FIPS 140-3: Den neuen Sicherheitsstandard verstehen

FIPS 140-3 ist ein Sicherheitsstandard, der von der US-amerikanischen und der kanadischen Regierung verwendet wird, um sicherzustellen, dass die Verschlüsselung in IT-Produkten ordnungsgemäß geprüft und zugelassen wird. Wenn ein Produkt die Validierung besteht, erhält es ein Zertifikat, in dem der Produktname, die Version und die Sicherheitsstufe (von Stufe 1 bis 4) aufgeführt sind.

Die FIPS-140-3-Zertifizierung ist häufig eine Voraussetzung für US-Bundesbehörden und Auftragnehmer, die mit Regierungsdaten umgehen. Sie findet zudem breite Anwendung in anderen Branchen, in denen Datenschutz von entscheidender Bedeutung ist, wie beispielsweise im Gesundheitswesen, im Finanzsektor und im Verteidigungsbereich, um gesetzliche Vorschriften oder die Sicherheitserwartungen der Kunden zu erfüllen.

Einhaltung der Vorschriften durch FIPS 140-3-zertifizierte Produkte

Für Unternehmen, die Technologien erwerben, die den Anforderungen von FIPS 140-3 entsprechen müssen, ist das FIPS-Zertifikat der Nachweis dafür, dass die Verschlüsselung eines Produkts geprüft und zugelassen wurde. Fragen Sie den Anbieter stets nach diesem Zertifikat, damit Sie sich vergewissern können, dass das Produkt offiziell validiert ist.

Für IT-Betreiber hängt die Einhaltung der Vorschriften davon ab, dass genau die Versionen und Einstellungen verwendet werden, die getestet wurden. Selbst eine kleine Änderung, wie beispielsweise die Aktualisierung auf eine nicht validierte Softwareversion, kann zu Verstößen gegen die Vorschriften führen.

Wichtige Punkte, die es zu beachten gilt

Wer muss diese Vorschriften häufig einhalten: Behörden, Auftragnehmer, Gesundheitsdienstleister, Finanzinstitute und Lieferanten der Verteidigungsindustrie.
So überprüfen Sie dies: Fordern Sie die FIPS-Zertifikatsnummer an und überprüfen Sie diese in der NIST-CMVP-Validierungsliste.
Wichtigste Neuerung gegenüber FIPS 140-2: Die neue Version entspricht den internationalen Normen ISO/IEC 19790 und den verbesserten Prüfverfahren.
Was Sie jetzt tun sollten: Verfolgen Sie validierte Softwareversionen, verwenden Sie genehmigte Konfigurationen und planen Sie Updates sorgfältig, um die Compliance-Anforderungen einzuhalten.

Warum FIPS 140-3 wichtig ist

FIPS 140-3 schafft Vertrauen zwischen Anbietern und Kunden, indem es bestätigt, dass die Verschlüsselung eines Produkts den staatlichen Sicherheitsstandards entspricht. Dies hilft Anbietern, ihre Zuverlässigkeit unter Beweis zu stellen, und Käufern, Compliance-Risiken zu minimieren.

Darin wird festgelegt, wer auf regulierten Märkten zum Verkauf und Kauf berechtigt ist

Bei Ausschreibungen im öffentlichen Sektor, in der Verteidigungslieferkette sowie bei vielen Beschaffungen im Gesundheits- oder Finanzwesen ist häufig eine FIPS-Zertifizierung für alle Produkte erforderlich, die sensible Daten verarbeiten. Als Einkäufer hilft Ihnen die FIPS-Zertifizierung dabei, Ihren Lieferantenpool einzugrenzen und sich bei Audits abzusichern. Als Verkäufer ist die FIPS-Zertifizierung eine Voraussetzung, um sich um diese Aufträge bewerben zu können.

Es verringert den Aufwand bei Prüfungen und Verlängerungen

Viele Sicherheits- und Compliance-Teams prüfen die Verschlüsselung nicht von Grund auf. Sie achten stattdessen auf die FIPS-Zertifikatsnummer, den Modulnamen, die Version und die Sicherheitsstufe. Wenn diese Angaben mit Ihrer eingesetzten Version und Ihren Einstellungen übereinstimmen, laufen die Überprüfungen zügiger ab und es treten weniger Probleme auf.

