Jahrelang galt eine Schwachstelle in Ihrer Kryptografie als interner Befund. Nach CMMC 2.0 kann dies bereits zum Ausschluss eines Angebots führen, noch bevor es überhaupt geprüft wird. Der Status der „Cybersecurity Maturity Model Certification“ ist nun eine Voraussetzung für die Vergabe eines Auftrags, und ein Auftragsbeauftragter kann Ihren aktuellen Status verlangen, bevor er ein Angebot überhaupt bewertet.
Diese Veränderung trifft „ software “- und SaaS-Anbieter besonders hart. „Controlled Unclassified Information“ (CUI) verbleibt nicht in der Infrastruktur. Sie durchläuft Anwendungsschichten, wird in Ihren Datenspeichern abgelegt und wird über Ihre APIs übertragen. Dadurch fallen kryptografische Kontrollmaßnahmen in den Geltungsbereich der „ software “ selbst, nicht nur der darunterliegenden Server.
In diesem Artikel wird erläutert, welche Anforderungen CMMC 2.0 stellt, warum die Kryptografie für die meisten Anbieter die größte Herausforderung darstellt und wie man sich optimal auf eine Bewertung vorbereitet, um die entsprechenden Anforderungen nachweisen zu können.
Stand August 2026: Die Anforderungen an die Selbstbewertung der Phase 1, DFARS 252.204-7012, die SPRS-Bewertung und die jährlichen Bestätigungen bleiben in Kraft. Der für den 10. November 2026 geplante Übergang zu der obligatorischen C3PAO-Zertifizierung in Phase 2 wurde am 13. Juli 2026 zusammen mit den nachfolgenden Phasen bis zur Überprüfung durch die CMMC-Reform-Taskforce ausgesetzt. Die Programmvorschrift gemäß 32 CFR Teil 170 und die DFARS-Klauseln wurden nicht aufgehoben.
Was CMMC 2.0 ist und warum es die Regeln verändert hat
CMMC 2.0 ist das mehrstufige Verifizierungsprogramm des Verteidigungsministeriums, das auf NIST SP 800-171, Revision 2, aufbaut. Revision 3 wurde zwar im Jahr 2024 veröffentlicht, doch da die Programmvorschriften durch Verweis auf Revision 2 Bezug nehmen, wird Revision 2 bei der Bewertung herangezogen. Damit werden Sicherheitsanforderungen, die bisher auf einer Selbstauskunft beruhten, zu einer verifizierten Voraussetzung für die Geschäftstätigkeit. Eine verifizierte Umsetzung ist nun eine Voraussetzung für die Auftragsvergabe und nicht mehr nur ein Versprechen auf dem Papier.
Die Vorschrift ist verbindlich und an einen Zeitplan gebunden. Die endgültige DFARS-Vorschrift (Klausel 252.204-7021) trat am 10. November 2025 in Kraft und leitete damit Phase 1 einer vierstufigen, dreijährigen Einführungsphase ein, die im November 2028 mit der vollständigen Umsetzung enden sollte. Dieser Zeitplan ist nun nach Phase 1 ausgesetzt. Der schrittweise Ansatz soll der Verteidigungsindustrie Zeit für die Zertifizierung geben, doch die Richtung ist festgelegt.
Drei Stufen legen fest, was Sie nachweisen müssen:
- Stufe 1: Schützt Informationen zu Bundesaufträgen (FCI) durch eine Selbstbewertung anhand von 15 Maßnahmen.
- Stufe 2: Schützt CUI gemäß allen 110 Kontrollmaßnahmen der NIST SP 800-171. Es gibt zwei Wege: die Selbstbewertung, Stufe 2 (Self), und die C3PAO-Zertifizierung, Stufe 2 (C3PAO); beide erfolgen in einem Dreijahreszyklus mit jährlicher Bestätigung. Die Zertifizierung sollte in Phase 2 zum Standard werden; da Phase 2 ausgesetzt wurde, ist die Selbstbewertung vorerst der maßgebliche Weg.“
- Stufe 3: Fügt 24 erweiterte Anforderungen hinzu, die aus NIST SP 800-172 stammen.
