FedRAMP im Überblick: wann ein deutscher Cloud-Anbieter es braucht

Problem in der Praxis

Deutsche Anbieter erhalten Anfragen von US-Behörden oder von US-Integratoren, die Bundesbehörden beliefern, und stellen fest, dass ohne FedRAMP-Status kein Vertrag zustande kommt. Ein häufiges Missverständnis ist die Annahme, ein C5-Testat, eine ISO-27001-Zertifizierung oder ein SOC-2-Bericht genüge; FedRAMP hat ein eigenes Zertifizierungsverfahren, das nur bestimmte andere Rahmenwerke als Einstieg anerkennt (fedramp-003). Offen bleibt in diesem Track die Frage nach Sitz-, Eigentums- oder Standortanforderungen an Cloud-Anbieter: Das Gesetz definiert den Cloud Service Provider über sein Angebot an Behörden; ob die Programmregeln weitere Voraussetzungen dieser Art enthalten, ist hier nicht ausgewertet und im Einzelfall zu prüfen.

CISO-Einordnung

Gesetzliche Grundlagen (FedRAMP Authorization Act, Pub. L. 117-263, 44 U.S.C. 3607 bis 3616):

• Cloud Service Provider ist, wer Behörden Cloud-Produkte oder -Dienste anbietet; Cloud Computing im Sinne von NIST SP 800-145 (3607(b)(4), (5)).
• Eine FedRAMP-Autorisierung ist nach dem Gesetz "a certification", dass ein Cloud-Dienst einen FedRAMP-Autorisierungsprozess abgeschlossen oder eine vorläufige Betriebsgenehmigung des FedRAMP Board erhalten hat (3607(b)(7)).
• Behörden fördern FedRAMP-konforme Dienste, prüfen vorhandene Autorisierungen und nutzen deren Unterlagen soweit praktikabel; die Bewertung im FedRAMP-Paket gilt als angemessen für die Betriebsgenehmigung der Behörde, ohne deren Verantwortung und deren Befugnis zu zusätzlichen Anforderungen einzuschränken (3613).
• Unabhängige Prüfstellen müssen jährlich Angaben zu ausländischen Beteiligungen, ausländischem Einfluss oder ausländischer Kontrolle machen und Änderungen der ausländischen Eigentümerschaft oder Kontrolle binnen 48 Stunden nachmelden (3612). Eine entsprechende gesetzliche Pflicht für Cloud-Anbieter enthält das Gesetz nicht; es sieht aber einen Bericht vor, der unter anderem Geolokationsbeschränkungen, ausländische Lieferkettenelemente, ausländisches Eigentum an Cloud-Anbietern und Verschlüsselung behandeln kann (3615(a)(8)).
• Die Aufhebung der Abschnitte 3607 bis 3616 wird nach den Anmerkungen im US Code fünf Jahre nach dem 23.12.2022 wirksam.

Geltungsbereich nach OMB M-24-15 (Abschnitt III): Cloud-Produkte und -Dienste (IaaS, PaaS, SaaS), die im Auftrag einer Bundesbehörde Bundesinformationen erstellen, erheben, verarbeiten, speichern oder vorhalten. Ausgenommen sind, vorbehaltlich Ausnahmen durch den FedRAMP-Direktor mit Zustimmung des OMB, unter anderem Systeme nur für die Operationen einer einzigen Behörde auf Cloud-Infrastruktur oder -Plattform, die nicht als gemeinsamer Dienst angeboten werden oder nicht mit einem Modell geteilter Verantwortung arbeiten, soziale Medien und Kommunikationsplattformen im Rahmen der Social-Media-Richtlinien, Suchmaschinen, allgemein verfügbare Informationsdienste, die keine Bundesinformationen erheben, Hilfsdienste mit vernachlässigbarem Risiko und weitere vom FedRAMP Board mit Zustimmung des Bundes-CIO ausgeschlossene Kategorien.

Marktzugang nach den Regeln 2026: Für eine Listung im FedRAMP Marketplace und eine FedRAMP-Zertifizierung braucht ein Cloud-Dienst einen regierungsweiten Anwendungsfall, entweder direkt (mehrere Behörden nutzen ihn) oder indirekt (er dient als Ressource in Cloud-Diensten mit direkter regierungsweiter Nutzung). Fragen zur Anwendung auf CMMC verweist FedRAMP an das Verteidigungsministerium, das auf fedramp.gov als "Department of War" bezeichnet wird.

Umsetzungsperspektive

• Geltungsbereich klären: Verarbeitet der Dienst Bundesinformationen im Auftrag einer Behörde, oder fällt er unter eine Ausnahme nach M-24-15?
• Anwendungsfall bestimmen: direkte regierungsweite Nutzung oder indirekte Nutzung als Unterlieferant eines FedRAMP-Dienstes.
• Zertifizierungsprofil wählen (fedramp-002, fedramp-003) und vorhandene Nachweise (insbesondere SOC 2 Type II) prüfen.
• Die Regelentwicklung beobachten: Die Consolidated Rules ändern sich laufend, und die gesetzlichen Vorschriften laufen nach dem US Code am 23.12.2027 aus.

Typische Fehler

1. Ein C5-Testat oder ISO-27001-Zertifikat wird als FedRAMP-Ersatz angeboten.
2. Der Geltungsbereich wird nicht geprüft, obwohl manche Dienste nach M-24-15 ausgenommen sind.
3. Ein Dienst ohne regierungsweiten Anwendungsfall plant eine Marketplace-Listung.
4. FedRAMP wird als Nachweis für CMMC-Anforderungen eingeplant, obwohl FedRAMP keine Äquivalenz anbietet.
5. Planungen beruhen auf Dokumenten, die FedRAMP seit 24.06.2026 nur noch als Legacy-Referenz führt.

Risiken und Trade-offs

Eine FedRAMP-Zertifizierung öffnet den Bundesmarkt, bindet aber dauerhaft Ressourcen für Betrieb, Berichte und Prüfungen. Der Einstieg als Unterlieferant eines bereits zertifizierten Dienstes kann schneller sein, setzt aber voraus, dass der eigene Dienst in dessen Rahmen passt. Die laufende Umstellung der Regeln und das gesetzliche Auslaufen 2027 machen langfristige Planung unsicher.

Entscheidungspunkte

• Liegt der Dienst im Geltungsbereich nach M-24-15?
• Direkter oder indirekter regierungsweiter Anwendungsfall?
• Welches Zertifizierungsprofil ist realistisch?
• Wer beobachtet Regeländerungen und Gesetzeslage?

Praktische Empfehlungen

1. Prüfen Sie den Geltungsbereich anhand von M-24-15 Abschnitt III und dokumentieren Sie das Ergebnis.
2. Bestimmen Sie den regierungsweiten Anwendungsfall Ihres Dienstes.
3. Gleichen Sie vorhandene Nachweise mit den Einstiegswegen der Regeln 2026 ab.
4. Beziehen Sie Änderungen der Consolidated Rules regelmäßig in Ihre Planung ein.
5. Trennen Sie FedRAMP- und CMMC-Planung.

Relevante Normreferenzen

• FedRAMP Authorization Act, 44 U.S.C. 3607 bis 3616 (Pub. L. 117-263, 5921), mit Anmerkung zur Aufhebung.
• OMB Memorandum M-24-15, Modernizing the Federal Risk and Authorization Management Program (2024).
• FedRAMP Consolidated Rules for 2026 (fedramp.gov, Abruf 10.10.2026).