Was Softwareentwickler und Manager über den Export von Dual-Use-Technologie wissen müssen
Es gibt Rechtsgebiete, die sich anfühlen wie ein schlecht dokumentiertes Legacy-System: komplex aufgebaut, selten angefasst, und wenn man doch hineinschaut, erschrickt man, was dort seit Jahren vor sich hinläuft. Das Exportkontrollrecht für Software und Mikrochips gehört dazu – mit dem entscheidenden Unterschied, dass eine fehlerhafte Entscheidung hier keine Downtime produziert, sondern ein Strafverfahren.
Seit dem russischen Angriff auf die Ukraine im Februar 2022 ist dieses Recht aus seinem Dornröschenschlaf gerissen worden. Das 20. Sanktionspaket der EU, verabschiedet Ende April 2026, ist inzwischen ein Regelwerk mit einer Komplexität, die selbst erfahrene Außenwirtschaftsanwälte auf Trab hält. Für Unternehmen, die Hardware oder Software in nicht-europäische Märkte liefern – oder auch nur API-Zugänge bereitstellen, Cloud-Instanzen vermieten oder Remote-Support leisten –, ist das Thema kein Compliance-Randproblem mehr. Es ist handfestes Strafrecht.
Ich berate und verteidige umfassend in diesem Bereich – spätestens seit dem Ukraine-Krieg ist der Beratungsbedarf erheblich gestiegen, wie ich immer wieder merke. Dabei lassen sich Unsicherheiten im Regelfall schnell ausräumen. Gerade mit meiner spezialisierten Ausrichtung zwischen Strafrecht und IT-Recht bei eigenem technologischem Hintergrund kann ich hier Blickrichtungen aufwerfen, die gerne aus dem Fokus geraten.
Was ein „Dual-Use-Gut“ mit einer PHP-Library oder einem Nvidia-Chip verbindet
Der Begriff klingt nach Militärtechnik, und das ist er historisch auch. Aber die EU-Verordnung (EU) 2021/821 – die sogenannte Dual-Use-Verordnung, die seit September 2021 gilt – definiert Dual-Use-Güter als sämtliche Waren, Datenverarbeitungsprogramme (Software) und Technologien, die sowohl für zivile als auch für militärische Zwecke verwendet werden können.
Das ist eine weite, bewusst weit gefasste Definition. Sie erfasst nicht nur GPS-Module oder Radarausrüstung, sondern ganz konkret: Hochleistungshalbleiter, die in der KI-Inferenz wie in der Drohnensteuerung einsetzbar sind; Intrusion-Software und Spyware; Verschlüsselungsimplementierungen; Deep-Packet-Inspection-Systeme; bestimmte Netzwerkanalysewerkzeuge; ja sogar Halbleiterherstellungsmaschinen und, seit November 2025, Advanced-Computing-Schaltungen und GPU-Cluster-Software, die bestimmte Leistungsschwellen überschreiten. Anhang I zur Dual-Use-Verordnung – die eigentliche Kontrollliste – wird seit einigen Jahren im Jahrestakt überarbeitet, zuletzt durch die Delegierte Verordnung (EU) 2025/2003 mit Wirkung zum 15. November 2025.
Wer also heute ein Softwareprodukt vertreibt, das KI-Training-Infrastruktur bereitstellt, GPU-intensive Workloads orchestriert oder Kommunikationsdaten analysiert, und dieses Produkt an Kunden außerhalb der EU lizenziert, bewegt sich möglicherweise in einem genehmigungspflichtigen Bereich – ohne es zu wissen.
Drei Kontrollstufen mit dem Teufel im Detail
Die Verordnung arbeitet mit einem dreistufigen System, das für das Verständnis des Strafbarkeitsrisikos entscheidend ist.
- Stufe eins sind die Anhang-I-Güter: Wer ein explizit gelistetes Produkt ohne Genehmigung des Bundesamts für Wirtschaft und Ausfuhrkontrolle (BAFA) ausführt, ist bereits strafbar. Kein Behördenhinweis, keine vorherige Warnung, keine Grauzone – der Tatbestand ist erfüllt, sobald das Gut die EU verlässt oder elektronisch übertragen wird.
