ITAR im Jahr 2026: Warum verwaiste Konten von Auftragnehmern jetzt einen Verstoß gegen Exportkontrollen darstellen

Kurzfassung. Spätestens 2026 sind ITAR-Exportkontrollen und CMMC 2.0 nicht mehr bloße Zukunftsmusik - sie stehen konkret in den Verträgen, mitsamt spürbaren Sanktionen bei nachlässigem Zugriffsmanagement. Ein inaktives SaaS-Konto eines ehemaligen Auftragnehmers mit Zugriff auf ITAR-kontrollierte technische Daten ist dann nicht mehr nur ein Ticket im IT-Backlog, sondern potenzieller Beleg für einen nicht genehmigten Export. Dieser Artikel beschreibt den Wandel, wie Prüfer den Zugriff von Auftragnehmern unter die Lupe nehmen und wie moderne Identity Governance - wie bei Iden - darauf reagieren muss.

Dieser Artikel dient ausschließlich zu Informationszwecken und stellt keine Rechtsberatung dar. Für verbindliche Auslegung von ITAR, EAR und verwandten Vorschriften sollten Sie stets qualifizierte Exportkontroll-Juristinnen und -Juristen konsultieren.

Das Durchsetzungsumfeld 2026: Wenn ITAR auf CMMC trifft

Über Jahre hinweg wurden Exportkontrolle und Cybersicherheitsanforderungen getrennt betrachtet. 2026 kommen sie zusammen - und rücken Identitäts- und Zugriffsmanagement ins Rampenlicht.

Zentrale Meilensteine 2025-2028, die Sie nicht ignorieren können

Die Erwerbsregel zu CMMC 2.0 des Verteidigungsministeriums (48 CFR/DFARS) ist seit dem 10. November 2025 in Kraft und macht CMMC-Anforderungen in neuen DoD-Verträgen durchsetzbar

Phase 2 der CMMC-Durchsetzung beginnt am 10. November 2026, wenn Drittzertifizierungen auf Level 2 für Verträge mit Controlled Unclassified Information (CUI) verpflichtend werden

Die vollständige Umsetzung von CMMC ist für den 10. November 2028 geplant. Nahezu alle nicht-COTS-Verträge des DoD werden dann ein CMMC-Level als Vergabevoraussetzung verlangen

Parallel dazu hat die DDTC (das für ITAR zuständige Außenministerium) die Erwartungen an Exportkontroll-Compliance verschärft und verweist ausdrücklich auf Zugriffskontrollen, Überwachung und dokumentierte Verfahren als zentrale Elemente.

In der Praxis bedeutet das:

• ITAR und CMMC sind vertraglich verknüpft. Rüstungsunternehmen, die mit ITAR-kontrollierten Daten arbeiten, verarbeiten nahezu immer auch CUI und unterliegen damit CMMC Level 2 auf Basis von NIST SP 800-171.
• Identitätskontrollen sind nun prüfbare Exportkontrollen. Wer auf exportkontrollierte Daten zugreifen kann und wie schnell Konten entfernt werden, ist ein Kernpunkt der Compliance - nicht bloß IT-Administration.
• 2026 geht es um Beweise, nicht um Absichten. Selbstverpflichtungen und Richtliniendokumente werden abgelöst durch die Pflicht, Bewertungsergebnisse im SPRS zu veröffentlichen, Drittprüfungen durchzuführen und die tatsächliche technische Durchsetzung von Zugriffsregeln live nachzuweisen.

Warum verwaiste Konten von Auftragnehmern jetzt Exportkontroll-Risiken sind

ITAR wird häufig mit physischen Exporten in Verbindung gebracht. Für stark SaaS-orientierte Organisationen liegt das eigentliche Risiko jedoch darin, wer technische Daten über den Browser einsehen kann.