Das Ausmaß ist beträchtlich. Das Verteidigungsministerium schätzt, dass weit über 80.000 Auftragnehmer und Subunternehmer eine Zertifizierung der Stufe 2 oder 3 benötigen werden. Wenn Sie „ software “ in die Verteidigungslieferkette liefern, ist die Wahrscheinlichkeit hoch, dass dies auch auf Sie zutrifft.
Warum die Kryptografie der schwierigste Teil von §3.13 ist
Die Produktfamilie „System- und Kommunikationsschutz“ (§3.13) gehört für Anbieter von „ software “-Lösungen durchweg zu den schwierigsten, die es zu bestehen gilt. Der Grund dafür ist eine Unterscheidung, die zwar wie eine semantische Spitzfindigkeit klingt, aber entscheidend für das Ergebnis ist.
Die Prüfer unterscheiden zwischen einem Algorithmus, der lediglich FIPS-konform ist, und einem kryptografischen Modul, das im Rahmen des Cryptographic Module Validation Program (CMVP) formal FIPS-validiert wurde. „Konform“ bedeutet, dass Sie einen zugelassenen Algorithmus verwendet haben. „Validiert“ bedeutet, dass ein akkreditiertes Labor das jeweilige Modul getestet hat und das CMVP dafür ein Zertifikat ausgestellt hat.
Hier liegt der Haken. Ein Anbieter, der seine eigene Verschlüsselung unter Verwendung zugelassener Algorithmen entwickelt hat, ohne das Modul selbst zu validieren, besteht die Prüfung nicht. Die Stärke der Implementierung hilft ihm dabei nicht weiter. „Wir verwenden AES-256“ ist kein Nachweis für die Einhaltung der Vorschriften. Eine Zertifikatsnummer ist der Anfang der Antwort. Vier Dinge müssen übereinstimmen: Das Zertifikat ist aktiv und nicht „historisch“ (siehe weiter unten im Artikel); die validierte Version stimmt mit der von Ihnen eingesetzten Version überein; Ihre Plattform befindet sich innerhalb der im Zertifikat getesteten Betriebsumgebung; und das Modul läuft tatsächlich im FIPS-zugelassenen Modus. FIPS-Fähigkeit in der Standardkonfiguration ist der häufigste Grund, warum ein Anbieter mit einem echten Zertifikat dennoch durchfällt.
Wie sich CMMC 2.0 auf kryptografische Kontrollmaßnahmen abbildet
Dies ist der zentrale Referenzabschnitt. Bei den unten aufgeführten Kontrollmaßnahmen stellen software und Cloud-Anbieter am häufigsten Lücken fest; behandeln Sie daher jede einzelne als einen Punkt, für den Sie Belege vorlegen müssen.
FIPS-validierte Kryptografie (§3.13.11)
Stellen Sie Zertifikate aus und verwalten Sie diese, die auf gemäß FIPS 140-2 oder 140-3 validierten kryptografischen Modulen basieren – überall dort, wo Sie die Vertraulichkeit von CUI gewährleisten. Die Validierung bezieht sich auf eine bestimmte Modulversion, die im zugelassenen Modus ausgeführt wird, nicht auf den Algorithmus. Daher sagt die Angabe „unterstützt AES-256“ für sich genommen nichts aus. Eine CMVP-Zertifikatsnummer hingegen schon.
Einrichtung und Verwaltung kryptografischer Schlüssel (§3.13.10)
Dokumentieren Sie, wie Schlüssel über Ihre CUI-Grenze hinweg generiert, verteilt, gespeichert und vernichtet werden. Dies umfasst auch die Schlüssel auf Anwendungsebene, die sich in Ihrer „ software “ befinden, und nicht nur die Schlüssel, die von Ihrem Infrastrukturteam verwaltet werden.
