6 Wenn Sie den Speicher für eine US-Bundesbehörde betreiben oder für einen Cloud-Service-Provider (CSP), der an Bundesbehörden verkauft, wurde Ihnen mit ziemlicher Sicherheit schon eine trügerisch einfache Frage gestellt: „Ist unser Objektspeicher FedRAMP-konform?“ Die ehrliche Antwort: Die Frage muss zunächst aufgeschlüsselt werden, denn FedRAMP funktioniert nicht so, wie die meisten annehmen, und „konformer Speicher“ bedeutet etwas ganz Bestimmtes. Dieser Leitfaden erklärt, was FedRAMP tatsächlich autorisiert, wie die Certification Classes verändern, was Ihr Speicher leisten muss, welche Kernkontrollen Objektspeicher erfüllen muss und was der Wechsel zu FedRAMP 20x für Teams bedeutet, die Speicher kaufen oder aufbauen. Was FedRAMP ist – in einem Abschnitt Das Federal Risk and Authorization Management Program (FedRAMP) standardisiert, wie Cloud-Dienste für die Nutzung durch US-Bundesbehörden sicherheitstechnisch bewertet und zertifiziert werden. Es beruht auf dem Federal Information Security Modernization Act (FISMA) und nutzt den Kontrollkatalog der NIST Special Publication 800-53 als Grundlage. In der Praxis gibt FedRAMP Behörden einen gemeinsamen, wiederverwendbaren Weg, einem Cloud-Dienst zu vertrauen, statt dass jede Behörde ihn von Grund auf selbst bewertet. Das entscheidende Detail: FedRAMP autorisiert ein Cloud-Service-Angebot und dessen definierte Autorisierungsgrenze. Es versieht nicht einzelne Komponenten wie eine Datenbank, einen Load Balancer oder ein Speichersystem für sich genommen mit dem Stempel „FedRAMP approved“. Diese eine Tatsache klärt den Großteil der Verwirrung rund um konformen Speicher, und wir kommen darauf zurück. FedRAMP, FISMA, StateRAMP und DoD Impact Levels Diese Begriffe werden oft synonym verwendet, sollten es aber nicht. FISMA ist das Gesetz, das die Absicherung von Bundessystemen vorschreibt; Behörden, die eigene Systeme betreiben (einschließlich Private oder Hybrid Cloud), tun dies nach FISMA. FedRAMP ist das Programm zur Zertifizierung kommerzieller Cloud-Dienste für Bundesbehörden. StateRAMP überträgt dieselbe Idee auf die Ebene der US-Bundesstaaten und Kommunen. Das US-Verteidigungsministerium ergänzt FedRAMP um eigene Impact Levels (etwa IL4 und IL5) für Verteidigungs-Workloads. Welche dieser Regelungen für Sie tatsächlich gilt, bestimmt alles Weitere – klären Sie das also, bevor Sie auch nur eine einzige Speicherfunktion bewerten. FedRAMP Certification Classes und was sie für den Speicher bedeuten Mit den Consolidated Rules for 2026 hat FedRAMP die bisherigen „Impact Level“-Bezeichnungen nach FIPS 199 (Low, Moderate, High) sowie das Label „FedRAMP Validated“ offiziell abgeschafft. Alles ist jetzt unter der Bezeichnung „FedRAMP Certified“ in vier konkreten Certification Classes vereinheitlicht: Class A (Transitional On-Ramp): Ersetzt „FedRAMP Ready“ als ersten Einstiegspunkt in den Marktplatz. Erfordert einen kleineren Teil des anfänglichen Monitorings und richtet sich an Anbieter mit ausgereiften externen Rahmenwerken (etwa SOC 2 Type II), die innerhalb von zwei Jahren auf eine vollständige Bewertung hinarbeiten. Class B (Low): Ersetzt die bisherigen Baselines Low und Li-SaaS. Gilt für Systeme mit nicht sensiblen Bundesinformationen, bei denen eine Sicherheitsverletzung begrenzten, geringfügigen Schaden verursachen würde. Class C (Moderate): Ersetzt die bisherige Moderate-Baseline. Dies ist die breiteste Zertifizierungsstufe und umfasst rund 80 % aller FedRAMP-zertifizierten Dienste. Sie gilt für Systeme mit Controlled Unclassified Information (CUI) und nicht öffentlichen Bundesdaten, bei denen eine Verletzung ernsthaften Schaden verursachen könnte. Hier landen die meisten Backup-, Archiv- und unstrukturierten Daten-Workloads von Behörden. Class D (High): Ersetzt die bisherige High-Baseline. Vorbehalten für einsatzkritische Bundesinformationen, Strafverfolgung und kritische Infrastruktur, bei denen eine Verletzung schwerwiegende oder katastrophale Folgen haben könnte. Erfordert den anspruchsvollsten Kontrollsatz (über 410 Kontrollen). Je