FIPS-Konformität: So sichern Sie Ihre Infrastruktur vor Ablauf der Frist im Jahr 2026
von
Zuletzt aktualisiert:
6 Lesezeit: 2 Minuten
Wichtigste Erkenntnisse
- Das Cryptographic Module Validation Program (CMVP) wird am 21. September 2026 alle FIPS-140-2-Validierungen in die historische Liste verschieben; dies ist der endgültige Stichtag für die Beschaffung durch Bundesbehörden nach dem älteren Standard.
- FIPS 140-3 ist derzeit der einzige CMVP-Standard, der für neue Anträge akzeptiert wird. Er schreibt Seitenkanalresistenz vor und steht im Einklang mit ISO/IEC 19790, was bei FIPS 140-2 nicht der Fall war.
- Container-Images ohne Distributionssystem verringern die Prüfungsfläche und beschleunigen die Bestandsaufnahme der Module, sind jedoch selbst keine Anforderung gemäß FIPS 140-3 – die darin enthaltenen kryptografischen Bibliotheken müssen weiterhin NIST-validiert sein.
- Durch automatisierte Pipeline-Prüfungen werden Fehler entdeckt, die bei manuellen Überprüfungen übersehen werden, insbesondere wenn bei routinemäßigen Abhängigkeitsaktualisierungen unbemerkt nicht validierte Module eingebunden werden.
- Der Weg zur Betriebsbereitschaft besteht aus einem sechsstufigen Kreislauf: Bestandsaufnahme, Überprüfung, Kennzeichnung, Austausch, Automatisierung, Dokumentation – und das Ganze wiederholt sich, sobald sich Ihre Systemlandschaft ändert.
Die bundesweiten Fristen für kryptografische Standards sind keine abstrakte Angelegenheit mehr. Angesichts des bevorstehenden Übergangs zum CMVP im September 2026 und der durchschnittlichen Kosten von 5,12 Millionen Dollar bei Datenschutzverletzungen benötigen Organisationen , die regulierte Daten verarbeiten , bereits jetzt einen klaren Migrationsplan – und nicht erst im dritten Quartal.
Was die FIPS-Konformität für Ihre Infrastruktur tatsächlich bedeutet
FIPS-Konformität bedeutet die Einhaltung der vom National Institute of Standards and Technology (NIST) festgelegten Federal Information Processing Standards für kryptografische Module, die in Systemen der US-Bundesbehörden und in regulierten Branchen zum Einsatz kommen. Wenn Ihre Organisation mit Regierungsdaten umgeht, eine FedRAMP-Zulassung (Federal Risk and Authorization Management Program) anstrebt oder auf die CMMC 2.0-Zertifizierung (Cybersecurity Maturity Model Certification) hinarbeitet, ist die FIPS-Konformität eine konkrete technische und rechtliche Anforderung.
Was sich durch FIPS 140-3 tatsächlich ändert
FIPS 140-3 ist der derzeit gültige Standard und ersetzt FIPS 140-2. Am 21. September 2026 nimmt das Cryptographic Module Validation Program (CMVP) keine neuen Anträge auf Validierung nach FIPS 140-2 mehr entgegen. Bereits validierte Module gelten an diesem Tag nicht als nicht konform, aber alle neuen Module, die nach diesem Datum eingereicht werden, müssen die Anforderungen von FIPS 140-3 erfüllen. Wenn Sie jetzt mit der Migration beginnen, haben Sie genügend Zeit, alles zu testen, sicherzustellen, dass alles in Ordnung ist, und den Überblick darüber zu behalten, was Sie bereits erledigt haben, bevor die Frist abläuft.
Was sind distrolose Umgebungen und wie tragen sie zur Einhaltung der FIPS-Vorgaben bei?
