CMMC-Compliance und Managed File Transfer: Wie Verteidigungsauftragnehmer CUI bei Dateiübertragungen schützen müssen

Rüstungsunternehmen und Organisationen der Lieferkette des US-Verteidigungsministeriums (DoD) unterliegen strengen gesetzlichen Vorgaben zum Schutz von Controlled Unclassified Information (CUI). Die Erfüllung von CMMC-Compliance-Anforderungen für Managed File Transfer (MFT) ist eine zwingende Voraussetzung für Unternehmen, die eine Cybersecurity Maturity Model Certification (CMMC) der Stufen 2 oder 3 anstreben. Herkömmliche Filesharing-Methoden, Consumer-Cloud-Speicher und veraltete FTP-Server bieten weder die erforderliche kryptografische Validierung, noch granulare Zugriffskontrollen oder unveränderliche Prüfprotokolle, wie sie das CMMC-Framework vorschreibt.

Um DoD-Aufträge zu behalten und Haftungsrisiken nach dem False Claims Act zu vermeiden, müssen Rüstungsunternehmen Managed File Transfer-Architekturen auf Enterprise-Niveau implementieren, die speziell darauf ausgelegt sind, die Sicherheitskontrollen gemäß NIST SP 800-171 und NIST SP 800-172 für alle internen und externen Datenbewegungen durchzusetzen.

Executive Summary

Dieser Leitfaden erläutert, wie Rüstungsunternehmen ihre Managed File Transfer-Systeme gestalten müssen, um CUI zu schützen und CMMC-Compliance zu erreichen. Verantwortliche für Cybersecurity und GRC erfahren, wie sie spezifische CMMC-Praktiken auf MFT-Funktionen abbilden, verschiedene CUI-Kategorien behandeln und FedRAMP– sowie FIPS 140-3-validierte Lösungen einsetzen, um die DoD-Anforderungen zu erfüllen.

wichtige Erkenntnisse

1. CMMC Level 2 verlangt umfassenden Schutz von CUI während der Übertragung und im ruhenden Zustand. Rüstungsunternehmen müssen Managed File Transfer-Lösungen einsetzen, die strenge Zugriffskontrollen, Verschlüsselung und Prüfprotokolle durchsetzen, um die 110 Praktiken aus NIST SP 800-171 zu erfüllen.
2. Unterschiedliche CUI-Kategorien erfordern spezifische Handhabungsprotokolle. Controlled Technical Information (CTI) und Privacy CUI benötigen granulare Data Loss Prevention, Ende-zu-Ende-Verschlüsselung und strikte Zugriffsgovernance, um unbefugte Offenlegung beim externen Filesharing zu verhindern.
3. FIPS 140-3-Validierung ist ein verpflichtender kryptografischer Standard. CMMC-konforme File Transfer-Systeme müssen FIPS-validierte kryptografische Module einsetzen, um CUI zu schützen. Nicht validierte Verschlüsselung führt automatisch zum Nichtbestehen der CMMC-Prüfung im Bereich System- und Kommunikationsschutz.
4. FedRAMP-Autorisierung erfüllt DFARS 7012 Cloud-Anforderungen. Cloud-basierte MFT-Lösungen, die CUI verarbeiten, müssen mindestens die FedRAMP Moderate-Autorisierung erreichen, um die Vorgaben für Cloud Service Provider gemäß DFARS 252.204-7012 zu erfüllen.
5. Zentralisierte Prüfprotokolle belegen Compliance bei Audits. MFT-Plattformen müssen unveränderliche, detaillierte Audit-Trails aller Dateitransfers, Authentifizierungsereignisse und administrativen Aktionen erzeugen, um die CMMC-Anforderungen im Bereich Audit und Accountability (AU) zu erfüllen.

CMMC-Compliance-MFT-Anforderungen verlangen strikte CUI-Schutzprotokolle

Rüstungsunternehmen müssen CMMC-konforme File Transfer-Systeme implementieren, die Sicherheitsrichtlinien automatisch auf Basis der jeweiligen Kategorie von Controlled Unclassified Information (CUI) durchsetzen. Das DoD CUI Registry definiert mehrere Kategorien sensibler Informationen, die jeweils eigene Anforderungen an Handhabung, Schutz und Weitergabe stellen. Die Verantwortung auf Endanwender zu übertragen, führt zwangsläufig zu Datenabfluss und Compliance-Verstößen. Stattdessen müssen Unternehmen diese Anforderungen programmatisch über ihre Managed File Transfer-Architektur durchsetzen, sodass jede hoch- oder heruntergeladene oder extern geteilte Datei strengen Sicherheitsprüfungen unterliegt.

