I. Einführung in die Thematik

Die Anforderungen an Interne Revision, Compliance und Governance haben sich mit den Global Internal Audit Standards (GIAS) grundlegend verschärft. Was bislang als „Best Practice“ galt, wird zunehmend zum verbindlichen Maßstab – auch im Hinblick auf persönliche Haftungsrisiken für das C-Level.

Dieser Beitrag zeigt, was heute eine wirksame Interne Revision tatsächlich ausmacht: nicht nur formal implementierte Strukturen, sondern ein belastbares, prüfbares und GIAS-konformes Revisionssystem, das Risiken frühzeitig erkennt und wirksam adressiert. Ziel ist es, die zentralen Elemente guter Revisionspraxis systematisch aufzufächern – von Governance und Prüfmethodik bis hin zu Qualitätssicherung und Dokumentation.

Wer die GIAS nicht konsequent berücksichtigt, riskiert nicht nur Defizite in der Prüfungsqualität, sondern auch eine angreifbare Entlastungsbasis im Haftungsfall. Dieser Text liefert die notwendige Orientierung, um die Interne Revision strategisch, regulatorisch und haftungssicher neu auszurichten.

Hier ist die Übersicht der wesentlichen zeitlichen Fenster und Termine für die Interne Revision im Jahr 2026, übersichtlich und komplett ohne Fußnoten:

1. Spezifische Stichtage und Neuerungen in 2026

• 5. Februar 2026 – Inkrafttreten der Cybersecurity-Vorgaben:

  Ab diesem Datum werden die themenspezifischen Anforderungen (Topical Requirements) des Institute of Internal Auditors (IIA) für den Bereich Cybersicherheit verbindlich. Sie müssen ab diesem Stichtag zwingend in die entsprechenden Prüfungstätigkeiten einbezogen werden.

• Laufendes Jahr 2026 – Öffentliche Konsultationen:

Das IIA plant für diesen Zeitraum weitere Konsultationen zu neuen „Topical Requirements“.

Im Fokus stehen dabei voraussichtlich die Bereiche Organisationsverhalten (Organisational Behaviour) und organisatorische Widerstandsfähigkeit (Organisational Resilience).

2. Jährliche und wiederkehrende Fristen

• Jährliche Risikobeurteilung und Revisionsplanung:

  Gemäß Standard 9.2 der neuen Global Internal Audit Standards (GIAS) muss die Revisionsleitung einen Prüfungsplan erstellen, der auf einer dokumentierten Beurteilung der Strategien, Ziele und Risiken der Organisation basiert. Diese Evaluierung ist mindestens jährlich durchzuführen. Hierbei wird oft die aktuelle Ausgabe der Studie „Risk in Focus“ (für 2026) als Maßstab für wesentliche und aufkommende Risiken herangezogen.
  
  

• Fünfjahres-Turnus für das External Quality Assessment (EQA):

  Eine externe Qualitätsbeurteilung der Internen Revision ist alle fünf Jahre vorgeschrieben. Für Abteilungen, die ihr letztes Assessment im Jahr 2021 absolviert haben, steht 2026 die nächste Überprüfung an. Diese erfolgt dann bereits nach dem aktualisierten Quality Assessment Manual und den neuen Kriterien der GIAS.

3. Der formale Rahmen

• Vollständige GIAS-Konformität:

  Die allgemeine Übergangsfrist für die neuen Global Internal Audit Standards ist bereits am 9. Januar 2025 abgelaufen. Das Jahr 2026 stellt somit einen Zeitraum dar, in dem von den Revisionsabteilungen erwartet wird, dass sie lückenlos und vollständig nach dem neuen Regelwerk arbeiten.

Eine solide, gut funktionierende Interne Revision muss heute mehrschichtige Pflichtblöcke erfüllen: Governance/Organisation, fachlich‑methodische Standards und Qualitätssicherung/Beweisvorsorge.

1. Governance und Organisation

• Klare Verankerung im Mandat/schriftlich fixierten Ordnung: Selbstverpflichtung auf die GIAS als Berufsstandard, definierte Aufgaben, Unabhängigkeit, Berichtslinien und Zugriffrechte.
  
  
• Organpflichten erfüllen: Vorstand/Geschäftsführung müssen eine angemessen organisierte, mit Ressourcen ausgestattete Revision einrichten (insb. i.S.v. § 93 AktG, § 43 GmbHG, § 25a KWG analog zu den inhaltlichen GIAS‑Vorgaben).

Kernpflicht: Die Revisionsleitung hat eine Revisionsstrategie zu konzipieren, jährlich mit Geschäftsleitung und Überwachungsorgan abzustimmen und Leistungsziele zur Genehmigung vorzulegen.

2. Fachlich‑methodische Standards

• Einhaltung der GIAS‑Domänen und Prinzipien: Zweck, Ethik/Professionalität, Governance der Revision, Leitung der Revision und Erbringung von Revisionsleistungen sind entlang der 15 Prinzipien und 52+ Standards umzusetzen.
  
  
• Risikoorientierte Prüfungsplanung und Durchführung: Revisionsplan, Prüfungsprogramme, Einsatz von Datenanalysen/Technologie (z.B. KI, Data Analytics) sowie die enge Verzahnung mit GRC‑Prozessen sind explizit gefordert.

3. Qualitätssicherung und externe Quality Assessments

• Internes QS‑System: Vorgaben zur Leistungsmessung, regelmäßige interne Reviews und jährliche Beurteilung der Revisionsleitung durch das Organ sind vorgesehen.
  
  
• Externe Qualitätsbeurteilung: Die GIAS und DIIR‑3 verlangen periodische externe Quality Assessments, künftig mit der Anforderung, dass mindestens ein Prüfer CIA‑qualifiziert ist.
  Die Revision muss zudem geeignete Nachweise der Standard‑Einhaltung führen (Dokumentation von Prozessen, Methoden, Schulungen, Prüfungsdurchführung und ‑berichten).

4. Ethik, Kompetenz und Fortbildung

• Ethik und Berufsausübung: Integrität, Objektivität, Vertraulichkeit und fachliche Kompetenz sind als verbindliche Anforderungen verankert.
  
  
• Kontinuierliche Weiterbildung: Mindestanforderungen an berufliche Fortbildung und gezielten Kompetenzaufbau (inkl. GIAS‑Kenntnis, Umgang mit Technologien, Spezialthemen wie Cyber oder Nachhaltigkeit) sind vorgesehen.
  Eine gut funktionierende Revision entsteht damit nicht allein durch „Vorhandensein“, sondern durch nachweisbare Umsetzung dieser Governance‑, Methoden‑ und Qualitätspflichten entlang der GIAS und der darauf aufsetzenden IDW/DIIR‑Standards.

Bei einer Internen Revision nach aktuellen Standards stehen vier Haftungsfelder im Fokus: Organhaftung (Vorstand/GF/Aufsichtsrat), Haftung aus Organisationsverschulden, persönliche Haftung in der Revision selbst und Haftungsrisiken aus Nichterfüllung der neuen Prüfungs‑ und QA‑Standards.

1. Organhaftung wegen mangelhafter Organisation (IRS/Governance)

• Leitungsorgane haften persönlich, wenn sie keine angemessene, wirksame Revisionsfunktion einrichten bzw. überwachen (Organisationsverschulden nach § 93 AktG, § 43 GmbHG, analog auch im GmbH‑Kontext).
  
  
• Fehlt eine GIAS‑konforme, risikoorientierte Interne Revision, kann im Schadensfall (z.B. Fraud, IT‑Ausfall, Compliance‑Verstoß) argumentiert werden, dass Überwachungs‑ und Legalitätspflichten verletzt wurden; FISG und aktuelle Rechtsprechung erhöhen hier den Druck.
  
  Risikokern: „Revision vorhanden, aber nicht angemessen organisiert“ reicht im Haftungsprozess regelmäßig nicht mehr zur Enthaftung.

2. Haftung wegen unzureichender oder fehlender Quality Assessments

• Die nicht oder nur formal durchgeführte externe Qualitätsbeurteilung des Internen Revisionssystems (z.B. kein QA nach GIAS/DIIR‑3/IDW PS 983 n.F.) kann als Indiz für Organisationsverschulden und fehlende Überwachung des IRS gewertet werden.
  
  
• Wer trotz bekannter QA‑Defizite keine wirksamen Maßnahmen ergreift, riskiert neben BaFin‑Rügen (bei regulierten Instituten) ausdrücklich persönliche Haftung von Vorstand und Aufsichtsrat.
  

Risikokern: „Kein oder schlechtes QA und keine Reaktion“ schwächt die Entlastungsstory massiv.

3. Haftung durch Nichtbeachtung von GIAS und IDW PS 983 n.F.

• IDW PS 983 n.F. verankert die GIAS als Referenzrahmen für die Prüfung des Internen Revisionssystems; eine deutliche GIAS‑Non‑Conformance kann in Gutachten und Berichten explizit als Mangel des IRS benannt werden.
  
  
• Verlassen sich Organmitglieder auf ein schwach aufgesetztes IRS (z.B. veraltete IPPF‑Logik, keine Topical Requirements, keine aktuelle SfO), kann das im Schadenfall als Verstoß gegen die Business Judgement Rule gewertet werden („keine Entscheidung auf angemessener Informationsgrundlage“).
  Risikokern: Wer die neuen Standards ignoriert, verliert im Ernstfall die Argumentationsbasis, „nach anerkannten Standards“ organisiert zu haben.

4. Persönliche Haftung von Revisionsleitung und Revisoren

• Fehlerhafte Prüfungen (grobe Pflichtverletzungen, offensichtliche Prüfungslücken, Ignorieren von Warnsignalen) können zu zivilrechtlicher Haftung und – im Extremfall – strafrechtlicher Verantwortlichkeit führen, insbesondere für die Leitung der Internen Revision.
  
  
• Unzureichende Dokumentation (Arbeitsprogramme, Arbeitspapiere, Follow‑up) erschwert den Nachweis ordnungsgemäßer Prüfungsarbeit und erhöht das persönliche Haftungsrisiko für Revisoren.
  Risikokern: „Nicht oder schlecht dokumentiert“ wird im Streitfall wie „nicht gemacht“ gewertet.

5. Haftung aus vernachlässigten Risikofeldern (Topical Requirements)

• Werden wesentliche Risikofeldern, die in den GIAS‑Topical Requirements adressiert sind (insb. Cybersecurity, Third‑Party, Organizational Behavior), trotz eindeutiger Gefährdungslage nicht angemessen geprüft, drohen Organ‑ und ggf. Revisionshaftung bei Eintritt eines Schadensereignisses.
  
  
• Gerade bei IT‑Ausfällen, Lieferketten‑/Outsourcing‑Problemen oder Conduct‑Skandalen wird zunehmend geprüft, ob Revision und Management die anerkannten Themenstandards berücksichtigt haben.
  Risikokern: „Topical Requirements konsequent ignoriert“ = Verstoß gegen Berufsmaßstab und Risiko‑Beherrschungspflicht.

6. Haftungsrisiko durch fehlende oder schwache Entlastungsdokumentation

• Ohne konsistente Dokumentation von Revisionsstrategie, Mandat, QA‑Berichten, Maßnahmenregistern und Eskalationen ist eine Enthaftung der Organe im Streitfall deutlich erschwert.
  
  
• Die Rechtsprechung betont, dass ohne belastbare Dokumentation ein funktionierendes Compliance‑/Revisionssystem kaum nachweisbar ist; die Beweislastlastigkeit liegt faktisch bei den Organen.
  Risikokern: „Kein Papier, kein System“ – fehlende Nachweise sind selbst ein Haftungsrisiko.

Ein tragfähiger Maßnahmenkatalog sollte fünf Ebenen abdecken: Governance, Prüfarchitektur, Qualitätssicherung, Ressourcen/Skills und Dokumentation – jeweils GIAS‑ und IDW‑kompatibel gedacht.

