ITAR, EAR und Ihr SaaS: Wenn der Verkauf von Software ins Ausland Sie stillschweigend zum Exporteur macht

Niemand in Ihrem Unternehmen arbeitet im Export. Es gibt keine Versandabteilung, keinen Zollagenten, keine Exportabteilung. Und doch könnte Ihr SaaS-Unternehmen in dem Moment, in dem ein Kunde in einem anderen Land Ihre mobile App herunterlädt, Ihr SDK integriert oder API-Zugriff auf die falsche Funktion erhält, einen Export im Sinne des US-Rechts getätigt haben – mit Lizenz-, Screening- und Aufzeichnungspflichten. Hier erfahren Sie, wie Sie erkennen, wann das der Fall ist, und was Sie dagegen tun können.

Die beiden Regelwerke in 90 Sekunden​

Die US-Exportkontrollen laufen über zwei getrennte Systeme, die von zwei verschiedenen Behörden verwaltet werden. Die Reihenfolge ist wichtig: Sie prüfen das erste, bevor Sie das zweite prüfen.

ITAR – Verteidigungsgüter. Die International Traffic in Arms Regulations, verwaltet von der Directorate of Defense Trade Controls (DDTC) des Außenministeriums, kontrollieren Verteidigungsgüter, Verteidigungsdienstleistungen und damit verbundene technische Daten, die auf der US Munitions List (USML) aufgeführt sind. Wenn Ihre Software speziell für eine militärische Anwendung entwickelt oder modifiziert wurde – Navigation, Zielerfassung, militärische Kommunikation oder Ähnliches –, befinden Sie sich im ITAR-Bereich, wo Lizenzen schwer zu erhalten sind, nur wenige Ausnahmen gelten und zivilrechtliche Strafen pro Verstoß in den siebenstelligen Bereich gehen. Die meisten kommerziellen SaaS-Lösungen landen nie dort, aber Sie müssen dies zuerst ausschließen, denn ITAR hat immer Vorrang, wenn es anwendbar ist.

EAR – alles andere. Die Export Administration Regulations, verwaltet vom Bureau of Industry and Security (BIS) des Handelsministeriums, decken alle anderen Güter mit US-Ursprung ab, einschließlich kommerzieller Software und Technologie. Kontrollierte Güter erscheinen auf der Commerce Control List (CCL) unter einer Export Control Classification Number (ECCN); Güter, die der EAR unterliegen, aber nirgends aufgeführt sind, werden als EAR99 eingestuft. Die meisten gewöhnlichen Geschäftssoftware ist EAR99 oder eine ECCN mit geringer Empfindlichkeit, was bedeutet, dass für die meisten Ziele keine Lizenz erforderlich ist – aber „EAR99" ist immer noch eine Einstufung gemäß den Vorschriften, keine Befreiung von ihnen. Eingeschränkte Ziele, eingeschränkte Parteien und verbotene Endverwendungen können dennoch eine Lizenzpflicht auslösen.

Ein unangenehmes Merkmal gilt für beide Regelwerke: Viele Ordnungswidrigkeiten setzen keine kriminelle Absicht voraus. Der Versand – oder die Übertragung oder die Gewährung von Zugriff – auf ein kontrolliertes Gut an den falschen Ort oder die falsche Person kann eine Haftung begründen, selbst wenn niemand beabsichtigt hat, gegen die Regeln zu verstoßen. Deshalb ist die wichtigste Compliance-Gewohnheit die Klassifizierung vor der Übertragung, nicht die Erklärung, nachdem ein Durchsetzungsschreiben eingegangen ist.

Warum SaaS-Gründer annehmen, dass dies nicht auf sie zutrifft​

Die Annahme erscheint vernünftig. Nichts verlässt das Land in einer Kiste; der Code befindet sich in einem US-Rechenzentrum und ausländische Kunden interagieren lediglich über einen Browser damit. Jahrelang unterstützte die BIS-Leitlinie eine enge Version dieser Sichtweise:

