CUI-Schutz: Sicherer Umgang mit kontrollierten, nicht klassifizierten Informationen

Kontrollierte nicht klassifizierte Informationen (CUI) sind sensible, aber nicht klassifizierte Informationen, die gemäß Bundesgesetz, Verordnung oder behördenübergreifender Richtlinie Schutz- oder Verbreitungskontrollen erfordern. Für Bundesbehörden und Auftragnehmer in den Bereichen Verteidigung, Energie, Gesundheitswesen und anderen regulierten Sektoren bringt die Verpflichtung zur ordnungsgemäßen Handhabung von CUI erhebliche Compliance- und vertragliche Auswirkungen mit sich.

Dennoch fehlen vielen Organisationen noch die Verfahren, Systemkontrollen und die Transparenz, die zur Erfüllung der Bundesanforderungen erforderlich sind. Mit der laufenden CMMC Phase 1 Implementierung und der Regierung, die auf einheitlichere Anforderungen an die Handhabung von Auftragnehmern durch die FAR CUI Regel, ist die CUI-Compliance nicht mehr nur ein Ziel, sondern eine Vertragsvoraussetzung.

Organisationen, die keine ordnungsgemäße Identifikation, Kennzeichnung, Sicherung und Verbreitungskontrollen für CUI nachweisen können, riskieren negative Prüfungsergebnisse, Vertragsverzögerungen und den Verlust der Berechtigung für zukünftige Aufträge.

Dieser Leitfaden erklärt, was CUI tatsächlich ist, wie die Schutzanforderungen aussehen und wie man einen praktischen Ansatz entwickelt, um damit sicher umzugehen.

Was sind kontrollierte nicht klassifizierte Informationen (CUI)?

Kontrollierte nicht klassifizierte Informationen sind Informationen, die von der Bundesregierung erstellt oder besessen werden oder die eine Stelle im Auftrag der Regierung erstellt oder besitzt und die Schutz- oder Verbreitungskontrollen erfordern, die mit den geltenden Gesetzen, Vorschriften und regierungsweiten Richtlinien übereinstimmen.

Als formale Informationskategorie wurde CUI durch Executive Order 13556 etabliert und in 32 CFR Part 2002. Es ersetzte ein Flickwerk von veralteten Markierungen wie FOUO, LES und SBU durch einen einheitlichen, konsistenten Rahmen zum Schutz sensibler, aber nicht klassifizierter Informationen bei Bundesbehörden und deren Auftragnehmern.

Ein zentrales Prinzip bildet die Grundlage des gesamten Programms: Nur Informationen, die gemäß Bundesgesetz, Verordnung oder behördenübergreifender Richtlinie geschützt werden müssen, dürfen als CUI bezeichnet werden. Behörden können keine CUI-Kategorien ausschließlich nach administrativen Präferenzen erstellen.

CUI wird in zwei Behandlungskategorien unterteilt:

• CUI Basic ist der Standard. Es gelten einheitliche Standards aus 32 CFR Teil 2002 für alle CUI, es sei denn, das NARA CUI-Register kennzeichnet eine Kategorie ausdrücklich als CUI Specified. Banner-Markierungen sehen aus wie CUI oder CUI//PRVCY.
• CUI Spezifisch gilt, wenn das autorisierende Gesetz oder die Vorschrift spezifische Handhabungskontrollen enthält, die von den CUI Basic-Standardeinstellungen abweichen. Diese Kategorien tragen ein "SP-" Präfix, wie CUI//SP-CTI.

Der Unterschied liegt in der Quelle der Kontrollen, nicht im Sensitivitätsgrad; CUI Basic füllt alle Lücken, wo die spezifische Behörde schweigt.

Das NARA CUI Registry ist die maßgebliche Quelle und umfasst über 125 Kategorien. Es ist der Ort, an den Auftragnehmer gehen sollten, um die richtige Klassifizierung, Kennzeichnung und Handhabung für jegliches CUI zu bestimmen, dem sie begegnen.