- Stufe zwei sind die sogenannten Catch-All-Klauseln in Art. 4 der Verordnung: Auch nicht gelistete Güter können genehmigungspflichtig werden, wenn das BAFA den Exporteur darüber unterrichtet, dass die Güter für die Entwicklung von Massenvernichtungswaffen, für Waffenembargos oder für militärische Endverwendungen in bestimmten Ländern vorgesehen sind – oder wenn der Exporteur selbst positive Kenntnis über eine solche Endverwendung erlangt. Die Genehmigungspflicht entsteht in dem Moment, in dem die Behörde den Exporteur unterrichtet oder in dem der Exporteur die entsprechende Kenntnis hat. Eine Ausfuhr ohne anschließende BAFA-Entscheidung macht strafbar.
- Stufe drei ist das Novum der Verordnung von 2021: Art. 5 regelt die Kontrolle von nicht gelisteter Überwachungstechnologie – Güter, die besonders dafür konstruiert sind, die verdeckte Überwachung natürlicher Personen durch Monitoring, Extraktion oder Analyse von Daten aus IT-Systemen zu ermöglichen. Gedacht ist das als Reaktion auf Exporte europäischer Technologie, die in autoritären Staaten zur Massenzensur und Verfolgung eingesetzt wurde. Das Modell: Wenn das BAFA den Exporteur über ein Menschenrechtsverletzungsrisiko unterrichtet, entsteht eine Genehmigungspflicht.
Der strafrechtliche Haken an Stufe drei war lange ein gravierendes Umsetzungsproblem: § 18 Abs. 5 des Außenwirtschaftsgesetzes (AWG) in seiner alten Fassung verwies auf Art. 3, 4 und 6 der Dual-Use-Verordnung – aber ausdrücklich nicht auf Art. 5. Der ungenehmigte Export von Überwachungstechnologie war damit strafrechtlich nicht, sondern allenfalls ordnungswidrigkeitenrechtlich erfassbar. Eine mit dem Bestimmtheitsgebot aus Art. 103 Abs. 2 GG argumentierend begründete Lücke, die der Gesetzgeber nicht einfach durch Auslegung schließen konnte. Die AWG-Novelle 2026 hat diese Lücke weitgehend geschlossen – aber das Grundproblem bleibt: Tatbestände, die dem Schutz von Individualrechten (Privatsphäre, informationelle Selbstbestimmung) dienen, werden als abstrakte Gefährdungsdelikte im Vorfeld jeder tatsächlichen Verletzung konstruiert. Das ist strafrechtsdogmatisch heikel.
AWG-Novelle 2026: Was sich konkret geändert hat
Am 6. Februar 2026 ist das deutsche Sanktionsgesetz in Kraft getreten. Es setzt die EU-Richtlinie 2024/1226 um und hat das Außenwirtschaftsstrafrecht an mehreren Punkten schärfer gemacht, als mancher Compliance-Verantwortliche erwartet hatte.
Wegfall der 48-Stunden-Schonfrist.
Bisher galt: Wenn die EU eine neue Sanktionsmaßnahme im EU-Amtsblatt veröffentlichte, konnten Handlungen in den ersten 48 Stunden nach Veröffentlichung noch straflos sein, wenn der Handelnde keine Kenntnis von der neuen Regelung hatte. Diese Regelung ist ersatzlos gestrichen worden. Die Strafbarkeit setzt tagesgenau mit der Veröffentlichung ein. Wer nicht in Echtzeit überwacht, was das EU-Amtsblatt publiziert, riskiert ab dem ersten Tag.
Neuer besonders schwerer Fall: § 18 Abs. 6a AWG.
Der Strafrahmen für besonders schwere Fälle beträgt nun sechs Monate bis zehn Jahre Freiheitsstrafe. Die Regelbeispiele sind präzise auf die Praxis zugeschnitten: Wer gegenüber einer Behörde falsche oder irreführende Angaben über Endverwendung, Beförderungsroute, Empfänger oder Güterbezeichnung macht, fällt darunter. Ebenso: Wer eine beherrschte Gesellschaft in einem Drittstaat dazu nutzt, Sanktionsverstöße zu verschleiern.
Leichtfertigkeitsstrafbarkeit nach § 18 Abs. 8a AWG.
