Export-Compliance- und Sanktionsprüfung: OFAC-, BIZ- und EU-Vorschriften

Im Jahr 2025 verhängte das Office of Foreign Assets Control (OFAC) des US-Finanzministeriums Strafen in Höhe von über 1,5 Milliarden US-Dollar für Sanktionsverstöße. Das Bureau of Industry and Security (BIS) verweigerte Hunderten von Unternehmen Exportprivilegien. Und die EU weitete ihre Sanktionsprogramme auf neue Sektoren und Regionen aus. Für jedes Unternehmen, das im internationalen Handel tätig ist – einschließlich digitaler Dienstleistungen, Softwarelizenzierung und grenzüberschreitendem E-Commerce – ist die Einhaltung der Exportbestimmungen zu einer entscheidenden betrieblichen Anforderung geworden.

Die Folgen der Nichteinhaltung sind gravierend: Strafstrafen von bis zu 1 Million US-Dollar und 20 Jahre Haft pro Verstoß für vorsätzliche Verstöße gegen die Exportkontrolle, zivilrechtliche Strafen von bis zu 330.000 US-Dollar pro Verstoß für Verstöße gegen die OFAC-Sanktionen und das existenzielle Risiko, vom US-Finanzsystem abgeschnitten zu werden.

Wichtige Erkenntnisse

• Die Überprüfung der Sanktionen muss vor jeder Transaktion erfolgen, nicht nur beim Kunden-Onboarding
• Software- und Technologieexporte erfordern eine Klassifizierung (ECCN), auch wenn keine physischen Waren grenzüberschreitend sind
• Die Sanktionsprogramme der EU, der USA und des Vereinigten Königreichs unterscheiden sich erheblich – die Einhaltung des einen garantiert nicht die Einhaltung der anderen
• Automatisierte Screening-Tools sind im großen Maßstab unerlässlich, für mögliche Übereinstimmungen ist jedoch eine menschliche Überprüfung erforderlich

---

Die regulatorische Landschaft verstehen

Die Export-Compliance umfasst zwei unterschiedliche, aber miteinander verbundene Regelungen: Sanktionsprogramme (die Transaktionen mit bestimmten Ländern, Unternehmen und Einzelpersonen einschränken) und Exportkontrollen (die den Transfer bestimmter Waren, Software und Technologie einschränken).

US-Sanktionsprogramme (OFAC)

OFAC verwaltet und setzt Wirtschaftssanktionsprogramme auf der Grundlage der US-Außenpolitik und nationaler Sicherheitsziele durch. Diese Sanktionen gehören zu den umfassendsten und am aggressivsten durchgesetzten der Welt.

Wichtige OFAC-Listen:

Umfassende Sanktionsprogramme verbieten praktisch alle Transaktionen mit bestimmten Ländern: Kuba, Iran, Nordkorea, Syrien und den Regionen Krim/Donezk/Luhansk in der Ukraine.

Sekundäre Sanktionen erweitern die Reichweite der US-Sanktionen auf Nicht-US-Personen. Ein europäisches Unternehmen, das bedeutende Transaktionen mit iranischen Unternehmen ermöglicht, kann selbst von den USA sanktioniert werden, auch wenn es nicht direkt der US-Gerichtsbarkeit unterliegt.

US-Exportkontrollen (BIS)

Das Büro für Industrie und Sicherheit im Handelsministerium verwaltet die Export Administration Regulations (EAR). Diese Vorschriften regeln den Export von „Dual-Use“-Gütern – Gütern, Software und Technologie, die sowohl kommerzielle als auch militärische/geheimdienstliche Anwendungen haben.

Wichtige BIS-Listen:

EU-Sanktionen

Die EU verfügt über eigene Sanktionsprogramme, die für alle EU-Mitgliedstaaten, EU-Bürger und in der EU ansässige Unternehmen rechtsverbindlich sind.

Hauptmerkmale:

• EU-Sanktionen werden durch EU-Verordnungen umgesetzt (unmittelbar geltendes Recht in allen Mitgliedsstaaten)
• Sanktionsziele können von den US-Listen abweichen (eine von den USA sanktionierte Person wird nicht unbedingt von der EU sanktioniert und umgekehrt)
• Die EU führt die Konsolidierte Finanzsanktionsliste
• Sektorspezifische Sanktionen zielen auf bestimmte Branchen (Energie, Finanzen, Verteidigung, Technologie) in sanktionierten Ländern ab
• EU-Mitglieder verfügen über nationale Durchsetzungsbehörden (z. B. OFSI im Vereinigten Königreich nach dem Brexit, niederländische Sanktionsbehörde).

---

Klassifizierung: ECCN- und HTS-Codes

Bevor Sie feststellen können, ob für einen Export eine Genehmigung erforderlich ist, müssen Sie klassifizieren, was Sie exportieren.

