Kryptographie: Beschränkte Lockerung der US-Verschlüsselungsexporte

Februar 2000. Im September 1999 hat die US-Regierung eine starke Lockerung ihrer Exportbeschränkungen für Verschlüsselungsprodukte angekündigt. Nachdem ein erster Entwurf vom November heftig kritisiert worden war, legte sie letzte Woche einen zweiten, etwas liberaleren Entwurf vor. Dieser passt der Softwarebranche den ersten Stellungnahmen zufolge sehr viel besser: Er erlaubt den freien Export von gewissen kommerziellen Produkten auch mit starken Verschlüsselungsfunktionen in fast alle Länder und an fast alle Kunden. Es wird keine Lizenz der Regierung mehr benötigt. Die neuen Bestimmungen können möglicherweise im Mai in Kraft treten.

Die positive Reaktion der betroffenen Wirtschaftskreise darf allerdings nicht darüber hinwegtäuschen, dass auch mit dem jüngsten Entwurf nicht alle Krypto-Exportbeschränkungen der US-Regierung gefallen sind. Die Regelungen sind nicht nur sehr kompliziert und bergen jene Menge "Juristen-Futter". Sie sehen auch etliche Einschränkungen vor. Frei ist zum Beispiel nur der Export von Verschlüsselungstechnik in Massenprodukten, also der Produktekategorie "retail encryption commodities and software". Eben dieser Begriff bietet aber einiges an Flexibilität. So wird weiterhin die US-Regierung bestimmen, genauer die US-Exportverwaltung BXA, welche Produkte mit welchen Funktionen im Rahmen welcher Vertriebsarten als frei betrachtet werden kann.

Dabei wird nicht jedes kommerzielle Produkt von der Lockerung wirklich profitieren. Upgrades von bestehenden Produkten mit stärkerer Verschlüsselung sind zum Beispiel nicht vollständig frei: Was bisher mit 40- oder 56-Bit arbeitete, soll -- mit behördlicher Meldung -- nur auf 64 Bit aufgerüstet werden können, wird berichtet. Für diverse weitere Anwendungen und Produkte werden zudem Lizenzen vorgeschrieben. Das gilt zum beispiel für Exporte an ausländische Regierungen sowie Firmen, die mit diesen in einer Weise kooperieren. Die US-Regierung hat jedoch in Aussicht gestellt, dass für solche Empfänger unter Umständen bereits eine Generallizenz reichen soll, wie sie auch andere Länder kennen.

Gelockert wurde im neusten Entwurf unter anderem die Regelungen zum Export von Quellcode von Verschlüsselungsprodukten. Es sollten zunächst nur die fertigen Produkte frei exportiert werden können. Das wurde aufgegeben: Auch der Source-Code von kommerziellen Krypto-Produkten darf neu exportiert werden, und zwar nicht mehr nur wie bisher in gedruckter Form. Aber auch hier gibt es Einschränkungen für ausländische Regierungsstellen. Immerhin wird diese Lockerung es vielen Kunden ermöglichen, Kryptographieprodukte aus den USA auf ihre Sicherheit und Vertrauenswürdigkeit zu überprüfen.

Die US-Regierung hat sich auf diese Weise den Zugriff auf die Quellcodes der Kryptoalgorithmen ebenfalls gesichert: Wer sie nicht im Internet als Open Source offenlegen und der US-Regierung die Adresse mitteilen will, muss ihr eine private, "einmalige" Prüfung erlauben. Das ist freilich mit einem Aufwand und Zeitverlust verbunden. In beiden Fällen können sich die Behörden mit den neuen Regelungen einen sehr viel besseren Überblick darüber sichern, was sich in Sachen Kryptographie im Lande so tut. Für einige Länder, die laut den USA den Terrorismus unterstützen, gelten nach wie vor generelle Exportverbote.

http://www.cdt.org/crypto/admin/000110cryptoregs.shtml