Wie ITAR einen "Export" in Ihrem SaaS-Stack tatsächlich definiert

Nach ITAR und einschlägigen Exportkontroll-Leitlinien gilt:

• Jede Weitergabe oder Übertragung von ITAR-kontrollierten technischen Daten an eine ausländische Person innerhalb der USA gilt als Export in das Heimatland bzw. die Heimatländer dieser Person (die sogenannte "Deemed-Export-Regel")
• Eine "Weitergabe" umfasst allein die Möglichkeit der Einsicht, Downloads oder die Nutzung von Zugangsdaten oder Zugriffsinformationen, die einer ausländischen Person das Betrachten der Daten ermöglichen.

Wenn ein verwaistes Konto mit einer ausländischen Person verknüpft ist - oder von ihr genutzt werden kann - und dafür keine Genehmigung vorliegt, interessiert sich die Aufsicht kaum für Nutzungsprotokolle oder Absicht. Die zentrale Frage lautet: Hatte eine ausländische Person die Möglichkeit, ohne ordnungsgemäße Genehmigung oder Kontrollen auf ITAR-technische Daten zuzugreifen?

Inaktive Auftragnehmerkonten in:

• Jira-Projekten mit exportkontrollierten Entwicklungs-Tickets
• GitHub-Repos mit ITAR-Code oder Modellen
• Confluence- oder Notion-Bereichen mit kontrollierter Dokumentation

...stellen latente Deemed-Export-Verstöße dar, die in einer Prüfung oder Ermittlung entdeckt werden können.

Nur US-Personen, Need-to-know und ausufernde Auftragnehmerlandschaft

Viele ITAR-Verträge und Technology Control Plans (TCPs) schreiben ausdrücklich vor:

• Zugriff nur für US-Personen auf bestimmte Systeme oder Datensätze ("US-Person" im Sinne der Exportkontrollen, nicht bloß anhand der HR-Stammdaten zur Staatsangehörigkeit).
• Strikte Need-to-know-Segmentierung, also Zugriff nur für Personen, deren Tätigkeit unmittelbar mit dem jeweiligen Vertrag zu tun hat.

Diese Vorgaben stehen häufig im Konflikt mit gängigen Praktiken im Umgang mit Auftragnehmern:

• Geteilte Lieferantenkonten statt individueller Identitäten
• Zugriffsrechte werden von früheren Auftragnehmern einfach kopiert
• Fehlende Erfassung von Enddaten oder fehlgesteuertes Offboarding
• Lücken beim Nachweis, welche Konten US-Personen und welche ausländische Staatsangehörige sind

Wenn CMMC- und ITAR-Prüfungen die Forderung stellen: "Zeigen Sie mir genau, wer im genannten Zeitraum Zugriff auf exportkontrollierte Daten hatte - und weisen Sie die Durchsetzung von 'nur US-Personen' und Need-to-know nach", werden diese Schwächen zu klaren Compliance-Risiken.

Sanktionen: Warum Aufsichtsbehörden sich jetzt für Ihre Identitätshygiene interessieren

Die finanziellen und operativen Folgen machen es naheliegend, dass Aufsichtsbehörden das Identitätsmanagement genauer prüfen.

Seit 2025 können zivilrechtliche Sanktionen für die meisten ITAR-Verstöße bei rund 1,27 Millionen US-Dollar pro Verstoß oder dem Doppelten des Werts des zugrunde liegenden Geschäfts liegen; Beträge werden regelmäßig an die Inflation angepasst

Strafrechtliche Verstöße gegen den Arms Export Control Act (AECA) und ITAR können Geldstrafen von bis zu 1 Million US-Dollar pro Verstoß und Freiheitsstrafen von bis zu 20 Jahren nach sich ziehen

Aktuelle Durchsetzungsfälle verdeutlichen die Richtung:

• 2023 zahlte 3D Systems eine Strafe von 20 Millionen US-Dollar aufgrund nicht genehmigter Exporte, darunter unlizenzierter Zugriff ausländischer Mitarbeitender
• 2024 einigte sich Raytheon (heute RTX) auf einen Vergleich von fast 950 Millionen US-Dollar, unter anderem wegen mutmaßlicher ITAR- und AECA-Verstöße

Nicht jedes Unternehmen wird mit Strafen in dieser Größenordnung rechnen müssen, aber die Botschaft ist eindeutig: "Wir wussten nicht, dass dieses Konto noch aktiv war" gilt nicht als Verteidigung. Schlechte Identity Governance wird inzwischen als eigentliche Ursache vieler Verstöße gewertet.

