anknüpfungspunkte bestimmen
Vor der Auswahl von Listen ist zu erfassen, in welchen Ländern das Institut tätig ist und welche Rechtseinheiten, Agenten, Währungen, Gegenparteien und Korrespondenzbeziehungen beteiligt sind. Ebenso ist zu klären, ob eine Transaktion einen Anknüpfungspunkt zur EU, zum Vereinigten Königreich, zu den USA oder zu einem anderen Rechtsraum aufweist. Bei komplexen grenzüberschreitenden Modellen kann Rechtsberatung erforderlich sein.
Statt einer undifferenzierten „globalen Sanktionsliste“ empfiehlt sich eine Regime- und Programmmatrix. Sie sollte ausweisen:
- welche Sanktionsregime und Beschränkungen rechtlich anwendbar sind;
- welche weiteren Listen oder Datenquellen aufgrund dokumentierter Risikoentscheidungen einbezogen werden;
- für welche Produkte, Länder, Rechtseinheiten und Parteien die jeweilige Kontrolle gilt; und
- wer offizielle Änderungen überwacht und in konkrete betriebliche Maßnahmen überführt.
Die Risikobewertung dient dazu, zusätzliche Listen, Parteien, Datenfelder und Prüfintervalle angemessen festzulegen. Sie berechtigt jedoch nicht dazu, eine rechtlich anwendbare Listung oder Beschränkung außer Acht zu lassen.
Beteiligte, Daten und Risiken in der Zahlungskette erfassen
Die Parteien- und Datenmatrix beantwortet zwei Fragen: Wer ist am Zahlungsvorgang beteiligt, und welche Daten helfen bei der Klärung eines Treffers? Sie ist eine von Checklynx empfohlene Umsetzungsvorlage. Sie besagt nicht, dass jedes Zahlungsinstitut in jeder Situation jedes Feld erheben oder prüfen muss.
| Partei oder Objekt | Rolle im Zahlungsablauf | Daten, die bei der Trefferklärung helfen können | Zahlungsspezifische Kontrollfrage |
|---|---|---|---|
| Zahler / Auftraggeber | Veranlasst, finanziert oder autorisiert eine Überweisung, Kartenzahlung oder Auszahlung, mitunter über einen Bevollmächtigten. | Namen, Geburts- oder Gründungsdatum, Anschrift, Kunden- und Konto-IDs, Autorisierungsdaten und Zahlungszweck. | Ist die Person oder das Unternehmen, die bzw. das über die Gelder verfügt, tatsächlich gelistet? Haben sich Bevollmächtigter oder Konto geändert? |
| Zahlungsempfänger | Erhält die Zahlung als Kontoinhaber oder geschäftliche Gegenpartei. | Eingetragene Namen und Geschäftsbezeichnungen, Konto-ID, Anschrift, Registernummer, Ort und Verwendungszweck. | Besteht ein unmittelbarer Sanktionsbezug, oder lässt sich eine Namensähnlichkeit anhand weiterer Merkmale ausschließen? |
| Begünstigter | Hat Anspruch auf den überwiesenen Betrag und kann erstmals bei der Empfängeranlage in Erscheinung treten. | Name, Konto oder IBAN, Anschrift, Institut des Begünstigten, Land und verfügbare Überweisungsdaten. | Muss ein neuer Empfänger angehalten oder geprüft werden, und unter welchen dokumentierten Voraussetzungen ist eine Freigabe möglich? |
| Händler / Verkäufer | Nimmt eine Kartenzahlung an oder erhält als Acquiring-Kunde beziehungsweise Plattformverkäufer eine Abrechnung. | Eingetragene Namen und Geschäftsbezeichnungen, Händler-ID, Abwicklungskonto, Standort, Geschäftsleitung und relevante Eigentümerdaten. | Verändert ein neuer Name, ein anderes Konto, ein neuer Eigentümer oder ein verbundenes Unternehmen das Sanktionsrisiko der Abrechnung? |
| Unternehmenskunde | Führt ein Konto, veranlasst Überweisungen oder zahlt für eine Unternehmensgruppe. | Unternehmenskennungen, Anschriften, Gruppenstruktur, Bevollmächtigte, verknüpfte Konten und Gegenparteien. | Betrifft der Treffer das Unternehmen selbst, einen Nutzer, ein Konzernunternehmen oder eine neu hinzugekommene Gegenpartei? |
| Wirtschaftlich Berechtigter / kontrollierende Person | Kann für einen Unternehmenskunden, Händler, Zahlungsempfänger oder Begünstigten relevant sein. | Eigentums- und Kontrollrechte, Gesellschafter- und Geschäftsführerunterlagen, Gruppenstruktur und Stand der Quellen. | Fällt das nicht selbst gelistete Unternehmen unter den Eigentums- oder Kontrolltest des anwendbaren Regimes? |
