CMMC 2.0 in der US-Verteidigungsindustrie: Was 273 Rüstungsunternehmen über Compliance nach der Prüfpause verraten

Die Aussetzung der CMMC-Bewertungen durch Dritte hat für keinen einzigen Verteidigungsauftragnehmer die Compliance-Anforderungen gesenkt. Sie hat lediglich die Lücke zwischen dem, was Auftragnehmer behaupten, und dem, was sie nachweisen können, schwerer erkennbar gemacht. Diese Lücke ist nun das größte Risiko in der Defense Industrial Base, und eine neue Umfrage unter 273 Organisationen liefert dazu konkrete Zahlen.

Nur wenige Tage nach der Aussetzung der CMMC 2.0 Phase-II-Bewertungen durch das Department of War (DoW) am 13. Juli 2026 haben wir eine der ersten Marktanalysen nach der Aussetzung durchgeführt. Jeder Befragte war ein bestätigtes DoW-Unternehmen mit aktiver CMMC 2.0-Anforderung. Die Ergebnisse, zusammengefasst im Bericht „State of CMMC 2.0 in the DIB“, beschreiben eine Branche, die sich schnell bewegt, Geld investiert und in vielen Fällen Aktivität mit tatsächlicher Bereitschaft verwechselt.

Das Hauptproblem ist nicht Gleichgültigkeit. Ganze 98 % der Auftragnehmer haben nach der Aussetzung mindestens eine konkrete Maßnahme ergriffen; nur 2 % haben nichts getan. Das Problem ist die Richtung. Trennt man das, was ein Unternehmen aufgebaut hat, von seinem tatsächlichen Verhalten, ergibt sich ein zweigeteiltes Bild. Ein großer Teil der Branche agiert hektisch oder ist exponiert, und auffällig viele der am wenigsten vorbereiteten Firmen sind am selbstbewusstesten. Für alle, die CUI verarbeiten oder sich um Verteidigungsaufträge bewerben, ist diese Kombination der Ursprung von Audits, Disqualifikationen und Vergleichen nach dem False Claims Act.

Kiteworks hat seine sichere Daten­austausch­plattform genau für dieses Problem entwickelt: den Nachweis zu erbringen, dass sensible Daten so bewegt werden, wie es die Aufsichtsbehörden verlangen – und das mit Belegen. Dieser Beitrag stellt die wichtigsten Ergebnisse des Berichts vor und erläutert, was sie für die CMMC 2.0 Compliance-Planung in den nächsten beiden Quartalen bedeuten.

Wichtige Erkenntnisse

1. Die Aussetzung stoppte Bewertungen, nicht die Pflichten.

DFARS 252.204-7012, NIST SP 800-171, die Phase-1-Selbsteinschätzung und die SPRS-Berichterstattung gelten weiterhin, und der False Claims Act betrifft jede bereits abgegebene Erklärung eines Auftragnehmers.

2. Das Vertrauen übersteigt die Beweisführung in der gesamten Branche.

Obwohl 96 % der Auftragnehmer überzeugt sind, dass ihr SPRS-Score einer Prüfung standhalten würde, verfügen nur 29 % sowohl über eine aktuelle SPRS-Einreichung als auch über eine FedRAMP-zertifizierte Plattform als Nachweis. Weniger als drei von zehn können ihre Behauptung vollständig belegen.

3. Bewegung ist nicht gleich Bereitschaft.

Ein Compliance-Signaling-Index, der die aktuelle Position mit dem jüngsten Verhalten multipliziert, ergibt einen Mittelwert von 60,0 – deutlich unter dem Durchschnittswert von etwa 77, den ein einfaches Mittel ergeben würde. Nur 2 % der Auftragnehmer erreichten in beiden Dimensionen ein perfektes Ergebnis.

4. Die Durchsetzung läuft bereits und benötigt keinen Whistleblower.

Ein Vergleich des Department of Justice im Juni 2026 über 507.144 US-Dollar zeigt, wie eine routinemäßige staatliche Prüfung einen selbst attestierten SPRS-Score in einen Betrugsvorwurf verwandeln kann, wenn die tatsächliche Lage deutlich schlechter ist als gemeldet.

5. Der Markt richtet sich neu aus – Beweise werden entscheidend.

Mehr als die Hälfte der Auftragnehmer bietet nun auf Ausschreibungen, die sie früher gemieden haben, mehr als die Hälfte hat sich wegen mangelnder Bereitschaft aus einer Ausschreibung zurückgezogen, und 89 % nutzen oder planen, innerhalb von sechs Monaten eine FedRAMP-zertifizierte Plattform einzusetzen.

