zuletzt geändert am 08.06.2026

1. Was ist ITAR-Compliance – und warum betrifft es europäische Unternehmen?

Die International Traffic in Arms Regulations (ITAR), geregelt in 22 CFR 120–130, sind das zentrale US-amerikanische Regelwerk zur Kontrolle des Exports von Rüstungsgütern, sicherheitsrelevanten Technologien und damit verbundenen Dienstleistungen. Sie werden erlassen auf Grundlage des Arms Export Control Act (AECA) und durchgesetzt vom Directorate of Defense Trade Controls (DDTC) im U.S. State Department.

Entscheidend für europäische Unternehmen: Die ITAR wirken extraterritorial. Es genügt, dass ein Unternehmen ITAR-kontrollierte Technical Data empfängt, ITAR-kontrollierte Komponenten verbaut oder als Sublizenziat eines amerikanischen Unternehmens tätig ist – schon unterliegt es den Pflichten des US-Rechts, unabhängig davon, wo es seinen Sitz hat. ITAR-Compliance ist damit keine amerikanische Angelegenheit, sondern eine unmittelbare operative und rechtliche Herausforderung für jeden europäischen Hersteller, Lieferanten oder Dienstleister mit US-Rüstungsbezug.

2. Wann ist ein europäisches Unternehmen an ITAR gebunden?

Die Frage, ob ITAR anwendbar ist, stellt sich in der Praxis oft erst dann, wenn bereits Fakten geschaffen wurden. Typische Anknüpfungspunkte für europäische Unternehmen sind der Empfang von Technical Data – etwa Konstruktionszeichnungen, Fertigungsspezifikationen oder Software – unter einem Technical Assistance Agreement (TAA), die lizenzierte Herstellung von Defense Articles unter einem Manufacturing License Agreement (MLA) sowie die Tätigkeit als Sublizenziat oder Broker im Rahmen eines US-amerikanischen Rüstungsexportprogramms.

Besondere Bedeutung hat in diesem Zusammenhang die sogenannte See-Through Rule: Die ITAR kennen – anders als die Export Administration Regulations (EAR) – keine De-minimis-Ausnahme. Eine in einem europäischen Endprodukt verbaute ITAR-kontrollierte Komponente, und sei ihr Wertanteil noch so gering, legt das gesamte Endprodukt unter die Kontrolle der ITAR. Diese Regel hat weitreichende Konsequenzen für Beschaffung, Fertigung und Reexport.

3. Überblick über das ITAR-Regelwerk: USML, Technical Data, Defense Services

Das ITAR-Regelwerk dreht sich um drei Kernbegriffe. Die United States Munitions List (USML) in 22 CFR 121 enthält die abschließende Aufzählung der kontrollierten Rüstungsgüter, gegliedert in 21 Kategorien von Schusswaffen bis hin zu Raumfahrtsystemen und Nuklearmaterialien. Als Defense Article gilt jeder Gegenstand, der in der USML aufgeführt oder dafür „specially designed“ ist (22 CFR 120.31). Technical Data umfasst sämtliche Informationen, die für die Entwicklung, Herstellung, den Betrieb oder die Instandhaltung von Defense Articles erforderlich sind (22 CFR 120.33) – einschließlich digitaler Daten, Zeichnungen und Ingenieuranalysen. Defense Services sind militärisch relevante Dienstleistungen zugunsten einer ausländischen Person oder eines ausländischen Staates (22 CFR 120.32).

Für europäische Unternehmen besonders relevant ist die Deemed-Export-Regel: Die Weitergabe von Technical Data an eine ausländische Person – auch innerhalb Europas oder in einer gemeinsamen digitalen Arbeitsumgebung – gilt als Export in das Heimatland dieser Person und ist genehmigungspflichtig (22 CFR 120.50).

4. ITAR-Lizenzen aus europäischer Perspektive: TAA und MLA

Europäische Unternehmen treten in ITAR-Sachverhalte typischerweise als Foreign Party eines vom DDTC genehmigten Agreements ein. Das Technical Assistance Agreement (TAA) ist die einschlägige Lizenzform für die Übermittlung von Technical Data und die Erbringung von Defense Services zugunsten einer ausländischen Person (22 CFR 124.1). Das Manufacturing License Agreement (MLA) ermächtigt das ausländische Unternehmen darüber hinaus zur lizenzierten Herstellung von Defense Articles, verbunden mit der Übertragung von Fertigungsrechten und Know-how.

Beide Vertragstypen bedürfen der Vorabgenehmigung durch das DDTC und enthalten zwingend vorgeschriebene Klauseln, insbesondere zu Verwendungsbeschränkungen, Sublizenzierungsverboten, Recordkeeping und dem Umgang mit Third-Country Nationals. Wichtig: Eine TAA ist nicht erforderlich für die reine Montage von Hardware ohne Übermittlung von Technical Data – der so gefertigte Gegenstand wird jedoch durch die See-Through Rule vollständig ITAR-kontrolliert.