Vertraulichkeit bei der Übertragung und im Ruhezustand (§3.13.8, §3.13.16)
Schützen Sie vertrauliche Informationen (CUI) während der Übertragung durch eine zertifikatsgestützte „ TLS “-Verschlüsselung. Schützen Sie vertrauliche Informationen (CUI) im Ruhezustand mit PKI-ausgestellten Schlüsseln, unabhängig davon, wo Ihre „ software “ diese speichert – einschließlich Datenbanken, Caches und Objektspeichern.
Geräte- und Benutzerauthentifizierung (§3.5.1 bis §3.5.4)
Ersetzen Sie gemeinsam genutzte Passwörter durch eine zertifikatsbasierte Authentifizierung für den Zugriff auf Anwendungen und Dienste, die mit CUI arbeiten. Verwenden Sie eine gegen Wiederholungsangriffe geschützte Authentifizierung für den Netzwerkzugriff sowohl auf privilegierte als auch auf nicht privilegierte Konten.
Vertraulichkeit von Fernzugriffssitzungen (§3.1.13)
Setzen Sie kryptografische Mechanismen ein, um die Vertraulichkeit von Fernzugriffssitzungen zu gewährleisten. Die Position des NIST zu dieser Anforderung verweist direkt auf FIPS-validierte oder von der NSA genehmigte Kryptografie, was bedeutet, dass 3.13.11 damit einhergeht. In der Praxis bedeutet dies ein gegenseitig authentifiziertes, zertifikatsgestütztes VPN oder ein gleichwertiges Verfahren für den administrativen Zugriff auf Ihre in der Cloud gehostete software. Bestandsaufnahme der kryptografischen Ressourcen als Nachweis für die Bewertung
Führen Sie ein Verzeichnis der kryptografischen Algorithmen und Bibliotheken, die in Ihrem „ software “ integriert sind. Dieses Verzeichnis dient als Grundlage für Ihren Systemsicherheitsplan (SSP) sowie für den Aktionsplan mit Meilensteinen (POA&M) im Rahmen der C3PAO-Prüfung.
Vorbereitung auf die Beurteilung: Was ein C3PAO tatsächlich prüfen wird
Eine Level-2-Prüfung ist eine Aufgabe, bei der es um den Nachweis von Lerninhalten geht. Die folgenden Fragen spiegeln wider, was ein Prüfer durchgeht, und sind so gestaltet, dass die Antwort an erster Stelle steht, damit Sie Ihre Leistung schnell selbst bewerten können.
- Nachweis der FIPS-Validierung: Können Sie nachweisen, dass die Module zum Schutz von CUI, einschließlich derjenigen auf Ihrer eigenen Website software, formal validiert sind?
- Wichtige Unterlagen zur Schlüsselverwaltung: Sind die Verfahren zur Erstellung, Verteilung, Aufbewahrung und Vernichtung gemäß § 3.13.10 dokumentiert und werden sie eingehalten?
- Verschlüsselung von CUI-Daten an Grenzen: Werden CUI-Daten im Ruhezustand und während der Übertragung über alle Grenzen hinweg verschlüsselt, einschließlich der Datenspeicher und Cloud-Umgebungen Ihrer „ software“?
- Nachweis der Geräte- und Benutzerauthentifizierung: Werden für Systeme, die CUI verarbeiten, eindeutige, zertifikatsbasierte Anmeldedaten anstelle von gemeinsam genutzten Passwörtern verwendet?
- Genauigkeit von SSP und POA&M: Spiegelt der SSP die implementierten Kontrollmaßnahmen wider, wobei Lücken in einem aktuellen Aktionsplan und Meilensteinplan erfasst werden?
- Bewertungsfähiges Nachweispaket: Sind Ihre Nachweise aktuell genug, um einer vollständigen Bewertung der Stufe 2 für alle 110 Kontrollpunkte standzuhalten?