Die Aussetzung stoppte Bewertungen, nicht die Regeln

Die folgenreichste Fehlinterpretation der Ankündigung vom 13. Juli ist, dass CMMC abgeschafft wurde. Das ist nicht der Fall. Die Aussetzung betrifft nur die Phase-II-Bewertungen durch Dritte, also den Zertifizierungsschritt, bei dem ein C3PAO die Kontrollen einer Organisation validiert. Alles davor bleibt unverändert.

Die DFARS-Klausel 252.204-7012 verpflichtet Auftragnehmer weiterhin, geschützte Verteidigungsinformationen zu sichern und Cybervorfälle zu melden. NIST 800-171 definiert nach wie vor die 110 Kontrollen zum Schutz von CUI. Die Pflicht zur Phase-1-Selbsteinschätzung besteht weiterhin, und Auftragnehmer müssen einen aktuellen Score im Supplier Performance Risk System veröffentlichen und pflegen. Am wichtigsten: Der False Claims Act regelt weiterhin die Richtigkeit jedes bereits eingereichten Scores. Eine Pause bei Bewertungen ist keine Pause bei der Haftung.

Die meisten Auftragnehmer verstehen das rechtliche Risiko, auch wenn sie die Details nicht kennen. In der Umfrage gaben 84 % an, sich wegen des False Claims Act Sorgen zu machen, und 92 % haben seit der Aussetzung eine rechtliche oder Compliance-Prüfung durchgeführt. Das ist der richtige Instinkt. Die Diskrepanz zeigt sich darin, worauf Unternehmen ihr Vertrauen stützen. Auf die Frage, was ihre Position am meisten unterstützt, nannten 47 % einen Audit-Trail, 36 % eine FedRAMP-zertifizierte Plattform und nur 11 % eine rechtliche Prüfung. Dokumentation gibt Sicherheit; tatsächliche Verifizierung erfolgt oft nicht.

Bewegung ist keine Bereitschaft: Der Compliance-Signaling-Index im Detail

Um Position und Verhalten zu trennen, wurden im Bericht zwei Indizes gebildet. Der Current Compliance Maturity Score (CCMS) misst anhand von acht Indikatoren, wie weit eine Organisation heute bei der Umsetzung von Kontrollen ist. Der Mittelwert lag bei 78,2 von 100 – auf den ersten Blick respektabel. Der Signal-to-Governance Score (SGS) misst das aktive Verhalten seit dem 13. Juli anhand von acht Indikatoren und lag bei 74,9. Für sich genommen wirken beide Werte solide.

Die Erkenntnis ergibt sich aus der Kombination: Statt die beiden Werte zu mitteln, werden sie zu einem Compliance-Signaling Readiness Index (CSRI = CCMS × SGS/100) multipliziert. Die Multiplikation ist hier ehrlich, denn Schwächen in einer Dimension untergraben das Gesamtergebnis. Ein Unternehmen mit starken Kontrollen, aber ohne aktuelle Maßnahmen, ist nicht bereit – ebenso wenig wie eines, das zwar aktiv ist, aber auf schwacher Basis steht. Das Ergebnis ist ein durchschnittlicher CSRI von 60,0 und ein Median von 65,6. Ein einfaches Mittel der beiden Komponenten hätte etwa 77 ergeben – ein Wert, der die Branche schmeichelt und die Wechselwirkung zwischen Position und Verhalten verschleiert.

Teilt man die Auftragnehmer anhand eines anspruchsvollen 7-von-8-Schwellenwerts in Quadranten ein, wird die Aufteilung deutlich: Nur 23 % sind Audit-Ready, also stark in aktueller Position und Verhalten. Weitere 28 % sind „Coasting“ – solide Kontrollen, aber wenig Bewegung seit der Aussetzung. 18 % sind „Scrambling“ – sie handeln viel, aber auf schwacher Basis. Die größte Gruppe, 31 %, ist „Exposed“ – schwach in beiden Bereichen. Nur 2 % erzielten in beiden Dimensionen ein perfektes 8-von-8. Der typische Auftragnehmer ist nicht auditbereit; er ist nur ein Audit von einer schlechten Woche entfernt.

Die Confidence-Evidence-Kaskade

Nirgends zeigt sich die Lücke zwischen Behauptung und Nachweis deutlicher als in der sogenannten Confidence-Evidence-Kaskade des Berichts. Beginnt man mit dem Glauben und fügt für jeden Nachweis eine Anforderung hinzu, schrumpft die Zahl der Qualifizierten deutlich.

