Ihr DSPM zeigt Ihnen, wo Ihre CUI gespeichert ist. Warum scheitern Sie trotzdem an der CMMC?

Organisationen der Defense Industrial Base investieren sechs- bis siebenstellige Beträge in Data Security Posture Management (DSPM)-Tools. Diese Tools erfüllen exakt ihren Zweck: Sie scannen Fileshares, Cloud-Speicher, Datenbanken und SaaS-Anwendungen, um Controlled Unclassified Information (CUI) zu identifizieren, die im gesamten Unternehmen verteilt ist.

Die Dashboards machen sich gut in Vorstandssitzungen. Die Gap-Reports sind umfassend. Die Risikobewertungen sind farblich codiert und angemessen alarmierend.

Es gibt nur ein Problem: Die Erkennung schützt nichts.

5 wichtige Erkenntnisse

1. DSPM löst das Erkennungsproblem, nicht das Schutzproblem. DSPM-Plattformen sind hervorragend darin, Fileshares, Cloud-Speicher, Datenbanken und SaaS-Anwendungen zu scannen, um CUI zu lokalisieren. Sie zeigen, wo CUI gespeichert ist, wer darauf zugreifen kann und ob bestehende Kontrollen ausreichen. Aber Erkennung ist nur die erste Hälfte der CMMC 2.0-Compliance. DSPM-Tools bieten weder ein sicheres Enklave, FIPS 140-3-validierte Verschlüsselung noch gesteuerte Kommunikationskanäle, die Prüfer fordern. CUI zu finden und CUI zu schützen sind zwei grundlegend verschiedene Disziplinen.
2. Externe Zusammenarbeit ist DSPMs blinder Fleck. DIB-Organisationen teilen CUI täglich mit Hauptauftragnehmern, Subunternehmern und Regierungsbehörden. DSPM-Tools konzentrieren sich auf interne Repositories. Sie bieten keinen Mechanismus, um zu steuern, wie CUI organisationsübergreifend weitergegeben wird – wer sie erhält, über welchen Kanal, unter welcher Verschlüsselung oder mit welchem Audit-Trail. Für Unternehmen, deren Geschäft von kontrolliertem Datenaustausch über Lieferketten hinweg abhängt, ist dies die kritischste Lücke in ihrer Compliance-Strategie.
3. Erkennung im Nachhinein ist keine Prävention. DSPM warnt, wenn CUI falsch gehandhabt wird – nachdem der Verstoß bereits passiert ist. CMMC-Prüfer wollen Kontrollen sehen, die unautorisierten Zugriff und Übertragung am Punkt des Datenaustauschs verhindern. Ein Benachrichtigungssystem, das Verstöße meldet, ist nicht dasselbe wie eine Plattform, die sie verhindert.
4. Das „Better Together“-Modell gewinnt an Bedeutung. Führende DSPM-Anbieter und Enforcement-Plattformen gehen strategische Partnerschaften ein, die Datenerkennung mit automatisierter Richtliniendurchsetzung verbinden. Diese Integrationen nutzen Klassifizierungslabels, um in Echtzeit Kontrollen auszulösen – Verschlüsselung, Zugriffsbeschränkungen, zeitlich begrenztes Teilen – wann immer sensible Daten extern übertragen werden. Die Unternehmen, die am schnellsten auf die CMMC-Zertifizierung zusteuern, implementieren beide Fähigkeiten als parallele Workstreams.
5. DSPM ist die Assessment-Schicht; Sie benötigen trotzdem eine Schutzschicht. Der vollständige CMMC-Technologiestack umfasst Assessment (DSPM), Schutz (sichere CUI-Enklave und gesteuerte Kommunikation), Infrastruktur (EDR, Firewalls, SIEM), Identität (MFA, Privileged Access Management) und Governance (GRC-Plattformen). DSPM bildet eine Schicht. Für die Zertifizierung sind alle erforderlich.

Die unbequeme Wahrheit über DSPM und CMMC 2.0

DSPM-Plattformen sind gut in dem, was sie tun. Sie finden CUI, von deren Existenz Sie nichts wussten. Sie markieren inaktive Konten mit Zugriff auf sensible Daten. Sie identifizieren schleichende Rechteausweitung, die sich über Jahre aufgebaut hat. Sie kartieren Datenflüsse und zeigen Compliance-Lücken im Vergleich zu CMMC Level 2-Praktiken auf.

Das ist wichtig. Sie können keine Daten schützen, die Sie nicht gefunden haben. Doch hier bricht die Logik: Daten zu finden und sie zu sichern, sind zwei völlig verschiedene Disziplinen.

