Cloudflare for Government hat nach Angaben des Unternehmens FedRAMP Class D, also High, erreicht. Damit wird ein formaler US-Behördenstatus für besonders sensible, nicht klassifizierte Daten adressiert. Für DACH-Unternehmen ist das ein relevantes Signal über Investitionen in Sicherheitskontrollen und kontinuierliche Überwachung. Es ist jedoch weder eine europäische Zertifizierung noch ein automatischer Nachweis für DSGVO, nationale Behördenanforderungen oder die eigene Risikoakzeptanz.
Besonders interessant ist die Architekturbehauptung: Cloudflare nutzt laut eigener Darstellung denselben globalen Software-Stack und setzt Regionalität softwaredefiniert um, statt eine vollständig getrennte Government-Cloud-Version zu betreiben. Für FedRAMP-High-Dienste soll Verkehrsinspektion und -verarbeitung ausschließlich in US-Rechenzentren erfolgen. Diese Kombination zeigt, dass ein gemeinsamer Code-Stack und regionale Datenpfade zusammen möglich sein können – ihre konkrete Umsetzung muss aber vertraglich und technisch geprüft werden.
Was bestätigt ist – und was noch nicht
Bestätigt ist laut Cloudflare der zertifizierte FedRAMP-High-Status von Cloudflare for Government. NIST fungierte dem Blog zufolge als Sponsorbehörde. Das Unternehmen beschreibt den Schritt als Weiterentwicklung gegenüber seiner früheren Moderate-Autorisierung. Der Status bezieht sich auf das definierte Regierungsangebot und dessen autorisierten Umfang, nicht pauschal auf jede Cloudflare-Funktion, jeden Tarif oder jede kundenspezifische Konfiguration.
Cloudflare erklärt außerdem, auf Basis der neuen Systeme eine DoD-Impact-Level-4-Autorisierung anzustreben. Diese Autorisierung war zum Knowledge-Cutoff nicht erteilt. Unternehmen dürfen „wird verfolgt“ nicht als aktuellen Compliance-Nachweis behandeln. Ebenso sind US-exklusive Verarbeitungskontrollen des Government-Angebots nicht automatisch mit EU-exklusiver Verarbeitung oder deutscher Datensouveränität gleichzusetzen.
Cloudflare for Government achieves FedRAMP Class D (High) Certified status.
Cloudflare
Was FedRAMP High für DACH nicht beantwortet
Ein US-Autorisierungsrahmen kann Hinweise auf Kontrollreife geben, beantwortet aber nicht alle Fragen eines DACH-Unternehmens. Datenschutzrechtliche Rollen, Auftragsverarbeitung, Drittlandtransfer, Speicher- und Supportstandorte, Unterauftragnehmer sowie Zugriffsrechte müssen separat bewertet werden. Auch branchenspezifische Anforderungen, etwa im Finanzwesen, Gesundheitsbereich oder öffentlichen Sektor, bleiben bestehen. Entscheidend ist der tatsächlich gebuchte Serviceumfang.
- Statusumfang: Welche Produkte, Regionen, Funktionen und Betriebsprozesse sind autorisiert?
- Datenpfad: Wo werden Traffic, Logs, Metadaten, Supportdaten und Backups verarbeitet?
- Zugriff: Welche Teams und Unterauftragnehmer können administrativ auf Systeme oder Daten zugreifen?
- Nachweise: Welche Berichte, Vertragszusagen und kontinuierlichen Kontrollen stehen dem Kunden zur Verfügung?
- Abweichungen: Welche DACH- oder Branchenanforderungen bleiben durch FedRAMP unberührt?
Eine häufige Fehlannahme lautet, ein hoher Zertifizierungsstatus mache weitere Due Diligence überflüssig. Tatsächlich muss die Kontrollabbildung zeigen, welche eigenen Anforderungen vollständig, teilweise oder gar nicht abgedeckt sind. Besonders Begriffe wie „regional“, „lokal“ oder „souverän“ brauchen technische Definitionen. Nur der Ort der Traffic-Inspektion sagt noch nichts über Telemetrie, Schlüsselverwaltung, Supportzugriffe oder Kontrollhoheit.
