Die Regulierung von Finanzkriminalität wurde mit Blick auf Banken geschrieben, doch das Risiko endet nicht im Bankensektor. Jedes Unternehmen mit Lieferanten, Händlern, Vermittlern oder Kunden trägt über diese Beziehungen ein Risiko. Ein sanktioniertes Unternehmen, das sich hinter einer Briefkastenfirma verbirgt, ein Lieferant, gegen den wegen Ausbeutung von Arbeitskräften ermittelt wird, ein Händler, der Waren unbemerkt in Embargomärkte umleitet: jeder dieser Fälle ist ein Risiko durch Drittparteien und kann ein Unternehmen Aufträge, Bankbeziehungen und Reputation kosten.
Dieser Leitfaden erklärt, was Third-Party Risk Management (TPRM) bedeutet, was die Due Diligence bei Drittparteien umfasst, warum sich die regulatorischen Anforderungen für europäische Unternehmen verschieben und wie sich die beiden sehr unterschiedlichen Kategorien von Tools am Markt unterscheiden lassen.
Was ist Third-Party Risk Management? (Bedeutung von TPRM)
Third-Party Risk Management, meist als TPRM abgekürzt, umfasst das Erkennen, Bewerten und Überwachen der Risiken, die aus den Geschäftsbeziehungen einer Organisation entstehen: Lieferanten, Dienstleister, Händler, Vermittler, Joint-Venture-Partner und Kunden. Traditionell lag der Schwerpunkt von TPRM auf operativen und IT-Risiken. Am schnellsten wächst inzwischen jedoch das Integritätsrisiko: Finanzkriminalität, Sanktionsrisiken, Korruption und ESG-Verstöße im Umfeld von Geschäftspartnern.
Die Kernfrage von TPRM klingt einfacher, als sie ist: Wissen wir tatsächlich, mit wem wir Geschäfte machen, und würden wir es weiterhin tun, wenn wir es wüssten?
Warum Risiken durch Drittparteien in Unternehmen immer wichtiger werden
Drei Entwicklungen treffen zusammen und betreffen europäische Unternehmen:
Sanktionen gelten für alle. EU-Sanktionen sind für alle Unternehmen in der EU unmittelbar verbindlich, nicht nur für Finanzinstitute. Seit 2022 wurden die Sanktionsregime deutlich ausgeweitet, und die Aufmerksamkeit der Behörden richtet sich verstärkt auf Umgehung: Waren und Zahlungen, die über Drittstaaten umgeleitet werden. Ein Unternehmen, das seine Geschäftspartner nicht prüft, kann gegen Sanktionen verstoßen, ohne je direkt mit einem gelisteten Namen zu tun zu haben, weil das Risiko eine Eigentümerebene tiefer lag.
Der Kreis der Verpflichteten wird größer. Das neue AML-Paket der EU erweitert den Status als verpflichtetes Unternehmen über Banken hinaus, etwa auf den Handel mit hochwertigen Gütern, auf Crowdfunding-Plattformen und sogar auf Profifußballvereine. Auch Unternehmen außerhalb dieses formalen Kreises spüren die Wirkung indirekt: Die Banken dieser Unternehmen unterliegen strengeren Regeln, verlangen mehr Unterlagen und bessere Auskünfte zu Geschäftspartnern und trennen sich von Beziehungen, in denen diese Angaben fehlen.
Sorgfaltspflichten werden gesetzlich verankert. Die Corporate Sustainability Due Diligence Directive (CSDDD) in der Fassung vom Februar 2026 verpflichtet die größten in der EU tätigen Unternehmen zu einer risikobasierten Due Diligence in den Bereichen Menschenrechte und Umwelt entlang ihrer Aktivitätsketten, anzuwenden ab 2029. Die Wirkung reicht über die formal erfassten Unternehmen hinaus: Erwartungen an die Sorgfaltspflicht werden über Kundenanforderungen und Vertragsklauseln in die Lieferketten weitergegeben. Angrenzende Regelwerke wie die EU-Entwaldungsverordnung (ab Dezember 2026) und die Verordnung gegen Zwangsarbeit (ab Dezember 2027) weisen in dieselbe Richtung: laufende und dokumentierte Compliance bei Drittparteien wird zum Normalfall.
