Was ist ITAR? Registrierung, Anforderungen, Strafen

Die International Traffic in Arms Regulations (ITAR) regeln den Export, die vorübergehende Einfuhr und die Vermittlung von Rüstungsgütern, rüstungsbezogenen Dienstleistungen und den dazugehörigen technischen Daten, die auf der United States Munitions List (USML) aufgeführt sind. ITAR wird von der Directorate of Defense Trade Controls (DDTC) im US-Außenministerium durchgesetzt und betrifft einen deutlich größeren Kreis an Organisationen, als viele annehmen – nicht nur Waffenhersteller, sondern jede US-Person oder jedes US-Unternehmen, das Rüstungsgüter herstellt, exportiert, vorübergehend einführt oder vermittelt, einschließlich der technischen Daten, die diese beschreiben.

Dieser Leitfaden erklärt, für wen ITAR gilt, was Registrierung und laufende Compliance in der Praxis bedeuten und mit welchen Strafen bei Verstößen aktuell zu rechnen ist.

Zusammenfassung

Kernaussage: Die ITAR-Registrierung bei der DDTC ist für jede US-Person oder jedes US-Unternehmen verpflichtend, das Rüstungsgüter oder technische Daten der USML herstellt, exportiert, vorübergehend einführt oder vermittelt – ausgelöst bereits durch einen einzigen Vorgang dieser Art, nicht erst ab einem bestimmten Mengenschwellenwert. Compliance erfordert Registrierung, ein dokumentiertes Compliance-Programm sowie den sorgfältigen Umgang mit technischen Daten – auch wenn diese digital mit ausländischen Personen geteilt werden.

Warum das relevant ist: Die Strafen bei ITAR-Verstößen sind erheblich und werden aktiv durchgesetzt – zivilrechtliche Bußgelder von über 1,27 Millionen US-Dollar pro Verstoß, strafrechtliche Sanktionen von bis zu 1 Million US-Dollar und 20 Jahren Haft pro Verstoß sowie ein Ausschluss (Debarment), der die Teilnahme eines Unternehmens am Rüstungshandel vollständig beenden kann. Jüngste Durchsetzungsmaßnahmen gegen große Rüstungsunternehmen zeigen, dass die DDTC auch bei etablierten, finanzstarken Organisationen empfindliche Strafen verhängt.

Die wichtigsten Punkte

Die ITAR-Registrierungspflicht wird bereits durch einen einzigen Vorgang ausgelöst, nicht durch ein Mengenvolumen. Jede US-Person oder jedes US-Unternehmen, das ein Rüstungsgut – oder die dazugehörigen technischen Daten – herstellt, exportiert, vorübergehend einführt oder vermittelt, muss sich bei der DDTC registrieren, selbst wenn nie ein Produkt ins Ausland verschickt wird.
„US-Person“ ist weiter gefasst als reine Unternehmensstaatsbürgerschaft. Die Registrierungs- und Compliance-Pflichten, die sich aus dem Status als US-Person ergeben, gelten auch für dauerhaft Aufenthaltsberechtigte (Green-Card-Inhaber) und andere nach US-Einwanderungsrecht geschützte Personen – nicht nur für in den USA eingetragene Unternehmen. Diese Unterscheidung ist bei Personalentscheidungen für ITAR-relevante Tätigkeiten von Bedeutung.
Es gibt keine „ITAR-Zertifizierung“ – nur Registrierung und laufende Compliance. Die DDTC zertifiziert oder akkreditiert weder Organisationen noch Tools oder Plattformen als „ITAR-konform“. Die Registrierung ist Voraussetzung für die Beantragung von Exportlizenzen; Compliance ist eine fortlaufende Pflicht, die eine Organisation aufrechterhalten muss und die überprüft werden kann – kein einmalig erworbenes Gütesiegel.
Zivil- und strafrechtliche Verfolgung erfolgen unabhängig voneinander und können gleichzeitig greifen. Zivilrechtliche Strafen (derzeit bis zu rund 1,27 Millionen US-Dollar pro Verstoß oder das Doppelte des Transaktionswerts, je nachdem, welcher Betrag höher ist) gelten unabhängig vom Vorsatz. Strafrechtliche Sanktionen (bis zu 1 Million US-Dollar und 20 Jahre Haft pro Verstoß) gelten speziell für vorsätzliche Verstöße. Eine Organisation kann für dasselbe Verhalten beiden Verfahren gleichzeitig ausgesetzt sein.
Das Teilen technischer Daten mit einer ausländischen Person – auch digital und innerhalb der USA – gilt nach ITAR als Export. Ein „deemed export“ liegt vor, wenn kontrollierte technische Daten einer ausländischen Person offengelegt werden, unabhängig davon, ob ein physisches Gut eine Grenze überschreitet. Diese Bestimmung überrascht Organisationen am häufigsten – insbesondere bei E-Mail, Filesharing und Kollaborationstools, die von Teams mit gemischter Staatsangehörigkeit genutzt werden.