höher die Certification Class, desto strenger die Anforderungen an die Speicherebene: höhere Erwartungen an die Verschlüsselung, engere Zugriffskontrolle, vollständigere Protokollierung sowie höhere Zusagen zu Verfügbarkeit und Wiederherstellung. Wenn jemand fragt, ob Speicher konform ist, lautet die sinnvolle Gegenfrage: für welche Certification Class und für welche Daten? Muss Objektspeicher „FedRAMP-zertifiziert“ sein? Das ist der Kern der Sache. Da FedRAMP ein Angebot und dessen Grenze zertifiziert und nicht eine Komponente, wird Objektspeicher fast nie isoliert zertifiziert. Stattdessen taucht er auf eine von zwei Arten auf. Im ersten Szenario betreibt eine Bundesbehörde nach FISMA ihre eigene Private oder Hybrid Cloud und nutzt die Baseline von FedRAMP und NIST 800-53 als Kontrollsatz. Hier ist der Objektspeicher Teil des behördeneigenen Systems und muss die Kontrollen umsetzen, für die die Behörde verantwortlich ist: Verschlüsselung, Zugriffsmanagement, Protokollierung und so weiter. Im zweiten Szenario strebt ein Service Provider oder Integrator eine FedRAMP-Zertifizierung für ein Cloud-Angebot an. Der Objektspeicher liegt innerhalb dieser Autorisierungsgrenze und wird als Teil des Gesamtangebots bewertet, nicht separat. Die praktische Erkenntnis für Speicherkäufer ist in beiden Fällen dieselbe. Sie suchen nicht nach einer Box mit dem Etikett „FedRAMP certified“. Sie suchen nach Speicher, der die geforderten Kontrollen erfüllen und die Nachweise dafür liefern kann – wo auch immer Sie ihn bereitstellen. Ein Anbieter, der behauptet, sein Speicherprodukt sei selbst „FedRAMP certified“, geht bestenfalls locker mit der Sprache um. Kernanforderungen, die Ihr Objektspeicher erfüllen muss In welchem Szenario Sie sich auch befinden: Für die Speicherebene gelten dieselben Kontrollkategorien. Darauf sollten Sie achten. Verschlüsselung gespeicherter Daten mit einem validierten kryptografischen Modul FedRAMP verlangt, dass die Kryptografie zum Schutz von Bundesdaten ein Modul nutzt, das im Cryptographic Module Validation Program (CMVP) des NIST validiert wurde. Die wichtige Feinheit: Gefordert ist ein validiertes Modul mit aktivem Zertifikat, nicht bloß der Einsatz eines Algorithmus wie AES-256. Ein System kann starke Algorithmen verwenden und dennoch nicht genügen, wenn das Modul selbst nicht validiert ist. Beachten Sie den Zeitplan. Die US-Regierung schließt den Übergang von FIPS 140-2 zu FIPS 140-3 ab, und FIPS 140-2 wird nach September 2026 für neue Moduleinreichungen nicht mehr akzeptiert. Fragen Sie bei der Bewertung von Speicher gezielt nach dem Validierungsstatus des kryptografischen Moduls nach FIPS 140-3 – nicht nur danach, ob verschlüsselt wird. Verschlüsselung bei der Übertragung und Schlüsselverwaltung Daten, die in den Speicher hinein- und aus ihm herausfließen, müssen bei der Übertragung ebenfalls mit validierter Kryptografie geschützt werden. Über die Verschlüsselung hinaus erwarten FedRAMP-Umgebungen eine disziplinierte Schlüsselverwaltung: Integration in einen Key-Management-Dienst, Schlüsselrotation und Funktionstrennung, sodass die Personen, die Schlüssel verwalten, nicht dieselben sind, die die Daten verwalten. Zugriffskontrolle, Identität und Least Privilege Der Speicher muss rollenbasierte Zugriffskontrolle, Multi-Faktor-Authentifizierung für privilegierten Zugriff und Least-Privilege-Richtlinien bis auf die Ebene von Buckets und Objekten durchsetzen. Die Frage ist nicht, ob der Speicher Berechtigungen hat, sondern ob diese granular, prüfbar und zentral gesteuert sind. Audit-Protokollierung und kontinuierliches Monitoring FedRAMP ist auf kontinuierliches Monitoring ausgelegt. Die Speicherebene muss daher vollständige, manipulationssichere Audit-Logs erzeugen und in die Tools exportieren, die Ihr Sicherheitsteam bereits nutzt, etwa ein SIEM. Wenn Sie die Frage „Wer hat wann und von wo auf was zugegriffen?