Das ist die Änderung, die in der Praxis die größte Reichweite haben wird. Bisher galt: Wer ohne Vorsatz handelte, traf allenfalls eine Ordnungswidrigkeit. Seit Februar 2026 können bestimmte grob fahrlässige Verstöße gegen Dual-Use-Kontrollen und embargorechtliche Verbote strafrechtlich verfolgt werden. Leichtfertig handelt, wer die gebotene Sorgfalt in besonders schwerem Maße verletzt – wessen es sich also hätte aufdrängen müssen, dass sein Verhalten verboten ist. Der Strafrahmen: bis zu drei Jahre Freiheitsstrafe oder Geldstrafe.
Verbandsgeldbuße bis 40 Millionen Euro.
Die Obergrenze für Unternehmensbußgelder bei zugrundeliegenden Sanktionsstraftaten von Leitungspersonen wurde von 10 auf 40 Millionen Euro angehoben. Das ist DSGVO-Territorium. Für mittelständische Softwareanbieter oder Halbleitereinzelhändler kann diese Summe existenzbedrohend sein.
Drittlandsrouting: Das Strukturproblem moderner Sanktionsumgehung
Sanktionen gegen Russland klingen auf dem Papier eindeutig. In der Realität sieht das anders aus. Halbleiter der westlichen Hersteller – Intel, AMD, Nvidia – sind für das russische Militär wohl weiterhin unverzichtbar, und russische Alternativen existieren in der benötigten Qualität nicht. Also fließen die Chips über Umwege: Kasachstan, die Türkei, Serbien, die Vereinigten Arabischen Emirate, Hongkong, Usbekistan. Lokale Händler oder eigens gegründete Handelsgesellschaften übernehmen die Weiterleitung. Das Muster ist seit 2022 gut dokumentiert; die EU-Kommission hat elf konkrete Risikostaaten identifiziert, in denen diese Praxis besonders verbreitet ist.
Für das Strafrecht ist entscheidend: Wer wissentlich über diese Routen liefert, macht sich nach § 18 AWG strafbar. § 18 Abs. 6a Nr. 2 AWG erfasst jetzt explizit die Nutzung einer beherrschten Drittstaatsgesellschaft zur Verschleierung von Sanktionsverstößen. Das klingt einfach, ist es aber nicht. Die strafrechtliche Herausforderung liegt im Vorsatznachweis: Woher wusste der Exporteur in München oder Frankfurt, dass sein Distributor in Istanbul die Chips nicht wirklich an türkische Unternehmen verkaufte, sondern nach Russland weiterleitete? Die End-Use-Certificates, die der Distributor vorlegt, können gefälscht sein. Die Endverwendungserklärungen klingen plausibel. Und trotzdem kann dolus eventualis – das billigende Inkaufnehmen – genügen, wenn die Gesamtumstände des Geschäfts auf eine Umgehung hindeuteten und der Exporteur bewusst weggeschaut hat.
In der Praxis läuft das auf eine Obliegenheit zur aktiven Endverwendungskontrolle hinaus. Unternehmen, die hochkomplexe Halbleiter oder leistungsstarke Software in Länder mit bekannt hohem Umgehungsrisiko exportieren, tragen die faktische Beweislast, dass sie alle vertretbaren Prüfmaßnahmen ergriffen haben.
Software ist nicht Sonderfall, sondern Kernszenario.
Hier liegt das konzeptionelle Missverständnis, das in vielen Technologieunternehmen zu beobachten ist: Die Überzeugung, dass Exportkontrolle etwas mit physischen Gütern zu tun hat, mit Containern und Zollformularen, und Software in einer anderen Kategorie existiert … Doch das stimmt nicht. Die Dual-Use-Verordnung definiert Güter ausdrücklich als Waren, Software und Technologie. Die AWV (§§ 49–52) regelt technische Unterstützung und Technologietransfer, unabhängig davon, ob er physisch oder elektronisch erbracht wird. Das bedeutet konkret:
Ein Cloud-Zugang zu einem Analysewerkzeug, das die technischen Parameter eines gelisteten Guts aus Anhang I erfüllt, ist ein Exportvorgang im Sinne des Kontrollregimes – auch wenn kein physischer Datenträger die Grenze überquert. Die Bereitstellung einer API, die KI-gestützte Bildanalyse mit militärisch nutzbarem Erkennungspotenzial bietet, kann genehmigungspflichtig sein. Remote-Support für ein gelistetes Softwareprodukt beim Kunden in einem sanktionierten Land ist technische Unterstützung im Sinne von Art. 6 VO 2021/821 und damit ebenfalls genehmigungspflichtig.