Wer sich bei der DDTC registrieren muss

Eine Registrierung ist für jede US-Person oder jedes US-Unternehmen erforderlich, das Rüstungsgüter, rüstungsbezogene Dienstleistungen oder damit verbundene technische Daten der USML herstellt, exportiert, vorübergehend einführt oder vermittelt. Diese Pflicht gilt sehr umfassend: Ein Hersteller, der ein auf der USML gelistetes Produkt fertigt, muss sich registrieren, selbst wenn jede Einheit ausschließlich im Inland verkauft und niemals exportiert wird – denn bereits die Herstellung selbst, nicht erst die Exportaktivität, löst die Pflicht aus.

„US-Person“ – die Kategorie, an die Registrierungs- und Compliance-Pflichten geknüpft sind – ist weiter gefasst als der Unternehmensstatus. Dazu zählen US-Staatsbürger, dauerhaft Aufenthaltsberechtigte (Green-Card-Inhaber) sowie weitere Personen mit „geschütztem Status“ nach US-Einwanderungsrecht. Das hat praktische Konsequenzen: Eine Organisation, die ausländische Staatsangehörige für ITAR-relevante Tätigkeiten beschäftigt, muss genau wissen, welche Mitarbeitenden als US-Person gelten, und den Zugang zu kontrollierten technischen Daten entsprechend strukturieren.

Die Registrierung selbst ist Voraussetzung für die Beantragung jeder Exportlizenz – ohne vorherige Registrierung kann eine Organisation keine Genehmigung beantragen, um ein kontrolliertes Produkt zu exportieren oder kontrollierte technische Daten mit einer ausländischen Person zu teilen.

Was Registrierung und laufende Compliance bedeuten

Die Registrierung erfolgt über das Defense Export Control and Compliance System (DECCS) der DDTC. Dabei müssen Organisationsdaten übermittelt und ein „Empowered Official“ benannt werden – in der Regel eine Führungskraft ab VP-Ebene –, die die persönliche rechtliche Verantwortung für die Richtigkeit der ITAR-Meldungen der Organisation übernimmt. Das ist keine reine Formsache: Ein Empowered Official kann bei vorsätzlichen Verstößen, die unter seiner Zertifizierung eingereicht wurden, persönlich strafrechtlich haftbar gemacht werden.

Für die Registrierung fällt eine jährliche Gebühr an, die in den vergangenen Jahren gestiegen ist – aktuelle Angaben legen die Gebühr je nach Registrierungsstufe zwischen 2.250 und 4.000 US-Dollar pro Jahr fest. Da sich diese Beträge regelmäßig ändern können, sollten Organisationen die aktuellen Gebührensätze direkt bei der DDTC bestätigen lassen.

Über die Registrierung hinaus verlangt ITAR die Einführung eines dokumentierten Compliance-Programms, das interne Überwachung, Aufzeichnungspflichten und Mitarbeiterschulungen umfasst. Dazu gehört, alle ITAR-relevanten Transaktionen mindestens fünf Jahre ab Ablauf der jeweiligen Lizenz oder dem Transaktionsdatum zu dokumentieren sowie technische Daten, die ITAR unterliegen, korrekt zu kennzeichnen und zu klassifizieren, damit Mitarbeitende sie zuverlässig erkennen und gemäß den Compliance-Richtlinien der Organisation handhaben können.

Technische Daten, „Deemed Exports“ und digitales Teilen

Eine der folgenreichsten und zugleich am häufigsten unterschätzten Bestimmungen von ITAR ist die „Deemed Export“-Regel: Die Offenlegung ITAR-kontrollierter technischer Daten gegenüber einer ausländischen Person gilt als Export im Sinne von ITAR – selbst wenn dies vollständig innerhalb der USA geschieht und keinerlei physischer Warentransfer stattfindet. Ein Gespräch, ein per E-Mail versendetes Dokument oder eine geteilte Datei mit kontrollierten technischen Daten kann dieselben exportrechtlichen Pflichten auslösen wie der physische Versand eines kontrollierten Produkts.

