Verschlüsselungs-Export-Compliance: EAR & Wassenaar

Verschlüsselungsexportkontrollen verstehen

Verschlüsselungssoftware unterliegt Exportkontrollen gemäß den US Export Administration Regulations (EAR, 15 CFR §§ 730-774), die vom Bureau of Industry and Security (BIS) verwaltet werden. Das Wassenaar-Abkommen (42 Teilnehmerstaaten) etabliert ebenfalls internationale Kontrollen für kryptografische Dual-Use-Güter.

Jedoch erfordert nicht jede Verschlüsselungssoftware eine Exportlizenz. Die EAR enthält wichtige Ausnahmen für öffentlich verfügbare Software und bestimmte Kategorien kryptografischer Funktionalität.

ZeyroVaults Quellcode ist nicht öffentlich verfügbar; ZeyroVault stützt sich daher nicht auf die Ausnahme für „öffentlich verfügbare“ Software nach den EAR (15 CFR § 734.3(b)(3) und § 742.15(b)(1)). Maßgeblich sind stattdessen die Clientseitigkeit der Tools, die Verwendung standardisierter Algorithmen über die Web Crypto API des Browsers und der herkunftsbezogene Anwendungsbereich der EAR (15 CFR Part 734).

EAR-Klassifizierung: ECCN 5D002

Gemäß der Commerce Control List (CCL) wird Verschlüsselungssoftware allgemein unter ECCN 5D002 (Informationssicherheitssoftware) klassifiziert. Diese Klassifizierung erfordert eine Exportlizenz, es sei denn, eine Lizenzausnahme (License Exception) ist anwendbar oder die Software unterliegt nicht der EAR (z. B. öffentlich verfügbare Verschlüsselungssoftware).

Für Verschlüsselungssoftware werden allgemein zwei Mechanismen diskutiert: die Ausnahme für öffentlich verfügbare Software (15 CFR § 734.3(b)(3) und § 734.7) und die License Exception ENC für Massenmarktsoftware (15 CFR § 740.17). ZeyroVault stützt sich nicht auf die Ausnahme für öffentlich verfügbare Software, weil der Quellcode nicht öffentlich verfügbar ist:

• Ausnahme für öffentlich verfügbare Software (15 CFR § 734.3(b)(3) und § 734.7): Öffentlich verfügbarer Verschlüsselungsquellcode unterliegt nicht der EAR. Diese Ausnahme setzt voraus, dass der Quellcode tatsächlich öffentlich zugänglich ist; sie gilt nicht für ZeyroVault, da der Quellcode nicht öffentlich verfügbar ist.
• License Exception ENC (15 CFR § 740.17): Massenmarkt-Verschlüsselungssoftware, die die Kriterien der Anmerkung 3 zu Kategorie 5 Teil 2 erfüllt, kann nach Selbstklassifizierung (oder erforderlichenfalls BIS-Klassifizierung) unter der License Exception ENC exportiert werden.

Exportüberlegungen für die clientseitigen Tools von ZeyroVault

ZeyroVaults Verschlüsselungstools arbeiten vollständig im Browser des Benutzers mit der Web Crypto API (SubtleCrypto). Die wichtigsten exportkontrollrelevanten Überlegungen sind:

1. Kein Rückgriff auf öffentliche Verfügbarkeit – ZeyroVaults Quellcode ist nicht öffentlich verfügbar, daher findet die Ausnahme für „öffentlich verfügbare“ Software (15 CFR § 734.3(b)(3)) keine Anwendung. Die Position stützt sich stattdessen auf die folgenden Faktoren.

2. Keine proprietäre Kryptografie – ZeyroVault implementiert keine proprietären kryptografischen Algorithmen. Alle kryptografischen Operationen verwenden die integrierte Web Crypto API des Browsers. Die kryptografische Implementierung erfolgt durch die Browserplattform selbst, nicht durch ZeyroVault.

BIS-Hinweis zu öffentlich verfügbarem Code: Nach den BIS-Leitlinien gilt ein Produkt nicht allein deshalb als öffentlich verfügbar, weil es öffentlich verfügbaren Open-Source-Code enthält oder aufruft (z. B. die Web Crypto API des Browsers); das Produkt wird als Ganzes bewertet. Die ZeyroVault-Tools werden daher als Ganzes anhand der oben genannten Faktoren bewertet und nicht als öffentlich verfügbare Verschlüsselungssoftware.

3. Clientseitige Architektur – Keine Verschlüsselungssoftware wird auf ZeyroVault-Server heruntergeladen oder ausgeführt. Keine kryptografischen Schlüssel verlassen das Gerät des Benutzers.

