CMMC 2.0 Compliance-Checkliste: Jede Control-Domain, Punkt für Punkt

Dies ist eine Arbeits-Checkliste, keine Erzählung. Wenn Sie den chronologischen Ablauf eines CMMC 2.0-Zertifizierungsprojekts nachvollziehen möchten – von der ersten Bewertung bis zur laufenden Aufrechterhaltung –, finden Sie diesen in unserer CMMC 2.0 Roadmap. Diese Seite ist das Referenzdokument, mit dem Sie arbeiten, sobald Sie mitten im Prozess stecken – gegliedert nach Control-Domain, mit konkreten Punkten zum Prüfen, Nachverfolgen und Abhaken.

Hinweis: Die Anforderungen zur Drittzertifizierung von CMMC Phase 2 wurden im Juli 2026 vom Department of War bis zum Abschluss einer Programmüberprüfung ausgesetzt. Die Anforderungen zur Selbstbewertung sowie Ihre zugrunde liegenden NIST SP 800-171-Pflichten bleiben davon unberührt. Den aktuellen Programmstatus finden Sie unter CMMC Phase II ist ausgesetzt. Ihre DFARS-Pflichten nicht.

Zusammenfassung

Kernaussage: CMMC 2.0 Level 2 verlangt die nachweisbare Umsetzung aller 110 NIST SP 800-171-Controls über 14 Domains hinweg. Diese Checkliste gliedert jede Domain in konkrete, überprüfbare Einzelpunkte, sodass Sie genau nachvollziehen können, was umgesetzt, was dokumentiert und was noch offen ist.

Warum das wichtig ist: Ein C3PAO-Assessor – oder Ihre eigene Selbstbewertung – bewertet „CMMC-Compliance“ nicht als ein einziges Ja/Nein. Jedes Control wird einzeln geprüft, und Lücken in nur einer Domain können die Zertifizierung aufhalten. Wer diese Checkliste Domain für Domain durcharbeitet, deckt genau die eigenen Lücken auf, bevor ein Assessor sie findet.

Die wichtigsten Erkenntnisse

1. CMMC-Compliance wird Kontrolle für Kontrolle bewertet, nicht als einfaches Bestehen oder Nichtbestehen. Ein Assessor prüft jede der 110 Controls einzeln gegen Ihren System Security Plan. Eine starke Aufstellung in neun Domains gleicht eine echte Lücke in einer zehnten nicht aus – jede Domain muss für sich bestehen können.
2. Transparenz über Datenflüsse ist die Voraussetzung, die diese Checkliste bereits annimmt. Sie können Punkte zu Access Control oder Audit and Accountability nicht zuverlässig abhaken, wenn Sie nicht wissen, in welchen Systemen CUI oder FCI tatsächlich vorliegen – einschließlich E-Mail, File-Sharing und Webformularen, die zugunsten zentraler Datenbanken und Anwendungen oft übersehen werden.
3. Dokumentation ist genauso ein Checklistenpunkt wie die technische Kontrolle selbst. Ein Control, das implementiert, aber nicht im SSP dokumentiert ist, unterscheidet sich aus Sicht eines Assessors nicht von einem Control, das gar nicht existiert. Jeder Punkt unten hat sowohl eine „Umsetzungs-“ als auch eine „Dokumentationskomponente“.
4. Lücken sind kein Scheitern, wenn sie ordnungsgemäß erfasst werden. Ein dokumentiertes POA&M mit realistischem Zeitplan zur Behebung ist für ein noch nicht vollständig umgesetztes Control ein akzeptabler Zustand. Eine nicht dokumentierte Lücke, die der Assessor selbst entdeckt statt von Ihnen offengelegt zu bekommen, ist ein deutlich größeres Problem.
5. Diese Checkliste ist ein lebendiges Dokument, keine einmalige Übung. Controls, die heute bestehen, können mit der Zeit aus der Compliance herausdriften, wenn sich Systeme, Mitarbeitende und Dienstleister ändern. Gehen Sie diese Checkliste regelmäßig durch – nicht nur vor einer geplanten Bewertung.

Bevor Sie beginnen

Klären Sie zwei Punkte, bevor Sie die folgenden domänenspezifischen Checklisten durcharbeiten, da diese bestimmen, welche Punkte für Sie überhaupt relevant sind.

☐ Bestimmen Sie das für Sie geltende CMMC-Level. Level 1 gilt, wenn Sie ausschließlich Federal Contract Information (FCI) verarbeiten. Level 2 gilt, wenn Sie Controlled Unclassified Information (CUI) verarbeiten – diese Checkliste basiert auf den vollständigen 110 Controls von Level 2. Level 3 ergänzt Level 2 um zusätzliche, verschärfte Controls. Prüfen Sie dazu direkt Ihren Vertragstext oder die Flow-down-Anforderungen Ihres Hauptauftragnehmers.