• Ein Gutachten aus dem Jahr 2009 stellte fest, dass ein Cloud-Anbieter im Allgemeinen nicht der „Exporteur" ist, wenn seine Kunden gemietete Rechenkapazität nutzen, um kontrollierte Technologie zu erstellen oder zu übertragen – der Kunde ist es.
• Ein Gutachten aus dem Jahr 2011 kam zu dem Schluss, dass der Anbieter daher keine Deemed-Export-Lizenzen für seine eigenen ausländischen IT-Mitarbeiter benötigt, die möglicherweise mit Kundendaten im Netzwerk in Berührung kommen.
• Ein weithin beachtetes Gutachten aus dem Jahr 2014 stellte fest, dass die Gewährung von Zugriff auf einen „Cloud-basierten Storefront" – was wir heute als SaaS bezeichnen – keinen Export der Software selbst darstellt, sofern die Nutzer sie nicht herunterladen.

Dieses Gutachten von 2014 ist ein Hauptgrund, warum die SaaS-Branche global skalieren konnte, ohne jeden Login als Exportereignis zu behandeln. Aber es ist eng gefasst: Es deckt Nutzung ohne Download ab, ist sachverhaltsabhängig und sagt nichts über die fünf Situationen unten, in denen SaaS-Unternehmen routinemäßig die Grenze überschreiten. Und der Boden bewegt sich – dazu gleich mehr.

Fünf Wege, auf denen SaaS-Unternehmen tatsächlich zu Exporteuren werden​

1. Downloads, SDKs und mobile Apps​

Das Gutachten von 2014 schützt Zugriff ohne Download. In dem Moment, in dem eine ausländische Person Ihre Software herunterlädt – eine mobile App, einen Desktop-Client, ein SDK, einen On-Premise-Agenten, sogar ein Container-Image – ist das ein klassischer Export von Software in das Land dieser Person. Jedes Download-Ziel benötigt dann die Standardanalyse: Klassifizierung, Land, Endnutzer, Endverwendung.

Praktische Konsequenz: Wenn Ihr Produkt über eine herunterladbare Komponente verfügt, halten Sie für jedes herunterladbare Artefakt eine aktuelle ECCN- oder EAR99-Einstufung bereit und stellen Sie sicher, dass Ihre Vertriebs- und Lizenzbedingungen sanktionierte Ziele berücksichtigen, anstatt die Lücke während der Due Diligence für eine Finanzierungsrunde zu entdecken.

2. Weitergabe von Quellcode und technischen Daten an ausländische Personen​

Nach der EAR ist die Freigabe kontrollierter Technologie oder von Quellcode an einen ausländischen Staatsangehörigen innerhalb der USA ein „Deemed Export" in das Land seiner letzten Staatsbürgerschaft oder seines ständigen Wohnsitzes – eine Lizenz ist erforderlich, wenn der Export derselben Technologie in dieses Land eine erfordern würde. ITAR hat eine parallele und strengere Regel für technische Daten.

Dies ist die Falle, in die kleine Teams am wahrscheinlichsten tappen:

• Ein ausländischer Ingenieur auf Ihrer US-Gehaltsliste, der das gesamte Monorepo durchsuchen kann, benötigt möglicherweise eine Deemed-Export-Analyse für jeden kontrollierten Technologiebereich, auf den er zugreifen kann.
• Ein Offshore-Auftragnehmer mit GitHub-Zugriff auf Verschlüsselungsquellcode oder kontrollierte Algorithmen erhält Technologie in seinem Land, nicht nur „Hilfe".
• Eine Support-Bildschirmfreigabe, die einen ausländischen Kunden durch eine kontrollierte Konfiguration führt, kann eine Freigabe von Technologie sein.

Die Lösungen sind operativ, nicht exotisch: Klassifizieren Sie Ihre Technologie, segmentieren Sie den Repository-Zugriff nach Projekt, kennzeichnen Sie kontrollierte Technologie und prüfen Sie die Zugriffsentscheidung genauso, wie Sie eine Lieferung prüfen würden. Handelspraktiker nennen die schriftliche Version davon einen Technologiekontrollplan, und seine Bestandteile sind unglamourös – Übertragungssicherheit, physische Sicherheit, IT-Zugriffskontrollen, Kennzeichnung und Entsorgungsverfahren.

