Schlüsselpunkte
- Der Geltungsbereich von FedRAMP kann auch MSPs betreffen, die Kunden mit indirektem Bezug zu Bundesdaten betreuen, darunter Anwaltskanzleien, Gesundheitsdienstleister, Kommunen und Bildungseinrichtungen mit Bundesförderung.
- NIST SP 800-60 stuft Rechtsstreitigkeiten, Gerichtsverfahren und militärische Gesundheitsakten als mögliche Bundesdaten ein. Damit entstehen Compliance-Pflichten für MSPs, die diese Branchen betreuen.
- RMM-Plattformen, Cloud-Backup, Managed Patching, Fernzugriff und Screensharing-Tools können in den Geltungsbereich fallen, wenn sie Agenten installieren, auf interne Umgebungen zugreifen oder Kundendaten speichern.
- Nicht konforme Tools gefährden Kundenverträge, können Geldstrafen nach sich ziehen und den MSP über Ermittlungen oder Klagen in die Haftung bringen.
- Prüfen Sie Ihre Kundenliste auf Berührungspunkte mit Bundesdaten, gleichen Sie Ihren Tool-Stack mit dem FedRAMP Marketplace ab und stellen Sie zuerst die Kunden mit dem höchsten Risiko auf autorisierte Tools um.
In der Juristerei gibt es einen alten Grundsatz: Unwissenheit schützt vor Strafe nicht.
FedRAMP (Federal Risk and Authorization Management Program) galt lange als Thema der US-Bundesbehörden, also als etwas, das Behörden, Auftragnehmer und Compliance-Teams in Washington unter sich ausmachen. Wenn Sie jedoch die IT von Kunden betreuen, die mit Bundesdaten arbeiten, und sei es nur indirekt, kann Sie diese Annahme bereits teuer zu stehen kommen.
Was ist FedRAMP?
FedRAMP wurde im Dezember 2011 durch ein Memorandum des Office of Management and Budget (OMB) ins Leben gerufen. Ziel war es, die Einführung von Cloud-Computing-Produkten und -Services in Bundesbehörden sicher zu beschleunigen und Doppelarbeit zu vermeiden, indem ein einheitlicher und wiederverwendbarer Autorisierungsprozess bereitgestellt wird.
Heute richtet sich FedRAMP nach dem OMB-Memorandum M-24-15 (Juli 2024). Der Geltungsbereich umfasst Cloud-Computing-Produkte und -Services einschließlich IaaS, PaaS und Software as a Service, die Bundesinformationen im Auftrag einer Bundesbehörde erzeugen, erfassen, verarbeiten, speichern oder vorhalten.
Genau diese letzte Formulierung, „im Auftrag einer Bundesbehörde“, macht die Sache für MSPs interessant.
Darum ist FedRAMP ein Thema für MSPs
Der Geltungsbereich von FedRAMP reicht weit über Anbieter mit direkten Bundesverträgen hinaus. Jeder Dienstleister, der mit Bundesdaten in Berührung kommt, kann potenziell darunterfallen, unabhängig davon, ob die Beziehung direkt oder nachgelagert ist. Und Bundesdaten sind weitaus verbreiteter, als die meisten vermuten.
Anwaltskanzleien zeigen besonders deutlich, warum das MSPs betrifft
Der Federal Information Security Management Act (FISMA) legt die rechtlichen Vorgaben fest, nach denen Bundesbehörden und ihre Auftragnehmer Bundesdaten schützen müssen. Zugleich beauftragt er das National Institute of Standards and Technology (NIST) damit, die Sicherheitsstandards zu entwickeln, die den Schutz dieser Daten definieren. Einer dieser Standards, NIST Special Publication 800-60, ordnet Informationstypen Sicherheitskategorien zu, damit Vertraulichkeit, Integrität und Verfügbarkeit angemessen geschützt sind.
NIST SP 800-60 enthält einen eigenen Abschnitt zu „Litigation and Judicial Activities“. Dieser deckt Anhörungen vor Bundesgerichten, Strafverteidigung, Ermittlungen, Strafverfolgung und Zivilprozesse sowie die Streitbeilegung ab. Nach den Definitionen des NIST können all diese Bereiche als Bundesdaten gelten.
Praktisch heißt das: Ist in einem Fall einer Anwaltskanzlei eine Bundesbehörde Verfahrensbeteiligte, sind die dabei ausgetauschten Informationen potenziell Bundesdaten. Eine Kanzlei, die Bürgerrechtsfälle bearbeitet, an Bundesverträgen mitwirkt oder im Rahmen der Beweisaufnahme Regierungsunterlagen erhält, verwaltet also möglicherweise bereits Bundesdaten. Und damit auch der MSP, der ihre Umgebung betreut.
FedRAMP-Daten und CUI-Risiken: der Blick auf weitere Branchen
Dieselbe Logik gilt für das Gesundheitswesen. Die NARA CUI Registry, die maßgebliche Quelle dafür, was als kontrollierte nicht klassifizierte Informationen (CUI) gilt, enthält sowohl eine Kategorie Military Personnel Records für aktive und ehemalige Angehörige der Streitkräfte als auch eine Kategorie Health Information für Unterlagen, die ein Gesundheitsdienstleister zur körperlichen oder psychischen Gesundheit einer Person erstellt oder erhalten hat.
Ein Gesundheitsdienstleister, der Patient:innen der Nationalgarde behandelt, militärische Krankenakten verwaltet oder bundesfinanzierte Programme wie Medicare oder Medicaid abwickelt, hält nach diesen Definitionen möglicherweise CUI vor. Für einen MSP, der die IT-Umgebung dieses Dienstleisters betreut, besteht dasselbe Risiko.