1. Governance & Mandat

• Mandat/SfO GIAS‑konform aktualisieren: Auftrag, Unabhängigkeit, Berichtslinien, Zugriffsrechte, Verantwortung der IR klar und schriftlich festlegen, inkl. risikobasierter Jahresplan und Eskalationswege an GL/Aufsichtsorgan.
• Revisionsstrategie beschließen: Mehrjährige, risikoorientierte Strategie (Risikouniversum, Prüfzyklen, Technologieeinsatz, Rolle in GRC) vom C‑Level/Aufsichtsorgan genehmigen und jährlich fortschreiben.

2. Prüfarchitektur & Methodik

• Risikobasierter Prüfplan: Systematischer Prüfplan über mehrere Jahre, abgestützt auf Unternehmens‑Risikoanalyse, Wesentlichkeit, Materiality und Wirtschaftlichkeit.
  
  
• Standardisierter Prüfprozess: Klar definierter Audit‑Lifecycle (Planung, Risikoscoping, Fieldwork, Befundanalyse, Reporting, Follow‑up, Lessons Learned) mit verbindlichen Methoden, Templates und Rollen.

3. Qualitätssicherung & externe Beurteilung

• Internes QS‑Programm: Regelmäßige interne Reviews, KPI‑Set (z.B. Umsetzungsquote Maßnahmen, Durchlaufzeiten, Abdeckungsgrad Risikouniversum), jährliche Selbstbeurteilung gegen GIAS.
  
  
• Externes Quality Assessment: QA‑Zyklus (mindestens alle 5 Jahre) nach GIAS/DIIR‑3/IDW PS 983 n.F. etablieren und Management‑Reaktion auf Feststellungen (Maßnahmenplan, Monitoring) verbindlich regeln.

4. Ressourcen, Skills & Technologie

• Ressourcenplan & Budget: Angemessene personelle und sachliche Ausstattung auf Basis des Prüfplans, inkl. Fachspezialisten (IT, Cyber, Outsourcing, Regulatorik) und möglicher Co‑/Outsourcing‑Modelle.
  
  
• Kompetenz‑ und Schulungsprogramm: Systematischer Aufbau von GIAS‑Know‑how, Branchen‑/Regulierungskompetenz, Data‑Analytics/KI‑Skills sowie Soft Skills, dokumentiert in einer Kompetenzmatrix.

5. Reporting, Maßnahmen‑Management & Dokumentation

• Klare, adressatengerechte Berichte: Standard für Berichtsaufbau (Risiko, Ursachen, Maßnahmen, Fristen, Verantwortliche), inklusive Management‑Antwort und expliziter Bewertung der Wirksamkeit von Kontrollen.
  
  
• Strenges Maßnahmen‑ und Follow‑up‑System: Zentrales Maßnahmenregister, Status‑Tracking bis Wirksamkeitsnachweis, regelmäßige Berichterstattung an C‑Level/Aufsichtsrat (inkl. „rote Linien“ bei Nichtumsetzung).

6. GIAS‑Readiness & Rechtskonformität

• GIAS‑Gap‑Analyse: Systematischer Soll‑Ist‑Abgleich der fünf GIAS‑Domains und 15 Prinzipien auf IRS‑Ebene (Mandat, Governance, Methodik, Qualität, Ressourcen), inkl. priorisiertem Maßnahmenplan.
  
  
• Verzahnung mit Rechtsrahmen: Konsistente Anbindung an AktG/GmbHG‑Organpflichten, KWG/MaRisk bzw. branchenspezifische Normen sowie IDW PS 983 n.F. (Angemessenheits‑/Wirksamkeitsprüfung).

Institute of Internal Auditors (IIA), Global Internal Audit Standards (GIAS), veröffentlicht am 09.01.2024: https://www.theiia.org/globalassets/site/standards/editable-versions/global-internal-audit-standards-german.pdf [PDF], abgerufen am 03.07.2026.

Institut der Wirtschaftsprüfer in Deutschland e.V. (IDW), IDW PS 983 n.F. (12.2025) – Grundsätze ordnungsmäßiger Prüfung von Internen Revisionssystemen: https://www.idw.de/idw/idw-aktuell/pruefung-von-internen-revisionssystemen-neufassung-des-idw-pruefungsstandards-idw-ps-983-n-f-12-2025.html, abgerufen am 03.07.2026.

Deutsches Institut für Interne Revision e.V. (DIIR), DIIR-Revisionsstandard Nr. 3 (Neufassung vom 15.12.2025): https://www.diir.de/content/uploads/2025/12/DIIR-Revisionsstandard-Nr.-3-20251215.pdf [PDF], abgerufen am 03.07.2026.

Strategische Exzellenz auf C-Level erfordert kontinuierliche Orientierung. Damit du nach deinem Lehrgang nicht allein gelassen wirst, haben wir S+P C.O.R.E. entwickelt.

S+P Mehrwert-Garantie: Dein Wissens-Vorsprung für 2026

Jede Buchung eines S+P Seminars beinhaltet automatisch den kostenfreien Zugang zum quartalsweisen S+P C.O.R.E. Executive Update. Warum? Weil wir wissen, dass die regulatorische Welt nicht stillsteht. Wir halten dein Wissen aktuell – garantiert.

I. Einführung in die Thematik

Als CFO, Geldwäschereibeauftragter oder Financial Compliance Officer in der Schweiz stehen Sie 2026 im unmittelbaren Fadenkreuz verschärfter Haftungs– und Strafbestimmungen. Die Annahme, dass das Schweizer Recht im Vergleich zur EU eine regulatorische „Sicherheitsinsel“ darstellt, ist ein existenzieller Trugschluss. Dieser Text liefert Ihnen die essenzielle Verteidigungsstrategie gegen existenzbedrohende persönliche Haftungsansprüche nach Art. 754 OR (Aktienrechtliche Verantwortlichkeit) und korrespondierenden Bestimmungen im GmbH-Recht.

Er deckt Ihre blinden Flecken bei der Bilanzierung auf, schützt Sie vor strafrechtlichen Konsequenzen nach dem Schweizerischen Strafgesetzbuch (StGB) sowie dem Bundesgesetz über das Verwaltungsstrafrecht (VStrR) und bietet einen konkreten 90-Tage-Aktionsplan zur Absicherung Ihres Privatvermögens.

Basierend auf den regulatorischen Entwicklungen sind für in der Schweiz tätige CFOs insbesondere folgende Fristen und Stichtage von strategischer Bedeutung:

Fristen und Stichtage (Laufendes Jahr 2026)

• Laufend im 1. Halbjahr 2026:

Art. 964a-c OR (Klimaberichterstattung & ESG): Operative Konsolidierung der ESG-Datenströme (Berichtszyklus 2025/2026) zur Vorlage an die Generalversammlung und Gewährleistung der geforderten Transparenz.

OECD-Mindestbesteuerung (Pillar Two): Fortlaufende Umsetzung der Schweizer Ergänzungssteuer (Kombination aus nationaler und internationaler Ebene). Der 30. Juni 2026 gilt als kritischer Meilenstein für die finale Validierung der Steuerdaten und Safe-Harbour-Prüfungen für betroffene Konzerne (Umsatz > 750 Mio. EUR).

FINMA-Geldwäschereiverordnung (GwV-FINMA): Vollständige operative Umsetzung der per 1. Januar 2026 revidierten Verordnungsvorgaben, insbesondere der verschärften Schwellenwerte für Krypto-Transaktionen („Travel Rule“).

• Juni / Juli 2026:

EU-Entgelttransparenzrichtlinie: Schweizer Unternehmen mit wesentlichen Tochtergesellschaften oder Marktpräsenz in der EU müssen die Budgetierung für Lohnanpassungen und HR-Systeme abgeschlossen haben.

EU-Lieferkettenrichtlinie (CSDDD): Offizielle EU-Umsetzungsfrist; vertragliche Überwälzung von ESG-Finanzrisiken auf Schweizer Zulieferer wird ab Juli 2026 zum weltweiten Marktstandard.

• 02. August 2026 (EU AI Act):

  Inkrafttreten der Transparenzpflichten und Strafvorschriften für KI-Governance, die über Marktortprinzipien auch Schweizer Finanz- und Operativprozesse betreffen.

• Herbst / Ende 2026:

Transparenzregister (TJG): Ablauf interner Übergangsfristen zur lückenlosen Identifikation und Erfassung aller wirtschaftlich berechtigten Personen (UBO) im neuen eidgenössischen Register zur Vermeidung von strafrechtlichen Bussen.

Cybersecurity & ISG-Meldepflichten: Validierung der 24-Stunden-Meldeprozesse bei schwerwiegenden Cyberangriffen an das Bundesamt für Cybersicherheit (BACS) für kritische Infrastrukturen und deren direkte Zulieferer.

Country-by-Country Reporting (CbCR): Bis zum 31. Dezember 2026 muss die Validierung internationaler CbCR-Austauschbeziehungen gemäss den Vorgaben der Eidgenössischen Steuerverwaltung (ESTV) abgeschlossen sein.

1. Pflichten in der Nachhaltigkeitsberichterstattung & Lieferketten-Compliance (Art. 964 OR)

• Sicherstellung der Audit-Ready-Datenqualität: Der CFO trägt die Mitverantwortung dafür, dass die nichtfinanziellen Berichte (Klima, CO2-Ziele, Arbeitnehmerbelange) den gesetzlichen Schweizer Mindestanforderungen entsprechen. Falschangaben sind gemäss Art. 325bis StGB strafbewehrt.
  
  
• Sorgfalts- und Prüfungspflichten (Kinderarbeit / Konfliktmineralien): Etablierung eines lückenlosen Rückverfolgbarkeitssystems in der Lieferkette. Verstösse führen zu direkter strafrechtlicher Verantwortung der handelnden Organe.

2. Pflichten in der Steuer-Compliance & nationalen Finanz-Governance

• Etablierung eines steuerlichen Kontrollsystems (Tax IKS): Zur Abwendung von Vorwürfen der (eventualvorsätzlichen) Steuerhinterziehung oder des Steuerbetrugs nach dem Bundesgesetz über die direkte Bundessteuer (DBG) oder dem Mehrwertsteuergesetz (MWSTG) muss das IKS steuerliche Risiken automatisiert erfassen.
  
  
• OECD-Mindestbesteuerung (Pillar Two): Laufende Überwachung und fristgerechte Erfassung der Schweizer Ergänzungssteuer sowie Koordination mit ausländischen Steuerbehörden zur Vermeidung von Doppelbesteuerungsrisiken.

3. Pflichten in der Financial Compliance, Geldwäschereiprävention (GwG) & Transparenz (TJG)

• UBO-Identifikation nach dem Transparenzgesetz (TJG): Der CFO und der Geldwäschereibeauftragte tragen ab sofort die persönliche Verantwortung für die lückenlose Identifikation und korrekte Meldung der wirtschaftlich berechtigten Personen (Ultimate Beneficial Owner, UBO) an das neue eidgenössische Zentralregister.
  
  
• Sorgfaltspflichten für „Berater“ im Konzern: Unternehmenseigene Holdingstrukturen, interne Treasury-Zentren oder Management-Leistungsgesellschaften müssen auf die Anwendbarkeit des revidierten Geldwäschereigesetzes (GwG) geprüft werden, sobald sie Strukturen aufsetzen oder Immobilientransaktionen im Konzern begleiten.
  
  
• Umsetzung der GwV-FINMA & Krypto-Compliance: Im Finanz- und Krypto-nahen Sektor müssen Geldwäschereibeauftragte die verschärften Prüfpflichten für Krypto-Transaktionen (Einhaltung der „Travel Rule“ ohne Freigrenzen bei unhosted wallets) und die angehobenen Kriterien zur Erkennung von Geschäftsbeziehungen mit erhöhtem Risiko (PEP-Screening, automatisierte Transaktionsüberwachung) zwingend im IKS verankert haben. Einbindung automatisierter Sanktionslisten-Screenings (gemäss Embargogesetz / EmbG) direkt im ERP/Zahlungsverkehrssystem.