| Gegenpartei im Acquiring oder Issuing | Acquirer, Issuer, Sponsor, Zahlungsabwickler oder Kartensystemteilnehmer bei Autorisierung, Clearing oder Abrechnung. | Eingetragener Name, Institutskennung, vertragliche Rolle, Zahlungsweg, Währung und Land. | Handelt es sich lediglich um einen technischen Teilnehmer oder um eine Gegenpartei, deren Rolle die rechtliche Bewertung verändert? |
| Relevantes zwischengeschaltetes Institut | Korrespondenzbank, Institut des Begünstigten, Auszahlungspartner oder Agent zwischen Auftraggeber und Begünstigtem. | BIC oder gleichwertige Kennung, Zahlungsweg, Nachrichtenfelder, Standort, Korridor und Weisungen. | Besteht wegen einer weiteren Partei oder eines neuen Zahlungswegs zusätzlicher Prüfbedarf? |
| Empfänger einer Auszahlung, Rückzahlung oder Erstattung | Erhält nach dem ursprünglichen Vorgang eine Abrechnung, Erstattung, Rückgabe oder einen Betrag aus einer Rückbuchung. | Empfänger- und Konto-IDs, Referenz der ursprünglichen Zahlung, Beziehung und Anlass des Vorgangs. | Kommt durch die spätere Zahlung ein anderer Empfänger oder ein anderes Konto hinzu? |
Nicht jedes Produkt kann oder darf jedes Datenfeld erheben. Datenschutz, Datenminimierung, Produktgestaltung und der rechtliche Anwendungsbereich bleiben maßgeblich. Das Institut sollte wissen, welche Datenlücken eine belastbare Trefferklärung verhindern, und für Fälle mit wenigen Angaben einen Eskalationsweg vorsehen. Die Verordnung (EU) 2023/1113 ist keine Vorschrift zur Sanktionsprüfung. Die bei erfassten Geldtransfers mitgeführten Angaben können Untersuchungen zu Auftraggebern und Begünstigten jedoch verlässlicher machen.
Prüfanlässe entlang des Zahlungsprozesses festlegen
Die folgende Lebenszyklustabelle zeigt, wann eine Bewertung sinnvoll ist und welche Entscheidung die jeweilige Kontrolle unterstützen muss. Eine turnusmäßige erneute Kundenprüfung kann hilfreich sein. Sie ersetzt aber keine Prüfung bei Ereignissen, durch die eine neue Partei oder eine neu einschlägige Beschränkung hinzukommt.
1. Kundenaufnahme und Änderungen der Geschäftsbeziehung
Von Checklynx empfohlene Umsetzungspraxis: Die relevante Geschäftsbeziehung vor der Aktivierung anhand der anwendbaren Regime- und Programmmatrix bewerten. Quellunterlagen, Erhebungsdatum und die für die Beziehung verantwortliche Rechtseinheit festhalten. Änderungen des eingetragenen Namens, des wirtschaftlich Berechtigten, des Abwicklungskontos, des Produkts oder der geografischen Ausrichtung können eine erneute Prüfung auslösen; sie sind nicht lediglich Stammdatenänderungen.
2. Einrichtung von Begünstigten, Zahlungsempfängern und Händlern
Mit einem neuen Begünstigten, Zahlungsempfänger, Abwicklungskonto oder Auszahlungsadressaten wird eine weitere Partei Teil des Zahlungsvorgangs. Von Checklynx empfohlene Umsetzungspraxis: Festlegen, welche Daten verfügbar sind und ob ein Trefferhinweis die Einrichtung, die erste Nutzung oder die Freigabe anhält. Diese Eingriffsentscheidung muss vor der Umsetzung eines Echtzeitprozesses geklärt sein.
3. Auslösung, Ausführung und Auszahlung
Bei Zahlung und Auszahlung sind neben den beteiligten Parteien auch verfügbare Angaben zu Land, Ziel, Zweck, Währung, Institut, Vermögenswert oder Dienstleistung einzubeziehen. Ein bloßer Namensabgleich beantwortet diese Fragen nicht. Die FCA beschreibt Prüfungen von Neukunden, Transaktionsgegenparteien und Zahlungen und betont verhältnismäßige, kalibrierte, getestete und regelmäßig überprüfte Systeme. Daraus folgt kein einheitliches weltweites Gebot, jede Transaktion auf dieselbe Weise zu prüfen.
4. Listenänderungen, turnusmäßige Prüfungen und wesentliche Ereignisse
Sanktionslisten und -programme ändern sich. OFAC veröffentlicht für die SDN List keinen festen Aktualisierungsplan. Ein Institut darf daher nicht allein auf die nächste turnusmäßige Prüfung warten, um eine inzwischen eingetretene Beschränkung zu erkennen. Von Checklynx empfohlene Umsetzungspraxis: Änderungen offizieller Quellen, der Eigentums- oder Kontrollverhältnisse, neue Korridore, Zahlungswege und Portfolios sowie wesentliche Datenkorrekturen als betriebliche Prüfanlässe behandeln. Für jeden Anlass müssen betroffene Bestände, Zuständigkeit, Untersuchungsweg und Abschlussnachweis dokumentiert sein.
