Cloud-PDM-Sicherheitsvergleich 2026: Engineering-Daten schützen
Vergleichen Sie Sicherheitsdaten, externe Zugriffsmodelle und Preise von CAD ROOMS, SOLIDWORKS 3DEXPERIENCE, Onshape, OpenBOM und Autodesk Fusion Manage.
Exportkontrolle für Raumfahrttechnik: Was Cloud-PDM kann und was nicht
Wie Cloud-PDM EAR- und Dual-Use-Workflows unterstützt und wo seine Grenzen liegen.
TABLE OF CONTENTS
Wie Cloud-PDM EAR- und Dual-Use-Workflows unterstützt und wo seine Grenzen liegen.
Ein Cloud-PDM kann ein Exportkontrollprogramm unterstützen, indem es den Zugriff auf Engineering-Daten begrenzt, den Revisionsverlauf bewahrt, kontrollierte externe Zusammenarbeit ermöglicht und ausgewählte Plattformaktivitäten dokumentiert. Es kann jedoch nicht die Zuständigkeit nach EAR oder ITAR bestimmen, ECCNs vergeben, Restricted Parties screenen, Lizenzen beschaffen oder entscheiden, ob eine Übertragung zulässig ist.
Raumfahrt- und Hardware-Unternehmen müssen technische Kontrollen daher mit einer artikelbezogenen Klassifizierung, juristischer Prüfung, Restricted-Party-Screening, Schulung und dokumentierten Verfahren kombinieren. Vor Veröffentlichung oder operativer Nutzung sollten Exportkontrollinhalte und Workflows von qualifiziertem Exportkontroll-Counsel oder einer autorisierten internen Fachperson geprüft werden.
Einleitung: Exportkontrollen in der neuen Raumfahrtwirtschaft
Die Raumfahrt entwickelt sich schnell. Private Unternehmen bauen Satelliten, Launch-Systeme, Robotik, fortschrittliche Sensorik, Bodenausrüstung, antriebsbezogene Komponenten und missionskritische Software für kommerzielle und staatliche Märkte.
Viele dieser Produkte sind keine Waffen. Trotzdem können Raumfahrttechnologien und andere fortgeschrittene Hardware-Systeme sensibel sein, weil sie sowohl zivil als auch militärisch genutzt werden können. Deshalb ist Exportkontroll-Compliance für Unternehmen relevant, die Engineering-Daten zu Raumfahrtsystemen und anderer Dual-Use-Hardware erstellen, speichern oder teilen.
Dieser Artikel konzentriert sich auf EAR- und Dual-Use-Engineering-Data-Workflows für kommerzielle Raumfahrt- und Hardware-Teams. Er erklärt, wo Cloud-PDM helfen kann, welche Verantwortung beim Exporteur verbleibt und was Unternehmen validieren sollten, bevor sie kontrollierte CAD-Daten speichern oder teilen.
EAR und EU-Dual-Use-Kontrollen, mit einer ITAR-Abgrenzung
Für einige kommerzielle Raumfahrt- und Hardware-Teams ist der wichtigste Rahmen die Export Administration Regulations (EAR), einschließlich der Commerce Control List (CCL) und definierter EAR-Begriffe wie "technology" und "source code". Bestimmte kommerzielle Raumfahrzeuge und verwandte Artikel werden unter der EAR kontrolliert. Bestimmte verteidigungsbezogene, militärische, launch-, propulsion- oder specially designed Artikel können dagegen unter ITAR oder unter strengere EAR-Kontrollen fallen. Wenn ITAR in Betracht kommt, sollte das Unternehmen eine formelle jurisdiction- und classification-Prüfung durchführen lassen und sich nicht allein auf einen Workflow-Artikel verlassen. [1]-[3]
Für Unternehmen, die aus der Europäischen Union exportieren, regelt die Verordnung (EU) 2021/821 die Ausfuhr, Vermittlung, technische Unterstützung, Durchfuhr und Verbringung von Dual-Use-Gütern. Sie verfolgt ebenfalls das Ziel, sensible Dual-Use-Technologie zu kontrollieren, ist aber nicht gleichbedeutend mit der EAR: Sie hat einen eigenen Anwendungsbereich, eigene Genehmigungen, Catch-all-Regeln, Cyber-Surveillance-Vorschriften und mitgliedstaatliche Umsetzungsanforderungen. In diesem Artikel verwenden wir "Engineering-Daten" als allgemeine Beschreibung, sofern keine präzise regulatorische Definition erforderlich ist; die ITAR verwendet häufig "technical data", während die EAR definierte Begriffe wie "technology" und "source code" nutzt. [4][1][3]
Fragen vor der Weitergabe von Engineering-Daten
- Falls die EAR gilt: Welche ECCN und welche technischen Schwellenwerte sind relevant?
