Cybervize

Technische Daten nach ITAR: Deemed Export, Staatsangehörigkeiten und verschlüsselte Ablage

USA: Rüstungsexport (ITAR)CISOIT-LeitungEngineering

Herausgeber: Cybervize Redaktion

Kernaussage

Die Freigabe technischer Daten an eine ausländische Person in den USA ist nach 22 CFR 120.50(a)(2) ein Export ("deemed export"); er gilt als Export in alle Länder, deren Staatsangehörigkeit die Person besitzt oder besessen hat oder in denen sie dauerhaft aufenthaltsberechtigt ist (120.50(b)). Außerhalb der USA ist die Freigabe an eine ausländische Person eines anderen Landes als des Freigabelandes ein Reexport (120.51(a)(2), (b)), die Freigabe an Staatsangehörige oder Daueraufenthaltsberechtigte des Freigabelandes ein Retransfer (120.52(a)(2)). Die ITAR stellen damit auf alle Staatsangehörigkeiten ab, auch frühere, und nicht nur wie die EAR auf das letzte Land der Staatsangehörigkeit oder des Daueraufenthalts.

Kein Export, Reexport oder Retransfer ist nach 120.54(a)(5) das Senden, Mitnehmen oder Speichern technischer Daten, wenn sie nicht eingestuft sind, Ende-zu-Ende verschlüsselt sind, die Verschlüsselung Modulen nach FIPS 140-2 oder Nachfolgern mit ergänzenden Verfahren nach NIST-Leitlinien oder anderen kryptografischen Mitteln mit mindestens der Sicherheitsstärke von AES-128 entspricht, die Daten nicht absichtlich an eine Person in einem in 126.1 genannten Land gesendet oder dort gespeichert und nicht aus einem solchen Land gesendet werden; empfangen darf die Daten nur der Absender selbst, eine US-Person in den USA oder eine anderweitig zum Empfang berechtigte Person, etwa aufgrund einer Genehmigung (120.54(b)(2)).

Auf dieser Seite
  1. Problem in der Praxis
  2. CISO-Einordnung
  3. Umsetzungsperspektive
  4. Typische Fehler
  5. Risiken und Trade-offs
  6. Entscheidungspunkte
  7. Praktische Empfehlungen
  8. Relevante Normreferenzen

Problem in der Praxis

Engineering-Teams in Deutschland sind international besetzt, und Mitarbeitende haben oft mehrere oder frühere Staatsangehörigkeiten. Wer den Zugriff auf technische Daten nur nach der aktuellen Staatsangehörigkeit steuert, übersieht, dass die ITAR alle Staatsangehörigkeiten berücksichtigen. In der Cloud ist zu klären, ob die Daten die Voraussetzungen der Verschlüsselungsausnahme erfüllen und wo sie gespeichert werden.

CISO-Einordnung

  • Deemed export (120.50(a)(2), (b)): Freigabe technischer Daten an eine ausländische Person in den USA; Zuordnung zu allen Ländern, deren Staatsangehörigkeit sie besitzt oder besaß oder in denen sie dauerhaft aufenthaltsberechtigt ist.
  • Deemed reexport und Retransfer (120.51(a)(2), 120.52(a)(2)): außerhalb der USA Freigabe an Personen eines anderen Landes als des Freigabelandes (Reexport) oder an Staatsangehörige oder Daueraufenthaltsberechtigte des Freigabelandes (Retransfer).
  • Verteidigungsdienstleistung (120.50(a)(5), 120.32): Auch die Weitergabe kontrollierter technischer Daten an ausländische Personen und Unterstützung bei Verteidigungsgütern können einen Export in Form einer Verteidigungsdienstleistung darstellen.
  • Verschlüsselte Ablage (120.54(a)(5)): nicht eingestuft; Ende-zu-Ende verschlüsselt; Module nach FIPS 140-2 oder Nachfolgern mit ergänzenden Verfahren nach NIST-Leitlinien oder andere kryptografische Mittel mit mindestens der Sicherheitsstärke von AES-128; nicht absichtlich an eine Person in einem 126.1-Land gesendet oder dort gespeichert; nicht aus einem 126.1-Land gesendet; vorgesehener Empfänger ist der Absender selbst, eine US-Person in den USA oder eine anderweitig zum Empfang berechtigte Person (120.54(b)(2)).
  • Unterschied zur EAR (15 CFR 734.18(a)(5)): Die EAR knüpfen bei der Speicherung an Länder der Gruppe D:5 an und lassen andere gleich oder stärker wirksame Mittel zu; die ITAR an die Länder nach 126.1, mit der AES-128-Referenz und dem zusätzlichen Verbot des Versands aus einem 126.1-Land.

