PreVeil setzt darauf, dass das CMMC-Mandat verschlüsselte E-Mail für das Verteidigungswesen zum Pflichtkauf macht

PreVeil ist eine Ende-zu-Ende-verschlüsselte E-Mail- und Dateifreigabeplattform für Organisationen, die mit sensiblen Daten umgehen. Sie wird als Overlay auf Microsoft 365 oder Google Workspace installiert und richtet sich vor allem an Verteidigungsauftragnehmer, die CMMC-, NIST-800-171- und ITAR-Vorschriften erfüllen müssen.

Dass CMMC Zehntausende Auftragnehmer zwingen würde, CUI zu schützen, und dass ein kostengünstiges Zero-Knowledge-Overlay – nicht GCC High – der Weg sein würde, auf dem kleine Betriebe Audits bestehen.

Insgesamt rund 27 Mio. US-Dollar eingeworben, darunter eine Series C über 20 Mio. US-Dollar unter Führung von PSG (Oktober 2022).

PreVeil wurde 2015 in Boston von den ehemaligen Apple- und Airvana-Führungskräften Randy Battat und Sanjeev Verma gegründet und baut auf der Verschlüsselungsforschung am MIT von CTO Raluca Ada Popa auf. Der ursprüngliche Ansatz war Ende-zu-Ende-Verschlüsselung, die normale Nutzer bedienen können: Daten werden auf dem Gerät verschlüsselt, kein Server, kein Administrator und nicht einmal PreVeil kann sie lesen, und es gibt keinen einzelnen Angriffspunkt.

Die Hinwendung zum Verteidigungssektor kam, als NIST 800-171 und ITAR den Schutz von CUI zu einer vertraglichen Bedingung machten: PreVeil wurde zum Compliance-Weg für kleine Auftragnehmer, die sich Microsofts GCC-High-Behördencloud nicht leisten konnten. PSG führte im Oktober 2022 eine Series C über 20 Mio. US-Dollar an, um über das Verteidigungswesen hinaus zu expandieren. Die endgültige CMMC-2.0-Regel des Verteidigungsministeriums (Oktober 2024) und die Durchsetzung von Phase 1 (November 2025) machten Compliance zu einem Auslöser für Käufe, und bis Februar 2026 zählte PreVeil über 2.500 Kunden aus dem Verteidigungsauftragnehmerbereich mit mehr als 60 perfekten CMMC-Zertifizierungen mit 110 von 110 Punkten.

Das Unternehmen ist weiterhin in Betrieb. Am 13. Juli 2026 setzte das Pentagon CMMC Phase 2 aus – die Zertifizierung der Stufe 2 durch Dritte, die am 10. November 2026 fällig gewesen wäre – und nannte prohibitive Compliance-Kosten, einen gravierenden Mangel an Prüfern und Schäden für kleine Zulieferer als Gründe. Es eröffnete eine 60-tägige Überprüfung durch die CMMC Reform Task Force, wodurch der regulatorische Rückenwind, auf den das Unternehmen gewettet hatte, im Zuge der Reform unsicher wurde.

Die Wette war auf die Regulierung und nicht auf einen Modetrend abgestimmt: CMMC machte aus einem optionalen Sicherheitsprodukt eine Bedingung für den Gewinn von Regierungsaufträgen.

Die Architektur griff den Kosteneinwand an: Eine zitierte GCC-High-Migration von rund 200.000 US-Dollar gegenüber rund 20.000 US-Dollar für PreVeil machte das Angebot für kleine Auftragnehmer offensichtlich.

Konkrete Audit-Ergebnisse – über 60 Kunden mit perfekten 110/110-Werten – lieferten dem Unternehmen den Nachweis, dass sein Compliance-Paket funktionierte.

Die Aussetzung im Juli 2026 zeigt das Risiko, auf einem Mandat aufzubauen: Ein einziges Memorandum setzte genau die Frist aus, mit der das Unternehmen geworben hatte.

Ein Startup kann von einem regulatorischen Mandat zu einem Kundenstamm gelangen, aber dieselbe Regulierungsbehörde kann es aussetzen: Verkaufen Sie auf die zugrunde liegende Verpflichtung, nicht auf die konkrete Zertifizierungsfrist.

Stand 2. September 2026 ist PreVeil weiterhin in Betrieb und hat rund 2.500 Kunden aus dem Verteidigungsauftragnehmerbereich. Die 60-tägige Überprüfung durch die CMMC Reform Task Force sollte etwa Mitte September 2026 berichten; das Verteidigungsministerium behielt die Pflichten zur Selbstbewertung nach NIST SP 800-171 bei, entfernte jedoch während der Aussetzung die Zertifizierungsanforderungen der Stufen 2 und 3 durch C3PAO aus den Ausschreibungen. PreVeils Hinweis an Kunden lautet, dass die Pflichten nach DFARS 252.204-7012 bestehen bleiben, während das Zertifizierungsprogramm neu bewertet wird, und das Unternehmen wirbt weiterhin neben dem Verteidigungswesen auch bei professionellen Dienstleistungen, Finanzdienstleistungen und im Gesundheitswesen.