Ein Faden, zwei Flaggen: Die auf US-Persons beschränkte Datengrenze für einen Verteidigungsbetrieb mit ausländischem Mutterkonzern

Der Satz, der dieses ganze Problem neu ordnet, ist kurz, und die meisten Mutterkonzerne hören ihn viel zu spät zum ersten Mal. Nach ITAR (der US-Rüstungsexportkontrolle) ist Ihr Mutterkonzern gegenüber den technischen Daten Ihrer US-Tochtergesellschaft eine foreign person, eine Person ohne US-Status im Sinne des Exportkontrollrechts. Kein Partner mit zusätzlichem Papierkram. Eine foreign person: dieselbe Kategorie wie jedes andere Unternehmen im Ausland, das keine Lizenz hält.

Die Vorschrift kommt über die Gründung dorthin, nicht über das Eigentum. Zu den US-Persons (Personen mit US-Status im Sinne des Exportkontrollrechts) zählt jede Einheit, die „incorporated to do business in the United States“ ist (22 CFR 120.62). Zu den foreign persons zählt jede Einheit, die „not incorporated or organized to do business in the United States“ ist (22 CFR 120.63). Ihre Gesellschaft in Delaware oder Massachusetts ist eine US-Person. Ihr Mutterkonzern in Ottawa, Brescia oder Stuttgart ist eine foreign person. Dass der Mutterkonzern 100 Prozent der Tochtergesellschaft hält, bewegt keine von beiden über die Linie. Der Text kennt keine Konzernausnahme, weil der Text nie nach dem Konzern fragt.

Führungskräfte hören darin eine Beleidigung einer Konzernbeziehung, die sie über Jahrzehnte aufgebaut haben. Das ist es nicht. Es ist eine Aussage über Daten, und nur über Daten. Der Mutterkonzern besitzt weiterhin das Unternehmen, besetzt den Aufsichtsrat, setzt die Strategie und nimmt den Gewinn. Was der Mutterkonzern nicht mehr automatisch bekommt, ist die Zeichnung.

Derselbe Reflex zeigt sich beim Status als Verbündeter, deshalb wird er hier gleich geschlossen. Jedes Land, das ich bediene, ist ein nach DFARS (Ergänzung zur US-Bundesvergabeordnung für Verteidigungsbeschaffungen) qualifiziertes Land, im Rahmen eines gegenseitigen Verteidigungsbeschaffungsabkommens mit dem DoD (US-Verteidigungsministerium), siehe DFARS 225.003. Dieser Status ist eine Beschaffungspräferenz für Endprodukte und Komponenten. Er hebt ITAR nicht auf, er hebt CMMC nicht auf, und er räumt FOCI nicht aus. Der Status als Verbündeter bringt Ihre Teile durch die Buy-American-Prüfung. Er bringt Ihren Mutterkonzern nicht durch die Datengrenze.

ITAR definiert ausländisches Eigentum und ausländische Kontrolle sehr wohl, und zwar für seine eigenen Zwecke, in 22 CFR 120.65. Ausländisches Eigentum liegt bei mehr als 50 Prozent der ausstehenden stimmberechtigten Anteile vor. Ausländische Kontrolle ist die Befugnis oder die Fähigkeit, allgemeine Richtlinien oder das Tagesgeschäft festzulegen oder zu lenken, und sie wird vermutet, wenn foreign persons 25 Prozent oder mehr der ausstehenden stimmberechtigten Anteile halten, es sei denn, eine einzelne US-Person kontrolliert einen gleich großen oder größeren Anteil. Diese Definitionen sind maßgeblich für das, was Sie der Directorate of Defense Trade Controls mitteilen. Sie gehören ITAR selbst, und sie sind nicht das FOCI-Rahmenwerk der Defense Counterintelligence and Security Agency, das eigenen Regeln folgt. Halten Sie die beiden auseinander, und lassen Sie Ihren Rechtsbeistand für Exportkontrolle und einen auf die DCSA spezialisierten Fachmann ihre jeweilige Hälfte verantworten.

