Ein Leitfaden zu den Anforderungen der CMMC-Stufe 2 Compliance

Die Cybersecurity Maturity Model Certification (CMMC) ist ein schrittweiser, aber wichtiger Meilenstein für Verteidigungsunternehmer, um sich zu befassen. CMMC Level 2 konzentriert sich auf fortgeschrittene Cyber-Hygiene und schafft eine logische, aber notwendige Progression für Organisationen, um von Level 1 zu Level 3 überzugehen. Neben dem Schutz von Informationen über Bundesverträge (FCI) umfasst Level 2 auch den Schutz von kontrollierten nicht klassifizierten Informationen (CUI). Im Vergleich zu Level 1 positionieren die zusätzlichen Praktiken in Level 2 die DoD-Lieferanten besser, um sich gegen gefährlichere Cyberbedrohungen zu verteidigen.

CMMC Level 2 führt auch das Element der Prozessreife in das Modell ein. Auf CMMC Level 2 wird von einer Organisation erwartet, dass sie wesentliche Cybersecurity-Funktionen ausführt und dokumentiert. Es ist entscheidend, einen detaillierten Fahrplan für die CMMC Level 2-Konformität zu haben, für jeden DoD-Lieferanten, der CUI innerhalb der DoD Lieferkette austauscht.

Wer benötigt die CMMC-Stufe 2-Konformität?

Auftragnehmer und Unterauftragnehmer, die derzeit mit dem Verteidigungsministerium zusammenarbeiten oder dies planen, müssen die Konformität nachweisen. Wenn diese Unternehmen Informationen verarbeiten, handhaben oder verwalten, die für die nationale Sicherheit kritisch sind, wird eine CMMC Level 2-Konformität erforderlich sein. Um die CMMC Level 2-Konformität zu erreichen, müssen Auftragnehmer eine umfangreiche CMMC Level 2-Drittprüfung durchlaufen.

Es gibt 110 Kontrollen für CMMC Level 2, die direkt von NIST 800-171Eine CMMC Level 2-Zertifizierung ist notwendig für diejenigen, die sich um DoD-Verträge bewerben möchten, die Folgendes umfassen:

• Kontrollierte nicht klassifizierte Informationen (CUI)
• Kontrollierte technische Informationen (CTI)
• ITAR- oder exportkontrollierte Daten

Wie weiß ich, ob ich CUI habe?

CUI ist ein Begriff, der eine Vielzahl sensibler, aber nicht klassifizierter Daten abdeckt. Dies kann beinhalten personenbezogene Daten, vertrauliche Geschäftsinformationen, geschützte Gesundheitsinformationen (PHI), kritische Infrastruktur- und Cybersicherheitsinformationen sowie geschützte Informationen (CJIS) im Zusammenhang mit Strafverfolgungsoperationen. Der Zweck von CUI besteht darin, sicherzustellen, dass Daten, auch wenn sie nicht klassifiziert und als unklassifiziert betrachtet werden, dennoch geschützt sind und einen spezifischen Prozess durchlaufen müssen, um ihre sichere Handhabung zu gewährleisten und der Zugang nur denjenigen gewährt wird, die ihn benötigen. CUI umfasst Daten, die mit einem hohen Sicherheitsniveau behandelt werden müssen, um sie zu schützen. Es ist wichtig, dass alle, die diese Daten handhaben, gut geschult und über den Schutz von CUI informiert sind, um die Daten vor unbefugtem Zugriff zu schützen.

CMMC-Sicherheitsanforderungen für E-Mails

Die Einhaltung von CMMC Level 2 konzentriert sich auf die Etablierung von Zwischenpraktiken der Cyberhygiene, einschließlich E-Mail-Sicherheit zum Schutz von CUI. Ein E-Mail-Schutz-Gateway (EPG) ist entscheidend für die Sicherung der E-Mail-Kommunikation für CUI und macht Verschlüsselungsprozesse für Endanwender transparent. Die Implementierung einer EPG-Lösung hilft Organisationen, die Anforderungen von CMMC Level 2 zu erfüllen, indem robuste E-Mail-Sicherheitsfunktionen wie Spamfilterung, Phishing-Schutz, Datenverlustprävention und sichere E-Mail-Verschlüsselung bereitgestellt werdenDurch die Einhaltung dieser Anforderungen können Organisationen ihre sensiblen Informationen schützen, Cyberbedrohungen reduzieren und die Compliance mit der sich entwickelnden Cybersicherheitslandschaft aufrechterhalten.