- Müssen bestimmte verteidigungsbezogene, militärische, launch-, propulsion- oder specially designed Artikel separat unter ITAR geprüft werden?
- Sind die Informationen für die Entwicklung, Produktion oder Nutzung eines kontrollierten Artikels erforderlich?
- Wer erhält die Daten, wo befindet sich diese Person und welcher relevante Status in Bezug auf Staatsangehörigkeit oder Daueraufenthalt gilt?
- Was ist der vorgesehene End Use und wer ist der End User?
- Greifen Sanktionen, Restricted-Party-, Military-End-Use- oder andere Kontrollen?
- Welche Lizenz, Ausnahme oder sonstige Genehmigung trägt die Übertragung?
Satellitenreform und BIS-Updates 2024
Auf Grundlage früherer gesetzlicher Ermächtigungen veröffentlichten das US-Außenministerium und das Handelsministerium im Mai 2014 Regeln, durch die viele kommerzielle Satelliten und verwandte Artikel vom USML in die CCL verlagert wurden. Die Änderungen traten 2014 schrittweise in Kraft. Dadurch wurde die EAR für viele kommerzielle Satellitenunternehmen wichtiger, aber nicht alle raumfahrtbezogenen Artikel fielen damit aus der ITAR heraus. [5]
Im Oktober 2024 veröffentlichte das Bureau of Industry and Security (BIS) drei getrennte raumfahrtbezogene Maßnahmen. Ihr rechtlicher Status ist entscheidend; vorgeschlagene Regelungen dürfen nicht wie bereits endgültig geltendes Recht behandelt werden. [9]
BIS-Maßnahme | Status | Praktische Bedeutung |
Wegfall von Lizenzanforderungen für bestimmte Raumfahrzeuge und verwandte Artikel für Australien, Kanada und das Vereinigte Königreich | Final Rule; wirksam seit 23. Oktober 2024 | Hebt bestimmte EAR-Lizenzanforderungen für erfasste Artikel und Ziele auf. ECCNs, Bedingungen und Ausschlüsse müssen geprüft werden. |
Revisions to space-related export controls | Interim Final Rule; wirksam seit 23. Oktober 2024 | Ändert und präzisiert ausgewählte Kontrollen. Vor internen Prozessänderungen sollte der operative Regeltext geprüft werden. |
Proposed License Exception Commercial Space Activities (CSA) and related revisions | Proposed Rule | Auf vorgeschlagene Bestimmungen sollte nicht vertraut werden, solange sie nicht in einer Final Rule übernommen wurden. |
Diese Maßnahmen können den Lizenzaufwand für bestimmte Artikel und Ziele reduzieren, bedeuten aber nicht, dass kommerzielle Satelliten generell frei von Exportkontrollen sind. Die Eignung hängt vom Artikel, der ECCN, dem Bestimmungsland, dem End Use, dem End User, Bedingungen, Ausschlüssen und dem endgültigen Status der Regel ab. [9]
Exportkontroll-Workflow auf einen Blick
- Engineering-Daten identifizieren
- Zuständigkeit und Klassifizierung bestimmen
- Empfänger und End Use screenen
- Erforderliche Lizenz, Ausnahme oder andere Genehmigung bestätigen
- PDM- und Identity-Zugriff konfigurieren
- Freigegebene Revision teilen
- Aktivitätsaufzeichnungen prüfen und erforderliche Records aufbewahren
Wo Exportkontrollrisiken in der Engineering-Arbeit entstehen
Exportkontrollrisiken können entstehen, bevor ein physisches Produkt versendet wird. CAD-Dateien, Baugruppen, Zeichnungen, Fertigungsspezifikationen, Firmware, Source Code, Testverfahren, Leistungsdaten und Release Packages können geprüft werden müssen, bevor sie geteilt werden. Nicht jede Datei ist kontrolliert; Public Information, Fundamental Research und andere Ausschlüsse oder Ausnahmen hängen vom Sachverhalt und dem jeweils anwendbaren Regime ab.