Bevor Sie eine Grenze ziehen können, müssen Sie wissen, was sie umschließt. Zwei Datenbestände sind im Spiel. Sie überschneiden sich stark, und die meisten Betriebe verschätzen sich bei beiden auf exakt dieselbe Weise: Sie warten auf eine Kennzeichnung.

Technische Daten im Sinne von ITAR sind Informationen, die für Entwurf, Entwicklung, Produktion, Herstellung, Montage, Betrieb, Reparatur, Prüfung, Wartung oder Änderung eines Rüstungsguts erforderlich sind, einschließlich Informationen in Form von Blaupausen, Zeichnungen, Fotografien, Plänen, Anweisungen oder Dokumentation (22 CFR 120.33(a)). Lesen Sie diese Definition noch einmal und achten Sie darauf, was in ihr fehlt. Eine Kennzeichnung kommt darin nicht vor. Technische Daten sind darüber definiert, was die Information jemanden tun lässt, und nicht darüber, ob ein Stempel in der Ecke der Seite gelandet ist. Eine CAM-Datei, die niemand beschriftet hat, gehört zu den technischen Daten, wenn sie zur Herstellung des Teils erforderlich ist.

Kontrollierte Verteidigungsinformationen folgen einer parallelen Logik. Nach DFARS 252.204-7012 sind das nicht klassifizierte kontrollierte technische Informationen oder andere Informationen des CUI-Registers (CUI, kontrollierte, nicht klassifizierte Informationen), die geschützt werden müssen und die entweder gekennzeichnet oder im Vertrag benannt sind, oder die „collected, developed, received, transmitted, used, or stored by or on behalf of the contractor in support of the performance of the contract“ werden. Auch dieser zweite Zweig braucht keine Kennzeichnung.

Die Anweisung also, nach der Ihre Belegschaft bisher gelebt hat, schützt das gekennzeichnete Material, ist die falsche Anweisung. Zwei Regelwerke, zwei Definitionen, und keines von beiden wartet auf einen Aufkleber. Beide greifen über Funktion und Kontext, und genau deshalb lassen sie sich nicht an denjenigen delegieren, der den Stempel führt.

Das ist der Teil, der im Raum am härtesten einschlägt. Das größte einzelne Hindernis zwischen einem verbündeten Hersteller und einem DoD-Auftrag ist in der Regel nicht die Vorschrift. Es ist die Konzern-IT-Architektur, die der Mutterkonzern fünfzehn Jahre lang standardisiert hat und auf die er zu Recht stolz ist.

Nach 22 CFR 120.56(a)(3) werden technische Daten weitergegeben, indem access information (Zugangsinformationen) genutzt wird, um einer foreign person den Zugriff auf unverschlüsselte technische Daten zu verschaffen oder es ihr zu ermöglichen, sie einzusehen oder zu besitzen. Achten Sie auf das Verb. Ermöglichen. Die Klausel ist auf die Fähigkeit geschrieben, nicht auf die Absicht, und nicht darauf, ob überhaupt jemand die Datei geöffnet hat. Nach 22 CFR 120.56(b) ist bereits eine Genehmigung erforderlich, um einer foreign person diese access information überhaupt zu geben. Die Frage, die ein Exportrechtsanwalt und ein Prüfer gleichermaßen stellen, lautet also nicht, ob der Mutterkonzern hingeschaut hat. Sie lautet, ob dem Mutterkonzern der Zugriff ermöglicht werden könnte.

Fünf Muster machen den Großteil dessen aus, was ich bei einem ersten Rundgang finde:

Die erste Idee, die jeder fähige CTO zu diesem Problem mitbringt, ist Verschlüsselung, und der Instinkt ist richtig. ITAR gewährt der Verschlüsselung eine echte Ausnahme. Diese Ausnahme ist zugleich nützlicher und enger, als fast alle glauben, und in der Lücke zwischen diesen beiden Lesarten werden Programme teuer.

