13 Jahrelang behandelten Rüstungszulieferer die Cybersecurity Maturity Model Certification (CMMC) als etwas, das irgendwann später kommt. Dieses Zeitfenster hat sich geschlossen. Die endgültigen Regeln sind in Kraft, und die Zertifizierung wird zur Voraussetzung, um Aufträge des US-Verteidigungsministeriums zu gewinnen und zu behalten. Wenn Ihr Unternehmen Controlled Unclassified Information (CUI) verarbeitet, fällt der Speicher, auf dem diese Informationen liegen, eindeutig in den Geltungsbereich – und eine Lücke dort kann einen Vertrag gefährden. Dieser Leitfaden richtet sich an die Person, die für diesen Speicher verantwortlich ist. Er erklärt, was CMMC tatsächlich zertifiziert, wie die Stufen verändern, was Ihr Speicher leisten muss, welche konkreten Kontrollen für gespeicherte Daten gelten, wie Sie eine CUI-Enklave so abgrenzen, dass die Prüfung bezahlbar bleibt, und was angesichts der schrittweisen Einführung bis 2028 zu tun ist. Er dient der Information und ist herstellerneutral – geschrieben, um Ihnen bei der Entscheidung zu helfen, nicht um Ihnen etwas zu verkaufen. Was CMMC ist und warum es jetzt wichtig ist CMMC ist das Programm des US-Verteidigungsministeriums (DoD), das prüft, ob Auftragnehmer der Defense Industrial Base (DIB) die sensiblen Informationen, mit denen sie arbeiten, tatsächlich schützen. Es beruht auf zwei bekannten Grundlagen: den grundlegenden Schutzanforderungen in FAR 52.204-21 für Federal Contract Information (FCI) und den 110 Sicherheitsanforderungen der NIST Special Publication 800-171 für CUI. Die sensibelste Stufe reicht bis in NIST SP 800-172 hinein. Neu ist die Durchsetzung. Die Programmregel für CMMC (32 CFR Part 170) trat im Dezember 2024 in Kraft, und die Beschaffungsregel, die die CMMC-Klausel in Verträge aufnimmt (die DFARS-Regel, Klausel 252.204-7021), am 10. November 2025. Im Rahmen einer Einführung in vier Phasen wird eine CMMC-Stufe bei den betreffenden Ausschreibungen zur Voraussetzung für die Auftragsvergabe. Mit anderen Worten: Es handelt sich jetzt um Vertragssprache, nicht um eine Empfehlung. (Neuere Bundesdokumente nennen neben dem Department of Defense auch das Department of War; dieser Leitfaden verwendet die vertraute Bezeichnung DoD.) FCI und CUI Diese Unterscheidung bestimmt alles. FCI sind Informationen, die im Rahmen eines Vertrags von der Regierung bereitgestellt oder für sie erzeugt werden und nicht zur Veröffentlichung bestimmt sind. CUI ist eine weiter gefasste, sensiblere Kategorie, zu der ein Großteil der technischen Daten, Zeichnungen und Spezifikationen gehört, mit denen Rüstungszulieferer täglich arbeiten. Wer nur FCI verarbeitet, landet bei der niedrigsten Stufe. Wer CUI verarbeitet – wie die meisten Zulieferer –, muss eine deutlich höhere Hürde nehmen. Die drei CMMC-Stufen und was sie vom Speicher verlangen CMMC definiert drei Stufen, abgestuft nach der Sensibilität der Daten und den Bedrohungen, denen sie ausgesetzt sind. Level 1 (Foundational) gilt für Auftragnehmer, die FCI, aber keine CUI verarbeiten. Es verlangt die 15 grundlegenden Schutzpraktiken aus FAR 52.204-21 und erlaubt eine jährliche Selbstbewertung. Für den Speicher geht es um grundlegende Hygiene: Zugriffe kontrollieren, Systeme schützen und Zugangsdaten verwalten. Level 2 (Advanced) ist die Stufe, auf der die meisten Rüstungszulieferer landen. Sie entspricht den 110 Anforderungen von NIST SP 800-171 und gilt für CUI. Je nach Vertrag wird sie durch Selbstbewertung oder durch eine Prüfung einer Certified Third-Party Assessment Organization (C3PAO) nachgewiesen. Die Speicheranforderungen