5. Das ITAR Internal Compliance Program (ICP): Die acht Kernelement

Das DDTC erwartet von allen ITAR-pflichtigen Organisationen den Aufbau und Betrieb eines Internal Compliance Program (ICP). In seinen ITAR Compliance Program Guidelines hat das DDTC acht Elemente als konstitutiv für ein wirksames ICP beschrieben: Management Commitment als unverzichtbare Grundlage, DDTC Registration, Jurisdiction & Classification sowie Authorizations als operativer Kern, Recordkeeping, Detecting and Reporting Violations, Training, Risk Assessment sowie Audits and Compliance Monitoring.

Das achte Element ist das ITAR Compliance Manual (ICM), das dokumentarische Rückgrat des gesamten Programms. Es ist wichtig, diese Begriffe präzise zu unterscheiden: Das ICP ist das übergreifende, lebende Compliance-Konzept der Organisation; das ICM ist Element 8 dieses Konzepts, nicht dessen Synonym. Für europäische Mittelständler bedeutet dies, dass ein strukturiertes, risikobasiertes Programm aufgebaut werden muss, das in seiner Tiefe dem tatsächlichen ITAR-Aktivitätsprofil des Unternehmens entspricht.

6. Der Empowered Official (EO): Besonderheiten für europäische Unternehmen

Der Empowered Official (EO) ist eine rechtlich definierte Schlüsselfunktion unter 22 CFR 120.67. Er muss beim Unternehmen direkt angestellt sein und eine Position mit policy- oder managementbezogener Autorität bekleiden; er muss schriftlich bevollmächtigt sein, Lizenzanträge gegenüber dem DDTC zu unterzeichnen; er muss die ITAR und ihre Sanktionsfolgen kennen; und er muss über ein unabhängiges Verweigerungsrecht verfügen – also die Befugnis, die Unterschrift unter einen Lizenzantrag ohne negative Konsequenzen für seine Person verweigern zu können.

Diese Rolle ist vom Export Compliance Officer (ECO) zu unterscheiden, der eine rein interne Organisationsfunktion ohne eigene ITAR-Rechtsdefinition ist. Ein EO muss kein Geschäftsführer sein, muss aber über echte Entscheidungsautorität verfügen. DDTC hat in mindestens einem Enforcement-Verfahren Maßnahmen gegen ein Unternehmen eingeleitet, dessen vermeintlicher EO die erforderliche Managementautorität tatsächlich nicht besaß. Für europäische Unternehmen stellt sich darüber hinaus die Frage, ob ein nicht-amerikanischer Staatsangehöriger diese Funktion wahrnehmen kann – was grundsätzlich möglich, aber sorgfältig zu dokumentieren ist.

7. Typische Compliance-Risiken und häufige Fehler in europäischen Unternehmen

In der Beratungspraxis kehren dieselben Schwachstellen immer wieder. Häufig fehlt eine klare Klassifizierung der im Unternehmen vorhandenen Technologien nach der USML, so dass schon die Frage, ob ITAR überhaupt anwendbar ist, nicht zuverlässig beantwortet werden kann. Ein weiteres Standardproblem ist die unkontrollierte Weitergabe von Technical Data im Unternehmensverbund – etwa über gemeinsame IT-Plattformen, SharePoint-Umgebungen oder bei Dienstreisen – ohne dass eine entsprechende Lizenz oder eine anwendbare Ausnahme vorliegt. Sublizenziate und Third-Country-National-Klauseln werden in der Vertragsgestaltung häufig unterschätzt. Das Recordkeeping entspricht regelmäßig nicht den Anforderungen des 22 CFR 122.5, was im Enforcement-Fall zu eigenständigen Sanktionen führen kann.

Der Sanktionsrahmen ist erheblich: Zivilrechtliche Strafen können bis zu einer Million US-Dollar je Verstoß erreichen, strafrechtliche Sanktionen bis zu 20 Jahre Haft je Zuwiderhandlung. Hinzu kommt die Möglichkeit der Debarment-Entscheidung, die einem europäischen Unternehmen den Zugang zum US-Rüstungsmarkt auf Dauer versperren kann.

8. ITAR und europäisches Exportkontrollrecht: Spannungsfelder und Wechselwirkungen

ITAR-Compliance ist kein isoliertes Regelwerk, sondern tritt in Wechselwirkung mit dem europäischen und deutschen Exportkontrollrecht. Die EU-Dual-Use-Verordnung (VO (EU) 2021/821), das Außenwirtschaftsgesetz (AWG) und die Außenwirtschaftsverordnung (AWV) sowie die Common Military List der EU bilden ein eigenständiges Regelungsgefüge mit eigenen Genehmigungspflichten, das parallel zu den ITAR angewendet werden muss.

Spannungen entstehen insbesondere dort, wo ITAR-Vorgaben den europäischen Unternehmen Handlungspflichten auferlegen – etwa zur Informationsweitergabe an DDTC –, die mit datenschutzrechtlichen oder berufsrechtlichen Vertraulichkeitspflichten kollidieren können. Die extraterritoriale Reichweite der ITAR berührt zudem Fragen des Blocking-Statutes und der unionsrechtlichen Souveränität. Diese Spannungsfelder erfordern eine juristisch fundierte Einzelfallbetrachtung; pauschale Antworten verbieten sich.