Es verdeutlicht, wie „gut“ aussieht

FIPS 140-3 ist ein eindeutiges, testbasiertes Ergebnis. Es besagt nicht: „Dieses Produkt ist grundsätzlich sicher.“ Es besagt vielmehr: „Dieses kryptografische Modul hat in dieser Version diese Tests bestanden.“ Diese Präzision hilft Käufern dabei, Angaben zu überprüfen, und unterstützt Betreiber dabei, ihre Systeme im Rahmen der Anforderungen zu halten.

Es sorgt für Versionsdisziplin

Die Validierung ist versionsspezifisch. Wenn Ihre Umgebung von der validierten Version abweicht oder Sie Einstellungen ändern, die die validierten Grenzen überschreiten, schwächen Sie damit die Aussagekraft Ihrer Ergebnisse. Durch die Einhaltung der Vorgaben vermeiden Sie Fehlfunktionen und Notfall-Rollbacks.

Es ermöglicht eine schnellere Entscheidungsfindung

Wenn die Beschaffungsabteilung sieht – „FIPS 140-3-validiert, Zertifikat Nr. XXXX, Modul Y, Version Z“ –, gehen die Prüfungen schneller vonstatten. Wenn dort lediglich „unterstützt FIPS“ ohne Zertifikat steht, müssen die Beschaffungsteams oft nach Nachweisen suchen.

Was FIPS 140-3 eigentlich bedeutet

FIPS 140-3 bescheinigt, dass die kryptografischen Funktionen eines Produkts – wie beispielsweise Verschlüsselung und Schlüsselverwaltung – in einem akkreditierten Labor unabhängig geprüft wurden. Damit soll sichergestellt werden, dass sensible Daten, wie beispielsweise behördliche oder Kundendaten, während der Übertragung und Speicherung geschützt bleiben.

Ein FIPS-Zertifikat ist produkt- und versionsspezifisch. Jedes Zertifikat enthält den Modulnamen, die Versionsnummer und die Sicherheitsstufe, die von 1 (grundlegend) bis 4 (höchste) reicht. Die Validierung gilt ausschließlich für die getestete Konfiguration. Durch das Ändern von Einstellungen oder das Aktualisieren von Komponenten kann das Produkt außerhalb des validierten Geltungsbereichs geraten.

„Validiert“ bedeutet, dass das Produkt ein offizielles, staatlich anerkanntes Verfahren durchlaufen hat. „Konform“ oder „unterstützt FIPS“ bedeutet, dass der Anbieter angibt, den Standard einzuhalten, das Produkt jedoch keiner Validierung unterzogen wurde. In regulierten Umgebungen kommt es auf die Validierung an.

FIPS 140-3 im Vergleich zu 140-2

Die Umstellung auf 140-3 ist von Bedeutung, da sie die weltweiten Testverfahren vereinheitlicht. Dadurch lassen sich Zertifizierungsergebnisse leichter überprüfen und vergleichen, was Käufern und Compliance-Teams hilft, die Sicherheit von Anbietern schneller zu bewerten.

Thema	FIPS 140-2	FIPS 140-3	Was Sie tun sollten
Anerkennung	Ältere US-amerikanische und kanadische Norm	Aktuelle Fassung gemäß ISO/IEC 19790	Verwenden Sie bei Bedarf vorzugsweise 140-3-Zertifikate
Beweise	Je nach Labor und Produkt unterschiedlich	Genauere Angaben zum Zertifikat (Name, Version, Sicherheitsstufe)	Notieren Sie die Zertifikatsnummer, den Produktnamen und die Version
Betrieb	Weniger strenge Vorgaben bei der Konfiguration	Genauere Angaben zur Dokumentation und zum Betriebsverhalten	Konfigurationen und Aktualisierungen an die zertifizierten Einstellungen anpassen

So überprüfen Sie eine FIPS 140-3-Konformitätserklärung

Die Überprüfung einer FIPS-140-3-Konformitätserklärung ist unkompliziert, wenn man weiß, worauf man achten muss und wo man die entsprechenden Informationen findet.

Verlangen Sie einen Nachweis: Fragen Sie nach der FIPS-Zertifikatsnummer, dem Produkt-/Modulnamen, der Version, der Sicherheitsstufe und der unterstützten Plattform.
Überprüfen Sie die Datenbank: Sehen Sie in der NIST-CMVP-Validierungsliste nach und vergewissern Sie sich, dass die Angaben exakt übereinstimmen.
Umgebung überprüfen: Stellen Sie sicher, dass Ihre Bereitstellung dieselbe Version und Konfiguration verwendet, die auf dem Zertifikat angegeben ist.
Verwenden Sie eine klare Sprache: Verwenden Sie in Fragebögen Formulierungen wie „FIPS 140-3-validiert (Zertifikats-Nr. XXXX), läuft in Version [X.X], wie im CMVP aufgeführt.“

Dadurch werden sowohl Käufer als auch Verkäufer vor Prüfungsfeststellungen geschützt, die durch nicht übereinstimmende Versionen oder nicht überprüfbare Angaben verursacht werden.

