Die Regulierung von Finanzkriminalität wurde mit Blick auf Banken geschrieben, doch das Risiko endet nicht im Bankensektor. Jedes Unternehmen mit Lieferanten, Händlern, Vermittlern oder Kunden trägt über diese Beziehungen ein Risiko. Ein sanktioniertes Unternehmen, das sich hinter einer Briefkastenfirma verbirgt, ein Lieferant, gegen den wegen Ausbeutung von Arbeitskräften ermittelt wird, ein Händler, der Waren unbemerkt in Embargomärkte umleitet: jeder dieser Fälle ist ein Risiko durch Drittparteien und kann ein Unternehmen Aufträge, Bankbeziehungen und Reputation kosten.
Dieser Leitfaden erklärt, was Third-Party Risk Management (TPRM) bedeutet, was die Due Diligence bei Drittparteien umfasst, warum sich die regulatorischen Anforderungen für europäische Unternehmen verschieben und wie sich die beiden sehr unterschiedlichen Kategorien von Tools am Markt unterscheiden lassen.
Was ist Third-Party Risk Management? (Bedeutung von TPRM)
Third-Party Risk Management, meist als TPRM abgekürzt, umfasst das Erkennen, Bewerten und Überwachen der Risiken, die aus den Geschäftsbeziehungen einer Organisation entstehen: Lieferanten, Dienstleister, Händler, Vermittler, Joint-Venture-Partner und Kunden. Traditionell lag der Schwerpunkt von TPRM auf operativen und IT-Risiken. Am schnellsten wächst inzwischen jedoch das Integritätsrisiko: Finanzkriminalität, Sanktionsrisiken, Korruption und ESG-Verstöße im Umfeld von Geschäftspartnern.
Die Kernfrage von TPRM klingt einfacher, als sie ist: Wissen wir tatsächlich, mit wem wir Geschäfte machen, und würden wir es weiterhin tun, wenn wir es wüssten?
Warum Risiken durch Drittparteien in Unternehmen immer wichtiger werden
Drei Entwicklungen treffen zusammen und betreffen europäische Unternehmen:
Sanktionen gelten für alle. EU-Sanktionen sind für alle Unternehmen in der EU unmittelbar verbindlich, nicht nur für Finanzinstitute. Seit 2022 wurden die Sanktionsregime deutlich ausgeweitet, und die Aufmerksamkeit der Behörden richtet sich verstärkt auf Umgehung: Waren und Zahlungen, die über Drittstaaten umgeleitet werden. Ein Unternehmen, das seine Geschäftspartner nicht prüft, kann gegen Sanktionen verstoßen, ohne je direkt mit einem gelisteten Namen zu tun zu haben, weil das Risiko eine Eigentümerebene tiefer lag.
Der Kreis der Verpflichteten wird größer. Das neue AML-Paket der EU erweitert den Status als verpflichtetes Unternehmen über Banken hinaus, etwa auf den Handel mit hochwertigen Gütern, auf Crowdfunding-Plattformen und sogar auf Profifußballvereine. Auch Unternehmen außerhalb dieses formalen Kreises spüren die Wirkung indirekt: Die Banken dieser Unternehmen unterliegen strengeren Regeln, verlangen mehr Unterlagen und bessere Auskünfte zu Geschäftspartnern und trennen sich von Beziehungen, in denen diese Angaben fehlen.
Sorgfaltspflichten werden gesetzlich verankert. Die Corporate Sustainability Due Diligence Directive (CSDDD) in der Fassung vom Februar 2026 verpflichtet die größten in der EU tätigen Unternehmen zu einer risikobasierten Due Diligence in den Bereichen Menschenrechte und Umwelt entlang ihrer Aktivitätsketten, anzuwenden ab 2029. Die Wirkung reicht über die formal erfassten Unternehmen hinaus: Erwartungen an die Sorgfaltspflicht werden über Kundenanforderungen und Vertragsklauseln in die Lieferketten weitergegeben. Angrenzende Regelwerke wie die EU-Entwaldungsverordnung (ab Dezember 2026) und die Verordnung gegen Zwangsarbeit (ab Dezember 2027) weisen in dieselbe Richtung: laufende und dokumentierte Compliance bei Drittparteien wird zum Normalfall.
