Update: Das Department of War hat die CMMC-Phase-2-Anforderungen am 13. Juli 2026 ausgesetzt. Die verpflichtende Bewertung durch einen akkreditierten C3PAO, geplant ab dem 10. November 2026, findet bis auf Weiteres nicht statt. Ebenfalls ausgesetzt ist Phase 3 mit den Bewertungen durch die DIBCAC. Unverändert gelten die Selbstbewertung nach Phase 1, DFARS 252.204-7012, DFARS 252.204-7021 mit jährlicher Affirmation, die 110 Kontrollen aus NIST SP 800-171 Rev. 2 und die Pflicht zur Einstellung des Scores im SPRS. Eine Reform Task Force prüft das Programm; die Empfehlungen werden im September 2026 erwartet. Quelle: DoD CIO, CMMC.
Die CMMC-Anforderungen entscheiden darüber, ob ein deutsches Rüstungsunternehmen im US-Verteidigungsgeschäft mitspielt. Wer mit Controlled Unclassified Information (CUI) arbeitet, muss 110 Sicherheitskontrollen aus NIST SP 800-171 umsetzen, die Umsetzung dokumentieren und einen aktuellen Score im SPRS führen. Ohne diesen Nachweis ist die Angebotsberechtigung gefährdet. Die Bewertung durch einen C3PAO ruht seit dem 13. Juli 2026.
Der Weg dorthin ist kein reines IT-Projekt. Er verlangt automatisierte Überwachung, manipulationssichere Audit-Protokolle und eine Dokumentation, die einer externen Prüfung standhält. Klassische Sicherheitswerkzeuge liefern das oft nur in Bruchstücken.
Dieser Beitrag zeigt, was deutsche Verteidigungsorganisationen konkret vorbereiten müssen und welche Architektur die Nachweisführung trägt, ohne den Betrieb auszubremsen. [Faktenstand 17.08.2026, Reform-Empfehlungen im September 2026 abwarten]
Das Wichtigste in Kürze
Deutsche Rüstungsunternehmen brauchen den dokumentierten CMMC-Nachweis, um sich weiter auf Aufträge des US-Verteidigungsministeriums bewerben zu können. Erforderlich sind die Umsetzung von 110 Kontrollen über 14 Domänen, prüffähige Audit-Trails und ein aktueller Score im SPRS. Die Bestätigung durch einen C3PAO ruht seit dem 13. Juli 2026, die Anforderungen aus DFARS und NIST SP 800-171 gelten unverändert weiter. Erfolgsfaktoren bleiben eine einheitliche Sicht auf alle CUI-Systeme, automatisiertes Compliance-Monitoring und eine Zero-Trust-Architektur, die zugleich die deutschen Anforderungen an die Datensouveränität erfüllt.
CMMC 2.0 definiert Sicherheitsstandards, die deutsche Unternehmen erfüllen müssen, um CUI in US-Verteidigungslieferketten zu verarbeiten. Die Anforderung geht über eine Checkliste hinaus: Verlangt werden nachweisbare, messbare Sicherheitspraktiken, die einer Prüfung standhalten.
Deutsche Organisationen treffen auf die Anforderung meist als Zulieferer von US-Generalunternehmern wie Lockheed Martin oder Raytheon, oder in direkten Ausschreibungen des US-Verteidigungsministeriums. Der Firmensitz spielt keine Rolle. Deutsche Auftragnehmer unterliegen denselben Vorgaben wie ihre US-Wettbewerber.
CMMC 2.0 gliedert die Anforderungen in 14 Domänen, darunter Zugriffskontrolle, Audit und Rechenschaftspflicht, Konfigurationsmanagement, Identifikation und Authentifizierung, Incident Response, System- und Kommunikationsschutz sowie System- und Informationsintegrität. Jede Kontrolle braucht einen konkreten Umsetzungsnachweis, den ein Prüfer verifizieren kann.
Die Zugriffskontrolle verlangt das Prinzip der minimalen Rechte, detaillierte Zugriffsprotokolle und die automatisierte Durchsetzung von Datenregeln. Die Domäne Audit und Rechenschaftspflicht fordert eine lückenlose Protokollierung aller CUI-Systeme, manipulationssicher gespeichert und in Echtzeit überwacht. Viele deutsche Auftragnehmer stoßen hier an Grenzen, weil klassische Perimeter-Sicherheit diese Tiefe nicht liefert.
Die Bewertung durch eine akkreditierte Drittstelle, ein Certified Third-Party Assessment Organization (C3PAO), ist seit dem 13. Juli 2026 ausgesetzt. Ihre Anforderungen bleiben der Maßstab, weil sie aus DFARS 252.204-7012 und NIST SP 800-171 stammen: geprüft werden technische Umsetzung, Richtlinien und operative Verfahren über den gesamten CUI-Lebenszyklus. Eine vorhandene Kontrolle genügt nicht, sie muss im Betrieb wirken.
Die Dokumentation reicht weit über Richtlinientexte hinaus. Verlangt werden technische Spezifikationen, Konfigurationsnachweise, Audit-Protokolle und Belege einer laufenden Überwachung. Viele Unternehmen stellen fest, dass ihre Werkzeuge fragmentierte Protokolle über mehrere Systeme erzeugen, aus denen sich die geforderte einheitliche Dokumentation nur schwer zusammensetzen lässt. Dieselbe Dokumentation trägt heute die Selbstbewertung und den Score im SPRS.