Internationale Zusammenarbeit
Wenn kontrollierte Engineering-Daten mit einer ausländischen Person oder Organisation geteilt werden, muss das Unternehmen prüfen, ob ein Export, Reexport, Transfer oder Release vorliegt und ob eine Genehmigung erforderlich ist. Cloud-Zugriff kann dieselben Fragen aufwerfen, wenn ausländische Nutzer oder Standorte kontrollierte Daten erhalten können. Die Antwort hängt von den Daten, dem Zugriffsmodell, den Nutzern, den Standorten und den anwendbaren Regeln ab.
Deemed Exports
Die Offenlegung kontrollierter EAR-Technology oder von Source Code an eine foreign person in den Vereinigten Staaten kann einen deemed export darstellen. Ob eine Genehmigung erforderlich ist, hängt von der Technologie, der Klassifizierung, dem anwendbaren Status in Bezug auf Staatsangehörigkeit oder Daueraufenthalt, verfügbaren Ausnahmen und weiteren regulatorischen Faktoren ab. US-Daueraufenthaltsberechtigte und protected persons können anders behandelt werden. Zugriff sollte deshalb an eine dokumentierte Genehmigung geknüpft sein und nicht nur an die Teamzugehörigkeit. [6]
Nachweise und Aufbewahrung
Ein Unternehmen muss gegebenenfalls nachweisen können, welche Dateien klassifiziert wurden, wer Zugriff erhielt, welche Revisionen geteilt wurden, welche Berechtigungen sich geändert haben und welche Genehmigung die Aktivität gestützt hat. Unter der EAR sind erforderliche Aufzeichnungen im Regelfall fünf Jahre lang ab dem jeweils spätesten relevanten Datum gemäß Part 762, einschließlich Section 762.6, aufzubewahren. [7]
Exportkontrollverstöße können zivil-, straf- und verwaltungsrechtliche Folgen haben, einschließlich des Entzugs von Exportprivilegien. Da zivile Strafobergrenzen angepasst werden, sollten Unternehmen jeweils die aktuelle EAR und BIS-Enforcement-Guidance prüfen, anstatt sich auf einen festen Betrag in einem Blogartikel zu verlassen. [8]
Wobei Cloud-PDM helfen kann und was es nicht ersetzt
Cloud-PDM ist ein unterstützendes System für Exportkontroll-Workflows. Es kann kundendefinierte Kontrollen unterstützen, trifft aber keine rechtlichen Entscheidungen.
Compliance-Anforderung | Beitrag von Cloud-PDM | Zusätzlich erforderliche Kontrolle |
Zuständigkeit und Klassifizierung | Kann Klassifizierungsinformationen speichern, sofern unterstützt. | Export-Fachperson oder Counsel ordnet Zuständigkeit und ECCN zu. |
Nutzerzugriff | Rollen, Projektberechtigungen und kontrollierte Workspaces. | Prozess für Identität, Staatsangehörigkeit, Daueraufenthalt und Lizenz- oder Genehmigungsstatus. |
Externe Zusammenarbeit | Guest Access, gezielte Freigabe und Versionskontrolle. | Freigegebener Sharing-Prozess und dokumentierte Genehmigung. |
Geografische Beschränkungen | Kann je nach Umgebung mit Identity-, Netzwerk- oder Endpoint-Kontrollen integriert werden. | IdP, Geofencing, VPN, Netzwerk-, Endpoint- oder DLP-Tools. |
Restricted-Party-Screening | Keine typische PDM-Funktion. | BIS-, OFAC-, EU-, UK-, UN- oder andere Screening-Tools und Verfahren. [10] |
Audit-Nachweise | Zeichnet unterstützte Plattformaktivitäten auf. | Bestätigung von Event-Abdeckung, Aufbewahrung, Exportierbarkeit und Beweisanforderungen. |
Exportgenehmigung | Kann unterstützende Unterlagen ggf. anhängen oder speichern. | Rechtliche Prüfung, Analyse von Lizenzausnahmen oder staatliche Lizenz. |
Schulung und Verfahren | Kann Workflow-Dokumentation oder Freigabedatensätze hosten. | Compliance-Programm, Schulung, Eskalation und regelmäßige Überprüfung. |
Ziel ist es, Compliance-Entscheidungen mit operativen Kontrollen zu verbinden. Eine Tabelle mit freigegebenen Nutzern genügt nicht, wenn Kollaborationstools weiterhin breiten Zugriff auf kontrollierte Dateien ermöglichen.