Controlled Technical Information (CTI) erfordert Ende-zu-Ende-Verschlüsselung und Zugriffsgovernance

Controlled Technical Information (CTI) zählt zu den am stärksten angegriffenen Datenkategorien innerhalb der Defense Industrial Base (DIB). CTI umfasst Konstruktionsdaten, Spezifikationen, Handbücher, technische Berichte, Baupläne und Quellcode mit militärischem oder Raumfahrtbezug. Da die Kompromittierung von CTI direkte Auswirkungen auf die nationale Sicherheit hat, müssen MFT-Systeme beim Austausch dieser Daten in der Lieferkette Ende-zu-Ende-Verschlüsselung und strikte Zugriffsgovernance durchsetzen.

Organisationen müssen den Zugriff auf CTI ausschließlich authentifizierten Anwendern mit nachgewiesenem „Need-to-know“ vorbehalten. Eine CMMC-konforme File Transfer-Plattform setzt dies um, indem sie sich mit Enterprise Identity and Access Management (IAM)-Systemen integriert und Role-Based Access Control (RBAC) anwendet. Darüber hinaus müssen MFT-Systeme verhindern, dass externe Subunternehmer technische Datenpakete unbefugt herunterladen, weiterleiten oder drucken. Dies wird durch Digitales Rechtemanagement (Digital Rights Management, DRM), die Durchsetzung von Nur-Lese-Zugriff, Dokumenten-Wasserzeichen mit Empfängeridentität und strikte Ablaufregeln für sichere Zugriffslinks erreicht. Die Anwendung von Datenklassifizierungs-Labels auf CTI vor dem Import in die MFT-Plattform ermöglicht eine automatisierte Richtliniendurchsetzung je nach Sensitivitätsstufe und eliminiert die Abhängigkeit von manuellen Nutzerentscheidungen.

Privacy CUI erfordert granulare Data Loss Prevention und Audit-Trails

Privacy CUI, darunter personenbezogene Daten (PII) und geschützte Gesundheitsinformationen (PHI) von DoD-Mitarbeitern, Auftragnehmern und deren Familien, verlangt strenge Data Loss Prevention (DLP) und kontinuierliches Monitoring. Während CTI häufig Ziel von Staaten für Spionage ist, wird Privacy CUI oft für Identitätsdiebstahl, Erpressung und Social Engineering angegriffen.

CMMC-konforme Filesharing-Lösungen müssen sich nahtlos per ICAP (Internet Content Adaptation Protocol) mit Enterprise-DLP-Engines verbinden, um alle ausgehenden Dateitransfers auf Privacy CUI zu scannen. Wird dabei ein unbefugter Transfer sensibler Datenschutzdaten erkannt, muss das MFT-System die Übertragung automatisch blockieren, die Datei isolieren und das Security Operations Center (SOC) alarmieren. Zusätzlich muss jede Interaktion mit Privacy CUI ein unveränderliches Prüfprotokoll erzeugen, das Absender, Empfänger, Zeitstempel, IP-Adresse und die konkret abgerufenen Daten dokumentiert. Diese Audit-Trails sind entscheidend, um die Meldepflichten gemäß DFARS 252.204-7012 zu erfüllen, wonach Vorfälle mit CUI innerhalb von 72 Stunden nach Entdeckung gemeldet werden müssen.

Abbildung von CMMC-Praktiken auf Managed File Transfer-Funktionen

Für die CMMC Level 2-Zertifizierung müssen Unternehmen die 110 Praktiken aus NIST SP 800-171 direkt auf ihre technische Infrastruktur und Betriebsprozesse abbilden. Bei einer CMMC-Prüfung verlangt eine Certified Third-Party Assessment Organization (C3PAO) dokumentierte Nachweise, dass diese Praktiken wirksam implementiert und kontinuierlich überwacht werden. Eine leistungsfähige Managed File Transfer-Plattform dient als zentrales Durchsetzungsinstrument für mehrere kritische Bereiche, insbesondere Access Control (AC), Audit and Accountability (AU), System and Communications Protection (SC) sowie Identification and Authentication (IA).

