Klassifizierung von Verschlüsselungsprodukten

Verschlüsselung steht seit den 1990er Jahren im Mittelpunkt der Exportkontrollen. Kryptografische Algorithmen können zivile Kommunikation ebenso wirksam schützen wie militärische Übertragungen. Diese Dual-Use-Eigenschaft stellt Produkte, die Kryptografie enthalten, in den Anwendungsbereich der Verordnung (EU) 2021/821.

Kategorie 5, Teil 2 (Informationssicherheit) des Anhangs I erfasst ausdrücklich Systeme, Ausrüstungen und Komponenten, die Kryptografie verwenden. Der Haupteintrag ist 5A002 - Informationssicherheitssysteme - der die technischen Schwellenwerte definiert, die eine Kontrolle auslösen.

Die Wassenaar-Vereinbarung koordiniert diese Kontrollen unter 42 Teilnehmerstaaten. Die Crypto Note (Anmerkung 3 der Kategorie 5, Teil 2) ist der zentrale Mechanismus, der bestimmt, ob ein Produkt für eine Massenmarkt-Freistellung qualifiziert oder kontrolliert bleibt.

Eintrag 5A002 kontrolliert Systeme, Ausrüstungen und Komponenten, die zur Gewährleistung von Informationssicherheit mittels Kryptografie konzipiert oder modifiziert sind. Die Kontrollkriterien sind:

• •Symmetrische Schlüssellänge über 56 Bit (ohne Authentifizierung)
• •Asymmetrische Schlüssellänge über 512 Bit für Ganzzahlfaktorisierung, 112 Bit für elliptische Kurven
• •Verwendung von Quantenkryptografie

Wichtig: Nur weil ein Produkt AES-256 verwendet, bedeutet das nicht, dass es automatisch kontrolliert wird. Die Crypto Note kann es befreien, wenn die Massenmarkt-Freistellungskriterien erfüllt sind. Die Analyse muss immer dem vollständigen Entscheidungsbaum folgen: Zuerst prüfen, ob das Produkt in den Anwendungsbereich von 5A002 fällt, dann die Freistellungshinweise bewerten.

Anmerkung 3 der Kategorie 5, Teil 2 (die Crypto Note) ist der am häufigsten verwendete Freistellungsmechanismus für marktgängige Verschlüsselungsprodukte. Sie befreit Produkte von der 5A002-Kontrolle, wenn alle folgenden Bedingungen erfüllt sind:

1. 1.Allgemein für die Öffentlichkeit erhältlich durch Verkauf ohne Einschränkung aus Lagerbeständen an Einzelhandelsverkaufsstellen, per Versandhandel, im elektronischen Handel oder per Telefonbestellung
2. 2.Die kryptografische Funktionalität kann vom Benutzer nicht leicht verändert werden
3. 3.Konzipiert für die Installation durch den Benutzer ohne weitere wesentliche Unterstützung des Lieferanten
4. 4.Bei Bedarf sind die Einzelheiten des Produkts zugänglich und werden der zuständigen Behörde auf Anfrage mitgeteilt

Entscheidender Punkt: Alle vier Kriterien sind kumulativ. Ein ausschließlich an Unternehmen (B2B) verkauftes Produkt mit benutzerdefinierbaren kryptografischen Funktionen qualifiziert sich nicht für die Freistellung, selbst wenn es Standardalgorithmen verwendet.

Um ein Verschlüsselungsprodukt korrekt zu klassifizieren, folgen Sie diesem systematischen Entscheidungsbaum:

1. 1.Verwendet das Produkt Kryptografie? Falls nein, wird es nicht unter Kat. 5/2 kontrolliert.
2. 2.Wird die Kryptografie ausschließlich zur Authentifizierung verwendet (Passwort, digitale Signatur, Zugriffskontrolle)? Falls ja, nicht unter 5A002 kontrolliert (aber andere Einträge prüfen).
3. 3.Fällt das Produkt in den Anwendungsbereich von 5A002 (Schlüssellängen-Schwellenwerte überschritten)? Falls nein, nicht kontrolliert.
4. 4.Erfüllt das Produkt alle vier Kriterien der Crypto Note? Falls ja, freigestellt (keine Genehmigung erforderlich).
5. 5.Profitiert das Produkt von einem anderen Freistellungshinweis (Software Note, persönliche Nutzung)? Falls ja, freigestellt.
6. 6.Wenn keine Ausnahme greift, ist das Produkt unter 5A002 kontrolliert. Eine Ausfuhrgenehmigung ist erforderlich.

