ICP Exportkontrolle Muster: So bauen Sie ein rechtskonformes Exportkontrollprogramm auf

Ein Internal Compliance Program im Exportkontrollrecht schützt Ihr Unternehmen vor empfindlichen Bußgeldern, Strafverfolgung und BAFA-Prüfungsrisiken. Erfahren Sie, welche neun Kernelemente ein wirksames ICP enthält, welche Musterstruktur sich in der Praxis bewährt hat – und wie Sie es rechtssicher in Ihren Betrieb integrieren.

Das Wichtigste im Überblick:

Ein Internal Compliance Program (ICP) ist kein optionales Zusatzwerkzeug, sondern ein rechtlich relevantes Instrument zur Risikoreduzierung bei Exportkontrollverstößen.
Ein Muster-ICP liefert die strukturelle Grundlage – entscheidend ist jedoch die individuelle Anpassung an die betrieblichen Abläufe, Produkte und Zielmärkte Ihres Unternehmens.
Ein nachweislich implementiertes ICP kann im Sanktionsfall strafmildernd gewertet werden und das Risiko persönlicher Haftung reduzieren.

Warum ein ICP im Exportkontrollrecht unverzichtbar ist

Unternehmen, die Waren, Technologien oder Software in Drittstaaten exportieren, bewegen sich in einem dichten Netz aus nationalen, europäischen und internationalen Regelwerken. Das deutsche Außenwirtschaftsgesetz (AWG), die Außenwirtschaftsverordnung (AWV), die EU-Dual-Use-Verordnung (VO (EU) 2021/821) sowie zahlreiche Sanktionsregime der EU und der UN bilden den rechtlichen Rahmen – ergänzt durch extraterritoriale US-Exportkontrollvorschriften wie die Export Administration Regulations (EAR) oder die International Traffic in Arms Regulations (ITAR), die für viele deutsche Unternehmen ebenfalls Relevanz entfalten.

Die Komplexität dieses Regelwerks macht eines deutlich: Compliance funktioniert nicht auf Zuruf. Wer in einem exportorientierten Unternehmen Verantwortung trägt, braucht ein strukturiertes Steuerungssystem – ein Internal Compliance Program (ICP). Das ICP ist dabei mehr als ein Dokumentationsinstrument. Es ist das organisatorische Rückgrat einer rechtssicheren Exportkontrollpraxis.

Dieser Artikel erläutert, was ein ICP im Exportkontrollrecht leisten muss, welche Musterstrukturen sich in der Praxis bewährt haben und wie Sie ein solches Programm im eigenen Unternehmen rechtssicher implementieren.

Rechtliche Grundlagen: Was verlangt das Gesetz?

Eine ausdrückliche gesetzliche Pflicht zur Einführung eines ICP besteht im deutschen Recht grundsätzlich nicht. Allerdings ist das Vorhandensein eines ICP nach Ansicht des BAFA ein entscheidendes Kriterium im Genehmigungsprozess und wird von Behörden faktisch als Voraussetzung für eine ordnungsgemäße Exportkontroll-Compliance gesehen.

Maßgeblich sind insbesondere:

§ 17 Abs. 1 AWG (Strafvorschriften) und § 19 AWG (Bußgeldvorschriften): Bei Verstößen gegen Ausfuhrverbote oder Genehmigungspflichten drohen empfindliche Sanktionen. Nach § 17 Abs. 1 AWG werden vorsätzliche Verstöße gegen embargobezogene Ausfuhrverbote mit Freiheitsstrafe von einem Jahr bis zu zehn Jahren bestraft. In minder schweren Fällen oder bei leichtfertigem Handeln kann die Strafe auf Freiheitsstrafe bis zu fünf beziehungsweise drei Jahren oder Geldstrafe lauten (§ 17 Abs. 4 und 5 AWG). Nach § 19 AWG können fahrlässige Ausfuhrverstöße als Ordnungswidrigkeiten mit einer Geldbuße bis zu 500.000 Euro geahndet werden – oder bis zum Dreifachen des aus dem Verstoß gezogenen wirtschaftlichen Vorteils, wenn dieser Betrag überschritten wird.
Art. 2 Nr. 21 VO (EU) 2021/821: Die EU-Dual-Use-Verordnung empfiehlt Unternehmen ausdrücklich die Einführung interner Compliance-Programme und nennt dies als relevantes Kriterium im Genehmigungsverfahren.
BAFA-Merkblätter und Prüfungsstandards: Das BAFA hat Orientierungshilfen veröffentlicht, die beschreiben, welche Elemente ein wirksames ICP enthalten sollte. Diese Merkblätter sind zwar rechtlich nicht verbindlich, haben aber faktische Leitbildfunktion – insbesondere bei der Bewertung von Compliance-Verstößen.