4. Pflichten im Rahmen der KI-Governance (EU AI Act & CH-Regulierung)

• Bilanzielle Risikovorsorge: Schweizer CFOs müssen den Einsatz von KI im Finanzbereich (z.B. automatisierte Bonitätsprüfungen, Fraud-Detection oder Cashflow-Prognosen) überwachen. Bußgelder nach dem EU AI Act können Schweizer Mutterhäuser empfindlich treffen und erfordern vorsorgliche finanzielle Rückstellungen.

5. Liquiditätsüberwachung, Cyber-Resilienz & ISG-Meldepflichten (Art. 725a OR)

• Drohende Zahlungsunfähigkeit: Bei begründeter Besorgnis einer drohenden Zahlungsunfähigkeit muss der CFO gemäss Art. 725a OR mit ausserordentlicher Dringlichkeit handeln, Massnahmen zur Sicherung der Liquidität ergreifen und dem Verwaltungsrat Bericht erstatten.

• ISG-Meldepflicht als Liquiditätsrisiko: Durch die gesetzliche Meldepflicht für Cyberangriffe an das BACS sind Sicherheitsvorfälle nicht mehr vertuschbar. Ein Angriff, der Finanzsysteme lahmlegt, zieht sofort Publizitäts- und Reputationsrisiken nach sich, die der CFO zeitgleich in der rollierenden 12-Monats-Liquiditätsplanung abbilden muss.
  
  
• Cyber-Budgetrecht: Bereitstellung adäquater Mittel für das Informationssicherheits-Managementsystem (ISMS). Da Cyber-Vorfälle die Existenz des Unternehmens und somit die Solvenz bedrohen, gilt die ungenügende finanzielle Ausstattung der IT-Infrastruktur als Verletzung der organschaftlichen Sorgfaltspflicht der Geschäftsleitung (Art. 716a OR).

1. Das persönliche Haftungsrisiko des CFO (Art. 754 OR & Strafrecht)

• Aktiengesetzliche Verantwortlichkeit: Nach Art. 754 OR haften Mitglieder der Geschäftsleitung (und somit der CFO) für den Schaden, den sie durch absichtliche oder fahrlässige Verletzung ihrer Pflichten verursachen. Die Haftung greift direkt auf das Privatvermögen.
  
  
• Faktisches Organ: Auch wenn der CFO formal nicht im Handelsregister als Mitglied des Verwaltungsrats eingetragen ist, wird er durch seine umfassende Finanzkompetenz und strategische Entscheidungsmacht als faktisches Organ eingestuft und unterliegt denselben strengen Haftungsmaßstäben.
  
  
• Das strafrechtliche Risiko (TJG & Art. 325bis StGB): Wer im Bericht über nichtfinanzielle Angelegenheiten unwahre Angaben macht, wird mit Busse bis zu CHF 100’000 bestraft. Ebenso führen vorsätzliche Falschmeldungen oder die Verweigerung der UBO-Meldung nach dem neuen Transparenzgesetz (TJG) zu drastischen persönlichen Bussen für die verantwortlichen Führungskräfte. Bei Steuer- und Abgabenvergehen im Rahmen des VStrR drohen zudem erhebliche persönliche Primärstrafen.

2. Kriminalisierung von Organisationsmängeln (Art. 102 StGB)

• Nach Art. 102 StGB (Unternehmensstrafrecht) wird ein Unternehmen unabhängig von der Strafbarkeit natürlicher Personen mit bis zu CHF 5 Millionen sanktioniert, wenn ihm wegen mangelhafter Organisation vorgeworfen werden kann, Straftaten wie Bestechung, Geldwäscherei oder die Verletzung von Sanktionslisten nicht verhindert zu haben. Der CFO haftet intern für den daraus resultierenden Vermögensschaden, wenn das Finanz-IKS diese Mängel aufwies oder Geldwäschereisysteme (GwV-FINMA) nicht ordnungsgemäss überwacht wurden.

3. Existenzbedrohende Bußgelder, Covenants & Liquiditätsrisiken

• Internationale Bußgelder (z.B. DSGVO- oder AI Act-Sanktionen der EU) sowie Schweizer Wettbewerbsstrafen belasten direkt die Erfolgsrechnung. Sie können die Einhaltung von Bank-Covenants (Kreditklauseln) schlagartig verunmöglichen, was zu einer Kreditkündigung und akuten Solvenzkrise führt.

4. Kritische Schnittstellen & „Blinde Flecken“ in der Schweizer Praxis

• Der CSDDD-Sogeffekt: Auch ohne eins-zu-eins Schweizer Lieferkettengesetz kündigen EU-Konzerne Verträge mit Schweizer Zulieferern, wenn diese keine validen ESG-Finanzkennzahlen liefern können. Das Risiko ist umsatz- und liquiditätsgetrieben, nicht primär behördlich.
  
  
• Mangelhaftes Sanierungs-Timing: Die Pflichten bei Kapitalverlust und Überschuldung (Art. 725b OR) sind strikt. Verzögert der CFO die Erstellung von geprüften Zwischenbilanzen oder die Meldung an den Verwaltungsrat, haftet er persönlich mit seinem Privatvermögen für die Schadensvergrösserung (Konkursverschleppung).
  
  
• Das FINMA-Berufsverbot: Im regulierten Sektor sieht das Finanzmarktaufsichtsrecht bei anhaltenden Compliance-Mängeln oder ungenügenden Geldwäsche-Abklärungen temporäre oder dauerhafte Tätigkeitsverbote für die Geschäftsleitung oder den Geldwäschereibeauftragten vor. Ein solcher Ausfall lähmt die finanzielle Handlungsfähigkeit des Unternehmens unmittelbar.

Um finanzielle Haftungsrisiken effektiv zu entschärfen, wird folgender strukturierter 90-Tage-Plan für Schweizer CFOs und Compliance-Verantwortliche empfohlen:

Phase 1: Die ersten 30 Tage – Sofortmaßnahmen & finanzielle Bestandsaufnahme

Lösung 1: Solvenz- und Art. 725a/b OR-Check

Maßnahme: Überprüfen Sie das Liquiditäts-Dashboard. Stellen Sie sicher, dass rollierende 12-Monats-Liquiditätsplanungen implementiert sind, um eine drohende Zahlungsunfähigkeit ex ante zu erkennen und die Dokumentationspflicht zur Exculpation zu erfüllen.

Lösung 2: TJG- & UBO-Audit

Maßnahme: Überprüfen Sie sämtliche Konzerngesellschaften auf die Einhaltung der neuen Meldepflichten nach dem Transparenzgesetz (TJG). Verifizieren Sie die wirtschaftlich berechtigten Personen (UBO) und gleichen Sie diese mit den Meldungen an das eidgenössische Zentralregister ab.

Lösung 3: Auditierung des Tax-, ESG- & GwG-IKS

Maßnahme: Validieren Sie die Datenströme für die Berichterstattung nach Art. 964 OR. Finanzintermediäre müssen ein Ad-hoc-Audit der Transaktionsüberwachungssysteme gemäss den verschärften Kriterien der neuen GwV-FINMA (insb. Krypto-Schwellenwerte) durchführen. Stellen Sie sicher, dass automatische Abgleichungen gegen die SECO-Sanktionslisten im ERP integriert sind.

Phase 2: Tage 31 bis 60 – Prozessuale Verankerung & Vertragsschutz

Lösung 4: ESG-Lieferanten-Controlling & Vertragsschutzklauseln

Maßnahme: Verankern Sie in Verträgen mit internationalen Zulieferern standardisierte Schadensersatz- und Freistellungsklauseln für den Fall, dass fehlerhafte Drittdaten zu Berichtsfehlern in Ihrer Schweizer Berichterstattung (Art. 964 OR) oder zu Verstössen gegen Sorgfaltspflichten führen.

Lösung 5: KI-Finanz-Governance

Maßnahme: Einführung einer „Human-in-the-loop“-Richtlinie für alle KI-gestützten Finanz- und Complianceprozesse. Keine Bilanzbuchung, automatisierte KYC-Prüfung oder Liquiditätsdisposition darf ausschließlich durch Algorithmen freigegeben werden.

Phase 3: Tage 61 bis 90 – Dashboard-Upgrade & Cyber-Notfallpläne

Lösung 6: Integration von Non-Financials & Reg-Tech in das Management Reporting

Maßnahme: Erweitern Sie das monatliche Controlling-Dashboard um den Erfüllungsgrad des Transparenzregisters (TJG), den Compliance-Status der OECD-Ergänzungssteuer sowie Cyber-Sicherheitskennzahlen. Im Haftungsfall gilt nur als aktiv gesteuert, was dokumentiert ausgewiesen wurde.

Lösung 7: ISG-Meldeprozesse & finanzstrafrechtliche Notfallpläne

Maßnahme: Koppeln Sie den IT-Notfallplan bei Cyberangriffen direkt mit dem CFO-Ressort: Ein schwerwiegender Angriff muss innerhalb von 24 Stunden regelkonform an das BACS gemeldet und gleichzeitig bezüglich seiner Auswirkungen auf Bank-Covenants und Liquidität bewertet werden. Definition von Prozessen für den Fall von Steuerprüfungen (ESTV/Kanton) oder Untersuchungen wegen Verletzung von Embargovorschriften.

Phase 4: Kontinuierliche Absicherung – Organ- und D&O-Vorsorge

Lösung 8: Sanierung des persönlichen Versicherungsschutzes (D&O)

Maßnahme: Auditieren Sie die Directors-and-Officers-Police (D&O).

Fokus: Stellen Sie sicher, dass die Deckungssumme internationale Bußgeldrisiken (EU AI Act, DSGVO) reflektiert, die Organhaftung als faktisches Organ sowie die persönliche Verantwortung des Geldwäschereibeauftragten explizit eingeschlossen sind und ausreichende Nachhaftungsfristen bei Ausscheiden vereinbart sind.

- Schweizerisches Obligationenrecht (OR)

Umfasst die aktienrechtliche Verantwortlichkeit (Art. 754), die Sanierungspflichten bei finanziellem Engpass (Art. 725 ff.) sowie die Nachhaltigkeits- und Sorgfaltspflichten (Art. 964a ff.).

Fedlex – Systematische Rechtssammlung (SR 220)

- Schweizerisches Strafgesetzbuch (StGB)

Regelt das Unternehmensstrafrecht bei Organisationsmängeln (Art. 102) und die Strafen für Falschangaben im Rahmen der nichtfinanziellen Berichterstattung (Art. 325bis).

Fedlex – Systematische Rechtssammlung (SR 311.0)

- Geldwäschereigesetz (GwG)

Bildet die gesetzliche Grundlage für die erweiterten Sorgfaltspflichten von Finanzintermediären und Beratern (inkl. der regulatorischen Basis für Krypto-Transaktionen).

Fedlex – Systematische Rechtssammlung (SR 955.0)

- Informationssicherheitsgesetz (ISG)

Enthält die gesetzliche Grundlage für die Resilienz kritischer Infrastrukturen und verankert die 24-Stunden-Meldepflicht bei schweren Cyberangriffen.

Fedlex – Systematische Rechtssammlung (SR 120.4)

- EU-Rechtsrahmen (Extraterritoriale Auswirkung)

Das offizielle EU-Portal für den direkten Zugriff auf den EU AI Act (Verordnung 2024/1689) sowie die CSRD (Richtlinie 2022/2464), welche Schweizer Marktteilnehmer über das Marktort- und Zuliefererprinzip betreffen.

EUR-Lex – Das Portal zum Recht der Europäischen Union

Strategische Exzellenz auf C-Level erfordert kontinuierliche Orientierung. Damit du nach deinem Lehrgang nicht allein gelassen wirst, haben wir S+P C.O.R.E. entwickelt.

S+P Mehrwert-Garantie: Dein Wissens-Vorsprung für 2026

Jede Buchung eines S+P Seminars beinhaltet automatisch den kostenfreien Zugang zum quartalsweisen S+P C.O.R.E. Executive Update. Warum? Weil wir wissen, dass die regulatorische Welt nicht stillsteht. Wir halten dein Wissen aktuell – garantiert.

