Länder-Briefings

Markteintritts-Briefing Deutschland

Was ein deutscher Sensor- oder Elektromechanikhersteller in den USA aufbaut, um DoD-Aufträge zu gewinnen: die auf US-Persons beschränkte Datengrenze, das Fundament nach NIST SP 800-171 und der Weg, den American Rheinmetall an sechs US-Werken belegt hat.

Garrett Partridge · 16. Juli 2026 · Markteintritts-Briefing

Ein deutscher Hersteller aus der Verteidigungs- oder Luft- und Raumfahrtindustrie gewinnt Aufträge des US-Verteidigungsministeriums, indem er einen echten US-Betrieb aufbaut, und nicht, indem er über eine Grenze liefert. Der Aufbau besteht aus drei Teilen: einer US-Gesellschaft, einer auf US-Persons beschränkten Datengrenze, die kontrollierte technische Daten innerhalb des amerikanischen Betriebs hält, und einer Fertigung, die auf die 110 Sicherheitsanforderungen nach NIST SP 800-171 gebaut ist. Die DFARS-Klausel 252.204-7012 setzt diese Anforderungen in Ihren Vertrag, und sie ist unverändert in Unterverträge zu übernehmen. Nach 22 CFR 122.1 registriert sich ein US-Hersteller von Rüstungsgütern bei der Directorate of Defense Trade Controls, auch wenn er niemals exportiert. Der Status Deutschlands als nach DFARS qualifiziertes Land verschafft Ihren Endprodukten eine Beschaffungspräferenz, keine Befreiung von ITAR, keine Befreiung von den Schutzpflichten und keine Ausräumung von FOCI. Der Weg ist belegt: American Rheinmetall erreichte im April 2026 an allen sechs seiner US-Werke CMMC Level 2.

Der Beweis ist deutsch, und ein Teil davon steht in Neuengland

Die deutsche Industrie leistet diesen Aufbau bereits, und einer dieser Hersteller hat veröffentlicht, was dafür nötig war. Am 14. April 2026 gab Rheinmetall bekannt, dass American Rheinmetall an allen sechs seiner US-Werke die Zertifizierung nach CMMC Level 2 erreicht hat, dem von der US-Verteidigung geforderten Cybersicherheits-Reifegrad.

Die Mitteilung nennt die Bundesstaaten: Maine, Michigan und Ohio. Als Standort in Maine nennt sie Biddeford. Ein Verteidigungshersteller mit deutschem Mutterkonzern betreibt heute eine Fertigung auf Level-2-Niveau in Neuengland. Damit ist die Landezone in diesem Briefing eine Tatsache und keine Prognose.

HENSOLDT, an der Spitze der deutschen Sensorik, bezeichnet sich selbst als Marktführer für zivile und militärische Sensorlösungen. Darunter liegt die Ebene, für die dieses Briefing geschrieben ist: die Hersteller von Druck-, Positions- und Kraftsensoren und die elektromechanischen Zulieferer, die die Teile haben, die eine Plattform des DoD (US-Verteidigungsministerium) braucht, und noch nicht die US-Compliance-Aufstellung, die diese Teile dorthin verkauft. Für diese Ebene baue ich.

Ein deutscher Mutterkonzern hat die Hürde Level 2 an sechs US-Werken genommen, und eines davon steht in Neuengland. Das ist der Existenzbeweis.

Was der Aufbau tatsächlich verlangt hat

Die Mitteilung von Rheinmetall enthält den Teil, den die meisten Anbieter weglassen. Level 2 an diesen Werken zu erreichen, erforderte mehrere Jahre Vorbereitung und eine abgestimmte Anstrengung über IT, Führung, Betrieb, Compliance und die gesamte Belegschaft hinweg.

Ihr Chief Executive Officer Matt Warnick sagte es klar: „Sicherheit ist nicht nur eine technische Methodik, sie ist eine Haltung.“ Sie müsse von der Führung getrieben, von der IT ermöglicht und von der gesamten Organisation mitgetragen werden, sagte er.

Das ist ein operativer Aufbau und kein IT-Projekt, beschrieben von einem deutschen Konzern, der ihn gerade abgeschlossen hat. Die Compliance-Anbieter verkaufen Ihnen das Werkzeug. Geprüft wird der Betrieb.

Die Hürde: die 110 Sicherheitsanforderungen nach NIST SP 800-171 (dem US-Standard zum Schutz kontrollierter, nicht klassifizierter Informationen), abgebildet auf mehr als 320 Prüfziele.
Der Geltungsbereich: alle sechs US-Werke, gemeinsam in die vollständige Konformität gebracht.
Der Prüfer: eine Certified Third-Party Assessor Organization (C3PAO, der akkreditierte Drittprüfer), mit dem abschließenden Audit im Februar 2026.