Ein „distroless“-Container-Image enthält lediglich Ihre Anwendung und deren Laufzeitabhängigkeiten. Shells, Paketmanager und Systemdienstprogramme, wie sie in Standard-Linux-Distributionen zu finden sind, sind nicht enthalten. Angreifer, die sich Zugriff auf einen Container verschaffen, nutzen in der Regel diese integrierten Tools, um sich lateral zu bewegen oder ihre Berechtigungen zu erweitern. Ohne diese Tools sind ihre Möglichkeiten erheblich eingeschränkt.
Durch den Einsatz von FIPS-konformen Container-Images wird dieses Risiko auf Image-Ebene beseitigt. Minimus, ein Anbieter von „distroless“-Images, berichtet, dass durch das Entfernen dieser Komponenten über 1.000 unnötige Dateien aus einem typischen Container entfernt werden. Weniger Dateien bedeuten eine geringere Prüfungsfläche und einen schnelleren Weg zur Bestätigung Ihres Bestands an kryptografischen Bibliotheken.
Distrolose Images stellen eine bewährte Sicherheitsmaßnahme dar, sind jedoch selbst keine Anforderung gemäß FIPS 140-3. Bei der FIPS-Konformität geht es vor allem darum, ob die von Ihrer Anwendung verwendeten kryptografischen Module über eine aktive NIST-Validierung verfügen. Der Zusammenhang zwischen beiden Aspekten liegt in der Überprüfbarkeit. Ein schlankeres Image erleichtert es, genau zu überprüfen, welche Bibliotheken vorhanden sind, diese mit der CMVP-Datenbank unter csrc.nist.gov abzugleichen und nicht zugelassene Module zu erkennen, bevor sie in die Produktion gelangen.
Welche finanziellen Risiken bestehen, wenn die Frist für die FIPS-Konformität nicht eingehalten wird?
Der 21. September 2026 markiert den Stichtag für die Annahme neuer Anträge nach FIPS 140-2. Nach diesem Datum müssen alle neuen Anträge auf FIPS 140-3 ausgerichtet sein. Während FIPS 140-2 Tests auf Seitenkanalangriffe weitgehend ungeregelt ließ, schreibt FIPS 140-3 diese nun zwingend vor. Bei Seitenkanalangriffen werden physikalische Signale von der Hardware, wie beispielsweise Stromverbrauch und Timing, ausgelesen, um kryptografische Schlüssel aus ansonsten sicheren Systemen zu extrahieren. Der neuere Standard entspricht zudem direkt der Norm ISO/IEC 19790, was für Organisationen von Bedeutung ist, die in verschiedenen internationalen Rechtsräumen tätig sind.
| FIPS 140-2 | FIPS 140-3 | |
|---|---|---|
| Anpassung an internationale Standards | Nein | Ja, ISO/IEC 19790 |
| Widerstandsfähigkeit gegen Seitenkanalangriffe | Begrenzt | Erforderliche Prüfungen |
| Prüfung auf nicht-invasive Angriffe | Nicht erforderlich | Obligatorisch |
| Neue Einreichungsfrist | September 21, 2026 | Aktiver Standard |
Der Einsatz nicht validierter kryptografischer Module erhöht das Risiko von Sicherheitsverletzungen durch fehlgeschlagene Audits und den Verlust der Betriebsgenehmigung in regulierten Branchen. Sowohl CMMC 2.0 als auch FedRAMP schreiben für sensible Daten eine nach FIPS 140-3 validierte Verschlüsselung vor, und die Strafen bei Nichteinhaltung gehen weit über die direkten Kosten für die Behebung von Sicherheitsverletzungen hinaus.
Wie prüfen Sie die FIPS-Konformität in Ihrer Pipeline?