“ nicht sicher beantworten können, ist der Speicher nicht bereit für eine FedRAMP-Umgebung. Datenintegrität, Unveränderlichkeit und Resilienz gegen Ransomware Bundesleitlinien behandeln Wiederherstellbarkeit zunehmend als Sicherheitskontrolle und nicht nur als Betriebsthema. Objektspeicher, der Object Lock oder WORM-Schutz (Write Once, Read Many) unterstützt und sich per Air Gap oder logisch isolieren lässt, verschafft Behörden eine belastbare letzte Verteidigungslinie gegen Ransomware und Manipulation durch Insider. Das ist angesichts der vielen Angriffe auf Ziele im öffentlichen Sektor umso wichtiger. Verfügbarkeit, Haltbarkeit und standortübergreifende Resilienz Höhere Certification Classes gehen mit höheren Verfügbarkeitserwartungen einher. Achten Sie auf hohe Datenhaltbarkeit (etwa durch Erasure Coding), standortübergreifende Replikation und Wiederherstellungsziele, die zu den RTO- und RPO-Vorgaben der Behörde passen. Haltbarkeit schützt die Daten vor Verlust; Verfügbarkeit hält sie erreichbar, wenn ein Standort oder eine Komponente ausfällt. Datenresidenz und Souveränität Bei Bundesdaten sind der physische Speicherort und die Frage, wer sie betreiben darf, zentrale Anliegen. Das bedeutet in der Regel: Daten auf US-Boden, innerhalb der Autorisierungsgrenze, mit betrieblichem Zugriff nur für entsprechend überprüfte US-Personen. Speicher, der Ihnen explizite Kontrolle über Speicherort und Zugriff gibt, unterstützt das direkt. FedRAMP 20x: Was sich ändert und warum Speicherteams das interessieren sollte FedRAMP befindet sich mitten in seiner größten Weiterentwicklung seit der Gründung. Mit den Consolidated Rules for 2026 verlagert sich das Programm weg von herkömmlichem, manuellem Papierkram und jährlichen Stichtagsprüfungen hin zu Automatisierung, maschinenlesbaren Nachweisen (über JSON-Schemata) und kontinuierlicher Validierung. Kernstück dieses Wandels ist eine Reihe von Key Security Indicators (KSIs) – ergebnisorientierten, maschinell überprüfbaren Sicherheitsfähigkeiten, die herkömmliche Beschreibungen von NIST-Kontrollen ersetzen. Statt ein umfangreiches Dokument zu verfassen, das darlegt, wie Sie ein System schützen wollen, verlangt 20x den Nachweis per automatisierter Datenerfassung, dass die Kontrolle funktioniert. Die Termine stehen unmittelbar bevor: Die 20x-Pipeline öffnet im August 2026 für Class A, gefolgt von den Pipelines für Class B und Class C Ende August 2026. Die strengen automatisierten 20x-Pfade für Class D (High) sind für Anfang 2027 geplant. Warum sollte sich ein Speicherverantwortlicher dafür interessieren? Weil 20x Plattformen bestraft, die darauf angewiesen sind, dass ein Techniker einmal im Jahr manuell Screenshots der Konfiguration erstellt. Es belohnt softwaredefinierte Architekturen, die über APIs kontinuierlich aktive Sicherheitstelemetrie liefern können. Wenn Sie heute Objektspeicher bewerten, ist API-gesteuerte Compliance-Telemetrie kein netter Bonus mehr, sondern eine tragende Compliance-Anforderung. On-Premises- und Private-Cloud-Objektspeicher für FedRAMP und FISMA Eine verbreitete Annahme lautet, „Cloud-Compliance“ bedeute einen öffentlichen Hyperscaler. Das muss nicht sein. Viele Behörden und Anbieter mit hohen Sicherheitsanforderungen entscheiden sich bewusst für Bereitstellungen On-Premises, in der Private Cloud oder per Air Gap isoliert, um die volle Kontrolle über sensible Daten zu behalten, Workloads der Class D (High) zu unterstützen und eine übermäßige Abhängigkeit von einem einzelnen Anbieter zu vermeiden. Softwaredefinierter, S3-kompatibler Objektspeicher macht das praktikabel: Teams erhalten einen Betrieb wie in der Cloud und die weit verbreitete S3 API innerhalb ihrer eigenen Grenze. Für Speicherverantwortliche, die Optionen abwägen, ist das Bereitstellungsmodell eine strategische Entscheidung. On-Premises und Private Cloud maximieren Kontrolle und Souveränität; die Public Cloud kann den Betriebsaufwand verringern. FedRAMP-Konformität ist in beiden Modellen erreichbar, solange die oben genannten Kontrollen erfüllt und die Nachweise vorhanden sind. Checkliste zur Bewertung von Objektspeicher in einer FedRAMP-Umgebung Nutzen Sie sie als schnellen Filter, wenn Sie eine