Kontrollen entlang des Zahlungslebenszyklus
Die konkrete Kontrolle richtet sich nach dem anwendbaren Regime, der Produktarchitektur, der Datenlage und der betrieblichen Möglichkeit, in den Vorgang einzugreifen. Die Tabelle schreibt keinen gesetzlich vorgegebenen Einheitsschritt für alle Produkte vor.
| Zeitpunkt im Lebenszyklus | Neu relevante Parteien und Informationen | Praktisches Kontrollziel | Von Checklynx empfohlene Umsetzungspraxis |
|---|---|---|---|
| Aufnahme von Kunden, Händlern oder Unternehmen | Kunde, Händler, Rechtseinheit, Nutzer, Abwicklungskonto und relevante Angaben zu Eigentum und Kontrolle. | Eine verlässliche Ausgangsbasis für Identität und Geschäftsbeziehung schaffen. | Verantwortliche Rechtseinheit, Identifikatoren und Herkunft der Unternehmensdaten dokumentieren; erhebliche Unsicherheiten zu Eigentum oder Kontrolle eskalieren. |
| Einrichtung eines Begünstigten oder Zahlungsempfängers | Neuer Empfänger, Zielkonto, Institut des Begünstigten und verfügbare Beziehungsdaten. | Eine neue sanktionsrelevante Partei erkennen. | Festlegen, ob ein Trefferhinweis die Einrichtung, die erste Nutzung oder erst die Freigabe anhält; Fälle mit wenigen Daten und häufigen Namen testen. |
| Auslösung einer Zahlung | Parteien, Betrag, Währung, Zahlungsweg, geografischer Bezug, Zweck und bekannte Beteiligte der Zahlungskette. | Risiken beurteilen, die bei der Kundenaufnahme noch nicht vorlagen oder nicht geklärt werden konnten. | Erfassen, welche Daten vor einem unumkehrbaren Entscheidungspunkt verfügbar sind, und bekannte Lücken eskalieren. |
| Ausführung und Auszahlung | Endempfänger oder Zielkonto, zwischengeschaltetes Institut, Institut des Begünstigten, Zahlungsweg und Zeitpunkt. | Eine unzulässige Freigabe verhindern, während ein wesentlicher Treffer geklärt wird. | Prüfstatus, Frist, Freigabebefugnis und Übergabe der Nachweise festlegen. Artikel 5d bei erfassten EU-Echtzeitüberweisungen gesondert behandeln. |
| Rückzahlungen, Erstattungen und Rückbuchungen, soweit relevant | Ursprüngliche Parteien, Zielkonto, Empfänger und Anlass des späteren Vorgangs. | Eine spätere Geldbewegung als neuen betrieblichen Prüfanlass behandeln. | Verlässliche Informationen aus dem Ausgangsvorgang weiterverwenden und zugleich prüfen, ob sich Empfänger, Konto, Eigentumsverhältnisse, Listenstatus oder Zahlungsweg geändert haben. |
| Änderung einer Liste oder eines Programms | Aktive Kunden, Begünstigte, Händler, Gegenparteien sowie gegebenenfalls betroffene frühere oder ausstehende Zahlungen. | Neue Risiken zeitnah erkennen, statt ausschließlich auf einen Kalendertermin zu vertrauen. | Zuständigkeiten für die Überwachung offizieller Quellen, Folgenabschätzung, Auswahl der betroffenen Bestände, Trefferbearbeitung und Abschlussnachweise festlegen. Änderung und Reaktion mit Zeitstempel dokumentieren. |
| Änderung von Eigentum, Kontrolle oder Unternehmensdaten | Händler, Unternehmenskunde, Zahlungsempfänger, Begünstigter oder Gegenpartei erhält einen neuen Eigentümer, eine neue kontrollierende Person oder eine andere Gruppenstruktur. | Prüfen, ob ein nicht gelistetes Unternehmen nach dem anwendbaren Regime nun Beschränkungen unterliegen könnte. | Auf belastbare Hinweise zu Änderungen bei Eigentum, Geschäftsleitung, Abwicklungskonto, eingetragenem Namen oder Gruppenstruktur mit einer erneuten Prüfung reagieren. Unternehmensdaten eines Anbieters nicht als abschließende rechtliche Bewertung behandeln. |
