Aktualisiert am 17.08.2026: Das Department of War hat die CMMC-Phase-2-Anforderungen am 13. Juli 2026 ausgesetzt. Die verpflichtende Bewertung durch einen akkreditierten C3PAO, geplant ab dem 10. November 2026, findet bis auf Weiteres nicht statt. Ebenfalls ausgesetzt ist Phase 3 mit den Bewertungen durch die DIBCAC. Unverändert gelten die Selbstbewertung nach Phase 1, DFARS 252.204-7012, DFARS 252.204-7021 mit jährlicher Affirmation, die 110 Kontrollen aus NIST SP 800-171 Rev. 2 und die Pflicht zur Einstellung des Scores im SPRS. Eine Reform Task Force prüft das Programm; die Empfehlungen werden im September 2026 erwartet. Quelle: DoD CIO, CMMC.
Controlled Unclassified Information steckt in technischen Spezifikationen und Beschaffungsunterlagen, oft auch in Forschungsdaten. Wer sie schützt, arbeitet gegen DFARS 252.204-7012 und die 110 Kontrollen aus NIST SP 800-171. Klassische Perimeter-Sicherheit deckt diese Anforderungen nicht ab.
Wirksamer Schutz braucht einen systematischen Ansatz über den gesamten Lebenszyklus: Klassifizierung, Zugriffskontrolle, Übertragungssicherheit und kontinuierliche Überwachung. Dieser Beitrag fasst die Best Practices zusammen, mit denen sich CUI absichern lässt, ohne den Betrieb zu bremsen. Sie gelten unabhängig von der Aussetzung der CMMC-Phase 2, weil die Pflicht aus DFARS und NIST SP 800-171 stammt. [Faktenstand 17.08.2026, Reform-Empfehlungen im September 2026 abwarten]
Das Wichtigste in Kürze
Wirksamer CUI-Schutz verbindet technische Kontrollen, Governance und kontinuierliche Überwachung. Kern sind eine Zero-Trust-Architektur, umfassende Verschlüsselung bei Übertragung und Speicherung sowie manipulationssichere Audit-Trails. Erfolgreiche Organisationen klassifizieren CUI automatisch, pflegen detaillierte Zugriffsmatrizen und binden das Monitoring an bestehende SIEM- und SOAR-Plattformen an. Dieselben Belege tragen die Selbstbewertung und den Score im SPRS.
CUI ist sensibel, aber nicht formal eingestuft. Die saubere Identifizierung beginnt mit den 24 CUI-Kategorien der National Archives and Records Administration, von kontrollierten technischen Informationen über exportkontrollierte Daten bis zu beschaffungssensiblen Informationen. Jede Kategorie bringt eigene Handhabungsanforderungen mit.
Automatisierte Datenerkennung findet sensible Informationen über strukturierte und unstrukturierte Bestände: E-Mail, Dateifreigaben, Datenbanken und Kollaborationsplattformen. Sie sollte sich in bestehende DLP-Systeme einfügen und Klassifizierungsregeln nach Inhalt, Metadaten und Kontext unterstützen. Bei komplexen technischen Dokumenten ergänzt eine Prüfung durch Fachexperten die Automatik.
Zero Trust geht davon aus, dass Bedrohungen innerhalb und außerhalb des Perimeters existieren, und verifiziert jede Anfrage. Identity- und Access-Management bildet das Fundament: Mehrfaktor-Authentifizierung für jeden CUI-Zugriff, ergänzt um bedingte Zugriffsrichtlinien, die Risiko des Nutzers, Geräte-Compliance und Kontext bewerten.
Rollenbasierte Kontrollen (RBAC) allein reichen nicht. Attributbasierte Kontrollen (ABAC) beziehen Datensensibilität, Freigabestufe und Umgebungsfaktoren in die Entscheidung ein. Zugriffsmatrizen dokumentieren, wer welche Datenkategorie mit welchen Operationen nutzen darf, und erleichtern regelmäßige Überprüfungen.
