{"id":907951,"date":"2026-10-23T13:51:32","date_gmt":"2026-10-23T13:51:32","guid":{"rendered":"https:\/\/www.ninjaone.com\/blog\/shared-responsibility-cmmc\/"},"modified":"2026-10-23T13:51:33","modified_gmt":"2026-10-23T13:51:33","slug":"shared-responsibility-cmmc","status":"publish","type":"post","link":"https:\/\/www.ninjaone.com\/de\/blog\/shared-responsibility-cmmc\/","title":{"rendered":"Shared Responsibility in CMMC: Aufgaben von MSPs und Plattformen"},"content":{"rendered":"<div class=\"in-context-cta\"><h2 style=\"margin-top: 0px;\">Schl\u00fcsselpunkte<\/h2>\n<ul>\n<li>Cloud-Plattformen, MSPs und Kundenunternehmen verantworten jeweils unterschiedliche Teile der geforderten Sicherheitskontrollen in der CMMC-Compliance. Keine Partei kann vollst\u00e4ndige Compliance allein gew\u00e4hrleisten.<\/li>\n<li>Cloud-Plattformen sind f\u00fcr die physische Sicherheit der Rechenzentren, die Verf\u00fcgbarkeit der Infrastruktur und grundlegende Plattform-Kontrollen zust\u00e4ndig. Sie k\u00f6nnen jedoch nicht beeinflussen, wie Systeme in der Umgebung eines bestimmten Unternehmens konfiguriert, genutzt oder zug\u00e4nglich gemacht werden.<\/li>\n<li>MSPs bilden die entscheidende Compliance-Ebene zwischen den F\u00e4higkeiten der Plattform und der operativen Kontrolle. Sie sind daf\u00fcr verantwortlich, Systeme sicher zu konfigurieren, privilegierten Zugriff zu verwalten, Sicherheitsrichtlinien durchzusetzen und Systeme zu betreuen, die Kontrollierte nicht klassifizierte Informationen (CUI) speichern oder verarbeiten.<\/li>\n<li>Auch mit MSPs und Cloud-Plattformen im R\u00fccken bleibt die letztliche Verantwortung f\u00fcr die CMMC-Compliance beim Kundenunternehmen. Dazu geh\u00f6ren das Festlegen von Sicherheitsrichtlinien, das Freigeben von Konfigurationen, die Governance und der Nachweis, dass alle Kontrollen dokumentiert sind.<\/li>\n<li>Eine CMMC-Verantwortungsmatrix ordnet alle 110 Kontrollen aus NIST SP 800-171 einem festgelegten Verantwortlichen zu, verteilt auf Unternehmen, MSP und Plattform.<\/li>\n<li>CMMC-Compliance-Tools und RMM-Plattformen unterst\u00fctzen Audits, indem sie Transparenz \u00fcber Systeme schaffen und Konfigurationen durchsetzen. Sie m\u00fcssen daf\u00fcr allerdings sauber konfiguriert und aktiv betreut werden.<\/li>\n<\/ul>\n<\/div>\n<p>Die Compliance mit der <a href=\"https:\/\/www.ninjaone.com\/de\/it-hub\/endpoint-security\/was-ist-cmmc-ueberblick-und-definition\/\">Cybersecurity Maturity Model Certification (CMMC)<\/a> wird h\u00e4ufig missverstanden, n\u00e4mlich als Eigenschaft eines Produkts oder einer Plattform. Tats\u00e4chlich handelt es sich um ein Modell geteilter Verantwortung, bei dem mehrere Parteien zur Implementierung und Durchsetzung der Kontrollen beitragen.<\/p>\n<p>Cloud-Anbieter, MSPs und Kundenunternehmen \u00fcbernehmen jeweils eigene Rollen, wenn es darum geht, die CMMC-Anforderungen zu erf\u00fcllen. Genau deshalb brauchen Sie eine <strong>CMMC-Verantwortungsmatrix<\/strong>, damit die Rollen klar definiert sind und alle Beteiligten wissen, wof\u00fcr sie zust\u00e4ndig sind.