| Neuer Korridor, Zahlungsweg, Produkt oder Partner | Neues Land, neue Währung, Korrespondenzbank, Auszahlungspartner, Acquiring- oder Issuing-Beziehung oder neue Zahlungsart. | Erkennen, ob die geänderte Architektur einen neuen rechtlichen Anwendungsbereich, eine Datenlücke oder eine zahlungswegspezifische Beschränkung schafft. | Vor der Einführung durch Compliance und Betrieb bestätigen lassen, dass Parteien- und Datenmatrix, Eingriffspunkt, Meldeweg und Zuständigkeit für Listenänderungen geklärt sind. Der Umfang richtet sich nach Risiko und Regime. |
EU-Echtzeitüberweisungen: besondere Vorgabe, keine Abkürzung
Für EU-Zahlungsdienstleister, die Echtzeitüberweisungen im Anwendungsbereich der Vorschrift anbieten: Mit der Verordnung (EU) 2024/886 wurde Artikel 5d in die Verordnung (EU) Nr. 260/2012 eingefügt. Danach ist zu überprüfen, ob Zahlungsdienstnutzer gezielten finanziellen restriktiven Maßnahmen unterliegen – unmittelbar nach Inkrafttreten einschlägiger neuer oder geänderter Maßnahmen und mindestens einmal je Kalendertag.1
Bei der Ausführung dürfen die Zahlungsdienstleister des Zahlers und des Zahlungsempfängers über Artikel 5d Absatz 1 hinaus keine zusätzliche Prüfung dieser Zahlungsdienstnutzer auf gezielte finanzielle restriktive Maßnahmen vornehmen. Das bedeutet weder, dass Echtzeitüberweisungen von Sanktionskontrollen ausgenommen sind, noch dass andere Pflichten im Zusammenhang mit restriktiven Maßnahmen entfallen.
Zwei Fehlinterpretationen sind besonders häufig. Erstens gilt der Rhythmus „mindestens einmal täglich“ nicht automatisch für jedes Zahlungsprodukt in jedem Rechtsraum. Zweitens verlangt Artikel 5d keinen neuen Namensabgleich von Zahler und Zahlungsempfänger bei jeder einzelnen Echtzeitüberweisung. Beide Aussagen würden den besonderen Regelungsmechanismus des Artikels verkürzen.
Die Vorgaben des Artikels 5d waren von Zahlungsdienstleistern bis zum 9. Januar 2025 umzusetzen. Im Einzelfall ist zu klären, ob der Anbieter als Zahlungsdienstleister erfasste Echtzeitüberweisungen anbietet und ob für seinen Mitgliedstaat und seine Dienstleistung weitere Vorschriften zu Echtzeitzahlungen mit eigenen Fristen gelten.1
Eigentum und Kontrolle: Ein unauffälliger Name beendet die Prüfung nicht
Bei Zahlungen mit Unternehmensbezug reicht die Prüfung des Namens häufig nicht aus. Ein Unternehmen kann selbst auf keiner Liste stehen und dennoch wegen seiner Verbindung zu einem gelisteten Eigentümer oder einer kontrollierenden Person Beschränkungen unterliegen. Welche Regeln gelten, bestimmt das jeweilige Sanktionsregime.
EU- und UK-Maßnahmen können im anwendbaren Rechtsrahmen auch Unternehmen erfassen, die gelisteten Personen gehören oder von ihnen kontrolliert werden. Die OFAC-50-Prozent-Regel bezieht sich dagegen auf direkte oder indirekte, zusammengerechnete Beteiligungen einer oder mehrerer gesperrter Personen von mindestens 50 Prozent. Eigenständige Programmbeschränkungen sind gesondert zu prüfen. Diese Eigentums- und Kontrolltests dürfen nicht miteinander vermischt werden.23
Daraus folgt nicht, dass jeder wirtschaftlich Berechtigte nach jedem Recht auf dieselbe Weise zu prüfen ist. Für Unternehmenskunden, Händler, Institute des Begünstigten, Gegenparteien und Auszahlungsadressaten braucht es vielmehr einen geregelten Eskalationsweg: Unternehmensnachweise beschaffen, das einschlägige Regime bestimmen, Eigentum und Kontrolle bewerten und die Begründung dokumentieren. Ein Namensabgleich kann diese Prüfung nicht ersetzen.
Vom Trefferhinweis zur erneuten Prüfung
Treffer klären, bevor über die rechtliche Maßnahme entschieden wird
Ein Trefferhinweis verlangt eine Untersuchung, keine reflexartige Entscheidung. Zunächst ist anhand der verfügbaren Identifikatoren, der Geschäftsbeziehung und des Zahlungskontexts zu klären, ob tatsächlich die gelistete Person oder das gelistete Unternehmen betroffen ist. Bei Unternehmen kann zusätzlich eine Prüfung von Eigentum und Kontrolle erforderlich sein.