96 % der Auftragnehmer sind überzeugt, dass ihr SPRS-Score einer Prüfung standhält. Fragt man, wer eine aktuelle SPRS-Einreichung vorweisen kann, sinkt die Zahl auf 60 %. Wird zusätzlich verlangt, dass sensible Daten auf einer FedRAMP-zertifizierten Plattform verarbeitet werden, fällt der Wert auf 36 %. Beide Anforderungen zusammen erfüllen nur 29 %. Weniger als drei von zehn Auftragnehmern können ihren Score tatsächlich vollständig belegen.

Das ist kein Rundungsfehler, sondern eine Lücke von 67 Prozentpunkten zwischen behauptetem Vertrauen und nachweisbarer Evidenz – genau der Raum, in dem Auditoren, Vergabestellen oder Anwälte des Department of Justice agieren. Vertrauen besteht keinen Dokumentationsnachweis; Beweise schon. Die Auftragnehmer, die diese Lücke schließen, sind diejenigen, die auf Abruf einen vollständigen Audit-Trail liefern können: Wer hat wann, wo und unter welcher Richtlinie auf welche CUI zugegriffen? Das ist der Grund, warum ein System Security Plan eine lebendige Evidenzschicht braucht, nicht nur ein statisches Dokument.

Die Durchsetzung ist bereits Realität: Ein Vergleich über 507.144 US-Dollar

Falls die Kaskade theoretisch klingt, macht ein aktueller Fall sie greifbar. Am 18. Juni 2026 schloss das Department of Justice mit LOGZONE Inc. aus Huntsville, Alabama, einen Vergleich über 507.144 US-Dollar wegen zweier Navy-Verträge ab. Das Unternehmen hatte einen SPRS-Score von 110 selbst attestiert – eine perfekte Bewertung. Bei einer unabhängigen DIBCAC-Prüfung lag der tatsächliche Score jedoch bei minus 170. Die Lücke zwischen Behauptung und Realität war der Kern des Falls.

Zwei Details sind besonders relevant. Erstens wurde der Fall durch ein routinemäßiges staatliches Audit entdeckt, nicht durch einen Whistleblower. Die False Claims Act qui tam-Bestimmungen stehen oft im Fokus, aber dieser Vergleich zeigt: Die Regierung braucht keinen Insider, um einen überhöhten Score zu finden – ein Spreadsheet und ein Prüfer genügen. Zweitens lief die Durchsetzung über die DOJ Civil Cyber-Fraud Initiative, die speziell geschaffen wurde, um Auftragnehmer für Falschangaben bei der Cybersicherheit zur Verantwortung zu ziehen. Die Aussetzung der Bewertungen hat diese Initiative nicht gebremst.

Die Lektion für die 96 %, die überzeugt sind, ist eindeutig: Ein selbst attestierter Score ist eine rechtliche Erklärung, und die Differenz zwischen optimistischer Selbsteinschätzung und unabhängiger Bewertung wird in Dollar gemessen. Organisationen, die SPRS-Scoring als reine Dokumentationsübung und nicht als evidenzbasierte Aussage betrachten, tragen dasselbe Risiko – ob sie es wissen oder nicht. Es ist günstiger, das POA&M und die zugrundeliegenden Kontrollen korrekt umzusetzen, als einen Vergleich zu zahlen.

Die Wissensillusion hinter dem Selbstvertrauen

Warum sind so viele Auftragnehmer von einer Position überzeugt, die sie nicht vollständig belegen können? Der Bericht verweist auf eine Wissensillusion – ein Selbstvertrauen, das auf unvollständigem Verständnis der Änderungen durch die Aussetzung beruht.

Die gute Nachricht: Sehr wenige Auftragnehmer glauben, dass das gesamte Framework gestoppt wurde – nur 3 % denken, alle Anforderungen seien ausgesetzt. Die schlechte Nachricht steckt im Detail: 48 % wissen nicht, dass die Phase-1-Selbsteinschätzung weiterläuft. 57 % wissen nicht, dass ausgewählte staatliche Bewertungen weiterhin stattfinden. Das sind keine Randnotizen, sondern die Pflichten, die aktuell am ehesten zu Durchsetzungsmaßnahmen führen.

Am aufschlussreichsten ist, was das Selbstvertrauen nicht vorhersagt. In einem Wissenstest mit vier Fragen erreichten Auftragnehmer, die sich als „sehr selbstbewusst“ bezeichneten, im Schnitt 2,48 von 4 Punkten – exakt so viel wie jene, die „etwas selbstbewusst“ waren. Selbstvertrauen und Wissen waren völlig entkoppelt. Fast die Hälfte der sehr selbstbewussten Gruppe, 49 %, erzielte weniger als 3 von 4 Punkten. Hohes Selbstvertrauen geht also nicht mit hohem Verständnis einher – genau das ist die Situation, in der Organisationen Erklärungen unterschreiben, die sie nicht sollten. Diese Lücke zu schließen, beginnt damit, CMMC 2.0 Compliance als laufendes Programm zu behandeln, nicht als Zertifizierungs-Meilenstein, der verschoben wurde.