Häufige Beispiele für CUI

Nicht alle sensiblen Daten sind CUI; sie müssen mit einer im CUI-Register aufgeführten Behörde verknüpft sein. Hier sind gängige CUI-Beispiele aus den wichtigsten Kategorien:

• Verteidigung (CTI): Kontrollierte technische Informationen (CTI) umfassen technische Schaltpläne, Systementwurfsdokumente und Quellcode, die für militärische Anwendungen entwickelt wurden und unter der Autorität von DFARS 252.204-7012 als CUI//SP-CTI gekennzeichnet sind.
• Exportkontrolle: Technische Zeichnungen für Verteidigungsartikel auf der U.S. Munitions List und technische Daten, die einer Exportlizenz unterliegen, fallen unter die Exportkontrollkategorien des CUI-Registers.
• Strafverfolgungsbehörden: Informationen zu Strafregistereinträgen, DNA-Profilen und Informantenidentifikationsdaten fallen unter CUI-Kategorien, die mit der Strafverfolgung zusammenhängen.
• Datenschutz: Sozialversicherungsnummern, Finanzkontonummern, biometrische Daten und HIPAA-gedeckte Gesundheitsinformationen werden unter datenschutz-/gesundheitsbezogenen CUI-Kategorien behandelt.
• Kritische Infrastruktur: Informationen über Verwundbarkeiten im Zusammenhang mit chemischem Terrorismus, kritische Energieinfrastrukturinformationen und Informationen über Verwundbarkeiten von Informationssystemen erscheinen unter den Kategorien kritische Infrastruktur.

Diese Beispiele sind repräsentativ, nicht endgültig. Überprüfen Sie immer die spezifische Kategorie, Behörde und erforderlichen Kennzeichnungen im CUI-Register und in Ihrer Vertragssprache, bevor Sie Handhabungsregeln festlegen.

Wichtige Anforderungen zum Schutz von CUI

Der Schutz von CUI besteht nicht nur darin, Dateien zu sperren. Er umfasst die Kennzeichnung, den physischen und digitalen Schutz sowie die Kontrolle darüber, wer auf Informationen zugreifen und diese teilen darf. Jeder dieser Bereiche unterliegt spezifischen bundesstaatlichen Anforderungen, und eine Lücke in einem dieser Bereiche kann Ihre gesamte Compliance-Position gefährden. Hier erfahren Sie, worauf Sie bei den drei Kernschutzsäulen achten müssen.

Kennzeichnung und Etikettierung von CUI

Inkonsistente Kennzeichnungen sind eine der schnellsten Möglichkeiten, eine Compliance-Bewertung nicht zu bestehen. Kennzeichnungen steuern die gesamte CUI-Verarbeitungskette: Sie geben autorisierten Inhabern an, wer auf Informationen zugreifen kann, wie sie geteilt werden dürfen und welche Schutzmaßnahmen gelten.

Standardmarkierungsbeispiele:

• CUI Basic ohne Kategorie: CUI
• Angegebenes CUI: CUI//SP-CTI
• CUI mit Verbreitungskontrolle angegeben: CUI//SP-SGI//FEDONLY

In der Praxis verhindern genaue Banner-Markierungen zusammen mit konsistenter nachgelagerter Kennzeichnung (E-Mail-Betreffzeilen, Dateikopfzeilen, Deckblätter und Repositorien), dass CUI in unkontrollierte Kanäle gelangt.

Jedes CUI-Dokument muss einen Bezeichnungsindikator enthalten, der die kontrollierende Behörde identifiziert. Die Richtlinien empfehlen außerdem, CUI-Bannerkennzeichnungen in E-Mail-Betreffzeilen und Nachrichtenkörpern anzubringen, wenn E-Mails CUI enthalten.