Das Corporate Governance- und Risikomanagement in Österreich ist 2026 durch tiefgreifende europäische und nationale Gesetzesverschärfungen geprägt. Diese begründen unmittelbare finanzielle Bilanzierungspflichten sowie drastische Haftungsrisiken für das C-Level. Als CFO verantworten Sie die finanzielle Integrität, die Validierung der Berichterstattung sowie die Implementierung robuster interner Überwachungssysteme.

Neben der Nachhaltigkeitsberichterstattung (CSRD/ESRS), deren Datenströme aus der Lieferkette 2026 erstmals vollumfänglich abschlussprüfungsfest konsolidiert werden müssen, bestimmen hochaktuelle steuer- und finanzrechtliche Hebel das Risiko-Szenario. Das Inkrafttreten des Mindestbesteuerungsgesetzes (MinBestG / Pillar Two) zwingt zu komplexen Neubewertungen latenter Steuern, während das Gemeinnützigkeitsreformgesetz (GemRefG) verschärfte Dokumentations- und digitale Meldepflichten mit direkter Organhaftung etabliert. Zudem dehnt das EU-AML-Paket (Geldwäscheprävention) im Zuge der Financial Compliance die Pflichten auf Nicht-Finanzunternehmen aus – strikt exekutiert durch die neue Sanktionsaufsicht der Finanzmarktaufsicht (FMA).

Flankiert wird diese Entwicklung durch den EU AI Act (Rückstellungen für drakonische Bußgelder im Finanzressort) sowie das neue NISG (NIS2), welches die persönliche Geschäftsleitungshaftung für die Freigabe und Überwachung von IT-Sicherheitsbudgets festschreibt. Dieses Beitrag dient als strategische Entscheidungshilfe, um finanzielle Schäden, Reputationsrisiken und persönliche Haftungsansprüche – insbesondere nach § 25 GmbHG, § 84 AktG, dem Unternehmensgesetzbuch (UGB) und dem Finanzstrafgesetz (FinStrG) – rechtzeitig abzuwenden.

Basierend auf den behandelten regulatorischen Entwicklungen für das Jahr 2026 sind für in Österreich tätige CFOs insbesondere folgende Fristen und Stichtage von strategischer Bedeutung:

Akute Fristen & Stichtage

(Laufendes Jahr 2026)

Laufend im 1. Halbjahr 2026:

CSRD & ESRS: Operative Konsolidierung der ESG-Datenströme (Berichtszyklus 2026) zur Sicherstellung der Prüfungsbereitschaft (Limited Assurance).

MinBestG (Pillar Two): Umsetzung der OECD- und BMF-Leitlinien für Safe Harbours sowie bilanzielle Neubewertungen für Konzerne ab 750 Mio. EUR Umsatz.

Pillar-Two-Feuertaufe: Erfahrungswerte und regulatorische Vorgaben zeigen, dass der 30. Juni 2026 hierbei als konkreter Stichtag für die ersten wesentlichen Compliance-Schritte gilt.

Juni / Juli 2026:

EU-Entgelttransparenzrichtlinie: Ablauf der nationalen Umsetzungsfrist (Budgetierung für Lohnanpassungen/HR-Systeme).

Lieferkettensorgfalt (CSDDD): Offizielle EU-Umsetzungsfrist; vertragliche Absicherung von ESG-Finanzrisiken wird vom Markt ab Juli gefordert.

02. August 2026 (EU AI Act):

Inkrafttreten der Transparenzpflichten und Strafvorschriften für KI-Governance. (Vorgaben für Hochrisiko-KI verschoben auf den 02. Dezember 2027).

01. Oktober 2026 (NISG / NIS2):

Geplantes Inkrafttreten des österreichischen NISG 2026 (Überwachung der IT-Sicherheitsbudgets).

09. Dezember 2026:

Umsetzung der neuen EU-Produkthaftungsrichtlinie (Neubewertung der Haftungsrückstellungen für Software).

31. Dezember 2026:

NISG-Registrierungsfrist: Letzter Termin zur verpflichtenden Registrierung betroffener Einrichtungen im nationalen Register.

Country-by-Country Reporting (CbCR): Bis zum Jahresende 2026 muss zudem die Validierung internationaler CbCR-Austauschbeziehungen vollständig abgeschlossen sein.

Aus den vorliegenden regulatorischen Rahmenbedingungen für das Jahr 2026 ergeben sich für Österreichs CFOs konkrete finanzstrategische und governance-bezogene Pflichten:

1. Pflichten in der Nachhaltigkeitsberichterstattung (CSRD/ESRS) & CSDDD

• Sicherstellung der Audit-Ready-Datenqualität: Der CFO trägt die Letztverantwortung dafür, dass die ESG-Daten (insbesondere Scope 1-3 Emissionen und Kennzahlen von KMU-Zulieferern) den Grundsätzen ordnungsgemäßer Buchführung entsprechen und einer externen Prüfung standhalten.
  
  
• Finanzielle Wesentlichkeitsanalyse: Verankerung der „Double Materiality“ (doppelte Wesentlichkeit) im Risikomanagement – Identifikation, wie Nachhaltigkeitsaspekte die Finanzlage, Performance und Entwicklung des Unternehmens beeinflussen.

2. Pflichten in der Steuer- Compliance & nationalen Finanz-Governance (Neuheiten der letzten 6 Monate)

• Etablierung eines Tax Compliance Managementsystems (TCMS): Zur Abwendung von Vorwürfen der groben Fahrlässigkeit oder des Vorsatzes bei Betriebsprüfungen muss der CFO ein zertifiziertes Steuer-IKS implementieren und überwachen.
  
  
• MinBestG-Compliance (Pillar Two): Laufende Überwachung und fristgerechte Deklaration der globalen Mindeststeuer unter Einbeziehung der neusten BMF-Formulare und Safe-Harbour-Regelungen.
  
  
• Automatisierte Meldepflichten nach dem GemRefG: Für spendenbegünstigte oder gemeinnützige Konzerneinheiten muss das IKS die Datenübermittlung an FinanzOnline fehlerfrei und vollautomatisch abbilden, um eine persönliche Haftung für entgangene Steuern zu verhindern.
  
  
• Bilanzielle Korrektur von Start-up-Mitarbeiterbeteiligungen: Überwachung der korrekten lohnsteuerlichen Behandlung (§ 26a EStG) und der Abgrenzung von Eigen- zu Fremdkapital bei der Ausgabe von Unternehmenswertanteilen (insb. bei Tochtergesellschaften in der Rechtsform der neuen FlexKapG).

3. Pflichten in der Financial Compliance & Anti-Geldwäsche (EU-AML-Paket)

• IKS-Upgrades für Nicht-Finanzunternehmen: Überprüfung und Anpassung des Internen Kontrollsystems (IKS). Sobald das Unternehmen (z. B. im Immobilien-, Güterhandels- oder Holdingbereich) als „Verpflichteter“ eingestuft wird, müssen lückenlose Sanktionsprüfungen und AML-Screenings im ERP-System verankert sein.
  
  
• FMA-konforme Meldewege: Umstellung aller internen Verdachtsmeldewege auf die Finanzmarktaufsicht (FMA) als neue zentrale Sanktionsbehörde in Österreich.

4. Pflichten im Rahmen der KI-Governance (EU AI Act)

• Bilanzielle Risikovorsorge: Bewertung des potenziellen Strafenrisikos. Bei Verstößen drohen Bußgelder, die direkt die Gewinn- und Verlustrechnung (GuV) belasten. Der CFO muss sicherstellen, dass Schatten-IT im Finanzbereich (z. B. unautorisierte KI-Tools zur Cashflow-Prognose) eliminiert wird.
  
  
• ROI- & Investitions-Controlling: Budgetierung und Freigabe von Finanzmitteln ausschließlich für KI-Systeme, die nachweislich die Anforderungen des AI Acts (z. B. Artikel 4: KI-Kompetenz) erfüllen.
  
  
• Budget- und Kontrollpflicht: Die Geschäftsleitung haftet persönlich für die Implementierung der Sicherheitsmaßnahmen. Der CFO ist verpflichtet, angemessene Ressourcen für das ISMS bereitzustellen und deren zweckgemäße Verwendung im Sinne des Risikomanagements zu überwachen.
  
  
• Pflichten im HR- und Vergütungsbereich (Entgelttransparenz & Namensrecht)
  
  
• Rückstellungsmanagement: Analyse des „Gender Pay Gaps“ im Unternehmen. Der CFO muss in Abstimmung mit HR finanzielle Rücklagen für potenzielle Gehaltsnachzahlungen oder -anpassungen bilden, die sich aus den neuen Auskunftsansprüchen der Belegschaft ab Mitte 2026 ergeben.
  
  
• Systemumstellung Lohnverrechnung: Überwachung der Budgetierung und IT-seitigen Umsetzung des neuen Kindschafts- und Namensrechts-Änderungsgesetzes zur fehlerfreien Berechnung von Familienbonus Plus und Absetzbeträgen.

1. Sanktionen: Vom "Best Effort" zum Echtzeit-Screening

Da "Leichtfertigkeit" nun strafbar ist (§ 18 AWG), gilt jedes Versäumnis bei der Systemaktualisierung als potenzielles Delikt.

• System-Audit: Prüfung, ob Ihr Screening-Anbieter die Financial Sanctions Database (FSDA) der EU automatisiert einliest. Manuelle Uploads einmal pro Woche sind ab sofort ein Haftungsrisiko.
  
  
• Karenzzeit-Check: Eliminierung von Verzögerungen. Wenn eine Listung im EU-Amtsblatt erscheint, muss das System innerhalb von Stunden (nicht Tagen) blockieren.
  
  
• Dual-Use-Klassifizierung: Erneute Prüfung des Warenstamms. Besonders bei Gütern, die zivil und militärisch nutzbar sind, ist die Sorgfaltspflicht durch die neue Richtlinie (EU) 2024/1226 massiv erhöht.

2. Cyber Resilience (CRA): Kapazitäten sichern

Der Mai 2026 ist der "Flaschenhals"-Monat für die langfristige Marktfähigkeit.

• Notified Body Booking: Unverzügliche Kontaktaufnahme mit Stellen wie dem TÜV, DEKRA oder spezialisierten IT-Prüfstellen. Sichern Sie sich Kontingente für die Konformitätsbewertung Ihrer Produkte für das Jahr 2027.
  
  
• SBOM-Erstellung: Implementierung einer Software Bill of Materials (SBOM) für alle vernetzten Produkte. Ohne lückenlose Dokumentation der Lieferkette ist keine Zertifizierung möglich.
  
  
• Vulnerability-Reporting: Einrichtung einer internen Meldestelle, die in der Lage ist, Schwachstellen binnen 24 Stunden an das BSI zu melden (Vorbereitung auf September 2026).

3. Entgelttransparenz: Datenhoheit gewinnen

Bis zum 7. Juni 2026 müssen die Systeme stehen, um die Beweislastumkehr zu beherrschen.

• Gehalts-Audit: Durchführung einer statistischen Analyse der Entgeltstrukturen nach Geschlecht und Funktionsgruppen (Equal Pay Check).
  
  
• Auskunftsprozess definieren: Erstellung von Standard-Berichtsformaten für Mitarbeiteranfragen. HR muss ad hoc auskunftsfähig sein, um Klage-Indizien zu vermeiden.
  
  
• Stellenbewertung: Harmonisierung der Kriterien für "gleiche oder gleichwertige Arbeit". Nur objektive, geschlechtsneutrale Kriterien (Skills, Verantwortung, Belastung) schützen vor Schadensersatz.

4. Geldwäsche (AML): Harmonisierung

Vorbereitung auf das "Single Rulebook" und die AMLA-Aufsicht.

• KYC-Update: Anpassung der Kunden-Identifizierung an die neuen EU-Mindeststandards der Verordnung (EU) 2024/1624. Nationale Besonderheiten müssen durch den EU-Standard ersetzt werden.
  