Untersuchungen aus dem Frühjahr 2026 zeigen, dass automatisierte Tests der Sicherheitskonfiguration bei der Erkennung von Fehlern etwa 35 % effektiver sind als manuelle Überprüfungen. Dieser Unterschied ist nicht überraschend, wenn man bedenkt, was bei manuellen Überprüfungen tatsächlich übersehen wird. Ein Ingenieur, der die Dokumentation überprüft, sieht die Bibliotheken, die eigentlich enthalten sein sollten. Ein automatisierter Scan erkennt, was tatsächlich ausgeführt wird. Diese beiden Listen weichen häufiger voneinander ab, als Teams erwarten, und der übliche Übeltäter ist ein routinemäßiges Abhängigkeits-Update, das unbemerkt etwas Ungültiges hinzugefügt hat, ohne dass es jemand bemerkt hat. Manuelle Überprüfungen sind für die Dokumentation und die Arbeit an Richtlinien nach wie vor notwendig, aber sich darauf als primäre Kontrollmaßnahme zu verlassen, schafft in jeder Umgebung mit regelmäßigen Bereitstellungen blinde Flecken.
Das regelmäßige Testen von E-Mail-Kampagnen ist eine eigenständige, aber parallel dazu laufende Verpflichtung für Teams in regulierten Branchen. DMARC (Domain-based Message Authentication, Reporting, and Conformance), SPF (Sender Policy Framework) und DKIM (DomainKeys Identified Mail) sind Authentifizierungsprotokolle, die unabhängig von der Validierung nach dem FIPS-Modul funktionieren. Es handelt sich hierbei um eigenständige Compliance-Bereiche, die separat dokumentiert und verwaltet werden sollten. Bemerkenswert: Sowohl FedRAMP als auch CMMC 2.0 beziehen DMARC in ihre Compliance-Anforderungen ein, sodass regulierte Teams dies nicht aufschieben können. Der Cybersecurity Ventures 2025 Almanac verzeichnete Anfang 2025 einen Anstieg von 14 % bei Domain-Spoofing-Vorfällen, wobei fehlerhafte Konfigurationen der Authentifizierungs-Header einen Großteil des Schadens verursachten. Eine schwache DMARC-Richtlinie fällt selten auf, bis eine Phishing-Kampagne sie ausnutzt oder Ihre legitimen E-Mails im Spam-Ordner landen – zu diesem Zeitpunkt ist der Reputationsschaden bereits im Gange.
Optimierung der Lieferkette: Ein schrittweiser Leitfaden
Lieferkettensicherheit im Hinblick auf die FIPS-Konformität bedeutet, dass überprüft wird, ob jede Komponente in Ihrer Infrastruktur – einschließlich Bibliotheken von Drittanbietern, Container-Basisimages und transitiven Abhängigkeiten – über eine aktive NIST-Validierung verfügt. Wenn ein Modul nicht mit einer aktuellen Validierung in der CMVP-Datenbank aufgeführt ist, wird es von den Prüfern als nicht validiert behandelt, unabhängig davon, wie es in Ihre Umgebung gelangt ist.
In einzelne Schritte unterteilt, ist der Weg von Ihrem aktuellen Stand zu einem vollständig validierten Stack ganz einfach:
- Erstellen Sie eine Bestandsliste aller verwendeten kryptografischen Module, einschließlich aller Module, die in Abhängigkeiten von Drittanbietern enthalten sind.
- Überprüfen Sie jedes Modul anhand der CMVP-Datenbank unter csrc.nist.gov: Was Sie vermuten, ist validiert, und was tatsächlich über eine aktuelle Zertifizierung verfügt, sind manchmal zwei verschiedene Dinge.
- Kennzeichnen Sie alle Module, die lediglich über eine FIPS-140-2-Validierung verfügen, und legen Sie realistische Zeitpläne für deren Austausch im Hinblick auf die Frist im September 2026 fest.
- Ersetzen Sie diese durch nach FIPS 140-3 validierte Alternativen, aktualisieren Sie Ihre Container-Images und stellen Sie sicher, dass keine nicht validierten Bibliotheken bei der Umstellung übrig geblieben sind.
- Integrieren Sie automatisierte Prüfungen in jede Build-Phase, denn schon eine einzige Aktualisierung einer Abhängigkeit kann Wochen an Validierungsarbeit zunichte machen, ohne dass man es merkt.