<\/p>\n<h2>Das bedeutet geteilte Verantwortung im CMMC-Kontext<\/h2>\n<p>Im CMMC-Kontext beschreibt geteilte Verantwortung die Aufteilung von Kontrolle und Zust\u00e4ndigkeit zwischen den verschiedenen Beteiligten einer gemeinsamen Umgebung. In der Regel teilen sich die Verantwortung:<\/p>\n<ul>\n<li>das Kundenunternehmen<\/li>\n<li>der <a href=\"https:\/\/www.ninjaone.com\/de\/msp\/was-ist-ein-managed-service-provider-msp\/\">MSP<\/a><\/li>\n<li>die zugrunde liegende Plattform bzw. der Service-Anbieter<\/li>\n<\/ul>\n<p>Wichtig dabei: Keine Partei liefert Ihnen vollst\u00e4ndige Compliance im Alleingang. Jede Seite verantwortet einen anderen Aspekt von Sicherheit und Compliance. Wer die jeweiligen Rollen nicht kennt, riskiert L\u00fccken. Gehen Sie deshalb nicht davon aus, dass eine Kontrolle bereits abgedeckt ist. Stimmen Sie sich stattdessen mit allen Beteiligten ab und stellen Sie sicher, dass s\u00e4mtliche Richtlinien aktiv durchgesetzt werden.<\/p>\n<h2>Daf\u00fcr sind Plattformen im Rahmen von CMMC zust\u00e4ndig<\/h2>\n<p>Plattformen sind in erster Linie f\u00fcr den Betrieb Ihrer zugrunde liegenden Infrastruktur zust\u00e4ndig. Dazu geh\u00f6rt in der Regel:<\/p>\n<ul>\n<li>das physische Rechenzentrum zu betreiben und abzusichern<\/li>\n<li>sicherzustellen, dass die Infrastruktur verf\u00fcgbar und gegen St\u00f6rungen widerstandsf\u00e4hig ist<\/li>\n<li>das Kernnetzwerk und die Hardware zu sch\u00fctzen, um Ausf\u00e4lle zu vermeiden<\/li>\n<li>grundlegende Sicherheitskontrollen auf Plattformebene aufrechtzuerhalten<\/li>\n<\/ul>\n<p>Manche Plattformen gehen dar\u00fcber hinaus und bieten Compliance-konforme Services und Zertifizierungen an. Verlassen Sie sich dennoch nicht allein auf die Compliance der Plattform. Letztlich ist sie nur ein Teil eines gr\u00f6\u00dferen, umfassenderen Modells. Feinheiten wie die Frage, wie Systeme in Ihren konkreten Umgebungen konfiguriert und genutzt werden, deckt die Plattform-Compliance nicht ab.<\/p>\n<h2>Daf\u00fcr sind MSPs im Rahmen von CMMC zust\u00e4ndig<\/h2>\n<p>W\u00e4hrend Plattformen die zugrunde liegende Infrastruktur betreiben, sorgen MSPs daf\u00fcr, dass die Kontrollen auf den in der Kundenumgebung eingesetzten Plattformen implementiert und verwaltet werden. Dazu geh\u00f6rt:<\/p>\n<ul>\n<li>Systeme sicher konfigurieren und betreiben<\/li>\n<li>Zugriffskontrollen und privilegierte Konten verwalten<\/li>\n<li>Sicherheitsrichtlinien auf allen Endpunkten durchsetzen<\/li>\n<li>Systeme betreuen, die <a href=\"https:\/\/www.dodcui.mil\/\" target=\"_blank\" rel=\"noopener\">Kontrollierte nicht klassifizierte Informationen (CUI)<\/a> speichern oder verarbeiten<\/li>\n<\/ul>\n<p>Ihre MSPs bilden eine entscheidende Ebene zwischen den F\u00e4higkeiten der Plattform und der operativen Compliance. Sie tragen ma\u00dfgeblich dazu bei, dass Ihre Daten sicher bleiben.<\/p>\n<h2>Daf\u00fcr bleibt das Kundenunternehmen im Rahmen von CMMC verantwortlich<\/h2>\n<p>Selbst mit aller Unterst\u00fctzung durch Plattformen und MSPs beh\u00e4lt das Kundenunternehmen einen Teil der Compliance-Verantwortung. Niemand kennt die eigenen Anforderungen und deren Umsetzung besser.<\/p>\n<p>Typische Aufgaben auf Kundenseite sind:<\/p>\n<ul>\n<li>Sicherheitsrichtlinien und Anforderungen definieren<\/li>\n<li>Systemkonfigurationen und Zugriffskontrollen freigeben<\/li>\n<li>Governance und Aufsicht sicherstellen<\/li>\n<li>daf\u00fcr sorgen, dass alle Kontrollen in den eigenen Umgebungen implementiert und dokumentiert sind<\/li>\n<\/ul>\n<p>CMMC-Compliance l\u00e4sst sich niemals vollst\u00e4ndig auslagern, gerade nicht bei R\u00fcstungs- und Verteidigungsauftragnehmern. Die volle Verantwortung bleibt am Ende immer bei dem Unternehmen, das gepr\u00fcft wird, und bei niemandem sonst.