Geschützte und kontrollierte Umgebungen

CUI muss in kontrollierten Umgebungen mit ausreichenden Zugangskontrollen und Schutzmaßnahmen gegen unbefugtes Ansehen oder Abhören behandelt werden.

NIST SP 800-171 Rev. 1 hat die Basislinie festgelegt: Der Vertraulichkeitsauswirkungswert für CUI ist nicht geringer als FIPS 199 moderat. Laut FIPS 199 bedeutet moderat, dass der Verlust der Vertraulichkeit „voraussichtlich ernsthafte nachteilige Auswirkungen auf organisatorische Abläufe, organisatorische Vermögenswerte oder Einzelpersonen haben könnte.“

Organisationen müssen die Grenze ihres CUI-Systems in einem System Security Plan (SSP) beschreiben, einschließlich der Betriebsumgebung, wie Anforderungen umgesetzt werden und Verbindungen zu anderen Systemen.

Physische Sicherheitsanforderungen umfassen die Beschränkung des Zugangs auf autorisierte Personen, die Begleitung von Besuchern, die Führung von Zugriffsprotokollen und die Durchsetzung von Schutzmaßnahmen an alternativen Arbeitsplätzen.

Zugangskontrolle und Verbreitungskontrollen

Der Zugriff auf CUI folgt einem klaren Prinzip: Nur autorisierte Benutzer mit einem legitimen Kenntnisbedarf und entsprechender Schulung dürfen darauf zugreifen.

NIST SP 800-171 Rev. 3 hat das Kontenmanagement gestärkt, indem es die Definition zulässiger Kontotypen, die Autorisierung des Zugriffs basierend auf berechtigtem Bedarf und beabsichtigter Nutzung sowie die kontinuierliche Überwachung der Systemkontennutzung verlangt.

Gemäß 32 CFR 2002.16 muss die Verbreitung den Gesetzen entsprechen, die die CUI-Kategorie festgelegt haben, einem rechtmäßigen Regierungszweck dienen und darf nicht durch eine autorisierte eingeschränkte Verbreitungskontrolle beschränkt sein.

Bevor Sie CUI mit externen Parteien teilen, vergewissern Sie sich, dass der Empfänger ein berechtigtes Informationsbedürfnis hat, die CUI-Anforderungen versteht und die Informationen angemessen schützen kann.

Schulungen sind auch hier wichtig. Die FAR-CUI-Regel vom Januar 2025 legt fest, dass Auftragnehmer keinem Mitarbeiter erlauben dürfen, CUI zu bearbeiten, es sei denn, dieser Mitarbeiter hat eine ordnungsgemäße Schulung abgeschlossen, und Auftragnehmer müssen auf Anfrage einen Nachweis der Schulung vorlegen.

CUI und Cybersicherheitsrahmen

Die Verpflichtungen zum Schutz von CUI existieren nicht isoliert. Sie sind Teil eines mehrschichtigen Stacks von bundesstaatlichen Cybersicherheitsrahmen, die politische Anforderungen in spezifische, prüfbare Sicherheitskontrollen übersetzen.

Zu verstehen, wie diese Frameworks verbunden sind, ist entscheidend für den Aufbau einer konformen Umgebung, insbesondere wenn verschiedene Verträge auf unterschiedliche Revisionen oder Baselines verweisen.

NIST SP 800-171 und CUI

NIST SP 800-171 übersetzt die CUI-Schutzverpflichtungen in spezifische Sicherheitsanforderungen für nicht-föderale Systeme. Die aktuelle Version, Rev. 3, enthält 97 Sicherheitsanforderungen in 17 Kontrollfamilien. Rev. 2 hatte 110 Anforderungen in 14 Familien.