dieser Stufe verdienen die meiste Aufmerksamkeit und stehen im Mittelpunkt des restlichen Leitfadens. Level 3 (Expert) gilt für die kritischsten CUI, die Advanced Persistent Threats ausgesetzt sind. Es ergänzt Level 2 um zusätzliche Anforderungen aus NIST SP 800-172 und umfasst eine von der Regierung geleitete Prüfung. Nur wenige Unternehmen benötigen es, doch für diese gelten die strengsten Erwartungen an Datensicherung und Wiederherstellung. Das Muster ist einfach: Je höher die Stufe, desto strenger die Anforderungen an den Speicher, auf dem die Daten liegen. Muss Speicher „CMMC-zertifiziert“ sein? An diesem Punkt liegen die meisten Anbieter falsch, daher lohnt es sich, ihn klar auszusprechen. CMMC zertifiziert Ihren Prüfumfang, also Ihre Umgebung und die Grenze, die Sie um sie ziehen. Es zertifiziert kein Speicherprodukt für sich allein. Ein „CMMC-zertifiziertes“ Speicher-Array, das Sie kaufen und damit das Häkchen setzen können, gibt es nicht. Entscheidend ist, ob der Speicher, der CUI speichert, verarbeitet oder überträgt, die geforderten Kontrollen umsetzt und dies belegen kann. Jeder Speicher, der mit CUI in Berührung kommt, fällt in den Geltungsbereich. Diese eine Tatsache macht die Speicherarchitektur zu einer Compliance-Entscheidung, denn wo Sie CUI ablegen lassen, bestimmt, wie viel Ihrer IT-Landschaft ein Prüfer begutachten muss. Das führt zur nützlichsten Idee dieses Leitfadens: der CUI-Enklave. Statt CUI über alle Server, Freigaben und Laptops zu verteilen, konzentrieren erfolgreiche DIB-Unternehmen sie innerhalb einer definierten, zugriffskontrollierten Grenze. Gelingt das, wird die Prüfung kleiner, die Nachweise werden sauberer, und das Risiko eines kostspieligen Befunds sinkt. Die speicherrelevanten Kontrollen von CMMC und NIST 800-171 Sie müssen nicht alle 110 Anforderungen auswendig kennen, um gute Speicherentscheidungen zu treffen. Bei gespeicherten Daten erledigt eine Handvoll Kontrollfamilien den Großteil der Arbeit. FIPS-validierte Verschlüsselung von CUI, gespeichert und bei der Übertragung NIST 800-171 und CMMC verlangen, dass die Kryptografie, die die Vertraulichkeit von CUI schützt, FIPS-validiert ist (Kontrolle 03.13.11, früher 3.13.11). Die Feinheit, über die viele stolpern: Gefordert ist ein kryptografisches Modul, das im Cryptographic Module Validation Program (CMVP) des NIST validiert wurde und ein aktives Zertifikat besitzt. Ein starker Algorithmus wie AES-256 ist nicht dasselbe wie ein validiertes Modul. Fragen Sie gezielt, ob der Speicher ein nach FIPS 140-3 validiertes Modul nutzt, und beachten Sie, dass die Regierung den Übergang von FIPS 140-2 zu 140-3 gerade abschließt. Zugriffskontrolle, Multi-Faktor-Authentifizierung und Least Privilege Speicher für CUI muss den Zugriff auf autorisierte Benutzer und Prozesse beschränken, Multi-Faktor-Authentifizierung für privilegierten und Fernzugriff erzwingen und Least Privilege bis auf die Ebene von Freigaben, Buckets und Objekten anwenden. Ziel ist, dass nur die Personen und Systeme CUI erreichen können, die es müssen – und dass jede und jedes davon erfasst ist. Schutz von Datenträgern 800-171 widmet Datenträgern eine eigene Kontrollfamilie, und Speicher gehört direkt dazu. Das heißt: CUI-Datenträger kennzeichnen, kontrollieren und bereinigen, sie beim Transport schützen und – besonders wichtig – Backups vor Ort und extern mit FIPS-validierter Verschlüsselung schützen. Backups von CUI sind weiterhin CUI. Audit und Nachvollziehbarkeit Sie müssen zeigen können, wer wann und von wo auf CUI zugegriffen hat, und Ihre Protokolle müssen gegen Manipulation