Die wichtigsten Risiken durch Drittparteien
Bei den meisten Unternehmen konzentrieren sich Integritätsrisiken durch Drittparteien auf fünf Bereiche:
- Risiken durch Sanktionen und Behördenmaßnahmen: Geschäftspartner, die selbst gelistet sind, gelisteten Parteien gehören oder mit Behördenmaßnahmen in Verbindung stehen
- Undurchsichtige Eigentümerstrukturen: Briefkastenfirmen und komplexe Strukturen, die verbergen, wer von einer Geschäftsbeziehung letztlich profitiert
- Betrug und finanzielle Schieflage: Geschäftspartner mit Betrugsvorwürfen, Rechtsstreitigkeiten oder Insolvenzverfahren, die Fortbestand und Zahlungsfähigkeit gefährden
- Korruption: Vermittler und Zwischenhändler, besonders in Hochrisikomärkten, deren Verhalten eine Haftung für das vertretene Unternehmen auslösen kann
- ESG- und Reputationsrisiken: Umweltverstöße, Ausbeutung von Arbeitskräften und Menschenrechtsverletzungen in der Lieferkette, die zunehmend regulatorische wie auch reputationsbezogene Folgen haben
Diese Risiken haben eines gemeinsam: sie werden selten zuerst über offizielle Kanäle bekannt. Sie tauchen in lokalsprachigen Nachrichten, Gerichtsakten und Registern auf, oft Monate oder Jahre bevor eine offizielle Liste nachzieht.
Was ist Due Diligence bei Drittparteien?
Die Due Diligence bei Drittparteien ist die prüfende Seite von TPRM: die Kontrollen, die vor Aufnahme einer Geschäftsbeziehung und während ihrer gesamten Dauer bei einem Geschäftspartner durchgeführt werden. Ein angemessener, risikobasierter Due Diligence Prozess umfasst in der Regel:
Entity verification and ownership. Confirm the counterparty exists, is in good standing, and, critically, who ultimately owns and controls it. Risk hides in networks: a clean-looking supplier can be owned by a sanctioned individual two layers up. This is where corporate structure and UBO data matters, so risk is assessed through the full ownership chain rather than at the entity level alone.
Screening. Check every new business partner against sanctions, enforcement, and PEP data, and against adverse media. Official lists are lagging indicators; the news is the leading one. Adverse media monitoring across local-language sources catches the corruption investigation or environmental enforcement action that a list-only check would miss entirely.
Risikobasierte Prüftiefe. Nicht jede Drittpartei erfordert dieselbe Prüfung. Ein risikobasierter Ansatz sieht für Beziehungen mit hohem Risiko eine verstärkte Due Diligence vor (Vermittler in Hochrisikomärkten, komplexe Eigentümerstrukturen, hohe Auftragswerte) und in den übrigen Fällen leichtere Kontrollen, wobei die Begründung dokumentiert wird.
Laufende Überwachung. Risiken durch Drittparteien verändern sich ständig. Eigentümerwechsel, Behördenmaßnahmen und Insolvenzanträge treten mitten in einer laufenden Beziehung auf, und ein jährlicher Prüfzyklus bedeutet elf Monate ohne Sicht. Die laufende Überwachung von Drittparteien löst die regelmäßige Einzelprüfung als erwarteten Standard zunehmend ab.
Dokumentation. Ob es um ein Kundenaudit, das KYC-Team einer Bank oder eine Aufsichtsbehörde geht: Sanktionsdurchsetzung, CSDDD und Lieferkettengesetze verlangen alle denselben Nachweis. Was wurde geprüft, was wurde gefunden und warum wurde die Beziehung fortgeführt?
TPRM Plattformen und Risikoinformationen zu Drittparteien: zwei verschiedene Werkzeuge
Bei der Suche nach "Third-Party Risk Management Software" gibt es zwei grundlegend verschiedene Produktkategorien. Viele Auswahlprozesse laufen schief, weil beide vermischt werden.
TPRM Plattformen sind die Workflow-Ebene. Sie führen das Verzeichnis der Drittparteien, versenden Fragebögen zur Bewertung, verwalten Verträge und Maßnahmen und begleiten den Lebenszyklus jeder Beziehung. Sie sind führende Systeme: Sie ordnen den Prozess, kennen aber nur das, was Unternehmen oder Lieferanten dort eintragen.
Risikoinformationen zu Drittparteien sind die Informationsebene. Sie beantworten die Frage, die die Workflow-Ebene nicht beantworten kann: Was geschieht mit diesem Geschäftspartner tatsächlich in der Außenwelt? Sanktionslistungen, Behördenmaßnahmen, Adverse Media, Eigentümerwechsel, Insolvenzanträge. Ohne diese Ebene ist ein TPRM Programm eine gut sortierte Sammlung selbst ausgefüllter Fragebögen.