☐ Erfassen Sie alle Systeme, die mit CUI oder FCI in Berührung kommen. Dazu zählen offensichtliche Systeme (Dateiserver, Datenbanken) ebenso wie häufig übersehene (E-Mail, File-Sharing-Plattformen, Managed File Transfer, Webformulare zur Datenerfassung von Partnern sowie sämtliche KI-Tools mit Zugriff auf diese Systeme). Ohne diese Bestandsaufnahme lässt sich die folgende Checkliste nicht zuverlässig abarbeiten.

Access Control (AC)

☐ Beschränken Sie den Systemzugriff ausschließlich auf autorisierte Nutzer, Prozesse und Geräte.
☐ Beschränken Sie den Zugriff auf die Arten von Transaktionen und Funktionen, die autorisierte Nutzer ausführen dürfen (Prinzip der geringsten Rechte).
☐ Steuern Sie den Fluss von CUI gemäß genehmigten Berechtigungen.
☐ Trennen Sie Zuständigkeiten, um das Risiko böswilliger Handlungen ohne Absprache zu verringern (Funktionstrennung).
☐ Wenden Sie das Prinzip der geringsten Rechte für alle Konten und Prozesse an, einschließlich privilegierter Konten.
☐ Begrenzen Sie fehlgeschlagene Anmeldeversuche und erzwingen Sie eine automatische Sitzungssperre nach einer definierten Inaktivitätsdauer.
☐ Kontrollieren Sie Verbindungen zu externen Systemen und überwachen Sie Fernzugriffssitzungen.
☐ Dokumentieren Sie sämtliche Access-Control-Richtlinien in Ihrem SSP, einschließlich der Personen, die Zugriffsanfragen prüfen und genehmigen.

Erfahren Sie mehr über die Domain Access Control für die CMMC-Compliance.

Audit and Accountability (AU)

☐ Erstellen und bewahren Sie System-Audit-Protokolle auf, die eine Überwachung, Analyse, Untersuchung und Meldung unrechtmäßiger oder nicht autorisierter Aktivitäten ermöglichen.
☐ Stellen Sie sicher, dass die Handlungen einzelner Systemnutzer eindeutig nachvollzogen werden können, damit Nutzer für ihr Handeln zur Verantwortung gezogen werden können.
☐ Überprüfen und aktualisieren Sie protokollierte Ereignisse regelmäßig, wenn sich Ihre Systeme und die Bedrohungslage ändern.
☐ Schützen Sie Audit-Protokolle und Protokollierungstools vor unbefugtem Zugriff, Änderung und Löschung.
☐ Korrelieren Sie Audit-Datensätze systemübergreifend, um bei Untersuchungen eine einheitliche Zeitachse zu erhalten.
☐ Vergewissern Sie sich, dass Ihre Audit-Protokolle zentral zusammengeführt und an einem Ort einsehbar sind – nicht über Systeme verstreut, ohne einheitliches Format, das ein Assessor effizient prüfen könnte.

Erfahren Sie mehr über die Domain Audit and Accountability für die CMMC-Compliance.

Configuration Management (CM)

☐ Erstellen und pflegen Sie Baseline-Konfigurationen für alle Systeme, die CUI verarbeiten.
☐ Legen Sie Sicherheitskonfigurationen für IT-Produkte fest und setzen Sie diese durch.
☐ Verfolgen, prüfen, genehmigen und protokollieren Sie alle Änderungen an Systemen der Organisation.
☐ Analysieren Sie die Sicherheitsauswirkungen von Änderungen, bevor diese umgesetzt werden.
☐ Schränken Sie die Nutzung nicht erforderlicher Programme, Funktionen, Ports, Protokolle und Dienste ein, deaktivieren oder verhindern Sie diese.
☐ Wenden Sie das Prinzip der minimalen Funktionalität an, indem Sie Systeme so konfigurieren, dass nur essenzielle Funktionen bereitgestellt werden.

Erfahren Sie mehr über die Domain Configuration Management für die CMMC-Compliance.

Identification and Authentication (IA)

☐ Identifizieren Sie Systemnutzer, in deren Auftrag handelnde Prozesse sowie Geräte eindeutig.
☐ Authentifizieren Sie die Identität von Nutzern, Prozessen und Geräten, bevor Sie Zugriff gewähren.
☐ Erzwingen Sie Multi-Faktor-Authentifizierung für lokalen und Netzwerkzugriff auf privilegierte Konten sowie für Netzwerkzugriff auf nicht privilegierte Konten.
☐ Erzwingen Sie eine Mindestkomplexität und Wechselhäufigkeit für Passwörter oder nutzen Sie passwortlose Authentifizierungsverfahren mit gleichwertigem Sicherheitsniveau.
☐ Verhindern Sie die Wiederverwendung von Kennungen und Passwörtern für einen definierten Zeitraum.
☐ Verschleiern Sie Rückmeldungen zu Authentifizierungsinformationen (keine sichtbaren Passwörter bei der Eingabe).