Ein gut dokumentiertes und tatsächlich gelebtes ICP kann im Rahmen von Bußgeld- oder Strafverfahren als Nachweis fehlenden Vorsatzes oder als Beleg für unternehmerische Sorgfalt gewertet werden. Es kann zudem im Einzelfall zur Entlastung von Unternehmensverantwortlichen im Rahmen der Prüfung einer Aufsichtspflichtverletzung nach § 130 OWiG (Ordnungswidrigkeit) beitragen.

Was ist ein ICP im Exportkontrollrecht?

Ein Internal Compliance Program im Bereich Exportkontrolle ist ein unternehmensinternes Regelwerk, das alle Prozesse, Verantwortlichkeiten, Kontrollmechanismen und Dokumentationspflichten bündelt, die erforderlich sind, um Ausfuhren rechtskonform abzuwickeln.

Ziel ist es, sicherzustellen, dass:

Güter, Technologien und Software korrekt klassifiziert werden (Güterklassifizierung nach Anhang I der EU-Dual-Use-Verordnung oder nach nationalen Kontrolllisten)
Käufer, Empfänger und sonstige Beteiligte einer Transaktion gegen Sanktions- und Embargolisten geprüft werden
Genehmigungspflichtige Ausfuhren rechtzeitig erkannt und entsprechende Lizenzen beantragt werden
Mitarbeitende regelmäßig geschult werden
Compliance-Verstöße dokumentiert, analysiert und abgestellt werden

Ein ICP ist kein statisches Dokument. Es muss kontinuierlich weiterentwickelt und an neue gesetzliche Anforderungen, Sanktionsregime und betriebliche Veränderungen angepasst werden.

Die Kernelemente eines Muster-ICP im Exportkontrollrecht

1. Bekenntnis der Geschäftsleitung (Management Commitment)

Das ICP muss von der Unternehmensleitung aktiv getragen und kommuniziert werden. Dies umfasst eine schriftliche Compliance-Erklärung, die Benennung eines verantwortlichen Exportkontrollbeauftragten sowie die Bereitstellung ausreichender personeller und finanzieller Ressourcen.

Ohne erkennbares Bekenntnis der Führungsebene verliert das gesamte Programm seine Glaubwürdigkeit – intern wie gegenüber Behörden.

2. Risikoanalyse und -bewertung

Jedes Unternehmen hat eine individuelle Risikoexposition. Die Risikoanalyse sollte folgende Dimensionen umfassen:

Güterrisiko: Welche Produkte oder Technologien werden exportiert? Handelt es sich um Dual-Use-Güter, Rüstungsgüter oder sonstige kontrollierte Waren?
Länderrisiko: In welche Staaten wird exportiert? Gelten dort Embargos, Sanktionen oder erhöhte Endverwendungsrisiken?
Kundenrisiko: Bestehen Anhaltspunkte für eine Weiterleitung an kontrollierte Empfänger oder für eine missbräuchliche Verwendung?
Transaktionsrisiko: Gibt es ungewöhnliche Zahlungsmodalitäten, Umgehungsversuche oder sonstige Red Flags?

Das Ergebnis der Risikoanalyse bestimmt Umfang und Tiefe der weiteren Compliance-Maßnahmen. Ein Unternehmen, das ausschließlich in EU-Mitgliedstaaten liefert, hat ein anderes Risikoprofil als ein Maschinenbauer mit Lieferbeziehungen in Länder mit erhöhtem Proliferationsrisiko.

3. Güterklassifizierung

Die korrekte Klassifizierung aller exportierten Güter, Technologien und Software ist das Fundament jeder Exportkontroll-Compliance. Fehlt sie oder ist sie fehlerhaft, drohen Ausfuhren ohne erforderliche Genehmigung – mit entsprechenden Rechtsfolgen.