geschützt sein. Speicher, der vollständige, exportierbare Audit-Datensätze erzeugt und an Ihre Monitoring-Tools weiterleitet, macht es deutlich einfacher, diese Kontrolle zu erfüllen und nachzuweisen. Integrität und Wiederherstellung Beim Schutz von CUI geht es nicht nur um Geheimhaltung, sondern auch darum, die Daten intakt und wiederherstellbar zu halten. Leitlinien behandeln Wiederherstellbarkeit zunehmend als Sicherheitsthema. Unveränderliche oder per Air Gap isolierte Backups, die einen Ransomware-Angriff überstehen, sind daher ein echter Bestandteil einer belastbaren Sicherheitslage und kein Extra. Eine CUI-Enklave abgrenzen, um CMMC bezahlbar zu machen Da alles, was mit CUI in Berührung kommt, in den Geltungsbereich fällt, ist die Architektur Ihr größter Hebel für Kosten und Aufwand der Zertifizierung. Verteilen Sie CUI überall, wird Ihre gesamte Umgebung zur Prüfgrenze. Konzentrieren Sie sie, wird das Problem kleiner. Eine konsolidierte, zugriffskontrollierte Speicher-Enklave für CUI bewirkt mehrere Dinge zugleich. Sie hält die Prüfgrenze eng, sodass ein Prüfer weniger begutachten muss. Sie zentralisiert die Kontrollen (Verschlüsselung, Zugriff, Protokollierung), sodass die Nachweise einheitlich sind. Und sie verringert die Gefahr, dass CUI in ein System gelangt, das nie dafür gehärtet wurde. Für die meisten Zulieferer ist die Entscheidung, wo CUI liegen darf, der wirkungsvollste frühe Schritt in einem CMMC-Programm. On-Premises, Government Cloud oder Private Cloud: wo CUI liegen soll Den einen richtigen Ort für CUI gibt es nicht. Viele DIB-Unternehmen halten CUI bewusst On-Premises oder in einer kontrollierten privaten Umgebung – sowohl wegen der maximalen Kontrolle als auch, weil sie sensible technische Daten nicht in eine allgemeine kommerzielle Cloud legen wollen. Andere setzen auf ein Government-Community-Cloud-Angebot, das für CUI ausgelegt ist. Jeder dieser Wege kann CMMC erfüllen, solange Kontrollen und Nachweise vorhanden sind. Zwei Rahmenbedingungen sollten die Entscheidung prägen. Erstens Datenresidenz und Zugriff: CUI muss in der Regel auf US-Boden bleiben, und der Zugriff ist auf autorisiertes Personal beschränkt. Zweitens, und oft übersehen: Viele technische Verteidigungsdaten unterliegen zudem ITAR-Pflichten, die den Zugriff auf US-Personen beschränken. Diese Überschneidung drängt Unternehmen häufig zu Architekturen, bei denen sie genau kontrollieren, wer und was die Daten erreichen kann. Das Bereitstellungsmodell ist ebenso eine Frage der Kontrolle und Souveränität wie der Kosten. Was jetzt zu tun ist – nach Einführungsphase Die Einführung erfolgt in Phasen, und wer seine Arbeit danach ausrichtet, vermeidet sowohl Panik als auch Selbstzufriedenheit. In der ersten Phase, die von November 2025 bis November 2026 läuft, tauchen Anforderungen an die Selbstbewertung in den betreffenden Ausschreibungen auf, und Vergabebeamte können eine Prüfung durch Dritte verlangen. Das praktische Ziel ist jetzt eine echte Level-2-Sicherheitslage und eine belastbare Bewertung, keine Papierübung. Ab November 2026 macht die zweite Phase die Level-2-Zertifizierung durch eine C3PAO für betreffende Verträge mit CUI verpflichtend. Die Prüfkapazitäten sind begrenzt und die Vorlaufzeiten real – Unternehmen, die erst anfangen, wenn sie das Zertifikat brauchen, sind zu spät dran. Spätere Phasen führen Level 3 ein und gehen bis 2028 in die vollständige Umsetzung über. Die Botschaft für Speicherverantwortliche ist klar: Die Kontrollen, die Sie jetzt einführen, sind die, die ein Prüfer untersuchen wird. Planen Sie also für die