Die Defense Trade Advisory Group (DTAG), ein Beratungsgremium des Büros für politisch-militärische Angelegenheiten, einigte sich gestern darauf, dass „Cyber Produkte“ nicht in die United States Munitions List (USML) aufgenommen und damit nicht als Waffen klassifiziert werden sollen. Sie unterliegen damit auch nicht dem amerikanischen Exportkontrollrecht. Die Electronic Frontier Foundation (EFF) hatte gemeinsam mit Access Now Empfehlungen an die DTAG formuliert (PDF) und vor der Schwierigkeit gewarnt, eine Definition von „Cyber Produkten“ zu geben:
Creating clear definitions for the „cyber products“ to be listet on the USML would be a nearly impossible task, given the general purpose nature of software. […] Any ambiguity in the definition would risk extreme chilling effects on the computer security industry.
Zudem sprechen sich die beiden Non-Profit-Organisationen grundsätzlich dagegen aus, Computersicherheits-Tools als Waffen einzustufen. Es handle sich um eine Frage der Perspektive: so stand bis in die späten 1990er Jahren Verschlüsselungssoftware auf der USML – die EFF klagte damals mit Daniel Bernstein dagegen und erreichte, dass Software Quellcode seitdem unter den 1. Zusatzartikel der Verfassung fällt und damit von der Meinungsfreiheit gedeckt ist.
Dass es Exportkontrollen für bestimmte Software geben soll, ist in der EU weniger umstritten. Im Dezember 2013 einigten sich die Teilnehmerstaaten des sogenannten Wassenaar-Forums darauf, die Ausfuhr von Überwachungstechnologien streng zu kontrollieren. Im Zuge der Umsetzung dieses Wassenaar-Beschlusses nahm die EU-Kommission die dort benannten Technologien im Herbst 2014 in die Liste der kontrollierten Güter im EU-Exportkontrollrecht (Dual Use Verordnung) auf. Sie dürfen seitdem nur noch nach vorheriger Genehmigung durch die nationalen Aufsichtsbehörden ausgeführt werden. Doch auch hier wird kritisiert, dass die Formulierungen, die sich auf Überwachungs- und Spionagesoftware beziehen, extrem weit und unpräzise gefasst sind.
Auf EU-Ebene laufen Verhandlungen über eine Neufassung der Genehmigungstatbestände in der Dual-Use-Verordnung. Dabei ist auch ein Menschenrechtsvorbehalt speziell für die Ausfuhr von Überwachungstechnologie im Gespräch.