FedRAMP im Privatsektor: Warum Unternehmen ohne Bundesvorgabe trotzdem darauf setzen

FedRAMP wurde für einen einzigen Zweck geschaffen: zu überprüfen, ob Cloud-Service-Provider die Sicherheitsstandards der US-Bundesbehörden erfüllen, bevor diese sie einsetzen. Private Unternehmen ohne Regierungsaufträge und ohne Verpflichtungen im Umgang mit Bundesdaten sind nicht dazu verpflichtet, sich damit auseinanderzusetzen.

Trotzdem tun es immer mehr von ihnen. Gesundheitsorganisationen, Finanzdienstleister, Zulieferer der Verteidigungsindustrie und Unternehmen, die sich schlicht über Sicherheit vom Wettbewerb abheben wollen, nutzen FedRAMP-zertifizierte Plattformen als freiwilligen Maßstab – nicht weil eine Aufsichtsbehörde es verlangt, sondern weil unabhängig geprüfte, kontinuierlich überwachte Sicherheit selbst zu einem echten Wettbewerbsvorteil geworden ist.

Executive Summary

Kernaussage: Die FedRAMP-Zertifizierung wurde für die Beschaffung von Cloud-Diensten durch US-Bundesbehörden entwickelt. Doch ihre Strenge – unabhängige Prüfung durch Dritte, kontinuierliches Monitoring und ein dokumentierter Kontrollrahmen – hat sie zu einem Sicherheitsmaßstab gemacht, auf den sich auch Privatunternehmen ohne jede Bundesvorgabe berufen. Für manche Organisationen im Privatsektor ist der Einsatz einer FedRAMP-zertifizierten Plattform eine praktische Abkürzung zur Compliance. Für andere ist es ein Vertrauenssignal gegenüber Kunden, Partnern und Regulierungsbehörden.

Warum das relevant ist: Sicherheitsversprechen lassen sich leicht aussprechen, aber schwer überprüfen. Eine FedRAMP-Zertifizierung wird von einer akkreditierten dritten Stelle unabhängig geprüft und öffentlich in einem Bundesregister gelistet – sie kann nicht ohne Nachweis behauptet werden. Für Unternehmen, die Cloud-Anbieter bewerten oder ihre eigene Sicherheitslage gegenüber Stakeholdern belegen müssen, schließt genau diese Nachweislücke FedRAMP.