Für Entwickler heißt das: Schon die Frage, wer auf ein GitHub-Repository mit Exportkontrollrelevanz zugreifen darf, ist keine rein technische Entscheidung. Open-Source-Projekte mit sicherheitsrelevanten Kryptobibliotheken können unter Kategorie 5 Teil 2 des Anhangs I fallen. Die Aktivierungsroutine eines Cloud-Accounts für einen Kunden in Teheran oder Moskau ist ein genehmigungspflichtiger Übertragungsvorgang — nicht ein Billing-Problem.
Grenzen der Verteidigung bei Irrtümern
Angenommen, ein Softwareunternehmen hat sein Produkt schlicht nicht klassifiziert. Es hat nie geprüft, ob es unter Anhang I fällt. Es hat Lizenzen nach Russland verkauft, weil die EU-Sanktionen in der Wahrnehmung der Verantwortlichen „doch nur für physische Güter“ galten. Jetzt gibt es ein Ermittlungsverfahren.
Die strafrechtliche Einordnung ist hier eindeutiger, als man hoffen möchte. Wer irrtümlich glaubt, sein Produkt sei nicht gelistet, obwohl es gelistet ist, befindet sich im Tatbestandsirrtum nach § 16 Abs. 1 StGB – der Vorsatz entfällt. Für den Exporteur, der nicht wusste, dass sein Produkt unter Anhang I fällt, ist das prima facie eine gute Nachricht. Aber dann kommt die neue Leichtfertigkeitsstrafbarkeit des § 18 Abs. 8a AWG: Hätte es sich dem Exporteur – angesichts der technischen Parameter seines Produkts, der Kundenzielgruppe, der bekannten Verwendungszwecke – aufdrängen müssen, dass hier eine Genehmigungspflicht bestehen könnte? Wenn ja, reicht Leichtfertigkeit für Strafbarkeit.
Die Rechtsprechung des BGH und des BVerfG legt bei der Vermeidbarkeitsfrage für § 17 StGB (Verbotsirrtum) strenge Maßstäbe an. Von professionellen Marktteilnehmern – Unternehmen, die systematisch technische Güter exportieren – wird erwartet, dass sie sich über den Stand der Ausfuhrliste fortlaufend informieren. Ein pauschales Nichtwissen schützt nicht.
Bedeutung für Managemententscheidungen
Compliance im Außenwirtschaftsrecht ist keine Frage des Wohlwollens oder des unternehmerischen Gutdünkens. Sie ist eine Frage persönlicher Strafbarkeit. Die Geschäftsführung, die Kenntnis davon hat oder haben musste, dass exportkontrollpflichtige Güter ohne Genehmigung in sanktionierte Länder geliefert werden, haftet strafrechtlich nach § 18 AWG. Das Gleiche gilt für die Leitungsperson, die keine angemessene Compliance-Infrastruktur eingerichtet hat – hier droht die Aufsichtspflichtverletzung nach § 130 OWiG, und damit die Verbandsgeldbuße gegen das Unternehmen von bis zu 40 Millionen Euro.
Für Software-CEOs und CTOs folgt daraus: Das Produktportfolio muss klassifiziert sein – nicht einmalig bei Markteinführung, sondern fortlaufend, weil sich Anhang I ändert. Das CRM-System muss Endkunden in Sanktionslisten gegen die aktuelle EU-Konsolidierte-Liste prüfen – und zwar in Echtzeit, denn die 48-Stunden-Schonfrist gibt es nicht mehr. Die Vertriebsstrategie muss Länder mit bekannt hohem Umgehungsrisiko mit erhöhten Prüfpflichten belegen. Und die Vertriebsmitarbeiter müssen verstehen, dass ein attraktiver Distributor in Istanbul oder Dubai kein automatischer Freifahrtschein für den Export dorthin ist.
Das unterschätzte Paralleluniversum: US-Exportkontrollrecht
Ein letzter Punkt, der im deutschen Unternehmensalltag noch systematischer unterschätzt wird als das EU-Recht: die extraterritoriale Reichweite des amerikanischen Exportkontrollrechts. So gelten die Export Administration Regulations (EAR) des US Bureau of Industry and Security nicht nur für US-Unternehmen. Sie gelten vielmehr für jedes Produkt, das US-amerikanischen Ursprung hat, US-amerikanische Technologie enthält oder auf US-amerikanischen Systemen entwickelt wurde – unabhängig davon, wo das Endprodukt hergestellt wird. Das betrifft ein deutsches Halbleiterunternehmen, das einen Chip baut, der einen lizenzierten US-IP-Core enthält. Es betrifft ein Softwareunternehmen, das Open-Source-Bibliotheken aus dem US-Raum integriert hat. Es betrifft den Cloudanbieter, dessen Infrastruktur auf AWS oder Azure läuft.