Rheinmetall hat sechs laufende Werke in die Konformität gebracht. Sie bauen eine Fertigung aus dem Nichts. Das ist der Vorteil des Mittelstands: ein schlanker Zuschnitt, eine eng gefasste CUI-Enklave und Kontrollen, die eingebaut sind, bevor das erste Teil das Haus verlässt.

Das Zertifikat hat sich verschoben. Die Pflicht nicht.

Am 13. Juli 2026 hat das Ministerium die Phase II des CMMC-Programms ausgesetzt, die zum 10. November 2026 beginnen sollte, und eine Reformprüfung eingeleitet. Die Phase I blieb in Kraft. Das ist der Stand im Juli 2026, und er wird sich erneut ändern.

Nicht verschoben hat sich der Teil, auf den es ankommt. Die Klausel 252.204-7012 der DFARS, der Ergänzung zur US-Bundesvergabeordnung für Verteidigungsbeschaffungen, verlangt weiterhin angemessene Sicherheit auf jedem betroffenen Informationssystem eines Auftragnehmers, sie verweist weiterhin auf die Anforderungen nach NIST SP 800-171, und sie ist weiterhin unverändert in Unterverträge zu übernehmen. Das Ministerium erklärt, es werde während der Prüfung über Selbstbewertungen und ausgewählte behördlich geführte Assessments durchsetzen. Level 2 läuft nun über eine Selbstbewertung alle drei Jahre und eine jährliche Bestätigung im Supplier Performance Risk System (SPRS, dem Lieferantenbewertungssystem des DoD).

Nehmen Sie den Drittprüfer heraus und setzen Sie Ihre eigene Bestätigung an seine Stelle, dann verlagert sich das Gewicht auf den Betrieb. Eine Bestätigung ist eine Erklärung, die Ihre Organisation gegenüber der Regierung darüber abgibt, welche Kontrollen sie betreibt und welche nicht. Ihr Rechtsbeistand für das öffentliche Auftragswesen verantwortet das rechtliche Risiko dieser Erklärung. Ich verantworte, ob die Fertigung die Kontrollen, die Sie bestätigen, tatsächlich betreibt.

Der Zeitplan der Zertifizierung hat sich im Juli verschoben. Die Klausel in Ihrem Vertrag nicht. Bauen Sie auf die 110 Anforderungen, und der Bewertungsmechanismus wird zu einer Frage der Terminplanung statt zu einer Frage der Strategie.

Ihre Auftragsklasse, und wer was verantwortet

Wissen Sie, welche Auftragsklasse Sie anstreben, bevor Ihnen irgendjemand einen Zeitplan nennt. Kommerzielle und Dual-Use-Teile brauchen eine US-Gesellschaft und ein sauberes Qualitätssystem. Klassifizierte Arbeit braucht eine facility clearance, die Sicherheitsermächtigung für den Standort, und FOCI-Minderungsmaßnahmen gegen ausländisches Eigentum, ausländische Kontrolle oder ausländischen Einfluss, ausgehandelt mit der DCSA, der US-Behörde für Spionageabwehr und Sicherheit im Verteidigungsbereich. Das bleibt bei Ihrem auf sicherheitsermächtigte Betriebe spezialisierten Rechtsbeistand. Dazwischen liegt die Klasse, die den Großteil der Zulieferfertigung für das DoD trägt: kontrollierte technische Daten, CUI (kontrollierte, nicht klassifizierte Informationen), kontrolliert nach ITAR (der US-Rüstungsexportkontrolle), nicht klassifiziert. Eine US-Gesellschaft in ausländischem Besitz erreicht sie ohne facility clearance, und das ist die Klasse, die ich aufbaue und führe.

Kontrolliert wird Ihr Konstruktionspaket, nicht das Teil in der Kiste. Diese Einordnung trifft Ihr Rechtsbeistand für Exportkontrolle für Ihre Teile, und ich baue die Grenze, die hält, sobald er sie getroffen hat.

Ich war der Operator des ausländischen Mutterkonzerns in den USA. Ich habe das Nordamerika-Geschäft von GEFRAN geleitet, einem italienischen Sensor- und Automatisierungskonzern mit einem Werk in North Andover, Massachusetts, und ich baue derzeit den US-Fertigungsbetrieb im Verteidigungsbereich für die Tochtergesellschaft eines kanadischen Mutterkonzerns auf. In Neuengland arbeite ich, und dort sind die Hauptauftragnehmer, die Zulieferbasis und die Compliance-Tiefe bereits.