Wo manuelle Zugriffspflege und SSO bei ITAR versagen

SSO und gruppenbasierte Rollen sind wichtig, reichen aber nicht aus.

Die SSO-Abdeckungslücke

Die meisten Rüstungsunternehmen nutzen Okta oder Entra ID. Das löst das Problem der Authentifizierung, aber nur teilweise das der Governance:

• Viele für ITAR relevante Werkzeuge (PLM, Konstruktionsanwendungen, Lieferantenportale) unterstützen weder SCIM noch leistungsfähige APIs.
• Wo SCIM vorhanden ist, werden meist nur Gruppenmitgliedschaften verwaltet - nicht die fein granulierten Projekt-, Repo- oder Umgebungsrechte, die für technische Daten entscheidend sind.

Untersuchungen von Iden zeigen, dass SSO nur einen Teil des Stacks automatisiert; manuelle Governance bleibt bestehen - insbesondere dort, wo verwaiste und "Zombie"-Konten entstehen - und genau dort liegen häufig ITAR-relevante Daten.

Manuelle Auftragnehmerprozesse bestehen 2026 bei Audits nicht mehr

Typische Probleme im Jahr 2026:

• HR-E-Mails oder Slack-Nachrichten wie "Bitte diesen Auftragnehmer zum Miro-Board für Flugkörpersteuerung hinzufügen" ohne strukturierte Workflows
• Gemeinsame Lieferanten- oder Herstellerkonten mit gemeinsam genutzten Passwörtern
• Vierteljährliche Zugriffsüberprüfungen in Tabellen, bei denen Führungskräfte freigeben, ohne die tatsächliche Aufgabenverteilung zu prüfen

CMMC Level 2 setzt voraus, dass Sie nahezu in Echtzeit belegen können:

• Details zur Kontoerstellung, einschließlich Genehmigungen
• Auf welche Systeme und Daten eine Person zugreifen konnte
• Wann und wie sich Zugriffsrechte geändert haben
• Wann der Zugriff entzogen wurde - und dass der Entzug in allen Systemen wirksam war

Wenn Ihre Nachweise über die Compliance sich auf Okta-Gruppen, Jira-Tickets, Tabellen und E-Mails verteilen, stützen Sie sich auf Dokumentation, während der regulatorische Rahmen evidenzbasierte Compliance verlangt.

Was Prüfer 2026 beim Zugriff von Auftragnehmern erwarten werden

ITAR und CMMC haben unterschiedliche Ursprünge, laufen aber bei zentralen Fragen der Identity Governance zusammen.

Die Kontrollfragen hinter den Vorschriften

Prüfer und Assessoren werden fragen:

• Transparenz im Kontolebenszyklus

  • Können Sie alle Joiner/Mover/Leaver-Ereignisse für ITAR-Auftragnehmer nachweisen?
  • Werden Start- und Enddaten technisch erzwungen?

• Prüfung auf US-Personen und Exportgenehmigungen

  • Gibt es ein verlässliches Attribut für US-Person-Status und Exportgenehmigung?
  • Werden diese Attribute in Bereitstellungs-Workflows durchgesetzt?

• Need-to-know-Durchsetzung

  • Werden Berechtigungen auf Projekt-/Repo-/Space-Ebene vergeben?
  • Gibt es eine dokumentierte Begründung für jeden Zugriff?

• Zugriffsüberprüfung und Rekertifizierung

  • Bestätigen Führungskräfte den Zugriff von Auftragnehmern regelmäßig neu?
  • Werden Nachweise automatisch erfasst - und nicht erst kurz vor einem Audit erstellt?

• Protokolle und forensische Nachvollziehbarkeit

  • Können Sie für ein beliebiges Datum rekonstruieren, welche Personen sich in ITAR-Systeme einloggen konnten und welche Rechte sie dort hatten?