Wie Cloud-PDM Exportkontroll-Workflows unterstützt
Rollen- und projektbasierter Zugriff
Sensible Engineering-Daten sollten nicht allein deshalb zugänglich sein, weil jemand zum Unternehmens-Workspace gehört. Zugriff sollte nach Projekt, Rolle, Need-to-know und dokumentierter Genehmigung beschränkt werden.
Nutzertyp | Typischer Zugriffsbedarf | PDM-Kontrolle |
Interne Engineering-Person | Bearbeitung zugewiesener Projektdateien | Projektbezogene Berechtigungen |
Externer Lieferant | Zugriff auf freigegebenes Release Package | Zielgerichteter Guest Access |
Kundenreviewer | Einsicht in ausgewählte Dokumentation | Kontrollierte externe Freigabe |
Compliance Lead | Prüfung relevanter Aktivitätsaufzeichnungen | Audit- oder Activity-Sichtbarkeit |
Contractor | Begrenzter Zugriff auf zugewiesene Arbeit | Rollenbasierte Einschränkungen |
Sichere externe Zusammenarbeit
Hardware-Teams müssen häufig Design-Dateien mit Lieferanten, Fertigungspartnern, Zertifizierungsstellen und Kunden teilen. E-Mail-Anhänge und unverwaltete File-Links erzeugen Risiken, weil sie schwer nachzuverfolgen und zu widerrufen sind.
Ein PDM-System kann sichere externe Zusammenarbeit unterstützen, indem es Teams hilft:
- Externe Nutzer in spezifische Kollaborationsräume einzuladen
- Zugriff nach Rolle oder Projekt zu begrenzen
- Nur ausgewählte Dateien oder Versionen zu teilen
- Zugriff nach Projektende zu widerrufen
- Unterstützte Aktivitätsaufzeichnungen zu prüfen
Bevor eine Plattform für exportkontrollierte Daten genutzt wird, sollte das Unternehmen validieren, ob sie die konkreten Anforderungen an Zugriff, Logging, Download-Kontrolle, Aufbewahrung und Hosting des eigenen Programms abdeckt.
Revisionshistorie und Release-Traceability
Exportkontroll-Compliance hängt oft davon ab, genau zu wissen, welche Dateiversion geteilt wurde. Schon eine kleine Konstruktionsänderung kann Klassifizierung, Leistung oder den Umfang einer Lizenz beeinflussen.
Die Revisionshistorie hilft Teams bei Fragen wie:
- Welche Version hat der Lieferant erhalten?
- War die geteilte Datei freigegeben?
- Wer hat die Änderung vorgenommen?
- Wann wurde die Datei released?
- Hat der externe Partner die aktuelle Version oder eine ältere erhalten?
Diese Traceability ist besonders wichtig in Aerospace- und anderen regulierten Hardware-Umgebungen.
Audit- und Aktivitätsaufzeichnungen
Audit-Aufzeichnungen können Unternehmen dabei helfen, unterstützte Plattformaktivität zu überwachen, Vorfälle zu untersuchen und Nachweise für interne oder externe Prüfungen vorzubereiten.
Unternehmen sollten jedoch nicht davon ausgehen, dass jede Plattform jedes Ereignis erfasst. Bevor Audit-Aufzeichnungen als Exportkontrollnachweis genutzt werden, sollte bestätigt werden:
- Welche Datei-Events aufgezeichnet werden
- Ob Views, Downloads, Uploads, Löschungen und Berechtigungsänderungen protokolliert werden
- Ob externe Sharing-Events protokolliert werden
- Ob Authentifizierungsereignisse protokolliert werden
- Ob fehlgeschlagene Versuche oder Standortdaten verfügbar sind
- Ob Logs exportiert werden können
- Wie lange Records aufbewahrt werden
- Ob Logs manipulationsresistent sind oder sonstige Beweisanforderungen erfüllen
CAD ROOMS und Exportkontroll-Support
CAD ROOMS ist eine cloud-native PDM-&-PLM-Plattform für Engineering-Teams. Sie kann kundengesteuerte Exportkontroll-Workflows durch rollenbasierte Berechtigungen, Projekt- und Workspace-Zugriffskontrolle, Revisionshistorie, kontrollierte externe Zusammenarbeit, dokumentierte Aktivitätshistorie, Verschlüsselung, SAML-SSO-Optionen sowie Enterprise-Hosting- oder regionale Data-Residency-Optionen unterstützen. [11]
Für Unternehmen, die mit sensiblen Raumfahrt- oder Dual-Use-Daten arbeiten, kann CAD ROOMS bei Folgendem helfen:
Rollenbasierte Berechtigungen: Teams können steuern, wer Zugriff auf Projekte, Dateien und Kollaborationsräume hat.