3. Verschlüsselung in Ihrem Produkt​

Fast jedes SaaS-Produkt verwendet Verschlüsselung – TLS bei der Übertragung, AES im Ruhezustand, Bibliotheken wie OpenSSL oder Plattform-Krypto-APIs. Verschlüsselungssoftware und -technologie werden aus Gründen der nationalen Sicherheit kontrolliert, typischerweise unter ECCNs wie 5D002 (Software) und 5E002 (Technologie).

Die gute Nachricht ist, dass BIS einen breiten Einstieg für gewöhnliche kommerzielle Kryptographie geschaffen hat:

• Die meisten Massenmarkt-Verschlüsselungsprodukte qualifizieren sich für eine erleichterte Behandlung (die 5x992-Gruppe) anstelle eines Lizenzantrags.
• License Exception ENC (15 CFR § 740.17) autorisiert Export und Reexport förderfähiger Verschlüsselungsgüter ohne Lizenz, und eine Regel aus dem Jahr 2021 beseitigte mehrere alte Belastungen, einschließlich der meisten Vorabmeldungen für öffentlich verfügbaren Verschlüsselungsquellcode.
• Eine Verschlüsselungsregistrierung bei BIS ist nicht mehr erforderlich.

Die verbleibende Verpflichtung, die Startups am häufigsten übersehen, ist Papierkram, nicht Erlaubnis: Exporteure, die Verschlüsselungsprodukte unter License Exception ENC(b)(1) selbst einstufen, müssen in der Regel einen jährlichen Selbsteinstufungsbericht bei BIS einreichen, der das vorangegangene Kalenderjahr abdeckt und bis zum 1. Februar fällig ist. Setzen Sie ihn in den Compliance-Kalender neben Ihre Steuerfristen und führen Sie eine ständige Exportklassifizierungsliste für jedes Produkt und jede Komponente, damit sich der Bericht von selbst schreibt.

4. API-Zugriff auf kontrollierte Technologie – einschließlich KI-Modelle​

Für gewöhnliche SaaS-Funktionen liegt Browser-und-API-Zugriff ohne Download weiterhin unter dem Gutachten von 2014. Aber die Regulierungsbehörden haben begonnen, die Technologie mit der höchsten Empfindlichkeit herauszulösen. Das Handelsministerium hat sich bewegt, den entfernten, API-basierten Zugriff auf fortschrittliche KI-Modelle als kontrollierte „Freigabe" des Modells zu behandeln – ein scharfer Bruch mit der historischen Position, dass entfernte Interaktion ohne Technologietransfer kein Export ist.

Und der Kongress könnte noch weiter gehen. Im Januar 2026 verabschiedete das Repräsentantenhaus den Remote Access Security Act (RASA), der BIS die Befugnis geben würde, den Fernzugriff durch ausländische Personen auf EAR-kontrollierte Güter über Internet- oder Cloud-Dienste zu regulieren – und damit das zu schließen, was Befürworter die „Cloud-Lücke" nennen. Zum Zeitpunkt dieses Schreibens wartet der Gesetzentwurf auf die Behandlung im Senat. Wenn er Gesetz wird, erweitert sich die Compliance-Last für Unternehmen, die in der Cloud operieren, erheblich, und die Komfortzone der Nutzung ohne Download aus dem Jahr 2014 verengt sich.

Was Sie tun sollten, während sich das Gesetz in Bewegung befindet: Erfassen Sie, welche Ihrer APIs kontrollierte Technologie exponieren (Verschlüsselung, Hochleistungsrechnen, KI/ML-Modelle, Geodaten- oder Sensorfusionsfunktionen sind die üblichen Verdächtigen), protokollieren Sie, wer von wo aus darauf zugreift, und strukturieren Sie Ihre Bedingungen und Zugriffskontrollen so, dass Sie Ziele und Benutzer einschränken können, falls sich die Regeln unter Ihnen ändern.

