Was ist FedRAMP? Bundes-Cloud-Autorisierung im 20x-Zeitalter

Was FedRAMP® ist, einfach gesagt

Der Zweck von FedRAMP®

Vor FedRAMP® bewertete jede Bundesbehörde Cloud-Dienste eigenständig. Ein einzelnes Produkt, das 10 Behörden bediente, durchlief möglicherweise zehn separate Sicherheitsüberprüfungen – jede lieferte eigene Ergebnisse, eigene Unterlagen und eigenen Rückstau. Das Ergebnis war doppelte Arbeit, inkonsistente Sicherheitsentscheidungen in der Regierung und ein starker Anreiz für kommerzielle Cloud-Anbieter, in den Bundesmarkt zu investieren.

FedRAMP® wurde gegründet, um das zu lösen. Das Leitprinzip lautet "einmal machen, viele Male nutzen": Ein Cloud-Dienst wird einmal anhand eines standardisierten Sicherheitsanforderungs-Satzes bewertet, und jede Bundesbehörde kann den Dienst dann übernehmen, ohne die zugrundeliegende Überprüfung wiederholen zu müssen. Behörden erhalten schneller, besser vertretbaren Zugang zu sicheren Cloud-Diensten. Anbieter erhalten eine einzige landesweit anerkannte Qualifikation, die die Tür zum gesamten Bundesmarkt öffnet.

Das dahinterstehende Sicherheitsrahmen

FedRAMP® erfindet keine eigenen Sicherheitskontrollen. Es nimmt den bestehenden NIST SP 800-53 Kontrollkatalog – den Katalog, den die Bundesregierung bereits nutzt, um ihre Sicherheitsverpflichtungen im Rahmen des Federal Information Security Modernization Act (FISMA) zu erfüllen – und passt diese Kontrollen an den Cloud-Kontext an. Das Ergebnis ist eine Reihe von drei Kontrollbasislinien (Niedrig, Moderat und Hoch), die auf Cloud-Dienste basierend auf der Sensibilität der von ihnen verarbeiteten Daten angewendet werden.

Das Programm wird von der GSA verwaltet, unter Aufsicht des FedRAMP® Program Management Office, und die Bewertungen werden von unabhängigen Drittanbieter-Bewertungsorganisationen (3PAOs) durchgeführt, die speziell für diese Rolle akkreditiert sind.

Was es abdeckt – und was nicht

FedRAMP® deckt Cloud-Service-Angebote – SaaS, PaaS und IaaS – ab, die Bundesdaten speichern, verarbeiten oder übertragen. Dazu gehören Analyseplattformen, Kollaborationstools, Infrastrukturdienste, Identitätsanbieter und KI-Dienste, die als Service bereitgestellt werden.

Was FedRAMP® nicht abdeckt: On-Premises-Software, Hardwareprodukte, professionelle Dienstleistungen und Cloud-Dienste, die niemals Bundesdaten berühren. Es ersetzt auch keine anderen bundes- oder branchenspezifischen Anforderungen – ein Gesundheitsanalysedienst benötigt weiterhin eine HIPAA-Ausrichtung, eine Verteidigungsarbeit muss weiterhin DoD-spezifische Anforderungen erfüllen, und ein Dienst mit kontrollierten unklassifizierten Informationen (CUI) benötigt weiterhin NIST SP 800-171-Kontrollen, wo angebracht. FedRAMP® steht neben diesen Frameworks, nicht über ihnen.

Wer braucht FedRAMP® (und warum)?

Bundesbehörden

Bundesbehörden sind verpflichtet, Cloud-Dienste von von FedRAMP® autorisierten Anbietern für Produktionsworkloads zu beziehen. Diese Anforderung ergibt sich aus FISMA, wird durch die Richtlinien des Office of Management and Budget (OMB) verstärkt und bei der Bundesbeschaffung durchgesetzt. Für einen CIO oder CISO ist die Nutzung eines nicht autorisierten Cloud-Dienstes für die Produktion von Bundesdaten kein Graubereich – es ist ein Compliance-Versagen.

Der praktische Vorteil für die Behörden ist die Geschwindigkeit. Eine Behörde, die einen autorisierten Dienst bewertet, erbt das bestehende Sicherheitsbewertungspaket und kann innerhalb von Wochen zu einer Authority to Operate (ATO)-Entscheidung übergehen, statt in den Monaten oder Jahren, die eine ursprüngliche Bewertung benötigen würde.