Projekt- und Workspace-Zugriffskontrolle: Sensible Arbeit kann nach Projekt oder Workspace-Struktur getrennt werden, um unnötige Exposition zu reduzieren.
Revisionshistorie: Teams können Dateiveränderungen nachvollziehen und sehen, welche Version geprüft, geteilt oder freigegeben wurde.
Sichere Gast-Zusammenarbeit: Externe Partner können in kontrollierte Kollaborations-Workflows eingeladen werden, anstatt sich auf unverwaltete E-Mail-Anhänge oder generische Links zu verlassen.
Dokumentierte Aktivität: Unterstützte Aktivitätshistorie kann Teams dabei helfen, dokumentierte Projekt-Events wie Beiträge, Rollenänderungen und ECO-Releases zu prüfen. Event-Abdeckung, Aufbewahrung und Exportierbarkeit sollten für den vorgesehenen Compliance-Anwendungsfall validiert werden.
Enterprise-Hosting-Optionen: Enterprise-Kunden können Hosting-, regionale Data-Residency-, Identity-, Security- und Access-Control-Anforderungen mit dem CAD-ROOMS-Team besprechen.
CAD ROOMS klassifiziert keine Technologie, vergibt keine ECCNs, bestimmt keine ITAR-vs-EAR-Zuständigkeit, screent keine Restricted Parties, entscheidet nicht, ob eine Lizenz erforderlich ist, und bietet keine Rechtsberatung.
Funktionen wie ECCN-spezifische Workflow-Automatisierung, Citizenship- oder Nationality-Attribute, Geofencing, Watermarking, DLP, Standort-Logging fehlgeschlagener Logins, Suspicious-Access-Alerts, Bulk-Classification-Updates, Tracking von Exportlizenz-Autorisierungen oder Anforderungen an unveränderliche Logs sollten direkt mit den Produkt- und Security-Teams von CAD ROOMS validiert werden, bevor sie Kunden zugesagt oder für ein Compliance-Programm vorausgesetzt werden.
Produktdetails finden Sie unter CAD ROOMS Enterprise und Rollen und Berechtigungen.
Praktischer Workflow: kontrollierte Engineering-Daten im PDM verwalten
Ein praktischer Exportkontroll-Workflow kann so aussehen:
- Sensible Projekte identifizieren. Kennzeichnen Sie Arbeiten, bei denen kontrollierte Produkte, Komponenten, Software oder Technical Data im Spiel sein könnten.
- Zuständigkeit und Klassifizierung bestimmen. Prüfen Sie, ob ITAR, EAR, EU-Dual-Use oder ein anderes Regime gilt.
- Klassifizierungsentscheidungen dokumentieren. Halten Sie ECCNs, USML-Kategorien, rechtliche Analysen, Lizenzentscheidungen oder interne Kontrolllabels fest.
- Zugriff nach Need-to-know begrenzen. Zugriff nur Nutzern mit dokumentiertem geschäftlichem Bedarf und Genehmigung gewähren.
- Externe Freigaben kontrollieren. Nutzen Sie gezielten Guest Access oder sichere Kollaborationsräume statt unverwalteter Dateitransfers.
- Externe Parteien screenen. Verwenden Sie geeignete Verfahren für Restricted-Party-, Sanktions- und End-Use-Screening außerhalb des PDM.
- Unterstützte Aktivitätsaufzeichnungen prüfen. Prüfen Sie verfügbare Records für unterstützte Events wie Beiträge, Rollenänderungen und Releases und validieren Sie, ob externe Kollaborations-Events erfasst werden.
- Erforderliche Records aufbewahren. Bewahren Sie Klassifizierungs-, Screening-, Lizenz-, Genehmigungs-, Schulungs- und Audit-Unterlagen gemäß den anwendbaren Regeln auf.
- Nach Änderungen neu bewerten. Überprüfen Sie Kontrollen nach regulatorischen Updates, Produktänderungen, neuen Zielmärkten oder neuen externen Partnern.
So wird Exportkontroll-Compliance von einer einmaligen juristischen Prüfung zu einem wiederholbaren operativen Prozess.
