Aktualisiert am 17.08.2026: Das Department of War hat die CMMC-Phase-2-Anforderungen am 13. Juli 2026 ausgesetzt. Die verpflichtende Bewertung durch einen akkreditierten C3PAO, geplant ab dem 10. November 2026, findet bis auf Weiteres nicht statt. Ebenfalls ausgesetzt ist Phase 3 mit den Bewertungen durch die DIBCAC. Unverändert gelten die Selbstbewertung nach Phase 1, DFARS 252.204-7012, DFARS 252.204-7021 mit jährlicher Affirmation, die 110 Kontrollen aus NIST SP 800-171 Rev. 2 und die Pflicht zur Einstellung des Scores im SPRS. Eine Reform Task Force prüft das Programm; die Empfehlungen werden im September 2026 erwartet. Quelle: DoD CIO, CMMC.
Für deutsche Unternehmen der Verteidigungselektronik reicht Standardverschlüsselung nicht mehr, um Controlled Unclassified Information (CUI) in der E-Mail-Kommunikation zu schützen. Die Zusammenarbeit mit US-Verteidigungspartnern verlangt lückenlose Audit-Trails, automatisierte Richtliniendurchsetzung und detaillierte Compliance-Dokumentation für jeden CUI-Austausch.
Klassische E-Mail-Sicherheit erfüllt das nicht. Gefragt ist eine Architektur, die CUI automatisch erkennt, schützt und prüffähig protokolliert, ohne die Zusammenarbeit in internationalen Lieferketten auszubremsen. Diese Anforderungen stammen aus DFARS 252.204-7012 und NIST SP 800-171 und sind von der Aussetzung der CMMC-Phase 2 nicht betroffen. Dieser Beitrag zeigt, worauf es dabei ankommt. [Faktenstand 17.08.2026, Reform-Empfehlungen im September 2026 abwarten]
Das Wichtigste in Kürze
Deutsche Verteidigungselektronik-Unternehmen brauchen eine E-Mail-Sicherheit, die CUI automatisch klassifiziert, schützt und prüft. Standardverschlüsselung liefert weder die geforderten Audit-Trails noch die automatisierte Richtliniendurchsetzung. Nötig sind integrierte Plattformen mit Zero-Trust-Prinzipien, manipulationssicheren Protokollen und automatisiertem Compliance-Mapping, das mehrere Rahmen gleichzeitig bedient. Dieselben Protokolle tragen die Selbstbewertung und den Score im SPRS.
CUI umfasst technische Zeichnungen, Leistungsspezifikationen und Programm-Management-Kommunikation. Diese Informationen sind nicht als Verschlusssache eingestuft, ihre unbefugte Offenlegung gefährdet aber nationale Sicherheitsinteressen. Der regulatorische Rahmen verlangt beides: die Verhinderung unbefugten Zugriffs und die detaillierte Dokumentation jeder CUI-Interaktion über Zugriffskontrollen, Übertragungsbeschränkungen und Aufbewahrung hinweg.
Auf manuelle Identifizierung können sich Unternehmen bei technischem Schriftverkehr nicht verlassen. Automatisierte Klassifizierung erkennt CUI über Inhaltsanalyse, Absendermerkmale und Projektzuordnung. Die Richtliniendurchsetzung versieht CUI-Mails ohne Zutun des Absenders mit der passenden Verschlüsselung, den richtigen Zugriffskontrollen und Aufbewahrungsregeln. Das verhindert menschliche Fehler und hält zugleich das Tempo, das zeitkritische Programme verlangen. Das System sollte sich in bestehende Engineering-Workflows einfügen und E-Mails automatisch nach Projektcodes oder Empfängerdomänen kennzeichnen.
Zero-Trust-E-Mail behandelt jede Nachricht als potenziell kompromittiert und prüft Absenderidentität, Empfängerautorisierung und Inhaltsklassifizierung vor der Übertragung. Der Prozess läuft im normalen Arbeitsablauf mit und protokolliert jede Autorisierungsentscheidung.
Die Verschlüsselung schützt CUI bei Übertragung und Speicherung und bleibt zugleich mit Standard-E-Mail-Clients kompatibel. Kritisch wird das Schlüsselmanagement, wenn autorisiertes Personal in mehreren Organisationen und Rechtsräumen zugreift. Nötig ist eine kryptografische Trennung zwischen Projekten und Sicherheitsdomänen bei effizienter Schlüsselrotation. Kundenseitig verwaltete Schlüssel wahren dabei die Datensouveränität.
Deutsche Unternehmen brauchen Audit-Trails, die jeden Aspekt der CUI-Handhabung dokumentieren, manipulationssicher und sofort verfügbar. Sie belegen sowohl deutsche Datenschutzanforderungen als auch internationale Verteidigungsvereinbarungen und binden sich in übergeordnete SIEM-Systeme ein.
Automatisiertes Compliance-Reporting übersetzt technische Sicherheitskennzahlen in eine Sprache, die für Behörden und Geschäftsleitung geeignet ist, und deckt mehrere Rahmen gleichzeitig ab: deutsche Anforderungen und US-Verteidigungsvorgaben. Echtzeit-Dashboards heben potenzielle Probleme hervor, bevor sie die regulatorische Stellung gefährden.
Warum reicht E-Mail-Verschlüsselung allein nicht?
Weil CMMC lückenlose Audit-Trails, automatisierte Richtliniendurchsetzung und Compliance-Dokumentation für jeden CUI-Austausch verlangt, nicht nur Vertraulichkeit.
Ändert die Aussetzung der CMMC-Phase 2 etwas an diesen Anforderungen?
Nein. Ausgesetzt ist seit dem 13. Juli 2026 die Bewertung durch einen C3PAO. Die Pflichten aus DFARS 252.204-7012 und NIST SP 800-171 gelten unverändert, ebenso die Selbstbewertung mit Score im SPRS.
Wie wird CUI in E-Mails erkannt?
Über automatisierte Klassifizierung anhand von Inhaltsanalyse, Absendermerkmalen und Projektzuordnung, ergänzt um Fachprüfung bei komplexen Dokumenten.
Was bedeutet Zero Trust für E-Mail?
Jede Nachricht gilt als potenziell kompromittiert. Absender, Empfänger und Inhalt werden vor der Übertragung geprüft und protokolliert.
Wie bleibt die Datensouveränität gewahrt?
Über kundenseitig verwaltete Schlüssel und flexible Bereitstellung, sodass sensible Daten die gewünschte Jurisdiktion nicht verlassen.
ISEC7 hilft deutschen Verteidigungselektronik-Unternehmen, die E-Mail-Sicherheit von reaktivem Schutz zu einer proaktiven Governance sensibler Informationsflüsse weiterzuentwickeln, abgestimmt auf CMMC und die nationalen Anforderungen. ISEC7 ist selbst kein C3PAO und führt keine Zertifizierungsbewertungen durch.
Für den CUI-Schutz über alle Kanäle setzt ISEC7 auf bewährte Technologiepartner. Plattformen wie das Kiteworks Private Content Network ermöglichen automatische Klassifizierung, Richtliniendurchsetzung und manipulationssichere Audit-Trails, binden sich in bestehende E-Mail-Infrastrukturen ein und unterstützen kundenseitige Schlüssel.
Mehr zum Thema: CMMC 2.0 für Verteidigungszulieferer, Übersicht