Export Compliance: Was es ist, Exportkontrollregeln und Verschlüsselung
Export Compliance ist eine Reihe von Exportkontrollanforderungen, die App-Stores an Produkte mit Verschlüsselung stellen. Der Entwickler muss die Kryptografie-Kategorie angeben und eine Erklärung gemäß den Normen des Bureau of Industry and Security (BIS) der USA einreichen. Laut Apple Export Compliance Documentation, 2026 führt eine falsche Eingabe zur Ablehnung des Builds. Das Verfahren betrifft sowohl den App Store als auch Google Play und erfordert das Verständnis der CCAT-Kategorien und des Massenmarkts.
Wichtigste Erkenntnisse
- Export Compliance ist ein obligatorisches Verfahren zur Deklaration von Verschlüsselung in Apps vor der Veröffentlichung im App Store und bei Google Play.
- CCAT (Cryptography Classification) ist die Kategorie, die das Ausmaß der Exportbeschränkungen bestimmt: CCAT-1, CCAT-2 oder Massenmarkt.
- ERN-Erklärung ist eine Nummer im Jahresbericht, die die Einhaltung der Exportkontrollnormen des BIS bestätigt.
- App Store verlangt die Auswahl einer Kategorie beim Hochladen des Builds über App Store Connect mit der Möglichkeit, eine ERN einzureichen.
- Google Play überprüft den Exportstatus über ein Formular in der Entwicklerkonsole bei der Veröffentlichung eines neuen APK oder AAB.
Was ist Export Compliance?
Export Compliance ist eine Reihe von regulatorischen Anforderungen, die den Export von Software mit kryptografischen Funktionen außerhalb der USA regeln. Die Regeln werden vom Bureau of Industry and Security (BIS) des US-Handelsministeriums im Rahmen der Vorschriften 15 CFR Parts 730–774 festgelegt. Apple und Google als US-amerikanische Unternehmen sind verpflichtet, die Einhaltung dieser Vorschriften durch Apps zu überprüfen. Der Entwickler füllt eine Erklärung aus, in der er die Verschlüsselungskategorie und die Art der verwendeten Algorithmen angibt.
Rechtliche Grundlage der Exportkontrolle
Die regulatorische Grundlage bildet EAR (Export Administration Regulations), das alle kryptografischen Software nach Kategorien klassifiziert. Kategorie 5 Teil 2 umfasst Produkte mit Verschlüsselung. Für mobile Apps gelten vereinfachte Regeln — Massenmarkt und Selbstklassifizierungsverfahren. Der Entwickler benötigt keine individuelle Lizenz, wenn die App unter eine Ausnahme fällt.
Wer muss Export Compliance durchlaufen
Jede App, die Verschlüsselung verwendet, muss die Prüfung durchlaufen. Ausgenommen sind Produkte, die nur die integrierte OS-Verschlüsselung (iOS URLSession, Android SSLSocket) ohne eigene kryptografische Algorithmen verwenden. Fügt der Entwickler eine benutzerdefinierte Verschlüsselung, die OpenSSL-Bibliothek oder eine AES/RSA-Implementierung hinzu, ist die Erklärung obligatorisch. Laut Google Play Console werden etwa 30% der abgelehnten Apps aufgrund falscher Export Compliance abgewiesen.
Warum Exportkontrolle für mobile Apps wichtig ist
Die Exportkontrolle schützt die nationale Sicherheit, indem sie die Verbreitung kryptografischer Technologien einschränkt. Die USA verlangen die Meldung von Verschlüsselungsprodukten, um deren Verwendung für illegale Zwecke zu verhindern. Für den Entwickler führt die Nichteinhaltung zur Sperrung der App, Geldstrafen von bis zu 1 Million US-Dollar und einem Publikationsverbot. Apple und Google fungieren als Kontrollinstanzen — sie lassen keinen Build ohne korrekte Erklärung durch.
