1. Grundprinzipien des KryptG
Das Kryptografiegesetz, kurz KryptG, ist kein einfaches Regelwerk – es ist wie eine Landkarte für ein Minenfeld. Die Grundprinzipien lassen sich in drei Worten zusammenfassen: **Sicherheit, Transparenz und Kontrolle**. Das Gesetz unterscheidet strikt zwischen Produkten für den allgemeinen Gebrauch (z. B. SSL-Zertifikate für Webshops) und solchen mit „gehobener“ Sicherheitsfunktion, wie etwa End-to-End-Verschlüsselung für Firmennetzwerke. Letztere unterliegen strengeren Meldepflichten. Interessant ist der Ansatz: Statt pauschaler Verbote setzt der deutsche Gesetzgeber auf eine Art „Prinzip der Verhältnismäßigkeit“. Ein Produkt, das nur Daten sichert, wird anders behandelt als eins, das Kommunikationsprotokolle knacken könnte. Ich erinnere mich an einen Mandanten, der eine Cloud-Lösung auf den Markt bringen wollte – die Software hatte eine eingebaute Hintertür für Wartungsarbeiten, was sofort als „kryptografische Manipulationsmöglichkeit“ eingestuft wurde. Das führte zu einer dreimonatigen Verzögerung in der Zulassung. Wichtig ist: Jeder Export solcher Produkte außerhalb der EU benötigt eine separate Genehmigung, auch wenn das Produkt im Inland schon registriert ist. Das liegt an den dual-use-Bestimmungen, die die EU strenger auslegt als manches asiatische Land. Aus meiner Erfahrung raten wir Mandanten daher dringend, schon bei der Produktentwicklung einen „Kryptografie-Check“ durchzuführen – ähnlich wie ein „Datenprüfbericht“ in China. Nur so vermeidet man böse Überraschungen.
2. Klassifizierung von Produkten
Die Klassifizierung nach dem KryptG ist ein bisschen wie die Einteilung in Gürtel und Hosenträger. Das Gesetz definiert Kategorien wie „allgemeine kryptografische Produkte“, „sicherheitsempfindliche Produkte“ und „hochsicherheitsrelevante Produkte“. Letztere sind zum Beispiel Produkte, die in der kritischen Infrastruktur eingesetzt werden – etwa in Stromnetzen oder Krankenhäusern. Ein Schlüsselaspekt ist die **Selbsteinschätzung** des Herstellers: Man muss selbst definieren, in welche Schublade das Produkt fällt. Das klingt einfach, ist aber oft eine Falle. Nehmen wir den Fall eines Start-ups aus München, das eine einfache Passwort-Manager-App entwickelte. Die App nutzte AES-256-Verschlüsselung – eigentlich Stand der Technik. Aber weil sie auch private Schlüssel speicherte, stufte der Hersteller sie als „sicherheitsempfindlich“ ein. Folge: eine aufwendige Dokumentation beim Bundesamt für Sicherheit in der Informationstechnik (BSI). Hätte er sie als „allgemein“ eingestuft, wäre die Prüfung milder ausgefallen. Der Fehler lag darin, dass der Hersteller den Zweck des Speicherns nicht klar von der reinen Verschlüsselungsfunktion trennte. Meine Lehre daraus: Wir empfehlen unseren Mandanten, einen externen Berater (wie uns, versteht sich) für die Klassifizierung hinzuzuziehen. Gerade bei der Schnittstelle zwischen „Datenintegrität“ und „Datenvertraulichkeit“ gibt es viel Interpretationsspielraum. Außerdem sollten Sie immer die aktuellen „Kryptografie-Typen“ (etwa symmetrisch, asymmetrisch) im Blick behalten – das BSI veröffentlicht jährlich aktualisierte Listen, die sogar die Algorithmen betreffen. Sonst kann es passieren, dass Ihr Produkt plötzlich umklassifiziert wird.