4. Standard-Kryptografie – ZeyroVault verwendet ausschließlich standardisierte, öffentlich dokumentierte Algorithmen (AES-GCM, SHA-256/384/512, HMAC-SHA256, PBKDF2). Der BIS-Benachrichtigungsmechanismus in 15 CFR § 742.15(b)(2) gilt nur für öffentlich verfügbaren Verschlüsselungsquellcode, der „nicht standardisierte Kryptografie“ im Sinne von 15 CFR § 772.1 bereitstellt oder ausführt; er gilt nicht für ZeyroVault, da der Quellcode nicht öffentlich verfügbar ist. Die Tools von ZeyroVault sind nicht für nicht standardisierte Kryptografie ausgelegt.

5. Herkunftsbezogener Anwendungsbereich – Die EAR sind herkunftsbezogen (15 CFR Part 734): Sie gelten für Güter in den USA, Güter US-Ursprungs sowie im Ausland hergestellte Güter, die mehr als eine de-minimis-Menge kontrollierten US-Ursprungsinhalts enthalten oder in bestimmten Fällen aus US-Technologie hergestellt wurden. Software, die außerhalb der USA von einer nicht-US-Person ohne kontrollierten US-Ursprungsinhalt entwickelt und betrieben wird, fällt in der Regel nicht unter die EAR. Verteiler sollten diese Faktoren für ihren eigenen Vertrieb bewerten und einen Exportkontrollanwalt konsultieren.

EU und internationale Verschlüsselungskontrollen

Über das US-Recht hinaus werden Verschlüsselungsexporte international durch das Wassenaar-Abkommen und die EU-Dual-Use-Verordnung (EU 2021/821) reguliert:

Allgemeiner Softwarehinweis (GSN) – Anhang I: Der GSN dekontrolliert Software, die der Öffentlichkeit allgemein zugänglich oder gemeinfrei ist, gilt jedoch ausdrücklich nicht für Kategorie 5 Teil 2 (Informationssicherheit). Verschlüsselungssoftware wird daher anhand des unten genannten Kryptografie-Hinweises bewertet.

Kryptografie-Hinweis (Anmerkung 3 zu Kategorie 5 Teil 2): Massenmarkt-Verschlüsselungssoftware, die der Öffentlichkeit allgemein zugänglich ist und deren kryptografische Funktionalität vom Benutzer nicht einfach geändert werden kann, ist generell nicht kontrolliert. Die clientseitige Nutzung der Web Crypto API über einen Standardbrowser unterstützt diese Bewertung.

Deutschland (BAFA): Öffentlich verfügbare Open-Source-Software mit standardmäßigen kryptografischen Bibliotheken unterliegt generell keiner Exportlizenzierung.

UK (ECJU): Öffentlich verfügbare Software ist von Lizenzanforderungen befreit.

Verantwortlichkeiten der Benutzer

ZeyroVault stellt clientseitige Tools bereit; Benutzer sollten jedoch ihre eigenen Pflichten kennen:

• Sanktionierte Ziele: Exporte oder Reexporte in Länder und Regionen, die umfassenden US-Sanktionen unterliegen (derzeit u. a. Kuba, Iran, Nordkorea, Syrien, Russland, Belarus sowie die Regionen Krim, Donezk, Luhansk, Cherson und Saporischschja der Ukraine), können einer Genehmigungspflicht unterliegen oder verboten sein.
• US-Recht verbietet keine Nutzung im Ausland: US-Exportkontrollen gelten für Exporte, Reexporte und Transfers kontrollierter Güter – nicht für die bloße Nutzung von Verschlüsselung in einem anderen Land. Die meisten Benutzer weltweit können Standardverschlüsselung ohne US-Genehmigung rechtmäßig nutzen.
• Gesperrte Parteien: Benutzer dürfen nicht an Personen oder Unternehmen exportieren, die auf der Denied Persons List, der Entity List oder der Unverified List des BIS stehen.
• Verwendungszweck-Beschränkungen: Verschlüsselungssoftware darf nicht für die Verbreitung von Massenvernichtungswaffen (MVW) oder andere verbotene Verwendungszwecke exportiert werden.
• Lokale Gesetze: Benutzer sind für die Einhaltung der Verschlüsselungsvorschriften in ihrer eigenen Rechtsordnung verantwortlich, die vom US-Recht abweichen können. Einige Rechtsordnungen regeln die Einfuhr, Nutzung oder Bereitstellung kommerzieller Kryptografie (z. B. das chinesische Kryptografiegesetz und die chinesische Verordnung über kommerzielle Kryptografie); Benutzer sollten ihre lokalen Pflichten prüfen.

Diese Beschränkungen betreffen Exporte und Verwendungszwecke; sie verbieten Benutzern nicht die Nutzung von Standardverschlüsselung in ihrem eigenen Land. ZeyroVault schränkt den Zugriff nicht geografisch ein, aber Benutzer müssen sicherstellen, dass ihre Nutzung mit den geltenden Gesetzen vereinbar ist.

Häufig gestellte Fragen