Technologie, Deemed Export und Cloud: wann die Weitergabe von Wissen unter die EAR fällt

Problem in der Praxis

In deutschen Konzernen arbeiten Teams mehrerer Staatsangehörigkeiten an Entwicklungsdaten, die US-Technologie enthalten; Daten liegen in Cloud-Diensten mit Rechenzentren in verschiedenen Ländern. Wer Zugriffsrechte nur nach Abteilung vergibt, kann unbemerkt einen deemed reexport auslösen. Umgekehrt wird Cloud-Speicherung oft vorschnell als Export gewertet, obwohl die Ausnahme für verschlüsselte Daten greifen kann.

CISO-Einordnung

• Deemed export (734.13(a)(2), (b)): Freigabe von Technologie oder Quellcode (nicht Objektcode) an eine ausländische Person in den USA; für Quell- und Objektcode von Verschlüsselungs-Software gilt nach 734.17 ein eigener Exportbegriff, der unter anderem die Übermittlung aus den USA, die Übergabe an eine Botschaft oder Vertretung eines fremden Staates in den USA und bei bestimmter Software der ECCN 5D002 auch das Bereitstellen zum Abruf außerhalb der USA ohne ausreichende Vorkehrungen umfasst; zugeordnet dem letzten Staatsangehörigkeits- oder Daueraufenthaltsland.
• Deemed reexport (734.14(a)(2), (b)): Freigabe außerhalb der USA an eine Person eines anderen Staates als des Freigabelandes; Ausnahmen nach 734.20, etwa wenn das freigebende Unternehmen zum Empfang berechtigt ist und weiß, dass ein Export in das maßgebliche Land der Person genehmigungsfrei oder mit Lizenzausnahme zulässig wäre.
• Verschlüsselte Ablage (734.18(a)(5), (b), (c)): kein Export bei nicht eingestufter Technologie oder Software, Ende-zu-Ende-Verschlüsselung, Modulen nach FIPS 140-2 oder Nachfolgern mit ergänzenden Verfahren oder anderen gleich oder stärker wirksamen kryptografischen Mitteln und ohne absichtliche Speicherung in einem Land der Gruppe D:5; Daten auf dem Transportweg im Internet gelten nicht als gespeichert; Zugriff auf die verschlüsselte Form ist keine Freigabe.
• Begriff der ausländischen Person (772.1): jede natürliche Person, die weder US-Staatsbürger noch in den USA dauerhaft aufenthaltsberechtigt noch geschützte Person nach 8 U.S.C. 1324b(a)(3) ist, sowie Unternehmen, die nicht in den USA gegründet oder zur Geschäftstätigkeit dort organisiert sind. Deutsche Mitarbeitende eines deutschen Unternehmens sind danach ausländische Personen, sofern sie nicht zugleich US-Staatsbürger, in den USA dauerhaft aufenthaltsberechtigt oder geschützte Personen sind; für den deemed reexport kommt es darauf an, ob die Person einem anderen Staat angehört als dem Land der Freigabe.

Für die IT-Sicherheit heißt das: Zugriffssteuerung, Schlüsselverwaltung und Speicherorte sind Teil der Exportkontrolle.

Umsetzungsperspektive

• Technologie und Quellcode, die der EAR unterliegen, kennzeichnen.
• Zugriffsrechte an Staatsangehörigkeit und Daueraufenthalt koppeln, soweit erforderlich und rechtlich zulässig.
• Verschlüsselung Ende-zu-Ende mit geeigneten Modulen umsetzen und Schlüssel getrennt verwalten.
• Speicherorte in Ländern der Gruppe D:5 ausschließen.
• Prüfen, ob Ausnahmen nach 734.20 greifen, bevor Ausländer Zugriff erhalten.

Typische Fehler

1. Weitergabe an ausländische Kollegen in Deutschland wird nicht als möglicher deemed reexport erkannt.
2. Cloud-Speicherung wird ohne Prüfung der Verschlüsselungsausnahme als Export behandelt oder umgekehrt ohne Prüfung als unbedenklich.
3. Der Cloud-Anbieter hält die Schlüssel, sodass keine Ende-zu-Ende-Verschlüsselung vorliegt.
4. Rechenzentren in Ländern der Gruppe D:5 werden nicht ausgeschlossen.
5. Objektcode und Quellcode werden nicht unterschieden.

Risiken und Trade-offs

Strenge Zugriffssteuerung nach Staatsangehörigkeit senkt das Risiko, berührt aber arbeitsrechtliche und datenschutzrechtliche Fragen in Deutschland. Ende-zu-Ende-Verschlüsselung erleichtert die Cloud-Nutzung, schränkt aber Funktionen wie serverseitige Suche ein.

Entscheidungspunkte

• Welche Daten enthalten Technologie oder Quellcode, die der EAR unterliegen?
• Wer erhält Zugriff, und welche Staatsangehörigkeiten sind betroffen?
• Erfüllt die Cloud-Ablage die Voraussetzungen von 734.18(a)(5)?

Praktische Empfehlungen

1. Klassifizieren Sie Technologie und Quellcode mit US-Bezug.
2. Steuern Sie Zugriffe auf diese Daten exportkontrollgerecht.
3. Setzen Sie Ende-zu-Ende-Verschlüsselung mit eigener Schlüsselhoheit ein.
4. Schließen Sie Speicherorte in Ländern der Gruppe D:5 aus.
5. Dokumentieren Sie die Prüfung von 734.20, bevor Ausländer Zugriff erhalten.

Relevante Normreferenzen

• 15 CFR 734.13, 734.14, 734.17, 734.18, 734.20 und 772.1 (eCFR, Stand 07.10.2026).