Ein DSPM-Scan kann CUI in einem nicht genehmigten SharePoint-Ordner aufdecken, der mit einer „Jeder“-Gruppe geteilt wird – ohne jegliche Verschlüsselung. Nützliche Information. Aber das DSPM-Tool kann diese Daten nicht in eine gehärtete Umgebung verschieben, sie mit FIPS 140-3-validierter Kryptografie verschlüsseln, Least-Privilege-Zugriff durchsetzen oder den unveränderbaren Audit-Trail erzeugen, den ein CMMC-Prüfer verlangt.

DSPM diagnostiziert. Es behandelt nicht.

Diese Unterscheidung ist wichtiger, als die meisten DIB-Organisationen erkennen. CMMC 2.0 Level 2 verlangt nachweisbaren Schutz von CUI über 110 Sicherheitspraktiken gemäß NIST SP 800-171. Erkennung und Klassifizierung decken nur einen Bruchteil dieser Praktiken ab. Die Mehrheit – insbesondere in den Bereichen Access Control, Audit and Accountability sowie System and Communications Protection – erfordert aktive Durchsetzung: Verschlüsselung im ruhenden Zustand und während der Übertragung, gesteuerte Datenflüsse, unveränderliches Logging und Least-Privilege-Zugriffssteuerung am Punkt des Datenaustauschs.

Kein DSPM-Tool am Markt bietet diese Durchsetzungsschicht. Und keine noch so ausgefeilte Erkennung ändert diese grundlegende Einschränkung.

Was DSPM tatsächlich gut kann

Bevor wir auf die Lücken eingehen, lohnt sich ein genauer Blick auf die Stärken von DSPM. Diese Fähigkeiten sind real und relevant für die CMMC-Vorbereitung.

CUI-Erkennung und Klassifizierung. DSPM-Plattformen scannen On-Premises-Fileshares, Cloud-Speicher, Datenbanken und SaaS-Anwendungen, um CUI zu lokalisieren. Sie zeigen, wo sie gespeichert ist, wer Zugriff hat und ob der bestehende Schutz die Mindestanforderungen erfüllt. Für Organisationen, die ihr CUI noch nie inventarisiert haben – also die meisten –, ist dies der essenzielle erste Schritt.

Zugriffsrisiko-Bewertung. Diese Tools identifizieren übermäßig exponierte CUI: Dateien, die mit großen Gruppen geteilt werden, inaktive Konten mit Zugriffsrechten, Berechtigungen, die sich über Jahre angesammelt haben. Das Ergebnis ist eine risikoorientierte Übersicht, wer auf sensible Daten zugreifen kann – und ob er es sollte.

Compliance-Gap-Analyse. DSPM-Plattformen vergleichen gefundene Daten mit CMMC 2.0-Praktiken. Sie erstellen Gap-Reports, priorisieren Maßnahmen nach Risiko und Compliance-Auswirkung und verfolgen den Fortschritt bis zur Zertifizierungsreife. Diese Berichte sind in der frühen CMMC-Phase tatsächlich hilfreich.

Kontinuierliches Monitoring. Nach der Implementierung alarmieren DSPM-Tools bei neuen CUI-Repositories außerhalb genehmigter Systeme, erkennen Richtlinienverstöße wie CUI in nicht genehmigten Cloud-Diensten und überwachen Konfigurationsabweichungen, die zu Compliance-Lücken führen könnten.

All das ist wertvoll. Aber nichts davon ist ausreichend.

Drei Schmerzpunkte, die die DSPM-plus-Schutz-Diskussion antreiben

Organisationen auf dem Weg zur CMMC 2.0-Zertifizierung stoßen auf dieselben Hürden – und das Muster ist vorhersehbar.

CUI ist überall, aber niemand übernimmt die Bereinigung. DSPM-Scans zeigen CUI in Dutzenden – manchmal Hunderten – von Repositories in E-Mails, Fileshares, Cloud-Speichern und Kollaborationsplattformen. Die Security-Teams haben jetzt eine vollständige Problemübersicht. Was fehlt, ist ein gesteuertes Ziel: eine sichere Enklave, die speziell für die Speicherung und Übertragung von CUI entwickelt wurde. Ohne diese werden die Gap-Reports immer länger. Jeder Quartals-Scan bringt mehr CUI in mehr nicht genehmigten Speicherorten ans Licht, und der Maßnahmenstau wächst, weil es keinen klar definierten „richtigen“ Ort gibt, an den die Daten verschoben werden können.

