CMMC 2.0 und KI-Agents: Was „autorisierter Zugriff“ für CUI-bezogene Workflows bedeutet

Rüstungsunternehmen setzen KI-Agents in der Angebotserstellung, Programmdokumentation, Lieferkettenverwaltung und technischen Daten-Workflows ein. Viele dieser Workflows betreffen kontrollierte, nicht klassifizierte Informationen (CUI). Damit fallen sie direkt in den Geltungsbereich von CMMC 2.0 – nicht als zukünftige Anforderung, sondern als aktuelle Compliance-Pflicht, die Drittanbieter-Prüfer bereits bewerten.

Die Zugriffs-, Prüfprotokoll- und Verschlüsselungsanforderungen von CMMC enthalten keine Ausnahmen für maschinell betriebene Systeme. Egal, ob ein überprüfter Mitarbeiter oder ein autonomer KI-Agent auf ein CUI-Dokument zugreift – die Compliance-Pflicht ist identisch: Der Zugriff muss autorisiert, rollen- und kontextbasiert gesteuert, mit validierter Kryptografie verschlüsselt und in einem operationsebene Audit-Trail dokumentiert werden, der auf einen menschlichen Autorisierer verweist. Die meisten KI-Implementierungen in der Verteidigungsindustrie erfüllen keine dieser Anforderungen.

Dieser Beitrag erläutert, was CMMC 2.0 speziell für KI-Workflows mit CUI verlangt, zeigt die Compliance-Lücken auf, die Prüfer finden werden, und stellt Best Practices für die Governance des KI-Agenten-Zugriffs auf CUI vor, um belastbare Nachweise – keine Erklärungen – für die C3PAO-Prüfung zu liefern.

Executive Summary

Kernaussage: Die Zugriffs-, Prüfprotokoll- und Verschlüsselungsanforderungen von CMMC 2.0 gelten für jedes System, das CUI verarbeitet – einschließlich KI-Agents. Verteidigungsunternehmen, die KI in CUI-bezogenen Workflows ohne authentifizierte Agentenidentität, ABAC-Policy-Durchsetzung und operationsebene Prüfprotokollierung einsetzen, häufen Compliance-Risiken an, die nach Beginn der Prüfung nicht mehr rückwirkend behoben werden können.

Warum das wichtig ist: Die CMMC-Zertifizierung ist Voraussetzung für die Teilnahme an DoD-Verträgen – Unternehmen, die die Prüfung nicht bestehen, verlieren den Zugang zu DoD-Aufträgen. Prüfer bewerten die Kontrollen auf der Datenzugriffsebene, nicht auf der Modellebene. Ein Verteidigungsunternehmen, das keine Delegationskette vorweisen kann, die jede KI-Agenten-CUI-Interaktion mit einem menschlichen Autorisierer verknüpft, die Durchsetzung des Minimum-Prinzips auf Operationsebene nachweist und FIPS 140-3-validierte Verschlüsselung für jeden CUI-Datenpfad belegt, wird Beanstandungen erhalten. Diese Lücken müssen vor der C3PAO-Prüfung geschlossen werden – nicht erst währenddessen.