Anschließend ist die rechtliche Wirkung einzuordnen: Welche Quelle und Version sind maßgeblich? Welches Programm oder welcher Rechtsakt gilt? Welche rechtlichen Anknüpfungspunkte bestehen? Welche Rolle hat die Partei, und welches konkrete Verbot ist einschlägig? OFAC unterscheidet zwischen der Sperrung von SDN und Beschränkungen für Nicht-SDN. Bei EU- und UK-Maßnahmen können die konkrete Maßnahme, Ausnahmen und Genehmigungsregelungen maßgeblich sein.
Erst danach ist über das weitere Vorgehen zu entscheiden: anhalten, freigeben, ablehnen, zurückweisen oder sperren, fachlichen Rat einholen, eine Genehmigung oder Ausnahme prüfen und gegebenenfalls melden. Ein Treffer beim Namensabgleich rechtfertigt nicht automatisch das „Einfrieren“ jeder Zahlung.
Von Checklynx empfohlene Umsetzungspraxis: Das Statusmodell für Treffer vor der Inbetriebnahme festlegen. Es muss bestimmen, welche Fälle automatisiert als Fehlalarm geschlossen werden dürfen, welche manuell zu prüfen sind, wer eine Zahlung freigeben darf, wann eine spezialisierte Sanktions- oder Rechtsprüfung zwingend ist, wie lange offene Fälle überwacht werden und wie die Entscheidung an Betrieb und kundennahe Teams weitergegeben wird. Meldeverfahren sind nach Rechtsraum getrennt zu führen; Meldefristen und Auslöser gelten nicht weltweit einheitlich.
Entscheidungsrahmen für die Trefferbearbeitung
Dieser Rahmen soll verhindern, dass ein automatisierter Treffer als rechtliche Schlussfolgerung behandelt wird oder ein unklarer Fall ohne Zuständigkeit in einer Warteschlange verbleibt. Er ist keine Rechtsberatung und ersetzt keine rechtsraumspezifische Prüfung von Sperrung, Zurückweisung, Meldung oder Genehmigung.
| Entscheidungsstufe | Leitfragen für die Prüfung | Zu beschaffende oder aufzubewahrende Nachweise | Möglicher nächster Schritt |
|---|---|---|---|
| 1. Vorgang sichern und Partei bestimmen | Welche Partei hat den Treffer ausgelöst? Welchen Status hat die Zahlung? Lässt sich der betreffende Schritt anhalten? | Treffer-, Zahlungs- und Parteien-IDs, Zeitstempel, Zahlungsweg, Kontokennungen und zuständige Person für die Warteschlange. | Den vorgesehenen Prüfstatus setzen; eskalieren, wenn das Produkt die Entscheidung nicht abwarten kann. |
| 2. Identität klären | Ist der Zahler, Begünstigte, Händler, Kunde oder Intermediär tatsächlich die gelistete Person oder das gelistete Unternehmen? | Namen, Geburts- oder Gründungsdatum, Staatsangehörigkeit, Anschrift, Dokument-, Register- und Konto-IDs, Verwendungszweck und Beziehungsdaten. | Begründung für einen falsch positiven Treffer dokumentieren, weitere Daten beschaffen oder an eine spezialisierte Stelle eskalieren. |
| 3. Eigentum und Kontrolle prüfen | Ist ein nicht gelistetes Unternehmen nach dem einschlägigen Test mit einem gelisteten Eigentümer oder einer kontrollierenden Person verbunden? | Registerunterlagen, Gesellschafter- und Geschäftsführerangaben, Eigentums- und Kontrollrechte, Gruppenstruktur und Quellen. | Wesentliche oder unklare Strukturen eskalieren; allgemeine UBO-Daten nicht ohne rechtliche Prüfung als abschließendes Ergebnis behandeln. |
| 4. Programm und Verbot bestimmen | Welcher Rechtsakt oder welches Programm gilt für das Institut, die Rolle der Partei, den Vermögenswert oder die Transaktion? | Maßgebliche Quelle und Version, rechtliche Anknüpfungspunkte, Parteienrolle sowie geografischer Kontext und Zahlungskette. | Den rechtlich zulässigen Weg bestimmen; SDN- und Nicht-SDN-Beschränkungen sind nicht gleichzusetzen. |
| 5. Entscheiden, eskalieren und kommunizieren | Wer darf das Ergebnis genehmigen? Sind eine Genehmigung, Ausnahme oder Meldung zu prüfen? | Begründung, genehmigende Person und Zeitstempel, Eskalationsvermerke sowie Prüfung einer Meldung oder Genehmigung. | Die genehmigte Entscheidung umsetzen und das Meldeverfahren des einschlägigen Rechtsraums anwenden. |
| 6. Erkenntnisse umsetzen und erneut prüfen | Hat der Fall Schwächen bei Daten, Kalibrierung, Zahlungsweg oder Produktkontrolle offengelegt? | Ursache, Konfiguration und Version, betroffene Bestände, verantwortliche Person und Testergebnis. | Den Mangel über das geregelte Änderungsverfahren beheben und betroffene Fälle oder Bestände erneut bewerten. |
Beispiele aus der Zahlungspraxis
Die folgenden Beispiele legen kein rechtliches Ergebnis fest.