Das ist, was sie gewährt. Nach 22 CFR 120.54(a)(5) sind das Senden, Mitführen oder Speichern technischer Daten keine Ausfuhr, sofern mehrere Bedingungen zugleich erfüllt sind. Die Daten sind nicht klassifiziert. Sie sind mit einer Ende-zu-Ende-Verschlüsselung gesichert. Sie sind mit kryptografischen Modulen gesichert, die FIPS 140-2 oder dessen Nachfolgern entsprechen, oder mit anderen kryptografischen Mitteln, deren Sicherheitsstärke mindestens den 128 Bit von AES-128 vergleichbar ist. Und sie werden nicht absichtlich an eine Person in einem nach 22 CFR 126.1 gesperrten Land gesendet, nicht dort gespeichert und nicht von dort gesendet. Die Regel räumt sogar die Sorge um die Routenführung unmittelbar aus: Daten, die über das Internet unterwegs sind, gelten nicht als in einem Land gespeichert, das sie nur durchqueren. Und 22 CFR 120.54(c) stellt klar, dass die Möglichkeit, technische Daten in verschlüsselter Form abzurufen, die diese Kriterien erfüllt, weder eine Weitergabe noch eine Ausfuhr darstellt.

Lesen Sie nun die Definition, auf der die Ausnahme beruht. Für diesen Zweck verlangt die Ende-zu-Ende-Verschlüsselung, dass die Daten zwischen dem Urheber und dem vorgesehenen Empfänger zu keinem Zeitpunkt unverschlüsselt vorliegen und dass „the means of decryption are not provided to any third party“ (22 CFR 120.54(b)(1)). Der vorgesehene Empfänger muss der Urheber sein, eine US-Person in den Vereinigten Staaten oder eine Person, die anderweitig zum Empfang der technischen Daten befugt ist (22 CFR 120.54(b)(2)).

Genau dort bricht sie für die meisten Konzernarchitekturen zusammen. Access information ist in 22 CFR 120.55 definiert als Information, die den Zugriff auf verschlüsselte technische Daten in unverschlüsselter Form erlaubt, und die Vorschrift nennt die Beispiele selbst: Entschlüsselungsschlüssel, Netzwerkzugangscodes und Passwörter. Geben Sie diese an eine foreign person, und 22 CFR 120.56(b) verlangt dafür eine Genehmigung. Nutzen Sie sie, um einer foreign person den Zugriff auf unverschlüsselte Daten zu ermöglichen, und Sie befinden sich in 22 CFR 120.56(a)(3), einer Weitergabe. Und 22 CFR 120.50(a)(6) macht die Weitergabe zuvor verschlüsselter technischer Daten zu einer Ausfuhr aus eigenem Recht.

Die Architektur fällt damit aus dem Text heraus, und sie ist die These dieses Papiers. Das Chiffrat darf die Infrastruktur des Konzerns durchqueren. Die Schlüssel dürfen nicht zum Mutterkonzern gelangen. Ihr Mutterkonzern darf den Speicher halten, den Verkehr tragen, die Leitung besitzen und die Replikation betreiben, solange das, was er hält, für ihn unlesbar bleibt und die Mittel zur Entschlüsselung innerhalb der auf US-Persons beschränkten Grenze bleiben. Diese eine Asymmetrie ist es, die einem Unternehmen erlaubt, eine IT-Beziehung und zwei Flaggen zu behalten.

Zwei Vorbehalte, und ich meine beide ernst. Die Bedingungen in 22 CFR 120.54(a)(5) und die Definition in (b) sind kumulativ: Sie müssen alle zugleich und auf Ihren tatsächlichen Sachverhalt zutreffen. Und ob Ihre konkrete Architektur die Ausnahme erfüllt, ist eine rechtliche Feststellung, die Ihr Rechtsbeistand für Exportkontrolle trifft, und keine, die ein Operations-Architekt für Sie trifft. Meine Aufgabe ist es, die Umgebung so zu bauen, dass diese Feststellung sauber, dokumentiert und leicht mit Ja zu beantworten ist. Die Feststellung selbst bleibt beim Rechtsbeistand, und ich sage das im ersten Gespräch und nicht im letzten.