wichtige Erkenntnisse

1. CMMC 2.0 gilt uneingeschränkt für KI-Agents, die CUI verarbeiten. AC.1.001 verlangt autorisierten Zugriff auf CUI, unabhängig davon, ob der Zugriff durch einen Menschen oder automatisiert erfolgt. CMMC unterscheidet nicht zwischen einem überprüften Mitarbeiter und einem KI-Agenten, der ein technisches Datenpaket verarbeitet. Die Kontrollen für menschlichen CUI-Zugriff gelten direkt und vollständig auch für KI-Agents.
2. Prüfer bewerten Kontrollen auf der Datenebene, nicht auf der Modellebene. Ein C3PAO fragt nicht nach dem verwendeten KI-Modell oder der Prompt-Konfiguration. Er fragt: Auf welche CUI hat der Agent zugegriffen, mit welcher Autorisierung, mit welcher Verschlüsselung, und können Sie einen Audit-Trail vorlegen, der den Zugriff mit einem menschlichen Autorisierer verknüpft? Wenn eine dieser Fragen nicht mit einem dokumentierten Nachweispaket beantwortet werden kann, führt die Prüfung zu Beanstandungen.
3. CUI-Segregationsanforderungen gelten auch für von KI verwaltete Ordnerstrukturen. Die Zugriffskontrollen von CMMC verlangen, dass CUI segregiert und nur autorisierten Personen zugänglich ist. Wenn KI-Agents Ordnerhierarchien mit CUI erstellen, verschieben oder umstrukturieren, müssen diese Strukturen dieselben RBAC-/ABAC-Kontrollen wie manuell bereitgestellte Strukturen erben. KI-generierte Ordnerstrukturen ohne automatische Policy-Vererbung verursachen Segregationslücken.
4. Die Delegationskette verbindet KI-Agenten-Aktionen mit menschlicher Verantwortlichkeit. Die AC- und AU-Anforderungen von CMMC verlangen, dass der Zugriff auf CUI auf eine autorisierte Person zurückgeführt werden kann. Für KI-Agents bedeutet das: Der Authentifizierungsnachweis muss die Identität des Agenten mit dem Menschen verknüpfen, der den Workflow delegiert hat – nicht nur mit einem Service-Account. Ohne diese Delegationskette ist der Audit-Trail definitionsgemäß unvollständig.
5. Runtime-Guardrails und System-Prompts sind keine CMMC-Zugriffskontrollen. Netzwerksandboxing, Policy-Engines zur Laufzeit und KI-Sicherheitsfilter arbeiten auf der Modell- oder Ausführungsebene. Sie sind sinnvolle Sicherheitsfunktionen, erfüllen aber nicht die CMMC-Anforderungen auf Datenebene für autorisierten Zugriff, Prüfprotokollierung oder Verschlüsselungsvalidierung. Ein C3PAO akzeptiert sie nicht als Nachweis für AC.1.001 oder AU.2.042.

Was CMMC 2.0 für KI-Systeme mit CUI verlangt

CMMC 2.0 Level 2 orientiert sich an den 110 Sicherheitsanforderungen von NIST SP 800-171 in 14 Domänen. Vier davon sind besonders relevant, wenn KI-Agents CUI verarbeiten, verwalten oder darauf zugreifen: Access Control (AC), Audit and Accountability (AU), Identification and Authentication (IA) sowie System and Communications Protection (SC).

Access Control: AC.1.001 und AC.2.006

AC.1.001 verlangt, dass der Zugriff auf CUI auf autorisierte Anwender, Prozesse im Auftrag autorisierter Anwender und Geräte beschränkt wird. „Prozesse im Auftrag autorisierter Anwender“ schließt KI-Agents ausdrücklich ein – das ist eindeutig geregelt. AC.2.006 verlangt, dass der Zugriff auf die Transaktionen und Funktionen beschränkt wird, die autorisierte Anwender ausführen dürfen. Für KI-Agents muss das Minimum-Prinzip auf Operationsebene durchgesetzt werden: Ein Agent, der zum Lesen eines Vertragsordners berechtigt ist, darf nicht automatisch alle Dateien herunterladen, Datensätze verschieben oder Inhalte löschen. Jede Operation erfordert eine separate Policy-Prüfung.

Audit and Accountability: AU.2.042

AU.2.042 verlangt, dass die Aktivitäten einzelner Anwender – einschließlich Prozesse, die in ihrem Auftrag handeln – nachverfolgt, aufgezeichnet und regelmäßig überprüft werden. Der Prüfprotokoll-Eintrag muss die authentifizierte Identität des Agenten, den menschlichen Autorisierer des Workflows, die spezifisch genutzte CUI, die ausgeführte Operation und den Zeitstempel erfassen. Ein Log, das nur den Aufruf eines API-Endpunkts dokumentiert, reicht nicht aus. Ein Log, das zeigt, welches CUI-Dokument von welchem Agenten unter welcher Policy und mit welcher menschlichen Autorisierung aufgerufen wurde, erfüllt die Anforderung.

