Sanktionsprüfung in den VAE: Praxisleitfaden für regulierte Unternehmen

Die Überprüfung von Sanktionen in den Vereinigten Arabischen Emiraten beginnt mit der Bestimmung des zuständigen Aufsichtsrahmens und nicht mit einem generischen Listenpaket. Ein von den VAE reguliertes Unternehmen muss den Rahmen identifizieren, der für seine juristische Person und Tätigkeit gilt, und dann die relevanten Sanktionsquellen mit Kunden, Eigentümern, Gegenparteien, Transaktionen, Trefferabwicklung, Meldungen und aufbewahrten Nachweisen verknüpfen.

Dieser Leitfaden richtet sich an MLROs, Compliance-Teams, Betriebsleiter und technische Verantwortliche bei Finanzinstituten, Zahlungsunternehmen, Wechselstuben, Fintechs und relevanten nichtfinanziellen Unternehmen und Berufen in den VAE (DNFBPs). Es handelt sich um eine auf Sanktionen ausgerichtete Betriebsebene, nicht um ein vollständiges Handbuch zum Geldwäscherecht der VAE oder Rechtsberatung.

Für die gerichtsbarkeitsneutrale Methode verwenden Sie den Praktischen Leitfaden zur Sanktionsprüfung. Hier lautet die Frage konkret:

Welche VAE-Route gilt, was erfordert diese Route und kann die Prüfkontrolle dies umsetzen und nachweisen?

Finden Sie zuerst Ihren regulatorischen Weg in den VAE

Der föderale AML-Rahmen hat sich im Jahr 2025 geändert. Aktuelle offizielle Materialien erkennen das Bundesgesetz Nr. 10 von 2025 und die Kabinettsresolution Nr. 134 von 2025 an, während sich die aktuellen DFSA- und FSRA-Sanktionsregeln weiterhin auf die TFS-Verpflichtungen im Zusammenhang mit der Kabinettsresolution Nr. 74 von 2020 beziehen.²³⁴

Das bedeutet nicht, dass für jedes Unternehmen in den VAE identische Überprüfungsregeln gelten. Beginnen Sie mit dem Unternehmen und der Aufsichtsbehörde:

Der Geltungsbereich des VARA-Regelwerks schließt DIFC aus.⁵ DIFC-relevante Personen werden im Rahmen des DFSA-Rahmens beaufsichtigt, während ADGM-relevante Personen das FSRA-Regelwerk verwenden. Eine Gruppe mit mehreren Einheiten in den Vereinigten Arabischen Emiraten benötigt daher möglicherweise eine gemeinsame Kontrollarchitektur mit unterschiedlichen genehmigten Quellen, Prüfabläufen und Meldewegen.

Notieren Sie vor der Umsetzung Folgendes:

• die juristische Person und die lizenzierte Tätigkeit;
• die Aufsichtsbehörde und die geltenden föderalen Rahmen oder Rahmen einer Finanzfreizone;
• die Produkte, Kunden, Transaktionsarten und geografische Präsenz;
• die verantwortliche Stelle für die Rechtsauslegung und Meldungen; und
• Quelle und Datum jedes verwendeten Regel- oder Leitdokuments.

Offizielle Seiten können alte gesetzliche Verweise auch nach Rahmenänderungen beibehalten. Überprüfen Sie unmittelbar die aktuelle Gesetzgebung und das Regelwerk der Aufsichtsbehörden, bevor Sie sich auf eine rechtliche Aussage verlassen.

Bestimmen Sie, welche Sanktionslisten gelten

Für die TFS-Umsetzung in den VAE identifiziert die EOCN-Leitlinie zwei Hauptquellen: die Lokale Terroristenliste der VAE und die Konsolidierte Liste des UN-Sicherheitsrats.¹⁶ Meldende Stellen sollten aktuelle offizielle Quellen verwenden und sich für relevante EOCN-Benachrichtigungen registrieren, anstatt sich auf eine statische Kopie zu verlassen, die in eine Richtlinie oder eine Anbieterpräsentation eingebettet ist.