Die wichtigsten Erkenntnisse

1. FedRAMP ist eine Bundesvorgabe für Behörden – nicht für Privatunternehmen. Nur Cloud-Service-Provider, die an US-Bundesbehörden verkaufen, müssen eine FedRAMP-Zertifizierung vorweisen. Private Unternehmen ohne Regierungsaufträge sind rechtlich nicht verpflichtet, FedRAMP-zertifizierte Anbieter zu nutzen. Die Verbreitung im Privatsektor erfolgt freiwillig – getrieben vom Wert der zugrunde liegenden Sicherheitsstrenge, nicht von einer Compliance-Pflicht.
2. Manche Nutzung im Privatsektor ist an Bundesvorgaben angelehnt, ohne selbst verpflichtend zu sein. Unternehmen in der Zuliefererkette der Verteidigungsindustrie, die unter DFARS 252.204-7012 arbeiten oder eine CMMC-Zertifizierung anstreben, sind nicht direkt zur Nutzung einer FedRAMP-zertifizierten Cloud-Plattform verpflichtet – doch damit erfüllen sie überschneidende Kontrollanforderungen und schaffen dokumentierte Nachweise, die die eigenen Compliance-Prüfungen erheblich verkürzen. Dasselbe Muster zeigt sich bei Unternehmen, die ITAR-Konformität anstreben: Auch hier bestehen hohe, dem Verteidigungssektor nahestehende Sicherheitserwartungen, selbst ohne explizite FedRAMP-Vorgabe.
3. Für regulierte Branchen ohne Bundesbezug ist FedRAMP zu einem De-facto-Sicherheitsstandard geworden. Gesundheitsorganisationen, die HIPAA unterliegen, Finanzdienstleister mit GLBA- oder landesrechtlichen Vorgaben sowie Kanzleien im Umgang mit vertraulichen Daten sehen sich Sicherheitserwartungen von Regulierungsbehörden, Prüfern und Kunden gegenüber, die eine FedRAMP-zertifizierte Plattform überzeugender erfüllt als eine unbelegte Anbieteraussage – obwohl keines dieser Regelwerke FedRAMP ausdrücklich verlangt.
4. Die FedRAMP-Zertifizierung ist ein Vertrauenssignal, dem man nicht blind glauben muss. Jeder Anbieter kann behaupten, hohe Sicherheitsstandards zu erfüllen. Eine FedRAMP-Zertifizierung bedeutet dagegen, dass eine akkreditierte, unabhängige Prüforganisation (Third Party Assessment Organization) die Kontrollen des Anbieters validiert hat, ein autorisierender Beamter der Bundesbehörden die Bewertung geprüft hat und das Ergebnis öffentlich im FedRAMP Marketplace gelistet ist. Für Unternehmen, die Anbieter bewerten – oder ihre eigene Sicherheitslage gegenüber Kunden und Partnern belegen wollen – ist diese unabhängige Verifizierung ein Alleinstellungsmerkmal, das keine Marketingaussage ersetzen kann.
5. Der Einsatz einer FedRAMP-zertifizierten Plattform kann Compliance-Aufwand über mehrere Regelwerke hinweg verringern. Der Kontrollrahmen von FedRAMP Moderate überschneidet sich erheblich mit NIST SP 800-171 (dem Standard, auf dem CMMC basiert), und das kontinuierliche Monitoring deckt sich mit den Kontrollanforderungen von SOC 2, ISO 27001 und HIPAA. Ein Unternehmen, das eine FedRAMP-zertifizierte Plattform nutzt, kann bei der Erfüllung eigener Compliance-Pflichten unter anderen Regelwerken oft auf die unabhängig geprüften Kontrollen dieser Plattform verweisen – und so doppelte Prüfarbeit vermeiden.

Was FedRAMP tatsächlich überprüft

Eine FedRAMP-Zertifizierung bedeutet, dass ein Cloud-Dienst unabhängig von einer akkreditierten Prüforganisation (3PAO) bewertet wurde, dass diese Bewertung von einem autorisierenden Beamten der Bundesbehörden geprüft wurde, der eine Betriebserlaubnis (Authority to Operate) erteilt hat, und dass der Dienst im FedRAMP Marketplace als „Authorized“ gelistet ist. Zertifizierte Anbieter reichen laufend monatliche Schwachstellenscans, jährliche Penetrationstestergebnisse und dokumentierte Maßnahmenpläne bei den zuständigen Stellen ein – die Überprüfung ist also fortlaufend, keine einmalige Kontrolle.

Das ist ein grundlegend anderer Maßstab als eigene Sicherheitsversprechen eines Anbieters oder ein generischer SOC-2-Bericht. Es bedeutet, dass eine externe Stelle mit Rechenschaftspflicht gegenüber dem Bund bestätigt hat, dass die Kontrollen existieren und wie beschrieben funktionieren – und dies fortlaufend weiter bestätigt. Für ein Unternehmen, das einen Cloud-Anbieter bewertet oder die eigene Sicherheitslage nach außen belegen möchte, hat dieser Unterschied echtes Gewicht.

Warum Privatunternehmen FedRAMP-zertifizierte Plattformen ohne Vorgabe nutzen

Zulieferer der Verteidigungsindustrie und DFARS-nahe Auftragnehmer. Unternehmen, die Komponenten fertigen, Dienstleistungen erbringen oder Materialien an Hauptauftragnehmer der Verteidigungsindustrie liefern – auch ohne selbst einen direkten Vertrag mit dem US-Verteidigungsministerium zu haben – müssen zunehmend Sicherheitspraktiken nachweisen, die den Compliance-Pflichten ihrer Kunden entsprechen. Ein Komponentenhersteller, der einen Hauptauftragnehmer beliefert, der DFARS 252.204-7012 einhalten und eine CMMC-Zertifizierung anstreben muss, profitiert direkt davon, eine FedRAMP-zertifizierte Plattform für den Umgang mit kontrollierten, nicht klassifizierten Informationen (CUI) oder exportkontrollierten technischen Daten einzusetzen. Dieselbe Logik gilt für Unternehmen, die ITAR-relevant sind – ITAR selbst schreibt FedRAMP nicht vor, doch Partner aus dem Verteidigungsbereich erwarten Sicherheitspraktiken, die der Sensibilität exportkontrollierter Verteidigungstechnologie entsprechen, und eine FedRAMP-Zertifizierung ist einer der klarsten Wege, dies zu belegen.