Anforderungen auf Identity-Governance-Fähigkeiten abbilden

Prüfen Sie Ihre Compliance, indem Sie regulatorische Erwartungen auf Identity-Funktionen abbilden:

Wenn Ihre aktuellen Werkzeuge diese Sicht nicht schnell bereitstellen können, gehen Prüfer von Lücken aus - selbst bei guten Absichten.

Zugriff von Auftragnehmern für ITAR und CMMC neu gestalten

Im Folgenden ein schrittweiser Rahmen, mit dem IT- und Compliance-Verantwortliche sich auf Audits im Jahr 2026 vorbereiten können.

1. Erstellen Sie ein echtes Inventar exportkontrollierter Daten und Systeme

Ermitteln Sie, wo ITAR-technische Daten und CUI gespeichert sind:

• CAD/PLM-Werkzeuge, Code-Repos, Dokumentenmanagement
• Ticket-Systeme und Kollaborationstools
• Portale für Lieferanten und Fertigungspartner

Verknüpfen Sie diese Systeme mit Verträgen und Exportgenehmigungen. Das ist der Umfang, der besonders präzise Kontrolle erfordert.

2. Behandeln Sie jeden Auftragnehmer als vollwertige Identität

Behandeln Sie Auftragnehmer nicht wie generische Lieferantenkonten.

Jede Auftragnehmer-Identität sollte verfügen über:

• Ein eindeutiges, nicht geteiltes Konto
• Verifizierte Attribute zum Status als US-Person/Exportgenehmigung
• Vertragsbeginn und -ende, die automatisiertes Provisioning und De-Provisioning steuern
• Zuordnung zu einer verantwortlichen internen Sponsor-Person

In Iden werden Mitarbeitende, Auftragnehmer und Dienstkonten im selben System of Record geführt.

3. Automatisieren Sie Joiner/Mover/Leaver-Abläufe über alle Apps - nicht nur SCIM-Anwendungen

Solange der ITAR-Zugriff von Auftragnehmern von manuellen Ticket-Abschlüssen abhängt, bleiben Risiken bestehen.

Sie benötigen:

• Automatisierte, rollenbasierte Vergabe von Zugriffsrechten auf Basis von Identitätsattributen und Vertragsdaten
• Zeitlich begrenzten, projektbezogenen Zugriff, der ohne Verlängerung automatisch ausläuft
• Vollautomatisches Offboarding, ausgelöst aus HRIS oder Lieferantenmanagement, das den Zugriff in allen Anwendungen entzieht

Iden-Kunden konnten manuelle Zugriffs-Tickets innerhalb von 60 Tagen um bis zu 80 % reduzieren, indem sie Provisioning und De-Provisioning über mehr als 175 Anwendungen hinweg automatisiert haben - einschließlich nicht-SCIM-Werkzeugen

Für ITAR bedeutet das: deutlich weniger verwaiste Auftragnehmerkonten in Ihrer Umgebung.

4. Gehen Sie über Gruppen hinaus: Need-to-know auf Projekt- und Repo-Ebene durchsetzen

ITAR-Vorgaben zielen auf die tatsächliche Datenexposition - nicht auf abstrakte Stellenfunktionen.

Iden ermöglicht fein granulierte Steuerung:

• Slack: Zugriffe auf Kanal- und Workspace-Ebene
• GitHub/GitLab: Berechtigungen auf Repo- und Branch-Ebene
• Jira/Linear: Rollen auf Projektebene

Die Connectoren von Iden steuern Zugriffe auf Kanal-, Repository- und Projektebene und gehen damit deutlich über das gruppenbasierte SCIM-Modell hinaus, um echtes Need-to-know durchzusetzen

Bei exportkontrollierten Programmen wird Ihr Technology Control Plan damit technisch umgesetzt: Nur Identitäten von US-Personen mit passenden Attributen und Projekt-Tags erhalten Zugriff auf ITAR-Bereiche.

5. Machen Sie aus Zugriffsüberprüfungen kontinuierliche, automatisierte Nachweise

Vierteljährliche oder jährliche Zugriffsreviews sind ausdrücklich gefordert und gelten als Best Practice für CMMC Level 2 und ITAR.