Cloud-Service-Anbieter (CSPs), die an den Bundesmarkt verkaufen

Für jeden kommerziellen Cloud-Anbieter, der Bundeskunden anspricht, ist FedRAMP® der Eintrittsgeld. Ohne Genehmigung ist der adressierbare Bundesmarkt für Produktionslasten faktisch null. Anbieter, die den Bundesmarkt anstreben, behandeln FedRAMP® daher als strategische Investition – nicht als Häkchen –, da die Genehmigung auf dem traditionellen Weg 12 bis 18 Monate dauert, eine 3PAO-Beteiligung erfordert und fortlaufende kontinuierliche Überwachungsverpflichtungen mit sich bringt.

Der Gewinn ist wesentlich. Eine einzige Autorisierung qualifiziert einen Service für die Nutzung in jeder Bundesbehörde, und die Zertifizierung selbst signalisiert ein Maß an Sicherheitsstrenge, das den Verkauf benachbarter Unternehmen in regulierten Branchen oft beschleunigt.

Auftragnehmer, staatliche/lokale Einrichtungen und die erweiterte Reichweite von FedRAMP®

Die Anforderung reicht über den Bundesbereich hinaus. Bundesauftragnehmer und Subunternehmer, deren Cloud-Umgebungen Regierungsinformationen verarbeiten, übernehmen FedRAMP-Verpflichtungen® durch ihre Verträge. Staatliche und lokale Projekte, die Bundeszuschussdaten verarbeiten oder mit Bundessystemen integriert werden, benötigen häufig von FedRAMP® autorisierte Dienstleistungen. Und in regulierten Nachbarschaften – Gesundheitswesen, Finanzdienstleistungen, Verteidigungslieferkette – ist die FedRAMP-Genehmigung® zu einer Erwartung auf dem kommerziellen Markt geworden, nicht nur einer bundesstaatlichen.

Zertifizierung vs. Compliance vs. Genehmigung

Eine der häufigsten Verwirrungsquellen bei der bundesstaatlichen Cloud-Beschaffung ist, dass Käufer, Analysten und Anbieter drei verschiedene Begriffe verwenden, um dasselbe zu beschreiben. Suchen nach "FedRAMP-Zertifizierung", "FedRAMP-Compliance" und "FedRAMP-Autorisierung" zusammen erzeugen mehr als 4.000 Anfragen pro Monat – und streng genommen ist nur einer dieser Begriffe korrekt.

• FedRAMP-Autorisierung® ist der korrekte Begriff. Es ist der formale Status, den ein Cloud-Dienst erhält, nachdem eine Behörde eine Authority to Operate (ATO) auf Grundlage einer abgeschlossenen Sicherheitsbewertung erhält. Das ist das Wort, das in FedRAMP.gov und in der Bundespolitik verwendet wird.
• Die FedRAMP-Konformität® wird häufig als Kurzform für "erfüllt FedRAMP-Anforderungen®" verwendet. Sie ist informell, aber allgemein verstanden.
• Die FedRAMP-Zertifizierung® ist technisch falsch – FedRAMP® gibt keine Zertifizierungen aus – bleibt aber bestehen, weil "Zertifizierung" das vertrautere Compliance-Vokabular ist. Wenn jemand fragt, ob ein Dienst "FedRAMP-zertifiziert®" ist, meint er fast immer "FedRAMP® Authorized".

Die praktische Empfehlung: Verwenden Sie "Autorisierung" in formalen Kontexten und erkennen Sie, dass die drei Begriffe im Alltag effektiv austauschbar sind.

Die 3 FedRAMP-Aufprallstufen®

Nicht alle Bundesdaten weisen die gleiche Sensibilität auf, und FedRAMP® spiegelt dies wider mit drei Kontroll-Baselines – Niedrig, Moderat und Hoher –, die durch FIPS 199-Kategorisierung hinsichtlich Vertraulichkeit, Integrität und Verfügbarkeit bestimmt werden. Die Basislinie, die ein Cloud-Dienst anstrebt, wird durch die Daten mit der höchsten Sensibilität bestimmt, die er verarbeiten wird.