  
• Bargeld-Sperre: Implementierung technischer Zahlungsstopps bei Beträgen über 10.000 € (bzw. entsprechende Risiko-Workflows für Händler hochwertiger Güter).
  
  
• Transaktionsmonitoring: Upgrade der Software auf KI-basierte Mustererkennung, um den kommenden technischen Standards der AMLA (Mai/Juni 2026) zu entsprechen.

Europäische Union, Richtlinie (EU) 2022/2464 des Europäischen Parlaments und des Rates vom 14.12.2022 hinsichtlich der Nachhaltigkeitsberichterstattung von Unternehmen (CSRD):

https://eur-lex.europa.eu, abgerufen am 15.06.2026.

Republik Österreich, Rechtsinformationssystem des Bundes (RIS), Bundesgesetz über die Gewährleistung einer globalen Mindestbesteuerung für Unternehmensgruppen (Mindestbesteuerungsgesetz – MinBestG):

https://www.ris.bka.gv.at, abgerufen am 15.06.2026.

Republik Österreich, Rechtsinformationssystem des Bundes (RIS), Bundesgesetz, mit dem die Bundesabgabenordnung, das Einkommensteuergesetz 1988 und das Körperschaftsteuergesetz 1988 geändert werden (Gemeinnützigkeitsreformgesetz 2023 – GemRefG) idF 2026:

https://www.ris.bka.gv.at, abgerufen am 15.06.2026.

Republik Österreich, Bundesministerium für Finanzen (BMF), Amtliche Veröffentlichungen und Richtlinien zu Tax Compliance Managementsystemen (TCMS) sowie Erläuterungen zum Kindschafts- und Namensrechts-Änderungsgesetz:

https://www.bmf.gv.at, abgerufen am 15.06.2026.

Republik Österreich, Rechtsinformationssystem des Bundes (RIS), Gesetz vom 6. März 1906, betreffend Gesellschaften mit beschränkter Haftung (§ 25 GmbHG), Aktiengesetz 1965 (§ 84 AktG) sowie Bundesgesetz vom 19. Oktober 1932 über das Finanzstrafrecht (Finanzstrafgesetz – FinStrG):

https://www.ris.bka.gv.at, abgerufen am 15.06.2026.

Europäische Union, Verordnung (EU) 2024/1689 des Europäischen Parlaments und des Rates vom 13. Juni 2024 zur Festlegung harmonisierter Vorschriften für künstliche Intelligenz (AI Act):

https://eur-lex.europa.eu, abgerufen am 15.06.2026.

Republik Österreich, Rechtsinformationssystem des Bundes (RIS), Bundesgesetz über die Gewährleistung eines hohen Cybersicherheitsniveaus von Netz- und Informationssystemen (Netz- und Informationssystemsicherheitsgesetz 2026 – NISG 2026):

https://www.ris.bka.gv.at, abgerufen am 15.06.2026.

Strategische Exzellenz auf C-Level erfordert kontinuierliche Orientierung. Damit du nach deinem Lehrgang nicht allein gelassen wirst, haben wir S+P C.O.R.E. entwickelt.

S+P Mehrwert-Garantie: Dein Wissens-Vorsprung für 2026

Jede Buchung eines S+P Seminars beinhaltet automatisch den kostenfreien Zugang zum quartalsweisen S+P C.O.R.E. Executive Update. Warum? Weil wir wissen, dass die regulatorische Welt nicht stillsteht. Wir halten dein Wissen aktuell – garantiert.

Sowohl das C-Level als auch die Compliance-Verantwortlichen müssen diesen Beitrag zwingend lesen: Das Jahr 2026 verändert die Haftung im Embargo- und Sanktionsrecht grundlegend. Die Funktion der Kontrollinstanzen als reiner Berater ist Geschichte – im schlimmsten Fall stehen die Verantwortlichen persönlich in der Haftung.

Durch die AWG-Novelle und das 20. EU-Sanktionspaket greift die Strafverfolgung bei der Missachtung von Handels- und Güterbeschränkungen direkt auf die Kontrollinstanzen durch. Dahinter steht eine ausdifferenzierte juristische Systematik:

1. § 13 StGB Begehen durch Unterlassen

Die strafrechtliche Norm (§ 13 StGB i.V.m. der übertragenen Exportkontrollfunktion): Aus Ihrer Rolle als operativ Verantwortlicher für die Exportkontrolle erwächst Ihnen eine nicht übertragbare Garantenstellung. Wenn Sie unvollständige Embargo-Prüfungen oder veraltete Systeme dulden, haften Sie im „worst case Szenario“ nach § 13 StGB wegen Begehung durch Unterlassen wie ein aktiver Täter. 

2. Haftung für Leichtfertigkeit gemäß § 18 Abs. 8a AWG

Das Leichtfertigkeitsrisiko aus § 18 Abs. 8a AWG: Ein zentrales Risiko liegt nicht nur in vorsätzlichen Verstößen, sondern auch in grob unzureichenden Kontrollprozessen. Werden offensichtliche Warnsignale ignoriert, Systeme nicht aktualisiert oder Zuständigkeiten unklar geregelt, kann dies rechtlich massiv ins Gewicht fallen.

Für die Praxis heißt das: Unternehmen sollten nicht nur einzelne Treffer prüfen, sondern auch die Angemessenheit ihres gesamten Kontrollrahmens regelmäßig dokumentieren. Dazu gehören Systemaktualität, Trefferbearbeitung, Eskalationswege, Vier-Augen-Prüfungen und revisionssichere Nachweise.

Dieser Beitrag liefert Ihnen das maßgeschneiderte regulatorische Rüstzeug und den technischen Action Plan, um diese persönlichen Haftungsrisiken im laufenden Geschäftsjahr rechts- und haftungssicher zu abzusichern.

Im Sanktions- und Embargorecht kommt es zunehmend auf schnelle Reaktionsfähigkeit an. Neue Listungen, geänderte Güteranhänge, zusätzliche Meldepflichten oder angepasste sektorale Beschränkungen müssen zeitnah in die internen Systeme und Prozesse übernommen werden.

Unternehmen sollten deshalb sicherstellen, dass relevante Änderungen nicht erst im Rahmen periodischer manueller Prüfungen erkannt werden. Besonders kritisch sind automatisierte Zahlungen, laufende Lieferungen, Altverträge, Logistikdaten und Stammdatenprüfungen. Je kürzer die interne Reaktionszeit, desto geringer ist das Risiko, dass Transaktionen nach einer relevanten Änderung unbeabsichtigt weiterlaufen.

1. Das Unverzüglichkeitsgebot (Die „Sofort-Frist“)

• Der Wegfall der 48-Stunden-Schonfrist: Seit dem 6. Februar 2026 ist die historische Übergangsfrist für Neulistungen in Deutschland ersatzlos gestrichen.
  
  
• Fristenlauf: Sobald eine Person, ein Schiff oder ein Unternehmen im EU-Amtsblatt (VO 269/2014) gelistet wird, greift das Bereitstellungs- und Handelsverbot sofort (in Sekundenschnelligkeit).
  
  
• Operative Praxis: Konten müssen binnen weniger Stunden nach der Online-Veröffentlichung eingefroren und Lieferungen gestoppt werden. Jede automatisierte Transaktion, die Minuten nach der Veröffentlichung durchrutscht, erfüllt den Straftatbestand der strafbaren Leichtfertigkeit (§ 18 Abs. 8a AWG).

2. Übergangsregelungen für Altverträge (Sanktions-Update 2026/506)

• Das am 24. April 2026 in Kraft getretene 20. EU-Sanktionspaket gewährt für neu aufgenommene Warengruppen (wie die verschärften ISO-Normen für Schmiermittel und Chemikalien in den Anhängen zu Art. 3i und 3k) eng gefasste „Wind-down“-Fristen, um Altgeschäfte sauber abzuwickeln:
  
  
• 3-monatige Übergangsfrist (Ablauf: Juli 2026): Gilt für spezifische, neu aufgenommene Güter des Einfuhr- und Ausfuhrverbots. Bis zu diesem Stichtag müssen bestehende Verträge final abgewickelt oder rechtssicher gekündigt sein.
  
  
• 9-monatige Übergangsfrist (Ablauf: Januar 2027): Gilt für ausgewählte, komplexe Gütergruppen im strategischen Anhang XXI (Einfuhrverbot).
  
  
• Haftungsfalle: Diese Fristen greifen ausschließlich für Verträge, die nachweislich vor dem Stichtag der Sanktionierung geschlossen wurden. Jede nachträgliche Änderung oder Erweiterung (Addendum) im Jahr 2026 vernichtet den schützenden Altvertragsstatus sofort.

3. Der Krypto- und Wallet-Stichtag

24. Mai 2026 (Bereits aktiv): Dies ist der harte, spezifische Stichtag auf der gesetzlichen Timeline für den Finanz- und Fintech-Sektor.

Operative Praxis: Seit diesem Datum müssen alle Screening-, Herkunftsprüfungs- und Transaktionsüberwachungssysteme für Wallets absolut fehlerfrei implementiert sein. Jegliche Interaktion mit russischen oder belarussischen Krypto-Dienstleistern (CASPs) sowie die Nutzung des digitalen Rubels sind vollumfänglich kriminalisiert.

4. Behördliche Meldepflichten und regulatorische Deadlines

Die gesetzliche „Jedermannspflicht“ (§ 18 Abs. 5a AWG): Wer beruflich Kenntnis über blockierte Vermögenswerte, versuchte Sanktionsumgehungen oder eingefrorene Gelder erlangt, muss dies unverzüglich (in der Praxis binnen maximal 24 Stunden) an die Deutsche Bundesbank und die FIU (Financial Intelligence Unit) melden. Ein Hinauszögern zur detaillierten internen Prüfung ist strafbar.

AMLA-Fristen für Technische Standards (Sommer 2026): Bis zum 10. Juli 2026 veröffentlicht die neue EU-Aufsichtsbehörde (AMLA) die verbindlichen Technischen Regulierungsstandards (RTS). C-Level-Verantwortliche müssen im direkt darauffolgenden Quartal die personelle und finanzielle Ausstattung der Compliance-Abteilungen an diese quantitativen Mindestvorgaben anpassen, um ein Organisationsverschulden (§ 130 OWiG) proaktiv auszuschließen.

Aus den aktuellen regulatorischen Entwicklungen im Außenwirtschafts-, Sanktions- und Geldwäscherecht ergeben sich mehrere Pflichtenschwerpunkte, auf die Unternehmen im Jahr 2026 besonders Augenmerk legen sollten. Im Vordergrund stehen nicht einzelne Formalien, sondern die nachweisbare Wirksamkeit des gesamten Kontrollsystems.

Wichtig sind insbesondere die regelmäßige Aktualisierung von Sanktionsdaten, die Prüfung kritischer Güter und Dual-Use-Konstellationen, die Überwachung von Drittlandgeschäften, die Kontrolle logistischer Risiken sowie klare Melde- und Eskalationsprozesse.

1. Die strafrechtliche Kernhaftung der Kontrollinstanzen

Der Tatbestand der strafbaren Leichtfertigkeit: § 18 Abs. 8a AWG Bezug: Die zentrale Strafnorm des Außenwirtschaftsgesetzes. Bei der unzulässigen Ausfuhr von Rüstungsgütern oder sensiblen Dual-Use-Gütern (z. B. Mikrochips oder Software nach Anhang I der EU-Dual-Use-Verordnung) reicht bereits Leichtfertigkeit (grobe Fahrlässigkeit) für eine Kriminalisierung des Compliance Officers aus.

Extrem hohes Strafmaße für Vorsatztaten: § 18 Abs. 1 AWG i.V.m. § 18 Abs. 7 AWG Bezug: Vorsätzliche Verstöße gegen Embargos oder Bereitstellungsverbote werden mit bis zu 5 Jahren, in schweren Fällen (z. B. gewerbsmäßige oder bandenmäßige Umgehung) mit bis zu 10 Jahren Freiheitsstrafe geahndet.