Exportkontrollklassifikationsnummer (ECCN)

ECCNs sind fünfstellige alphanumerische Codes, die den Grad der Exportkontrolle angeben, die auf einen Artikel angewendet wird:

• Erstes Zeichen (0-9): Kategorie (z. B. 5 = Telekommunikation und Informationssicherheit)
• Zweites Zeichen (A-E): Produktgruppe (A = Systeme/Geräte, D = Software, E = Technologie)
• Verbleibende Zeichen: Identifizieren Sie bestimmte Elemente innerhalb der Kategorie

Beispielklassifizierungen relevant für Technologieunternehmen:

Überlegungen zu Software und Technologie

Viele Technologieunternehmen sind überrascht, als sie erfahren, dass Softwareexporte kontrolliert werden:

• Verschlüsselungssoftware über bestimmten Schwellenwertstärken erfordert eine Klassifizierung und möglicherweise Exportlizenzen
• Für Open-Source-Verschlüsselungssoftware gilt eine spezifische Ausnahme (öffentlich verfügbar), die jedoch eine Benachrichtigung an BIS erfordert
• Cloud-Dienste können einen „deemed export“ darstellen, wenn sie von Ausländern genutzt werden
• SaaS-Produkte mit Verschlüsselungsfunktionen erfordern eine Klassifizierung, auch wenn kein physisches Produkt eine Grenze überschreitet
• Technologietransfer umfasst technische Daten, Schulungsmaterialien und technische Unterstützung

HTS-Codes

Codes des harmonisierten Zolltarifs werden für Zollzwecke verwendet und bestimmen die geltenden Tarife. Obwohl sie von der ECCN-Klassifizierung getrennt sind, müssen HTS-Codes für Zollanmeldungen korrekt sein. Eine falsche Klassifizierung kann zu unterbezahlten Zöllen, Einfuhrverzögerungen und Strafen führen.

---

Aufbau eines Sanktions-Screening-Programms

Workflow für die Transaktionsüberprüfung

Eine wirksame Sanktionsprüfung erfordert die Überprüfung mehrerer Berührungspunkte bei jeder Transaktion:

1. Kunden-Onboarding. Überprüfen Sie Kundennamen, Aliase, Adressen und wirtschaftliche Eigentümer anhand aller geltenden Sanktionslisten, bevor Sie eine Geschäftsbeziehung aufbauen.
2. Transaktionsüberprüfung. Überprüfen Sie jede Transaktion auf sanktionierte Parteien, Länder und Endverwendungsbedenken. Dazu gehören der Käufer, der Warenempfänger, der Endverbraucher und etwaige Zwischenhändler.
3. Zahlungsüberprüfung. Überprüfen Sie die Zahlungsdetails für sanktionierte Banken, Finanzinstitute und Begünstigte.
4. Laufende Überwachung. Überprüfen Sie bestehende Kunden erneut, wenn Sanktionslisten aktualisiert werden (OFAC aktualisiert seine SDN-Liste täglich).
5. Eskalation und Überprüfung. Potenzielle Übereinstimmungen müssen von einem geschulten Compliance-Beauftragten überprüft werden. Falsch positive Ergebnisse (häufig bei namensbasiertem Screening) müssen dokumentiert und behoben werden.

Screening-Tool-Vergleich

Integration von Screening in ERP-Systeme

Für Unternehmen, die Odoo oder ähnliche ERP-Systeme nutzen, sollte die Sanktionsprüfung an wichtigen Prozesspunkten integriert werden:

• Kontakterstellung: Automatische Überprüfung, wenn ein neuer Kunde oder Lieferant hinzugefügt wird
• Auftragsbestätigung: Erneute Prüfung vor der Auftragsbearbeitung
• Bestellgenehmigung: Überprüfen Sie Anbieter und Versandländer
• Versand/Logistik: Lieferadressen und Spediteure prüfen
• Zahlungsabwicklung: Überprüfen Sie vor der Auszahlung die Bankverbindung

Die Überprüfung sollte nicht blockierend auf klare Pässe und blockierend (mit erforderlicher Compliance-Überprüfung) auf potenzielle Übereinstimmungen erfolgen.

---

Elemente des Compliance-Programms

OFAC, BIZ und EU-Regulierungsbehörden betonen alle, dass ein Compliance-Programm ein wesentlicher mildernder Faktor im Falle eines Verstoßes ist. Tatsächlich berücksichtigt OFAC bei der Festlegung von Strafen ausdrücklich die Angemessenheit eines Compliance-Programms.