5. Kunden, Ziele und Endverwendungen​

Selbst EAR99-Software benötigt eine Lizenz – oder ist vollständig verboten – für bestimmte Ziele, Parteien und Zwecke:

• Sanktionierte Ziele ändern sich mit der Außenpolitik; der Verkauf oder die Bereitstellung von Zugriff in embargoierte Länder ohne Genehmigung ist verboten, und regionale Beschränkungen (Russland, Belarus, besetzte Gebiete der Ukraine) erreichen jetzt sogar gewöhnliche EAR99-Business-Software.
• Eingeschränkte Parteien müssen Geschäft für Geschäft gescreent werden. Prüfen Sie jeden Kunden, Wiederverkäufer und Integrationspartner gegen die konsolidierten Listen eingeschränkter Parteien der Regierung, bevor Sie Zugriff bereitstellen, und screenen Sie regelmäßig erneut – Listen ändern sich, und auch die Eigentumsstrukturen Ihrer Kunden ändern sich.
• Verbotene Endverwendungen umfassen militärische, nukleare Antriebs- und bestimmte Überwachungsanwendungen. Ein allgemeines Projektmanagement-Tool, das mit dem Wissen verkauft wird, dass es eine militärische Endverwendung in einem eingeschränkten Ziel unterstützen wird, kann dennoch gegen die Regeln verstoßen.

Keines davon erfordert eine Unternehmens-Compliance-Abteilung. Es erfordert eine Checkliste, die vor der ersten Rechnung läuft: das Gut klassifizieren, die Partei screenen, das Ziel prüfen, die Endverwendung bestätigen und die Antwort aufschreiben.

Was es kostet, wenn etwas schiefgeht​

Strafen sind so konzipiert, dass sie den Gewinn aus dem Geschäft um Größenordnungen übersteigen:

• Nach der EAR können strafrechtliche Verstöße bis zu 1 Million US-Dollar pro Verstoß und bis zu 20 Jahre Haft für Einzelpersonen nach sich ziehen; Verwaltungsstrafen gehen in die Hunderttausende von Dollar pro Verstoß und werden jährlich an die Inflation angepasst.
• ITAR-Strafen erreichen dieselbe 1-Million-Dollar/20-Jahre-Skala, mit zivilrechtlichen Strafen in siebenstelliger Höhe pro Verstoß.
• Über Geldstrafen hinaus kann BIS Exportprivilegien vollständig entziehen – ein Todesurteil für ein Unternehmen, dessen Produkt weltweit vertrieben wird – und Verstöße können Jahre später während der Due Diligence bei einer Übernahme auftauchen, wenn der Käufer den Kaufpreis um die geschätzte Exposition reduziert.

Das Beispiel aus den Schlagzeilen: Im Jahr 2023 stimmte ein Festplattenhersteller einem Vergleich mit BIS über 300 Millionen US-Dollar zu, wegen Lieferungen, die mit einem eingeschränkten chinesischen Telekommunikationsgerätehersteller verbunden waren – die größte eigenständige Verwaltungsstrafe, die BIS je verhängt hatte. Ihr Unternehmen ist kleiner, aber die Arithmetik skaliert nach unten, nicht weg.

Es gibt auch eine echte Karotte. Die BIS-Politik behandelt eine freiwillige Selbstoffenlegung (Voluntary Self-Disclosure, VSD) als starke Milderung, die eine stark reduzierte Strafe verdient – während die vorsätzliche Nichtoffenlegung eines erheblichen möglichen Verstoßes ein erschwerender Faktor ist, der sie erhöht. Eine endgültige Regel aus dem Jahr 2024 kodifizierte diesen zweiseitigen Anreiz. Die praktische Botschaft: Wenn Sie einen vergangenen Verstoß finden, untersuchen Sie ihn umgehend mit Rechtsbeistand, beheben Sie die Prozesslücke und legen Sie ihn offen. Das Vergraben ist die eine Reaktion, die die Leitlinien absichtlich bestrafen.

Eine Export-Compliance-Checkliste für kleine Unternehmen​

Sie brauchen keine Handelsrechtsabteilung. Sie brauchen diese sieben Gewohnheiten, zugeschnitten auf ein Team ohne eine solche:

1. Schließen Sie ITAR zuerst aus. Bestätigen Sie schriftlich, dass nichts, was Sie verkaufen, hosten oder teilen, für militärische Zwecke entwickelt wurde oder auf der USML erscheint. Wenn die Antwort unklar ist, holen Sie eine Zuständigkeitsentscheidung ein, bevor Sie etwas versenden.
2. Klassifizieren Sie alles nach der EAR. Weisen Sie jedem Produkt, jeder herunterladbaren Komponente und jedem Technologiebereich eine ECCN- oder EAR99-Einstufung zu und halten Sie die Liste aktuell. Wenn die Selbsteinstufung unsicher ist, akzeptiert BIS Anträge auf Wareneinstufung (Commodity Classification Requests).
3. Behandeln Sie Verschlüsselung bewusst. Bestimmen Sie, ob jedes Verschlüsselungsgut Massenmarkt, ENC-fähig oder lizenzpflichtig ist; reichen Sie den jährlichen Selbsteinstufungsbericht bis zum 1. Februar ein, wenn Ihre Güter ihn erfordern.
4. Screenen Sie jede ausländische Transaktion. Prüfen Sie Kunden, Wiederverkäufer und Auftragnehmer gegen die Listen eingeschränkter Parteien; verifizieren Sie Ziele gegen aktuelle Sanktionen; dokumentieren Sie die Prüfung auf verbotene Endverwendung. Automatisieren Sie dies in der Bereitstellung, nicht im Gedächtnis von jemandem.
5. Kontrollieren Sie den Technologiezugriff. Segmentieren Sie Code-Repositorys, kennzeichnen Sie kontrollierte Technologie und führen Sie Deemed-Export-Prüfungen durch, bevor Sie ausländischen Staatsangehörigen (einschließlich Mitarbeitern) Zugriff auf Quellcode oder technische Daten gewähren.
6. Bewahren Sie Aufzeichnungen fünf Jahre lang auf. Die EAR verlangt, dass Exportaufzeichnungen im Allgemeinen fünf Jahre ab der Transaktion aufbewahrt werden. Speichern Sie Klassifizierungen, Screening-Ergebnisse, Lizenzentscheidungen und Versand- oder Zugriffsprotokolle an einem Ort, an dem ein Prüfer – oder das Due-Diligence-Team eines Käufers – sie finden kann.
7. Schulen Sie die Entwickler. Entwickler, DevOps- und Support-Ingenieure erzeugen täglich Exportereignisse (Repo-Zugriff gewähren, Debug-Build teilen, Bildschirmfreigabe einer Konfiguration). Jährliche Schulungen plus eine einseitige Anleitung „Fragen Sie, bevor Sie teilen" verhindern die meisten versehentlichen Freigaben.

Halten Sie die Compliance-Kosten in Ihren Büchern sichtbar​

Export-Compliance zeigt sich in Ihren Finanzen lange bevor sie sich in einer Durchsetzungsmaßnahme zeigt: externe Anwälte für Klassifizierungsprüfungen, Abonnements für das Screening eingeschränkter Parteien, Deemed-Export-Kontrollen in Ihrem HR-Onboarding, die Mitarbeiterstunden hinter Ihrem jährlichen Verschlüsselungsbericht und – falls Sie jemals einen einreichen – die Anwaltskosten einer freiwilligen Selbstoffenlegung. Verfolgen Sie diese als eigene Ausgabenkategorie, anstatt sie in allgemeinen Rechts- oder Softwareausgaben zu vergraben, damit Sie sehen können, was jeder Markt und jede Produktlinie wirklich kostet. Kombinieren Sie das mit der fünfjährigen Aufzeichnungsspur oben – Klassifizierungen, Screening-Protokolle und Lizenzentscheidungen, die pro Transaktion abgelegt werden – und sowohl Ihre Wirtschaftsprüfer als auch das Due-Diligence-Team jedes zukünftigen Erwerbers erhalten saubere Antworten statt Archäologie. Ihre Dokumente zur Aufbewahrung von Aufzeichnungen und Dashboards in /fava/ sind natürliche Orte für diese Papierspur.

Halten Sie Ihre Finanzunterlagen von Anfang an prüfungsbereit​

Wenn Sie Ihr SaaS für Kunden auf der ganzen Welt öffnen, ist die Führung klarer Finanzunterlagen – einschließlich jedes Compliance-Dollars und jeder Exportentscheidung – unerlässlich. Beancount.io bietet Buchhaltung im Klartext, die Ihnen vollständige Transparenz und Kontrolle über Ihre Finanzdaten gibt, mit versionierten Aufzeichnungen, denen ein Prüfer tatsächlich folgen kann. Jetzt kostenlos starten und sehen Sie, warum Entwickler und Finanzprofis auf Buchhaltung im Klartext umsteigen.