Das hat unmittelbare Auswirkungen darauf, wie Organisationen digitale Zusammenarbeit mit ITAR-kontrollierten technischen Daten handhaben – etwa Schaltpläne, Designspezifikationen, Quellcode und ähnliches Material. Entscheidend ist dabei nicht nur, wo Daten gespeichert sind, sondern wer darauf zugreifen kann und ob dieser Zugriff korrekt auf autorisierte US-Personen beschränkt ist. Was das konkret für Kollaborations- und Filesharing-Plattformen bedeutet – einschließlich des wichtigen Hinweises, dass keine staatliche Stelle eine Plattform offiziell als „ITAR-zugelassen“ zertifiziert –, erfahren Sie in unserem Leitfaden zu ITAR-konformen Kollaborationsplattformen.

Aktuelle ITAR-Strafen

Die Durchsetzung von ITAR erfolgt über zwei unabhängige Verfahren, die gleichzeitig auf dasselbe Verhalten angewendet werden können.

Zivilrechtliche Strafen gelten unabhängig vom Vorsatz und liegen nach dem inflationsbereinigten Rahmen gemäß 22 CFR § 127.10 derzeit bei bis zu rund 1,27 Millionen US-Dollar pro Verstoß oder dem doppelten Wert der zugrunde liegenden Transaktion – je nachdem, welcher Betrag höher ist. Diese Beträge werden regelmäßig an die Inflation angepasst, weshalb Organisationen den aktuellen Höchstbetrag direkt anhand der veröffentlichten DDTC-Tabelle prüfen sollten, statt sich dauerhaft auf eine feste Zahl zu verlassen.

Strafrechtliche Sanktionen gelten für vorsätzliche Verstöße und sehen Geldstrafen von bis zu 1 Million US-Dollar pro Verstoß, Freiheitsstrafen von bis zu 20 Jahren oder beides vor. Eine Verurteilung nach dem Arms Export Control Act zieht zudem automatisch einen gesetzlichen Ausschluss (Debarment) von mindestens drei Jahren nach sich – die DDTC kann darüber hinaus im Rahmen eigener Verfahren auch ohne strafrechtliche Verurteilung einen administrativen Ausschluss verhängen.

Der Ausschluss (Debarment) ist oft die operativ schwerwiegendste Konsequenz, da er eine Organisation vollständig vom Rüstungshandel ausschließt – für die meisten Rüstungsunternehmen ein deutlich größerer geschäftlicher Schaden als die Geldstrafe selbst. Jüngste Durchsetzungsfälle verdeutlichen die Größenordnung: Im Oktober 2024 stimmte ein großer Rüstungskonzern zu, über 950 Millionen US-Dollar zu zahlen, um mehrere behördliche Untersuchungen beizulegen, darunter Verstöße gegen den Arms Export Control Act und ITAR. Auch neuere Durchsetzungsmaßnahmen der DDTC verhängen weiterhin Strafen im mehrstelligen Millionenbereich gegen etablierte Hersteller.

Wie Kiteworks die ITAR-bezogene Data Governance unterstützt

Kiteworks bietet Governance- und Schutzfunktionen, die für Organisationen relevant sind, die ITAR-kontrollierte technische Daten verwalten, und adressiert dabei die spezifischen Anforderungen von NIST SP 800-171 und CMMC – Rahmenwerke, die sich bei Rüstungsunternehmen, die CUI neben exportkontrollierten Daten verwalten, häufig mit ITAR-Pflichten überschneiden.

Eine einheitliche Data Policy Engine setzt granulare, rollenbasierte Zugriffskontrollen durch – über sichere E-Mail, sicheres File Sharing, Managed File Transfer und SFTP hinweg – und ist damit direkt relevant für die Vermeidung von „Deemed Export“-Verstößen, da der Zugriff auf ITAR-kontrollierte technische Daten gezielt auf verifizierte US-Personen beschränkt werden kann. AES-256-Verschlüsselung mit FIPS-140-3-validierten kryptografischen Modulen schützt technische Daten im Ruhezustand und bei der Übertragung, und ein einziges, konsolidiertes, unveränderliches Audit-Protokoll liefert genau die Nachweise, die ITAR-Compliance-Programme für die Dokumentationspflicht benötigen – einschließlich der Erfassung, wer wann auf kontrollierte Daten zugegriffen, sie bearbeitet oder hochgeladen hat.