Umsetzungsperspektive

  • Technische Daten aus US-Rüstungsprogrammen kennzeichnen und in eigenen Bereichen ablegen.
  • Zugriffsberechtigungen unter Berücksichtigung aller Staatsangehörigkeiten und Daueraufenthaltsrechte prüfen, soweit rechtlich zulässig.
  • Ende-zu-Ende-Verschlüsselung mit geeigneten Verfahren und eigener Schlüsselhoheit einsetzen.
  • Speicherorte und Zugriffe aus Ländern nach 126.1 ausschließen.
  • Schulungen und Support für ausländische Kunden auf Verteidigungsdienstleistungen prüfen.

Typische Fehler

  1. Nur die aktuelle Staatsangehörigkeit wird berücksichtigt.
  2. Die EAR-Regel zur Cloud-Ablage wird auf ITAR-Daten übertragen.
  3. Der Cloud-Anbieter hält die Schlüssel, sodass keine Ende-zu-Ende-Verschlüsselung vorliegt.
  4. Datenübermittlungen aus einem 126.1-Land, etwa auf Dienstreisen, werden nicht bedacht.
  5. Technische Daten werden in allgemeinen Kollaborationsplattformen abgelegt.

Risiken und Trade-offs

Die Steuerung nach Staatsangehörigkeiten berührt Arbeits- und Datenschutzrecht in Deutschland und muss sorgfältig gestaltet werden. Strenge Verschlüsselung erleichtert die Cloud-Nutzung, schränkt aber Zusammenarbeit und Suchfunktionen ein.

Entscheidungspunkte

  • Welche Daten sind technische Daten im Sinne der ITAR?
  • Wie werden Staatsangehörigkeiten und Daueraufenthaltsrechte bei der Zugriffsvergabe berücksichtigt?
  • Erfüllt die Ablage die Voraussetzungen von 120.54(a)(5)?

Praktische Empfehlungen

  1. Trennen Sie ITAR-Daten technisch von übrigen Daten.
  2. Berücksichtigen Sie bei Zugriffsrechten alle Staatsangehörigkeiten, soweit zulässig.
  3. Verschlüsseln Sie Ende-zu-Ende mit eigener Schlüsselhoheit.
  4. Schließen Sie Speicherung in und Versand aus Ländern nach 126.1 aus.
  5. Prüfen Sie Support und Schulungen auf Verteidigungsdienstleistungen.

Relevante Normreferenzen

  • 22 CFR 120.32, 120.33, 120.50 bis 120.54, 126.1 (eCFR, Stand 07.10.2026); 15 CFR 734.13, 734.14, 734.18 (Vergleich; Snapshot im Quellensatz dieses Tracks).

Häufige Fragen

Welche Staatsangehörigkeit zählt beim deemed export?+

Alle Staatsangehörigkeiten, die die Person besitzt oder besessen hat, und alle Länder, in denen sie dauerhaft aufenthaltsberechtigt ist (120.50(b), 120.51(b)).

Dürfen wir ITAR-Daten in der Cloud speichern?+

Ohne Export, Reexport oder Retransfer, wenn die Voraussetzungen von 120.54(a)(5) erfüllt sind: nicht eingestuft, Ende-zu-Ende verschlüsselt mit Modulen nach FIPS 140-2 oder Nachfolgern samt ergänzenden Verfahren oder mit Mitteln von mindestens der Sicherheitsstärke von AES-128, keine absichtliche Versendung an Personen in oder Speicherung in einem 126.1-Land und kein Versand aus einem solchen Land; Empfänger dürfen nur der Absender, eine US-Person in den USA oder eine anderweitig berechtigte Person sein.

Gilt das Gleiche wie bei der EAR?+

Nein. Die ITAR stellen auf alle Staatsangehörigkeiten und auf die Länder nach 126.1 ab; die EAR auf das letzte Land der Staatsangehörigkeit oder des Daueraufenthalts und bei der Speicherung auf die Gruppe D:5.

Vom Wissen zur Umsetzung

Sie wissen jetzt, was gefordert ist. Erfüllt ist es erst, wenn jemand es umsetzt und nachweist. Ohne eigenen CISO übernimmt das ein externer CISO (vCISO), ab 3.600 €/Monat; er arbeitet mit OdySecure.

Erstgespräch vereinbaren

Mit eigenem Team: OdySecure ansehen

Standort bestimmen Fünf Stationen von der ersten Einordnung bis zum Audit, der Einstieg ist kostenlos.

Verwandte Artikel

Teil der Cybervize-Wissensbasis, Stand 29. Oktober 2026. Eigene Fachredaktion, KI ausschließlich zur redaktionellen Unterstützung. Referenz: itar-003.