EAR vs. ITAR: Was die Export Administration Regulations tatsächlich regeln

Viele Exporteure gehen fälschlicherweise davon aus, dass Exportkontrollen nur für eindeutig militärische Güter gelten – also Waffen, Munition oder Rüstungsgüter. Diese Annahme ist weit verbreitet und kann teuer werden. Die Export Administration Regulations (EAR) reichen weit über militärische Güter hinaus und regeln Dual-Use-Güter – kommerzielle Technologien mit militärischem Verwendungszweck – durch ein Lizenz- und Kontrollsystem, das Unternehmen häufiger überrascht als die enger gefassten ITAR-Vorschriften. Genau weil der Anwendungsbereich der EAR weniger offensichtlich „verteidigungsbezogen“ erscheint, merken Unternehmen oft erst bei einem Verstoß, dass sie betroffen sind.

Dieser Leitfaden erläutert, was die EAR tatsächlich regeln, wie sie sich von ITAR und OFAC-Sanktionen unterscheiden, wie Klassifizierung und Lizenzierung in der Praxis funktionieren und wie die aktuelle Durchsetzung aussieht.

Executive Summary

Kernaussage: Die EAR regeln Dual-Use-Güter – also Produkte mit ziviler und militärischer Nutzung – und werden vom Bureau of Industry and Security des Handelsministeriums verwaltet. Sie unterscheiden sich von ITAR, das verteidigungsspezifische Güter und Dienstleistungen unter der Aufsicht des DDTC des Außenministeriums regelt, sowie von OFAC-Sanktionen, die Transaktionen mit bestimmten Ländern, Organisationen und Personen unabhängig von der Produktklassifizierung einschränken.

Warum ist das relevant? Das Bureau of Industry and Security (BIS) hat allein im Geschäftsjahr 2024 Bußgelder von über 1,5 Milliarden US-Dollar wegen Exportverstößen verhängt. Falsche Klassifizierung, fehlende Lizenzen oder unbeabsichtigte Weitergabe kontrollierter Technologie an ausländische Personen gehören zu den häufigsten und teuersten Compliance-Fehlern im Export – und betreffen besonders oft Unternehmen, die fälschlicherweise annahmen, die EAR seien für ihre kommerziellen, nicht waffenbezogenen Produkte nicht relevant.

wichtige Erkenntnisse

1. EAR regeln Dual-Use-Güter – nicht spezifisch Verteidigungsgüter. Dual-Use-Güter haben sowohl zivile als auch militärische Anwendungen: Ein kommerzielles Drohnen-Bauteil, Verschlüsselungssoftware oder ein Werkzeug zur Halbleiterfertigung können alle unter die EAR fallen, obwohl sie keine Waffen sind.
2. EAR und ITAR werden von unterschiedlichen Behörden verwaltet und betreffen verschiedene Güterkategorien. EAR werden vom Bureau of Industry and Security des Handelsministeriums verwaltet und regeln Dual-Use-Güter. ITAR wird vom Directorate of Defense Trade Controls des Außenministeriums verwaltet und regelt verteidigungsspezifische Güter, Dienstleistungen und technische Daten für militärische Zwecke. Ein Produkt fällt in der Regel nur unter eines der beiden Regelwerke – Unternehmen mit sowohl kommerziellen als auch verteidigungsbezogenen Produktlinien benötigen jedoch oft Compliance-Programme für beide Bereiche.
3. Die Klassifizierung anhand der Commerce Control List bestimmt, ob eine Lizenz erforderlich ist – die meisten Güter fallen unter EAR99 und benötigen keine Lizenz. Jedes potenziell von den EAR betroffene Produkt muss mit einer Export Control Classification Number (ECCN) aus der Commerce Control List klassifiziert werden oder als EAR99 eingestuft werden – eine Sammelbezeichnung für nicht explizit gelistete Güter, die meist keine Lizenz für die meisten Bestimmungsländer benötigen.
4. EAR haben eine eigene „deemed export“-Regel, ähnlich wie ITAR. Die Weitergabe kontrollierter Technologie oder Quellcodes an eine ausländische Person innerhalb der USA gilt nach EAR als Export in das Heimatland dieser Person – das gleiche Prinzip wie bei ITAR, nur für eine andere Kategorie kontrollierter Güter.
5. Exportanmeldungen erfolgen über das Automated Export System (AES), nicht mehr per Papierformular. Die Shipper’s Export Declaration (SED) wurde vor Jahren abgeschafft. Elektronische Exportinformationen (EEI) werden nun über AES gemäß den Foreign Trade Regulations des Census Bureau eingereicht – in der Regel erforderlich, wenn der Warenwert pro Schedule-B-Klassifizierung 2.500 US-Dollar übersteigt oder eine Lizenz erforderlich ist, unabhängig vom Wert.