Die Leitlinien der DFSA veranschaulichen diesen Ansatz. Für eine DIFC-relevante Person können relevante Sanktionslisten VAE-, EU-, UK-, US- oder andere Listen umfassen, die tatsächlich für dieses Unternehmen gelten.³ Die Beispiele bedeuten nicht, dass jedes DIFC- oder VAE-Unternehmen jedes ausländische Regime überprüfen muss.

Eine vertretbare Quellenmatrix sollte Folgendes identifizieren:

Dies verhindert, dass das Versprechen einer „globalen Abdeckung“ die rechtliche und betriebliche Analyse des Unternehmens ersetzt.

Relevante Parteien und Prüfanlässe festlegen

Für regulatorisches Material der VAE kann mehr als eine Überprüfung des Kundennamens erforderlich sein. Aktuelles DFSA-Material für relevante Personen befasst sich mit der Überprüfung von Datenbanken und Transaktionen. Die FSRA-Leitlinie für relevante ADGM-Personen befasst sich mit laufenden Überprüfungen von Kundendatenbanken und Sanktionen sowie der Transaktionsüberwachung.³⁴

Der genaue Kreis der zu prüfenden Parteien und der Zeitpunkt hängen weiterhin von den geltenden Rahmenbedingungen und dem Geschäftsmodell ab. Soweit relevant, sind einzubeziehen:

• Kunden und Organisationskunden;
• bereits identifizierte wirtschaftlich Berechtigte und kontrollierende Personen;
• Gegenparteien, Begünstigte, Zahlungsempfänger und andere Transaktionsparteien;
• Personen, die im Namen oder auf Anweisung einer benannten Partei handeln; und
• bestehende Aufzeichnungen, die von einer neuen oder geänderten Bezeichnung betroffen sind.

Betrachten Sie diese Beispiele nicht als Regel, dass jede Organisation jede Partei bei jedem Prüfanlass überprüfen muss. Ein von der CBUAE beaufsichtigter Zahlungsanbieter, ein DIFC-Vermögensverwalter und ein vom Ministerium beaufsichtigtes DNFBP benötigen möglicherweise unterschiedliche Kontrollkonzepte.

Auch die Überprüfung eines bekannten Eigentümers ist nicht dasselbe wie die Ermittlung oder Überprüfung der Eigentümerstruktur. Der Leitfaden zur Unternehmensüberprüfung im Vergleich zum AML-Screening erläutert diese Grenze.

Auslöser für Prüfung und erneute Prüfung festlegen

Aktuelle DFSA- und FSRA-Materialien unterstützen laufende oder regelmäßige Sanktionskontrollen und Reaktionen auf relevante Quellen- und Transaktionsereignisse.³⁴ Sie stellen keine allgemeingültige technische Anweisung dar, dass jedes in den VAE regulierte Unternehmen jeden Kunden kontinuierlich in Echtzeit überprüfen muss.

Ein Unternehmen sollte die tatsächliche Regel und sein Betriebsmodell definierten Auslösern zuordnen, zu denen Folgendes gehören kann:

• Aufnahme oder Genehmigung einer neuen Beziehung;
• die Hinzufügung eines Eigentümers, Controllers, Kontrahenten, Begünstigten oder Zahlungsempfängers;
• ein wesentlicher Kunden- oder Eigentümerwechsel;
• ein relevantes Zahlungs- oder Transaktionsereignis;
• eine Hinzufügung, Änderung oder Entfernung in einer entsprechenden offiziellen Quelle; und
• eine genehmigte regelmäßige Überprüfung, sofern dies durch den Rahmen und die Richtlinie erforderlich ist.

Definieren Sie für jeden Auslöser die Eingabedaten, den Entscheidungspunkt, den zulässigen Betriebszustand, den Compliance-Analyst, die Eskalationsroute und die Nachweise. Wenn ein Anbieter „Echtzeit“ oder „kontinuierliche“ Compliance behauptet, bitten Sie ihn, das genaue Ereignis, den Quell-Update-Pfad und die Serviceverpflichtung nachzuweisen, anstatt die Formulierung als rechtliche Schlussfolgerung zu betrachten.

Der Praktische Leitfaden zur Sanktionsprüfung enthält das allgemeine Auslösermodell. Die VAE-Kontrolle sollte die regulierungs- und aktivitätsspezifischen Anforderungen hinzufügen und diesen Leitfaden nicht duplizieren.