Ersetzen Sie manuelle Verfahren durch IGA-gestützte Prozesse, die:

• Zielgerichtete Kampagnen erzeugen (z. B. "Alle Auftragnehmer mit Zugriff auf ITAR-markierte Repos")
• Automatisch an die richtigen Verantwortlichen weiterleiten
• Kontext liefern: letzter Login, Projekt, Vertrag, Begründung
• Genehmigungen/Ablehnungen erfassen und den Zugriff automatisch anpassen oder entziehen

Nutzende von Iden berichten, dass sie pro Quartal rund 120 Stunden bei Benutzer-Zugriffsüberprüfungen einsparen, weil Zertifizierungen und Belegerfassung automatisiert sind

Für Rüstungsunternehmen, die sich ITAR- und CMMC-Audits stellen müssen, ist das der Unterschied zwischen hektischem Reagieren und einer sauberen, jederzeit vorzeigbaren Prüfspur.

6. Vereinheitlichen Sie Prüfspuren für Multi-Framework-Compliance

ITAR, CMMC, SOC 2, HIPAA und branchenspezifische Vorgaben treffen sich bei denselben Identitätsfragen.

Iden führt eine einzige, normalisierte Prüfspur, die Folgendes nachverfolgt:

• Zugriffsanträge
• Genehmigungen (und die jeweils angewendeten Richtlinien)
• Zeitpunkte der Vergabe und Entziehung von Rechten
• Betroffene Systeme und Berechtigungen

Compliance-Teams erhalten so eine zentrale, gefilterte Quelle der Wahrheit - nach regulatorischem Kontext sortierbar, ohne dass für jedes Rahmenwerk erneut Nachweise erzeugt werden müssen.

Konkrete nächste Schritte für 2026

Überführen Sie diese Prinzipien in einen Aktionsplan für IT, Sicherheit und Compliance:

1. Führen Sie einen Drill zu verwaisten Konten in Ihren ITAR-Systemen durch.

   • Wählen Sie ein exportkontrolliertes System (z. B. PLM oder Code-Host).
   • Erfassen Sie alle aktiven externen Konten und Auftragnehmerkonten.
   • Prüfen Sie für jedes Konto Vertragsstatus, Eignung als US-Person und Projekteinbindung.

2. Kartieren Sie die Identitätsabdeckung in Bezug auf exportkontrollierte Bereiche.

   • Listen Sie ITAR-relevante Anwendungen auf: Welche sind vollständig durch IGA/SSO gesteuert, welche werden manuell verwaltet?
   • Schauen Sie besonders genau auf spezialisierte SaaS-Lösungen, Lieferantenportale und Kollaborationstools.

3. Definieren Sie Ihr Compliance-Zielbild vor dem nächsten Audit.

   • Legen Sie Service-Level-Ziele für das Offboarding von Auftragnehmern fest (z. B. 30 Sekunden bis zum Zugriffsentzug nach HR-Abmeldung).
   • Klären Sie, wie Sie externen Prüfern den Nachweis zu "nur US-Personen" und Need-to-know-Durchsetzung erbringen.

4. Bewerten Sie IGA-Lösungen anhand ITAR-spezifischer Szenarien.
   Fragen Sie in Demos oder Proof-of-Concepts:

   • Können Sie sämtlichen Zugriff eines Auftragnehmers nach Vertragsende in unter einer Minute entfernen - über SCIM- und Nicht-SCIM-Apps hinweg?
   • Können Sie Nicht-US-Personen technisch von ITAR-Projekten ausschließen, sofern keine dokumentierte Ausnahme vorliegt?
   • Können Sie eine vollständige Historie der Projektzugriffe für einen definierten Zeitraum exportieren?

5. Pilotieren Sie automatisierte Governance in einem Hochrisiko-Programm.

   • Wählen Sie ein Programm mit starkem ITAR-Bezug und führen Sie dort automatisierte Identity Governance ein.
   • Messen Sie die Reduktion manueller Tickets, die Anzahl eliminierter verwaister Konten und die eingesparte Zeit bei Zugriffsreviews.