Die wichtigsten Risiken durch Drittparteien
Bei den meisten Unternehmen konzentrieren sich Integritätsrisiken durch Drittparteien auf fünf Bereiche:
- Risiken durch Sanktionen und Behördenmaßnahmen: Geschäftspartner, die selbst gelistet sind, gelisteten Parteien gehören oder mit Behördenmaßnahmen in Verbindung stehen
- Undurchsichtige Eigentümerstrukturen: Briefkastenfirmen und komplexe Strukturen, die verbergen, wer von einer Geschäftsbeziehung letztlich profitiert
- Betrug und finanzielle Schieflage: Geschäftspartner mit Betrugsvorwürfen, Rechtsstreitigkeiten oder Insolvenzverfahren, die Fortbestand und Zahlungsfähigkeit gefährden
- Korruption: Vermittler und Zwischenhändler, besonders in Hochrisikomärkten, deren Verhalten eine Haftung für das vertretene Unternehmen auslösen kann
- ESG- und Reputationsrisiken: Umweltverstöße, Ausbeutung von Arbeitskräften und Menschenrechtsverletzungen in der Lieferkette, die zunehmend regulatorische wie auch reputationsbezogene Folgen haben
Diese Risiken haben eines gemeinsam: sie werden selten zuerst über offizielle Kanäle bekannt. Sie tauchen in lokalsprachigen Nachrichten, Gerichtsakten und Registern auf, oft Monate oder Jahre bevor eine offizielle Liste nachzieht.
Was ist Due Diligence bei Drittparteien?
Die Due Diligence bei Drittparteien ist die prüfende Seite von TPRM: die Kontrollen, die vor Aufnahme einer Geschäftsbeziehung und während ihrer gesamten Dauer bei einem Geschäftspartner durchgeführt werden. Ein angemessener, risikobasierter Due Diligence Prozess umfasst in der Regel:
Identitätsprüfung und Eigentümerstruktur. Zu bestätigen ist, dass der Geschäftspartner existiert, ordnungsgemäß eingetragen ist und, entscheidend, wem er letztlich gehört und wer ihn kontrolliert. Risiken verbergen sich in Netzwerken: Ein unauffälliger Lieferant kann zwei Ebenen höher einer sanktionierten Person gehören. Genau hier zählen Unternehmensstruktur und UBO-Daten, damit Risiken über die gesamte Eigentümerkette und nicht nur auf Ebene des einzelnen Unternehmens bewertet werden.
Screening. Jeder neue Geschäftspartner wird gegen Sanktions-, Behörden- und PEP-Daten sowie gegen adverse media geprüft. Offizielle Listen sind nachlaufende Indikatoren, die Nachrichtenlage ist der vorlaufende. Adverse media-Monitoring in lokalsprachigen Quellen erfasst die Korruptionsermittlung oder die umweltrechtliche Maßnahme, die eine reine Listenprüfung vollständig übersehen würde.
Risikobasierte Prüftiefe. Nicht jede Drittpartei erfordert dieselbe Prüfung. Ein risikobasierter Ansatz sieht für Beziehungen mit hohem Risiko eine verstärkte Due Diligence vor (Vermittler in Hochrisikomärkten, komplexe Eigentümerstrukturen, hohe Auftragswerte) und in den übrigen Fällen leichtere Kontrollen, wobei die Begründung dokumentiert wird.
Laufende Überwachung. Risiken durch Drittparteien verändern sich ständig. Eigentümerwechsel, Behördenmaßnahmen und Insolvenzanträge treten mitten in einer laufenden Beziehung auf, und ein jährlicher Prüfzyklus bedeutet elf Monate ohne Sicht. Die laufende Überwachung von Drittparteien löst die regelmäßige Einzelprüfung als erwarteten Standard zunehmend ab.
Dokumentation. Ob es um ein Kundenaudit, das KYC-Team einer Bank oder eine Aufsichtsbehörde geht: Sanktionsdurchsetzung, CSDDD und Lieferkettengesetze verlangen alle denselben Nachweis. Was wurde geprüft, was wurde gefunden und warum wurde die Beziehung fortgeführt?
TPRM Plattformen und Risikoinformationen zu Drittparteien: zwei verschiedene Werkzeuge
Bei der Suche nach "Third-Party Risk Management Software" gibt es zwei grundlegend verschiedene Produktkategorien. Viele Auswahlprozesse laufen schief, weil beide vermischt werden.
TPRM Plattformen sind die Workflow-Ebene. Sie führen das Verzeichnis der Drittparteien, versenden Fragebögen zur Bewertung, verwalten Verträge und Maßnahmen und begleiten den Lebenszyklus jeder Beziehung. Sie sind führende Systeme: Sie ordnen den Prozess, kennen aber nur das, was Unternehmen oder Lieferanten dort eintragen.
Risikoinformationen zu Drittparteien sind die Informationsebene. Sie beantworten die Frage, die die Workflow-Ebene nicht beantworten kann: Was geschieht mit diesem Geschäftspartner tatsächlich in der Außenwelt? Sanktionslistungen, Behördenmaßnahmen, Adverse Media, Eigentümerwechsel, Insolvenzanträge. Ohne diese Ebene ist ein TPRM Programm eine gut sortierte Sammlung selbst ausgefüllter Fragebögen.
