Der digitale Auftritt in der Verteidigungsindustrie: was gilt, und was er aushalten muss.

Die EU-Dual-Use-Verordnung zählt zur Ausfuhr ausdrücklich auch die elektronische Übertragung von Technologie an einen Empfänger außerhalb der EU und ihr Bereitstellen in elektronischer Form für Personen außerhalb der EU. Ein PDF zum Herunterladen ist eine solche Bereitstellung.

Das BAFA hält in seinem Merkblatt zum Technologietransfer fest, dass Informationen, die im Internet ohne vorherige Registrierung frei einsehbar sind, als allgemein zugänglich gelten. Es schreibt im selben Absatz aber auch:

Die Ausnahme für allgemein zugängliche Informationen schützt also, was rechtmäßig öffentlich ist. Sie macht das erste Hochladen gelisteter Technologie nicht rechtmäßig. Deshalb gehört jede technische Unterlage eingestuft, bevor sie online geht, nicht danach.

Eine Registrierung allein ändert nichts: Nach dem BAFA bleiben Informationen allgemein zugänglich, solange sich grundsätzlich jeder registrieren kann. Anders ist es, wenn Sie jeden Zugang einzeln freigeben. Nicht allgemein zugänglich sind laut BAFA Informationen, die erst nach einer individualisierenden Entscheidung zugänglich gemacht werden.

Ein Händlerbereich, in dem Sie jedes Konto prüfen, ist damit kein öffentlicher Raum. Stellen Sie dort gelistete technische Unterlagen einem Händler in einem Drittland bereit, kann das genehmigungspflichtig sein. Für dieses Bereitstellen kommt es laut BAFA nicht auf den Standort des Servers an, sondern auf den Standort dessen, der die Zugriffe einräumt.

Österreich regelt es im Außenwirtschaftsgesetz 2011 gleich: Technologie ist dort technisches Wissen, das nicht allgemein zugänglich ist, und zur Ausfuhr zählt auch das Bereitstellen in elektronischer Form für Personen in Drittstaaten. Steckt US-Technik in Ihrem Produkt, gilt zusätzlich ITAR. Dort wird Information nur über acht festgelegte Wege gemeinfrei, etwa Messen in den USA oder eine Freigabe durch eine US-Behörde. Die eigene Website gehört nicht dazu.

Das ist unsere Lesart der Texte, keine Rechtsberatung. Lassen Sie die Einstufung Ihrer Unterlagen von Ihrer Exportkontrolle oder einer Kanzlei prüfen.

Das deutsche Umsetzungsgesetz wurde am 5. Dezember 2025 verkündet. Das BSI schreibt auf seiner Seite für betroffene Unternehmen, dass die gesetzliche Registrierungsfrist bereits abgelaufen ist. In Österreich gilt das NISG 2026 seit 1. Oktober 2026.

Erfasst sind mittlere und große Unternehmen in den genannten Sektoren, darunter die Herstellung von Datenverarbeitungsgeräten, elektronischen und optischen Erzeugnissen, elektrischen Ausrüstungen, Maschinen, Kraftwagen und sonstigen Fahrzeugen. Ausgenommen ist nur die öffentliche Verwaltung im Bereich Verteidigung. Ein privates Unternehmen kann in Deutschland im Einzelfall befreit werden, und nur für die betreffenden Tätigkeiten.

Für Zulieferer ist eine Pflicht entscheidend: Artikel 21 verlangt von jedem erfassten Unternehmen die Sicherheit der Lieferkette, einschließlich der Beziehungen zu seinen direkten Lieferanten. Deshalb kommt der Fragebogen. Ihr Kunde muss Sie prüfen, auch wenn Sie selbst nicht unter das Gesetz fallen.

MBDA Deutschland veröffentlicht Regeln für Lieferanten, die mit MBDA-Daten arbeiten. Sie gelten ausdrücklich auch für Unterauftragnehmer. Für Daten der Einstufung IN STRICT CONFIDENCE heißt es:

Wer Verschlusssachen der niedrigsten Stufe VS-NfD verarbeitet, musste die Selbstakkreditierung bis zum 1. September 2025 abschließen. Für vernetzte Systeme ist der IT-Grundschutz des BSI anzuwenden, und der Virenscanner darf nicht außerhalb des VS-NfD-Netzes prüfen, etwa in der Cloud.

Für die Website folgt daraus eine klare Trennung: Kontaktformular, Download-Bereich und Händlerportal sind nicht der Weg, auf dem eingestufte Unterlagen reisen. Was der Kunde schickt, gehört in das System, das er dafür vorschreibt.