Prüfung, die Ihnen bevorsteht, nicht für die Selbstauskunft, mit der Sie heute noch durchkommen. Checkliste für Speicher in einer CMMC-Umgebung Nutzen Sie sie als schnellen Filter: Nach FIPS 140-3 im CMVP validierte Verschlüsselung für gespeicherte und übertragene CUI (Zertifikat anfordern) Multi-Faktor-Authentifizierung und rollenbasierte Zugriffskontrolle für jeden CUI-Speicher Schutz von Datenträgern: Kennzeichnung, kontrollierte Handhabung, Bereinigung und verschlüsselte Backups vor Ort und extern Unveränderliche oder per Air Gap isolierte Backups, die Ransomware überstehen und eine Wiederherstellung ermöglichen Vollständige, manipulationssichere Audit-Logs, die sich in Ihre Monitoring-Tools exportieren lassen Eine definierte CUI-Enklave, die die Prüfgrenze eng hält Kontrollen für Datenresidenz und Zugriff nur durch US-Personen, wo ITAR gilt Alles zusammengefasst CMMC-konformer Speicher läuft auf einige disziplinierte Entscheidungen hinaus. Konzentrieren Sie CUI in einer definierten Enklave, damit Ihr Prüfumfang klein bleibt. Verschlüsseln Sie sie mit einem validierten Modul, nicht nur mit einem starken Algorithmus. Schützen Sie Ihre Backups und stellen Sie sicher, dass Sie sie wiederherstellen können. Halten Sie die Zugriffe eng und Ihre Protokolle vollständig. Wählen Sie dann das Bereitstellungsmodell – On-Premises, Government Cloud oder Private Cloud –, das zu Ihren Anforderungen an Kontrolle, Kosten und Souveränität passt. Und halten Sie an der einen Idee fest, die das Marketing-Rauschen durchdringt: Speicher ist nicht für sich allein „CMMC-zertifiziert“. Er ist Infrastruktur innerhalb der Grenze, die Sie zertifizieren lassen. Gestalten Sie diese Grenze gut, dann werden die Speicherentscheidungen deutlich einfacher. Häufig gestellte Fragen Ist Speicher CMMC-zertifiziert? Nein. CMMC zertifiziert die geprüfte Umgebung eines Auftragnehmers und deren Umfang, nicht ein einzelnes Speicherprodukt. Speicher fällt in den Geltungsbereich, wenn er CUI speichert, verarbeitet oder überträgt, und muss die geforderten Kontrollen umsetzen. Welche CMMC-Stufe brauchen Rüstungsunternehmen? Das hängt von den Daten ab. Unternehmen, die nur FCI verarbeiten, brauchen in der Regel Level 1; wer CUI verarbeitet – also die meisten Zulieferer –, braucht Level 2; die sensibelsten Programme mit kritischen CUI können Level 3 erfordern. Verlangt CMMC FIPS-validierte Verschlüsselung für gespeicherte CUI? Ja. NIST 800-171 und CMMC verlangen FIPS-validierte Kryptografie zum Schutz von CUI, also ein im NIST-CMVP validiertes Modul mit aktivem Zertifikat. Bestätigen Sie gezielt die Validierung nach FIPS 140-3. Kann On-Premises-Speicher CMMC Level 2 erfüllen? Ja. Bei Compliance geht es darum, die Kontrollen zu erfüllen und Nachweise zu erbringen, nicht darum, in einer bestimmten Cloud zu sein. Viele DIB-Unternehmen halten CUI genau aus diesem Grund On-Premises oder in einer kontrollierten privaten Umgebung. Was ist eine CUI-Enklave, und warum ist sie für den Speicher wichtig? Eine CUI-Enklave ist eine definierte, zugriffskontrollierte Grenze, innerhalb derer CUI liegen darf. Wer CUI dort konzentriert, hält den CMMC-Prüfumfang klein, die Kontrollen einheitlich und Kosten wie Risiken niedrig. Weiterführende Lektüre (zur Einführung): eine Einführung in FIPS-140-validierte Verschlüsselung, unser Leitfaden zu FedRAMP-konformem Objektspeicher (auf Englisch) für Cloud-Dienste und wie unveränderlicher, per Air Gap isolierter Speicher die Wiederherstellung unterstützt. Die maßgeblichen Programmdetails finden Sie in den CMMC-Ressourcen des DoD CIO (auf Englisch).