CUI braucht Verschlüsselung bei Speicherung und Übertragung, mit kryptografischen Verfahren, die US-Bundesstandards genügen. Bei ruhenden Daten schützen Festplatten-, Datei- oder Datenbankverschlüsselung, wobei das Schlüsselmanagement über Verfügbarkeit und Schutz entscheidet.
Bei der Übertragung zählt Ende-zu-Ende-Verschlüsselung. Sichere Dateitransferprotokolle ersetzen Standard-FTP und E-Mail-Anhänge, Managed File Transfer ermöglicht den richtlinienkonformen Austausch mit Partnern und Behörden. E-Mail-Sicherheit für CUI verschlüsselt automatisch nach Klassifizierung, verifiziert Empfänger und liefert Audit-Trails für den Nachweis.
CUI-Schutz verlangt eine Überwachung, die unbefugte Zugriffe, Exfiltration und Richtlinienverstöße in Echtzeit erkennt. DLP-Systeme überwachen Netzwerkverkehr, E-Mail und externe Medien, Verhaltensanalysen erkennen anomale Zugriffsmuster, die auf Insider-Bedrohungen hindeuten.
Umfassende Audit-Trails dokumentieren jeden Zugriff, jede Änderung und jede Übertragung manipulationssicher. Wirksam wird das über eine automatisierte Protokollerfassung aus mehreren Werkzeugen, korreliert in einer SIEM-Plattform. Aufbewahrungsrichtlinien wiegen regulatorische Anforderungen gegen Speicherkosten ab.
Der Schutz muss auf Partner und Unterauftragnehmer ausgeweitet werden, sobald sie CUI verarbeiten. Sicherheitsbewertungen prüfen deren Fähigkeiten vor der Auftragsvergabe. Vertragliche Weitergabeklauseln legen Verschlüsselung, Zugriffskontrollen und Meldeverfahren fest, die mit den eigenen Richtlinien übereinstimmen. Gemeinsame Übungen zur Vorfallreaktion testen die Koordination, bevor ein echter Vorfall eintritt.
Was ist CUI?
Controlled Unclassified Information ist sensibel, aber nicht als Verschlusssache eingestuft. Sie umfasst 24 Kategorien, von technischen Informationen bis zu beschaffungssensiblen Daten.
Ändert die Aussetzung der CMMC-Phase 2 etwas am CUI-Schutz?
Nein. Ausgesetzt ist seit dem 13. Juli 2026 die Bewertung durch einen C3PAO. Die Schutzpflichten aus DFARS 252.204-7012 und den 110 Kontrollen der NIST SP 800-171 gelten unverändert, ebenso die Selbstbewertung mit Score im SPRS.
Reicht Verschlüsselung für den CUI-Schutz?
Nein. Verschlüsselung ist notwendig, aber erst zusammen mit Zugriffskontrollen, Klassifizierung, Überwachung und Audit-Trails vollständig.
Wie sichere ich CUI in E-Mail und Dateitransfer?
Über Ende-zu-Ende-Verschlüsselung, Managed File Transfer und E-Mail-Sicherheit, die nach Klassifizierung automatisch schützt und protokolliert.
Muss ich Lieferanten einbeziehen?
Ja. Wer CUI verarbeitet, muss die Schutzanforderungen über Weitergabeklauseln und laufende Bewertungen erfüllen.
Fragmentierte Werkzeuge erzeugen Lücken, die Angreifer nutzen. ISEC7 hilft Verteidigungsunternehmen, den CUI-Schutz über Klassifizierung, Zugriff, Verschlüsselung und Audit in einer stimmigen Architektur zusammenzuführen, abgestimmt auf CMMC und die nationalen Anforderungen. ISEC7 ist selbst kein C3PAO und führt keine Zertifizierungsbewertungen durch.
Für den Schutz über alle Kanäle setzt ISEC7 auf bewährte Technologiepartner. Plattformen wie das Kiteworks Private Content Network liefern daten-bewusste Kontrollen, Ende-zu-Ende-Verschlüsselung und manipulationssichere Audit-Trails und binden sich an bestehende SIEM- und SOAR-Systeme an.
Mehr zum Thema: CMMC 2.0 für Verteidigungszulieferer, Übersicht