Unterschiede zwischen EAR, ITAR und OFAC-Sanktionen

US-Exportkontrollen erfolgen über drei unterschiedliche Regelwerke – sie zu verwechseln, ist ein häufiger und folgenschwerer Fehler. EAR, verwaltet vom Bureau of Industry and Security des Handelsministeriums, regeln Dual-Use-Güter – Waren, Software und Technologien mit ziviler und militärischer Nutzung, geregelt in 15 CFR Parts 730–774. ITAR, verwaltet vom Directorate of Defense Trade Controls des Außenministeriums, regelt verteidigungsspezifische Güter, Dienstleistungen und technische Daten, die speziell für militärische Zwecke entwickelt oder angepasst wurden und auf der United States Munitions List stehen. OFAC-Sanktionen, verwaltet vom Office of Foreign Assets Control des Finanzministeriums, schränken Transaktionen mit bestimmten Ländern, Organisationen und Personen ein – unabhängig davon, um welches Produkt es sich handelt.

Die praktische Unterscheidung, die am häufigsten zu Fehlern führt: Die Klassifizierung eines Produkts bestimmt in der Regel, welches einzelne Regelwerk gilt – steht ein Produkt auf der U.S. Munitions List, fällt es unter ITAR, nicht unter EAR. Unternehmen, die sowohl verteidigungsbezogene als auch kommerzielle Dual-Use-Produkte exportieren, müssen jedoch oft Compliance-Programme für beide Regelwerke parallel betreiben und zusätzlich Sanktionslisten prüfen, die unabhängig von der Produktklassifizierung gelten. Wenn Ihr Unternehmen mit verteidigungsbezogenen technischen Daten arbeitet, finden Sie in unserem ITAR-Compliance-Leitfaden die spezifischen Anforderungen, die dort – statt oder zusätzlich zu den EAR – gelten.

Wie EAR-Klassifizierung und Lizenzierung tatsächlich funktionieren

Ob für ein Produkt eine Exportlizenz nach EAR erforderlich ist, wird in drei praktischen Schritten ermittelt.

Klassifizieren Sie das Produkt. Prüfen Sie die Commerce Control List (CCL), um festzustellen, ob das Produkt eine spezifische Export Control Classification Number (ECCN) hat – ein fünfstelliger Code, der angibt, warum das Produkt kontrolliert wird (z. B. nationale Sicherheit, Terrorismusbekämpfung) und unter welchen Bedingungen. Produkte, die nicht explizit in der CCL gelistet sind, werden in der Regel als EAR99 eingestuft – eine Sammelbezeichnung. Die meisten EAR99-Produkte benötigen für die meisten Bestimmungsländer keine Lizenz, je nach Ziel, Endnutzer oder Verwendungszweck kann jedoch eine Lizenz erforderlich sein.

Prüfen Sie die Commerce Country Chart. Für Produkte mit einer spezifischen ECCN zeigt die Commerce Country Chart, ob für das jeweilige Zielland aufgrund des Kontrollgrundes eine Lizenz erforderlich ist.

Prüfen Sie alle Beteiligten anhand der Sanktionslisten. Unabhängig von der Produktklassifizierung müssen Exporteure den Endnutzer, dessen Organisation sowie alle Zwischenhändler anhand der Sanktions- und Sperrlisten des BIS überprüfen. Eine Transaktion mit einer gelisteten Partei kann eine Lizenz erforderlich machen oder sogar vollständig untersagt sein – auch für ansonsten nicht beschränkte Produkte.

Lizenzentscheidungen hängen letztlich von drei Faktoren ab: dem Verwendungszweck (wofür das Produkt tatsächlich genutzt wird), dem Endnutzer (wer es erhält) und dem Bestimmungsland (wohin geliefert wird) – für eine Kombination dieser Faktoren kann eine Lizenz erforderlich sein, für eine andere nicht.

Deemed Exports nach EAR

Die „deemed export“-Regel der EAR folgt demselben Prinzip wie bei ITAR: Die Weitergabe kontrollierter Technologie oder Quellcodes an eine ausländische Person innerhalb der USA gilt als Export in das Heimatland dieser Person, auch wenn physisch nichts die Grenze überschreitet. Das Teilen technischer Spezifikationen, Quellcodes oder proprietärer Fertigungsprozesse mit einem ausländischen Mitarbeiter, Auftragnehmer oder Besucher – selbst im Rahmen eines internen Meetings oder eines gemeinsam genutzten Dokuments – kann die „deemed export“-Bestimmungen der EAR auslösen, wenn die zugrunde liegende Technologie kontrolliert ist.

Das hat direkte Auswirkungen darauf, wie Unternehmen digitale Zusammenarbeit mit EAR-kontrollierter Technologie steuern: Der Zugang zu kontrollierten technischen Daten muss nach Nationalität und Autorisierungsstatus beschränkt werden – nicht nur nach allgemeinem Beschäftigungsstatus im Unternehmen.