Quelle: https://www.vanta.com/collection/fedramp/fedramp-levels-baselines

FedRAMP® Low

FedRAMP® Low gilt für Cloud-Dienste, die öffentlich freigegebene Informationen oder Daten verwalten, bei denen eine Verletzung nur begrenzte negative Auswirkungen auf die Behördenabläufe hätte. Öffentliche Websites der Behörden, offene Datenportale und grundlegende Kommunikationswerkzeuge fallen typischerweise hierher. Die Kontrollbasis ist die leichteste der drei, aber immer noch deutlich strenger als die typische kommerzielle Sicherheitsstrategie.

FedRAMP® Moderate

Moderat ist die gebräuchlichste Basislinie und gilt für die Mehrheit der Bundessysteme. Es ist die richtige Stufe für tägliche bundesstaatliche Geschäftsdaten, personenbezogene Daten (PII) und nicht klassifizierte Missionsarbeitslasten, bei denen ein Datenverstoß ernsthafte negative Auswirkungen hätte. Die meisten Analyse-, Kollaborations- und Produktivitätsdienste, die den Bundesmarkt verfolgen, zielen auf Moderate als erste Genehmigung ab.

FedRAMP® High

High ist für die sensibelsten unklassifizierten Daten reserviert—Strafverfolgungsunterlagen, Notfalldienste, Finanzdaten und Gesundheitsinformationen, bei denen ein Sicherheitsvorstoß schwere oder katastrophale Auswirkungen auf Betrieb oder Einzelpersonen haben könnte. Der Kontrollsatz ist deutlich größer als bei Moderate, und die operativen Anforderungen sind entsprechend strenger.

Eine Anmerkung zu den Auswirkungsgraden des DoD

Verteidigungs-Workloads legen eine zusätzliche Klassifikation über FedRAMP® hinzu. Der Cloud Computing Security Requirements Guide (SRG) des Verteidigungsministeriums definiert DoD-Impact Levels – IL2, IL4, IL5 und IL6 –, die für Cloud-Dienste gelten, die DoD-Informationen, kontrollierte unklassifizierte Informationen (CUI) und klassifizierte Daten verarbeiten. Ein Cloud-Service, der DoD-Kunden bedient, verfügt typischerweise über eine FedRAMP-Autorisierung® als Voraussetzung und behandelt dann zusätzlich die Anforderungen des DoD IL.

Wie die FedRAMP-Autorisierung® funktioniert

Unter dem traditionellen (Rev. 5) Autorisierungspfad dauert das Erreichen des FedRAMP-Autorisierten® Status für einen gut vorbereiteten Cloud-Anbieter zwischen 12 und 18 Monaten. Der Prozess durchläuft vier Phasen, wobei ein wichtiger Meilenstein – FedRAMP® Ready – auf halbem Weg und nicht erst am Ende erreicht wird.

Quelle: https://secureframe.com/blog/fedramp

Schritt 1: Bereitschaftsbewertung und FedRAMP® Ready

Ein Cloud-Anbieter beginnt damit, eine von FedRAMP® akkreditierte Third Party Assessment Organization (3PAO) zu engagieren – einen unabhängigen Prüfer, der qualifiziert ist, Cloud-Dienste anhand der FedRAMP-Anforderungen® zu bewerten. Das 3PAO erstellt einen Readiness Assessment Report (RAR), der die Sicherheitsarchitektur des Anbieters dokumentiert und bewertet, wie seine Kontrollen mit dem Ziel-Baseline übereinstimmen.
Wenn das RAR den Erwartungen von FedRAMP® entspricht, erhält der Dienst den Status FedRAMP® Ready und wird im FedRAMP® Marketplace gelistet. Dies ist ein wichtiger Meilenstein – es ist eine unabhängige Bestätigung, dass die Sicherheitslage eines Anbieters stark genug ist, um eine vollständige Genehmigung zu beantragen, und oft ist es das Signal, das Bundesbehörden nutzen, um Beschaffungsgespräche zu beginnen, während der Rest des Prozesses weiterläuft.
Teradata VantageCloud Lake auf AWS erreichte den FedRAP-Ready-Status® für Moderate Impact Level in den Regionen der USA West und U.S. East, was bestätigt, dass die Plattform eine unabhängige 3PAO-Bewertung anhand der Anforderungen für eine vollständige FedRAMP-Genehmigung® bestanden hat.