Die größte Hürde ist die vollständige Sicht auf alle Systeme, die CUI verarbeiten. Klassische Architekturen behandeln E-Mail, Filesharing, Managed File Transfer und Webformulare getrennt, jeweils mit eigenem Protokoll. Prüfer erwarten dagegen eine einheitliche Aufsicht, die sensible Datenbewegungen kanalübergreifend in einem korrelierten Audit-Trail nachvollzieht.
Deutsche Organisationen unterliegen oft Vorgaben, die Cloud-Bereitstellungen einschränken oder eine Verarbeitung innerhalb bestimmter geografischer Grenzen verlangen. Diese Vorgaben müssen mit den CMMC-Anforderungen an Überwachung und automatisierte Kontrollen zusammenpassen. Wer zusätzlich NIS2 oder dem IT-Sicherheitsgesetz unterliegt, braucht Lösungen, die mehrere Rahmen gleichzeitig bedienen, ohne sich widersprechende Regeln zu erzeugen.
Die meisten deutschen Rüstungsunternehmen betreiben komplexe Umgebungen mit Microsoft 365, SAP, Active Directory und SIEM-Plattformen wie Splunk oder ArcSight. Die CMMC-Umsetzung muss sich hier einfügen und darf bestehende Abläufe nicht sprengen. In der Praxis liefern vorhandene Werkzeuge oft unvollständige oder verzögerte Protokolle. Die Audit-Logs von Microsoft 365 können zum Beispiel bis zu 72 Stunden Verzug haben und unter Last gedrosselt werden. Das reicht für die geforderte kontinuierliche Überwachung nicht.
Eine tragfähige Umsetzung setzt auf Zero-Trust-Prinzipien: Jede Zugriffsanfrage gilt als potenziell unbefugt, unabhängig von Quelle und Anmeldedaten. Verlangt werden die kontinuierliche Prüfung von Identität, Geräte-Compliance und Datensensibilität, bevor der Zugriff auf CUI freigegeben wird.
Dazu kommen „Assume-Breach“-Prinzipien, die laterale Bewegung zwischen Systemen verhindern, sowie ein automatisiertes Monitoring, das den Umsetzungsstand aller 110 Kontrollen ohne manuelles Zutun nachverfolgt. Das Monitoring sollte Berichte erzeugen, die technische Umsetzungen direkt den CMMC-Anforderungen zuordnen, und eine Verantwortungsmatrix abbilden, die interne und externe Kontrollen klar trennt.
Deutsche Rüstungsunternehmen schützen sensible Daten in Lieferketten, die sich über mehrere Länder und Rechtsräume erstrecken. Programme wie das Future Combat Air System (FCAS) verlangen den sicheren Austausch zwischen deutschen, französischen, britischen und US-amerikanischen Beteiligten mit jeweils eigenen Vorgaben.
Wirksamer Schutz braucht Ende-zu-Ende-Verschlüsselung, lückenlose Audit-Trails und kundenseitig verwaltete Schlüssel, die den Zugriff selbst durch Dienstleister verhindern. Gerade für deutsche Unternehmen ist das wichtig, weil europäische Datenschutzanforderungen die Verarbeitung durch nicht-europäische Stellen einschränken. Die Protokollierung muss zudem Exportkontrolle und Technologietransfer belegen, also nicht nur wer zugegriffen hat, sondern auch mit welcher Berechtigung.
Wo fange ich mit der CMMC-Vorbereitung an?
Mit einer Gap-Analyse: einer vollständigen Inventarisierung aller Systeme, die CUI verarbeiten, speichern oder übertragen, und dem Abgleich der bestehenden Kontrollen gegen die 110 Anforderungen.
Wie lange dauert der Aufbau der Nachweislage?
Realistisch 12 bis 18 Monate. Ein C3PAO erwartete bislang operative Nachweise über diesen Zeitraum, nicht nur eine Momentaufnahme. Diese Vorlaufzeit entsteht unabhängig davon, wann die Bewertung wieder anläuft.
Reicht Microsoft 365 für die geforderten Audit-Trails?
Häufig nicht ohne Ergänzung. Protokollverzögerungen und Lücken über getrennte Systeme erschweren den Nachweis der kontinuierlichen Überwachung.
Hilft CMMC auch bei NIS2?
Ja. Technische Kontrollen aus NIST SP 800-171 überschneiden sich mit NIS2 und BSI-Grundschutz, sodass sich eine einheitliche Umsetzung mehrfach auszahlt.
CMMC ist ein Programm aus Gap-Analyse, technischer Umsetzung, Dokumentation und Bewertungsvorbereitung. ISEC7 begleitet deutsche Verteidigungsunternehmen über den gesamten Weg: von der Bestandsaufnahme über die Umsetzung der NIST-SP-800-171-Kontrollen bis zur prüffähigen Dokumentation für die Selbstbewertung und eine spätere C3PAO-Bewertung. ISEC7 ist selbst kein C3PAO und führt keine Zertifizierungsbewertungen durch.
Für den CUI-Schutz über alle Kanäle setzt ISEC7 auf bewährte Technologiepartner. Plattformen wie das Kiteworks Private Content Network bündeln sicheren Dateitransfer, verschlüsselte E-Mail, Managed File Transfer und Webformulare und liefern einen einheitlichen, manipulationssicheren Audit-Trail für die Nachweisführung.
Mehr zum Thema: CMMC 2.0 für Verteidigungszulieferer, Übersicht