- Dokumentieren Sie den gesamten Prozess für die Prüfer und planen Sie regelmäßige Überprüfungen ein, damit Abweichungen erkannt werden, bevor sie sich verstärken.
Inwiefern wirkt sich die FIPS-Konformität auf die Sicherheit der Lieferkette aus?
Lieferkettensicherheit im Hinblick auf die FIPS-Konformität bedeutet, dass überprüft wird, ob jede Komponente in Ihrer Infrastruktur – einschließlich Bibliotheken von Drittanbietern und Container-Basisimages – über eine aktive NIST-Validierung verfügt. Dies umfasst auch Abhängigkeiten, die Sie nicht direkt ausgewählt haben. Wenn ein Modul nicht mit einer aktiven Validierung in der CMVP-Datenbank aufgeführt ist, behandeln Prüfer es als nicht validiert, unabhängig davon, wie es in Ihre Umgebung gelangt ist.
Der Weg von Ihrem aktuellen Zustand zu einem vollständig validierten Stack ist unkompliziert, wenn man ihn in einzelne Schritte unterteilt. Beginnen Sie damit, eine vollständige Bestandsaufnahme aller verwendeten kryptografischen Module zu erstellen, einschließlich aller Module, die in Abhängigkeiten von Drittanbietern verborgen sind. Vergleichen Sie jedes einzelne mit der CMVP-Datenbank, da das, was Sie für validiert hielten, und das, was tatsächlich über eine aktuelle Zertifizierung verfügt, manchmal nicht übereinstimmen. Markieren Sie anschließend alle Module, die nur über eine FIPS 140-2-Validierung verfügen, und erarbeiten Sie realistische Zeitpläne für den Austausch vor Ablauf der Frist im September 2026. Ersetzen Sie diese durch FIPS 140-3-validierte Alternativen, aktualisieren Sie Ihre Container-Images entsprechend und stellen Sie sicher, dass keine nicht validierten Bibliotheken den Übergang überstanden haben.
Von diesem Zeitpunkt an sorgen automatisierte Pipeline-Prüfungen in jeder Build-Phase dafür, dass die Bestandsdaten korrekt bleiben, denn schon eine einzige Aktualisierung einer Abhängigkeit kann Wochen an Validierungsarbeit zunichte machen. Schließen Sie den Kreis, indem Sie alles für die Prüfer dokumentieren und regelmäßige Überprüfungen einbauen, damit Abweichungen erkannt werden, bevor sie sich vergrößern.
Ihre nächsten 90 Tage: Vom Lagerbestand zur Prüfungsbereitschaft
Die Einhaltung der FIPS-Standards ist keine Angelegenheit, die man einmalig regelt und dann ad acta legt. Ihr Stack wird sich ändern, Abhängigkeiten werden aktualisiert, und jede Änderung birgt die Gefahr, dass ein nicht validiertes Modul durchrutscht.
Beginnen Sie mit einer umfassenden Bestandsaufnahme der kryptografischen Komponenten und überprüfen Sie jedes Modul unter csrc.nist.gov. Wenn distroless-Container Teil Ihrer Sicherheitsstrategie sind, beauftragen Sie Minimus mit einem Container-Audit, um festzustellen, welche Bibliotheken in Ihren Images vorhanden sind und ob diese den Validierungsanforderungen entsprechen, die Ihre Aufsichtsbehörden erwarten. Die Frist im September 2026 lässt weniger Zeit, als die meisten Teams erwarten.
Inhaltsspezialist bei PowerDMARC
Milena ist eine erfahrene Autorin und Inhaltserstellerin mit mehr als 7 Jahren Erfahrung in der Erstellung ansprechender Inhalte über IT, Cybersicherheit, virtuelle Veranstaltungen und mehr. Sie hat eine nachgewiesene Erfolgsbilanz bei der Erstellung hochwertiger Arbeiten für internationale Magazine und ist Absolventin renommierter Institutionen wie der New York University Abu Dhabi, UWC China und dem College of Europe.
Neueste Beiträge von Milena Baghdasaryan (alle anzeigen)