Erfahren Sie mehr über die Domain Identification & Authentication für die CMMC-Compliance.

Media Protection (MP)

☐ Schützen Sie Systemmedien mit CUI – sowohl in Papierform als auch digital – durch physische Kontrolle und sichere Aufbewahrung.
☐ Beschränken Sie den Zugriff auf CUI auf Systemmedien auf autorisierte Nutzer.
☐ Bereinigen oder vernichten Sie Systemmedien mit CUI vor der Entsorgung oder Wiederverwendung.
☐ Kennzeichnen Sie Medien mit den erforderlichen CUI-Kennzeichnungen und Verteilungsbeschränkungen.
☐ Kontrollieren Sie den Zugriff auf Medien mit CUI und stellen Sie die Nachvollziehbarkeit beim Transport außerhalb kontrollierter Bereiche sicher.

Erfahren Sie mehr über die Domain Media Protection für die CMMC-Compliance.

Personnel Security (PS)

☐ Überprüfen Sie Personen, bevor Sie ihnen Zugriff auf Systeme mit CUI gewähren.
☐ Stellen Sie sicher, dass CUI und Systeme mit CUI während und nach personellen Maßnahmen wie Kündigung oder Versetzung geschützt bleiben.
☐ Dokumentieren Sie Offboarding-Prozesse, einschließlich des sofortigen Entzugs von Zugriffsrechten bei Beendigung des Beschäftigungsverhältnisses.

Erfahren Sie mehr über die Domain Personnel Security für die CMMC-Compliance.

Physical Protection (PE)

☐ Beschränken Sie den physischen Zugang zu Systemen, Geräten und Betriebsumgebungen auf autorisierte Personen.
☐ Begleiten Sie Besucher und überwachen Sie deren Aktivitäten, wobei Sie Protokolle über physische Zugriffe führen.
☐ Kontrollieren und verwalten Sie physische Zutrittsmittel (Schlüssel, Ausweise, Zugangscodes).
☐ Setzen Sie Schutzmaßnahmen für CUI an alternativen Arbeitsorten durch, einschließlich Homeoffice-Standorten.

Erfahren Sie mehr über die Domain Physical Protection für die CMMC-Compliance.

Risk Assessment (RA)

☐ Bewerten Sie regelmäßig die Risiken für den Geschäftsbetrieb, Vermögenswerte und Personen, die sich aus dem Betrieb Ihrer Systeme ergeben.
☐ Scannen Sie Systeme und Anwendungen regelmäßig sowie bei Bekanntwerden neuer Schwachstellen auf Sicherheitslücken.
☐ Beheben Sie identifizierte Schwachstellen gemäß einem dokumentierten, risikobasierten Zeitplan.
☐ Dokumentieren Sie Ihren Risikobewertungsprozess und die Ergebnisse – dies gehört zu den am häufigsten angeforderten Nachweisen bei C3PAO-Assessments.

Erfahren Sie mehr über die Domain Risk Assessment für die CMMC-Compliance.

Security Assessment (CA)

☐ Bewerten Sie Sicherheitskontrollen regelmäßig, um deren Wirksamkeit in der Anwendung zu überprüfen.
☐ Entwickeln und setzen Sie Pläne (POA&Ms) um, um Mängel zu beheben und Schwachstellen zu reduzieren oder zu beseitigen.
☐ Überwachen Sie Sicherheitskontrollen fortlaufend, um deren dauerhafte Wirksamkeit sicherzustellen.
☐ Pflegen Sie einen aktuellen System Security Plan (SSP), der Systemgrenzen, Betriebsumgebungen und die Umsetzung jedes einzelnen Controls beschreibt.

Erfahren Sie mehr über die Domain Security Assessment für die CMMC-Compliance.

System and Communications Protection (SC)

☐ Überwachen, kontrollieren und schützen Sie die Kommunikation an externen Grenzen sowie an wichtigen internen Grenzen.
☐ Implementieren Sie Subnetze für öffentlich zugängliche Systemkomponenten, getrennt von internen Netzwerken.
☐ Verwenden Sie FIPS-validierte Kryptografie (FIPS 140-3), um die Vertraulichkeit von CUI im Ruhezustand und bei der Übertragung zu schützen.
☐ Erstellen und verwalten Sie kryptografische Schlüssel gemäß den geltenden Anforderungen – prüfen Sie, ob Ihr Schlüsselmanagement einen hardwaregestützten Schutz (HSM oder gleichwertig) umfasst.
☐ Verhindern Sie unbefugte und unbeabsichtigte Informationsübertragung über gemeinsam genutzte Systemressourcen.