Eigentum und Kontrolle getrennt beurteilen

Ein unauffälliges Ergebnis für den Firmennamen schließt ein TFS-Risiko in den VAE nicht aus. Die EOCN-Leitlinien erweitern die relevante Analyse über direkt benannte Parteien hinaus auf Unternehmen, die ihnen direkt oder indirekt gehören oder von ihnen kontrolliert werden, und auf Personen, die in ihrem Namen oder auf ihre Anweisung handeln.¹

Halten Sie drei Aufgaben getrennt:

1. Erkennung oder Überprüfung der Eigentumsverhältnisse: Ermitteln Sie die Eigentums- und Kontrollstruktur anhand zuverlässiger Informationen.
2. Überprüfung identifizierter Personen und Organisationen: Vergleichen Sie diese Parteien mit den geltenden Sanktionsdaten.
3. Analyse von Eigentum und Kontrolle im Sanktionsrecht: Bestimmen Sie, ob die Beschränkungen nach dem geltenden Rahmen und anhand der Tatsachen in den VAE auch für ein nicht gelistetes Unternehmen gelten.

Ersetzen Sie die VAE-Analyse nicht durch einen generischen AML-Schwellenwert für den wirtschaftlichen Eigentümer oder einen Test auf ausländische Sanktionen. Behalten Sie die Eigentumskette, die Quelle, das Datum des Inkrafttretens und die verwendete Begründung bei und leiten Sie unsichere Fälle an einen autorisierten Compliance- oder Rechtsprüfer weiter.

Zur allgemeinen Unterscheidung siehe Eigentum und Kontrolle im Sanktionsrecht und Prüfung wirtschaftlich Berechtigter und verbundener Parteien.

Mögliche Treffer über das richtige Verfahren bearbeiten

Ein sinnvoller Prüfablauf lautet nicht „Treffer gleich Sperre“. Trefferermittlung, Identitätsklärung, Trefferklassifizierung, rechtliche Maßnahme und Meldung bleiben getrennt:

Möglicher Treffer → Identität geprüft → falsch positives, teilweises oder bestätigtes Ergebnis → Prüfung der einschlägigen Sperr- oder Verbotsfolge → richtige Meldung → aufbewahrte Nachweise

Die EOCN-Leitlinien bieten unterschiedliche Prozesse für bestätigte und teilweise Namensübereinstimmungen und behandeln die relevanten Schritte zum Einfrieren, Aussetzen, Zurückweisen und Melden.¹ Die genaue Vorgehensweise hängt vom aktuellen offiziellen Prozess, den Fakten und dem geltenden Rahmen ab. Ein Software-Score trifft diese Entscheidung nicht.

Für jeden möglichen Treffer:

1. Behalten Sie die genaue Prüfeingabe, das Quellergebnis und den Zeitstempel bei.
2. Vergleichen Sie verfügbare Bezeichner, Aliase und Kontextinformationen.
3. Erfassen Sie übereinstimmende, widersprüchliche und fehlende Fakten.
4. Klassifizieren Sie das Ergebnis anhand der aktuell vom Unternehmen genehmigten Terminologie.
5. Eskalieren Sie eine teilweise, potenzielle oder bestätigte Übereinstimmung über das entsprechende TFS-Verfahren.
6. Halten Sie die rechtliche und operative Entscheidung getrennt vom Prüfergebnis fest.

Der detaillierte Untersuchungsbericht gehört in den Dokumentationsleitfaden zu Sanktionswarnungen. Die passende Kalibrierung gehört in den Leitfaden zur Falsch-Positiv-Reduktion.

Halten Sie TFS-Trefferberichte getrennt von Verdachtsberichten

Die EOCN-Unterlagen unterscheiden zwischen bestätigten oder möglichen Treffern zu bezeichneten Personen und Verdachtsmeldungen wegen Sanktionsumgehung oder anderer verdächtiger Muster ohne einen solchen Listentreffer.⁷ Für STR- und SAR-Meldungen durch meldepflichtige Unternehmen stellt die UAE FIU goAML bereit.⁸

Behandeln Sie einen TFS-Trefferbericht, eine STR oder SAR und eine Regulierungsmitteilung nicht als austauschbar. Das Compliance-Verfahren sollte festlegen, welcher Weg gilt, wer entscheidet, welches aktuelle Formular verwendet wird und welcher Zeitpunkt gilt. Formulare, Berichtsnamen und Fristen sollten bei der Veröffentlichung und vor einer Live-Einreichung noch einmal anhand der aktuellen offiziellen Anweisungen überprüft werden.