Das ICP muss Prozesse vorsehen, die sicherstellen, dass:

alle Produkte systematisch auf ihre Listung in Anhang I der VO (EU) 2021/821 (EU-Dual-Use-Liste), in der Ausfuhrliste zur AWV oder in weiteren EU- und nationalen Kontrolllisten geprüft werden
Klassifizierungsergebnisse dokumentiert und regelmäßig aktualisiert werden
die Klassifizierung bei technischen Änderungen eines Produkts erneut durchgeführt wird
im Zweifelsfall eine verbindliche Warennummern- oder Klassifizierungsanfrage beim BAFA gestellt wird

4. Sanktionslisten-Screening

Das Screening von Geschäftspartnern, Endverwendern und Transaktionsbeteiligten gegen einschlägige Sanktionslisten ist eine der zentralen operativen Pflichten im Exportkontrollrecht. Relevante Listen umfassen unter anderem:

EU-Sanktionslisten (konsolidierte Liste der EU)
UN-Sanktionslisten
US-Listen (OFAC SDN List, Commerce Department Entity List, Denied Persons List)
Nationale Embargovorschriften

Das ICP muss festlegen, wann und durch wen das Screening durchgeführt wird, welche Softwarelösungen zum Einsatz kommen, wie mit Treffermeldungen umzugehen ist und wie das Screening dokumentiert wird. Wichtig ist dabei, dass das Screening nicht nur zu Beginn einer Geschäftsbeziehung, sondern anlassbezogen und bei bekannten Listenaktualisierungen wiederholt wird.

Sie sind unsicher, ob Ihr bestehendes Screening-Verfahren den aktuellen Anforderungen entspricht? Wir prüfen Ihr System und geben konkrete Handlungsempfehlungen.

5. Genehmigungsmanagement

Sofern Ausfuhren genehmigungspflichtig sind, muss das ICP klare Zuständigkeiten und Fristen für die Beantragung von Ausfuhrgenehmigungen beim BAFA definieren. Dies umfasst:

Identifikation der einschlägigen Genehmigungsgrundlage (Einzelgenehmigung, Allgemeine Genehmigung, EU-Allgemeine Ausfuhrgenehmigung)
Vorbereitung der erforderlichen Unterlagen (Endverbleibserklärung, technische Beschreibungen, Geschäftskorrespondenz)
Bearbeitung behördlicher Rückfragen
Archivierung erteilter Genehmigungen und Nutzungsnachweise

Die Gültigkeitsdauer von Ausfuhrgenehmigungen wird durch das BAFA im Einzelfall festgelegt und kann variieren; sie können zudem mit Nebenbestimmungen oder Auflagen versehen sein. Das ICP muss daher Prozesse zur Überwachung und Einhaltung der jeweiligen Bestimmungen vorsehen.

6. Schulung und Sensibilisierung

Exportkontroll-Compliance scheitert häufig nicht an fehlenden Regeln, sondern an mangelndem Wissen der handelnden Personen. Das ICP muss daher ein systematisches Schulungsprogramm vorsehen, das:

alle relevanten Mitarbeitenden erfasst (Vertrieb, Einkauf, Logistik, Geschäftsführung)
regelmäßig – mindestens jährlich – durchgeführt wird
aktuelle regulatorische Entwicklungen einbezieht
dokumentiert und durch Teilnahmebestätigungen nachgewiesen wird

7. Dokumentation und Aufbewahrung

Gemäß § 22 Abs. 3 AWV besteht für Ausführer eine Aufbewahrungspflicht für exportkontrollrelevante Register und Aufzeichnungen von fünf Jahren. Für steuerlich relevante Dokumente kann daneben eine zehnjährige Aufbewahrungspflicht nach § 147 AO bestehen. Das ICP muss sicherstellen, dass alle relevanten Dokumente – Rechnungen, Lieferscheine, Klassifizierungsnachweise, Screening-Ergebnisse, Genehmigungen, Endverbleibserklärungen – vollständig und geordnet archiviert werden.

8. Interne Kontrollen und Audits

Das ICP darf nicht ausschließlich auf Prävention ausgerichtet sein. Es muss auch Mechanismen zur Erkennung und Behebung von Compliance-Verstößen umfassen:

Regelmäßige interne Audits (mindestens einmal jährlich)
Stichprobenkontrollen von Ausfuhrvorgängen
Einrichtung eines internen Meldesystems für mögliche Verstöße
Fehleranalyse und systematische Ableitung von Korrekturmaßnahmen

9. Umgang mit Verstößen (Incident Management)

Trotz aller Prävention können Fehler passieren. Das ICP muss klar regeln, wie im Fall eines festgestellten oder vermuteten Verstoßes vorzugehen ist:

Sofortige Eskalation an den Exportkontrollbeauftragten und die Unternehmensleitung
Sicherung und Dokumentation aller relevanten Unterlagen
Prüfung einer Selbstanzeige beim BAFA (kann strafmildernd wirken)
Einleitung interner Korrekturmaßnahmen
Ggf. rechtliche Beratung durch einen auf Außenwirtschaftsrecht spezialisierten Rechtsanwalt

Typische Fallkonstellationen und Lösungsansätze

Fall 1: Ein mittelständischer Maschinenbauer liefert Anlagentechnik an einen Abnehmer in Thailand – ohne zu prüfen, ob dieser auf einer Sanktionsliste steht.