Meine Verantwortung: das Betriebsmodell, die Fertigung, der Aufbau der IT- und OT-Umgebung, die auf US-Persons (Personen mit US-Status im Sinne des Exportkontrollrechts) beschränkte Datengrenze und die Bereitschaftsnachweise für Ihr Tor.
Ihr Unternehmensrechtsbeistand: die Gründung der Gesellschaft und das FOCI-Instrument.
Ihr Rechtsbeistand für Exportkontrolle: die Registrierung bei der DDTC (US-Behörde für die Kontrolle des Verteidigungshandels), die Einordnung von Zuständigkeit und Klassifizierung und jede Genehmigung, Daten an den Mutterkonzern zu übermitteln.
Ein Standortberater: wo das Gebäude steht.

Präferenzen und Registrierungen öffnen die Tür. Den Betrieb, der hindurchgeht, baut keine von beiden.

Häufig gefragt

Direkte Antworten.

American Rheinmetall hat mehrere Jahre gebraucht. Sie sprechen von neunzig Tagen. Was gilt?

Beides, denn es sind verschiedene Dinge. Rheinmetall hat sechs bereits laufende Werke nachgerüstet und sie anschließend von einem Dritten prüfen lassen. Das rechtfertigt die Jahre, die es dauert. Der Aufbau in neunzig Tagen stellt eine neue US-Fertigung hin, die vom ersten Betriebstag an auf eine für Level 2 und ITAR bereite Aufstellung ausgelegt ist, mit Bereitschaftsnachweisen, die auf das Tor ausgerichtet sind, gegen das Sie laufen. Das Assessment ist ein eigenes Ereignis mit einer eigenen Uhr. Die Kontrollen einzuplanen, bevor das erste Teil das Haus verlässt, ist das, was einen neuen Betrieb davor bewahrt, eine mehrjährige Nachrüstung zu wiederholen.

Das Ministerium hat die CMMC-Phase II ausgesetzt. Können wir warten?

Wer wartet, unterstellt, das Zertifikat sei die Pflicht gewesen. Das war es nicht. Die DFARS-Klausel 252.204-7012 steht in Ihrem Vertrag, sie verlangt angemessene Sicherheit anhand der Anforderungen nach NIST SP 800-171, und sie ist unverändert in Unterverträge zu übernehmen. Level 2 läuft nun über eine Selbstbewertung und eine jährliche Bestätigung im SPRS, was bedeutet: Ihre Organisation gibt die Erklärung ab, nicht ein Prüfer. Unterdessen entscheidet Ihr Hauptauftragnehmer, wem er kontrollierte technische Daten anvertraut, und er entscheidet anhand von Nachweisen und nicht anhand eines Zeitplans.

Wir bauen Sensoren und elektromechanische Komponenten, keine Waffen. Ist das trotzdem ITAR- und CMMC-relevant?

Sehr wahrscheinlich ja, wenn das Teil in ein Verteidigungsprogramm geht. Kontrolliert sind die technischen Daten, nicht das sichtbare Produkt. DFARS 252.204-7012 fasst unter kontrollierte Verteidigungsinformationen auch kontrollierte technische Informationen, und die Beispiele der Klausel für technische Informationen nennen Konstruktionszeichnungen, Spezifikationen und Arbeitspläne. Der Zeichnungssatz eines Druck- oder Positionssensors ist genau das, sobald das Teil in eine Plattform des DoD hineinspezifiziert ist. Über den Aufbau entscheidet die Auftragsklasse, nicht die Produktkategorie. Die Einordnung von Zuständigkeit und Klassifizierung trifft Ihr Rechtsbeistand für Exportkontrolle für Ihre Teile.

Ist der Status Deutschlands als qualifiziertes Land eine Befreiung von ITAR?

Nein. DFARS 225.003 führt Deutschland als qualifiziertes Land, weil Deutschland und die Vereinigten Staaten ein gegenseitiges Verteidigungsbeschaffungsabkommen halten, das Hürden für den Einkauf der Verteidigungsgüter des jeweils anderen abbauen soll. Das verschafft Ihren Endprodukten eine Präferenz gegenüber den Buy-American-Beschränkungen, den US-Vorschriften zur Bevorzugung heimischer Waren. Es ist keine Befreiung von ITAR, es hebt die Schutzpflichten in Ihrem Vertrag nicht auf, und es räumt FOCI nicht aus. Die Registrierung funktioniert genauso: Nach 22 CFR 122.1 verleiht die Registrierung bei der DDTC keinerlei Exportrechte oder Privilegien, und ein Hersteller, der niemals exportiert, registriert sich dennoch. Diese Regelwerke gelten in vollem Umfang für einen US-Betrieb in deutschem Besitz, und der Aufbau dafür ist die eigentliche Arbeit.

Quellen

Zum Mitnehmen

Laden Sie das druckfertige PDF für die Vorstandssitzung herunter, oder legen Sie dieses Dokument direkt einem Operator vor.

Ein strategisches Gespräch anfragen PDF herunterladen