Das bedeutet: In vielen Konstellationen gelten parallel das EU-Recht (VO 2021/821, AWG), das deutsche Sanktionsrecht (die Russland-Verordnungen, aktuell 20 Pakete) und das US-Exportkontrollrecht (EAR, ITAR). Eine Handlung kann gleichzeitig nach allen drei Regimen genehmigungspflichtig sein – oder nach einem davon verboten sein, während die anderen sie erlauben. US-Verstöße ziehen US-Bußgelder und Exportverbote nach sich, die durchaus auch deutsche Unternehmen treffen.
Für das deutsche Strafverfahren ist die US-Klassifizierung indirekt relevant: Wer die EAR-Listung seines Produkts kannte und gleichzeitig keine Überprüfung europäischer Genehmigungspflichten vorgenommen hat, macht es der Staatsanwaltschaft leicht, zumindest dolus eventualis oder Leichtfertigkeit zu konstruieren. Das eine Wissen indiziert das andere.
Das Risiko ist real, beherrschbar, aber nicht ignorierbar
Das Exportkontrollrecht für Software und Mikrochips ist kein akademisches Randproblem. Es ist ein scharfes, durch eine Novelle 2026 weiter verschärftes Strafrecht mit Freiheitsstraften bis zu zehn Jahren für besonders schwere Fälle, Leichtfertigkeitsstrafbarkeit, Einziehungsregelungen auf der Basis des Bruttoprinzips und Unternehmensgeldbußen bis 40 Millionen Euro.
Die gute Nachricht: Wer strukturiert vorgeht, kann das Risiko erheblich reduzieren. Produktklassifizierung, Echtzeit-Sanktionsscreening, dokumentierte Endverwendungsprüfungen und eine klare interne Eskalationslinie für Zweifelsfälle – das sind keine übermäßigen Anforderungen. Sie entsprechen dem, was ein professioneller Marktteilnehmer nach dem Maßstab der Rechtsprechung ohnehin leisten muss.
Die schlechte Nachricht: Wer das System für ein Compliance-Formalproblem hält, das man irgendwann mit einem Merkblatt abarbeitet, wird von der Realität eingeholt. Nicht erst dann, wenn ein Container abgefangen wird. Sondern wenn der nächste Code-Commit für einen Kunden in den falschen Ländern bereits ein Element in einem Ermittlungsvorgang ist, von dem man noch nichts weiß.
Als Lehrbeauftragter an der FH Aachen (Wirtschaftsstrafrecht und IT-Compliance) doziert er zu KI-Kompetenz und strategischem Denken und publiziert regelmäßig in straf- und IT-rechtlichen Fachaufsätzen sowie in der Kommentierung im BeckOK StPO (zu IT-Strafprozessrecht und digitalen Beweismitteln). Weiterhin spricht er über die rechtsstaatlichen Grundlagen moderner Arbeit, speziell zu IT-/KI-Kompetenz und Cybersecurity-Awareness.
Wir sind hochspezialisiert, was bedeutet, dass wir im IT-Recht und Strafrecht nur bestimmte Bereiche übernehmen. So im IT-Recht nur im Softwarerecht mit darauf bezogebem IT-Vertragsrecht & Lizenzrecht und rund um Cybersicherheit. Im Strafrecht übernehmen wir nur Strafverteidigungen in Bereichen auf die wir spezialisieren: Jugendstrafrecht, Sexualstrafrecht, BtMG/KCang/AMG, Medizinstrafrecht, Cybercrime & Medienstrafrecht, Wirtschaftsstrafrecht mit Schwerpunkten Arbeitsstrafrecht und Steuerstrafrecht
- Eigene Plattformen rechtssicher betreiben … (?) – 15. Juli 2026
- Missbrauchsanleitung: Strafbarkeit fiktiver Inhalte nach § 176e StGB – 14. Juli 2026
- Lichtbildschutz und KI-Bearbeitung: reduzierter Schutzumfang beim einfachen Foto – 14. Juli 2026