- Neuer Begünstigter mit Namensähnlichkeit: Verfügbare Angaben zu Konto, Anschrift, Geburtsdatum, Institut, Land und Beziehung einholen. Lässt sich die erste Überweisung nicht klären, ist der vorab festgelegte Anhalte- und Eskalationsweg anzuwenden. Die FCA-Hinweise stützen die Berücksichtigung von Gegenparteien und Zahlungen, geben aber keine allgemeine Freigaberegel vor.
- Änderung des Händler-Abwicklungskontos: Das neue Empfängerkonto und geänderte Angaben zur Rechtseinheit als eigenen Prüfanlass behandeln. Einen möglichen Eigentums- oder Kontrollbezug zu einer gelisteten Person eskalieren, statt sich allein auf eine erneute Prüfung des Händlernamens zu verlassen.
- Auffälliges Institut in der Zahlungskette: Ein unauffälliges Ergebnis für den Kunden klärt nicht automatisch ein Risiko im Zahlungsweg. Angaben, die den Geldtransfer begleiten, können die Untersuchung unterstützen; maßgeblich bleiben das anwendbare Regime und der konkrete Sachverhalt.
Nachweise für belastbare Zahlungsentscheidungen
Ein guter Prüfprozess macht jede wesentliche Entscheidung nachvollziehbar und reproduzierbar. Zu dokumentieren ist, wer oder was geprüft wurde, welche Quelle und Version zugrunde lagen, warum der Treffer entstand, welche Merkmale verglichen wurden, wie Eigentum und Kontrolle beurteilt wurden und welche Entscheidung zu welchem Zeitpunkt getroffen wurde.
Für einen wesentlichen Treffer sollten folgende Angaben aufbewahrt werden:
- Kennungen der Parteien und der Transaktion einschließlich der Rolle der Partei im Zahlungsvorgang;
- Sanktionsliste oder Rechtsmaßnahme, Version oder Abrufdatum und einschlägiges Programm;
- Begründung des Treffers und herangezogene Identitätsmerkmale;
- Nachweise zur Unternehmensstruktur sowie zu Eigentum und Kontrolle, soweit relevant;
- die für die Bewertung verwendeten Angaben zu Zahlungskette, geografischem Bezug und Zahlungszweck;
- Notizen der Analysten, Eskalationen, Genehmigungen und Zeitstempel;
- abschließende Entscheidung und gegebenenfalls Prüfung einer Meldung, Genehmigung oder Ausnahme; und
- Konfiguration, Listenänderungen und Prüfnachweise, aus denen hervorgeht, wie der Treffer in den Prozess gelangt ist.
Die FCA-Feststellungen betonen Kalibrierung, Tests, ausreichende Ressourcen und Trefferbearbeitung. Der OFAC-Rahmen nennt das Engagement der Geschäftsleitung, Risikobewertung, interne Kontrollen, Tests oder Audits und Schulungen. Diese Quellen stützen Anforderungen an die Governance, aber keinen bestimmten Anbieter, Schwellenwert oder Betriebsprozess.
Auch bei einer Auslagerung bleibt aktive Aufsicht erforderlich. Das Institut muss Datenflüsse, Konfiguration, Aktualisierungen, Trefferwarteschlangen und mögliche Leistungsausfälle verstehen und repräsentative Fälle, Änderungen sowie Wiederanlaufverfahren testen.
Umsetzungsplan für die ersten 90 Tage
Der folgende von Checklynx empfohlene Umsetzungsansatz richtet sich an Institute, die ihre Sanktionskontrollen im Zahlungsverkehr verbessern. Er setzt bei Bedarf Rechtsberatung und eine klar benannte Verantwortung auf Führungsebene voraus. Er schreibt weder eine bestimmte Technologie noch einen Schwellenwert, ein Service-Level oder eine allgemein gültige Reihenfolge vor.
Tage 1–30: Ausgangslage und Risiken erfassen
Am Anfang steht eine bereichsübergreifende Bestandsaufnahme. Compliance bestimmt den rechtlichen Anwendungsbereich und die einschlägigen Programme. Der Zahlungsbetrieb erfasst Entscheidungspunkte und Zuständigkeiten für Warteschlangen. Produkt und Entwicklung beschreiben die verfügbaren Ereignisdaten. Finanz- und Partnerteams benennen Abwicklungsparteien und weitere Institute der Zahlungskette.
