Screening-Protokoll für Prüfer und Bank: was hineingehört
Audit · 2. August 2026 · 6 Min. Lesezeit · SanktionsRadar RedaktionIm Audit zählt nicht, dass Sie screenen, sondern dass Sie es belegen können. Die Frage von Prüfern und Banken lautet nie, ob Sie eine Software haben — sie lautet: Zeigen Sie mir die Prüfung dieses Geschäftspartners vom letzten Quartal. Wer darauf nur mit einer Bildschirmansicht antworten kann, hat kein Protokoll. Dieser Beitrag zeigt, welche Angaben ein Screening-Protokoll enthalten muss, wie Treffer dokumentiert werden und warum die Aufsichtspflicht der eigentliche Hebel ist.
Warum das Protokoll und nicht das Screening geprüft wird
Der Rahmen, in dem Sanktionsverstöße geahndet werden, ist deutlich: Wer gegen eine unmittelbar geltende Vorschrift eines EU-Rechtsakts zur Durchführung wirtschaftlicher Sanktionsmaßnahmen verstößt, wird nach § 18 Abs. 1 AWG mit Freiheitsstrafe von drei Monaten bis zu fünf Jahren bestraft. Fahrlässige Begehung ist Ordnungswidrigkeit; die Geldbuße reicht nach § 19 Abs. 6 AWG bis zu 500.000 Euro.
Der Punkt, der Unternehmen betrifft, steht aber woanders. Nach § 19 Abs. 7 und 8 AWG beträgt das Höchstmaß der Geldbuße gegen das Unternehmen 40 Millionen Euro — sowohl bei einer vorsätzlichen Straftat nach § 18 Abs. 1 AWG als auch bei einer Ordnungswidrigkeit nach § 130 Abs. 1 OWiG in Verbindung damit.
§ 130 OWiG erfasst die Verletzung der Aufsichtspflicht: Wer die erforderlichen Aufsichtsmaßnahmen unterlässt und dadurch eine Zuwiderhandlung ermöglicht, haftet dafür — auch ohne selbst gehandelt zu haben.
Ein dokumentiertes Screening ist genau die Aufsichtsmaßnahme, deren Fehlen hier sanktioniert wird. Deshalb wird im Audit die Dokumentation geprüft und nicht die Software.
Die Beträge sind Höchstrahmen, keine Regelbußen — sie erklären aber, warum Banken und Prüfer beim Nachweis so genau sind.
Die sechs Angaben je Prüfung
Ein Protokoll, das im Audit trägt, beantwortet zu jeder einzelnen Prüfung sechs Fragen. Fehlt eine, ist die Prüfung nicht rekonstruierbar:
| Angabe | Warum sie gebraucht wird |
|---|---|
| Geprüfter Name in der geprüften Schreibweise | Ohne die exakte Eingabe lässt sich das Ergebnis nicht nachvollziehen — Transliterationen führen zu anderen Treffern |
| Zeitpunkt der Prüfung mit Datum und Uhrzeit | Belegt, dass vor dem Geschäftsvorfall geprüft wurde und nicht danach |
| Geprüfte Quellen und deren Stand | Eine Liste ist nur so gut wie ihr Importdatum |
| Ergebnis mit Ähnlichkeitswert | Trennt den Volltreffer von der Namensähnlichkeit |
| Bewertung bei einem Treffer | Wer hat entschieden, auf welcher Grundlage, mit welchem Ergebnis |
| Auslösender Anlass | Neukunde, Bestandsprüfung, Listenaktualisierung oder Auftrag — er begründet, warum genau jetzt geprüft wurde |
Die dritte Zeile ist die, an der die meisten Protokolle scheitern. Ein Screening gegen eine Liste vom letzten Quartal ist kein aktuelles Screening — und ohne notierten Stand lässt sich später nicht zeigen, gegen welchen Datenbestand geprüft wurde.