FIPS-konformer Betrieb

So stellen Sie nach der Validierung die Einhaltung der Vorschriften sicher:

Führen Sie ein Verzeichnis aller betroffenen Software- und Hardwarekomponenten und vermerken Sie dabei deren zertifizierte Versionen.
Standardisieren Sie die Konfigurationen entsprechend der validierten Einrichtung und vermeiden Sie nicht genehmigte Änderungen.
Führen Sie Updates sorgfältig durch und prüfen Sie, ob sie Auswirkungen auf das validierte Modul haben; führen Sie gegebenenfalls eine erneute Zertifizierung durch.
Bewahren Sie die PDF-Dateien der FIPS-Zertifikate zusammen mit Ihren Sicherheitsstatusberichten auf, damit Sie bei Audits und Ausschreibungen schnell reagieren können.

Die Übereinstimmung zwischen dem, was zertifiziert ist, und dem, was tatsächlich eingesetzt wird, ist entscheidend für die Einhaltung der Vorschriften.

Wo RMM zum Einsatz kommt

Plattformen zur Fernüberwachung und -verwaltung (RMM) sind für die Aufrechterhaltung von FIPS-konformen Umgebungen unverzichtbar, da sie IT-Teams Transparenz, Kontrolle und dokumentierte Nachweise zur Compliance über verteilte Systeme hinweg bieten. Kaseya VSA 10 und Datto RMM automatisieren einen Großteil der manuellen Arbeit, die mit der Nachverfolgung validierter Software, der Durchsetzung sicherer Einstellungen und der Erfassung von Nachweisen für Audits verbunden ist.

Bestandsaufnahme der Assets und Versionen

Ermitteln Sie die in Ihrer Umgebung verwendeten Software- und Firmware-Versionen und halten Sie fest, welche davon den validierten Modulen zugeordnet sind.

Grundlagen der Politik

Setzen Sie genehmigte Sicherheitseinstellungen geräteübergreifend durch und verhindern Sie unbefugte Änderungen, die die Validierung beeinträchtigen könnten.

Patch- und Änderungsverwaltung

Aktualisierungen bereitstellen und dokumentieren, um sicherzustellen, dass die Übereinstimmung mit zertifizierten Konfigurationen nicht beeinträchtigt wird.

Nachweis und Berichterstattung

Erstellen Sie kundenfertige Berichte, die die betroffenen Geräte, Versionen und den Compliance-Status sowie alle protokollierten Ausnahmen aufzeigen.

Hinweis: Ab November 2025 wird die SaaS-Version von VSA 10 FIPS 140-3-validierte Kryptografie enthalten, den höchsten staatlichen Standard für Verschlüsselungssicherheit in den USA und Kanada. Die On-Premises-Version von VSA 10 wird im Januar 2026 folgen, wobei Datto RMM voraussichtlich im Laufe des Jahres 2026 dasselbe FIPS 140-3-zertifizierte Framework übernehmen wird.

Playbooks, die Sie noch heute ausführen können

Mit Kaseya VSA 10 und Datto RMM lassen sich wiederholbare Arbeitsabläufe erstellen, die Teams dabei unterstützen, ihren Betrieb täglich gemäß den FIPS-Vorgaben aufrechtzuerhalten. Diese Playbooks wandeln komplexe Compliance-Anforderungen in überschaubare, automatisierte Aufgaben um, die die Transparenz, Konsistenz und Prüfungsbereitschaft verbessern.