Wichtige Bereiche, die die Handhabung von CUI direkt beeinflussen, umfassen:

• Zugangskontrolle: Kontoverwaltung, geringste Berechtigung, Trennung der Aufgaben, Informationsflusskontrolle
• Audit und Verantwortlichkeit: Audit-Protokolle, die Ereignistyp, Zeitpunkt, Quelle, Ergebnis und Identität erfassen; Aufbewahrung entsprechend den Anforderungen der Organisation und des Vertrags
• Vorfallreaktion: operative Handhabungsfähigkeit, Nachverfolgung und Tests in der von der Organisation festgelegten Häufigkeit
• Medien­schutz: Reinigung vor der Entsorgung, kryptographischer Schutz während des Transports

Zusammen genommen definieren diese Bereiche die täglichen operativen Kontrollen, nach denen Auditoren suchen, wenn sie beurteilen, ob der Umgang mit CUI tatsächlich durchgesetzt wird und nicht nur dokumentiert ist.

FIPS 199 Auswirkungsstufen und CUI

Die Compliance-Kaskade funktioniert so: FIPS 199 kategorisiert die Auswirkungsstufen, FIPS 200 legt Mindestanforderungen an die Sicherheit fest, und die Auswahl der Kontrollen erfolgt anhand der NIST-Sicherheitskontroll-Baselines. Diese Baselines werden dann für NIST SP 800-171 an nicht-föderale Organisationen angepasst, die CUI handhaben.

Die praktischen Auswirkungen sind erheblich:

• Cloud-Hosting: Für CUI-Systeme in Cloud-Umgebungen wird FedRAMP Moderate weithin als die minimale geeignete Basislinie für Informationssysteme mit mittlerer Auswirkung angesehen.
• Verschlüsselung: Kryptografische Module müssen FIPS 140-2 validiert sein, nicht nur FIPS-zugelassene Algorithmen verwenden. Die CMVP-Richtlinien des NIST weisen auch darauf hin, dass nicht validierte Kryptografie als nicht schützend angesehen wird.
• Netzwerkschutz: Die moderate Basislinie umfasst Zugangskontrolle, Grenzschutz, Netzwerktrennung, Vertraulichkeit und Integrität der Übertragung sowie Netzwerküberwachung.

Für CUI, das mit kritischen Programmen oder High Value Assets verbunden ist, bietet NIST SP 800-172 erweiterte Sicherheitsanforderungen, die jedoch nur gelten, wenn sie ausdrücklich im Vertragstext festgelegt sind.

Best Practices für den sicheren Umgang mit CUI

Die folgenden Best Practices übersetzen die CUI-Compliance-Verpflichtungen in konkrete Schritte, die Ihr Team umsetzen kann – von der ersten Datenerkennung über Zugriffsverwaltung, Verschlüsselung bis hin zur Vorfallreaktion.

1. CUI genau identifizieren und klassifizieren

Nur Bundesbehörden können Informationen als CUI kennzeichnen. Wenn Auftragnehmer potenziell unmarkiertes CUI entdecken, sollten sie dies dem Vertragsbeauftragten zur offiziellen Feststellung melden und es nicht selbst kennzeichnen. Die FAR-CUI-Regel verlangt die Meldung der Entdeckung potenziellen CUI innerhalb von acht Stunden.

Beginnen Sie mit einer Überprüfung Vertrag für Vertrag. Ordnen Sie die in jedem Vertrag angegebenen CUI-Kategorien Ihren tatsächlichen Informationsflüssen zu. Häufige Fehler bei der Abgrenzung sind:

• Fehlende Systeme: Übersehen von Systemen, die CUI außerhalb Ihrer primären Umgebung verarbeiten
• Blinde Flecken bei Drittanbietern: das Nichtberücksichtigen von Dienstleistern, die CUI in Ihrem Auftrag bearbeiten
• Shadow IT: das Vergessen von Kollaborationstools und Cloud-Diensten, wo CUI landen kann

Schulungen sind ebenso wichtig und sollten auf drei Ebenen stattfinden:

• Universelles Bewusstsein: für alle, die auf CUI stoßen könnten
• Rollenbezogenes Training: für Mitarbeiter, die regelmäßig mit CUI umgehen
• Fortgeschrittene technische Schulung: für Systemadministratoren, die CUI-Umgebungen verwalten

Diese Investition in Schulungen ist entscheidend, da der menschliche Faktor weiterhin eine der größten Schwachstellen darstellt; laut dem Netwrix 2024 Hybrid Security Trends Report, geben 47 % der IT-Fachleute Mitarbeiterfehler und Nachlässigkeit als größte Sicherheitsherausforderung an.