Externe Zusammenarbeit ist der blinde Fleck. DIB-Organisationen teilen CUI täglich mit Hauptauftragnehmern, Subunternehmern und Regierungsbehörden. DSPM-Tools konzentrieren sich auf interne Repositories. Sie bieten keinen Mechanismus, um zu steuern, wie CUI organisationsübergreifend weitergegeben wird – wer sie erhält, über welchen Kanal, unter welcher Verschlüsselung, mit welchem Audit-Trail. Für Unternehmen, deren Geschäft von kontrolliertem Datenaustausch über Lieferketten hinweg abhängt, ist das keine kleine Lücke. Es ist die Lücke. Und sie ist die, die bei einer CMMC-Prüfung am ehesten auffällt, weil Prüfer gezielt bewerten, wie Organisationen CUI bei externer Übertragung schützen.

Erkennung im Nachhinein ist keine Prävention. DSPM warnt, wenn jemand CUI an einem nicht genehmigten Ort speichert – nachdem der Verstoß bereits passiert ist. Prüfer wollen Kontrollen sehen, die unautorisierten Zugriff und Übertragung am Punkt des Austauschs verhindern, nicht ein Benachrichtigungssystem, das später darüber berichtet. Beispiel: Ein Ingenieur schickt eine technische Zeichnung mit CUI per privatem Gmail-Konto an einen Subunternehmer. Ein DSPM-Tool könnte dies im Nachhinein markieren. Aber die Daten haben das Unternehmen bereits über einen unverschlüsselten, ungesteuerten Kanal ohne Audit-Trail verlassen. Der Compliance-Verstoß ist abgeschlossen. Der Schaden ist entstanden. Prävention am Punkt des Austauschs ist, was CMMC verlangt – und das kann DSPM nicht leisten.

Wo DSPM aufhört und Schutz beginnt: Ein Anforderungsüberblick

Am klarsten wird die Aufgabenteilung, wenn man spezifische CMMC-Anforderungen den passenden Tools zuordnet.

Für Access Control Practice AC.L2-3.1.1 – Systemzugriff auf autorisierte Anwender beschränken – erkennt DSPM, wer aktuell Zugriff auf CUI-Repositories hat. Eine Schutzplattform erzwingt Least-Privilege-Zugriff auf CUI innerhalb einer sicheren Enklave.

Für AC.L2-3.1.20 – Steuerung des CUI-Flusses – kartiert DSPM aktuelle Datenflüsse. Eine Schutzplattform erzwingt genehmigte CUI-Flüsse über gesteuerte, verschlüsselte Kanäle.

Für Audit and Accountability Practice AU.L2-3.3.1 – Erstellung und Aufbewahrung von Audit-Logs – identifiziert DSPM Systeme ohne Audit-Logging. Eine Schutzplattform erzeugt unveränderbare Audit-Trails für jeden Zugriff, jede Änderung und Übertragung von CUI.

Für System and Communications Protection Practice SC.L2-3.13.11 – Einsatz von FIPS-validierter Kryptografie – erkennt DSPM CUI, die ohne Verschlüsselung gespeichert ist. Eine Schutzplattform bietet FIPS 140-3-validierte Verschlüsselung für CUI im ruhenden Zustand und während der Übertragung.

Für SC.L2-3.13.16 – Schutz der Vertraulichkeit von CUI – bewertet DSPM den aktuellen Schutzstatus. Eine Schutzplattform implementiert eine gehärtete Enklave für CUI-Kommunikation.

Dieses Muster zieht sich durch alle CMMC-Kontrollfamilien: DSPM zeigt, wo Compliance versagt. Die Schutzschicht stellt sie wieder her.

Das DSPM-Partnerschaftsmodell: Erkennung trifft Durchsetzung

Der effektivste Ansatz für CMMC-Compliance betrachtet DSPM und Schutz als komplementäre Schichten in einem einheitlichen Stack – nicht als konkurrierende Lösungen. Das ist keine Theorie. Der Markt bewegt sich in diese Richtung durch strategische Partnerschaften zwischen DSPM-Anbietern und Enforcement-Plattformen.

Diese Integrationen funktionieren meist über Klassifizierungslabels. Wenn eine DSPM-Plattform ein Dokument als „Vertraulich“ klassifiziert oder mit Compliance-Labels wie „CMMC“ oder „ITAR“ versieht, setzt die Enforcement-Plattform automatisch entsprechende Kontrollen um – Verschlüsselung, Zugriffsbeschränkungen, zeitlich begrenztes Teilen, Bearbeiten ohne Besitz – wann immer diese Daten extern übertragen werden. Die Klassifizierung steuert die Richtlinie. Die Richtlinie steuert die Durchsetzung. Und die Durchsetzung erzeugt den Audit-Trail.