Die fünf wesentlichen Komponenten des OFAC

Das OFAC-Framework für Compliance-Verpflichtungen identifiziert fünf wesentliche Komponenten:

1. Verpflichtung des Managements. Die Geschäftsleitung unterstützt und finanziert das Compliance-Programm. Es gibt einen benannten Compliance-Beauftragten mit ausreichenden Befugnissen und Unabhängigkeit.

2. Risikobewertung. Das Unternehmen identifiziert und bewertet sein Sanktionsrisiko basierend auf Kunden, Produkten, Dienstleistungen, Regionen und Kanälen. Die Risikobewertung wird jährlich aktualisiert.

3. Interne Kontrollen. Richtlinien, Verfahren und Prozesse, die möglicherweise verbotene Transaktionen identifizieren, unterbinden, eskalieren und melden. Dazu gehören Screening-Tools, Genehmigungsworkflows und die Führung von Aufzeichnungen.

4. Testen und Auditieren. Unabhängige Prüfung der Wirksamkeit des Compliance-Programms. Dazu gehören das Testen von Screening-Tools (erfassen sie bekannte sanktionierte Parteien?), das Überprüfen von Eskalationsverfahren und die Prüfung von Schulungsaufzeichnungen.

5. Schulungen. Regelmäßige, rollenspezifische Schulungen für alle Mitarbeiter, die an Transaktionen beteiligt sind, die Sanktionen nach sich ziehen könnten. Schulungsunterlagen müssen geführt werden.

Anforderungen an die Aufbewahrung von Aufzeichnungen

Führen Sie Aufzeichnungen über:

• Alle Screening-Ergebnisse (positiv und negativ)
• Dokumentation der Matchauflösung (wie potenzielle Matches untersucht und geklärt wurden)
• Lizenzanträge und -bestimmungen
• Blockierte oder abgelehnte Transaktionen
• Schulungsunterlagen und -materialien
• Risikobewertungen und Aktualisierungen
• Richtlinien und Verfahren des Compliance-Programms
• Selbstanzeigen (bei festgestellten Verstößen)

Aufbewahrungsfrist: OFAC verlangt, dass Aufzeichnungen mindestens fünf Jahre lang aufbewahrt werden. BIS benötigt fünf Jahre ab dem Exportdatum. Die beste Vorgehensweise besteht darin, den längeren der beiden Zeiträume beizubehalten.

Detaillierte Audit-Trail-Anforderungen in allen Compliance-Frameworks finden Sie in unserem Leitfaden zur Audit-Trail-Compliance.

---

Häufige Verstöße und wie man sie vermeidet

Verstoß 1: Fehler beim Screening

Der häufigste Verstoß besteht einfach darin, dass die Überprüfung überhaupt nicht erfolgt oder dass die Überprüfung beim Onboarding erfolgt, jedoch nicht fortlaufend. Sanktionslisten ändern sich täglich – ein Kunde, der letzten Monat clean war, kann heute sanktioniert werden.

Prävention: Implementieren Sie eine automatisierte erneute Überprüfung, die durch Listenaktualisierungen ausgelöst wird.

Verstoß 2: Unzureichende Namenszuordnung

Namensbasiertes Screening ist grundsätzlich unvollkommen. Häufige Probleme sind Transliterationsvarianten (arabische, chinesische, kyrillische Namen), gebräuchliche Namen, die übermäßig viele Fehlalarme erzeugen, und Alias-/AKA-Zuordnungsfehler.

Vorbeugung: Verwenden Sie Fuzzy-Matching-Algorithmen, konfigurieren Sie geeignete Übereinstimmungsschwellenwerte und überprüfen Sie potenzielle Übereinstimmungen stets manuell.

Verstoß 3: Ignorieren des wirtschaftlichen Eigentums

Die 50 %-Regel des OFAC besagt, dass Unternehmen, die sich zu 50 % oder mehr im Eigentum einer sanktionierten Person befinden, selbst als sanktioniert gelten, auch wenn das Unternehmen nicht auf der SDN-Liste steht.

Prävention: Führen Sie für alle wichtigen Geschäftsbeziehungen eine Überprüfung der wirtschaftlichen Eigentümer durch. Dies ist insbesondere bei B2B-Transaktionen wichtig.

Verstoß 4: Unbefugter Re-Export

Aus den USA exportierte Waren, Software oder Technologie können Wiederausfuhrkontrollen unterliegen. Wenn Ihre europäische Tochtergesellschaft Software mit Ursprung in den USA erhält und diese in ein Drittland vertreibt, unterliegt dieser Reexport den US-Exportkontrollen.

Prävention: Verfolgen Sie die Herkunft von Waren und Technologie in Ihrer gesamten Lieferkette. Nehmen Sie Reexport-Beschränkungsklauseln in Vertriebsvereinbarungen auf.

Hinweise dazu, wie Export-Compliance in einen umfassenderen Compliance-Rahmen passt, finden Sie in unserem Handbuch zur Unternehmens-Compliance.