PEP-Prüfung anbinden, aber rechtlich getrennt halten

Bei der PEP-Prüfung werden möglicherweise dieselben Kundendaten und dasselbe Compliance-Team verwendet, es wird jedoch eine andere Frage beantwortet. Ein Sanktionskandidat erfordert eine Identitäts- und Anwendbarkeitsprüfung gegen restriktive Maßnahmen. Bei der PEP-Prüfung wird gefragt, ob ein Kunde oder wirtschaftlicher Eigentümer eine qualifizierte öffentliche Funktion oder Beziehung innehat und welche risikobasierten Maßnahmen sich daraus ergeben.

Für Relevant Persons im DIFC verlangen die aktuellen DFSA-Regeln angemessene Maßnahmen zur Feststellung, ob Kunden oder wirtschaftlich Berechtigte PEPs sind. Soweit einschlägig, kommen die Zustimmung der Geschäftsleitung, Prüfungen zur Herkunft des Vermögens und der Mittel sowie verstärkte Überwachung hinzu.⁹ Die FSRA-Unterlagen behandeln PEP-Risiken für Relevant Persons im ADGM ebenfalls mit risikobasierten Kontrollen.⁴

FATF beschreibt PEP-Maßnahmen als präventiv: Der PEP-Status sollte nicht als Nachweis für kriminelle Aktivitäten interpretiert werden.¹⁰ Er begründet auch keinen Sanktionsstatus und führt nicht automatisch zur Ablehnung eines Kunden.

Halten Sie die Reihenfolge klar:

Verwenden Sie die PEP-Prüfung-Anleitung für den gesamten Prozess und die Checklynx PEP-Prüfung für die Produktseite. Negative Medien können zusätzlichen Risikokontext liefern, sie stellen jedoch weder PEP noch den Sanktionsstatus dar.

Prüfen, ob die Software die VAE-Kontrollen unterstützt

Halten Sie den Abnahmetest VAE-spezifisch ab. Die vollständige Beschaffungs- und POC-Methodik gehört in Wie wählt man eine Software zur Sanktionsprüfung aus.

Bitten Sie einen potenziellen Anbieter, Folgendes nachzuweisen:

• Herkunft der erforderlichen VAE- und UN-Quelldaten;
• wie Ergänzungen, Änderungen, Entfernungen und fehlgeschlagene Quellaktualisierungen erkannt und nachgewiesen werden;
• erneute Prüfung oder Verarbeitung von Prüfanlässen im Einklang mit dem vom Unternehmen genehmigten Zeitplan;
• Ergebnisse zu Personen und Organisationen mit ausreichend Identitätsdaten zur Klärung möglicher Treffer;
• relevante Namen in arabischer Schrift und in Umschrift sowie Fälle mit Aliasnamen, häufigen Namen oder wenigen Identifikationsmerkmalen aus dem Kundenbestand;
• Überprüfung der identifizierten Eigentümer und Verantwortlichen unter Beibehaltung des bereitgestellten Eigentumskontexts;
• Kunden-, Datenbank- und Transaktionspartei-Prüfprozesse, die aufgrund des Regulierungs- und Geschäftsmodells des Käufers erforderlich sind;
• getrennte und nachvollziehbare Ergebnisse für mögliche, falsch positive, teilweise oder ungeklärte sowie bestätigte Treffer;
• beibehaltene Quelle, Eingabe, Konfiguration, Compliance-Analyst, Begründung, Aktion und Zeitstempel; und
• kontrollierte Übergabe an die aktuellen TFS-, FIU- und Regulierungsverfahren des Unternehmens, ohne die Software als rechtlichen Entscheidungsträger darzustellen.