Was ist erforderlich, um die CMMC-Stufe 2-Konformität zu erreichen?

Das Erreichen von CMMC Stufe 2 Compliance erfordert einen umfassenden Ansatz für die Cybersicherheit. Dies umfasst die Implementierung von Richtlinien und Verfahren, den Einsatz technischer Kontrollen und die Einrichtung eines robusten Bildungs- und Schulungskanals. Für Richtlinien und Verfahren erfordert Stufe 2, dass Organisationen einen Systemsicherheitsplan, eine Medienschutzrichtlinie, einen Notfallplan, Reaktionsmaßnahmen bei Vorfällen, Patchmanagement und Verfahren für das Accountmanagement vorweisen müssen.

Auf der Seite der technischen Kontrollen müssen Organisationen Kontrollen für Authentifizierung, Medienkennzeichnung, Systemüberwachung, Systemintegrität, Virenschutz und Auditing implementiert haben. Organisationen müssen außerdem ein genehmigtes Schulungs- und Bildungsprogramm für Personal mit den entsprechenden Berechtigungen haben, um deren Rolle beim Schutz der Umgebung angemessen zu verstehen. Die Erreichung der Compliance mit Stufe 2 erfordert einen ausgewogenen Ansatz für Sicherheit, der die Implementierung proaktiver technischer Maßnahmen mit klaren Prozessen und Verfahren sowie einem umfassenden Bildungs- und Schulungsprogramm kombiniert.

Vorbereitung auf die CMMC-Stufe 2: Eine Checkliste

Die Vorbereitung auf die Compliance mit CMMC Stufe 2 beinhaltet die systematische Verbesserung der Cybersicherheitslage Ihrer Organisation. Diese CMMC Stufe 2-Checkliste kann Sie durch den Prozess führen:

1. Machen Sie sich mit den Anforderungen der CMMC-Stufe 2 vertraut, einschließlich der 72 Sicherheitspraktiken in 17 Bereichen.
2. Führen Sie eine umfassende Lückenanalyse durch, um Bereiche zu identifizieren, die verbessert werden müssen.
3. Entwickeln Sie einen Sanierungsplan, um identifizierte Lücken zu schließen und notwendige Kontrollen zu implementieren.
4. Stellen Sie Ressourcen wie Budget und Personal bereit, um Ihre Compliance-Bemühungen zu unterstützen.
5. Schulen Sie Ihr Personal bezüglich der CMMC-Anforderungen und der besten Praktiken für Cybersicherheit.
6. Implementieren Sie Richtlinien, Verfahren und Dokumentationen, um Compliance-Initiativen zu unterstützen.
7. Überprüfen und aktualisieren Sie regelmäßig Ihre Cybersicherheitspraktiken, um die Compliance aufrechtzuerhalten.
8. Nehmen Sie die Hilfe von CMMC-Beratern oder C3PAOs für Beratung und Bewertungsunterstützung in Anspruch.
9. Führen Sie eine Selbstbewertung durch, um die Bereitschaft vor der offiziellen CMMC-Bewertung zu beurteilen.
10. Planen Sie Ihre CMMC-Bewertung mit einem akkreditierten C3PAO, um die Compliance zu überprüfen.

Anforderungen für die CMMC 2.0-Stufe 2-Konformität

Die Anforderungen von CMMC auf Stufe 2 umfassen 110 Kontrollen, die in 15 Bereichen gruppiert sind:

Domäne	Anzahl der Kontrollen
1. Zugriffskontrolle (AC)	22 Kontrollen
2. Prüfung und Verantwortlichkeit (AU)	9 Kontrollen
3. Bewusstsein und Schulung (AT)	3 Kontrollen
4. Konfigurationsmanagement (CM)	9 Kontrollen
5. Identifikation und Authentifizierung (IA)	11 Kontrollen
6. Vorfallreaktion (IR)	3 Kontrollen
7. Wartung (MA)	6 Kontrollen
8. Medienschutz (MP)	9 Kontrollen
9. Personalsicherheit (PS)	2 Kontrollen
10. Physischer Schutz (PE)	6 Kontrollen
11. Wiederherstellung (RE)	2 Kontrollen
12. Risikomanagement (RM)	3 Kontrollen
13. Sicherheitsbewertung (CA)	4 Kontrollen
14. Schutz von Systemen und Kommunikation (SC)	16 Kontrollen
15. Integrität von Systemen und Informationen (SI)	7 Kontrollen

