Federal Risk and Authorization Management Program (FedRAMP):

Übersicht

FedRAMP standardisiert die Sicherheitsbewertung für Cloud-Dienste, die von Bundesbehörden genutzt werden, und stützt sich dabei auf die Kontrollmaßnahmen gemäß NIST SP 800-53. Die FIPS-140-Validierung ist eine direkt in SC-13, SC-12 und IA-7 integrierte Voraussetzung: Die Kryptografie muss durch ein FIPS-140-validiertes oder von der NSA genehmigtes und NIAP-konformes Modul bereitgestellt werden, nicht lediglich durch FIPS-konformen benutzerdefinierten Code.

Im Januar 2025 genehmigte der FedRAMP-Vorstand eine aktualisierte Richtlinie für kryptografische Module (v1.1.0), die CSPs zwei Möglichkeiten bietet: einen „Validierungsmodul-Pfad“, bei dem der Verbleib auf der neuesten FIPS-validierten Modulversion im Vordergrund steht, und einen alternativen Pfad, um dringende Sicherheitspatches schneller zu integrieren, als dies bei einer vollständigen Neuvalidierung möglich wäre. Parallel dazu trat am 30. Mai 2025 „FedRAMP 20x“ in Kraft, ein modernisierter, stärker automatisierbarer Autorisierungsansatz, der auf Schlüssel-Sicherheitsindikatoren (Key Security Indicators) basiert und für Autorisierungen mit geringer Auswirkung gilt. CSPs müssen am 20x-Pilotprojekt teilnehmen, um sich zu qualifizieren.

Warum das wichtig ist

In den Programmrichtlinien von FedRAMP selbst wird das „Fehlen von nach FIPS 140 validierten Verschlüsselungsmodulen“ als häufiges Hindernis genannt, das ein Zulassungspaket bereits vor der Einreichung des Readiness Assessment Report durch eine 3PAO zum Scheitern bringen kann – es handelt sich dabei um ein Ausschlusskriterium und nicht um einen Mangel, der später behoben werden kann.

Der Übergang von FIPS 140-2 zu 140-3 verschärft dieses Risiko speziell für CSPs: Ein Modul, das bei der Erstzulassung noch in Ordnung war, kann mitten im ATO-Zyklus den Status „Historisch“ erhalten, und ein CSP, der sich auf Infrastrukturkryptografie stützt, die er nicht direkt kontrolliert – wie Bibliotheken von Cloud-Anbietern oder eingebettete „ TLS “-Stacks –, trägt weiterhin die Verantwortung für die Compliance-Lücke, falls dieses Modul am 21. September 2026 seine Gültigkeit verliert.

Wie sich dies auf die Kryptografie auswirkt 

FedRAMP behandelt das Thema Kryptografie anhand mehrerer miteinander verzahnter Kontrollbereiche. Die wichtigsten Bereiche mit direkten Auswirkungen auf die Kryptografie sind:

Prüfungsbereitschaft

Bewertungen und Prüfungen – unabhängig davon, ob sie intern durchgeführt, von einer Aufsichtsbehörde vorgenommen oder von einem unabhängigen Gutachter überprüft werden – konzentrieren sich auf nachgewiesene Fakten und nicht allein auf Grundsatzerklärungen. Zu den wichtigsten Bereichen, die Prüfer und Gutachter üblicherweise untersuchen, gehören:

• Überprüfung des Aktivstatus von FIPS-Modulen: Sind alle kryptografischen Module, die Bundesdaten schützen, in der Liste der vom CMVP validierten Module als „aktiv“ bestätigt und nicht als „historisch“ oder „noch in Bearbeitung“ gekennzeichnet?
• Abgleich von Version und Zertifikat im SSP: Wird im System-Sicherheitsplan die genaue Modulversion und die Zertifikatsnummer, die in der Produktion eingesetzt werden, korrekt angegeben?
• Aktionsplan und Meilensteine für Module, deren Gültigkeitsdauer bald abläuft: Gibt es einen dokumentierten Aktionsplan und Meilensteine für Module, deren Gültigkeitsdauer gemäß FIPS 140-2 am 21. September 2026 abläuft?
• Wichtige Unterlagen zur Einrichtung und Verwaltung: Sind die Verfahren zur Schlüsselgenerierung, -verteilung und -vernichtung dokumentiert und an ein bestimmtes validiertes Modul gekoppelt?
• Nachweise aus der kontinuierlichen Überwachung für 20x KSIs: Kann die Organisation automatisierte, fortlaufende Nachweise über den Status der kryptografischen Kontrollen vorlegen, anstatt lediglich Artefakte aus punktuellen Bewertungen?
• Überprüfung signierter Artefakte bei der Bereitstellung: Sind Container-Images, Build-Artefakte und Patches, die innerhalb der Autorisierungsgrenze bereitgestellt werden, kryptografisch signiert und verifiziert?

LEITEN SIE DIES AN DIE GESCHÄFTSFÜHRUNG WEITER

In den FedRAMP-Leitlinien wird das Fehlen einer FIPS-Validierung als häufiger Grund dafür genannt, dass Zulassungsunterlagen gar nicht erst eingereicht werden – dies ist kein Mangel, den wir im Rahmen der Bewertung beheben können. Wenn unsere kryptografischen Module, einschließlich derer, die wir von unserem Cloud-Infrastrukturanbieter übernommen haben, nicht mit einer Version, die unserem SSP entspricht, auf der CMVP-Active-Liste stehen, gelangen wir gar nicht erst zur 3PAO-Prüfung.

Der 21. September 2026 bringt ein Risiko in der Mitte des Zyklus mit sich, mit dem wir bisher noch nicht umgehen mussten: Ein Modul, das zum Zeitpunkt unserer Genehmigung den Status „Aktiv“ hatte, kann in den Status „Historisch“ wechseln, während unsere ATO noch in Kraft ist. Wir benötigen einen kontinuierlichen Überblick über den Validierungsstatus jedes Moduls – nicht nur eine einmalige Überprüfung zum Zeitpunkt der Genehmigung –, und die von FedRAMP 20x geforderte kontinuierliche, automatisierte Nachweispflicht macht diesen Überblick zu einer Grundvoraussetzung und nicht mehr nur zu einer Option.