Dieses Modell eliminiert die manuelle Übergabe, die Compliance-Programme bisher ausbremste. Statt dass ein Security-Analyst einen DSPM-Report prüft, eine Lücke identifiziert, ein Ticket erstellt und auf die Umsetzung wartet, schließt sich der Kreis automatisch: klassifizieren, durchsetzen, protokollieren. Diese Geschwindigkeit und Konsistenz sind bei CMMC-Prüfungen entscheidend, da Prüfer nicht nur prüfen, ob Kontrollen existieren, sondern ob sie kontinuierlich und zuverlässig funktionieren.

Das Private Data Network von Kiteworks ist um dieses Integrationsmodell herum aufgebaut. Es übernimmt Microsoft Information Protection Labels, die von DSPM-Plattformen vergeben werden, und nutzt sie, um automatisch Richtlinien durchzusetzen, wenn Daten extern geteilt werden. Dazu gehört, ob Dateien kopiert oder heruntergeladen werden dürfen, wie lange Empfänger Zugriff haben und welches Verschlüsselungsniveau während der Übertragung und im ruhenden Zustand gilt. Jede Aktion erzeugt einen unveränderbaren Audit-Record.

Kiteworks ist seit 2017 FedRAMP Moderate Authorized und hat 2025 die FedRAMP High Ready-Auszeichnung erhalten. Diese Autorisierung ist bei CMMC-Prüfungen relevant, da sie vorvalidierte Sicherheitskontrollen nachweist, die direkt auf Level-2-Anforderungen einzahlen. In Kombination mit FIPS 140-3-validierter Kryptografie und einer gehärteten virtuellen Appliance-Architektur entsteht so die CUI-Schutzinfrastruktur, die DSPM-Tools als notwendig identifizieren, aber selbst nicht bereitstellen können.

Der vollständige CMMC-Technologiestack

DSPM- und Schutzplattformen arbeiten nicht isoliert. Die vollständige CMMC-Compliance-Architektur umfasst fünf Schichten, die jeweils einen eigenen Zweck erfüllen:

• Assessment: CUI entdecken, Lücken identifizieren, Maßnahmen priorisieren. Das ist die DSPM-Schicht.
• Schutz: Sichere CUI-Speicherung und -Übertragung durch eine gesteuerte Enklave und verschlüsselte Kommunikationskanäle.
• Infrastruktur: Gehärtete Endpunkte, Netzwerksegmentierung, Endpoint Detection and Response, Firewalls und SIEM.
• Identität: Multi-Faktor-Authentifizierung, Privileged Access Management und Identity Governance.
• Governance: Richtlinienmanagement, Compliance-Tracking und GRC-Plattformen, die die anderen Schichten verbinden.

Organisationen, die nur in eine Schicht investieren und andere vernachlässigen, verfügen in einem Bereich über beeindruckende Fähigkeiten – und haben in anderen gravierende Lücken. Prüfer bewerten den gesamten Stack, nicht einzelne Komponenten.

Was das für DIB-Organisationen in verschiedenen Phasen bedeutet

Wenn Ihre Organisation bereits DSPM implementiert hat, haben Sie die erste Frage beantwortet: Wo ist unser CUI und wer kann darauf zugreifen? Die zweite Frage ist schwieriger: Was tun wir damit? Ein umfassendes DSPM ohne Enforcement-Plattform ist ein teurer Weg, die eigene Non-Compliance zu dokumentieren. Die Gap-Reports sind detailliert. Der Prüfer wird Sie trotzdem durchfallen lassen. Der nächste Schritt ist der Aufbau der Schutzschicht – eine sichere Enklave mit gesteuerten Kommunikationskanälen, die CUI gemäß CMMC-Anforderungen empfangen, speichern und übertragen kann.

Wenn Ihre Organisation DSPM evaluiert, planen Sie von Anfang an sowohl Erkennung als auch Schutz ein. Viele DIB-Organisationen machen den Fehler, DSPM als alleinige CMMC-Lösung zu betrachten, nur um Monate später festzustellen, dass Erkennung ohne Durchsetzung nicht zur Zertifizierung führt. Budgetieren Sie für beides. Implementieren Sie parallel oder nacheinander, aber erkennen Sie von Anfang an, dass Sie beide Schichten benötigen.

Wenn Ihre Organisation keines von beidem hat, haben Sie zwei parallele Aufgaben: herausfinden, wo Ihr CUI heute ist, und die sichere Umgebung schaffen, in die es gehört. Manche Organisationen starten mit DSPM, um das Problem zu erfassen, und setzen dann eine Schutzplattform ein. Andere bauen zuerst die Schutzschicht auf und nutzen dann DSPM, um CUI dorthin zu migrieren. Die Reihenfolge ist weniger entscheidend als die Erkenntnis, dass beide Schichten unverzichtbar sind.