Zur Quellenlage gehört Ehrlichkeit. SanktionsRadar screent gegen die konsolidierte Liste des UN-Sicherheitsrats und gegen die SDN-Liste des US-amerikanischen OFAC; beide werden automatisch importiert. Die konsolidierte EU-Liste ist nur per Datei-Import möglich und derzeit nicht automatisiert. Im Protokoll steht deshalb genau das — und niemals die Formulierung, es sei gegen alle Sanktionslisten geprüft worden. Ein Prüfer, der diese Behauptung findet und widerlegt, zweifelt danach am ganzen Dokument.
Wie ein Treffer dokumentiert wird
Ein Treffer ist ein Prüffall, keine automatische Sperrung. Diese Unterscheidung ist nicht nur eine Frage der Haltung, sondern der Dokumentation: Prüfer wollen sehen, dass jemand entschieden hat — und woraufhin.
- Ähnlichkeit ab 0,95. Sehr hohe Übereinstimmung, auch über hinterlegte Aliase. Der Vorgang gehört angehalten, bis die Einzelprüfung abgeschlossen ist.
- Ähnlichkeit ab 0,85. Prüffall. Häufig eine Namensgleichheit ohne Personenidentität — sie muss trotzdem dokumentiert ausgeräumt werden.
- Kein Treffer über der Schwelle. Auch dieses Ergebnis gehört ins Protokoll. Der Nachweis, dass geprüft wurde, ist der eigentliche Zweck.
Für die Einzelprüfung eines Treffers hat sich eine feste Struktur bewährt:
- Unterscheidungsmerkmale erheben Geburtsdatum, Geburtsort, Staatsangehörigkeit, Sitz, Registernummer. Ein Name allein trennt zwei Personen nicht.
- Abgleich mit dem Listeneintrag Welche Merkmale stimmen überein, welche widersprechen sich? Beides notieren, auch das Übereinstimmende.
- Entscheidung mit Begründung Personenidentität bestätigt oder ausgeschlossen — mit den Merkmalen, die den Ausschlag gegeben haben.
- Verantwortliche Person und Datum Wer entschieden hat. Eine Entscheidung ohne Namen ist im Audit keine Entscheidung.
Führen Sie ausgeräumte Treffer nicht ins Leere, sondern als abgeschlossene Fälle mit Begründung. Bei der nächsten Listenaktualisierung taucht derselbe Name wieder auf — und ohne dokumentierte Vorentscheidung wird er ein zweites Mal geprüft.
Wie oft geprüft werden sollte und was ein anlassbezogener Lauf ist, steht in Screening-Intervall bei Neukunden und Bestandskunden. Die Fehler, die dabei am häufigsten passieren, sammelt Screening-Fehler vermeiden.
Was Bank und Prüfer typischerweise sehen wollen
Die Anforderungen unterscheiden sich in der Form, selten im Inhalt. In der Praxis werden drei Dinge verlangt, und alle drei entstehen aus demselben Protokoll:
- Der Einzelnachweis: ein Geschäftspartner, ein Zeitpunkt, ein Ergebnis. Die häufigste Stichprobe.
- Der Zeitraumnachweis: alle Prüfungen eines Quartals, um zu zeigen, dass geprüft wurde und nicht nur geprüft werden könnte.
- Die Verfahrensbeschreibung: wer prüft, wann, gegen welche Quellen, nach welchen Schwellen und wer über Treffer entscheidet.
Der dritte Punkt ist der, den Software nicht liefert: Die Verfahrensbeschreibung ist ein Dokument Ihres Unternehmens. Sie sollte die Schwellenwerte nennen, die Zuständigkeit für Trefferentscheidungen festlegen und beschreiben, wie die EU-Liste per Datei-Import eingebunden wird.
SanktionsRadar erzeugt die ersten beiden Nachweise aus den gespeicherten Prüfungen: je Prüfung Name, Zeitpunkt, Quellenstand, Ergebnis und Ähnlichkeitswert, dazu die dokumentierte Entscheidung bei Treffern. Für die Verfahrensbeschreibung liefert die Software die Angaben — schreiben und verantworten müssen Sie sie selbst.