Der Markt richtet sich auf Nachweise aus

Während Compliance-Teams ihre Pflichten klären, ist die Geschäftsseite bereits aktiv. Die Aussetzung hat das Bieterverhalten in der Branche verändert – und die Richtung geht klar zu Nachweisen als Wettbewerbsvorteil.

Mehr als die Hälfte der Auftragnehmer (55 %) bieten nun auf Ausschreibungen, die sie zuvor gemieden haben, und sehen die Pause als Chance. Gleichzeitig haben sich 52 % wegen mangelnder Bereitschaft von einer Ausschreibung zurückgezogen, und 38 % haben Aufträge verloren oder wurden wegen einer Level-2-Anforderung disqualifiziert. Das Muster ist nicht gleichmäßig verteilt: Tier-2- und tiefere Subunternehmer verlieren Aufträge zu 55 %, fast doppelt so häufig wie Primes (31 %). Je weiter man vom Prime entfernt ist, desto strenger bewertet der Markt die Fähigkeit, die CMMC Level 2-Bereitschaft nachzuweisen. Luft- und Raumfahrtunternehmen sind am besten geschützt, mit nur 16 % Verlustquote. Diese Unternehmen investieren meist stärker in Compliance und pflegen engere Kundenbeziehungen.

Diese Subunternehmer-Exponiertheit erklärt die hohe Sorge um Flow-Down-Anforderungen. Die Sorge um vertragliche Flow-Down-Pflichten liegt branchenweit bei 86 %, bei Tier-1-Subunternehmern bei 92 % und bei Tier-2 und tieferen bei 89 %, gegenüber 79 % bei Primes. Flow-Down bedeutet, dass die Supply Chain Risk Management-Pflicht eines Primes zum Problem jedes Subunternehmers wird – und kleinere Firmen spüren es am stärksten. Externe Daten bestätigen die Brisanz: Der Verizon Data Breach Investigations Report 2026 zeigt, dass Drittparteien-Vorfälle um 60 % auf 48 % aller Datenpannen gestiegen sind, und der Global Cybersecurity Outlook 2026 des World Economic Forum meldet, dass 65 % der Großunternehmen Drittparteien- und Lieferkettenrisiken als größte Herausforderung einstufen (Vorjahr: 54 %).

Die Nachfrage konzentriert sich auf unabhängige Autorisierung

Wenn Nachweise die neue Währung sind, investieren Auftragnehmer ihr Budget in die stärkste Form: unabhängige, externe Autorisierung. Das ist das deutlichste Zukunftssignal in den Daten.

89 % der Auftragnehmer nutzen oder planen, innerhalb von sechs Monaten eine FedRAMP-zertifizierte Plattform einzusetzen. 93 % halten unabhängige Drittparteien-Autorisierung für essenziell oder wichtig – eine klare Absage an reine Selbstauskunft als Grundlage für den Umgang mit CUI. Und 96 % haben einen C3PAO beauftragt, 32 % davon wollen auch ohne laufende Bewertungen freiwillig weitermachen. Auftragnehmer warten nicht auf einen Neustart durch die Regierung – sie schaffen die Nachweise jetzt.

Auch am politischen Prozess beteiligen sie sich: 93 % planen, zur DoW-Request for Information Stellung zu nehmen, die am 14. August 2026 endete. Die Erwartungen gehen eher von einer Rückkehr als von einer Abschaffung aus: 58 % erwarten eine Rückkehr der Phase II in modifizierter Form, nur 4 % glauben an ein vollständiges Aus. Gleichzeitig haben 70 % die vollständige Compliance-Bereitschaft erreicht oder erwarten dies innerhalb von sechs Monaten – ein ambitioniertes Ziel, da aktuell nur 23 % Audit-Ready sind. Das unterstreicht die Lücke zwischen Anspruch und nachgewiesener Bereitschaft – das zentrale Thema des gesamten Berichts. Die Unternehmen, die es schaffen, behandeln NIST 800-171 Compliance als laufendes System, nicht als einmalige Aktion.

