Controlled Unclassified Information
Controlled Unclassified Information (CUI) bezeichnet Daten der US-Bundesbehörden, die zwar nicht als Staatsgeheimnis eingestuft sind, aber trotzdem besonderen Schutz verlangen. Wer mit solchen Daten arbeitet – etwa als Technologieanbieter oder Rüstungslieferant für die USA – muss nachweisbar bestimmte Sicherheitsregeln einhalten.
Nicht jede heikle Information ist ein Staatsgeheimnis. Die US-Bundesregierung unterscheidet deshalb zwischen Daten, die offiziell als geheim eingestuft sind, und solchen, die zwar offen zugänglich wären, aber trotzdem nicht in falsche Hände geraten dürfen. Diese zweite Kategorie heißt Controlled Unclassified Information, abgekürzt CUI. Beispiele sind Steuerunterlagen von Behörden, Patientendaten in Bundesspitälern, technische Pläne von Rüstungsprojekten oder Ermittlungsakten des FBI. All diese Informationen sind nicht « geheim » im formellen Sinne — sie tragen keinen Stempel wie « Top Secret ». Dennoch schreibt das Gesetz vor, wie sie gespeichert, übertragen und vor unbefugtem Zugriff geschützt werden müssen.
Warum CUI für Technologieunternehmen zum Geschäftsrisiko wird
Wer Software, Cloud-Dienste oder Hardware an US-Bundesbehörden verkaufen will, muss nachweisen, dass er CUI sicher verarbeitet. Die zuständige Behörde, das National Institute of Standards and Technology (NIST), hat dafür einen Katalog mit konkreten Sicherheitsanforderungen veröffentlicht. Unternehmen, die diese Anforderungen nicht erfüllen, werden schlicht nicht beauftragt.
Besonders relevant ist das für die Rüstungs- und Luft- und Raumfahrtbranche. Das US-Verteidigungsministerium verlangt von seinen Zulieferern seit 2020 schrittweise eine externe Prüfung, das sogenannte CMMC-Zertifikat (Cybersecurity Maturity Model Certification). Ohne dieses Zertifikat gibt es keinen Regierungsauftrag. Damit betrifft CUI nicht nur große Konzerne, sondern auch mittelständische Firmen, die irgendwo in der Lieferkette stecken.
Ein häufiger Irrtum: Viele Unternehmen glauben, sie seien nicht betroffen, weil sie keine Waffen bauen. Tatsächlich reicht es aus, Buchhaltungssoftware für eine Bundesbehörde zu liefern oder Netzwerkkomponenten zu warten, auf denen CUI liegt. Die Definition ist bewusst breit gehalten.
Wie der Schutz von CUI konkret aussieht
Die Anforderungen stammen hauptsächlich aus dem NIST-Dokument SP 800-171. Es listet 110 Sicherheitsmaßnahmen auf, geordnet in 14 Bereiche — von Zugriffskontrollen über Verschlüsselung bis zur Protokollierung aller Systemzugriffe. Vereinfacht gesagt: Jede Person muss sich ausweisen, bevor sie auf CUI zugreift. Alle Daten müssen verschlüsselt gespeichert und übertragen werden. Jeder Zugriff wird aufgezeichnet. Systeme, auf denen CUI liegt, müssen regelmäßig auf Schwachstellen geprüft werden.
Organisatorisch legt das Nationale Archiv der USA (NARA) in einem zentralen Register fest, welche Informationsarten überhaupt als CUI gelten. Aktuell gibt es über 100 solcher Kategorien, zum Beispiel « Privacy » für personenbezogene Daten oder « Export Controlled » für Technologien, die nicht ohne Genehmigung ins Ausland dürfen. Jede Kategorie kann eigene Zusatzregeln mitbringen.
Ein wichtiger Unterschied zu klassifizierten Geheiminformationen: CUI darf grundsätzlich mit autorisierten Stellen geteilt werden — es geht also nicht darum, die Daten vollständig zu verstecken, sondern darum, die Weitergabe kontrollierbar zu halten. Der Begriff « controlled » im Namen meint genau das: Kontrolle über den Fluss, nicht absoluten Ausschluss.
Wo CUI in der Tech-Debatte auftaucht
CUI spielt eine zentrale Rolle in der Diskussion darüber, welche Cloud-Anbieter US-Behörden nutzen dürfen. Microsoft, Google und Amazon betreiben jeweils spezielle Rechenzentren in den USA, die speziell für CUI und sogar für klassifizierte Daten zertifiziert sind — getrennt von ihren normalen kommerziellen Diensten. Die Frage, ob ein Anbieter aus einem anderen Land diese Anforderungen je erfüllen kann, ist politisch hoch brisant.
Auch im KI-Bereich gewinnt CUI an Bedeutung. Wenn eine Bundesbehörde ein KI-Modell trainieren oder nutzen will und dabei auf CUI zurückgreift, müssen die Trainingsdaten und die Infrastruktur dieselben Schutzregeln erfüllen wie jede andere CUI-Verarbeitung. Das schränkt ein, welche kommerziellen KI-Dienste für Behörden überhaupt in Frage kommen.
In Nachrichten taucht CUI meist dann auf, wenn es zu Datenpannen kommt: Ein Mitarbeiter speichert Dokumente auf einem privaten Cloud-Konto, ein Auftragnehmer verliert einen Laptop ohne Verschlüsselung, oder ein Hackerangriff trifft ein Unternehmen in der Lieferkette. In all diesen Fällen lautet die entscheidende Frage: Waren darauf CUI-Daten — und wurden die vorgeschriebenen Schutzmaßnahmen eingehalten?