Was SanktionsRadar ausdrücklich nicht ist: eine Rechtsberatung und keine Aussage darüber, ob ein Geschäft zulässig ist. Ein Treffer ist ein Prüffall, den ein Mensch entscheidet. Rechtsgrundlagen im Hintergrund sind unter anderem die Dual-Use-Verordnung (EU) 2021/821 und die Russland-Verordnung (EU) Nr. 833/2014.
Häufige Fragen
Was muss ein Screening-Protokoll enthalten?
Je Prüfung sechs Angaben: den geprüften Namen in der geprüften Schreibweise, Datum und Uhrzeit, die geprüften Quellen mit ihrem Stand, das Ergebnis mit Ähnlichkeitswert, bei einem Treffer die dokumentierte Bewertung mit verantwortlicher Person und den Anlass der Prüfung. Auch Prüfungen ohne Treffer gehören ins Protokoll.
Gegen welche Listen wird geprüft?
SanktionsRadar screent gegen die konsolidierte Liste des UN-Sicherheitsrats und die SDN-Liste des US-amerikanischen OFAC; beide werden automatisch importiert. Die konsolidierte EU-Liste ist per Datei-Import möglich und derzeit nicht automatisiert. Formulierungen wie Prüfung gegen alle Sanktionslisten gehören nicht in ein Protokoll.
Muss ich bei einem Treffer das Geschäft sofort stoppen?
Ein Treffer ist zunächst ein Prüffall und keine automatische Sperrung. Bei sehr hoher Übereinstimmung sollte der Vorgang angehalten werden, bis die Einzelprüfung abgeschlossen ist. Entscheidend ist, dass die Prüfung dokumentiert wird: welche Merkmale verglichen wurden, wer entschieden hat und mit welchem Ergebnis.
Welche Bußgelder drohen bei Sanktionsverstößen?
Vorsätzliche Verstöße gegen unmittelbar geltende EU-Sanktionsvorschriften sind nach § 18 Abs. 1 AWG mit Freiheitsstrafe von drei Monaten bis zu fünf Jahren bedroht. Fahrlässige Begehung ist Ordnungswidrigkeit mit einer Geldbuße bis zu 500.000 Euro (§ 19 Abs. 6 AWG). Gegen Unternehmen beträgt das Höchstmaß der Geldbuße 40 Millionen Euro (§ 19 Abs. 7 und 8 AWG). Das sind Höchstrahmen, keine Regelbußen.
Warum reicht ein Screenshot aus der Software nicht?
Weil ihm die Angaben fehlen, die den Nachweis tragen: der Stand der geprüften Listen, der Anlass der Prüfung und die verantwortliche Person bei einer Trefferentscheidung. Ein Screenshot zeigt ein Ergebnis, ein Protokoll zeigt eine nachvollziehbare Prüfung.
Das Wichtigste in Kürze
Geprüft wird im Audit nicht Ihre Software, sondern Ihr Protokoll. Es braucht je Prüfung sechs Angaben: Name in der geprüften Schreibweise, Zeitpunkt, Quellen mit Stand, Ergebnis mit Ähnlichkeitswert, Bewertung bei Treffern und den Anlass.
Nennen Sie die Quellenlage exakt: UN und OFAC automatisch, EU-Liste per Datei-Import. Die Behauptung, gegen alle Sanktionslisten zu prüfen, beschädigt im Audit das ganze Dokument.
Der Hebel hinter der Dokumentationspflicht ist die Aufsichtspflicht: Nach § 19 Abs. 7 und 8 AWG beträgt das Höchstmaß der Unternehmensgeldbuße 40 Millionen Euro, auch über § 130 Abs. 1 OWiG.
Dieser Beitrag ersetzt keine Rechtsberatung. Ein Treffer ist ein Prüffall, keine automatische Sperrung — die dokumentierte Einzelprüfung bleibt Ihre Aufgabe.