Reale Szenarien für Raumfahrtunternehmen
Szenario 1: Satellitenhersteller teilt CAD-Dateien mit europäischem Partner
Ein US-Satellitenhersteller arbeitet mit einem europäischen Aerospace-Partner zusammen. Einige Dateien von Satelliten-Subsystemen können unter die EAR fallen, andere benötigen möglicherweise eine zusätzliche Zuständigkeitsanalyse.
Compliance-Herausforderung: Das Team muss international zusammenarbeiten, ohne breiten Zugriff auf alle technischen Daten zu gewähren.
PDM-Ansatz:
- Dateien vor der Freigabe klassifizieren
- Einen dedizierten Partner-Workspace oder Projektbereich einrichten
- Nur freigegebene Dateien und Versionen teilen
- Zugriff auf autorisierte Nutzer begrenzen
- Unterstützte Aktivitätsaufzeichnungen erhalten
- Juristische und Screening-Dokumentation außerhalb oder neben dem PDM pflegen, soweit erforderlich
Szenario 2: Launch- oder Propulsion-Unternehmen mit verteiltem Engineering-Team
Ein Launch-, Propulsion- oder Avionik-Unternehmen beschäftigt Mitarbeitende und Contractors in mehreren Ländern. Ein Teil seiner technischen Daten kann weiterhin ITAR-kontrolliert oder strengen EAR-Kontrollen unterliegen.
Compliance-Herausforderung: Das Unternehmen muss unzulässige Releases kontrollierter Technologie verhindern und zugleich produktive Engineering-Arbeit ermöglichen.
PDM-Ansatz:
- Hochsensible Dateien von allgemeiner Projektdokumentation trennen
- Rollenbasierten Zugriff nach Subsystem anwenden
- Vor Gewährung des Zugriffs die Genehmigung prüfen
- Validieren, ob die Plattform die Events protokolliert, die das Compliance-Team braucht
- Zugriff zügig entziehen, wenn Contractors das Projekt verlassen
Szenario 3: Regulatorisches Update macht eine Reklassifizierung notwendig
Nach einem regulatorischen Update stellt ein Unternehmen fest, dass einige raumfahrtbezogene Komponenten für bestimmte Zielmärkte anders behandelt werden können.
Compliance-Herausforderung: Das Unternehmen muss Klassifizierungen und Berechtigungen aktualisieren, ohne die historische Traceability zu verlieren.
PDM-Ansatz:
- Dateien mit betroffenen Klassifizierungen identifizieren
- Interne Tags oder Records nach juristischer Prüfung aktualisieren, sofern unterstützt
- Zugriffspolitiken bei Bedarf anpassen
- Frühere Records zu Audit-Zwecken erhalten
- Projektteams über den aktualisierten Workflow informieren
Best Practices für Exportkontroll-Compliance
Technologie ist nur ein Teil von Compliance. Hardware-Unternehmen sollten auch einen formalen Prozess etablieren, der Menschen, Richtlinien und Dokumentation einbezieht.
Ein schriftliches Compliance-Programm aufbauen
Ein starkes Export-Compliance-Programm sollte definieren:
- Wer intern für Export-Compliance verantwortlich ist
- Wie Zuständigkeit und Klassifizierung bestimmt werden
- Wie Lizenzanforderungen geprüft werden
- Wie Restricted-Party-Screening gehandhabt wird
- Wie externe Freigaben genehmigt werden
- Wie kontrollierte Daten gespeichert werden
- Wie Records aufbewahrt werden
- Wie Mitarbeitende geschult werden
- Wie Vorfälle eskaliert werden
Produkte und technische Daten klassifizieren
Unternehmen sollten Produkte, Software und Engineering-Daten gegen die relevanten Kontrolllisten prüfen. Wenn die Klassifizierung unklar ist, kann Unterstützung durch Export-Counsel oder eine formelle Klassifizierungsanfrage erforderlich sein.
Klassifizierungsentscheidungen sollten dokumentiert und erneut geprüft werden, wenn sich Produkte, Software, Engineering-Daten, Zielmärkte oder Vorschriften ändern.
Kunden, Lieferanten und Partner screenen
Vor dem Teilen kontrollierter Daten oder dem Versand von Produkten sollten relevante Parteien gegen Restricted-Party-Listen, Sanktionslisten und einschlägige End-Use- oder End-User-Kontrollen geprüft werden.