Vorbereitungscheck: Führen Sie Erkennungsscans durch, um alle Endgeräte und Anwendungen zu ermitteln, die regulierte Daten verarbeiten. Kennzeichnen Sie diese in Ihrem RMM, um nachzuverfolgen, welche Systeme den FIPS-Anforderungen unterliegen.
Schwachstellen schließen: Nutzen Sie das Richtlinienmanagement, um Konfigurationen zu standardisieren und validierte Verschlüsselungseinstellungen durchzusetzen. Richten Sie automatische Warnmeldungen für nicht genehmigte Versionen oder Konfigurationen ein.
Betrieb: Führen Sie eine kontinuierliche Überwachung über Dashboards und Patch-Tools durch. Testen Sie Updates vor der Bereitstellung, um sicherzustellen, dass validierte Module davon unberührt bleiben. Die protokollierten Änderungen dienen als Nachweis für die Einhaltung der Compliance-Vorgaben.
Aktualisieren: Wenn Audits oder Ausschreibungen anstehen, exportieren Sie Compliance-Berichte aus Ihrem RMM mit Versionslisten, Patch-Verläufen und FIPS-Zertifikaten, um eine schnelle Überprüfung zu ermöglichen.

Häufige Fallstricke und einfache Lösungen

Selbst erfahrene IT-Teams können durch kleine Versehen die Einhaltung der Compliance-Vorgaben aus den Augen verlieren. Hier sind die häufigsten Fehler, auf die Sie achten sollten, und wie Sie diese schnell beheben können.

Gehen Sie nicht davon aus, dass Marketingaussagen einer Zertifizierung gleichkommen: Überprüfen Sie stets die Zertifikatsnummern.
Abgesehen von Versionsspezifikationen: Die FIPS-Validierung ist an bestimmte Versionen und Umgebungen gebunden.
Konfigurationsabweichungen zulassen: Das Ändern von Einstellungen ohne entsprechende Dokumentation unterbricht die Nachweiskette.
Kombination von zugelassenen und nicht zugelassenen Komponenten: Halten Sie nicht-FIPS-konforme Module getrennt oder dokumentieren Sie Ausnahmen eindeutig.

Häufig gestellte Fragen

Dies sind die Fragen, die sich die meisten IT-Führungskräfte und Dienstleister stellen, wenn sie die FIPS-Anforderungen bewerten und ihre Abläufe an den Standard anpassen.

Brauchen wir FIPS 140-3, wenn wir keine Behörde sind?

Wenn Ihre Kunden oder Partner mit behördlichen oder regulierten Daten umgehen, könnte dies der Fall sein. In vielen Verträgen werden die FIPS-Anforderungen mittlerweile auf die gesamte Lieferkette ausgeweitet.

Ist „FIPS-konform“ dasselbe wie „FIPS-validiert“?

Nein. „Validiert“ bedeutet, dass das Produkt offiziell geprüft und gelistet ist. „Konform“ ist eine Selbsterklärung und nicht überprüft.

Wie kann ich die Forderung eines Lieferanten schnell bestätigen?

Überprüfen Sie die CMVP-Validierungsliste und vergleichen Sie den Produktnamen, die Version und die Zertifikatsnummer.

Was hat sich gegenüber 140-2 geändert, was sich auf den Einkauf und den Betrieb auswirkt?

FIPS 140-3 entspricht internationalen Standards, führt klarere Dokumentationsvorschriften ein und vereinfacht die Überprüfung.

In welchen Bereichen hilft mir mein RMM?

RMM-Tools tragen dazu bei, den Überblick zu behalten, Einstellungen durchzusetzen und Nachweise zu dokumentieren, ersetzen jedoch keine Zertifizierung. Sie benötigen weiterhin validierte kryptografische Module.

Die Umsetzung der FIPS 140-3-Konformität im Tagesgeschäft

FIPS 140-3 ist nicht nur eine technische Spezifikation – es handelt sich um eine geschäftliche Anforderung, die festlegt, wer an regulierte Kunden verkaufen, diese betreuen oder mit ihnen zusammenarbeiten darf. Das Wissen darüber, wie die Einhaltung dieser Anforderungen überprüft und aufrechterhalten werden kann, trägt dazu bei, Reibungsverluste bei Audits zu verringern, das Vertrauen der Lieferanten zu stärken und die Eignung Ihres Unternehmens für hochkarätige Aufträge zu sichern.

Mit dem Kaseya-Update vom November 2025, das die FIPS 140-3-zertifizierte Kryptografie in die SaaS-Version von VSA 10 integriert, erhalten Kunden Tools, die den neuesten behördlichen Standards entsprechen und den sicheren Betrieb in regulierten Umgebungen effizienter gestalten. Die FIPS-Zertifizierung für die On-Premises-Version von VSA 10 wird im Januar 2026 folgen, wobei Datto RMM plant, das gleiche FIPS 140-3-zertifizierte Framework im Laufe des Jahres 2026 zu übernehmen.