Identification and Authentication: IA Practices

Die IA-Anforderungen von CMMC verlangen, dass Anwender und Prozesse eindeutig identifiziert und authentifiziert werden, bevor sie auf CUI zugreifen. KI-Agents, die über gemeinsame Service-Accounts oder API-Keys agieren, erfüllen diese Anforderung nicht. Jeder Agent benötigt ein eindeutiges Identitätszertifikat, das mit dem spezifischen Workflow und dem menschlichen Autorisierer verknüpft ist. Teilen sich mehrere Agents eine Identität oder kann der Authentifizierungsnachweis nicht auf einen bestimmten menschlichen Entscheider zurückgeführt werden, sind die IA-Anforderungen nicht erfüllt.

System and Communications Protection: SC.3.177

SC.3.177 verlangt, dass CUI beim Transport über offene Netzwerke und bei der Speicherung mit FIPS-validierter Kryptografie verschlüsselt wird. Für KI-Agents bedeutet das: Jeder Datenpfad, den der Agent nutzt – API-Aufrufe zu CUI-Repositorys, Modell-Inferenzpipelines, temporäre Dateicaches, Ausgabekanäle – muss FIPS 140-3-validierte kryptografische Module verwenden. Standard-TLS– und AES-256-Implementierungen ohne bestätigte FIPS 140-3-Validierung erfüllen SC.3.177 nicht. Ein Prüfer wird Zertifikate für die Kryptografie-Module verlangen, nicht die Konfigurationsdokumentation des Anbieters.

Wo KI-Implementierungen die CMMC-Anforderungen verfehlen

Die Standardarchitektur für KI-Agenten-Implementierungen im DIB – ein Agent, der über eine API mit einem Dokumenten-Repository verbunden ist und von einem Service-Account sowie einem System-Prompt gesteuert wird – scheitert in mehreren Punkten gleichzeitig an der CMMC-Prüfung. Es handelt sich um strukturelle Diskrepanzen zwischen der üblichen KI-Architektur und den Anforderungen, die Prüfer bewerten müssen.

Keine Delegationskette bedeutet keinen verantwortlichen Autorisierer

Wenn ein CMMC-Prüfer ein CUI-Zugriffsereignis bewertet und nach der Autorisierung fragt, muss die Antwort eine namentlich benannte Person mit dokumentierter Befugnis sein. Ein Service-Account liefert einen Systemnamen. Ein API-Key liefert ein Token. Ohne eine Delegationskette, die die Aktion des Agenten mit dem menschlichen Autorisierer des Workflows verknüpft, gibt es keinen verantwortlichen Autorisierer für das Zugriffsereignis – ein direkter Verstoß gegen AC.1.001 und AU.2.042. Das lässt sich nachträglich nicht beheben: Die Delegationskette muss zum Zeitpunkt des Zugriffs aufgezeichnet werden, sonst existiert sie im Audit-Trail nicht.

Operationsebene Zugriffsbeschränkung fehlt architektonisch

Die meisten KI-Implementierungen geben Agents weitreichende Repository-Zugriffsrechte und verlassen sich auf System-Prompts, um das tatsächliche Verhalten einzuschränken. CMMC-Prüfer bewerten, was der Agent technisch durfte – nicht, was er laut Anweisung tun sollte. Wenn ein Service-Account Zugriff auf 10.000 CUI-Dokumente gewährt und der Agent nur drei benötigt, hatte der Agent aus Sicht von AC.2.006 unautorisierten Zugriff auf 9.997 Dokumente – unabhängig davon, ob er sie abgerufen hat.

Von KI erstellte Ordnerstrukturen ohne vererbte Kontrollen

KI-Agents erstellen zunehmend Ordnerstrukturen für Angebotsdokumente, Programmunterlagen und technische Datenpakete. CMMC verlangt, dass diese Ordner automatisch CUI-Zugriffskontrollen erben. In den meisten Implementierungen erhalten von KI erstellte Ordnerhierarchien keine RBAC- oder ABAC-Policies, es sei denn, ein Mensch richtet sie nachträglich ein. Jedes Dokument in einem unregulierten, von KI erstellten Ordner ist ein CUI-Segregationsbefund.

