zuletzt geändert am 06.07.2025

Die Regulierung von Software durch das US-Exportrecht ist ein zentrales und zugleich komplexes Thema für international agierende Unternehmen. Anders als bei physischen Gütern sind bei Software immaterielle Aspekte wie Download, Cloud-Zugriff oder Quellcode-Transfer entscheidend. Die maßgeblichen Rechtsquellen sind die Export Administration Regulations (EAR), ergänzt durch spezifische Regeln des US-Außen- und Finanzministeriums.

Klassifizierung von Software nach den EAR

Im US-System unterliegt Software grundsätzlich der Zuständigkeit des Bureau of Industry and Security (BIS), sofern sie nicht militärischer Natur ist (dann ITAR). Die Einordnung erfolgt über die sogenannte Commerce Control List (CCL). Für jede kontrollierte Software ist eine Export Control Classification Number (ECCN) maßgeblich. Diese entscheidet darüber, ob für einen bestimmten Export oder Reexport eine Lizenz erforderlich ist.

Software kann insbesondere dann kontrollpflichtig sein, wenn sie:

• kryptographische Funktionen enthält (vgl. ECCN 5D002),
• für militärische oder sicherheitskritische Anwendungen entwickelt wurde,
• Bestandteil eines dual-use-Guts ist oder
• auf US-Technologie basiert (Stichwort: Reexport und De-minimis-Regeln).

Relevanz der Verschlüsselung

Ein besonders sensibler Bereich ist Verschlüsselungssoftware. Bestimmte kryptographische Anwendungen unterliegen strengeren Melde- oder Lizenzpflichten – je nach Algorithmus, Schlüsselstärke, Endnutzer und Verwendungszweck. Unternehmen müssen hier sorgfältig prüfen, ob ihre Produkte unter eine der Ausnahmen der License Exception ENC fallen oder eine Exportlizenz benötigen.

Extraterritoriale Wirkung und Foreign Direct Product Rule

Ein zentrales Merkmal des US-Exportrechts ist seine extraterritoriale Reichweite. Software, die auf US-Technologie basiert oder mit US-Tools entwickelt wurde, kann selbst dann den US-Vorschriften unterliegen, wenn sie außerhalb der USA erstellt, gespeichert oder vertrieben wird. Insbesondere die Foreign Direct Product Rule (FDPR) macht Software, die unter Nutzung von US-Software oder -Know-how entwickelt wurde, zum „subject to the EAR“.

Cloud und Bereitstellung

Auch die Bereitstellung von Software über die Cloud oder durch Fernzugriff (z. B. Software-as-a-Service, SaaS) kann einen kontrollierten Export darstellen. Entscheidend ist, ob US-Jurisdiktion tangiert wird – etwa durch US-basierte Server, US-Personal oder US-Unternehmen im Konzernverbund.