Die FSRA-Leitlinien stellen für Relevant Persons im ADGM einen wichtigen Grundsatz klar: Die Nutzung einer Datenbank eines Drittanbieters überträgt die Verantwortung für wirksame Systeme und Kontrollen nicht auf den Anbieter.⁴ Diese praktische Vorsicht gilt auch überall dort, wo der maßgebliche Rahmen das Unternehmen selbst für die Kontrolle verantwortlich macht.

Das thematische Überprüfungsprogramm 2026 der CBUAE umfasst die Überprüfung von Sanktionen anhand der lokalen Liste der VAE und der Sanktionsliste des UN-Sicherheitsrates im Bankensektor.¹¹ Das ist ein Nachweis dafür, dass die Wirksamkeit der Überprüfung und Tests aktive Aufsichtsthemen für diese beaufsichtigte Gruppe sind – keine Grundlage für die Erfindung einer universellen Testschwelle.

Wenden Sie die Steuerung auf den regulierten Kontext an

Bei diesen Beispielen handelt es sich um beispielhafte Betriebsmuster und nicht um allgemeingültige Rechtsanweisungen.

Von der CBUAE überwachter Zahlungsanbieter oder Wechselhaus

Das Unternehmen ordnet Kundendaten, relevante Eigentümer und Zahlungsparteien der entsprechenden TFS-Kontrolle zu. Ein neuer Begünstigter führt bei einer grenzüberschreitenden Überweisung zu einem möglichen Treffer. Der Betrieb folgt dem genehmigten Eindämmungs- und Eskalationsverfahren, während ein Compliance-Analyst die Identität klärt und die zuständige Fachperson die TFS- und Meldeentscheidung festlegt. Das Beispiel bedeutet nicht, dass jedes Zahlungsprodukt eine identische technische Architektur erfordert.

DIFC Vermögensverwalter oder Fintech

Ein Firmenkunde hat einen identifizierten wirtschaftlichen Eigentümer, bei dem es sich möglicherweise um einen PEP handelt, während eine neue Zahlungsgegenpartei einen Sanktionskandidaten erstellt. Die PEP-Frage folgt der risikobasierten PEP-Route der DFSA; der Sanktionskandidat folgt der geltenden Liste, Übereinstimmung und TFS-Route. Durch die Weitergabe von Kundendaten sind die Ergebnisse nicht austauschbar.

Finanzdienstleistungsunternehmen ADGM

Das Unternehmen nutzt eine externe Prüfdatenbank, behält jedoch die Verantwortung für den Quellenumfang, wirksame laufende Kontrollen, Prüfung möglicher Treffer, Transaktionsüberwachung und Eskalation. Es testet, ob Compliance-Analysten ein Ergebnis nach einer Quellenänderung rekonstruieren können, anstatt die Existenz der Datenbank als Nachweis der Konformität zu akzeptieren.

Vom Ministerium überwachtes DNFBP

Ein Immobilienunternehmen oder ein anderes DNFBP bildet seine eigenen Kunden, relevanten Eigentümer, Gegenparteien und meldepflichtigen Ereignisse ab, anstatt den Zahlungsablauf einer Bank zu kopieren. Die Kontrolle richtet sich nach den für dieses Unternehmen geltenden Bundes-, EOCN-, Ministeriums- und FIU-Anforderungen.

VARA-lizenzierter VASP in Dubai

Das VASP wendet seine relevanten VARA-Regeln zusammen mit dem bundesstaatlichen TFS-Framework an und leitet kryptospezifische Fragen an sein spezielles Kontrolldesign weiter. DIFC liegt außerhalb des territorialen Geltungsbereichs von VARA, daher sollte ein DIFC-Unternehmen diesen Weg nicht nutzen, nur weil es in Dubai ansässig ist.⁵ Siehe AML-Screening für Krypto und VASPs für die branchenspezifische Grenze.

Checkliste zur Sanktionsüberprüfung der VAE

Sobald diese Anforderungen definiert sind, kann Checklynx Sanktionsprüfung Prüfungen über Portal, CSV und API, konfigurierte Überwachung, Fallbearbeitung und Entscheidungsnachweise unterstützen. Der Kunde bestimmt die anwendbaren Quellen, Parteien, Richtlinien und das endgültige rechtliche Ergebnis.

Häufig gestellte Fragen

Welche Sanktionslisten sollte ein in den VAE reguliertes Unternehmen überprüfen?