Die Kontrollen in jedem der 15 Bereiche lauten wie folgt:

Zugriffskontrolle

Diese Anforderungsgruppe ist die größte. Sie umfasst 22 Kontrollen. Im Bereich Zugriffskontrolle müssen Organisationen alle Zugriffsereignisse in der IT-Umgebung überwachen und den Zugang zu Systemen und Daten einschränken. Die Anforderungen unter Zugriffskontrolle beinhalten:

• Implementierung des Prinzips der geringsten Rechte
• Autorisierung und Schutz des drahtlosen Zugangs durch den Einsatz von Verschlüsselung und Authentifizierung
• Trennung der Aufgaben von Personen, um unregelmäßige Aktivitäten zu verhindern
• Überwachung und Steuerung des Fernzugriffs
• Kontrolle und Einschränkung der Nutzung mobiler Geräte
• Steuerung des Flusses von CUI innerhalb einer Organisation und dessen Verschlüsselung aufmobile Geräte

Audit und Verantwortlichkeit

Diese Gruppe besteht aus neun Kontrollen. Sie verlangt von den Organisationen, Prüfprotokolle für die Verwendung in Sicherheitsuntersuchungen zu speichern und Benutzer für ihre Handlungen verantwortlich zu halten. Organisationen müssen sammeln und analysieren Prüfprotokolle um jegliche unautorisierte Aktivitäten zu erkennen und umgehend zu reagieren. Mehrere Schritte können helfen, diese Kontrollen umzusetzen:

• Schutz von Prüfsystemen vor unbefugtem Zugriff
• Überprüfung und Aktualisierung überwachter Ereignisse
• Berichterstattung über Fehler im Prüfprozess
• Erstellung von Berichten, die die Analyse auf Abruf unterstützen und Compliance-Nachweise liefern

Bewusstsein und Schulung

Diese Gruppe von Kontrollen verlangt von Unternehmen, sicherzustellen, dass Manager, Systemadministratoren und andere Benutzer die Sicherheitsrisiken kennen, die mit ihren Aktivitäten verbunden sind. Sie müssen mit den Sicherheitsrichtlinien der Organisation und grundlegenden Cybersicherheitspraktiken vertraut sein, um Insider- und Außendrohungen zu erkennen und darauf zu reagieren.

Konfigurationsmanagement

Bei den Anforderungen unter Konfigurationsmanagement müssen Unternehmen Basis-Konfigurationen festlegen und aufrechterhalten, was die Kontrolle und Überwachung von durch Benutzer installierter Software und jeglichen Änderungen an den Systemen Ihrer Organisation beinhaltet. Die Compliance-Anforderungen in diesem Bereich umfassen:

• Blacklisting nicht autorisierter Software
• Dokumentation aller Ereignisse, bei denen der Zugriff aufgrund von Änderungen an IT-Systemen eingeschränkt wurde
• Einschränkung, Deaktivierung oder Verhinderung der Nutzung von Programmen, Funktionen, Protokollen und Diensten, die nicht unbedingt erforderlich sind
• Anwendung des Prinzips der geringsten Funktionalität durch Konfiguration der Systeme, um nur wesentliche Funktionen bereitzustellen

Identifikation und Authentifizierung

Die Gruppe der Anforderungen für Identifikation und Authentifizierung stellt sicher, dass nur authentifizierte Benutzer Zugang zum Netzwerk oder den Systemen der Organisation haben. Sie umfasst 11 Anforderungen, die Passwort- und Authentifizierungsverfahren sowie -richtlinien abdecken. Sie beinhaltet auch die zuverlässige Identifizierung von Benutzern. Anforderungen zur Unterscheidung zwischen privilegierten und nicht-privilegierten Konten spiegeln sich im Netzwerkzugang wider.