In der Praxis fehlt es häufig an einem systematischen Screening-Prozess. Das ICP sollte hier einen Pflichtschritt vor jeder Auftragsbestätigung vorsehen, der das automatisierte Screening des Empfängers gegen die einschlägigen Listen umfasst. Trifft die Screening-Software einen Match, muss der Vorgang gestoppt und rechtlich überprüft werden.

Fall 2: Ein Softwareunternehmen exportiert Verschlüsselungstechnologie – ohne die Dual-Use-Klassifizierung geprüft zu haben.

Kryptographische Produkte unterliegen regelmäßig einer Listung im Anhang I der EU-Dual-Use-Verordnung (insbesondere Kategorie 5, Teil 2). Das ICP muss sicherstellen, dass bei allen Softwareprodukten mit Sicherheitsfunktionen eine Güterklassifizierung durchgeführt wird – bevor der erste Export erfolgt.

Fall 3: Ein Pharmaunternehmen möchte trotz laufender Sanktionen Geschäfte in einem Embargoland fortsetzen.

Hier ist eine differenzierte Analyse der anwendbaren Sanktionsregime erforderlich. Viele EU-Embargoverordnungen enthalten humanitäre Ausnahmen für medizinische Produkte. Das ICP muss den Prozess zur Prüfung solcher Ausnahmen und ggf. zur Beantragung behördlicher Genehmigungen klar abbilden.

Sie stehen vor einem ähnlichen Sachverhalt und benötigen rechtssichere Orientierung? Sprechen Sie uns an – wir analysieren Ihre konkrete Situation.

Praktische Tipps für die ICP-Implementierung

Starten Sie mit einer Bestandsaufnahme: Dokumentieren Sie zunächst, welche exportkontrollrelevanten Prozesse in Ihrem Unternehmen bereits existieren – bevor Sie ein neues System aufbauen.
Holen Sie die Geschäftsleitung ins Boot: Ohne aktive Unterstützung der Führungsebene bleibt das ICP ein Papiertiger.
Benennen Sie einen Exportkontrollbeauftragten: Klare Verantwortlichkeiten verhindern, dass Zuständigkeiten im Tagesgeschäft untergehen.
Setzen Sie auf pragmatische Lösungen: Für KMU ist ein schlankes, aber konsequent gelebtes ICP wertvoller als ein umfangreiches Handbuch, das im Alltag nicht angewendet wird.
Überprüfen Sie Ihr ICP regelmäßig: Änderungen in den Sanktionslisten, neue Güterklassifizierungen oder geänderte Exportrouten erfordern eine Anpassung Ihrer Prozesse.
Ziehen Sie bei komplexen Sachverhalten externen Rat hinzu: Die Interaktion verschiedener Rechtsebenen – EU, national, extraterritorial – ist selbst für erfahrene Compliance-Teams herausfordernd.

Checkliste: Kernelemente eines ICP im Überblick

Schriftliches Bekenntnis der Geschäftsleitung vorhanden
Exportkontrollbeauftragter benannt und mit Ressourcen ausgestattet
Risikoanalyse durchgeführt und dokumentiert
Güterklassifizierung für alle exportierten Produkte erfolgt
Sanktionslisten-Screening implementiert und dokumentiert
Prozess für Genehmigungsanträge definiert
Schulungsprogramm etabliert und Teilnahmen dokumentiert
Aufbewahrungspflichten (10 Jahre gemäß § 11 AWV) sichergestellt
Internes Audit-Programm vorhanden
Incident-Management-Prozess definiert
ICP regelmäßig aktualisiert

Handlungsempfehlung

Ein Internal Compliance Program im Exportkontrollrecht ist keine bürokratische Pflichtübung – es ist ein wirksames Instrument zum Schutz Ihres Unternehmens vor empfindlichen Sanktionen, Reputationsschäden und persönlicher Haftung. Ein Muster-ICP kann die strukturelle Grundlage liefern; entscheidend ist jedoch die sorgfältige Anpassung an die individuellen Risiken, Produkte und Prozesse Ihres Unternehmens.