Die EOCN-Leitlinien nennen die UAE Local Terrorist List und die UNSC Consolidated List für die Umsetzung gezielter Finanzsanktionen in den VAE.¹ Andere Regelungen, etwa Sanktionen der EU, des Vereinigten Königreichs oder der USA, sollten nur dann in die Kontrolle einbezogen werden, wenn sie für das Unternehmen, die Tätigkeit, die Transaktion, die Gruppe oder eine andere relevante Beziehung gelten.

Benötigt jedes Unternehmen in den VAE eine kontinuierliche Sanktionsüberprüfung in Echtzeit?

Nein, nicht als allgemeingültige Regel. Aktuelle Aufsichtsmaterialien sehen für bestimmte beaufsichtigte Unternehmen laufende oder regelmäßige Prüfungen vor und behandeln Datenbankprüfungen, Listenänderungen und Transaktionskontrollen. Das Unternehmen sollte die für es geltenden Regeln bestimmen und daraus dokumentierte Auslöser und Leistungsanforderungen ableiten.

Sind die Anforderungen an DIFC-, ADGM- und Onshore-Sanktionen in den VAE identisch?

Nein. Die geltenden föderalen TFS-Pflichten interagieren mit unterschiedlichen Aufsichtsrahmen. DIFC-relevante Personen verwenden das DFSA-AML-Modul, ADGM-relevante Personen verwenden das FSRA-AML-Regelwerk und Onshore-Institutionen oder DNFBPs folgen ihrem geltenden Bundes- und Aufsichtsweg.

Benötigt ein Sanktionskandidat eine automatische Sperrung oder Ablehnung?

Nein. Ein möglicher Treffer ist der Ausgangspunkt einer Prüfung. Die Identität, die Einstufung des Treffers, die geltenden Beschränkungen, Eigentums-/Kontrollfakten und das aktuelle behördliche Verfahren bestimmen die erforderliche rechtliche und betriebliche Reaktion. Teilweise und bestätigte Übereinstimmungen sollten dem genehmigten TFS-Eskalationsprozess für die VAE des Unternehmens folgen.

Kann ein nicht gelistetes Unternehmen dennoch ein Risiko für Sanktionen in den VAE schaffen?

Ja. Die EOCN-Leitlinien richten sich an Unternehmen, die sich direkt oder indirekt im Eigentum benannter Parteien befinden oder von diesen kontrolliert werden, sowie an Personen, die in ihrem Namen oder auf ihre Anweisung handeln.¹ Die Analyse ist faktenspezifisch und sollte nicht durch eine Formel für ausländische Sanktionen ersetzt werden.

Ist ein TFS-Trefferbericht dasselbe wie ein STR oder SAR?

Nein. EOCN-Materialien unterscheiden zwischen der Bearbeitung von Treffern durch bestimmte Personen und der Meldung verdächtiger Aktivitäten, während goAML den FIU-Weg der VAE für STR/SAR-Einreichungen durch meldende Stellen im Geltungsbereich bereitstellt.⁷⁸ Überprüfen Sie die aktuellen offiziellen Formulare und Fristen für den konkreten Fall.

Wird ein PEP in den VAE automatisch sanktioniert?

Nein. Beim PEP-Status handelt es sich um eine risikorelevante Einstufung, nicht um einen Sanktionsstatus oder einen Hinweis auf eine Straftat. Zu den einschlägigen PEP-Kontrollen können Genehmigungen, Prüfungen zur Herkunft des Vermögens und der Mittel sowie eine verstärkte Überwachung gehören. Sie begründen kein automatisches Sanktionsverbot.

Was sollte ein Käufer aus den VAE in der Software zur Sanktionsprüfung testen?

Testen Sie die anwendbare Provenienz der Quellen in den Vereinigten Arabischen Emiraten und den Vereinten Nationen, den Umgang mit Aktualisierungen, arabische und transliterierte Identitäten, Prüfabläufe von Kunden und Transaktionsparteien, den Eigentumskontext, eindeutige Trefferkategorien, die Übergabe an die Meldeverfahren und rekonstruierbare Nachweise. Verwenden Sie für die vollständige Beschaffungsmethode den allgemeinen Leitfaden für den Kauf von Sanktionssoftware.