Nicht jeder Auftragnehmer ist gleich exponiert

Die Basis ist nicht homogen, und der CSRI macht die Unterschiede sichtbar. Nach Branchen führt Luft- und Raumfahrt/Verteidigung mit einem Readiness-Index von 66,2, gefolgt von IT- und Cloud-Services mit 61,9, Telekommunikation mit 59,3 und allen anderen Sektoren mit 52,2. Die Firmen mit größter Nähe zur Mission sind – wenig überraschend – am besten vorbereitet.

Deutlicher ist der geografische Unterschied: Nordamerikanische Auftragnehmer (n=163) erreichten einen CSRI von 64,7, europäische (n=104) nur 53,9. Europa ist das am stärksten exponierte Segment: 44 % fallen in den Exposed-Quadranten, nur 15 % sind Audit-Ready. Bei den konkreten Nachweis-Kriterien haben nur 43 % der europäischen Auftragnehmer eine aktuelle SPRS-Einreichung, in Nordamerika sind es 70 %, dennoch sind 94 % der Europäer überzeugt. Das ist die Confidence-Evidence-Lücke in ihrer extremsten Ausprägung – und eine Warnung an Primes mit grenzüberschreitenden Lieferketten. Die Datenhoheit eines Subunternehmers und seine CMMC-Bereitschaft sind nicht dasselbe, und die Umfrage zeigt: Das Ausland braucht die meiste Aufmerksamkeit.

Was das für Ihren Umgang mit CUI bedeutet

Die zentrale Erkenntnis aus allen Ergebnissen: Eine Selbstauskunft ohne Nachweis ist ein Risiko – die Lösung ist ein evidenzgenerierendes System für sensible Daten. Die Kosten eines Fehlers sind nicht abstrakt: Der IBM Cost of a Data Breach Report 2026 nennt Supply-Chain-Compromise als wichtigsten Kostenfaktor mit 227.250 US-Dollar pro Vorfall, Non-Compliance schlägt mit weiteren 201.112 US-Dollar zu Buche – bei durchschnittlichen Gesamtkosten von 4,99 Millionen US-Dollar pro Datenpanne. Für Verteidigungsauftragnehmer fallen Compliance-Versagen und Datenpanne oft zusammen.

Hier setzt die Kiteworks Secure Data Exchange-Plattform an. Kiteworks basiert auf einer Single-Tenant-Architektur, unterstützt CMMC Level 2 und ist FedRAMP High In Process sowie FedRAMP Moderate Authorized. Jede Datei, E-Mail, jedes Formular und jeder Transfer mit CUI läuft durch eine Governance-Schicht – das Kiteworks Control Plane –, die lückenlos protokolliert, wer wann worauf unter welcher Richtlinie zugegriffen hat. Das ist der Unterschied zwischen der bloßen Behauptung, der SPRS-Score sei belastbar, und dem Nachweis durch Audit-Logs. Die 47 % der Auftragnehmer, die auf einen Audit-Trail setzen, liegen richtig – entscheidend ist die Plattform, auf der dieser Trail entsteht.

Die Daten zeigen konkrete Maßnahmen: Vergleichen Sie Ihren selbst attestierten SPRS-Score mit dem, was ein unabhängiger Prüfer finden würde – so wie es das Unternehmen aus Alabama nicht getan hat. Konsolidieren Sie CUI auf einer FedRAMP-zertifizierten Plattform, damit die 36 %-Evidenzschicht Ihr Standard wird, nicht Ihre Obergrenze. Erweitern Sie die Readiness-Anforderungen auf Ihre Subunternehmer, wo der DIB am schwächsten ist. Und nutzen Sie die Bewertungspause, um Nachweise aufzubauen – nicht als Ausrede, um nichts zu tun. Die Auftragnehmer, die die Aussetzung richtig interpretieren, sind bereit, wenn Phase II zurückkehrt.

Der Bericht „State of CMMC 2.0 in the DIB“ geht bei Indizes, Quadrantenmodell, Segmentanalysen und Durchsetzungsthemen deutlich mehr ins Detail als jede Zusammenfassung. Um den vollständigen Datensatz zu sehen und zu erfahren, wo Ihr Unternehmen im Vergleich zu 273 Branchenkollegen steht, laden Sie den vollständigen Bericht herunter.

Weitere Ressourcen

• Blog Post
  CMMC-Compliance für kleine Unternehmen: Herausforderungen und Lösungen
• Blog Post
  CMMC-Compliance-Leitfaden für DIB-Zulieferer
• Blog Post
  CMMC-Audit-Anforderungen: Was Prüfer für Ihre CMMC-Readiness sehen müssen
• Guide
  CMMC 2.0 Compliance Mapping für die Kommunikation sensibler Inhalte
• Blog Post
  Die wahren Kosten der CMMC-Compliance: Was Verteidigungsauftragnehmer einplanen müssen