<\/p>\n<h2>Hier \u00fcberschneiden sich die Verantwortlichkeiten bei CMMC<\/h2>\n<p>Bei Compliance sind Zusammenarbeit und Abstimmung nat\u00fcrlich immer gefragt. Zugriffskontrollen etwa definiert stets der Kunde, durchsetzen muss sie jedoch der MSP. An Governance und Aufsicht sowie an der <a href=\"https:\/\/www.ninjaone.com\/it-hub\/endpoint-security\/what-is-incident-response\/\">Reaktion auf Sicherheitsvorf\u00e4lle<\/a> sind alle Parteien beteiligt, und die Implementierung s\u00e4mtlicher Kontrollen betrifft sowohl den Kunden als auch den MSP.<\/p>\n<h2>So verteilen Sie Verantwortlichkeiten in CMMC-Umgebungen wirksam<\/h2>\n<p>Unternehmen m\u00fcssen festhalten, wer welche Kontrolle verantwortet. Das vermeidet Missverst\u00e4ndnisse und sorgt daf\u00fcr, dass alle Beteiligten ihre Aufgaben kennen. Zu den Best Practices geh\u00f6ren:<\/p>\n<ul>\n<li>f\u00fcr jede Anforderung einen Verantwortlichen festlegen<\/li>\n<li>geteilte Verantwortlichkeiten klar dokumentieren<\/li>\n<li>Services an konkreten Compliance-Anforderungen ausrichten<\/li>\n<li>\u00fcberpr\u00fcfen, dass alle Kontrollen durchgehend aktiv durchgesetzt werden<\/li>\n<\/ul>\n<p>Eine solche Zuordnung stellt sicher, dass die Compliance-L\u00f6sungen Ihres MSPs zu den Audit-Erwartungen Ihres Unternehmens passen. Au\u00dferdem reduziert sie Unklarheiten, sobald Assessments und Audits anstehen.<\/p>\n<h2>Die Rolle von Tools und Plattformen bei der Compliance<\/h2>\n<p>Die eingesetzten Plattformen und Tools k\u00f6nnen Compliance und Audits unterst\u00fctzen, sie ersetzen aber keine Verantwortung. CMMC-Compliance-Tools f\u00fcr MSPs und integrierte RMM- und Compliance-L\u00f6sungen k\u00f6nnen:<\/p>\n<ul>\n<li>Transparenz \u00fcber den Systemstatus schaffen<\/li>\n<li>die Durchsetzung von Sicherheitskonfigurationen unterst\u00fctzen<\/li>\n<li>bei Dokumentation und Validierung helfen<\/li>\n<\/ul>\n<p>Denken Sie jedoch daran: Tools m\u00fcssen sauber konfiguriert und betreut werden. Andernfalls tragen sie kaum etwas zur Compliance bei. Die Verantwortung f\u00fcr den tats\u00e4chlichen Einsatz und Betrieb liegt weiterhin beim MSP und beim Kunden.<\/p>\n<h2>So wirkt sich geteilte Verantwortung auf Audits aus<\/h2>\n<p>In einem CMMC-Assessment bewerten die Pr\u00fcfer:innen, wie die Verantwortlichkeiten in einer konkreten Umgebung umgesetzt sind. Dabei gehen sie wie folgt vor:<\/p>\n<ul>\n<li>Sie ermitteln, wer jede Kontrolle verantwortet.<\/li>\n<li>Sie pr\u00fcfen, ob die Kontrollen korrekt implementiert sind.<\/li>\n<li>Sie best\u00e4tigen, dass die Verantwortlichkeiten klar definiert sind.<\/li>\n<\/ul>\n<h2>Geteilte Verantwortung entscheidet \u00fcber den CMMC-Erfolg<\/h2>\n<p>CMMC-Compliance beruht auf einem Modell geteilter Verantwortung. Daran beteiligt sind Plattformen, MSPs und Kundenunternehmen. Klar definierte Verantwortlichkeiten, eine saubere Zuordnung der Kontrollen und die Abstimmung von Services und Anforderungen sind entscheidend, damit Sie Ihre Compliance-Ziele erreichen.