3. Meldepflichten und Fristen
Wenn Sie glauben, Sie können ein Verschlüsselungsprodukt einfach so in Deutschland verkaufen, dann liegen Sie falsch. Die Meldepflichten sind das Herzstück des KryptG. Jedes Produkt muss vor der Markteinführung beim BSI registriert werden – und zwar mit einer vollständigen technischen Beschreibung, inklusive des Quellcodes (in Auszügen) und eines Sicherheitszertifikats. Die Fristen sind knapp bemessen: Nach der Einreichung hat das BSI drei Monate Zeit, um Einwände zu erheben – sonst gilt das Produkt als zugelassen. Aber Vorsicht: Das ist nur eine „stillschweigende“ Zustimmung, keine Garantie. In der Praxis dauert es oft länger, weil das BSI Rückfragen stellt. Ein Beispiel: Ein chinesischer Hersteller von VPN-Geräten wollte sein Produkt nach Deutschland exportieren. Die erste Einreichung war unvollständig – sie vergaßen, die Firmware-Komponente anzugeben, die einen proprietären Verschlüsselungsalgorithmus verwendete. Das BSI lehnte die Meldung ab, und der Hersteller verlor vier Monate Zeit, bis die Unterlagen komplett waren. Wir haben dem Mandanten dann geraten, vorab eine „Pre-Check-Sitzung“ mit dem BSI zu vereinbaren – das ist zwar nicht im Gesetz vorgeschrieben, aber die Behörde bietet informelle Treffen an. Diese Option wird von ausländischen Firmen oft übersehen. Fakt ist: Die Frist zur Nachbesserung beträgt nur 30 Tage. Wenn Sie die verstreichen lassen, müssen Sie einen neuen Antrag stellen – inklusive neuer Warteschleife. Ich kann nur raten: Legen Sie alle Karten offen auf den Tisch. Verschweigen Sie nichts, auch wenn es peinlich ist. Die Prüfer sind oft altgediente Techniker und riechen jede Unstimmigkeit. Aus unserer Praxis heraus: Wir haben eine Checkliste mit 42 Punkten erstellt, die jeder Mandant abhaken muss. Das klingt nach viel Arbeit, spart aber im Endeffekt Zeit.
4. Prüfverfahren durch BSI
Das Prüfverfahren des BSI ist wie ein intensiver Gesundheitscheck – es ist gründlich, aber nicht unüberwindbar. Zunächst prüft die Behörde, ob das Produkt den **Sicherheitsanforderungen des „Standard für kryptografische Verfahren“** entspricht. Dieses technische Dokument (das über 100 Seiten umfasst) definiert, welche Algorithmen erlaubt sind und wie Schlüssel verwaltet werden müssen. Ich erinnere mich an einen Fall, bei dem ein Sicherheitsunternehmen eine Firewall mit integrierter Verschlüsselung anmeldete. Das Problem: Die Schlüsselrückgewinnungsfunktion (Key Recovery) war nicht standardkonform – sie verwendete einen proprietären, nicht zertifizierten Algorithmus. Das BSI verlangte eine Neuentwicklung, was sechs Monate dauerte. Ein weiterer Punkt ist die **Abschlussprüfung vor Ort**. Ja, das gibt es: Wenn das BSI Zweifel hat, kann es unangekündigt Ihre Produktionsstätte inspizieren. Ein Mandant aus Taiwan erlebte das, als die Behörde plötzlich mit zwei Prüfern in Frankfurt stand. Sie prüften nicht nur die Software, sondern auch die Fertigungsanlagen, um sicherzustellen, dass keine Hintertüren eingebaut wurden. Das ist sehr unangenehm für ausländische Firmen, aber leider üblich. Unsere Empfehlung: Führen Sie ein internes Prüfungsprotokoll, das den „BSI-Standard“ simuliert. Lassen Sie ein unabhängiges Labor wie z. B. die TÜViT eine Vorprüfung durchführen. Das kostet zwar 10.000 bis 20.000 Euro, verhindert aber, dass Ihre ganze Markteinführung scheitert. Und denken Sie daran: Das BSI verlangt nach der Zulassung alle zwei Jahre eine Bestätigung, dass keine Sicherheitslücken aufgetaucht sind. Das ist ein fortlaufender Prozess.