2. Das Echtzeit-Dilemma & Die Sofort-Fristen

Das unverzügliche Bereitstellungs- und Einfrierverbot: Art. 2 VO (EU) Nr. 269/2014 Bezug: Die primäre europäische Rechtsgrundlage für personenbezogene Finanzsanktionen. Alle Gelder und wirtschaftlichen Ressourcen von gelisteten Subjekten müssen unverzüglich eingefroren werden.

Wegfall der Schonfrist im nationalen Recht: § 18 Abs. 1 AWG (in der Fassung der AWG-Novelle) Bezug: Durch die Streichung der historischen 48-Stunden-Schonfrist gilt das Verbot ab der Sekunde der Veröffentlichung im EU-Amtsblatt (L-Serie). Jede untertägige Latenz im Screening-System ist seit dem 6. Februar 2026 ein potenzieller Straftatbestand.

Die gesetzliche „Jedermanns–Meldepflicht“: § 18 Abs. 5a AWG i.V.m. Art. 8 VO (EU) 2026/506 Bezug: Verpflichtet jede Person, die im Rahmen ihrer beruflichen Tätigkeit Kenntnis von eingefrorenen Vermögenswerten oder versuchten Sanktionsumgehungen erlangt, diese Informationen unverzüglich an die Deutsche Bundesbank und die FIU zu melden.

3. Logistik-Screening & Umgehungsschutz

Das transport-basierte Hafen- und Zugangsverbot: Art. 3s VO (EU) Nr. 833/2014 Bezug: Verbietet Schiffen, die auf den EU-Listen stehen oder russische Fracht unter Umgehung von Preisdeckeln transportieren, den Zugang zu EU-Häfen und -Schleusen.

Die Schwarze Liste der Schattenflotte: Anhang XL der VO (EU) Nr. 833/2014 (erweitert durch das 20. Sanktionspaket) Bezug: Die spezifische Güter- und Schiffsliste, gegen die das Logistik-Screening der Compliance zwingend die IMO-Nummern abgleichen muss (Ausweitung auf Schiffe für Mineralerzeugnisse, Schmiermittel und Chemikalien).

Die vertragliche Wiederexport-Sperre („No-Russia-Clause“): Art. 12g VO (EU) Nr. 833/2014 Bezug: Verpflichtet Exporteure gesetzlich dazu, ihren Drittland-Kunden den Wiederexport sensibler Güter nach Russland vertraglich unter Strafandrohung zu untersagen.

4. Das geopolitische Pflichten-Dilemma (China & EuGH)

Der europäische Audit-Zwang: § 4 LkSG / Art. 5 CSDDD (Corporate Sustainability Due Diligence Directive) Bezug: Zwingt Compliance zur Durchführung lückenloser Lieferketten-Audits und Menschenrechtsprüfungen vor Ort (auch bei Zulieferern in China).

Das chinesische Audit-Verbot (Spionage-Tatbestand): Chinesische State Council Order 834 (Art. 12 & 13) Bezug: In Kraft seit dem 7. April 2026. Deklariert den unkontrollierten Abfluss „sensibler Industriedaten“ aus China als Bedrohung der nationalen Sicherheit und kriminalisiert westliche ESG- und Lieferketten-Audits als Datenspionage.

Das chinesische Anti-Sanktions-Gesetz: Chinesische State Council Order 835 Bezug: In Kraft seit dem 13. April 2026. Stellt die Umsetzung ausländischer (westlicher) Sanktionen durch Unternehmen in China unter Strafe und droht mit Enteignung und Platzierung auf der Malicious Entity List.

Das Verbot des pauschalen De-Riskings bei Basiskonten: EuGH-Urteil vom 11. Juni 2026 (Az. C-81/24 [Jenec]) Bezug: Richterlicher Meilenstein zur Auslegung der Zahlungskontenrichtlinie (2014/92/EU) und der EU-Geldwäscherichtlinie (2015/849). Verbietet die automatische Ablehnung von Basiskonten bei bloßen drittstaatlichen Listungen (z. B. OFAC) und erzwingt stattdessen eine dokumentierte, risikobasierte Einzelfallprüfung unter Berücksichtigung des Prinzips der Verhältnismäßigkeit.

Der folgende Maßnahmenplan soll Unternehmen dabei unterstützen, ihre Sanktions- und Embargoprozesse strukturiert zu überprüfen und gezielt zu verbessern. Im Mittelpunkt stehen technische Aktualität, klare Verantwortlichkeiten, belastbare Dokumentation und eine risikobasierte Steuerung kritischer Geschäftsvorfälle.

Ziel ist nicht die vollständige Eliminierung jedes Restrisikos, sondern ein nachvollziehbarer, wirksamer und prüfbarer Kontrollrahmen. Genau dieser Nachweis ist entscheidend, wenn Unternehmen gegenüber Aufsicht, Banken, Abschlussprüfern oder Ermittlungsbehörden erklären müssen, wie sie ihre Organisationspflichten erfüllt haben.

Stufe 1: Ad-hoc-Sofortmaßnahmen (Fokus: Haftungs-Stopp)

Echtzeit-API aktivieren:

• Unternehmen sollten prüfen, ob ihre Sanktionslisten- und Embargodaten ausreichend aktuell sind und wie schnell Änderungen in operative Systeme übernommen werden. Wo heute noch seltene Batch-Updates, manuelle Prüfungen oder dezentrale Listen genutzt werden, sollte eine Umstellung auf häufigere, automatisierte und protokollierte Aktualisierungen geprüft werden.
  
  
• Wichtig ist außerdem, dass Trefferbearbeitung, Freigabeentscheidungen und Eskalationen nachvollziehbar dokumentiert werden. Nur so lässt sich später belegen, wann ein Risiko erkannt, bewertet und entschieden wurde.

Krypto-Filter schalten: Komplette systemische Blockade von russischen/belarussischen Krypto-Diensten (CASPs) und dem digitalen Rubel im Transaktionsmonitoring umsetzen (§ 18 Abs. 1 AWG).

Basiskonto-Workflows anpassen: Automatische „Hard Stops“ bei OFAC-Treffern deaktivieren; stattdessen manuelle Review-Prüfschleife für die 10-Tages-Einzelfallprüfung einrichten (EuGH C-81/24 [Jenec]).

Meldepflichten-Fast-Lane: Internen Notfall-Workflow mit einer maximalen 24-Stunden-Bearbeitungsfrist für Meldungen eingefrorener Werte an Bundesbank und FIU etablieren (§ 18 Abs. 5a AWG).

Stufe 2: Vertragsrecht & Altverträge (Fokus: Lieferkette)

• Dilemma-Protokolle einführen: Für Pflichtenkollisionen (z. B. CSDDD-Audit vs. China-Recht) fortlaufende Abwägungsberichte erstellen zur Absicherung der Business Judgment Rule (§ 93 AktG).
  
  
• No-Russia-Klauseln eindeutschen: Klauseln nach Art. 12g VO 833/2014 AGB-konform überarbeiten. Unwirksame, verschuldensunabhängige EU-Musterstrafen eliminieren (§ 305 ff. BGB).
  
  
• Altverträge abwickeln: Kontrakte über neu sanktionierte Güter des 20. Pakets (z. B. Schmiermittel/Chemikalien) identifizieren und schriftliche Kündigungs- oder Sunset-Pläne dokumentieren (VO 2026/506).

Stufe 3: Geopolitische Systemtrennung (Fokus: IT & Personal)

• China Data Gating & Audit-Substitution: IT-Systeme für China-Aktivitäten strikt trennen (In-China-for-China IT). Vor-Ort-Audits europäischer Mitarbeiter verbieten und durch lokale, zertifizierte chinesische Prüfer ersetzen (China Order 834).
  
  
• Reisestopps verhängen: Verbindliches Freigabe-Moratorium nach China für AML- und ESG-Prüfer erlassen, um Mitarbeiter vor unberechenbaren Exit-Bans zu schützen (§ 618 BGB).
  
  
• Gekapselte Basiskonten umsetzen: Erzwungene OFAC-Basiskonten technisch maximal beschränken: Transaktionslimits (max. 2.000 €/Monat), Inlands-Geofencing und ein striktes Bargeldeinzahlungsverbot einrichten (§ 261 StGB).

Stufe 4: Strategische Absicherung (Fokus: Governance)

• ISO 37301-Audit starten: Zertifizierung des Compliance-Management-Systems (CMS) einleiten als primären strafrechtlichen Entlastungsbeweis der Chefetage (§ 130 OWiG).
  
  
• Ressourcen-Audit dokumentieren: Formeller Beschluss der Geschäftsführung über die nachweislich ausreichende finanzielle und personelle Budgetierung der Compliance- und AML-Einheiten (§ 43 GmbHG).
  
  
• Banken-Reporting aktivieren: Aktualisiertes Sanktionshandbuch und ISO-Projektstatus proaktiv an Hausbanken senden, um präventiven Kontokündigungen (De-Risking) vorzubeugen.

Die regulatorischen Fallstricke im Embargo- und Sanktionsrecht des Jahres 2026 sind sehr ausgeprägt. Dennoch lautet die Formel für das C-Level und die Kontrollinstanzen: "Gefahr erkannt, Gefahr gebannt." Wer die massiven Haftungsrisiken der AWG-Novelle proaktiv identifiziert und diesen strukturierten Handlungsempfehlungen konsequent umsetzt, begründet ein solides Fundament, um potenziellen Problemen zu begegnen und ebendiese haftungssicher zu lösen. Moderne Technologie und konsistente Dokumentationen wandeln vermeintlich unkalkulierbare Bedrohungen in einen resilienten, zukunftssicheren Wettbewerbsvorteil.

Europäische Union, Verordnung (EU) 2026/506 des Rates vom 23. April 2026 zur Änderung der Verordnung (EU) Nr. 833/2014 über restriktive Maßnahmen angesichts der Handlungen Russlands, die die Lage in der Ukraine destabilisieren:

https://eur-lex.europa.eu/legal-content/DE/TXT/PDF/?uri=OJ:L_202600506, abgerufen am 16.06.2026.

Gerichtshof der Europäischen Union, Urteil des Gerichtshofs in der Rechtssache C-81/24 | [Jenec] vom 11.06.2026 zur Auslegung der Zahlungskontenrichtlinie im Kontext von Drittstaaten-Sanktionslisten:https://curia.europa.eu/jcms/jcms/Jo2_7052/, abgerufen am 16.06.2026.

Bundesministerium der Justiz / Bundesamt für Justiz, Außenwirtschaftsgesetz (AWG) – Straf- und Bußgeldvorschriften (§§ 18, 19) in der Fassung der AWG-Novelle 2026:

https://www.gesetze-im-internet.de/awg_2013/BJNR134610013.html, abgerufen am 16.06.2026.

Ministry of Justice of the People's Republic of China, State Council Order 834 on Provisions on Guarding Against Security Risks in Industrial and Supply Chains vom 07.04.2026:

https://www.moj.gov.cn/pub/sfbgw/gwxw/xwyw/202604/t20260407_533569.html, abgerufen am 16.06.2026.

The State Council of the People's Republic of China, State Council Order 835 on Regulations on Countering Foreign Unjustified Economic and Legal Measures vom 13.04.2026:

https://www.gov.cn/zhengce/content/202604/content_7065398.htm, abgerufen am 16.06.2026.

Europäische Kommission, Pressemitteilung zur Verabschiedung des 20. restriktiven Maßnahmenpakets gegen Russland und der Schließung von Umgehungsnetzwerken vom 24.04.2026:

https://germany.representation.ec.europa.eu/news/eu-verabschiedet-20-sanktionspaket-gegen-russland-2026-04-24_de, abgerufen am 16.06.2026.

Strategische Exzellenz auf C-Level erfordert kontinuierliche Orientierung. Damit du nach deinem Lehrgang nicht allein gelassen wirst, haben wir S+P C.O.R.E. entwickelt.