Softwaredefinierte Regionalität prüfen
Ein gemeinsamer globaler Software-Stack kann Funktionsparität und schnellere Sicherheitsupdates fördern. Er kann zugleich neue Fragen zur logischen Trennung und Fehlkonfiguration aufwerfen. Unternehmen sollten nachvollziehen, wie Regionseinstellungen durchgesetzt, getestet und überwacht werden. Eine Policy in der Steuerungsebene reicht nicht, wenn Datenpfade bei Failover oder Supportfall abweichen können. Tests und vertragliche Zusagen müssen Normalbetrieb und Ausnahmen abdecken.
- Eigene Datenklassen, zulässige Regionen und verbotene Transferpfade definieren.
- Produkt- und Kontrollumfang gegen offizielle Autorisierungs- und Vertragsunterlagen abgleichen.
- Normalbetrieb, Failover, Logging, Support und Schlüsselverwaltung als getrennte Datenflüsse prüfen.
- Technische Konfiguration mit Testfällen und exportierbaren Nachweisen validieren.
- Restlücken mit Owner, Ersatzkontrollen, Laufzeit und Exit-Option dokumentieren.
Beschaffung und Betrieb
Im Beschaffungsprozess sollten Unternehmen nicht nur Zertifikate sammeln, sondern Kontrollziele zuordnen. Eine Tabelle verbindet jede eigene Anforderung mit Anbieterfunktion, Vertrag, Konfiguration und betrieblichem Nachweis. Public-Sector-Funktionen können andere Preise, Supportwege oder Verfügbarkeiten haben. Diese Unterschiede gehören in die Gesamtkosten. Ebenso wichtig sind Migration und Exit: DNS, Zertifikate, Regeln und Logs müssen kontrolliert übertragbar bleiben.
Nach Vertragsabschluss beginnt die eigentliche Kontrolle. Regionale Einstellungen, administrative Rollen, Schlüssel, Logexport und Änderungen am Service werden regelmäßig überprüft. Anbieterzertifizierungen können erneuert oder im Umfang verändert werden. Das Unternehmen braucht daher einen Owner für die laufende Evidenz und eine Reaktion auf Statusänderungen. Eine einmalige Freigabe beim Einkauf ist für einen dynamischen Cloud-Service unzureichend.
Fazit
Für die Managemententscheidung sollte jeder Nachweis nach drei Ebenen getrennt werden. Erstens: Was bestätigt der externe Status tatsächlich und für welchen Serviceumfang? Zweitens: Welche Konfiguration muss der Kunde selbst korrekt setzen und überwachen? Drittens: Welche geschäftlichen und rechtlichen Risiken bleiben außerhalb des Rahmens? Diese Trennung verhindert, dass ein anerkanntes Zertifikat unzulässig auf andere Produkte, Regionen oder Datenklassen ausgedehnt wird. Sie erleichtert außerdem Audits, weil Verantwortliche nicht nur ein Dokument vorlegen, sondern die Verbindung zwischen Kontrollziel, Anbieterleistung und eigenem Betrieb erklären können. Bei wesentlichen Änderungen an Produkt, Region, Unterauftragnehmern oder Autorisierungsumfang wird diese Zuordnung erneut geprüft.
Cloudflares FedRAMP-High-Status ist ein bedeutender Meilenstein für das definierte US-Government-Angebot. Die US-exklusive Verarbeitung und der gemeinsame globale Software-Stack zeigen einen interessanten Ansatz für kontrollierte Regionalität. DACH-Unternehmen sollten daraus Kontrollfragen, nicht automatische Freigaben ableiten. DoD IL4 ist noch nicht erteilt, und europäische Datenschutz-, Souveränitäts- sowie Branchenanforderungen müssen separat gegen Produktumfang, Datenpfade und Verträge geprüft werden.