Iden ist genau für diesen Einsatz geschaffen: schnelle Einführung, Anbindung an beliebige Anwendungen (SCIM, API oder proprietär) und Unterstützung schlanker IT-Teams beim Aufbau durchgängiger Governance - ohne langwierige Legacy-Projekte.

Häufig gestellte Fragen

Gilt ein aktives Konto eines ehemaligen Auftragnehmers wirklich schon als ITAR-Exportverstoß?

Ja. Nach der Deemed-Export-Regel von ITAR kann es als Export gewertet werden, wenn einer ausländischen Person allein durch aktive Zugangsdaten die Möglichkeit eingeräumt wird, kontrollierte technische Daten zu lesen. Ermittler prüfen in ITAR-Systemen routinemäßig, ob es solche verwaisten Konten gibt.

Bin ich vor ITAR-Problemen sicher, wenn alle Daten in US-Rechenzentren liegen und hinter SSO geschützt sind?

Nein. Standort der Daten und SSO helfen, aber die Aufsicht konzentriert sich darauf, wer auf exportkontrollierte Daten zugreifen kann, nicht allein auf Speicherort oder SSO. Schwache Identity Governance - geteilte Konten, mangelhaftes Offboarding, fehlende Durchsetzung von "nur US-Personen" - birgt weiterhin Risiken von Deemed-Export- und Zugriffspannen, unabhängig vom Infrastrukturstandort.

Wie wirken CMMC 2.0 und ITAR in der Praxis zusammen?

CMMC ersetzt ITAR nicht; es ergänzt die Anforderungen. Für Rüstungsunternehmen, die mit ITAR-Daten arbeiten, gilt:

• ITAR und AECA regeln, wer auf technische Daten zugreifen darf und welche Genehmigungen dafür nötig sind.
• CMMC Level 2 (über NIST SP 800-171) definiert, wie Sie diesen Zugriff technisch durchsetzen und überwachen - einschließlich Kontomanagement, Minimalprinzip und Protokollierung.

Identity Governance setzt beide Regelwerke operativ um und liefert die erforderlichen Kontrollen und Prüfnachweise.

Welche Nachweise sollte ich Prüfern zum Zugriff von Auftragnehmern vorlegen können?

Sie sollten für einen definierten Zeitraum (z. B. das letzte Jahr) bereitstellen können:

• Eine Liste aller Auftragnehmer mit Zugriff auf ITAR-relevante Systeme einschließlich Schlüsseldaten (Zeiträume, Status als US-Person/Exportstatus)
• Protokolle zu Einrichtung, Änderung und Entzug von Zugriffsrechten
• Aufzeichnungen zu Zugriffsreviews sowie genehmigten oder abgelehnten Rechten
• Dokumentation oder Workflows, die die Durchsetzung von "nur US-Personen" und Need-to-know-Regeln belegen

Iden bündelt all dies in einer einzigen Prüfspur und ermöglicht gezielte Auswertungen (nach Programm, nach Zugriffsebene) in wenigen Minuten.

Kann ich ITAR- und CMMC-Vorgaben ohne eine klassische Legacy-IGA-Plattform erfüllen?

Ja. Für die meisten stark SaaS-basierten Organisationen (50-2.000 Mitarbeitende) sind klassische IGA-Suiten überdimensioniert. Entscheidend sind diese Fähigkeiten:

• Abdeckung aller Anwendungen, einschließlich Nicht-SCIM-Systemen und Lieferantenportalen
• Fein granulierte Steuerung (Repos, Projekte, Kanäle)
• Automatisiertes Lebenszyklusmanagement für alle Identitätstypen
• Integrierte Zugriffsreviews und automatische Belegerfassung

Iden wurde genau dafür konzipiert: es ermöglicht vollständige Governance über mehr als 175 Anwendungen, reduziert manuelle Zugriffsanfragen um bis zu 80 % und kann in 24 Stunden eingeführt werden - ohne Berater oder dedizierte IAM-Teams. Das ist die Geschwindigkeit und Abdeckung, die moderne Compliance verlangt.