Die folgende Tabelle zeigt, wie Enterprise-MFT-Funktionen spezifische CMMC Level 2-Praktiken für den Schutz von CUI bei Dateitransfers direkt adressieren und erfüllen:

FedRAMP- und FIPS 140-3-Validierung bilden die Grundlage für CMMC-konformen File Transfer

Rüstungsunternehmen können sich nicht auf kommerzielle Filesharing-Tools oder Standard-Enterprise-Software zum Schutz von CUI verlassen. Das Verteidigungsministerium schreibt spezifische kryptografische Standards und Cloud-Sicherheitszertifizierungen vor, die in der MFT-Architektur fest verankert sein müssen. Der Einsatz von Lösungen mit FedRAMP-Autorisierung und FIPS 140-3-Validierung ist eine Grundvoraussetzung für das Bestehen eines C3PAO-Audits. Plattformen wie Kiteworks, die FIPS 140-3-validiert sind und über eine FedRAMP Moderate-Autorisierung verfügen (FedRAMP High In Process für die Secure Gov Cloud), bieten genau das kryptografische und Cloud-Sicherheitsniveau, das das DoD verlangt.

FIPS 140-3-validierte Kryptografie gewährleistet rechtssichere CUI-Verschlüsselung

CMMC-Praktik SC.3.177 verlangt explizit den Einsatz von FIPS-validierter Kryptografie zum Schutz der Vertraulichkeit von CUI. Dabei ist zwischen „FIPS-konform“ und „FIPS-validiert“ zu unterscheiden. FIPS-konform bedeutet lediglich, dass ein Anbieter Algorithmen wie AES-256 verwendet – das reicht für CMMC nicht aus. FIPS-validiert heißt, dass das verwendete kryptografische Modul vom NIST Cryptographic Module Validation Program (CMVP) umfassend getestet und offiziell zertifiziert wurde.

MFT-Systeme müssen für alle Daten im ruhenden Zustand und während der Übertragung FIPS 140-3-validierte Verschlüsselung einsetzen. So ist sichergestellt, dass Algorithmen, Schlüsselmanagement und Zufallszahlengeneratoren für technische Daten und Datenschutzinformationen den strengen mathematischen und betrieblichen Standards der US-Regierung entsprechen. Nutzt eine MFT-Plattform nicht validierte Kryptografie, fällt das Unternehmen beim CMMC-Audit im Bereich System- und Kommunikationsschutz automatisch durch.

FedRAMP-Autorisierung erfüllt DFARS 7012 Cloud-Sicherheitsanforderungen

Gemäß DFARS 252.204-7012 müssen Rüstungsunternehmen, die einen Cloud Service Provider (CSP) für Speicherung, Verarbeitung oder Übertragung von CUI nutzen, sicherstellen, dass der CSP mindestens die Sicherheitsanforderungen des FedRAMP Moderate-Baselines erfüllt. Zusätzlich muss der CSP die Abschnitte (c) bis (g) der DFARS-Klausel einhalten, die strenge Vorgaben für Cyber-Vorfallmeldung, Malware-Übermittlung und Medienaufbewahrung machen.

Eine CMMC-konforme File Transfer-Plattform in der Cloud muss mindestens eine FedRAMP Moderate-Autorisierung besitzen, um DoD-Daten rechtssicher zu verarbeiten. Für Unternehmen, die hochsensible CUI, ITAR-beschränkte Daten oder strengere Vorgaben (wie CMMC Level 3) verarbeiten, bietet eine Plattform mit FedRAMP High In Process die nötigen Sicherheitskontrollen zum Schutz vor Advanced Persistent Threats (APTs) gegen die Defense Industrial Base. Diese Autorisierung belegt, dass die Cloud-Umgebung unabhängig geprüft und kontinuierlich von Behörden überwacht wird.

Architektur eines CMMC-konformen Filesharing-Ökosystems

Der Einsatz eines isolierten Secure File Transfer-Tools reicht für die CMMC-Zertifizierung nicht aus. Verantwortliche für GRC und Cybersecurity müssen ein umfassendes Filesharing-Ökosystem konzipieren, das MFT-Funktionen mit der bestehenden Enterprise-Sicherheitsinfrastruktur integriert. Dieser Defense-in-Depth-Ansatz stellt sicher, dass CUI über alle Kommunikationskanäle hinweg geschützt ist – einschließlich Ad-hoc-Filesharing, Secure Email, automatisierter System-zu-System-Transfers und Web-Formulare.