Ausgereifte Programme verbinden beides: eine Workflow-Plattform als führendes System, die über eine API laufend mit externen Risikoinformationen versorgt wird. Bei der Bewertung der Informationsebene zählen vor allem:
- Datenbreite: Sanktionen, Behördenmaßnahmen, Adverse Media, Unternehmensstruktur und UBO aus einer Quelle statt von fünf Anbietern
- Sprachabdeckung: Risikosignale aus den Märkten, in denen die eigenen Lieferanten tatsächlich tätig sind
- Portfoliogröße: laufende Überwachung von Tausenden Unternehmen ohne Begrenzung je Upload
- Störsignale herausfiltern: Filterung nach Wesentlichkeit und präzise Zuordnung von Unternehmen, damit Meldungen aussagekräftig sind
- Integration und Nachvollziehbarkeit: Anbindung per API an die eigene TPRM Plattform oder das Beschaffungssystem, wobei jedes Signal bis zur Quelle nachvollziehbar bleibt
Wie Business Radar in ein TPRM Programm passt
Business Radar ist eine Plattform für Risikoinformationen zu Drittparteien und bewusst kein Workflow-Werkzeug: Die Plattform ergänzt das bereits eingesetzte TPRM System um die externen Signale, die dort fehlen. Täglich werden mehr als 17 Millionen Nachrichtenquellen aus über 100.000 geprüften Medien ausgewertet und in mehr als 210 Risikoarten eingeordnet, dazu kommen über 350 Sanktions- und Behördenlisten. Über die Partnerschaft mit Dun & Bradstreet werden Unternehmensstrukturen und wirtschaftlich Berechtigte gemeinsam mit den Risikosignalen abgebildet. Dadurch wird die Risikolage über die gesamte Eigentümerkette sichtbar, einschließlich Geschäftsführung, Tochtergesellschaften und verbundener Unternehmen.
Teams laden ganze Portfolios von Lieferanten oder Geschäftspartnern über Excel, CSV oder API hoch und überwachen sie laufend, unabhängig von der Portfoliogröße. Die Wesentlichkeitsmarkierung trennt bedeutende Ereignisse vom Rauschen, und die Ereignis-Zeitleiste zeigt, wann und warum das Risiko eines Geschäftspartners gestiegen ist. Analysten prüfen dadurch die Ausschläge und nicht jede einzelne Meldung. Jedes Signal ist erklärbar und mit seiner Quelle verknüpft, sodass die Dokumentation nebenbei entsteht und keine separate Aufgabe mehr ist. In der Praxis ist der Zugewinn an Übersicht deutlich: 9 von 10 Compliance Teams finden kritische Risiken, die klassische Prüfungen vollständig übersehen haben, und Nutzer berichten von durchschnittlich 32 Prozent mehr Effizienz gegenüber herkömmlichen Screening Tools.
Häufig gestellte Fragen
Was bedeutet TPRM? TPRM steht für Third-Party Risk Management: das Erkennen, Bewerten und Überwachen von Risiken, die aus Lieferanten, Dienstleistern und anderen Geschäftspartnern entstehen.
Was ist Due Diligence bei Drittparteien? Die Due Diligence bei Drittparteien umfasst die Prüfungen eines Geschäftspartners vor Aufnahme der Beziehung und während ihrer gesamten Dauer: Bestätigung des Unternehmens, Eigentümerstruktur, Screening auf Sanktionen und Adverse Media sowie laufende Überwachung.
Gelten EU-Sanktionen auch für Unternehmen außerhalb des Finanzsektors? Ja. EU-Sanktionen sind für alle Personen und Unternehmen in der EU verbindlich. Unternehmen können über Geschäftspartner, die gelisteten Parteien gehören oder von ihnen kontrolliert werden, gegen Sanktionen verstoßen, auch ohne direkten Kontakt zu einem gelisteten Namen.
Worin unterscheiden sich eine TPRM Plattform und Risikoinformationen zu Drittparteien? Eine TPRM Plattform steuert den Workflow: Verzeichnisse, Bewertungen, Verträge und Maßnahmen. Risikoinformationen zu Drittparteien liefern die externen Daten (Sanktionen, adverse media, Eigentümerstrukturen, Behördenmaßnahmen), die die Workflow-Ebene nicht selbst erzeugen kann. Ausgereifte Programme nutzen beides, verbunden über eine API.
Gilt die CSDDD nach den Omnibus-Änderungen von 2026 weiterhin? Ja. Der Anwendungsbereich wurde auf die größten Unternehmen verengt (mehr als 5.000 Beschäftigte und 1,5 Milliarden Euro Umsatz) und die Fristen wurden auf 2029 verschoben. Die Kernpflicht bleibt bestehen: eine risikobasierte Due Diligence zu Menschenrechten und Umwelt entlang der Wertschöpfungskette, mit Erwartungen, die sich durch die Lieferketten fortsetzen.
