Verschlüsselung: Fehler in Dual-Use-Liste

Im Rahmen der exportkontrollrechtlichen Prüfung eines Gutes mit Verschlüsselung (5a002a) stellt sich stets die Frage, wann der Ausschluss für vernetzte zivile industrielle Anwendungen in Anmerkung 2j greift (eingeführt Dezember 2019 [mehr]). Diese Anmerkung regelt:

„Unternummer 5A002a erfasst [nicht]“:
(…)
Güter, besonders entwickelt für eine ‚vernetzte zivile industrielle Anwendung‘ mit allen folgenden Eigenschaften:
(…)
2. [es kommen ausschließlich] kommerzielle kryptografische Standardverfahren zum Einsatz (…).“

Entscheidend ist also, was kommerzielle kryptografische Standardverfahren sind. Ein Standardverfahren ist sicherlich OpenSSL oder AES. Wann aber ist dies kommerziell?

Ein Vergleich zu anderen Ausnahme in der Anmerkung 2 zu 5a002a zeigt, dass diese Standardverfahren dort anders beschrieben sind. In der Anmerkung 2e bzgl. Funktelefonen, 2h bzgl. Routern oder 2i bzgl. Rechnern oder Servern ist stets von „kommerziell erhältlichen kryptographischen Standardverfahren“ die Rede. Gleiches gilt bzgl der Anmerkung zu 5D002c1. Der Zusatz „erhältlich“ fehlt jedoch bei den zivilen industriellen Anwendungen.

Dies ist entscheidend, da selbst entwickelte Verschlüsselung (proprietäre Lösungen), nicht kommerziell erhältlich sind. Damit würde die Ausnahme nicht greifen und das Produkt würde der Position 5a002a unterfallen.

Da es sich beim Anhang zur Dual-Use-Verordnung um Europäisches Recht handelt (das die Regelungen der einzelnen Kontrollregime, hier Wassenaar, umsetzt) ist es rechtsvergleichend angezeigt, die anderen Sprachfassungen zu prüfen. Ein solcher Vergleich zeigt, dass es die Unterscheidung bezüglich „erhältlich“ in anderen Sprachfassungen nicht gibt. Vielmehr spricht die Liste in allen genannten Positionen von:

– Englische Fassung: commercial cryptographic standards
– Französische Fassung: normes cryptographiques commerciales
– Polnische Fassung: komercyjne standardy kryptograficzne

Folge ist, dass in der deutschen Sprachfassung das Merkmal der „erhältlichen“ Standardverfahren unberücksichtigt bleiben muss.