Die Kanzlei für Außenwirtschaftsrecht begleitet Unternehmen bei der Entwicklung, Implementierung und Überprüfung maßgeschneiderter Compliance-Programme – von der ersten Risikoanalyse bis zur Vertretung bei Behördenverfahren. Nehmen Sie Kontakt auf, um zu besprechen, wie ein ICP Ihr Unternehmen rechtssicher aufstellen kann.

Häufig gestellte Fragen

Ist ein ICP gesetzlich vorgeschrieben?

Eine ausdrückliche gesetzliche Pflicht zur Einführung eines ICP besteht im deutschen Recht nicht. Die EU-Dual-Use-Verordnung empfiehlt einen ICP jedoch ausdrücklich, und das BAFA erwartet bei genehmigungspflichtigen Ausfuhren oder im Rahmen von Prüfungen regelmäßig den Nachweis strukturierter Compliance-Prozesse.

Was passiert, wenn ich kein ICP habe und gegen Exportkontrollvorschriften verstoße?

Ohne ICP fehlt es im Sanktionsfall an einem Entlastungsnachweis. Das erhöht das Risiko, dass Verstöße als vorwerfbar und nicht bloß als unvermeidbare Fehler gewertet werden. Je nach Schwere des Verstoßes drohen Geldbußen bis zu 500.000 Euro, darüber hinaus können strafrechtliche Konsequenzen gemäß §§ 17, 18 AWG eintreten.

Wie umfangreich muss ein ICP sein?

Der Umfang richtet sich nach dem Risikoprofil des Unternehmens. Ein KMU ohne Dual-Use-Güter und mit Exporten ausschließlich in risikoarme Länder benötigt ein deutlich schlankeres ICP als ein Rüstungs- oder Technologieunternehmen mit globalen Lieferketten.

Wer sollte als Exportkontrollbeauftragter benannt werden?

Der Exportkontrollbeauftragte sollte über hinreichende Kenntnisse des Außenwirtschaftsrechts verfügen, unmittelbaren Zugang zur Geschäftsleitung haben und mit ausreichenden Ressourcen ausgestattet sein. In kleinen Unternehmen kann diese Funktion durch externe Berater übernommen werden.

Wie häufig muss das ICP aktualisiert werden?

Das ICP sollte mindestens einmal jährlich sowie anlassbezogen bei wesentlichen Änderungen des Produktportfolios, der Exportmärkte oder der regulatorischen Rahmenbedingungen überprüft und aktualisiert werden.

Welche Dokumente müssen wie lange aufbewahrt werden?

Gemäß § 22 Abs. 3 AWV besteht eine Aufbewahrungspflicht für exportkontrollrelevante Register und Aufzeichnungen von fünf Jahren. Abweichende Fristen aus anderen Rechtsgebieten – wie dem Steuerrecht nach § 147 AO – bleiben unberührt.

Kann ein ICP bei einer Außenwirtschaftsprüfung durch das BAFA helfen?

Ja. Ein nachweislich implementiertes und gelebtes ICP zeigt dem BAFA, dass das Unternehmen Compliance ernst nimmt. Es kann im Prüfungsverfahren als Beleg für eine sorgfältige Unternehmensführung herangezogen werden und – im Falle festgestellter Verstöße – strafmildernd wirken.

Deckt ein ICP auch US-Exportkontrollvorschriften ab?

Ein auf deutsches und EU-Recht ausgerichtetes ICP deckt US-Vorschriften wie EAR oder ITAR nicht automatisch ab. Unternehmen mit Berührungspunkten zu US-Technologie, US-Personen oder US-Ursprungswaren sollten ihr ICP ausdrücklich auf die Anforderungen des US-Rechts ausdehnen.

Was sind typische Red Flags, auf die das ICP reagieren sollte?

Typische Red Flags sind unter anderem: ungewöhnliche Zahlungswege, Bestellungen durch Dritte ohne erkennbares wirtschaftliches Interesse, Abnehmer in Hochrisikoländern, fehlende oder widersprüchliche Angaben zum Endverwendungszweck sowie Anfragen nach besonders sensiblen Technologien ohne erkennbaren zivilen Verwendungshintergrund.

Was kostet die Implementierung eines ICP?

Die Kosten variieren stark je nach Unternehmensgröße, Komplexität der Exportaktivitäten und gewähltem Implementierungsansatz. Wichtig ist: Die Kosten eines funktionierenden ICP sind in aller Regel deutlich geringer als die Kosten eines einzelnen schwerwiegenden Compliance-Verstoßes – sowohl finanziell als auch hinsichtlich Reputation und Betriebskontinuität.

Kay Höft

Rechtsanwalt und Gründer