Vorfallreaktion

In dieser Familie müssen Organisationen eine Strategie zur Reaktion auf Vorfälle haben, die eine schnelle Reaktion auf jegliche Vorfälle ermöglicht, die zu einem Datenschutzverstoß führen könnten. Eine Organisation kann Fähigkeiten implementieren, um Sicherheitsvorfälle zu erkennen, zu analysieren und darauf zu reagieren und diese Vorfälle den zuständigen Stellen zu melden – und regelmäßig ihren Plan zur Reaktion auf Vorfälle zu testen.

Wartung

Eine unsachgemäße Wartung des Systems kann zur Offenlegung von CUI führen und stellt daher eine Bedrohung für die Vertraulichkeit der Informationen dar. Unternehmen müssen regelmäßige Wartungen gemäß den Anforderungen durchführen, wie:

• Sorgfältige Überwachung von Personen und Teams, die Wartungsarbeiten durchführen
• Sicherstellung, dass Medien, die Diagnose- und Testprogramme enthalten, frei von Schadsoftware sind
• Sicherstellung, dass für die Wartung ausgelagerte Ausrüstung keine sensiblen Daten enthält

Medienschutz

Die Kontrollfamilie zum Schutz von Medien erfordert, dass Sie die Sicherheit von Systemmedien, die CUI enthalten, sowohl auf Papier als auch auf digitalen Medien, gewährleisten.

Personalsicherheit

Dies ist eine kleine Familie von Kontrollen, die von Unternehmen verlangt, Benutzeraktivitäten zu überwachen und sicherzustellen, dass alle Systeme, die CUI enthalten, während und nach Personalmaßnahmen, wie Kündigungen und Versetzungen von Mitarbeitern, geschützt sind.

Physischer Schutz

Physischer Schutz umfasst den Schutz von Hardware, Software, Netzwerken und Daten vor Schäden oder Verlust durch physische Ereignisse. Dieser Bereich erfordert, dass Organisationen mehrere Maßnahmen ergreifen, um das Risiko physischer Schäden zu mindern, wie:

• Kontrolle physischer Zugangseinrichtungen
• Beschränkung des physischen Zugangs zu Systemen und Ausrüstungen auf autorisierte Benutzer
• Führen von Prüfprotokollen für den physischen Zugang

Wiederherstellung

Im Bereich Wiederherstellung müssen Organisationen regelmäßig Daten-Backups durchführen und testen sowie die Vertraulichkeit von Backup-CUI an den Speicherorten schützen.

Risikomanagement

Es gibt zwei Anforderungen, die die Durchführung und Analyse von regelmäßigen RisikobewertungenOrganisationen müssen ihre Systeme regelmäßig scannen, um Schwachstellen zu überprüfen, Netzwerkgeräte und Software aktualisiert und sicher zu halten. Das regelmäßige Hervorheben und Stärken von Schwachstellen verbessert die Sicherheit des gesamten Systems.

Sicherheitsbewertung

Eine Organisation muss ihre Sicherheitskontrollen überwachen und bewerten, um festzustellen, ob sie ausreichend effektiv sind, um Daten sicher zu halten. Organisationen benötigen einen Plan, der Systemgrenzen, Beziehungen zwischen verschiedenen Systemen und Verfahren zur Implementierung von Sicherheitsanforderungen beschreibt und diesen Plan regelmäßig aktualisiert.

Schutz von Systemen und Kommunikation

Dies ist eine ziemlich große Familie von Anforderungen, die 16 Kontrollen für das Überwachen, Steuern und Schützen von Informationen umfasst, die von IT-Systemen übertragen oder empfangen werden. Dies beinhaltet mehrere Aktivitäten wie:

• Verhinderung der unbefugten Übertragung von Informationen
• Implementierung kryptografischer Mechanismen zur Verhinderung jeglicher unbefugter Offenlegung von CUI
• Aufbau von Teilnetzwerken für öffentlich zugängliche Systemkomponenten, die von internen Netzwerken getrennt sind
• Standardmäßiges Blockieren des Netzwerkdatenverkehrs

System- und Informationsintegrität

Diese Gruppe von Kontrollen erfordert, dass Unternehmen Systemfehler schnell identifizieren und korrigieren und kritische Vermögenswerte vor Schadcode schützen. Dies umfasst Aufgaben wie:

• Überwachung und umgehendes Handeln bei Sicherheitswarnungen, die auf unbefugte Nutzung von IT-Systemen hinweisen
• Durchführung regelmäßiger Scans von IT-Systemen und Scannen von Dateien aus externen Quellen beim Herunterladen oder Bearbeiten
• Aktualisierung von Mechanismen zum Schutz vor Schadsoftware, sobald neue Versionen verfügbar sind

Kosten der CMMC-Konformität

Die Kosten für die Erreichung der CMMC-Konformität variieren je nach Größe, Komplexität und dem spezifischen Zertifizierungslevel der Organisation.