Sollte eine Antwort „noch nicht“ lauten, gehört diese Lücke noch heute in Ihren POA&M und nicht erst während der Bewertung in den Raum.
Die Auslaufphase von FIPS 140-2 – ein Thema, das jeder Anbieter im Auge behalten sollte
Eine Frist verdient jetzt Ihre besondere Aufmerksamkeit. Am 21. September 2026 werden die verbleibenden aktiven FIPS-140-2-Zertifikate in die „CMVP Historical List“ übernommen – ein Status, den Bundesbehörden bei neuen Beschaffungen nicht mehr berücksichtigen sollten. Das CMVP hat bereits 2022 die Annahme neuer FIPS-140-2-Anträge eingestellt, sodass sich dieser Übergang bereits seit Jahren abzeichnet.
In der Praxis kommt es auf den Zeitplan an. Die Validierung eines neuen FIPS-140-3-Moduls dauert zwischen 18 und 30 Monaten. Ein Anbieter ohne aktuelles Zertifikat läuft Gefahr, während der laufenden Validierung von neuen Aufträgen der Bundesbehörden ausgeschlossen zu werden. Man kann diesen Prozess nicht erst im Quartal vor einer Bewertung beginnen.
Stellen Sie einen direkten Zusammenhang zur CMMC-Bereitschaft her. Ermitteln Sie, welche eingesetzten Module auf 140-2 bzw. 140-3 basieren, und dokumentieren Sie dann jetzt einen Migrationsplan.
Wie Keyfactor helfen Keyfactor
Keyfactor entspricht direkt den oben genannten kryptografischen Kontrollmaßnahmen des CMMC, sodass Sie Nachweise vorlegen können, anstatt mühsam danach suchen zu müssen.
- Bestandsaufnahme der kryptografischen Vermögenswerte (AgileSec): Erfassen und inventarisieren Sie die in Ihrer „ software “ eingebetteten Algorithmen und Bibliotheken für SSP- und POA&M-Nachweise.
- FIPS-validierte PKI (EJBCA): Ausstellung von Zertifikaten und Verwaltung von Schlüsseln über Zertifizierungsstellen und HSMs, die auf FIPS 140-3-validierten Modulen basieren, gemäß § 3.13.11.
- Signierte Build- und Release-Artefakte (SignServer und Signum): Signieren Sie Container-Images, Build-Artefakte und Patches, die innerhalb der Autorisierungsgrenze bereitgestellt werden.
- Bouncy Castle: Ein nach FIPS 140-3 validiertes Kryptografiemodul für die Kryptografie auf Anwendungsebene.
- Verwaltung des Schlüssellebenszyklus (Keyfactor Command): Zentralisierung der dokumentierten Schlüsselgenerierung, -verteilung und -vernichtung in Verbindung mit einem validierten Modul gemäß §3.13.10.
Die Schlussfolgerung für Führungskräfte ist einfach: Durch die Zusammenführung von Zertifikaten, Schlüsseln und Signaturvorgängen in einem einzigen Referenzsystem lassen sich CMMC-Nachweise schneller erstellen und gegenüber einem Prüfer einheitlich präsentieren.
Wo soll ich anfangen?
Beginnen Sie mit der Transparenz und gehen Sie dann zur Kontrolle über. Die praktischen ersten Schritte sind genau diejenigen, die jede spätere Bewertung erleichtern:
- Verschaffen Sie sich einen Überblick über kryptografische Assets in Ihrer gesamten Codebasis und in Ihren ausgelieferten Produkten.
- Bewerten Sie diese Ressourcen anhand der Anforderungen von NIST SP 800-171, Revision 2, und FIPS.
- Automatisieren Sie den Lebenszyklus von Zertifikaten und Schlüsseln, damit die Nachweise von selbst auf dem neuesten Stand bleiben.
- Planen Sie die Vorbereitung auf die Post-Quanten-Ära bereits jetzt, während Sie Ihre Kryptografie modernisieren.