Für eine widerstandsfähige und konforme Architektur müssen Rüstungsunternehmen folgende Strukturvorgaben umsetzen:

• Zentralisierte Richtliniendurchsetzung: Konsolidieren Sie alle externen Filesharing-Prozesse, Secure Email und automatisierte System-zu-System-Transfers auf einer einzigen MFT-Plattform. So verhindern Sie Schatten-IT, unterbinden die Nutzung nicht autorisierter Consumer-Cloud-Speicher und stellen eine einheitliche CUI-Richtliniendurchsetzung im gesamten Unternehmen sicher.
• Identity and Access Management (IAM)-Integration: Verbinden Sie das MFT-System per SAML oder OpenID Connect mit Enterprise-Verzeichnissen (z. B. Active Directory oder Entra ID). Dadurch können Sie Zwei-Faktor-Authentifizierung (2FA) erzwingen, die Nutzerbereitstellung anhand von Gruppenmitgliedschaften automatisieren und Zugriffsrechte bei Ausscheiden oder Rollenwechsel sofort entziehen.
• Advanced Threat Protection (ATP) und Antivirus: Leiten Sie alle eingehenden Dateitransfers per ICAP an Enterprise-ATP- und Antivirus-Lösungen weiter. So werden alle Dateien, die von externen Subunternehmern in die sichere Umgebung gelangen, vor dem Zugriff durch interne Anwender auf Malware, Ransomware und Zero-Day-Bedrohungen geprüft.
• Data Loss Prevention (DLP)-Integration: Überprüfen Sie alle ausgehenden Datenpakete auf markierte und unmarkierte CUI. Die Integration der MFT-Plattform mit Enterprise-DLP-Engines ermöglicht es, unbefugte Übertragungen zu blockieren, Verschlüsselung automatisch zu erzwingen und Sicherheitsteams bei Insider-Bedrohungen oder versehentlichem Datenabfluss zu alarmieren.
• Automatisiertes Lifecycle-Management: Setzen Sie automatisierte Aufbewahrungs- und Löschrichtlinien für Dateien um, um CUI nach Wegfall des operativen Bedarfs aus dem MFT-System zu entfernen. Durch automatische Löschung nach einer definierten Frist wird die Angriffsfläche minimiert und die Einhaltung der Datenminimierung gemäß NIST SP 800-171-Medienbereinigungsanforderungen gewährleistet.
• Umfassende SIEM-Integration: Exportieren Sie alle MFT-Prüfprotokolle an das Security Information and Event Management (SIEM)-System des Unternehmens. So ermöglichen Sie kontinuierliches Monitoring, schnelle Incident Response und liefern C3PAO-Auditoren die zentralen, unveränderlichen Nachweise zur Erfüllung der AU-Praktiken.

Sichern Sie CUI und erreichen Sie CMMC-Compliance mit Kiteworks

Für CMMC-Compliance ist eine Managed File Transfer-Plattform erforderlich, die speziell für die hohen Sicherheitsanforderungen der Defense Industrial Base entwickelt wurde. Das Private Data Network von Kiteworks bietet Rüstungsunternehmen eine umfassende, sichere Filesharing– und MFT-Lösung zum Schutz von Controlled Unclassified Information (CUI) und zur Erfüllung der Compliance-Anforderungen aus NIST SP 800-171.

Kiteworks ist FIPS 140-3-validiert und stellt sicher, dass alle CUI im ruhenden Zustand und während der Übertragung mit von NIST zertifizierten kryptografischen Modulen verschlüsselt werden. Für Cloud-Deployments ist Kiteworks FedRAMP Moderate autorisiert und FedRAMP High In Process (Secure Gov Cloud) und erfüllt damit vollständig die DFARS 252.204-7012-Anforderungen für Cloud Service Provider. Durch die Zentralisierung von Secure Email, automatisierten Dateitransfers und externem Filesharing auf einer einzigen, umfassend auditierten Plattform ermöglicht Kiteworks GRC- und Cybersecurity-Verantwortlichen die Durchsetzung strikter Zugriffskontrollen, die Integration mit Enterprise-DLP- und ATP-Systemen sowie die Generierung unveränderlicher Audit-Trails für das Bestehen eines C3PAO-Audits. Das CISO Dashboard bietet Echtzeit-Transparenz über alle CUI-Datenflüsse und liefert Compliance-Teams die konsolidierten Nachweise für CMMC-Assessments.

Erfahren Sie, wie Kiteworks Ihren Weg zur CMMC Level 2- oder Level 3-Zertifizierung beschleunigen kann – vereinbaren Sie jetzt eine individuelle Demo.

Weitere Ressourcen

• Blog Post 6 Gründe, warum Managed File Transfer besser ist als FTP
• Brief Governance, Compliance und Schutz von Inhalten mit Managed File Transfer optimieren
• Blog Post Leitfaden für den Kauf von Managed File Transfer-Software
• Blog Post Elf Anforderungen an sicheren Managed File Transfer
• Blog Post Die besten sicheren Managed File Transfer-Lösungen für Unternehmen