<\/p>\n<p><strong>Verwandte Themen:<\/strong><\/p>\n<ul>\n<li><a href=\"https:\/\/www.ninjaone.com\/blog\/cmmc-compliance-msp\/\">CMMC 2.0: Die CMMC-Zertifizierung f\u00fcr MSPs erkl\u00e4rt<\/a><\/li>\n<li><a href=\"https:\/\/www.ninjaone.com\/de\/blog\/cmmc-fuer-msps-chancen-erkennen\/\">CMMC-Chancen erkennen: Discovery-Fragen und Warnsignale<\/a><\/li>\n<li><a href=\"https:\/\/www.ninjaone.com\/de\/blog\/cmmc-fuer-msps\/\">CMMC ist nicht das, wof\u00fcr die meisten MSPs es halten<\/a><\/li>\n<li><a href=\"https:\/\/www.ninjaone.com\/de\/blog\/audit-readiness-msp-checkliste\/\">So bereiten Sie Kunden auf ein unangek\u00fcndigtes Compliance-Audit vor (HIPAA, CMMC, SOC 2)<\/a><\/li>\n<li><a href=\"https:\/\/www.ninjaone.com\/de\/blog\/staging-umgebung-sichere-msp-rollouts\/\">Eine interne Staging-Umgebung f\u00fcr sichere MSP-Rollouts aufbauen<\/a><\/li>\n<\/ul>\n","protected":false},"excerpt":{"rendered":"<p>Die Compliance mit der Cybersecurity Maturity Model Certification (CMMC) wird h\u00e4ufig missverstanden, n\u00e4mlich als Eigenschaft eines Produkts oder einer Plattform. Tats\u00e4chlich handelt es sich um ein Modell geteilter Verantwortung, bei dem mehrere Parteien zur Implementierung und Durchsetzung der Kontrollen beitragen. Cloud-Anbieter, MSPs und Kundenunternehmen \u00fcbernehmen jeweils eigene Rollen, wenn es darum geht, die CMMC-Anforderungen zu [&hellip;]<\/p>\n","protected":false},"author":35,"featured_media":821360,"comment_status":"closed","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"_acf_changed":false,"_relevanssi_hide_post":"","_relevanssi_hide_content":"","_relevanssi_pin_for_all":"","_relevanssi_pin_keywords":"","_relevanssi_unpin_keywords":"","_relevanssi_related_keywords":"","_relevanssi_related_include_ids":"","_relevanssi_related_exclude_ids":"","_relevanssi_related_no_append":"","_relevanssi_related_not_related":"","_relevanssi_related_posts":"","_relevanssi_noindex_reason":"","_lmt_disableupdate":"","_lmt_disable":"","footnotes":""},"categories":[4356],"tags":[],"class_list":["post-907951","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-it-betrieb"],"acf":[],"modified_by":null,"_links":{"self":[{"href":"https:\/\/www.ninjaone.com\/de\/wp-json\/wp\/v2\/posts\/907951","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/www.ninjaone.com\/de\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/www.ninjaone.com\/de\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/www.ninjaone.com\/de\/wp-json\/wp\/v2\/users\/35"}],"replies":[{"embeddable":true,"href":"https:\/\/www.ninjaone.com\/de\/wp-json\/wp\/v2\/comments?post=907951"}],"version-history":[{"count":1,"href":"https:\/\/www.ninjaone.com\/de\/wp-json\/wp\/v2\/posts\/907951\/revisions"}],"predecessor-version":[{"id":907952,"href":"https:\/\/www.ninjaone.com\/de\/wp-json\/wp\/v2\/posts\/907951\/revisions\/907952"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/www.ninjaone.com\/de\/wp-json\/wp\/v2\/media\/821360"}],"wp:attachment":[{"href":"https:\/\/www.ninjaone.com\/de\/wp-json\/wp\/v2\/media?parent=907951"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/www.ninjaone.com\/de\/wp-json\/wp\/v2\/categories?post=907951"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/www.ninjaone.com\/de\/wp-json\/wp\/v2\/tags?post=907951"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}