Best Practices für CMMC-konformen KI-Agenten-Zugriff auf CUI

1. Agentenidentitäten auf Workflow-Ebene mit menschlichen Autorisierern verknüpfen

Jeder KI-Agent, der auf CUI zugreift, benötigt ein eindeutiges Identitätszertifikat auf Workflow-Ebene – kein gemeinsam genutzter Service-Account. Dieses Zertifikat muss im Authentifizierungsprotokoll mit der Person verknüpft sein, die den Workflow autorisiert hat. Die Delegationskette – menschlicher Autorisierer, Agentenidentität, CUI-Zugriffsereignis – muss in jedem Audit-Log-Eintrag dokumentiert werden. Geteilte Zugangsdaten erfüllen die IA-Anforderungen von CMMC nicht, unabhängig von der Anwendungsebene.

2. Operationsebene ABAC für jede CUI-Datenanfrage durchsetzen

Implementieren Sie attributbasierte Zugriffskontrolle, die jede CUI-Anfrage anhand des authentifizierten Agentenprofils, der CUI-Klassifizierung, des Workflow-Kontexts und der spezifischen Operation prüft. Ein Agent, der zum Lesen eines Angebotsordners berechtigt ist, darf nicht automatisch alle Dateien herunterladen, Inhalte verschieben oder auf andere CUI-Kategorien zugreifen. Diese Prüfung auf Operationsebene erfüllt die Mindestanforderung von AC.2.006.

3. Sicherstellen, dass von KI verwaltete Ordnerstrukturen CUI-Kontrollen automatisch erben

Jede von einem KI-Agenten erstellte oder geänderte Ordnerhierarchie mit CUI muss zum Zeitpunkt der Erstellung automatisch RBAC- und ABAC-Kontrollen erben – nicht erst durch nachträgliche manuelle Bereitstellung. Die Governance-Schicht zur Durchsetzung der CUI-Segregation muss bereits im Ordnererstellungsvorgang integriert sein. Ordner ohne vererbte Kontrollen sind Segregationsbefunde – unabhängig davon, wer oder was sie erstellt hat.

4. Operationsebene, manipulationssichere Audit-Logs für alle Agenten-CUI-Zugriffe erfassen

Jede KI-Agenten-CUI-Interaktion muss auf Operationsebene protokolliert werden: Agentenidentität, menschlicher Autorisierer, spezifisches Dokument oder Ordner, Operationstyp, Policy-Auswertung und Zeitstempel. Das Log muss manipulationssicher und für die C3PAO-Evidenzprüfung sowie SIEM-Integration exportierbar sein. Session-basierte API-Logs erfüllen AU.2.042 nicht – und dies ist eine der ersten Nachweisforderungen der Prüfer.

5. FIPS 140-3-Verschlüsselung für jeden CUI-Datenpfad validieren

Überprüfen Sie jede Stelle, an der CUI im KI-Agenten-Workflow übertragen oder gespeichert wird – API-Aufrufe, Modell-Hosting, Vektor-Datenbanken, temporärer Agentenspeicher, Ausgabedateien – und stellen Sie für jede den FIPS 140-3-validierten Zertifikatsnachweis bereit. SC.3.177 verlangt validierte Kryptografie, nicht nur starke Algorithmen. Ein Unternehmen, das AES-256 nutzt, aber kein FIPS 140-3-Modulzertifikat vorlegen kann, hat eine Compliance-Lücke – unabhängig von der Verschlüsselungsstärke.

Wie Kiteworks CMMC-konforme KI-Agenten-Governance ermöglicht

Die Governance des KI-Agenten-Zugriffs auf CUI auf dem von CMMC-Prüfern geforderten Niveau erfordert eine andere Architektur, als sie die meisten Rüstungsunternehmen einsetzen. Service-Accounts, API-Keys und System-Prompts adressieren die Anwendungsebene. CMMC bewertet die Datenebene. Das Private Data Network von Kiteworks – FedRAMP Moderate Authorized und deckt fast 90 % der CMMC 2.0 Level 2-Anforderungen ab – bietet Rüstungsunternehmen eine Governance-Schicht, die jede KI-Agenten-Interaktion mit CUI abfängt, bevor sie stattfindet, und die Identitätsprüfung, Zugriffspolicy, Verschlüsselung und Audit-Trail durchsetzt, die Prüfer bewerten.