---

Häufig gestellte Fragen

Müssen sich Softwareunternehmen um Exportkontrollen kümmern?

Ja. Software unterliegt ausdrücklich den US-Exportkontrollen (EAR), den Dual-Use-Vorschriften der EU und dem Wassenaar-Arrangement. Verschlüsselungssoftware, Cybersicherheitstools, KI/ML-Software für bestimmte Anwendungen und Technologie im Zusammenhang mit kontrollierten Gegenständen erfordern alle eine Klassifizierung. Selbst über die Cloud bereitgestellte SaaS-Produkte können nach US-Vorschriften einen „Export“ oder „deemed export“ darstellen.

Was ist der Unterschied zwischen Sanktionen und Exportkontrollen?

Durch Sanktionen wird eingeschränkt, mit wem Sie Geschäfte tätigen können (bestimmte Länder, Unternehmen und Einzelpersonen). Exportkontrollen schränken ein, was Sie exportieren dürfen (bestimmte Waren, Software und Technologie). Eine Transaktion kann beides gleichzeitig verletzen – zum Beispiel der Export kontrollierter Verschlüsselungssoftware an ein sanktioniertes Unternehmen. Sie müssen beide Regelungen unabhängig voneinander einhalten.

Wie gehen wir mit Fehlalarmen beim Screening um?

Fehlalarme sind unvermeidlich, insbesondere bei gebräuchlichen Namen. Richten Sie einen dokumentierten Überprüfungsprozess ein: Wenn eine potenzielle Übereinstimmung gemeldet wird, untersucht ein geschulter Compliance-Beauftragter anhand zusätzlicher Identifikatoren (Geburtsdatum, Adresse, Nationalität, Geschäftsdaten). Wenn sich herausstellt, dass die Übereinstimmung falsch positiv ist, dokumentieren Sie die Begründung und geben Sie die Transaktion frei. Führen Sie eine Liste „freigegebener Parteien“, um künftige Falschmeldungen für dasselbe Unternehmen zu reduzieren, führen Sie jedoch regelmäßig eine erneute Überprüfung durch.

Gibt es Auswirkungen auf die Exportkontrolle für Open-Source-Software?

Open-Source-Software ist im Allgemeinen von den US-Exportkontrollen im Rahmen der Ausnahme „öffentlich verfügbar“ ausgenommen, jedoch mit wichtigen Einschränkungen. Sie müssen beim BIS und der NSA eine Meldung einreichen, wenn Sie den Verschlüsselungsquellcode öffentlich zugänglich machen. Und die Ausnahme gilt nur für Software, die wirklich öffentlich verfügbar ist – proprietäre Modifikationen oder benutzerdefinierte Builds sind möglicherweise nicht qualifiziert.

Was sollen wir tun, wenn wir in der Vergangenheit einen Verstoß gegen Sanktionen feststellen?

OFAC empfiehlt nachdrücklich die freiwillige Selbstauskunft (VSD). Unternehmen, die Verstöße freiwillig offenlegen, erhalten in der Regel deutlich geringere Strafen – OFAC betrachtet VSD als einen wichtigen mildernden Faktor. Beauftragen Sie sofort einen Rechtsbeistand, stoppen Sie die verbotene Aktivität, bewahren Sie alle relevanten Aufzeichnungen auf und bereiten Sie eine umfassende Offenlegung gegenüber dem OFAC vor, die die Fakten, die Compliance-Verstöße, die dies ermöglicht haben, und die von Ihnen ergriffenen Abhilfemaßnahmen umfasst.

---

Was kommt als nächstes?

Die Einhaltung von Exportbestimmungen und die Überprüfung von Sanktionen sind für international tätige Unternehmen keine Option – die Strafen bei Nichteinhaltung sind hoch und die Durchsetzung verschärft sich. Der Aufbau eines robusten Compliance-Programms mit automatisierter Überprüfung, klaren Eskalationsverfahren und umfassender Schulung ist eine Investition, die Ihr Unternehmen vor existenziellen Risiken schützt.

ECOSIRE unterstützt internationale Unternehmen beim Aufbau konformer Handelsabläufe. Unsere Odoo ERP-Implementierungen können die Sanktionsprüfung an jedem Transaktionskontaktpunkt integrieren, vom Kunden-Onboarding bis zur Versandabwicklung. Für KI-gestützte Compliance-Überwachung und Risikobewertung erkunden Sie unsere OpenClaw AI-Plattform. Kontaktieren Sie uns, um Ihre Export-Compliance-Anforderungen zu besprechen.

---

Veröffentlicht von ECOSIRE – Unterstützung von Unternehmen bei der Skalierung mit KI-gestützten Lösungen in Odoo ERP, Shopify eCommerce und OpenClaw AI.