Das kann Kunden, Lieferanten, Distributoren, Investoren, Contractors und andere externe Mitarbeitende betreffen.
Mitarbeitende schulen
Engineers, Product Managers, Sales-Teams und Operations-Mitarbeitende sollten verstehen, wie Exportkontrollen die tägliche Arbeit beeinflussen.
Die Schulung sollte abdecken:
- Welche Arten von Engineering-Daten kontrolliert sein können
- Warum Cloud-Zugriff Exportkontrollfragen aufwerfen kann
- Wie Dateien sicher geteilt werden
- Wann Compliance- oder Legal-Teams einbezogen werden sollten
- Was bei einem Fehler zu tun ist
Erforderliche Aufzeichnungen aufbewahren
Exportkontroll-Compliance erfordert Aufzeichnungen, aber die Aufbewahrungspflichten hängen vom anwendbaren Regelwerk und vom Typ des Records ab. Unter der EAR müssen erforderliche Records im Regelfall fünf Jahre ab dem jeweils späteren relevanten Datum gemäß EAR Part 762 einschließlich § 762.6 aufbewahrt werden. [7]
Unternehmen sollten insbesondere Unterlagen aufbewahren zu:
- Zuständigkeit und Klassifizierung
- Lizenzentscheidungen
- Exportgenehmigungen
- Restricted-Party-Screening
- Freigaben externer Zusammenarbeit
- Schulungsnachweisen
- Audit- oder Aktivitätslogs
- Incident Reviews
Fazit: Compliance braucht Prozess, Nachweis und Kontrolle
Exportkontroll-Compliance ist eine laufende Verantwortung für Raumfahrt- und Hardware-Unternehmen. Sie erfordert eine artikelbezogene Klassifizierung, diszipliniertes Access Management, sichere Zusammenarbeit, Screening, Schulung, juristische Prüfung und belastbare Records.
Cloud-PDM kann helfen, indem es kundendefinierte Kontrollen operationalisiert: Zugriff begrenzen, Revisionshistorien erhalten, sichere Zusammenarbeit unterstützen und ausgewählte Plattformaktivitäten dokumentieren. Es ersetzt kein Exportkontroll-Counsel und entscheidet nicht, ob eine Übertragung zulässig ist.
CAD ROOMS hilft Engineering-Teams, Produktdaten zu schützen, sicher zusammenzuarbeiten und Traceability über den gesamten Produktlebenszyklus hinweg zu erhalten. Wenn Sie sehen möchten, wie CAD ROOMS sichere Kollaboration und compliance-fähige Workflows unterstützen kann, vereinbaren Sie eine Demo mit unserem Team.
Haftungsausschluss: Dieser Artikel dient nur Informationszwecken und stellt keine Rechtsberatung dar. Exportkontrollvorschriften sind komplex und können sich ändern. Unternehmen sollten qualifiziertes Exportkontroll-Counsel konsultieren, bevor sie Entscheidungen zu Zuständigkeit, Klassifizierung, Lizenzen oder Exporten treffen.
Häufige Fragen
F: Fällt kommerzielle Raumfahrttechnologie unter EAR oder ITAR?
A: Das hängt vom jeweiligen Artikel und den technischen Daten ab. Einige kommerzielle Raumfahrzeuge und verwandte Artikel fallen unter die EAR, während bestimmte launch-, propulsion-, verteidigungsbezogene, militärische oder specially designed Artikel weiterhin ITAR oder strengeren EAR-Kontrollen unterliegen können. Zuständigkeit und Klassifizierung müssen für jeden Artikel einzeln bestimmt werden.
F: Gilt das Hochladen kontrollierter CAD-Daten in die Cloud als Export?
A: Das Hochladen in ein Cloud-System kann Exportkontrollfragen aufwerfen, insbesondere wenn kontrollierte Technology von foreign persons, ausländischen Standorten oder externen Partnern abgerufen werden kann. Ob ein Export, Reexport, Transfer oder Release vorliegt, hängt von den Daten, dem Zugriffsmodell, den Nutzern, den Standorten und den anwendbaren Regeln ab. Eine juristische Prüfung ist empfehlenswert.
F: Was ist ein deemed export?