Als Ergebnis sollten eine Regime- und Programmmatrix, eine Parteien- und Datenmatrix, eine Übersicht des Zahlungslebenszyklus und eine Liste offener Punkte vorliegen. Darin sind die oben beschriebenen Beteiligten, Eingriffspunkte und Lücken zu erfassen, etwa fehlende Kennungen von Begünstigten, ungeklärte Inhaber von Abwicklungskonten, manuelle Freigabewege und unklare Zuständigkeiten für Listenänderungen.
Lücken sind nach rechtlichem Risiko und Unumkehrbarkeit zu priorisieren. Bei Angeboten von EU-Echtzeitüberweisungen ist zu bestimmen, ob Artikel 5d gilt, welche Zahlungsdienstnutzer erfasst sind, wer Änderungen der Maßnahmen verfolgt und wie die mindestens tägliche Überprüfung nachgewiesen wird.1
Tage 31–60: Entscheidungen festlegen und Abläufe testen
Aus der Bestandsaufnahme entstehen verbindliche betriebliche Entscheidungen für fehlende oder verspätete Daten, Listenänderungen, Begünstigtenprüfungen, Eigentum und Kontrolle sowie die Zahlungsfreigabe. Das Statusmodell für Treffer ist anhand typischer Fälle zu testen: Begünstigter mit häufigem Namen, Änderung eines Händler-Abwicklungskontos, unklare Eigentums- oder Kontrollverhältnisse, auffällige Daten zu einem Intermediär, spätere Geldbewegung, Änderung einer offiziellen Liste und zeitkritische Zahlung. Für jeden Testfall müssen Zuständigkeit, erforderliche Nachweise, zulässige Maßnahme und Entscheidungsnachweis feststehen. Ebenfalls zu klären sind Zuständigkeiten für offizielle Quellen, Datenzuordnung, System- oder Warteschlangenausfälle und die manuelle Übersteuerung eines angehaltenen Vorgangs.
Tage 61–90: Governance und Änderungssteuerung verankern
In der letzten Phase werden Verfahren für Trefferuntersuchung, Zahlungsfreigabe, fachliche oder rechtliche Eskalation, rechtsraumspezifische Meldungen sowie Genehmigungen und Ausnahmen verbindlich festgelegt. Die risikobasierte Qualitätssicherung umfasst Stichproben freigegebener und eskalierter Treffer, den Abgleich von Änderungen offizieller Quellen sowie Tests für neue Begünstigte, geänderte Händlerkonten, Rückzahlungen und Erstattungen. Für überfällige Fälle, fehlende Daten und ausgefallene Kontrollen ist jeweils ein Eskalationsweg festzulegen. Neue Korridore, Währungen, Partner, Zahlungswege und Funktionen sollten erst eingeführt werden, wenn Parteien- und Datenmatrix, Prüfung des rechtlichen Anwendungsbereichs, Eingriffspunkt, Zuständigkeiten und Testnachweise aktualisiert sind. Dies ist eine empfohlene Vorgehensweise, keine allgemein geltende gesetzliche Freigabepflicht.
Checkliste für den Betrieb
Diese Checkliste unterstützt die Umsetzung, ersetzt aber keine rechtliche Prüfung.
Häufige Fragen
Muss jedes Zahlungsinstitut jede Zahlung gleich prüfen?
Nein. Zunächst ist zu bestimmen, welche verbindlichen Sanktionsregime und Beschränkungen für den jeweiligen Zahlungsfluss gelten. Danach sind die Ereignisse zu bewerten, die das Risiko verändern. Ein unauffälliges Ergebnis bei der Kundenaufnahme deckt nicht automatisch alle späteren Vorgänge ab.
Reicht die Prüfung bei der Kundenaufnahme?
Nein. Neue Begünstigte, Händler, Gegenparteien, Eigentümer, Institute in der Zahlungskette, Listenänderungen und spätere Geldbewegungen können eine neue Bewertung erforderlich machen. Für jeden Weg zur erneuten Prüfung oder Neubewertung muss eine zuständige Person benannt sein.
Müssen Zahler und Zahlungsempfänger bei jeder EU-Echtzeitüberweisung erneut geprüft werden?
EU-Anwendungsbereich: So pauschal nicht. Für Zahlungsdienstleister, die erfasste Echtzeitüberweisungen anbieten, verlangt Artikel 5d die Überprüfung von Zahlungsdienstnutzern unmittelbar nach Inkrafttreten einschlägiger neuer oder geänderter gezielter finanzieller restriktiver Maßnahmen und mindestens einmal je Kalendertag. Zugleich dürfen die Zahlungsdienstleister von Zahler und Zahlungsempfänger während der Ausführung keine zusätzliche Prüfung derselben Zahlungsdienstnutzer nach Artikel 5d vornehmen. Andere sanktionsrechtliche Fragen bleiben davon unberührt.1
Soll ein Zahlungsinstitut wirtschaftlich Berechtigte prüfen?