Gesundheitsorganisationen. HIPAA nennt FedRAMP nicht namentlich, doch die Anforderungen der Security Rule an Verschlüsselung, Zugriffskontrollen und Protokollierung werden von einer Plattform, deren Kontrollen im Rahmen des FedRAMP-Prüfverfahrens unabhängig verifiziert wurden, überzeugender erfüllt als von einer unbelegten Anbieteraussage. Gesundheitsorganisationen betrachten eine FedRAMP-Moderate-Zertifizierung zunehmend als aussagekräftiges Signal bei der Bewertung von Cloud-Anbietern für den Umgang mit ePHI – auch ohne regulatorische Verpflichtung dazu.

Finanzdienstleister. Landesrechtliche Finanzvorschriften, GLBA-Schutzanforderungen und die Sorgfaltspflichten von Kunden drängen Finanzdienstleister allesamt zu nachweisbarer Sicherheitsstrenge. Eine FedRAMP-zertifizierte Plattform liefert diesen Unternehmen einen dokumentierten, unabhängig geprüften Kontrollrahmen, auf den sie verweisen können – sowohl für ihre eigenen Compliance-Programme als auch bei der Beantwortung von Sicherheitsfragebögen ihrer Kunden.

Unternehmen, die Sicherheit als Differenzierungsmerkmal nutzen. Für jede Organisation, die sensible Daten im Auftrag von Kunden oder Partnern verarbeitet – Kanzleien, Beratungsunternehmen, Technologieanbieter – ist eine FedRAMP-zertifizierte Plattform ein konkreter Weg, Sicherheitsengagement gegenüber Stakeholdern zu belegen. Sie ist unabhängig überprüfbar, anders als das eigene Sicherheitsmarketing eines Anbieters, und signalisiert ein Maß an Strenge, das besonders bei Großkunden und Kunden mit Behördennähe Anklang findet, die ihrerseits Anbieter bewerten.

Das Argument der Compliance-Vererbung

Über den Vertrauenssignal-Aspekt hinaus gibt es ein praktisches Effizienzargument für die Nutzung von FedRAMP im Privatsektor: die Vererbung von Kontrollen (Control Inheritance).

Der Kontrollrahmen von FedRAMP Moderate – 325 Kontrollen nach NIST SP 800-53 Rev. 5 – überschneidet sich erheblich mit NIST SP 800-171, dem Standard, auf dem DFARS 252.204-7012 und CMMC aufbauen. Ein Unternehmen, das eine FedRAMP-Moderate-zertifizierte Plattform zur Verarbeitung von CUI nutzt, kann die unabhängig geprüften Kontrollen dieser Plattform als Teil der eigenen Compliance-Dokumentation heranziehen, statt jede Kontrolle selbst zu verifizieren. Das entbindet ein Unternehmen nicht von seinen eigenen Compliance-Pflichten, verringert aber den Prüfaufwand spürbar – unbelegte Anbieteraussagen werden durch dokumentierte, von Dritten geprüfte Nachweise ersetzt.

Dieselbe Überschneidung gilt, in unterschiedlichem Ausmaß, auch für die Kontrollanforderungen von SOC 2, ISO 27001 und HIPAA. Ein Unternehmen, das bereits die Arbeit investiert hat, eine FedRAMP-zertifizierte Plattform zu bewerten und einzuführen, stellt oft fest, dass deren Kontrollen mehrere weitere Compliance-Regelwerke direkt unterstützen, denen es unabhängig unterliegt – und reduziert so doppelte Anbieterbewertungen im gesamten Compliance-Programm.