S+P Mehrwert-Garantie: Dein Wissens-Vorsprung für 2026

Jede Buchung eines S+P Seminars beinhaltet automatisch den kostenfreien Zugang zum quartalsweisen S+P C.O.R.E. Executive Update. Warum? Weil wir wissen, dass die regulatorische Welt nicht stillsteht. Wir halten dein Wissen aktuell – garantiert.

Management-Briefing: Das EuGH-Urteil C-81/24 [Jenec] und seine weitreichenden Folgen für Compliance, Geldwäschebekämpfung und die Organhaftung.

Die Steuerung globaler Sanktionsrisiken bei gleichzeitiger Einhaltung europäischer Verbraucherschutzrechte stellt Kreditinstitute zunehmend vor ein regulatorisches Dilemma. Bislang galt im Rahmen von Compliance- und Geldwäschepräventionsprozessen (AML) die sofortige Abweisung von Kunden, die auf Drittstaaten-Sanktionslisten wie der des US-amerikanischen OFAC (Office of Foreign Assets Control) stehen, als gängige De-Risking-Praxis, um drakonische Sekundärsanktionen der USA zu vermeiden.

Das wegweisende Urteil des Europäischen Gerichtshofs (EuGH) vom 11. Juni 2026 in der Rechtssache C-81/24 [Jenec] entzieht dieser pauschalen Praxis nun jedoch die rechtliche Grundlage.

In dem zugrundeliegenden Fall hatte eine slowenische Bank einem in der Union rechtmäßig ansässigen Verbraucher unter Berufung auf nationale Geldwäschevorschriften die Eröffnung eines Basiskontos verweigert, da dieser auf einer OFAC-Sanktionsliste geführt wurde – obwohl gegen ihn weder eine strafrechtliche Verurteilung noch Sanktionen der UN, der EU oder Sloweniens vorlagen. Der EuGH stellte klar, dass das nach der Zahlungskontenrichtlinie (Richtlinie 2014/92/EU) verbriefte Recht auf ein Zahlungskonto mit grundlegenden Funktionen nicht durch den bloßen Automatismus einer drittstaatlichen Listung ausgehebelt werden darf. Vielmehr verlangen die einschlägigen Normen – insbesondere die EU-Geldwäscherichtlinie (Richtlinie (EU) 2015/849) – von den Instituten zwingend eine konkrete, risikobasierte Einzelfallbewertung. Ein OFAC-Eintrag darf hierbei nur als ein relevanter Risikofaktor gewichtet werden; eine Ablehnung ist erst dann unionsrechtskonform, wenn die Bank nachweist, dass das Risiko von Geldwäsche oder Terrorismusfinanzierung auch durch verhältnismäßige Sicherungsmaßnahmen nicht wirksam gesteuert werden kann.

Für das C-Level verschärft diese Rechtsprechung das Spannungsfeld zwischen internationalem Sanktionsdruck und europäischem Recht massiv. Vorstände und Geschäftsführer stehen nun in der Pflicht, die internen Onboarding- und Kontrollprozesse unverzüglich zu überarbeiten, da die bisherige „Sicher ist sicher“-Abweisung von OFAC-Fällen nun einen direkten Verstoß gegen EU-Recht darstellt. Da Mängel in der Compliance-Organisation und systematische Missachtungen von Verbraucherrechten oder AML-Vorgaben unmittelbare zivil- und aufsichtsrechtliche Konsequenzen nach sich ziehen, rückt die persönliche Haftung der Geschäftsleitung (Organhaftung) bei fehlerhafter Risikoabwägung drastisch in den Fokus. Das Management muss operativ sicherstellen, dass die geforderten Einzelfallprüfungen prozessual sauber dokumentiert und juristisch tragfähig begründet werden, um das Institut sowohl vor Schadensersatzklagen abgewiesener Kunden als auch vor Bußgeldern der Aufsichtsbehörden zu schützen.

Für das C-Level, die Geldwäschebekämpfung (AML) und die Compliance-Abteilung tickt die Uhr ab sofort. Da es sich hierbei um ein Urteil des Europäischen Gerichtshofs (EuGH) im Rahmen eines Vorabentscheidungsverfahrens handelt, gibt es keine gesetzliche „Übergangsfrist“ wie bei einer neuen EU-Verordnung. Das Urteil stellt verbindlich fest, wie das geltende Recht (die Richtlinien von 2014 und 2015) schon immer hätte ausgelegt werden müssen.

Es gelten daher primär prozessuale, aufsichtsrechtliche und haftungsrelevante Fristen, die sich aus dem Handlungsdruck ableiten:

1. Unverzügliche Handlungspflicht (Sofort / „Tag 0“)

Betrifft: Compliance, AML-Beauftragte, C-Level

Fristcharakter: Ad-hoc-Pflicht zur Risikominimierung (Organhaftung)

Hintergrund: Das Urteil ist am 11. Juni 2026 verkündet worden und damit ab sofort bindend für alle nationalen Gerichte und Behörden in der EU.

Konkrete Frist: Wenn ein Institut heute (oder in den kommenden Tagen) einen Kunden allein wegen eines OFAC-Eintrags ohne dokumentierte Einzelfallprüfung abweist, begeht es wissentlich einen Rechtsverstoß. Das C-Level setzt sich ab sofort einem direkten Risiko der persönlichen Organisations- und Auswahlhaftung (z. B. nach § 43 GmbHG, § 93 AktG in Deutschland) aus, wenn es die Prozesse nicht stoppt.

2. Anpassung der Workflows & IT-Systeme (Kurzfristig: 2 bis 4 Wochen)

Betrifft: Compliance, AML (KYC-Teams), IT-Operations

Fristcharakter: Operative Umsetzungsfrist

Konkrete Frist: Innerhalb der nächsten wenigen Wochen müssen die Onboarding-Systeme angepasst werden.

Die „Hard Stop“-Logik muss raus: Viele Screening-Tools blockieren Anträge bei einem OFAC-Treffer („Match“) automatisch. Diese technische Sperre muss in einen kontrollierten Eskalationsprozess (Manual Review) umprogrammiert werden. Bis das IT-seitig umgesetzt ist, müssen temporäre Arbeitsanweisungen (Workarounds) für die Mitarbeiter herausgegeben werden.

3. Bearbeitungsfristen bei Anträgen (Laufend: Meist 10 Werktage)

Betrifft: AML-Abteilung / KYC-Analysten

Fristcharakter: Gesetzliche Fristen aus der Zahlungskontenrichtlinie (Richtlinie 2014/92/EU)

Konkrete Frist: Die Richtlinie (und die jeweiligen nationalen Gesetze, wie das ZKG in Deutschland) sieht strenge Fristen vor, innerhalb derer eine Bank über den Antrag auf ein Basiskonto entscheiden muss (in der Regel spätestens 10 Geschäftstage nach Eingang des vollständigen Antrags).

Das Problem: Die vom EuGH geforderte „konkrete Einzelfallbewertung“ (Einholen von Informationen, warum die Person auf der OFAC-Liste steht, Prüfung von UN/EU-Verurteilungen, Abwägung von Risikominderungsmaßnahmen) muss innerhalb dieser engen gesetzlichen Frist abgeschlossen sein. Eine Verzögerung über die Frist hinaus ohne triftigen Grund ist ebenfalls ein regulatorischer Verstoß.

4. Überprüfung von Altfällen / „De-Risking“-Bereinigungen (Mittelfristig: 1 bis 3 Monate)

Betrifft: C-Level (Legal Counsel), Compliance

Fristcharakter: Verjährungs- und Schadensersatzfristen

Konkrete Frist: Kunden, die in der jüngeren Vergangenheit (unter Berücksichtigung nationaler Verjährungsfristen, oft 3 Jahre) unter Verweis auf OFAC-Sanktionen pauschal abgewiesen oder deren Basiskonten gekündigt wurden, könnten nun Schadensersatz- oder Sachleistungsansprüche (Kontoeröffnung) geltend machen. Das C-Level muss gemeinsam mit der Rechtsabteilung eine Strategie festlegen, wie mit eventuellen Alt-Eingaben oder anhängigen Beschwerden bei Schlichtungsstellen umzugehen ist, um Klagewellen zu verhindern.

1. Pflichten für das C-Level (Vorstand, Geschäftsführung, Chief Risk/Legal Officer)

• Ad-hoc-Anweisungskompetenz nutzen (Sofortpflicht): Unverzügliche Weisung an die operativen Einheiten erlassen, um pauschale, automatisierte Ablehnungen („Hard Stops“) bei OFAC-Treffern für Basiskonten mit sofortiger Wirkung auszusetzen.
  
  
• Anpassung der Risikoappetit-Strategie (Risk Appetite Statement): Strategische Neuausrichtung des Instituts im Spannungsfeld zwischen EU-Verbraucherschutzrecht und US-Sekundärsanktionen. Das Management muss definieren, welche verhältnismäßigen Sicherungsmaßnahmen (z. B. Umsatzlimits, verstärktes Monitoring) finanziell und operativ tragbar sind.
  
  
• Erfüllung der Organisations- und Überwachungspflichten (Organhaftung): Sicherstellen, dass ausreichende personelle und finanzielle Ressourcen in der AML- und Compliance-Abteilung bereitgestellt werden, um die aufwendigen Einzelfallprüfungen fristgerecht zu bewältigen.
  
  
• Entlastungsdokumentation sicherstellen: Einrichtung eines revisionssicheren Eskalationsprozesses, bei dem finale Ablehnungsentscheidungen von Basiskonten dem Vorstand oder einem spezialisierten Komitee zur Freigabe vorgelegt werden, um die persönliche zivilrechtliche Haftung (Organhaftung) zu minimieren.

2. Pflichten für die Compliance-Abteilung (inkl. Recht & Risikomanagement)

• Überarbeitung der internen Richtlinien (Policies): Anpassung der Onboarding- und Sanktionsrichtlinien der Bank. Die starre Regel „OFAC-Listung = automatischer Ablehnungsgrund“ muss gelöscht und durch ein flexibles Scoring-Modell ersetzt werden.
  
  
• Prozessuale Anpassung der IT-Screening-Systeme: Veranlassung der IT-Abteilung, automatische Systemblockaden bei OFAC-Treffern für Basiskonten in einen manuellen Prüfungs-Workflow (Eskalationsstufe) umzuleiten.
  
  
• Einführung einer verhältnismäßigen Kontrollmatrix: Definition von spezifischen Sicherheits- und Überwachungsmaßnahmen für betroffene Kunden (z. B. Einschränkung des Online-Bankings auf das Inland, strengere Transaktionslimits), um das Risiko von Geldwäsche oder Terrorismusfinanzierung effektiv einzugrenzen.
  
  
• Schadensersatz- und Altfalldrehbuch erstellen: Analyse bereits abgewiesener Kundenfälle der jüngeren Vergangenheit und Vorbereitung von rechtlichen Argumentationsketten für den Fall von nachträglichen Verbraucherklagen oder Beschwerden bei Schlichtungsstellen.

3. Pflichten für die Geldwäschebekämpfung (AML / KYC-Teams)

• Durchführung der zwingenden Einzelfallprüfung: Vollständige, individuelle Risikobewertung bei jedem OFAC-Treffer. Der Analyst darf den Fall nicht schließen, sondern muss eine umfassende Gesamtschau der Person vornehmen.
  
  
• Abgleich mit primären Sanktionslisten: Verpflichtende Prüfung, ob gegen den Antragsteller rechtskräftige Verurteilungen oder Listungen auf Sanktionslistsen der UN, der EU oder des jeweiligen Heimatlandes (z. B. Bundesanzeiger in Deutschland) vorliegen.
  
  
• Einhaltung der gesetzlichen Bearbeitungsfrist: Sicherstellung, dass die Ermittlungen, das Einholen von Zusatzinformationen und die finale Entscheidung innerhalb der gesetzlichen Frist für Basiskonten (in der Regel maximal 10 Geschäftstage) abgeschlossen sind.
  