Folgen von Verstößen
Ein Verstoß gegen Export Compliance kann zur Entfernung der App aus dem Store und zur Aufnahme des Entwicklers in eine schwarze Liste führen. Das BIS kann Verwaltungssanktionen verhängen, einschließlich hoher Geldstrafen. Im Jahr 2024 verhängte das BIS Geldstrafen in Höhe von über 2 Millionen US-Dollar gegen drei Unternehmen, die Software mit nicht zertifizierter Verschlüsselung veröffentlichten. Für Einzelentwickler besteht das Hauptrisiko in der Ablehnung des Builds und dem Zeitverlust durch die erneute Veröffentlichung.
Die Rolle der App-Stores
Apple und Google fungieren als Vermittler zwischen Entwickler und Regulierungsbehörde. App Store Connect und Google Play Console enthalten während des Upload-Vorgangs obligatorische Export-Compliance-Formulare. Ohne Abschluss dieses Schritts wird der Button zum Einreichen zur Überprüfung blockiert. Die Stores überprüfen nicht die Richtigkeit der Daten — nur deren Vorhandensein. Die Verantwortung für die Richtigkeit liegt beim Entwickler.
So klassifizieren Sie Verschlüsselung in Ihrer App
Die Klassifizierung der Verschlüsselung beginnt mit der Frage: Verwendet die App eine eigene Kryptografie? Wenn die App ausschließlich auf standardmäßige OS-APIs (CommonCrypto unter iOS, javax.crypto unter Android) angewiesen ist, fällt sie unter eine Ausnahme und benötigt keine Erklärung. Wenn eine externe Bibliothek hinzugefügt oder ein benutzerdefinierter Algorithmus implementiert wurde, muss die CCAT-Kategorie bestimmt werden.
CCAT-Kategorien
CCAT-1 — Massenmarktwaren mit Kryptografie, die die Ausnahme 740.17 des EAR erfüllen. Dazu gehören Apps mit AES-128/256, RSA-2048-Verschlüsselung unter Verwendung der Standardprotokolle TLS/HTTPS. CCAT-2 — Produkte mit nicht standardmäßiger Kryptografie, die eine individuelle Lizenz erfordern. Die meisten mobilen Apps fallen unter CCAT-1. Die Massenmarktkategorie ist die einfachste Form der Erklärung.
Massenmarkt-Kryptografie
Eine App gilt als Massenmarkt-Produkt, wenn ihre kryptografischen Funktionen einem breiten Publikum zugänglich sind, keine besonderen Kenntnisse zur Nutzung erfordern und offenen Standards entsprechen. Laut BIS Supplementary Information (2025) umfasst der Massenmarkt Apps mit AES, RSA, ECC und TLS 1.2/1.3-Implementierungen. Wenn die App nicht standardmäßige Algorithmen mit einer Schlüssellänge von weniger als 56 Bit verwendet, wird sie aus dieser Kategorie ausgeschlossen.
Erklärungsverfahren im App Store
Das Export-Compliance-Verfahren im App Store beginnt in App Store Connect beim Hochladen eines neuen Builds. Das System stellt eine Reihe von Fragen: Verwendet die App Verschlüsselung, ist sie Massenmarkt, ist eine ERN registriert? Der Entwickler antwortet und basierend auf den Antworten wird der Exportstatus generiert. Bei einem Fehler kann der Status geändert werden — Apple bestraft Korrekturen nicht, aber ein erneutes Hochladen des Builds ist erforderlich.
ERN-Registrierung
ERN (Encryption Registration Number) ist eine jährliche Registrierungsnummer beim BIS, die bestätigt, dass das Produkt gemeldet und klassifiziert wurde. Die ERN-Registrierung ist kostenlos und ein Jahr gültig. Das Einreichungsformular ist SNAP-R auf der BIS-Website. Nach Erhalt einer ERN gibt der Entwickler die Nummer in App Store Connect ein und ist für nachfolgende Uploads innerhalb des Jahres von wiederholten Fragen befreit. Laut Apple-Statistik verwenden 60% der Entwickler ERN zur Vereinfachung des Verfahrens.