Worauf bei der Bewertung eines FedRAMP-zertifizierten Anbieters zu achten ist

Nicht jeder Anbieter, der mit „FedRAMP-Konformität“ wirbt, verfügt tatsächlich über eine Zertifizierung. Dieser Unterschied ist entscheidend und sollte direkt überprüft werden.

Den FedRAMP Marketplace prüfen. „Authorized“, „In Process“ und „Ready“ sind die einzigen drei offiziellen Bezeichnungen. Eine Marketingaussage eines Anbieters reicht nicht aus – überprüfen Sie, ob das konkrete Serviceangebot unter marketplace.fedramp.gov als „Authorized“ gelistet ist.

Die Zertifizierungsstufe verstehen. FedRAMP Moderate deckt die meisten Anwendungsfälle mit sensiblen, aber nicht klassifizierten Daten ab – CUI, personenbezogene Daten, geschäftskritische Routineinformationen. FedRAMP High ist den sensibelsten nicht klassifizierten Daten vorbehalten, bei denen eine Kompromittierung schwerwiegende Folgen hätte. Die meisten Anwendungsfälle im Privatsektor sind mit der Moderate-Zertifizierung gut abgedeckt; Organisationen mit besonders sensiblen Daten (Nähe zu Strafverfolgungsbehörden, Finanzsysteme im großen Maßstab, ITAR-kontrollierte technische Daten) sollten gezielt den FedRAMP-High-Status eines Anbieters prüfen.

Nach der Prüfungsdokumentation fragen. Ein tatsächlich zertifizierter Anbieter kann seinen Security Assessment Report und den aktuellen System Security Plan vorlegen. Ein Anbieter, der mit „FedRAMP-äquivalent“ wirbt – ein Begriff ohne offiziellen Status –, kann dies in der Regel nicht.

Wie Kiteworks FedRAMP für Bundesbehörden und Privatkunden gleichermaßen umsetzt

Kiteworks verfügt über die FedRAMP-Moderate-Zertifizierung, unabhängig geprüft von Coalfire und seit Juni 2017 kontinuierlich überwacht, und hat für seine Secure Gov Cloud den Status FedRAMP High „In Process“ erreicht. Die Plattform wird direkt von Bundesbehörden genutzt, von Verteidigungsauftragnehmern, die CUI im Rahmen von DFARS- und CMMC-Vorgaben verwalten, sowie von Organisationen im Privatsektor aus den Bereichen Gesundheitswesen, Finanzdienstleistungen und Recht, die die FedRAMP-Zertifizierung als ihren Sicherheitsmaßstab gewählt haben – ohne dass eine Bundesvorgabe dies verlangt.

Die technische Architektur ist für beide Zielgruppen identisch. Kiteworks setzt AES-256-Verschlüsselung auf Datei- und Festplattenebene mit FIPS-140-3-validierten kryptografischen Modulen und kundeneigenen Verschlüsselungsschlüsseln ein. Jeder Datenaustausch – über sichere E-Mail, sicheres File Sharing, Managed File Transfer, SFTP und sichere Web-Formulare – wird durch eine einheitliche Richtlinien-Engine gesteuert und in einem einzigen, unveränderlichen, konsolidierten Audit-Trail protokolliert.

Für Organisationen im Privatsektor, die auf Compliance-Vererbung setzen, unterstützen die FedRAMP-Moderate-Kontrollen von Kiteworks direkt die CMMC-Vorbereitung, die technischen Schutzanforderungen von HIPAA sowie die Kontrollerwartungen von SOC 2 und ISO 27001 – und verringern so den Prüfaufwand über mehrere Regelwerke hinweg.

Um zu erfahren, wie die FedRAMP-Zertifizierung von Kiteworks Ihre spezifischen Compliance- und Sicherheitsanforderungen unterstützt, vereinbaren Sie eine individuelle Demo.

Weiterführende Ressourcen

• Blogbeitrag Die 5 besten Lösungen für sicheres File Sharing im Unternehmen
• Blogbeitrag So teilen Sie Dateien sicher
• Video Kiteworks Snackable Bytes: Sicheres File Sharing
• Blogbeitrag 12 wesentliche Anforderungen an Software für sicheres File Sharing
• Blogbeitrag Die sichersten File-Sharing-Optionen für Unternehmen & Compliance