Der US CLOUD Act verpflichtet Anbieter, Daten herauszugeben, die in ihrem Besitz oder unter ihrer Kontrolle sind, unabhängig davon, ob sie innerhalb oder außerhalb der USA gespeichert sind. Vor dem französischen Senat wurde Microsoft France gefragt, ob Daten französischer Bürger nie auf Anordnung der US-Regierung herausgegeben würden. Die Antwort:

Die Bundeswehr beantwortet die Frage für sich selbst mit Abschottung: Die BWI baut ab 2026 in eigenen Rechenzentren eine vom Netz getrennte Google-Cloud für Daten bis VS-NfD, auf die laut Bundeswehr auch der Hersteller Google Cloud nicht zugreifen kann. Airbus schreibt eine souveräne europäische Cloud aus, weil ein Teil seiner Informationen äußerst sensibel ist. Das BSI hat im April 2026 eigene Kriterien für die Souveränität von Cloud-Diensten veröffentlicht.

Wenn Ihr Kunde fragt, wo Ihre Website und Ihr Portal laufen, fragt er also nicht nach dem Rechenzentrum. Er fragt, wer den Betreiber zur Herausgabe zwingen kann.

Laut BKA gab es seit November 2023 in Deutschland 14 Angriffswellen der prorussischen Gruppe NoName057(16) auf rund 250 Unternehmen und Einrichtungen, darunter Rüstungsbetriebe. In Österreich trafen solche Überlastungsangriffe vor der Nationalratswahl 2024 mehr als 40 Stellen. Die EU-Cybersicherheitsagentur ENISA zählt Überlastungsangriffe als 77 % der erfassten Vorfälle; der häufigste Weg ins Netz eines Unternehmens ist Phishing, mit rund 60 %.

Die nordkoreanische Gruppe Lazarus hat drei europäische Rüstungsunternehmen, darunter Drohnenhersteller, mit gefälschten Jobangeboten angegriffen. Im Juli 2026 hat der Verfassungsschutz die Branche gewarnt: Es bestehe eine erhöhte Wahrscheinlichkeit für Ausspähung und Sabotage durch russische staatliche Stellen.

Ihre Website wird also angegriffen, auch wenn nichts Geheimes auf ihr liegt. Sie muss erreichbar bleiben, wenn es passiert. Und die Karriereseite ist ein Einfallstor: Wer dort einen benannten Ansprechpartner nennt und sagt, wie Sie nie rekrutieren, nimmt gefälschten Anwerbern das Spiel.

Die Enforce Tac in Nürnberg hatte 2026 mehr als 1.400 Aussteller aus 45 Ländern und rund 26.500 Fachbesucher; Zutritt haben nur Streitkräfte, Behörden und Organisationen mit Sicherheitsaufgaben. Zur Eurosatory in Paris kamen 2026 mehr als 2.600 Aussteller aus 68 Ländern, über 200 davon aus Deutschland.

Nach der Messe wird nachgesehen. In einer Umfrage unter 1.200 europäischen Ingenieuren nannten 86 % Datenblätter als wertvollsten Inhalt eines Anbieters, weit vor Fachartikeln. Das Datenblatt auf der Website muss also dasselbe sagen wie das am Stand, in derselben Version.

LinkedIn verbietet Anzeigen, die Waffen, Munition oder andere gewaltbezogene Produkte bewerben, verkaufen oder ihren Einsatz zeigen, ohne Ausnahme für B2B oder Behörden. Google Ads verbietet Waffen, Waffenteile und Sprengstoffe ebenso.

Bezahlte Reichweite ist für einen großen Teil der Branche damit zu. Der Besuch auf Ihrer Website kommt von der Messe, von einer Empfehlung oder von einem Inhalt, den jemand weitergibt. Was er dort findet, muss die Prüfung bestehen, die danach kommt.

• Jede technische Unterlage eingestuft, bevor sie online geht: frei, nur nach Freigabe, oder gar nicht online.
• Ein geschützter Bereich, in dem jeder Zugang einzeln freigegeben, nach Land geprüft und protokolliert wird, wie im Modul Defence- und Behördenzugang.
• Hosting bei einem Anbieter ohne US-Mutter, mit einer Liste aller Unterauftragnehmer, die Sie dem Fragebogen beilegen können.
• Ein Datenblatt in einer Version, aus einer Quelle, auf der Website und am Messestand.
• Eine Website, die einen Überlastungsangriff übersteht, und Formulare, über die keine eingestuften Unterlagen laufen.
• Eine Karriereseite mit benanntem Ansprechpartner und dem Hinweis, wie Sie nie rekrutieren.

1. Alle Unterlagen auflisten, die heute online sind: Datenblätter, Handbücher, Zeichnungen, Präsentationen.
2. Jede davon von der Exportkontrolle einstufen lassen. Was gelistet ist, geht offline, bis geklärt ist, wer es sehen darf.
3. Prüfen, ob Ihr Unternehmen unter NIS2 oder das NISG 2026 fällt, und die Antworten auf den Lieferkettenfragebogen vorbereiten.
4. Hosting, E-Mail und Formulare auf Anbieter prüfen, die einem US-Mutterkonzern gehören.
5. Den geschützten Bereich so bauen, dass jede Freigabe einzeln erfolgt und nachvollziehbar bleibt.
6. Website, Katalog und Messe auf dieselben Produktdaten stellen.