Agentenidentität und Delegationskette für AC.1.001 und AU.2.042

Kiteworks authentifiziert jeden KI-Agenten, bevor ein CUI-Zugriff erfolgt, und verknüpft diese Authentifizierung mit dem Menschen, der den Workflow delegiert hat. Die vollständige Delegationskette – Autorisierer-Identität, Agentenidentität, Operationskontext und Policy-Ergebnis – wird in jedem Audit-Log-Eintrag dokumentiert. Wenn ein C3PAO fragt, wer diesen CUI-Zugriff autorisiert hat und was der Agent tun durfte, gibt es eine vollständige, mit Zeitstempel versehene, manipulationssichere Aufzeichnung – keine Rekonstruktion aus Anwendungsprotokollen.

Operationsebene ABAC für AC.2.006 Minimum-Prinzip

Die Data Policy Engine von Kiteworks prüft jede KI-Agenten-CUI-Anfrage anhand einer multidimensionalen Policy: dem authentifizierten Agentenprofil, der CUI-Klassifizierung der angeforderten Daten, dem Workflow-Kontext und der spezifischen Operation. Ein Agent, der zum Lesen von Angebotsdokumenten in einem bestimmten Ordner berechtigt ist, kann nicht alle Dateien herunterladen, auf andere CUI-Kategorien zugreifen oder Operationen außerhalb seines autorisierten Rahmens ausführen. Das Minimum-Prinzip wird auf Operationsebene durchgesetzt – wie es AC.2.006 verlangt und was die meisten KI-Implementierungen derzeit nicht nachweisen können.

Governance von Ordneroperationen für CUI-Segregation

Kiteworks Compliant AI’s Governed Folder Operations Assist ermöglicht es KI-Agents, CUI-Ordnerhierarchien per natürlicher Sprache zu erstellen, umzubenennen, zu verschieben und zu organisieren – jede Operation wird von der Data Policy Engine überwacht. Von KI-Agents erstellte Ordnerstrukturen erben automatisch RBAC- und ABAC-Kontrollen und erfüllen so die CMMC-Anforderungen an die CUI-Segregation ab dem Erstellungszeitpunkt. Manuelle Bereitstellung ist nicht erforderlich, und kein von KI erstellter Ordner existiert außerhalb der Governance-Grenze.

FIPS 140-3-Verschlüsselung und manipulationssicherer Audit-Trail für SC.3.177 und AU.2.042

Alle über Kiteworks abgerufenen CUI sind durch FIPS 140-3 Level 1-validierte Verschlüsselung während der Übertragung und im ruhenden Zustand geschützt und erfüllen SC.3.177 mit einem validierten Modulzertifikat, das Prüfern direkt vorgelegt werden kann. Jede KI-Agenten-CUI-Interaktion wird in einem manipulationssicheren, operationsebene Log erfasst, das in das SIEM des Unternehmens eingespeist wird. Wenn der C3PAO ein Nachweispaket für AU.2.042 anfordert, erhalten Sie einen exportierbaren Bericht – keine forensische Rekonstruktion aus Infrastrukturprotokollen, die nie für die CMMC-Anforderungen konzipiert waren.

Rüstungsunternehmen, die KI mit operativer Geschwindigkeit einsetzen möchten, ohne CMMC-Beanstandungen zu riskieren, erhalten mit Kiteworks die Governance-Infrastruktur, die jede KI-Agenten-Interaktion mit CUI von Anfang an prüfungssicher macht. Erfahren Sie mehr über die CMMC-Compliance-Funktionen von Kiteworks oder fordern Sie eine Demo an, um zu sehen, wie Kiteworks den KI-Agenten-Zugriff auf CUI in Ihrer Umgebung steuert.

Weitere Ressourcen

• Blogbeitrag
  Zero‑Trust-Strategien für erschwinglichen KI-Datenschutz
• Blogbeitrag
  Wie 77 % der Unternehmen bei der KI-Datensicherheit scheitern
• eBook
  KI-Governance-Lücke: Warum 91 % kleiner Unternehmen 2025 russisches Roulette mit Datensicherheit spielen
• Blogbeitrag
  Für Ihre Daten gibt es kein „–dangerously-skip-permissions“
• Blogbeitrag
  Aufsichtsbehörden fragen nicht mehr, ob Sie eine KI-Policy haben. Sie wollen Beweise, dass sie funktioniert.