5. Besondere Regeln für Clouds
Cloud-Dienste mit Verschlüsselung sind ein ganz heißes Eisen im KryptG. Der Gesetzgeber behandelt sie nicht als Produkt, sondern als **Dienstleistung**, was bedeutet, dass der Anbieter nicht nur das Produkt, sondern auch die gesamte Infrastruktur melden muss. Das ist besonders wichtig für US-amerikanische oder chinesische Cloud-Provider, die nach Deutschland expandieren wollen. Der Knackpunkt: Der Anbieter muss garantieren, dass die kryptografischen Schlüssel in einem EU-Land verwaltet werden – und zwar in einem zertifizierten Rechenzentrum. Ein Beispiel: Eine asiatische Cloud-Firma bot eine „end-to-end encrypted“ Storage-Lösung an. Das BSI stellte fest, dass die Schlüssel zwar auf Servern in Frankfurt lagen, aber die Verwaltungsschnittstelle von Singapur aus zugänglich war. Das wurde als Sicherheitslücke gewertet, weil eine ausländische Regierung theoretisch Zugriff erzwingen könnte. Die Folge: Der Dienst durfte in Deutschland nur mit auflagen angeboten werden – die zentrale Verwaltung musste auf Deutschland beschränkt werden. Aus meiner Erfahrung rate ich Cloud-Betreibern, einen „lokalen Partner“ zu suchen, der den Betrieb der Schlüsselmanagement-Systeme übernimmt. Das ist zwar teuer, aber rechtlich sicher. Ein weiterer Punkt: Die **Datenresidenz** ist entscheidend. Das KryptG verlangt nicht nur die Schlüssel, sondern auch die Metadaten der Verschlüsselung (wie Zeitstempel, Schlüssellänge) in Deutschland. Das führt oft zu hohen Kosten für die Datenübertragung. Mein Tipp: Bauen Sie Ihr Cloud-Angebot von Anfang an modular auf – mit einer klaren Trennung zwischen Verschlüsselungslogik und Speicherlogik. So können Sie nachweisen, dass die „kryptografische Hoheit“ in Deutschland bleibt. Das ist ein Verkaufsargument für deutsche Kunden, die sehr datenschutzbewusst sind. Wir haben einen Mandanten, der genau diesen Punkt im Marketing verwendet – und damit 30% mehr Aufträge gewonnen hat.
6. Ausnahmen für Open Source
Open-Source-Verschlüsselungssoftware genießt im KryptG eine Sonderstellung – aber mit gewissen Einschränkungen. Grundsätzlich sind **Freie Software und quelloffene Bibliotheken** von der Meldepflicht befreit, solange sie nicht kommerziell vertrieben werden. Das bedeutet: Wenn Sie eine Open-Source-Verschlüsselung wie „GnuPG“ oder „OpenSSL“ in Ihr Produkt einbauen, müssen Sie nicht den Quellcode des Open-Source-Teils einzeln melden. Aber Vorsicht: Sobald Sie eine proprietäre Erweiterung einfügen oder das Open-Source-Produkt modifizieren, wird die gesamte Lösung meldepflichtig. Ein Mandant aus dem Cybersecurity-Bereich integrierte eine Open-Source-Bibliothek in sein Hardware-Sicherheitsmodul. Sie veränderten nur eine Zeile Code, um die Kompatibilität mit einem deutschen Standard zu erhöhen. Das BSI betrachtete dies als „modifiziertes Produkt“ und verlangte eine vollständige Neumeldung. Das kostete den Mandanten drei Monate zusätzliche Entwicklungszeit. Eine weitere Besonderheit: Open-Source-Projekte, die von einer deutschen Non-Profit-Organisation betrieben werden (wie z. B. die Python Software Foundation), haben eine einfachere Kommunikation mit dem BSI. Ich empfehle daher: Nutzen Sie Open-Source-Komponenten, die bereits auf der „Weißen Liste“ des BSI stehen. Das sind etwa 200 Bibliotheken, die als sicher eingestuft sind. Diese Liste wird jährlich aktualisiert und ist öffentlich einsehbar. Achten Sie aber auch auf Lizenzen – GPLv3 kann steuerliche Konsequenzen haben, wenn Sie das Produkt in einer GmbH kommerzialisieren. Das ist ein Thema für einen separaten Artikel. Kurz gesagt: Open Source ist kein Freibrief, sondern ein „Werkzeug mit Fußnoten“.