Schritt 2: Vollständige Sicherheitsbewertung (SAR und POA&M)

Mit dem FedRAMP® Ready-Status in der Hand beginnt der Anbieter eine vollständige Sicherheitsbewertung – ein umfassendes 3PAO-Audit für jede Kontrolle im Ziel-Baseline. Die Bewertung ergibt zwei zentrale Artefakte: einen Security Assessment Report (SAR), der dokumentiert, wie jede Kontrolle implementiert, getestet und funktioniert wird, sowie einen Aktionsplan und Meilensteine (POA&M), der alle Lücken oder Abweichungen sowie den Sanierungsplan für jede Kontrolle katalogisiert. Gemeinsam bilden SAR und POA&M die Evidenzbasis für die folgende Genehmigungsentscheidung.

Schritt 3: Autorisierung und Agentur-ATO

Nach dem aktuellen FedRAMP-Modell® wird die Genehmigung erteilt, wenn eine Bundesbehörde das vollständige Sicherheitspaket überprüft und eine Betriebsbefugnis (ATO) erteilt. Die Behörde fungiert als autorisierender Beamter, übernimmt die Risikoübernahme für die Nutzung des Dienstes und signalisiert dem Rest der Regierung, dass der Dienst die Zulassungsvoraussetzungen bestanden hat.
Sobald ein ATO ausgestellt wurde, wechselt der Dienst auf dem Marktplatz zum FedRAMP-Autorisierten® Status und steht für jede Bundesbehörde zur Verfügung. Der historische Joint Authorization Board (JAB)-Weg wurde unter FedRAMP® 20x depriorisiert und ist nicht mehr der primäre Weg zur Autorisierung.

Schritt 4: Kontinuierliche Überwachung

Die Autorisierung ist kein einmaliges Ereignis. Autorisierte Anbieter sind verpflichtet, ihre Sicherheitslage durch kontinuierliche Überwachung (ConMon) aufrechtzuerhalten – monatliche Schwachstellenscans, regelmäßige Berichterstattung, Vorfallbenachrichtigungen, Konfigurationsmanagement und jährliche Bewertungen. Die Ergebnisse werden in einer aktualisierten POA&M erfasst und mit der autorisierenden Behörde geteilt.
Dies ist die Anforderung, die FedRAMP® von den meisten Punkt-in-Time-Compliance-Frameworks unterscheidet. Ein Cloud-Dienst muss nicht nur am Tag seiner Bewertung sicher sein – er muss nachweisen, dass er jeden Monat danach sicher bleibt.

FedRAMP®, FISMA und NIST 800-53

Diese drei Begriffe tauchen in Bundes-Cloud-Gesprächen ständig zusammen auf und werden häufig verwechselt. Sie sind verwandt, aber unterschiedlich, und zu verstehen, wie sie zusammenpassen, ist der Unterschied zwischen informiertem Erscheinen in einem Beschaffungsgespräch und einem ungefähren Erscheinen.

FISMA: Das Gesetz

Der Federal Information Security Modernization Act (FISMA) ist ein US-Bundesgesetz, das zuletzt 2014 aktualisiert wurde und Bundesbehörden verpflichtet, Programme zum Schutz ihrer Informationen und Informationssysteme zu entwickeln, zu dokumentieren und umzusetzen. FISMA gilt für alles, was die Regierung betreibt – Cloud oder anderes – und überträgt den Behörden die Verantwortung für die Sicherheit ihrer Systeme.

NIST SP 800-53: Der Kontrollkatalog

NIST Special Publication 800-53 ist der Katalog der Sicherheits- und Datenschutzkontrollen, die Bundesbehörden nutzen, um die Anforderungen von FISMA zu erfüllen. Veröffentlicht vom National Institute of Standards and Technology und derzeit in Revision 5, umfasst sie alles von Zugriffskontrolle und Vorfallreaktion bis hin zu Risikomanagement für Lieferketten und Datenschutztechnik. NIST 800-53 ist die gängige Kontrollsprache der Bundes-Cybersicherheit.

FedRAMP®: Die Cloud-Implementierung

FedRAMP® nimmt die relevanten NIST 800-53-Steuerungen, passt sie an den Cloud-Kontext an, organisiert sie in die Low-, Moderate- und High-Baselines und definiert den standardisierten Bewertungs-, Autorisierungs- und kontinuierlichen Überwachungsprozess, dem Cloud-Service-Anbieter folgen.
In drei Sätzen: FISMA ist das Gesetz. NIST 800-53 ist der Kontrollkatalog. FedRAMP® ist die cloudspezifische Implementierung beider.