A: Ein deemed export kann vorliegen, wenn kontrollierte Technology oder kontrollierter Source Code an eine foreign person innerhalb der Vereinigten Staaten freigegeben wird. Ob eine Genehmigung erforderlich ist, hängt von der Technologie, der Klassifizierung, dem anwendbaren Status in Bezug auf Staatsangehörigkeit oder Daueraufenthalt, verfügbaren Ausnahmen und weiteren regulatorischen Faktoren ab. Zugriff sollte an eine dokumentierte Genehmigung geknüpft werden. [6]
F: Kann CAD ROOMS in einem EAR-kontrollierten Engineering-Workflow eingesetzt werden?
A: CAD ROOMS kann kundengesteuerte EAR-Workflows durch rollenbasierte Berechtigungen, Projekt- und Workspace-Zugriffskontrolle, Revisionshistorie, kontrollierte Gast-Zusammenarbeit, dokumentierte Aktivitätsaufzeichnungen, Verschlüsselung, SAML-SSO-Optionen und Enterprise-Hosting- oder regionale Data-Residency-Optionen unterstützen. CAD ROOMS bestimmt jedoch keine Zuständigkeit, vergibt keine ECCNs, screent keine Restricted Parties, beschafft keine Lizenzen und entscheidet nicht, ob eine Übertragung zulässig ist. Vor dem Speichern kontrollierter Daten sollten Unternehmen ihre Anforderungen an Hosting, Identität, Zugriff, Download, Logging und Aufbewahrung gemeinsam mit den Produkt- und Security-Teams von CAD ROOMS sowie mit qualifiziertem Exportkontroll-Counsel validieren.
F: Welche Kontrollen sollte ein Unternehmen vor dem Speichern exportkontrollierter CAD-Daten validieren?
A: Validiert werden sollten Rollenberechtigungen, Projektzugriffskontrollen, Regeln für externe Freigaben, Download-Kontrollen, SSO- und Identity-Kontrollen, Hosting-Standort, Event-Logging, Exportierbarkeit von Logs, Aufbewahrungsfristen, Backup-Richtlinien, Incident Response sowie die Frage, ob die Plattform-Records die Compliance- und Beweisanforderungen des Unternehmens erfüllen.
Über die Autorin
✍️ Christina RebelCEO von CAD ROOMS | Mitgründerin von WikifactoryIch bin Christina Rebel, CEO von CAD ROOMS. Seit mehr als einem Jahrzehnt arbeite ich an der Schnittstelle von Cloud-Engineering-Kollaboration, digitaler Fertigung und verteilter Produktentwicklung.Im Laufe meiner Karriere habe ich eng mit Engineering-, Design- und Fertigungsteams zusammengearbeitet, um CAD-Datenmanagement, Versionskontrolle, Lieferantenkollaboration und browserbasierte Design-Reviews zu verbessern. Mein Fokus liegt darauf, moderne Engineering-Workflows zugänglicher, sicherer und effizienter zu machen – besonders für KMU und Startups. Außerdem schreibe ich über Engineering-Kollaboration; Beiträge von mir wurden unter anderem bei Design News und DEVELOP3D veröffentlicht.Der Autorin folgen: LinkedIn
Referenzen
Zugriff am 16. August 2026, sofern nicht anders angegeben.
[9] BIS 2024 Space Export-Control Rule Package: BIS overview; Final Rule; Interim Final Rule; Proposed Rule
[11] CAD ROOMS Produktdokumentation: Rollen und Berechtigungen; Audit-Logs; Enterprise Cloud PDM; Guest Sharing; Versionskontrolle
Verwandte Artikel
- Cloud-PDM-Sicherheit: Schutz Ihres geistigen Eigentums vor Datenverletzungen und Diebstahl
- Cloud-PDM-Lösungen, die Branchenstandards und Vorschriften erfüllen
- Produktkonformitätsstandards für Hardwareunternehmen: Navigation durch CE, FCC, RoHS und Branchenvorschriften mit Cloud-PDM
- Datensicherheitsstandards für Cloud-PDM: ISO 27001, SOC 2 und GDPR
Related Posts
Cloud-PDM-Sicherheit bewerten: Checkliste 2026 für Hardware-Teams
Praxisnahe Checkliste zur Bewertung der Sicherheit von Cloud-PDM-Plattformen: Audits, Zugriffskontrollen, Verschlüsselung, Hosting und Compliance 2026.
Cloud-PDM-Lösungen, die Branchenstandards und Vorschriften erfüllen
So finden und bewerten Sie Cloud-PDM-Plattformen, die Branchenstandards und Vorschriften erfüllen - ein praxisnaher Leitfaden mit Checklisten.