CMMC ist keine einmalige Hürde. Es belohnt Anbieter, die Kryptografie als verwaltete Infrastruktur betrachten, und bestraft diejenigen, die sie als Nebensache behandeln. Demo anfordern
Haben Sie Fragen zu CMMC 2.0? Wir haben die Antworten.
Ist die CMMC 2.0-Zertifizierung wirklich erforderlich, um Aufträge des Verteidigungsministeriums (DoD) zu erhalten?
Gemäß der am 10. November 2025 in Kraft getretenen endgültigen DFARS-Verordnung ist der CMMC-Status eine Voraussetzung für die Vergabe eines Auftrags. Ein Vertragsbeauftragter kann Ihren aktuellen Status verlangen, bevor er ein Angebot prüft. Da Phase 2 derzeit jedoch ausgesetzt ist, wurde die Zertifizierung durch Dritte bis zur Überprüfung vorläufig eingestellt.
Was ist der Unterschied zwischen „FIPS-konform“ und „FIPS-validiert“?
„FIPS-konform“ bedeutet, dass Sie einen zugelassenen Algorithmus verwendet haben. „FIPS-validiert“ bedeutet, dass ein akkreditiertes Labor ein bestimmtes kryptografisches Modul getestet hat und das CMVP ein Zertifikat ausgestellt hat. CMMC-Prüfer verlangen eine Validierung, nicht nur die Konformität.
Welches CMMC-Niveau gilt für „ software “ und Cloud-Anbieter, die mit CUI umgehen?
Anbieter, die mit CUI umgehen, benötigen in der Regel Niveau 2, das alle 110 Kontrollmaßnahmen gemäß NIST SP 800-171 erfordert und normalerweise alle drei Jahre von einer C3PAO überprüft wird. Niveau 1 gilt ausschließlich für „Federal Contract Information“.
Warum ist die Kryptografie (§3.13) so schwer zu bestehen?
Die Kategorie „System- und Kommunikationsschutz“ verlangt formal validierte Module und keine selbst entwickelten Verschlüsselungsverfahren, die auf zugelassenen Algorithmen basieren. Ein Anbieter, der zwar den Algorithmus, aber nicht das Modul validiert hat, besteht die Prüfung nicht, unabhängig von der Stärke der Implementierung.
Was passiert am 21. September 2026?
Die verbleibenden aktiven FIPS-140-2-Zertifikate werden in die historische Liste des CMVP übernommen. Da die Validierung eines Ersatzmoduls nach FIPS 140-3 zwischen 18 und 30 Monaten dauert, sollten Anbieter betroffene Module identifizieren und die Migration bereits jetzt planen.
Gilt das CMMC auch für Schlüssel innerhalb meiner Anwendung und nicht nur für meine Infrastruktur?
Ja. CUI durchläuft verschiedene Anwendungsebenen, daher regelt §3.13.10 die Schlüsselerzeugung, -verteilung, -speicherung und -vernichtung für Schlüssel auf Anwendungsebene innerhalb der „ software “ selbst und nicht nur für Infrastrukturschlüssel.
Welche Nachweise wird eine C3PAO verlangen?
Rechnen Sie mit Anfragen nach FIPS-Validierungszertifikaten, dokumentierten Verfahren zur Schlüsselverwaltung, Nachweisen für die Verschlüsselung im Ruhezustand und während der Übertragung, Aufzeichnungen zur zertifikatsbasierten Authentifizierung sowie einem aktuellen SSP mit einem entsprechenden POA&M.
Wie kann „ Keyfactor “ bei der Vorbereitung auf die CMMC-Zertifizierung helfen?
„Keyfactor “ bietet eine nach FIPS 140-3 validierte PKI, ein zentralisiertes Schlüssellebenszyklusmanagement, eine Bestandsaufnahme kryptografischer Ressourcen sowie Signaturfunktionen für Build-Artefakte. Zusammen ermöglichen sie es Ihnen, Nachweise für die Bewertung aus einem einzigen System zu erstellen.