Speicherplattform bewerten: [ ] Verschlüsselung gespeicherter Daten mit einem nach FIPS 140-3 im CMVP validierten Modul (Zertifikat anfordern) [ ] Verschlüsselung bei der Übertragung sowie Integration in die Schlüsselverwaltung, Rotation und Funktionstrennung [ ] Rollenbasierte Zugriffskontrolle, Multi-Faktor-Authentifizierung und Richtlinien auf Objektebene [ ] Vollständige, manipulationssichere Audit-Logs, die sich in Ihr SIEM exportieren lassen [ ] Object Lock oder WORM für Unveränderlichkeit, mit Optionen für Air Gap oder Isolation [ ] Hohe Haltbarkeit (etwa durch Erasure Coding) und standortübergreifende Resilienz passend zu Ihren RTO- und RPO-Vorgaben [ ] Explizite Kontrolle über Datenresidenz und betrieblichen Zugriff [ ] API-gesteuerte, maschinenlesbare Konfiguration und Telemetrie zur Unterstützung der Key Security Indicators (KSIs) von FedRAMP 20x Alles zusammengefasst: eine FedRAMP-taugliche Speicherstrategie Bei FedRAMP-konformem Objektspeicher geht es weniger um ein Etikett als um die Passgenauigkeit. Richten Sie die Certification Class an der Sensibilität Ihrer Daten aus. Bestehen Sie auf einem validierten kryptografischen Modul, nicht nur auf einem starken Algorithmus. Planen Sie Unveränderlichkeit und standortübergreifende Haltbarkeit ein, damit die Wiederherstellung eine Sicherheitskontrolle ist und kein nachträglicher Gedanke. Halten Sie Ihre Nachweise maschinenlesbar, damit Sie auf die Entwicklung von FedRAMP 20x vorbereitet sind. Und wählen Sie Ihr Bereitstellungsmodell – On-Premises, Private Cloud oder Public Cloud – danach, wie viel Kontrolle und Souveränität die Daten verlangen. Der eine Satz, den Sie sich merken sollten: Objektspeicher ist nicht für sich allein „FedRAMP certified“. Entweder hilft er einer Behörde, ihre FISMA- und FedRAMP-Kontrollen zu erfüllen, oder er liegt innerhalb der autorisierten Grenze eines Anbieters. Sobald Sie es so betrachten, wird die Bewertung deutlich klarer. Häufig gestellte Fragen Ist Objektspeicher FedRAMP-zertifiziert? Nicht für sich allein. FedRAMP autorisiert ein Cloud-Service-Angebot und dessen Grenze, nicht ein einzelnes Speicherprodukt. Speicher hilft entweder einer Behörde, ihre Kontrollen zu erfüllen, oder wird als Teil des autorisierten Angebots eines Anbieters bewertet. Welche FedRAMP Certification Class brauche ich für Speicher? Das hängt von der Sensibilität der Daten ab, die nach den Consolidated Rules for 2026 eingestuft werden. Gängige kleinere Workflows erfordern Class B (Low); zentrale Unternehmensdaten und CUI erfordern Class C (Moderate); einsatzkritische Daten, Daten der nationalen Sicherheit oder der Strafverfolgung erfordern Class D (High). Verlangt FedRAMP eine Verschlüsselung nach FIPS 140-3? FedRAMP verlangt Kryptografie mit einem im NIST-CMVP validierten Modul. Die Regierung wechselt von FIPS 140-2 zu FIPS 140-3, und 140-2 wird nach September 2026 für neue Moduleinreichungen nicht mehr akzeptiert. Fragen Sie daher gezielt nach dem Validierungsstatus nach 140-3. Kann On-Premises-Objektspeicher FedRAMP-konform sein? Ja. Bei Compliance geht es darum, die Kontrollen zu erfüllen und die Nachweise zu erbringen, nicht darum, in einer Public Cloud zu sein. Bereitstellungen On-Premises und in der Private Cloud sind für Workloads der Class D und für souveränitätssensible Workloads üblich. Was ist der Unterschied zwischen FedRAMP und FISMA? FISMA ist das Gesetz, das die Absicherung von Bundessystemen vorschreibt, einschließlich Systemen, die eine Behörde selbst betreibt. FedRAMP ist das Programm zur Zertifizierung kommerzieller Cloud-Dienste für Behörden und nutzt dafür einheitliche Regelwerke und eine maschinenlesbare, kontinuierliche Bewertung. Weiterführende Lektüre (zur Einführung): eine Einführung in FIPS-140-validierte Verschlüsselung, eine Erklärung des NIST Cybersecurity Framework und wie unveränderlicher, per Air Gap isolierter Speicher (auf Englisch) die Resilienz gegen Ransomware unterstützt. Den aktuellen Stand des Programms zeigt die offizielle Seite zu FedRAMP 20x (auf Englisch) der US-Regierung.