Die Herausforderung der Entdeckung ist ebenso weit verbreitet; eine 2025 SANS Attack Surface Management (ASM) Survey von Netwrix gesponserte Umfrage ergab, dass nur 28 % der Organisationen glauben, dass ihre ASM-Plattformen sensible Dateien effektiv identifizieren, während weitere 41 % sagen, dass sie dies nur teilweise tun.

Hier macht der Einsatz von Werkzeugen einen echten Unterschied. Zum Beispiel hat First National Bank Minnesota Netwrix Auditor und Netwrix Data Classification verwendet, um sensible Daten zu entdecken, zu klassifizieren und an sichere Orte zu verschieben, und einen Active Directory-Neuaufbau in 3 Wochen statt 6 Monaten abgeschlossen.

2. Zugriff auf Objektebene steuern

Berechtigungen auf Ordner- und Site-Ebene sind für CUI nicht granular genug. NIST SP 800-171 erkennt an, dass Zugriffsdurchsetzungsmechanismen auf Anwendungs- und Serviceebene implementiert werden können, um den Schutz von CUI zu erhöhen.

Attributbasierte Zugriffskontrolle (ABAC), wie in NIST SP 800-162 definiert, bewertet Attribute des Benutzers, der Daten und der Umgebung anhand definierter Richtlinienregeln bei jeder Zugriffsanfrage. Der Vorteil für CUI ist das dynamische Minimalprivileg:

• Rollenänderungen: wenn sich die Missionszuweisung einer Person ändert, wird ihr Zugriff auf nicht mehr benötigte CUI automatisch über aktualisierte Subjektattribute widerrufen
• Klassifizierungsänderungen: wenn sich die Datenklassifizierung ändert, passen sich die Zugriffsrestriktionen für alle betroffenen Benutzer ohne manuelle Neukonfiguration an

3. Verschlüsseln Sie CUI während der Übertragung und im Ruhezustand

NIST SP 800-171 verlangt Verschlüsselung für CUI, die außerhalb kontrollierter Umgebungen übertragen oder gespeichert wird. Innerhalb geschützter Umgebungen können andere Schutzmaßnahmen die Anforderung erfüllen, aber jede CUI, die diese Grenze verlässt, muss verschlüsselt werden

Die entscheidende Anforderung ist, dass Verschlüsselungsmodule FIPS 140-2 validiert sein müssen, mit dokumentierten Zertifikatsnummern. Die bloße Verwendung von AES-256 reicht nicht aus, wenn das spezifische Modul nicht das Cryptographic Module Validation Program des NIST durchlaufen hat.

Die Schlüsselverwaltung verdient die gleiche Aufmerksamkeit und sollte daher als grundlegende Infrastruktur behandelt werden, nicht als nachträglicher Gedanke.

4. Vorfälle überwachen, protokollieren und darauf reagieren

NIST SP 800-171 verlangt Audit-Protokolle, die Ereignistyp, Zeitpunkt, Ort, Quelle, Ergebnis und zugehörige Identität erfassen. Einzelne Benutzeraktionen müssen eindeutig nachvollziehbar sein, und die Aufbewahrung der Audit-Protokolle sollte den von der Organisation und im Vertrag definierten Anforderungen entsprechen.