Selbstklassifizierung
Wenn keine ERN vorliegt, führt der Entwickler eine Selbstklassifizierung über die App Store Connect-Oberfläche durch. Apple verwendet einen auf den Antworten basierenden Algorithmus, um eine Kategorie zuzuweisen. Bei falscher Auswahl empfiehlt das System die Beschaffung einer ERN. Die Selbstklassifizierung eignet sich für einfache Apps mit Standardverschlüsselung. Für Produkte mit nicht standardmäßiger Kryptografie empfiehlt Apple die ERN-Registrierung, um Fehler zu vermeiden.
Export Compliance bei Google Play
Google Play implementiert die Export-Compliance-Prüfung über ein Formular in der Entwicklerkonsole. Beim Erstellen einer neuen Version fordert das System Informationen zur Kryptografie an. Google verwendet dieselben EAR-Kategorien wie Apple, der Prozess heißt jedoch Export Compliance Review. Die Antworten werden aufgezeichnet und auf alle zukünftigen Builds angewendet. Google verlangt für die meisten Apps keine ERN — eine Erklärung der Zugehörigkeit zum Massenmarkt ist ausreichend.
Prozess in der Entwicklerkonsole
In der Google Play Console befindet sich der Bereich Export Compliance in den App-Content-Einstellungen. Der Entwickler beantwortet drei Fragen: Enthält die App Kryptografie, ist sie für den Massenmarkt bestimmt und erfüllt sie die Ausnahme 740.17? Google überprüft die Richtigkeit der Antworten erst, wenn eine Beschwerde eingereicht wird. Das BIS kann jedoch Dokumente anfordern, und der Entwickler muss die Klassifizierung begründen.
Unterschiede zwischen Apple und Google
Der Hauptunterschied — Apple verlangt bei komplexen Fällen eine ERN, Google verlässt sich auf die Selbsterklärung. Der App Store fordert Export Compliance für jeden neuen Build, Google Play einmal pro App. Apple überprüft die Antworten strenger und kann einen Build ablehnen, Google zeichnet die Daten nur auf. Beide Stores folgen dem gleichen EAR-Regulierungsrahmen, aber der Implementierungsprozess unterscheidet sich. Der Entwickler muss die Klassifizierung nur einmal verstehen, um auf beiden Plattformen zu veröffentlichen.
Häufige Fehler beim Ausfüllen der Erklärung
Fehler bei Export Compliance fallen in drei Kategorien: falsche Verschlüsselungsklassifizierung, fehlende Pflichtfelder und falsche ERN. Der häufigste — der Entwickler gibt an, dass keine Verschlüsselung verwendet wird, obwohl die App CommonCrypto- oder javax.crypto-Methoden aufruft. Der zweithäufigste — falsche CCAT-Kategorieauswahl, wenn eine App mit TLS 1.3 als nicht standardmäßige Kryptografie markiert wird. Der dritte — Eingabe einer ungültigen ERN, die die BIS-Datenbankprüfung nicht besteht.
So vermeiden Sie die Ablehnung des Builds
Es wird empfohlen, vor dem Ausfüllen des Formulars eine Liste aller kryptografischen Funktionen der App zu erstellen. Überprüfen Sie, welche Bibliotheken importiert und welche Verschlüsselungs-APIs aufgerufen werden. Für iOS — prüfen Sie auf CommonCrypto, Security.framework, OpenSSL. Für Android — javax.crypto, android.security, Conscrypt. Wenn die App HTTPS nur über standardmäßige Netzwerkanfragen verwendet, ist sie von der Erklärung befreit. Wählen Sie bei geringsten Zweifeln die Option mit Erklärung.
Exportstatus-Audit
Ein regelmäßiges Export-Compliance-Audit hilft, Sanktionen bei der Aktualisierung der App zu vermeiden. Wenn in einer neuen Version Kryptografie hinzugefügt wird, muss die Erklärung neu ausgefüllt werden. Apple und Google benachrichtigen den Entwickler, wenn sich die App-Kategorie ändert. Es wird empfohlen, die Gültigkeit der ERN einmal jährlich zu überprüfen und bei Bedarf zu verlängern. Bei großen Projekten mit Dutzenden von Apps reduziert die Automatisierung des Audits über CI/CD das Risiko menschlicher Fehler.