7. Sanktionen und Bußgelder
Verstöße gegen das KryptG können richtig teuer werden – und ich meine wirklich teuer. Das Gesetz sieht Bußgelder von bis zu **500.000 Euro** oder 2% des Jahresumsatzes vor, je nachdem, was höher ist. In besonders schweren Fällen, etwa wenn ein Produkt ohne Zulassung in der kritischen Infrastruktur eingesetzt wird, droht sogar eine Freiheitsstrafe von bis zu drei Jahren. Das ist kein theoretisches Risiko: 2022 verhängte das BSI ein Bußgeld von 850.000 Euro gegen einen deutschen Hersteller von Smart-Home-Geräten, der eine verschlüsselte Kamera ohne Meldung verkaufte. Die Kamera hatte ein „Backdoor“ für den Hersteller, was das BSI als Verstoß gegen § 15 KryptG wertete. Der Hersteller musste alle Geräte zurückrufen – ein Image-Schaden, der weit über das Bußgeld hinausging. Für ausländische Investoren ist besonders relevant: Das BSI kann auch Unternehmen im Ausland belangen, wenn sie Produkte ohne Zulassung auf den deutschen Markt bringen. Ich erlebte den Fall einer US-Firma, die ein VPN-Gerät über einen deutschen Distributor verkaufte. Der Distributor war zwar in Deutschland gemeldet, aber die eigentliche Vertriebszentrale in den USA wurde vom BSI zur Verantwortung gezogen – und zahlte 300.000 Euro Strafe. Meine Empfehlung: Gehen Sie kein Risiko ein. Falls Sie unsicher sind, lassen Sie eine vorab „Legal Compliance“-Prüfung durchführen. Wir bei Jiaxi haben dafür ein spezielles Team, das die Dokumente auf Herz und Nieren prüft. Und vergessen Sie nicht: Auch nach der Zulassung müssen Sie Änderungen am Produkt melden – etwa ein Update des Verschlüsselungsalgorithmus. Sonst droht die Aufhebung der Zulassung. Das ist wie bei einem Auto-TÜV – einmal bestanden, heißt nicht für immer sicher.