Im Incident-Response werden die Zeitpläne enger. Je nach Branche gelten unterschiedliche Meldepflichten:

• FAR CUI-Regel: ein achtstündiges Zeitfenster zur Meldung von vermuteten oder bestätigten CUI-Vorfällen
• DFARS 252.204-7012: DoD-Auftragnehmer melden über DIBNet
• CIRCIA: kritische Infrastruktureinheiten melden innerhalb von 72 Stunden an CISA

Die Einhaltung dieser Zeitvorgaben erfordert forensische Fähigkeiten und vorab festgelegte Untersuchungsverfahren, nicht nur Erkennung.

Die Korrelation von Aktivitätsdaten mit Zugriffsberechtigungen zahlt sich hier aus. In der realen Welt kann selbst ein verdächtiger Anstieg bei Dateiänderungen zu einem tagelangen Durcheinander werden, wenn Ihr Team Antworten aus getrennten Protokollen zusammensetzen muss.

Wie Netwrix Organisationen dabei hilft, CUI zu schützen

Kein einzelner Prozess oder Checkliste sorgt über Nacht für CUI-Konformität. Die Herausforderung für Auftragnehmer besteht darin, die Verbindung zwischen Datenerkennung, Zugriffsverwaltung und Auditvorbereitung herzustellen, ohne unzusammenhängende Tools zusammenzufügen, die Lücken hinterlassen, die ein Prüfer finden wird.

Wenn Ihre Umgebung auf Microsoft-Infrastruktur mit einer Mischung aus lokalen Dateiservern, Active Directory und Microsoft 365 läuft, benötigen Sie eine Plattform, die all dies von einem Ort aus abdeckt.

Die 1Secure-Plattform bietet automatisierte Erkennung über Dateisysteme, Datenbanken, Kollaborationsplattformen und Cloud-Speicher, sodass Sie CUI-relevante Daten finden können, bevor ein Prüfer dies tut.

Es kann sensible Dateien an unsicheren Orten isolieren, sie in sichere Bereiche verschieben, übermäßige Berechtigungen entfernen und Klassifizierungs-Tags in Dateien einbetten, wodurch Wochen manueller Inventarisierung zu einem automatisierten, wiederholbaren Prozess werden.

Aber allein die Entdeckung reicht nicht aus. Die schwierigere Frage ist: Wer kann auf diese Daten zugreifen, ist dieser Zugriff angemessen und können Sie es beweisen? Die 1Secure Plattform berichtet über überbelichtete sensible Datenobjekte, detaillierte Berechtigungsstrukturen für klassifizierte Inhalte und Aktivitäten im Zusammenhang mit sensiblen Dateien und Ordnern.

Das bedeutet, dass Sie erkennen können, wo CUI mit übermäßigen Berechtigungen liegt, und Abhilfe schaffen können, bevor es zu einem Audit-Fund kommt.

Netwrix Endpoint Protector erweitert diesen Schutz auf die Endpunkt-Ebene und verhindert, dass CUI kontrollierte Umgebungen über nicht autorisierte Kanäle verlässt. Es blockiert Übertragungen auf nicht genehmigte USB-Geräte, überwacht und kontrolliert Uploads über Browser, E-Mail-Clients und Cloud-Speicheranwendungen. Es erzwingt auch die Verschlüsselung auf genehmigten Wechseldatenträgern und adressiert damit direkt die Exfiltrationsrisiken, die durch die Anforderungen an die Handhabung von CUI verhindert werden sollen.

Vorgefertigte Compliance-Berichte zeigen, wer auf Daten zugegriffen hat, was sich geändert hat und wann, während die interaktive Suche Ihnen hilft, die Fragen der Prüfer in Minuten statt Tagen zu beantworten.

Fordern Sie eine Netwrix-Demo an und sehen Sie, wie eine Plattform Ihnen hilft, CUI in Ihrer hybriden Umgebung zu entdecken, zu schützen und Compliance nachzuweisen.