Kiteworks verfügt zudem über die FedRAMP-Moderate-Autorisierung, seit Juni 2017 unabhängig geprüft, und erfüllt bereits von Haus aus nahezu 90 % der Anforderungen von CMMC 2.0 Level 2 – relevant angesichts der häufigen Überschneidung zwischen ITAR-kontrollierten technischen Daten und CMMC-regulierten CUI bei Rüstungsunternehmen. Was eine belastbare Kollaborationsplattform für ITAR-kontrollierte Daten konkret leisten muss, erfahren Sie in unserem eigenen Leitfaden zu ITAR-konformen Kollaborationsplattformen.

Um zu erfahren, wie Kiteworks die ITAR-bezogene Data Governance Ihrer Organisation unterstützen kann, vereinbaren Sie eine individuelle Demo.

Häufig gestellte Fragen

Jede US-Person oder jedes US-Unternehmen, das Rüstungsgüter, rüstungsbezogene Dienstleistungen oder damit verbundene technische Daten der United States Munitions List herstellt, exportiert, vorübergehend einführt oder vermittelt, muss sich bei der Directorate of Defense Trade Controls registrieren. Diese Pflicht wird bereits durch einen einzigen entsprechenden Vorgang ausgelöst – ein Hersteller muss sich registrieren, selbst wenn er nie eine einzige Einheit exportiert, da bereits die inländische Herstellung eines auf der USML gelisteten Produkts die Pflicht begründet.

Nein. Die DDTC zertifiziert oder akkreditiert weder Organisationen noch Softwareplattformen oder Produkte offiziell als „ITAR-zugelassen“ oder „ITAR-zertifiziert“. Organisationen registrieren sich bei der DDTC und sind selbst dafür verantwortlich, ein laufendes Compliance-Programm aufrechtzuerhalten – ein Gütesiegel oder eine Zertifizierung, die man erwerben könnte, gibt es nicht. Werbeaussagen von Anbietern über eine angebliche offizielle ITAR-Zertifizierung oder -Zulassung sollten mit Vorsicht betrachtet werden, da eine solche staatliche Auszeichnung schlicht nicht existiert.

Ein „Deemed Export“ liegt vor, wenn ITAR-kontrollierte technische Daten einer ausländischen Person offengelegt werden – unabhängig davon, ob dies innerhalb der USA geschieht oder mit einem physischen Warentransfer verbunden ist. Das Teilen eines Schaltplans, einer Designspezifikation oder anderer kontrollierter technischer Daten mit einer ausländischen Staatsangehörigen – selbst per E-Mail oder als geteilte Datei und selbst innerhalb der USA – gilt nach ITAR als Export und erfordert dieselbe Genehmigung wie ein physischer Export. Diese Bestimmung wird im Kontext digitaler Zusammenarbeit mit international zusammengesetzten Teams häufig unterschätzt.

Die Durchsetzung von ITAR erfolgt über zwei Verfahren, die gleichzeitig greifen können. Zivilrechtliche Strafen, die unabhängig vom Vorsatz gelten, erreichen nach dem inflationsbereinigten Rahmen gemäß 22 CFR § 127.10 derzeit rund 1,27 Millionen US-Dollar pro Verstoß oder das Doppelte des Werts der zugrunde liegenden Transaktion – je nachdem, welcher Betrag höher ist. Strafrechtliche Sanktionen, die für vorsätzliche Verstöße gelten, reichen bis zu 1 Million US-Dollar Geldstrafe und 20 Jahre Haft pro Verstoß. Eine strafrechtliche Verurteilung nach dem Arms Export Control Act zieht zudem automatisch einen Ausschluss von mindestens drei Jahren nach sich, und die DDTC kann unabhängig davon auch ohne strafrechtliche Verurteilung im Rahmen eigener Verfahren einen administrativen Ausschluss verhängen.

Ja, erheblich – insbesondere bei Rüstungsunternehmen, die sowohl exportkontrollierte technische Daten als auch Controlled Unclassified Information verwalten. Viele der gleichen technischen Schutzmaßnahmen – auf autorisiertes Personal beschränkte Zugriffskontrollen, Verschlüsselung sensibler Daten im Ruhezustand und bei der Übertragung sowie umfassende Audit-Protokollierung – erfüllen sowohl die Datenschutzanforderungen von ITAR als auch das Kontrollset von NIST SP 800-171, auf dem CMMC basiert. Organisationen, die beiden Pflichten unterliegen, profitieren in der Regel von einem einheitlichen Data-Governance-Ansatz anstelle getrennter, unverbundener Compliance-Programme für jedes Rahmenwerk.

–>