Filing-Anforderungen: AES statt SED

Exportanmeldungen erfolgen über das Automated Export System (AES), das elektronische Exportinformationen (EEI) gemäß den Foreign Trade Regulations des Census Bureau (15 CFR Part 30) sammelt. Das Papierformular Shipper’s Export Declaration wurde vor Jahren abgeschafft – jede Erwähnung der SED ist veraltet.

Eine AES/EEI-Anmeldung ist in der Regel erforderlich, wenn der Warenwert pro Schedule-B-Klassifizierung 2.500 US-Dollar übersteigt oder eine Exportlizenz benötigt wird, unabhängig vom Wert. Die Anmeldung muss vor dem Versand (predeparture filing) erfolgen, wobei zugelassene Unternehmen unter bestimmten Bedingungen auch nachträglich melden dürfen. Die rechtliche Verantwortung für die Richtigkeit der Anmeldung trägt immer der U.S. Principal Party in Interest (USPPI) – auch wenn ein bevollmächtigter Agent wie ein Spediteur die Meldung im Namen des USPPI vornimmt.

Aktuelle EAR-Durchsetzung

Die Durchsetzung der EAR durch das BIS war in den letzten Jahren intensiv – allein im Geschäftsjahr 2024 wurden Bußgelder von über 1,5 Milliarden US-Dollar wegen Exportverstößen verhängt. Die Durchsetzung umfasst das gesamte Spektrum der EAR-Anforderungen: Export kontrollierter Güter ohne erforderliche Lizenz, falsche Klassifizierung zur Umgehung von Lizenzpflichten, Geschäfte mit gesperrten oder abgelehnten Parteien sowie Verstöße gegen „deemed export“-Vorschriften durch unbefugte Weitergabe kontrollierter Technologie an ausländische Personen.

Die Strafen reichen von erheblichen zivilrechtlichen Bußgeldern über strafrechtliche Verfolgung bei vorsätzlichen Verstößen bis hin zum Entzug der Exportprivilegien – eine Konsequenz, die wie ein ITAR-Ausschluss die Exportfähigkeit eines Unternehmens unabhängig von der Höhe der Geldstrafe faktisch beenden kann.

Wie Kiteworks die Daten-Governance bei EAR-relevanten Exporten unterstützt

Kiteworks bietet Governance- und Zugriffskontrollfunktionen, die Unternehmen bei der Verwaltung von EAR-kontrollierter Technologie und technischen Daten unterstützen – insbesondere zur Vermeidung von „deemed export“-Risiken bei digitaler Zusammenarbeit.

Eine einheitliche Data Policy Engine erzwingt granulare, rollenbasierte Zugriffskontrollen für sichere E-Mails, sicheres Filesharing, Managed File Transfer und SFTP – entscheidend, um den Zugang zu EAR-kontrollierter Technologie nach Autorisierungsstatus zu beschränken und unbeabsichtigte „deemed export“-Risiken zu vermeiden. AES-256-Verschlüsselung mit FIPS 140-3-validierten kryptografischen Modulen schützt kontrollierte technische Daten im ruhenden Zustand und während der Übertragung. Ein konsolidierter, unveränderbarer Audit-Trail liefert die Nachweise, auf die sich ein Export-Compliance-Programm stützt – und dokumentiert exakt, wer wann auf kontrollierte Technologie zugegriffen, sie bearbeitet oder geteilt hat.

Kiteworks verfügt außerdem über eine FedRAMP Moderate Authorization, die seit Juni 2017 unabhängig geprüft wird – relevant für Unternehmen, deren EAR-Compliance-Programm mit Anforderungen aus Bundesverträgen verknüpft ist. Für Unternehmen, die sowohl EAR- als auch ITAR-Pflichten erfüllen müssen, finden Sie in unserem ITAR-Compliance-Leitfaden die parallelen Anforderungen für verteidigungsspezifische Güter und technische Daten.

Erfahren Sie, wie Kiteworks die Daten-Governance für Exportkontrollen in Ihrem Unternehmen unterstützt – vereinbaren Sie eine individuelle Demo.

Weitere Ressourcen

• Blogbeitrag Der Kampf um Ihre Daten: Wie CLOUD- und SHIELD-Gesetze Sicherheit und Datenschutz gegeneinander ausspielen
• Blogbeitrag Sensible Daten schützen: DSPM auf Ihre Compliance-Ziele abstimmen
• Kurzbericht Die 3 häufigsten FERPA-Verstöße und wie Sie diese vermeiden
• Blogbeitrag Executive Order 14117: Schutz großer Mengen sensibler personenbezogener Daten von US-Bürgern
• Blogbeitrag NIS2-Compliance erforderlich? Starten Sie mit ISO 27001