Was ändert sich FedRAMP® 20x

Am 24. März 2025 kündigte die GSA FedRAMP® 20x an – die bedeutendste Überarbeitung des Programms seit seiner Einführung im Jahr 2011. FedRAMP® 20x ist keine inkrementelle Überarbeitung. Es handelt sich um einen grundständigen Neuaufbau der Art und Weise, wie Cloud-Dienste bewertet, autorisiert und kontinuierlich überwacht werden, auf Automatisierung und kontinuierliche Validierung ausgelegt, anstatt statische Dokumentation und manuelle Überprüfung.

Warum es FedRAMP® 20x gibt

Der traditionelle FedRAMP-Prozess® wurde für einen bundesweiten Cloud-Markt entwickelt, der es damals noch nicht gab. Im Laufe der Zeit dehnten sich die Autorisierungsfristen auf Jahre, Dokumentationspakete wuchsen auf Tausende von Seiten an, und die manuelle Überprüfung durch das FedRAMP® Program Management Office wurde zum zentralen Engpass für jedes CSP. FedRAMP® 20x existiert, um diese Dynamiken zurückzusetzen – um Zeitlinien von Jahren auf Wochen zu komprimieren, Beweise von narrativen zu maschinenlesbaren Daten zu verschieben und die föderale Cloud-Akzeptanz in dem Tempo zu skalieren, das der Markt heute erfordert.

Die 4 Kernänderungen

• Automatisierungsbasierte Validierung: Das Ziel ist, dass mehr als 80 % der Sicherheitsanforderungen automatisch validiert werden, wobei maschinell lesbare Beweise direkt aus Cloud-Umgebungen erstellt werden – keine narrativen Berichte erforderlich
• Schlüssel-Sicherheitsindikatoren (KSIs): Anstatt jede Kontrolle in Prosa zu dokumentieren, demonstrieren CSPs Sicherheit durch messbare, ergebnisbasierte Indikatoren, die kontinuierlich berichtet und überprüft werden können
• Kontinuierliche Validierung statt jährlicher Bewertung: Moment-in-Time-Jahresprüfungen werden durch ständige, automatisierte Überprüfungen ersetzt, die Wahrheiten über die Sicherheitslage eines Dienstes zu jedem Zeitpunkt liefern
• Branchengeführte Lösungen: FedRAMP® legt die Standards fest, und die Privatwirtschaft entwickelt die Werkzeuge, Rahmenwerke und Automatisierungen, die diesen entsprechen, mit fortlaufender Zusammenarbeit durch öffentliche Arbeitsgruppen

Wo FedRAMP® 20x heute steht

FedRAMP® 20x wird in Phasen ausgerollt. Phase 1 lief von April bis September 2025 und konzentrierte sich auf Low-Impact Pilot-Genehmigungen; 26 Cloud-Service-Anbieter reichten Pilotpakete ein, und die ersten Genehmigungen wurden im Juli 2025 erteilt. Phase 2 ist derzeit aktiv und erweitert die Pilotgenehmigungen auf moderate Auswirkungen, wobei etwa 10 moderate Pilotgenehmigungen angestrebt sind. Ein offizieller regierungsweiter Start ist für das dritte Quartal 2026 geplant, mit einem mehrjährigen Übergangsfenster für Anbieter, die bereits unter dem traditionellen Rev. 5-Pfad autorisiert sind.

Was es für CSPs bedeutet, die bereits im traditionellen Prozess sind

Der traditionelle Autorisierungsweg für Rev. 5 bleibt offen. Anbieter, die bereits unter Rev. 5 im Prozess sind, können weitermachen, und bestehende Rev. 5-Genehmigungen werden in einem Übergangsfenster anerkannt, das voraussichtlich bis 2027 und darüber hinaus reicht. Die praktische Empfehlung für Behörden und CSPs gleichermaßen ist, FedRAMP® 20x als Vorwärtsrichtung zu betrachten – nicht als etwas, das man am Rand beobachten sollte – und auf automatisierte Nachweise als Zukunft der bundesstaatlichen Cloud-Compliance zu planen.

Erfahren Sie mehr darüber, wie Teradata sichere und konforme Analysen für Bundesbehörden liefert, im Trust and Security Center oder lesen Sie die Ankündigung zum FedRAMP® Ready-Meilenstein von VantageCloud Lake.

FedRAMP® FAQs

Haben Sie immer noch Fragen zu FedRAMP®? Hier sind Antworten auf einige der häufigsten Fragen.