Eine allgemeine Pflicht zur „UBO-Prüfung“ lässt sich ohne das anwendbare Recht nicht behaupten. Angaben zu wirtschaftlich Berechtigten und kontrollierenden Personen können jedoch wesentlich sein, wenn ein Händler, Begünstigter oder Unternehmenskunde nicht selbst gelistet ist, aber nach dem einschlägigen Regime Beschränkungen unterliegen könnte. Dafür braucht es einen gezielten Eskalationsprozess; ein unauffälliger Unternehmensname genügt nicht.
Muss eine Zahlung bei einem Namenstreffer immer eingefroren werden?
Nein. Ein Namenstreffer ist zunächst zu untersuchen und rechtlich einzuordnen. Das zulässige Ergebnis hängt vom Regime, der Rolle der Partei, dem Programm, dem Sachverhalt sowie möglichen Genehmigungen oder Ausnahmen ab. Manche Hinweise erweisen sich als Fehlalarm; andere können eine Sperrung, Zurückweisung, Ablehnung, Meldung oder Eskalation erfordern.
Kann ein Zahlungsinstitut die Sanktionsprüfung auslagern?
Technik und betriebliche Aufgaben können ausgelagert werden. Die Verantwortung für die wirksame Überwachung der Kontrolle bleibt jedoch beim Institut. Es muss Datenfluss, Zuständigkeit für Konfigurationen und offizielle Quellen, Trefferbearbeitung, Freigabebefugnis, Tests und Wiederanlauf bei Störungen verstehen und steuern.
Ist FATF-Empfehlung 16 eine Vorschrift zur Sanktionsprüfung?
Nein. FATF-Empfehlung 16 ist ein internationaler Standard zur Transparenz im Zahlungsverkehr, keine Sanktionsliste und kein unmittelbar geltendes, weltweites Prüfgesetz für Privatunternehmen. Nach Angaben der FATF sollen die Änderungen von 2025 bis Ende 2030 wirksam werden. Die nationale Umsetzung und bereits geltende inländische Vorschriften sind gesondert zu prüfen. Angaben zu Auftraggeber und Begünstigtem können eine Untersuchung unterstützen.4
Quellen
Die folgenden Primärquellen bilden die fachliche Grundlage dieses Leitfadens.
- Europäische Union, Verordnung (EU) 2024/886 (PDF im Amtsblatt) — Artikel 5d zu Echtzeitüberweisungen.
- Europäische Union, Verordnung (EU) 2023/1113 — Angaben, die bei Geldtransfers zu übermitteln sind.
- Europäische Kommission, Überblick über Sanktionen und zugehörige Ressourcen — Rahmen der EU-Sanktionspolitik.
- Europäische Bankenaufsichtsbehörde, Final guidance on internal policies, procedures and controls for Union and national restrictive measures — aufsichtliche Leitlinien mit Bedeutung für Zahlungsdienstleister.
- FATF, Recommendation 6 update und Recommendation 7 / proliferation-financing material — internationale Standards zu gezielten Finanzsanktionen.
- FATF, Recommendation 16 payment-transparency update — internationaler Standard zur Transparenz im Zahlungsverkehr.
- UN-Sicherheitsrat, UN Consolidated List — von den Vereinten Nationen gelistete Personen und Organisationen.
- FCA, Financial Crime Guide: financial sanctions — britische Aufsichtshinweise zur Prüfung von Kunden, Gegenparteien und Zahlungen.
- UK Government, UK Sanctions List — aktuelle britische Quelle für Benennungen; bei einer Maßnahme zusammen mit den dann geltenden regimespezifischen Hinweisen zu verwenden.
- FCA, Sanctions systems and controls: our firms, our findings — aufsichtliche Feststellungen zu Kalibrierung, Tests und Trefferbearbeitung.
- OFSI, UK financial sanctions general guidance und UK financial sanctions FAQs — Hinweise zu Eigentum und Kontrolle.
- OFAC, A Framework for OFAC Compliance Commitments — risikobasierter Compliance-Rahmen.
- OFAC, 50 Percent Rule FAQ, Sanctions programmes and country information und SDN update timetable FAQ — US-Kontext zu Eigentum, Programmen und Aktualisierungen.
- OFAC, SDN List, non-SDN lists und reporting FAQ — Kontext zu Listen und zulässigen Maßnahmen.
Weiterführende Inhalte
- Allgemeiner Sanktionsleitfaden — Rechtsrahmen sowie Grundlagen zu Listen und Sanktionsregimen.
- Grundlagen der Sanktionsprüfung in der Wissensdatenbank — Identitätsprüfung und Trefferklärung.
- Branchenlösung für Zahlungsdienstleister — Informationen für Unternehmen, die ihr Betriebsmodell im Zahlungsverkehr bewerten.