  
• Revisionssichere und qualifizierte Dokumentation: Lückenlose und juristisch belastbare Verschriftlichung der Risikoanalyse. Wenn ein Konto abgelehnt wird, muss im System exakt begründet und bewiesen werden, warum das konkrete Risiko der Geldwäsche oder Terrorismusfinanzierung auch durch verhältnismäßige Gegenmaßnahmen nicht beherrschbar war.

Bei der Umsetzung dieses Urteils geraten Banken in ein regulatorisches Minenfeld. Die größte Herausforderung ist, dass die Abwendung eines Risikos auf der einen Seite fast automatisch zu einem Rechtsverstoß auf der anderen Seite führt.

Die folgenden Pain Points müssen die drei Personengruppen im Blick haben – direkt verknüpft mit den jeweils drohenden Haftungsnormen:

1. Pain Points für das C-Level

• Das „Sanktions-Dilemma“ (Catch-22): Eröffnet die Bank das Konto, drohen drakonische US-Sekundärsanktionen (Ausschluss aus dem US-Dollar-Zahlungsverkehr, Strafzahlungen durch das OFAC). Weist die Bank den Kunden pauschal ab, verstößt sie vorsätzlich gegen EU-Recht.

• Haftungsnorm: Zivilrechtliche Organhaftung (z. B. § 93 AktG, § 43 GmbHG) wegen Verletzung der unternehmerischen Sorgfaltspflichten (Duty of Care). Das Management haftet im schlimmsten Fall persönlich und unbeschränkt mit dem Privatvermögen, wenn durch fehlerhafte Risikoabwägung oder Organisationsverschulden ein Millionenschaden (z. B. durch US-Strafen oder EU-Bußgelder) entsteht.
  
  
• Ressourcen– und Kostenexplosion: Die Pflicht zur Einzelfallprüfung macht aus einem bisher automatisierten, sekundenschnellen IT-Prozess eine komplexe, manuelle juristische Prüfung. Das kostet Zeit, bindet hochqualifiziertes Personal und treibt die Betriebskosten (Operating Expenses) massiv in die Höhe.

2. Pain Points für die Compliance-Abteilung

• Der Spagat zwischen Verbraucherschutz und Geldwäscheprävention: Compliance muss zwei völlig gegensätzliche EU-Richtlinien in Einklang bringen: Das Recht auf Teilhabe am Wirtschaftsleben (Zahlungskontenrichtlinie) versus die Pflicht zur harten Riegel-Vorschiebung bei Verdachtsmomenten (Geldwäscherichtlinie).
  
  
• Haftungsnorm: Aufsichtsrechtliche Bußgelder (z. B. § 60 GwG i.V.m. der Richtlinie (EU) 2015/849). Systematisches De-Risking (pauschales Ablehnen) wird von den nationalen Aufsichtsbehörden (wie der BaFin oder FMA) zunehmend als Verstoß gegen die Akzeptanzpflicht gewertet und kann mit empfindlichen Bußgeldern gegen das Institut geahndet werden.
  
  
• Rechtssicherheit bei der „Verhältnismäßigkeit“ finden: Compliance muss definieren, was eine „verhältnismäßige Sicherungsmaßnahme“ ist (z. B. Sperrung von Auslandsüberweisungen). Gibt man zu viel frei, rutscht man in die Geldwäsche; schränkt man das Konto zu stark ein, klagt der Kunde, dass es kein echtes Basiskonto mehr ist.

3. Pain Points für die Geldwäschebekämpfung (AML / KYC)

• Die 10-Tages-Frist-Falle: Ein Analyst hat ab Antragseingang oft nur 10 Geschäftstage Zeit (festgelegt in nationalen Gesetzen zur Zahlungskontenrichtlinie, z. B. § 34 ZKG in Deutschland). Innerhalb dieser extrem kurzen Frist müssen internationale Recherchen angestellt, der Kunde angehört und eine wasserdichte Begründung geschrieben werden. Das ist im operativen Alltag kaum zu schaffen.
  
  
• Haftungsnorm: Zivilrechtliche Schadensersatzansprüche des Kunden (z. B. § 50 ZKG i.V.m. § 823 BGB). Verzögert oder verweigert die Bank das Basiskonto zu Unrecht, kann der betroffene Verbraucher auf Eröffnung klagen und Schadensersatz (z. B. für entgangene Geschäfte, Anwaltskosten) forderlich geltend machen.
  
  
• Beweislastumkehr und Dokumentationsdruck: Der EuGH verlangt, dass die Bank beweisen muss, warum sie das Risiko nicht steuern kann. AML-Analysten müssen Berichte verfassen, die einer gerichtlichen Überprüfung standhalten.
  
  
• Haftungsnorm: Strafrechtliche Haftung bei Fahrlässigkeit (z. B. § 261 StGB – Geldwäsche). Wenn der AML-Beauftragte das Risiko im Einzelfall falsch einschätzt, das Konto eröffnet und die Person das Konto doch für Terrorfinanzierung nutzt, steht die AML-Leitung wegen leichtfertiger Geldwäsche mit einem Bein im Gefängnis.

Um aus diesem regulatorischen Dilemma – dem Spagat zwischen US-Sanktionsdruck (OFAC) und EU-Verbraucherrecht – herauszukommen, müssen Banken auf eine Kombination aus prozessualen, technischen und rechtlichen Lösungsansätzen setzen.

Hier sind die vier vielversprechendsten Strategien, aufgeteilt nach ihrer kurz- und mittelfristigen Umsetzbarkeit:

1. Der prozessuale Ansatz: "Zwei-Säulen-Modell" im Onboarding

Die Banken müssen sich vom binären System („Annehmen“ oder „Ablehnen“) verabschieden und einen dreistufigen Prozess etablieren:

• Säule 1 – Automatisches Screening: Das IT-System prüft die Identität. Bei einem OFAC-Treffer erfolgt kein automatischer Abbruch (Hard Stop), sondern eine automatische Umleitung in eine gesonderte Prüfschleife.
  
  
• Säule 2 – Standardisierte Einzelfallprüfung: Ein spezialisiertes AML/Compliance-Team übernimmt den Fall. Es prüft anhand einer festgelegten Matrix:

Liegt eine Namensverwechslung vor (False Positive)?

Welche konkrete Tat wird der Person vom OFAC vorgeworfen (z. B. politische Nähe zum Iran vs. konkrete Terrorfinanzierung)?

Gibt es EU/UN-Äquivalente oder strafrechtliche Urteile?

Die Eskalationsstufe: Die finale Entscheidung über eine Verweigerung wird nicht vom Analysten getroffen, sondern wandert als Vier-Augen-Prinzip an das C-Level bzw. ein Risiko-Komitee. Dies dient der Entlastung der persönlichen Organhaftung (§ 93 AktG / § 43 GmbHG) durch lückenlose Dokumentation der unternehmerischen Sorgfalt.

2. Der technische Ansatz: "Gekapselte Kontoführung" (Product-Level Controls)

Der EuGH betont in seinem Urteil explizit, dass die begrenzten Einsatzmöglichkeiten eines Basiskontos das Risiko von Natur aus verringern. Banken können das Konto technisch so einschränken, dass ein Geldwäscherisiko effektiv "weggesteuert" wird, während das Recht des Kunden auf Teilhabe gewahrt bleibt.

• Strikte Transaktionslimits: Einrichtung von täglichen oder monatlichen Höchstgrenzen für Ein- und Auszahlungen (z. B. maximal 2.000 € pro Monat).
  
  
• Geografisches Geofencing: Technische Sperrung von Auslandsüberweisungen. Das Konto erlaubt nur Inlandsüberweisungen (z. B. für Miete, Strom, Gehalt) und SEPA-Lastschriften. Überweisungen in Drittstaaten oder gar in die USA werden systemseitig blockiert.
  
  
• Verbot von Bargeldtransaktionen / Schecks: Einzahlungen dürfen nur per nachvollziehbarer Überweisung (z. B. von einer staatlichen Stelle oder einem Arbeitgeber) erfolgen, um die Herkunft der Mittel transparent zu halten.
  
  
• Echtzeit-Monitoring (Transaction Monitoring): Das Konto wird auf eine "Blacklist" für verschärftes, KI-gestütztes Echtzeit-Monitoring gesetzt. Jede ungewöhnliche Buchung führt zur sofortigen temporären Sperre.

3. Der organisatorische Ansatz: Fristenmanagement durch "Pre-Sifting"

Um die kritische 10-Tages-Frist (z. B. nach § 34 ZKG) einzuhalten, müssen die Ermittlungen beschleunigt werden.

• Sofortige Mitwirkungspflicht des Kunden: Bei einem OFAC-Treffer wird dem Antragsteller am Tag 1 ein standardisierter Fragebogen ausgehändigt. Er muss nachweisen, dass er keine Gelder für sanktionierte Zwecke nutzt. Liefert der Kunde die Dokumente nicht fristgerecht, kann die Bank die Ablehnung mit der Verletzung der gesetzlichen Mitwirkungspflichten (§ 11, 15 GwG) begründen – ein absolut legitimer Ablehnungsgrund in der EU.

• Task-Force "Sanktions-Onboarding": Etablierung eines kleinen, rotierenden Expertenteams, das ausschließlich für die juristische Formulierung und Dokumentation von Basiskonto-Ablehnungen zuständig ist, damit die Berichte im Falle einer Klage (§ 50 ZKG) gerichtsfest sind.

4. Der strategische Ansatz: Absicherung über die Aufsichtsbehörden (Safe Harbor)

Das C-Level sollte das Risiko nicht allein auf den Schultern der Bank lasten lassen.

• Meldung an die FIU / Aufsicht: Bei unklaren Grenzfällen, in denen ein massiver OFAC-Konflikt droht, sollte die Bank eine Verdachtsmeldung an die Financial Intelligence Unit (FIU) abgeben oder den direkten Dialog mit der nationalen Aufsichtsbehörde (z. B. BaFin) suchen.
  
  
• Verfügungsverbot als Schutz: Ordnet die Aufsichtsbehörde oder die Staatsanwaltschaft nach einer Meldung der Bank Maßnahmen an, ist die Bank rechtlich geschützt. Sie handelt dann auf staatliche Anordnung, was das Risiko von Schadensersatzklagen des Kunden gegen die Bank eliminiert.

• Vorher: Banken nutzten das „De-Risking“ als Schutzschild. Bei einem US-OFAC-Treffer blockierten IT-Systeme Anträge sofort pauschal, um US-Strafen zu entgehen – europäisches Verbraucherrecht wurde demnach oft ignoriert.
  
  
• Jetzt: Das EuGH-Urteil (C-81/24) bricht mit diesem Automatismus. Eine drittstaatliche Listung erzwingt ab sofort eine aufwendige, risikobasierte Einzelfallprüfung innerhalb strikter Fristen. Pauschale Ablehnungen ohne Beweis unsteuerbarer Geldwäscherisiken sind rechtswidrig und begründen die persönliche Organhaftung des C-Levels.
  
  
• Zukunft: Banken müssen Onboarding-Prozesse hybrid gestalten. Die Lösung liegt in technisch „gekapselten Basiskonten“ mit strikten Transaktionslimits und Inlands-Geofencing. So gelingt Instituten künftig der rechtssichere Spagat zwischen internationalem Sanktionsdruck und EU-Recht.

Gerichtshof der Europäischen Union, Pressemitteilung Nr. 84/26 vom 11.06.2026: Urteil des Gerichtshofs in der Rechtssache C-81/24 | [Jenec]: https://curia.europa.eu, abgerufen am 11.06.2026.

Strategische Exzellenz auf C-Level erfordert kontinuierliche Orientierung. Damit du nach deinem Lehrgang nicht allein gelassen wirst, haben wir S+P C.O.R.E. entwickelt.

S+P Mehrwert-Garantie: Dein Wissens-Vorsprung für 2026

Jede Buchung eines S+P Seminars beinhaltet automatisch den kostenfreien Zugang zum quartalsweisen S+P C.O.R.E. Executive Update. Warum? Weil wir wissen, dass die regulatorische Welt nicht stillsteht. Wir halten dein Wissen aktuell – garantiert.