Die meisten Betriebe mit ausländischem Mutterkonzern führen ITAR und CMMC (den von der US-Verteidigung geforderten Cybersicherheits-Reifegrad) als zwei Projekte, mit zwei Anbietern und zwei Budgets, und oft einem dritten für den Netzwerkaufbau. Es ist ein Aufbau. Zu verstehen, warum, spart die sechs Monate, die diese Programme üblicherweise verlieren.

NIST SP 800-171 (der US-Standard zum Schutz kontrollierter, nicht klassifizierter Informationen) ist blind gegenüber der Staatsangehörigkeit. Seine Zugriffskontrollen fragen, ob ein Nutzer befugt ist. Sie fragen nicht, welchen Pass der Nutzer hält. Das ist keine Lücke im Standard, es ist eine Arbeitsteilung. ITAR ist das Regelwerk, das entscheidet, wer für exportkontrollierte technische Daten befugt werden kann. NIST SP 800-171 ist die Mechanik, die diese Entscheidung durchsetzt, protokolliert und die Nachweise erzeugt. CMMC Level 2 ist das US-Verteidigungsministerium, das prüft, ob die Mechanik echt ist.

Damit steht die Reihenfolge fest. ITAR zieht die Grenze. Die Kontrollen nach 800-171 halten sie. Der Prüfer bewertet sie. Bauen Sie sie in dieser Reihenfolge, und jede speist die nächste: Die Zugriffsmatrix, die Sie für die Exportfrage schreiben, wird zur Zugriffskontrolle, die der Prüfer testet. Bauen Sie sie als drei parallele Anbietergespräche, bekommen Sie drei Antworten, die sich am Tor widersprechen.

Eine einzige Definition in DFARS 252.204-7012 beendet den häufigsten Plan, den ich höre: dass die Konzern-IT den US-Standort einfach so führt, wie sie jeden anderen Standort führt. Ein covered contractor information system ist definiert als „an unclassified information system that is owned, or operated by or for, a contractor“, das kontrollierte Verteidigungsinformationen verarbeitet, speichert oder überträgt. Operated by or for. Wenn die IT-Abteilung Ihres Mutterkonzerns Ihre US-Systeme betreibt, sind diese Systeme covered contractor information systems, und die Umgebung des Mutterkonzerns liegt nicht außerhalb Ihres Assessments. Sie liegt darin. Die Arbeit an den Konzern zu geben, verlagert die Pflicht nicht ins Ausland. Es zieht den Konzern in den Geltungsbereich hinein.

Die Klausel trägt den Rest der Form, für die Sie planen müssen:

Alles bisher lässt sich leicht als Büroproblem vorstellen. Dateifreigaben, Postfächer, ein ERP, ein Helpdesk. Genau dieser Rahmen ist es, an dem Betriebe mit ausländischem Mutterkonzern scheitern, denn die kontrollierten Daten reisen dort am gefährlichsten, wo gefertigt wird.

In dem Moment, in dem eine Zeichnung das ERP verlässt und an der Maschine zur Arbeitsanweisung wird, sind technische Daten aus einem System, das Sie als geschützt behandeln, in ein System übergegangen, das Sie seit jeher als Maschine und nicht als Computer behandelt haben. Die CAM-Datei auf einem gemeinsam genutzten PC in der Fertigung. Das Programm, das auf der Steuerung liegt. Der Historian, der Prozessdaten zu einem kontrollierten Teil aufzeichnet und sie anschließend mit einem Server abgleicht, den das ganze Büro erreicht. Für einen inländischen Betrieb ist dieser Übergang bereits der am häufigsten übersehene Kontrollpunkt im Gebäude. Für einen Betrieb mit ausländischem Mutterkonzern trägt jeder dieser Übergänge eine zweite Frage auf der ersten: nicht nur, ob dies kontrolliert ist, sondern wer im Konzern das System erreichen kann, auf dem es gelandet ist.