Wenn DSPM-Anbieter über das Ziel hinausschießen: So bewerten Sie Versprechen

Manche DSPM-Anbieter positionieren ihre Tools als umfassende CMMC-Lösungen. Das Versprechen klingt meist so: „Unsere Plattform entdeckt, klassifiziert und überwacht CUI und verschafft Ihnen kontinuierliche CMMC-Compliance.“ So prüfen Sie dieses Versprechen im Hinblick auf die tatsächlichen CMMC-Anforderungen:

Bietet sie eine sichere Enklave für CUI? CMMC verlangt, dass CUI in geschützten Umgebungen gespeichert und übertragen wird. DSPM scannt bestehende Systeme. Es schafft nicht die gehärtete Infrastruktur, die CMMC fordert. Wenn das Tool keine FedRAMP-autorisierte, FIPS 140-3-validierte Infrastruktur für CUI-Workflows bereitstellt, ist es keine Schutzlösung.

Steuert es externes CUI-Sharing? DIB-Organisationen müssen CUI unter kontrollierten Bedingungen mit externen Partnern teilen. Wenn das Tool interne Repositories überwacht, aber keine Verschlüsselung, Zugriffskontrollen und Audit-Logging bei der Übertragung an Hauptauftragnehmer oder Behörden durchsetzt, bleibt der kritischste Teil der CMMC-Prüfung unbearbeitet.

Erzwingt es Kontrollen in Echtzeit? Erkennung und Alarmierung sind wertvoll. Aber CMMC verlangt Prävention – Kontrollen, die am Punkt des Datenaustauschs greifen, nicht erst nach einem Verstoß. Wenn das Tool primär auf nachträgliche Benachrichtigung setzt, ist es ein Monitoring-Tool, kein Enforcement-Tool.

Bietet es CMMC-taugliche Audit-Trails? DSPM protokolliert vielleicht Scans und Alarmereignisse. CMMC-Prüfer verlangen jedoch unveränderbare Audit-Trails für jeden Zugriff, jede Änderung und Übertragung von CUI. Wenn das Tool diese Nachweise für externe Datenübertragungen nicht liefern kann, erfüllt es die Audit- und Accountability-Anforderungen nicht.

Keine dieser Einschränkungen schmälert den Wert von DSPM für seinen eigentlichen Zweck. Aber sie sollten Organisationen bei der Bewertung von Anbieter-Versprechen zur CMMC-Bereitschaft berücksichtigen.

Das Fazit

DSPM findet das Problem. Sie brauchen trotzdem etwas, das es löst.

Die Organisationen, die die CMMC 2.0-Zertifizierung am schnellsten erreichen, sind diejenigen, die diesen Unterschied von Anfang an verstehen. Sie setzen DSPM ein, um ihr CUI zu entdecken und zu klassifizieren. Sie implementieren eine Schutzplattform, um die sichere Enklave zu schaffen und externe Kommunikation zu steuern. Sie integrieren beides, sodass Klassifizierungslabels automatisch die Durchsetzung steuern. Und sie generieren die unveränderbaren Audit-Trails, die kontinuierliche Compliance gegenüber Prüfern belegen.

Erkennung und Schutz. Assessment und Durchsetzung. Diagnose und Behandlung. CMMC verlangt beide Seiten der Gleichung. Die Frage ist nicht, ob Sie in DSPM investieren – sondern ob Sie einen Plan haben, was passiert, nachdem DSPM Ihnen sagt, wo Ihr CUI ist und wie exponiert es ist.

Denn genau diese Frage wird der Prüfer stellen. Und „Wir haben ein wirklich gutes Dashboard“ ist keine akzeptierte Antwort.

Erfahren Sie, wie Kiteworks Sie unterstützen kann, und vereinbaren Sie noch heute eine individuelle Demo.

Weitere Ressourcen

• Kurzüberblick Kiteworks + Data Security Posture Management (DSPM)
• Blogbeitrag DSPM vs. traditionelle Datensicherheit: Kritische Schutzlücken schließen
• Blogbeitrag DSPM-ROI-Rechner: Branchenspezifische Kostenvorteile
• Blogbeitrag Warum DSPM nicht ausreicht und wie Risikoverantwortliche Sicherheitslücken minimieren
• Blogbeitrag Wichtige Strategien zum Schutz von DSPM-klassifizierten vertraulichen Daten im Jahr 2026