8. Praxistipps für Investoren
Zum Schluss möchte ich Ihnen einige praktische Ratschläge mitgeben, die auf über 20 Jahren Erfahrung beruhen. Erstens: **Planen Sie Zeit für die Bürokratie ein**. Ein standardmäßiger Zulassungsprozess dauert im Schnitt 9 bis 12 Monate – bei komplexen Produkten bis zu 18 Monate. Wenn Sie also in den deutschen Markt einsteigen wollen, beginnen Sie mindestens ein Jahr vor dem geplanten Launch mit den Vorbereitungen. Zweitens: Bauen Sie ein Team mit lokaler Erfahrung auf. Wir haben oft gesehen, dass ausländische Firmen versuchen, alles von der Zentrale aus zu steuern – das funktioniert selten. Suchen Sie sich einen deutschen Rechtsanwalt oder Steuerberater ( wie uns ), der die Sprache der Behörden spricht. Drittens: Nutzen Sie die Fristen optimal. Das BSI bietet eine Art „Schnellprüfung“ für Produkte an, die bereits eine EU-weite Zertifizierung (etwa nach der eIDAS-Verordnung) haben. Das verkürzt die Wartezeit auf etwa drei Monate. Ein Geheimtipp: Für Produkte, die nur in kleiner Stückzahl (< 100 Einheiten) oder zu Testzwecken importiert werden, gibt es eine „Bagatellklausel“ – die ist aber sehr eng gefasst. Haben Sie also ein Pilotprojekt, können Sie das kurzfristig realisieren, ohne die volle Zulassung zu brauchen. Viertens: **Dokumentieren Sie alles**. Jede E-Mail mit dem BSI, jedes Testergebnis, jede Änderung im Quellcode – bewahren Sie es auf. Im Streitfall ist das Gold wert. Aus persönlicher Erfahrung: Ich habe einen Mandanten, der eine Prüfung bestanden hat, weil er noch ein Fax aus dem Jahr 2018 archiviert hatte, das die Zustimmung des BSI bestätigte. Die Behörde hatte die Unterlagen verloren, aber sein Archiv rettete den Fall. Also: Investieren Sie in einen guten „Record-Keeper“. Das ist kein Luxus, sondern eine Notwendigkeit.
Abschluss und persönliche Einsichten
Insgesamt zeigt sich: Die Regulierung von kommerziellen Verschlüsselungsprodukten nach dem KryptG ist kein Hindernis, sondern ein Qualitätssiegel. Ja, der Aufwand ist hoch, aber er schützt nicht nur die nationale Sicherheit, sondern auch Ihre Goodwill bei deutschen Kunden. Wenn Sie Ihr Produkt mit dem BSI-Siegel vermarkten können, ist das ein riesiger Vertrauensvorschuss. Ich denke, in Zukunft wird sich die Regulierung noch weiter verschärfen – vor allem bei KI-gestützten Verschlüsselungsverfahren. Seien Sie also bereit, immer einen Schritt voraus zu sein. Mein persönlicher Rat: Betrachten Sie die Compliance nicht als notwendiges Übel, sondern als Teil Ihrer Geschäftsstrategie. Die Firmen, die das verstanden haben, sind die, die in Deutschland langfristig erfolgreich sind. Und wenn Sie mal unsicher sind – rufen Sie uns an. Wir sitzen alle im gleichen Boot.
Jiaxi Steuerberatung: Zusammenfassende Einschätzung
Aus Sicht der Jiaxi Steuerberatung sehen wir die Regulierung nach dem KryptG als **zweischneidiges Schwert** für Investoren. Einerseits der erhöhte Aufwand – viele Mittelständler unterschätzen die Kosten für Dokumentation und Prüfung, was zu unerwarteten Verzögerungen führt. Wir empfehlen eine frühzeitige Budgetplanung mit einem Puffer von 20-30% für bürokratische Hürden. Andererseits sehen wir die Regulierung als Chance, den deutschen Markt zu bereinigen: Produkte mit fragwürdigen Sicherheitslücken verschwinden, und seriöse Anbieter profitieren von einem einheitlichen Standard. Für ausländische Investoren ist es entscheidend, einen „Lotsen“ im deutschen Rechtsrahmen zu haben. Wir beraten derzeit mehrere Start-ups, die ihre Verschlüsselungsdienste in Deutschland anmelden, und stellen fest, dass eine enge Zusammenarbeit mit dem BSI die Erfolgsquote deutlich erhöht. Unsere zentrale Botschaft: Compliance ist kein einmaliger Check, sondern ein fortlaufender Prozess, der in die Unternehmensstruktur integriert werden muss. Wer das ignoriert, riskiert nicht nur Geldstrafen, sondern auch den Markenzugang. Bei Jiaxi bieten wir daher ein „KryptG-Check-up“ an, das die Klassifizierung, Meldung und Dokumentation umfasst. Kontaktieren Sie uns für ein kostenloses Erstgespräch.