Das Beispiel, das dies konkret macht, ist kein Bösewicht. Es ist Ihr bester Automatisierungsingenieur. Eine Linie in Nashua steht um 2 Uhr nachts still. Der Steuerungstechniker des Mutterkonzerns in Turin hat genau diese Fertigungszelle viermal in Betrieb genommen und bekommt sie über eine Remote-Sitzung in zwanzig Minuten wieder zum Laufen. Er ist eine foreign person. Die Steuerung hält ein Programm, das aus kontrollierten technischen Daten abgeleitet ist. Diese Remote-Sitzung ist die gesamte Vorschrift in einer einzigen Bildschirmfreigabe, und der Schichtleiter wird diese Entscheidung um 2 Uhr nachts treffen, sofern die Architektur sie nicht bereits für ihn getroffen hat.

Die Grenze wird deshalb in die Fertigung hineinkonstruiert und nicht um sie herum gezogen. Segmentieren Sie das OT-Netz so, dass ein erreichbares Büro-Endgerät kein Pfad zu einer Steuerung ist. Führen Sie die notwendigen Übergaben über einen kontrollierten, protokollierten Weg statt über einen USB-Stick. Entscheiden Sie im Voraus und schriftlich, welche Fertigungszellen kontrollierte Programme halten und wer sie erreichen darf, damit die Entscheidung um 2 Uhr nachts ein Nachschlagen ist und keine Ermessensfrage. Und wo die Unterstützung durch die Konstruktion des Konzerns wirklich die richtige Antwort ist, holen Sie über Ihren Rechtsbeistand die ordnungsgemäße Genehmigung ein, solange die Linie noch läuft, statt die Frage während eines Vorfalls zu entdecken.

Deshalb behandle ich die Datengrenze und das Betriebsmodell als ein Entwurfsproblem und nicht als zwei. Derselbe zusammengeführte Faden, der einem Prüfer einen einzigen prüfbaren Weg vom Vertrag bis zum Schnitt gibt, ist der Faden, der der P&L (Gewinn- und Verlustrechnung) einen ehrlichen Blick darauf gibt, was die Fertigung tatsächlich tut. Einmal gebaut, ist er der Nachweis für den Prüfer und die Instrumententafel für den Inhaber. Zweimal gebaut, sind es zwei Systeme, die einander widersprechen.

Jeder Mutterkonzern hört die auf US-Persons beschränkte Datengrenze als eine Mauer zwischen sich und dem Unternehmen, das ihm gehört. Diese Lesart bringt mehr dieser Projekte um als jede Kontrolle, und sie ist falsch. Richtig gebaut, verliert der Mutterkonzern fast nichts von dem, was er tatsächlich braucht.

Gehen Sie zurück zur Definition. Technische Daten im Sinne von ITAR sind Informationen, die erforderlich sind, um ein Rüstungsgut zu entwerfen, herzustellen, zu prüfen, zu reparieren oder zu ändern, und 22 CFR 120.33(b) nimmt grundlegende Marketinginformationen zu Funktion oder Zweck und allgemeine Systembeschreibungen ausdrücklich aus. Ein Konzernabschluss gehört nicht zu den technischen Daten. Auftragseingang, Auftragsbestand, Liefertreue, Ausschussquote, Durchsatz, Personalbestand, Investitionsausgaben, Qualitätskennzahlen und die SQDIP-Tafel gehören nicht zu den technischen Daten. Fast nichts, was der Aufsichtsrat eines Mutterkonzerns an einem Dienstag tatsächlich durchsieht, gehört zu den technischen Daten.

Die Entwurfsaufgabe ist damit präzise, und sie ist eine operative und keine rechtliche: Geben Sie dem Mutterkonzern jede Zahl, auf die er Anspruch hat, und keine der Zeichnungen, auf die er keinen hat. In der Praxis wird die Berichtsebene so gebaut, dass sie die Grenze überquert, und die Konstruktionsebene so, dass sie es nicht tut. Diese Unterscheidung ist die ganze Architektur, und deshalb wird sie zur Entwurfszeit entschieden, wo sie ein Gespräch kostet, statt zur Zeit des Assessments, wo sie eine neue Plattform kostet.