Erfahren Sie mehr über die Domain System & Communications Protection für die CMMC-Compliance.

System and Information Integrity (SI)

☐ Identifizieren, melden und beheben Sie Systemfehler zeitnah.
☐ Sorgen Sie an geeigneten Stellen innerhalb der Systeme der Organisation für Schutz vor Schadcode.
☐ Überwachen Sie Systeme, einschließlich ein- und ausgehender Kommunikation, auf unbefugte Nutzung.
☐ Aktualisieren Sie Schutzmechanismen gegen Schadcode, sobald neue Versionen verfügbar sind.

Erfahren Sie mehr über die Domain System and Information Integrity für die CMMC-Compliance.

Incident Response (IR)

☐ Etablieren Sie eine funktionsfähige Incident-Response-Fähigkeit, die Vorbereitung, Erkennung, Analyse, Eindämmung, Wiederherstellung und Reaktionsmaßnahmen der Nutzer umfasst.
☐ Verfolgen, dokumentieren und melden Sie Vorfälle bei den zuständigen internen und externen Stellen und Behörden, wie vorgeschrieben.
☐ Vergewissern Sie sich, dass Ihr Meldeprozess die 72-Stunden-Frist gemäß DFARS 252.204-7012 für Cybervorfälle mit Bezug zu Covered Defense Information erfüllt.

Erfahren Sie mehr über die Domain Incident Response für die CMMC-Compliance.

Awareness and Training (AT)

☐ Stellen Sie sicher, dass Mitarbeitende über die mit ihrer Tätigkeit verbundenen Sicherheitsrisiken und geltenden Richtlinien informiert sind.
☐ Führen Sie Sicherheitsschulungen bei der Einstellung durch und wiederholen Sie diese mindestens jährlich.
☐ Bieten Sie rollenbasierte Schulungen für Mitarbeitende mit zugewiesenen Sicherheitsverantwortlichkeiten an.

Erfahren Sie mehr über die Domain Awareness and Training für die CMMC-Compliance.

Maintenance (MA)

☐ Führen Sie Wartungsarbeiten an Systemen der Organisation nach kontrollierten, dokumentierten Verfahren durch.
☐ Verlangen Sie Multi-Faktor-Authentifizierung für nicht-lokale Wartungssitzungen.
☐ Beaufsichtigen Sie Wartungsarbeiten, die von Personal ohne die erforderliche Zugriffsberechtigung durchgeführt werden.

Erfahren Sie mehr über die Domain Maintenance für die CMMC-Compliance.

Wie Kiteworks diese Checkliste unterstützt

Kiteworks deckt nahezu 90 % der Anforderungen von CMMC 2.0 Level 2 bereits im Standard ab und adressiert damit direkt mehrere der oben genannten Domains, ohne dass für jede einzelne ein separates Tool erforderlich wäre.

Access Control und Identification and Authentication: Eine einheitliche Data Policy Engine setzt rollen- und attributbasierte Zugriffskontrolle, das Prinzip der geringsten Rechte sowie Multi-Faktor-Authentifizierung konsistent über sichere E-Mail, sicheres File-Sharing, Managed File Transfer und SFTP hinweg durch.

Audit and Accountability, Security Assessment: Ein einziger, konsolidierter und unveränderlicher Audit-Trail erstreckt sich über alle Kanäle und bietet Ihnen eine zentrale Stelle zum Nachweis der Compliance, statt Protokolle aus getrennten Systemen abgleichen zu müssen.

System and Communications Protection: AES-256-Verschlüsselung auf Datei- und Festplattenebene, FIPS-140-3-validierte kryptografische Module sowie vom Kunden verwaltete Verschlüsselungsschlüssel, mit optionaler HSM-Integration für ein hardwaregestütztes Schlüsselmanagement.

System and Information Integrity: Kontinuierliche Überwachung und Anomalieerkennung über alle Kanäle für den Austausch sensibler Daten hinweg, mit SIEM-Integration für einen umfassenderen Überblick auf Unternehmensebene.

Wie Kiteworks konkret auf Ihre offenen Checklistenpunkte einzahlt, zeigen wir Ihnen gerne in einer individuellen Demo.

Weiterführende Ressourcen

• Blogbeitrag CMMC-Compliance für kleine Unternehmen: Herausforderungen und Lösungen
• Blogbeitrag CMMC-Compliance-Leitfaden für DIB-Zulieferer
• Blogbeitrag CMMC-Audit-Anforderungen: Was Assessoren bei der Bewertung Ihrer CMMC-Bereitschaft sehen müssen
• Leitfaden CMMC 2.0 Compliance-Mapping für die Kommunikation sensibler Inhalte
• Blogbeitrag Die wahren Kosten der CMMC-Compliance: Was Verteidigungsauftragnehmer einplanen müssen