Für kleine und mittlere Unternehmen (KMU) können die Kosten für die Einhaltung der Compliance erheblich sein. Erstinvestitionen können die Implementierung von Sicherheitskontrollen, die Einstellung oder Schulung von Personal zur Verwaltung der Cybersicherheit und die Beschaffung von Werkzeugen zur Unterstützung dieser Bemühungen umfassen. Organisationen müssen möglicherweise auch Ressourcen für die Aufrechterhaltung der Compliance bereitstellen, wie regelmäßige Sicherheitsaudits, Software-Updates und Mitarbeiterschulungen.

Die Einhaltung des CMMC Level 1, die sich auf grundlegende Praktiken der Cyberhygiene konzentriert, erfordert in der Regel geringere Investitionen als höhere Stufen. Wenn Organisationen das Ziel verfolgen, CMMC Level 2 oder CMMC Level 3 zu erreichen, steigen die Kosten aufgrund der Notwendigkeit für fortgeschrittenere Kontrollen, Dokumentation und kontinuierliches Monitoring.

Organisationen müssen eine umfassende Risikobewertung und Lückenanalyse durchführen, um die erforderlichen Sicherheitsmaßnahmen zu identifizieren und die damit verbundenen Kosten abzuschätzen. Die Inanspruchnahme einer CMMC Third Party Assessor Organization (C3PAO) oder einer Registered Provider Organization (RPO) kann das Unternehmen durch den Prozess führen und einen reibungsloseren Übergang zur Compliance sicherstellen.

Wie sollte sich meine Organisation auf eine CMMC-Stufe 2-Bewertung vorbereiten?

CMMC Level 2 (Fortgeschritten) erfordert dreijährliche Drittprüfungen für DoD-Vertragspartner, die kritische Informationen zur nationalen Sicherheit senden, teilen, empfangen und speichern. Diese Drittprüfungen werden von einer CMMC Third Party Assessor Organization (C3PAO) durchgeführt, die von der CMMC Accreditation Body (CMMC-AB) autorisiert und zertifiziert ist, um Bewertungen von Auftragnehmern und Subunternehmern durchzuführen, die eine Zertifizierung anstreben, um die Übereinstimmung mit dem CMMC-Standard zu demonstrieren.

Um sicherzustellen, dass der Prozess erfolgreich ist, ist es wichtig, gut vorbereitet zu sein. Die folgenden Schritte sollten unternommen werden, um eine erfolgreiche Vorbereitung zu gewährleisten:

• Verstehen des Bewertungsrahmens und der Anforderungen, einschließlich Standards, Kriterien und Ziele
• Relevante Dokumente und Nachweise der Compliance immer griffbereit und auf dem neuesten Stand halten
• Die Bewertung sorgfältig planen, indem ausreichend Zeit und Ressourcen zur Erfüllung der Anforderungen eingeplant werden
• Personal zur Unterstützung der Bewertung bereitstellen, die Bewertung an einem geeigneten Ort planen und die richtige Ausrüstung und Materialien bereithalten
• Sicherstellen, dass alle relevanten Stakeholder durch umfassende Schulungssitzungen angemessen vorbereitet sind

Erreichen der CMMC-Stufe 2-Konformität

Die Erreichung der CMMC-Level-2-Konformität erfordert die Implementierung von fortgeschrittenen Praktiken der Cyberhygiene, die kontrollierte nicht klassifizierte Informationen (CUI) und Informationen zu Bundesverträgen (FCI) schützen. Organisationen müssen 72 Sicherheitspraktiken in 17 Bereichen erfüllen, die auf der grundlegenden Cyberhygiene in Level 1 aufbauen. Wichtige Schritte umfassen die Durchführung einer gründlichen Lückenanalyse, die Entwicklung eines Sanierungsplans, die Implementierung erforderlicher Sicherheitskontrollen und die Bereitstellung von Schulungen für das Personal. Die Zusammenarbeit mit CMMC-Beratern oder Drittorganisationen zur Bewertung (C3PAOs) kann Organisationen helfen, den Prozess zu navigieren, eine ordnungsgemäße Implementierung sicherzustellen und die Konformität zu überprüfen, was letztendlich ihre Cybersicherheitsposition stärkt.