Ich bin der operative Partner, und ich bin präzise, wo dessen Grenze verläuft. Ich baue den regelkonformen US-Betrieb auf und führe ihn: die Fertigung, das Betriebsmodell, den Aufbau der IT- und OT-Umgebung, die auf US-Persons beschränkte Datengrenze und die Bereitschaftsnachweise für das Tor, gegen das Sie laufen. Die Gründung der Gesellschaft, die Registrierung für ITAR und bei der DDTC, die FOCI-Minderung, die Feststellungen zu Lizenzen und Ausnahmeregelungen und Fragen des CFIUS (Committee on Foreign Investment in the United States, der US-Ausschuss für Auslandsinvestitionen) bleiben bei Ihrem Unternehmensrechtsbeistand und Ihrem Rechtsbeistand für Exportkontrolle. Ich stimme mich mit ihnen ab und verantworte das operative Ergebnis.

Diese Linie ist keine Bescheidenheit, sie ist der Grund, warum der Aufbau hält. Ob eine bestimmte Architektur die Ausnahme nach 22 CFR 120.54 erfüllt, ob eine bestimmte Übermittlung eine Lizenz braucht, ob Ihre Eigentümerstruktur eine Meldung an die DDTC auslöst: Das sind rechtliche Feststellungen mit rechtlichen Folgen. Ein Operations-Architekt, der sie für Sie beantwortet, verkauft Ihnen eine Haftung mit selbstsicherer Stimme. Was ich tue, ist den Betrieb so zu bauen, dass diese Feststellungen sauber, dokumentiert und leicht sind, und dass die Nachweise vorliegen, bevor jemand danach fragt.

Dieser Aufbau ist weder theoretisch noch selten. Im April 2026 erreichte American Rheinmetall die Zertifizierung nach CMMC Level 2 an seinen US-Produktionsstandorten: ein US-Betrieb mit deutschem Mutterkonzern, der die Aufstellung hält, öffentlich belegt. Ich war selbst der Operator des ausländischen Mutterkonzerns in den USA und habe das Nordamerika-Geschäft eines italienischen Sensorkonzerns geleitet, und ich baue derzeit den US-Fertigungsbetrieb im Verteidigungsbereich für die Tochtergesellschaft eines kanadischen Mutterkonzerns auf. Der Weg existiert, und Menschen gehen ihn. Knapp ist der Operator, der ihn mit Ihnen geht. Sechs Ebenen von Firmen helfen einem ausländischen Hersteller in den US-Markt, vom FOCI-Rechtsbeistand über die Strukturierung durch die Big Four und die Standortwahl bis zu CMMC-IT-Anbietern, und jede einzelne von ihnen überreicht Ihnen ein Dokument, ein Gebäude oder ein Zertifikat. Der Standards Guide for Foreign Partners des Chief Information Officer des DoD ist das, was einer offiziellen Synthese am nächsten kommt, und er ist ein Kontroll-Overlay und keine Abfolge für einen Operator. Irgendjemand muss den Betrieb immer noch aufbauen und führen. Diese Ebene ist die eigentliche Arbeit, und sie ist die, die ich verantworte.

Das Fazit ist der Titel. Ihr Mutterkonzern ist gegenüber den technischen Daten Ihrer US-Tochtergesellschaft eine foreign person, und deshalb bleiben die Zeichnungen, die abgeleiteten Dateien und die Schlüssel innerhalb einer auf US-Persons beschränkten Grenze, während das Chiffrat, die Finanzzahlen und die Unternehmensführung sie frei überqueren. ITAR zieht diese Grenze, NIST SP 800-171 hält sie, und CMMC Level 2 beweist, dass sie hält. Bauen Sie die drei als einen Faden, und der Prüfer findet die Kontrollen bereits in Betrieb vor, weil sie die Art sind, wie die Arbeit getan wird. Bauen Sie sie als drei Anbietergespräche, und Sie erfahren am Tor, welches davon falsch lag, mit dem Vertrag auf dem Tisch. Ein Faden. Zwei Flaggen.