Ausgereifte Programme verbinden beides: eine Workflow-Plattform als führendes System, die über eine API laufend mit externen Risikoinformationen versorgt wird. Bei der Bewertung der Informationsebene zählen vor allem:
- Datenbreite: Sanktionen, Behördenmaßnahmen, Adverse Media, Unternehmensstruktur und UBO aus einer Quelle statt von fünf Anbietern
- Sprachabdeckung: Risikosignale aus den Märkten, in denen die eigenen Lieferanten tatsächlich tätig sind
- Portfoliogröße: laufende Überwachung von Tausenden Unternehmen ohne Begrenzung je Upload
- Störsignale herausfiltern: Filterung nach Wesentlichkeit und präzise Zuordnung von Unternehmen, damit Meldungen aussagekräftig sind
- Integration und Nachvollziehbarkeit: Anbindung per API an die eigene TPRM Plattform oder das Beschaffungssystem, wobei jedes Signal bis zur Quelle nachvollziehbar bleibt
Wie Business Radar in ein TPRM Programm passt
Business Radar ist eine Plattform für Risikoinformationen zu Drittparteien und bewusst kein Workflow-Werkzeug: Die Plattform ergänzt das bereits eingesetzte TPRM System um die externen Signale, die dort fehlen. Täglich werden mehr als 17 Millionen Nachrichtenquellen aus über 100.000 geprüften Medien ausgewertet und in mehr als 210 Risikoarten eingeordnet, dazu kommen über 350 Sanktions- und Behördenlisten. Über die Partnerschaft mit Dun & Bradstreet werden Unternehmensstrukturen und wirtschaftlich Berechtigte gemeinsam mit den Risikosignalen abgebildet. Dadurch wird die Risikolage über die gesamte Eigentümerkette sichtbar, einschließlich Geschäftsführung, Tochtergesellschaften und verbundener Unternehmen.
Teams laden ganze Portfolios von Lieferanten oder Geschäftspartnern über Excel, CSV oder API hoch und überwachen sie laufend, unabhängig von der Portfoliogröße. Die Wesentlichkeitsmarkierung trennt bedeutende Ereignisse vom Rauschen, und die Ereignis-Zeitleiste zeigt, wann und warum das Risiko eines Geschäftspartners gestiegen ist. Analysten prüfen dadurch die Ausschläge und nicht jede einzelne Meldung. Jedes Signal ist erklärbar und mit seiner Quelle verknüpft, sodass die Dokumentation nebenbei entsteht und keine separate Aufgabe mehr ist. In der Praxis ist der Zugewinn an Übersicht deutlich: 9 von 10 Compliance Teams finden kritische Risiken, die klassische Prüfungen vollständig übersehen haben, und Nutzer berichten von durchschnittlich 32 Prozent mehr Effizienz gegenüber herkömmlichen Screening Tools.
Häufig gestellte Fragen
Was bedeutet TPRM? TPRM steht für Third-Party Risk Management: das Erkennen, Bewerten und Überwachen von Risiken, die aus Lieferanten, Dienstleistern und anderen Geschäftspartnern entstehen.
Was ist Due Diligence bei Drittparteien? Die Due Diligence bei Drittparteien umfasst die Prüfungen eines Geschäftspartners vor Aufnahme der Beziehung und während ihrer gesamten Dauer: Bestätigung des Unternehmens, Eigentümerstruktur, Screening auf Sanktionen und Adverse Media sowie laufende Überwachung.
Do EU sanctions apply to non-financial companies? Yes. EU sanctions are binding on all EU persons and companies. Corporates can breach sanctions through counterparties owned or controlled by listed parties, even without dealing with a listed name directly.
What is the difference between a TPRM platform and third-party risk intelligence? A TPRM platform manages the workflow: inventories, assessments, contracts, and remediation. Third-party risk intelligence supplies the external data (sanctions, adverse media, ownership, enforcement) that the workflow layer cannot generate itself. Mature programmes use both, connected via API.
Gilt die CSDDD nach den Omnibus-Änderungen von 2026 weiterhin? Ja. Der Anwendungsbereich wurde auf die größten Unternehmen verengt (mehr als 5.000 Beschäftigte und 1,5 Milliarden Euro Umsatz) und die Fristen wurden auf 2029 verschoben. Die Kernpflicht bleibt bestehen: eine risikobasierte Due Diligence zu Menschenrechten und Umwelt entlang der Wertschöpfungskette, mit Erwartungen, die sich durch die Lieferketten fortsetzen.