Bewahren Sie die Dokumentation Ihrer Analyse bei jedem Schritt auf. Im Falle einer Zollkontrolle begründet diese Analyse Ihre Entscheidung.

Kommerzieller VPN-Router (AES-256, IPsec): Der Router verwendet AES-256, was den 56-Bit-Schwellenwert von 5A002 überschreitet. Er wird jedoch im Einzelhandel an die breite Öffentlichkeit verkauft, die Kryptografie kann vom Benutzer nicht verändert werden, und er wird ohne Herstellerunterstützung installiert. Er erfüllt alle vier Kriterien der Crypto Note und ist daher freigestellt.

Banking-HSM (Hardware Security Module): Das HSM verwaltet kryptografische Schlüssel mit konfigurierbaren Algorithmen (RSA-4096, ECC P-384). Es wird ausschließlich B2B mit Herstellerinstallation verkauft. Es erfüllt Kriterien 1 und 3 der Crypto Note nicht und ist daher unter 5A002 kontrolliert. Genehmigung erforderlich.

Verschlüsselte Messaging-App (Signal, WhatsApp): Die App verwendet Ende-zu-Ende-Verschlüsselung (Signal Protocol, AES-256). Sie ist frei herunterladbar für die breite Öffentlichkeit, nicht modifizierbar und wird ohne Unterstützung installiert, daher ist sie unter der Crypto Note freigestellt. Das kryptografische SDK für Entwickler kann jedoch kontrolliert sein.

Verschlüsselungssoftware (5D002) und -technologie (5E002) folgen demselben Schema wie Ausrüstung, aber mit spezifischen Besonderheiten:

• •Open-Source-Software, deren Quellcode öffentlich zugänglich ist, ist generell von der Kontrolle ausgenommen (General Software Note, GSN)
• •Software, die kostenlos herunterladbar ist, qualifiziert sich für die Crypto Note, wenn sie die Kriterien erfüllt
• •Entwicklungstechnologie (5E002.a) für unter 5A002 kontrollierte Produkte ist selbst kontrolliert
• •Immaterieller Technologietransfer (E-Mail, Cloud-Zugang) unterliegt demselben Regime wie der physische Export

Kryptografische Bibliotheken (OpenSSL, BoringSSL) sind ein häufiger Fall: Der Open-Source-Code ist ausgenommen, aber ein kompiliertes Produkt, das diese Bibliotheken einbindet, muss unabhängig bewertet werden. Der Ausführer muss das Endprodukt analysieren, nicht nur die Bibliothek.

Selbst wenn ein Produkt unter der Crypto Note freigestellt ist, verlangen einige Mitgliedstaaten eine vorherige Meldung:

• •Frankreich (SBDU): Anzeige der Bereitstellung kryptografischer Mittel (Artikel 30 LCEN). DM-Formular und/oder AT-Formular je nach Anwendbarkeit.
• •Deutschland (BAFA): Meldepflicht für unter der Crypto Note freigestellte Produkte.
• •Andere Mitgliedstaaten haben ähnliche Anforderungen.

Für jede Klassifizierung aufzubewahrende Dokumente: - Detaillierte technische Beschreibung des Produkts - Klassifizierungsanalyse mit Verweis auf ECN-Einträge - Begründung der Freistellung (Crypto-Note-Kriterien dokumentiert) - Endverwender- und Bestimmungsortinformationen - Aufbewahrungsfrist: mindestens 5 Jahre (Artikel 26 der Verordnung 2021/821)