Weitere Branchen, die Sie im Blick behalten sollten: Kommunen und lokale Behörden, Schulen und Hochschulen mit Bundesförderung oder bundesweiten Studienprogrammen sowie Rüstungsunternehmen und ihre Subunternehmer.
Welche Teile Ihres Stacks sind betroffen?
Wenn Ihre Kundenumgebung Compliance-Anforderungen auf Bundesniveau erfüllen muss, lohnt ein genauer Blick darauf, welche Tools in Ihrem Stack in den Geltungsbereich von FedRAMP fallen könnten.
FedRAMP hat eine offizielle Leitlinie zum Geltungsbereich veröffentlicht, die Behörden bei der Einschätzung hilft, ob ein Cloud-Service eine FedRAMP-Autorisierung benötigt. Diese Leitlinie richtet sich an Bundesbehörden, die Beispiele darin bieten MSPs aber einen guten Ausgangspunkt für die eigene Analyse.
Auf Basis dieser Beispiele lassen sich einige gängige MSP-Tools so einordnen:
| MSP-Tool | Im Geltungsbereich? |
| RMM mit installiertem Agenten und Remote-Sitzungsfunktionen | Möglicherweise ja |
| Cloud-Backup mit Speicherung von Kundendaten | Möglicherweise ja |
| Managed Patching und Tools zur Remote-Administration | Möglicherweise ja |
| Screensharing- und Fernzugriff-Tools | Möglicherweise ja |
| Verfügbarkeits- oder Ping-Überwachung öffentlich erreichbarer Websites | Eher nein |
Dabei handelt es sich ausschließlich um Auslegungen. Ob FedRAMP greift, hängt letztlich davon ab, wie ein Tool in einer konkreten Kundenumgebung eingesetzt wird, und jeder MSP sollte eine eigene Analyse durchführen. Jedes Tool, das Agenten auf Kundensystemen installiert, mit erhöhten Rechten auf interne Umgebungen zugreift oder Kundendaten speichert, verdient jedoch eine sorgfältige Prüfung.
Aus unserer Sicht verdient die RMM-Plattform besondere Aufmerksamkeit. Sie hält alles andere zusammen, und ohne FedRAMP-Autorisierung lässt sich für den Rest des Stacks kaum noch glaubwürdig argumentieren.
Welches Risiko entsteht, wenn Sie die FedRAMP-Anforderungen falsch einschätzen?
Die US-Bundesbehörden sind dafür bekannt, Compliance-Anforderungen zu definieren, ohne die Strafen bei Verstößen klar zu benennen. Diese Unschärfe macht das Thema riskant.
Muss Ihr Kunde FedRAMP-autorisierte Tools einsetzen, tut dies aber nicht, riskiert er den Verlust von Verträgen sowie Geldstrafen oder Klagen. Im besten Fall wirft Ihr Kunde Ihnen vor, ihn nicht informiert oder nicht deutlich auf diese Anforderung hingewiesen zu haben. Im schlimmsten Fall werden Sie in die Ermittlungen oder das Verfahren mit hineingezogen.
Die Chance: der MSP sein, der es kommen sah
Die meisten MSPs führen dieses Gespräch mit ihren Kunden noch nicht, und genau darin liegt eine riesige Chance.
Jurist:innen kennen Haftungsrecht und grobe Fahrlässigkeit. Wenn Sie in einer Kanzlei also die Frage aufwerfen, ob deren IT-Tools FedRAMP-konform sein müssen, ist die Tragweite sofort klar. Sie werden zu dem vertrauenswürdigen Berater, der ein relevantes Thema angesprochen hat, bevor daraus ein Problem wurde.
In drei Schritten FedRAMP einen Schritt voraus
- Prüfen Sie Ihre Kundenliste auf Berührungspunkte mit Bundesdaten.
- Nutzen Sie die nächste Runde Ihrer Quartalsgespräche, um Kunden direkt zu fragen: Arbeiten Sie mit Bundesdaten? Fragen Sie Kanzleien konkret, ob in einem ihrer Fälle eine Bundesbehörde Verfahrensbeteiligte ist. Fragen Sie Kunden aus dem Gesundheitswesen nach bundesfinanzierten Programmen oder militärischen Patient:innen.
- Gleichen Sie Ihren Stack mit dem FedRAMP Marketplace ab.
- Der FedRAMP Marketplace ist eine öffentlich zugängliche, durchsuchbare Liste autorisierter Cloud-Tools. Beginnen Sie mit Ihrem RMM. NinjaOne ist dort gelistet, womit Sie eine Lücke in Ihrem Stack schon heute schließen können.
- Starten Sie die Umstellung dort, wo sie am wichtigsten ist.
- Wenn Kunden auf Ihrer Liste wahrscheinlich mit Bundesdaten arbeiten, stellen Sie sie schrittweise auf FedRAMP-autorisierte Tools um.
Der Blick nach vorn
Dieses Feld wird sich weiterentwickeln. Regulatorische Vorgaben nennen juristische und gerichtliche Daten bereits ausdrücklich, die NIST-Definitionen sind weiter gefasst, als die meisten annehmen, und die Durchsetzung wird mit der Zeit erfahrungsgemäß konkreter. Wir halten unsere Community auf dem Laufenden, sobald sich das Bild weiter klärt.
Wenn Sie sehen möchten, wie sich das FedRAMP-autorisierte RMM von NinjaOne in Ihren Stack einfügt, besuchen Sie den NinjaOne-Eintrag im FedRAMP Marketplace.
Hinweis: Das Rechtsteam von NinjaOne hat diesen Beitrag vor der Veröffentlichung geprüft. Nichts davon stellt eine verbindliche rechtliche Beurteilung dar.