Wer ist verantwortlich für vollständige CMMC-Bewertungen?

CMMC Drittorganisationen zur Bewertung (C3PAOs) sind verantwortlich für die Durchführung vollständiger CMMC-Bewertungen. Diese Organisationen sind vom CMMC-Akkreditierungsgremium (CMMC-AB) akkreditiert und bestehen aus zertifizierten Prüfern, die die Cybersicherheitspraktiken und -kontrollen einer Organisation gegen den CMMC-Rahmen bewerten. Die C3PAOs überprüfen unparteiisch die Einhaltung der erforderlichen CMMC-Stufe einer Organisation, um sicherzustellen, dass sie Sicherheitsstandards einhält, um sensible Informationen zu schützen und Verträge innerhalb der Lieferkette des Verteidigungsministeriums (DoD) aufrechtzuerhalten.

CMMC 2.0 Selbstbewertungskriterien & Bewertungssysteme

CMMC 2.0, eine aktualisierte Version des ursprünglichen CMMC-Rahmens, vereinfacht die Konformität, indem Organisationen Selbstbewertungen durchführen dürfen. Die Kriterien bewerten die Einhaltung wesentlicher Cybersicherheitspraktiken und -kontrollen einer Organisation. Basierend auf dem Grad der Implementierung bieten Bewertungssysteme ein quantitatives Maß für die Reife der Cybersicherheit einer Organisation. Ein höherer Punktestand signalisiert eine bessere Cybersicherheitsposition. Durch die Nutzung von Vorlagen und Werkzeugen für Selbstbewertungen können Organisationen Verbesserungsbereiche identifizieren, einen Plan zur Schließung von Lücken entwickeln und den Fortschritt auf dem Weg zur Erreichung der gewünschten CMMC-2.0-Konformität verfolgen.

Wie passt ein C3PAO in die CMMC 2.0 Level 2 Compliance ein?

Ein C3PAO ist entscheidend, um die CMMC 2.0 Level 2-Konformität zu erreichen. C3PAO-Prüfer bewerten die bestehenden Richtlinien, Prozesse und Kontrollen einer Organisation gegenüber den CMMC-Anforderungen. Sie überprüfen vorhandene Sicherheitsdokumentationen, führen Interviews durch und führen Vor-Ort-Inspektionen von Systemen und physischer Sicherheit durch. Nach der Bewertung des aktuellen Compliance-Levels der Organisation stellt der C3PAO einen Bericht über seine Erkenntnisse bereit. Dieser Bericht wird dem CMMC-Akkreditierungsgremium zur Überprüfung, Bewertung und Zertifizierung vorgelegt.

Kiteworks beschleunigt die Zeit zur Erreichung der CMMC 2.0-Konformität für DoD-Lieferanten

Das Kiteworks Private Content Network ist FedRAMP-zugelassen für Moderate Level Impact. Aufgrund seiner FedRAMP-Zertifizierung unterstützt Kiteworks fast 90% der CMMC 2.0 Level 2-Anforderungen direkt ab Werk. Technologieanbieter ohne FedRAMP-zugelassene Zertifizierung können dieses Compliance-Level nicht erreichen. Kiteworks beschleunigt dadurch die Zeit, die DoD-Lieferanten benötigen, um die CMMC Level 2-Konformität zu erreichen. Durch einen content-definierten Zero-Trust-Ansatz schützt Kiteworks sensible Kommunikationen von CUI- und FCI-Inhalten über zahlreiche Kommunikationskanäle, einschließlich E-Mail, Filesharing, Managed File Transfer, Web-Formulare und Anwendungsprogrammierschnittstellen (APIs).

Vereinbaren Sie eine individuelle Demo, die darauf zugeschnitten ist, zu sehen, wie das Kiteworks Private Content Network DoD-Vertragspartnern und -Untervertragsnehmern hilft, ihren CMMC-Zertifizierungsprozess zu beschleunigen und zu vereinfachen.

Zurück zum Risiko- & Compliance-Glossar