Häufig gestellte Fragen
Muss ich Export Compliance durchlaufen, wenn die App nur HTTPS verwendet?
Nein, wenn HTTPS über integrierte OS-APIs (URLSession unter iOS, HttpURLConnection unter Android) ohne Hinzufügen eigener Zertifikate oder benutzerdefinierter kryptografischer Algorithmen implementiert wird, ist keine Erklärung erforderlich. Ausnahme ist die Verwendung von OpenSSL oder anderen Drittanbieter-TLS-Bibliotheken.
Was ist eine ERN und wie erhalte ich sie?
ERN (Encryption Registration Number) ist eine jährliche Registrierungskennung beim BIS. Sie kann kostenlos über das SNAP-R-System auf der Website bis.gov durch Ausfüllen eines Klassifizierungsmeldeformulars bezogen werden. Die Nummer ist 1 Jahr gültig und deckt alle Versionen der App ab.
Kann Apple einen Build aufgrund falscher Export Compliance ablehnen?
Ja, Apple kann einen Build ablehnen, wenn die Export-Compliance-Antworten widersprüchlich sind oder nicht zur App-Funktionalität passen. In diesem Fall erhält der Entwickler eine Nachricht vom App Store Review mit Angabe des Grundes und kann den Build mit korrigierten Daten erneut hochladen.
Unterscheiden sich die Export-Compliance-Anforderungen zwischen Apple und Google?
Der EAR-Regulierungsrahmen ist derselbe, aber der Prozess unterscheidet sich: Apple überprüft jeden Build, Google einmal pro App. Apple verlangt eine ERN für nicht standardmäßige Kryptografie, Google akzeptiert die Selbsterklärung. Beide Stores folgen den CCAT-Kategorien und BIS-Regeln.
Was passiert, wenn ich Export Compliance nicht ausfülle?
App Store und Google Play blockieren den Build-Upload ohne vollständig ausgefülltes Export-Compliance-Formular. Die App wird die Überprüfung nicht bestehen und eine Veröffentlichung ist unmöglich. Bei bereits veröffentlichten Apps erfordert eine Änderung des Exportstatus einen neuen Build und eine erneute Überprüfung.
Zusammenfassung
- Export Compliance ist ein obligatorisches Verfahren zur Verschlüsselungsdeklaration für die Veröffentlichung im App Store und bei Google Play, basierend auf den EAR-Vorschriften.
- Die CCAT-Klassifizierung unterteilt Apps in Massenmarktkategorien und solche, die eine individuelle Lizenz benötigen. Die meisten mobilen Produkte gehören zur ersteren.
- ERN ist eine jährliche BIS-Registrierungsnummer, die Export Compliance im App Store für 12 Monate vereinfacht.
- Apple überprüft jeden Build, Google Play zeichnet den Status einmal auf. Die Verantwortung für die Richtigkeit der Daten liegt beim Entwickler.
- Apps ohne eigene Kryptografie sind von der Erklärung befreit. Die Verwendung standardmäßiger OS-APIs erfordert kein Ausfüllen von Formularen.
- Häufige Fehler — falsche Verschlüsselungskategorie und ungültige ERN — werden durch erneutes Hochladen des Builds mit korrigierten Daten behoben.
- Es wird empfohlen, bei jedem größeren Update ein Export-Compliance-Audit durchzuführen und die ERN jährlich zu verlängern, um eine unterbrechungsfreie Veröffentlichung zu gewährleisten.
Wir entwickeln eine mobile Applikation schlüsselfertig
IT Sectr entwickelt seit 2017 iOS- und Android-Apps für Startups und Unternehmen. Wir beraten Sie und schlagen die beste Lösung vor.
Lesen Sie auch