Hardware-Sicherheitsmodule: Schlüssel in geprüfter Hardware

01Utimaco

Utimaco entwickelt und fertigt in Aachen und deckt mit drei Linien die allgemeinen Anwendungen, den Zahlungsverkehr und die Schlüsselverwaltung ab. Die u.trust Se-Serie trägt FIPS 140-3 Level 3 mit der CMVP-Nummer 5223 und trennt bis zu 31 Mandanten in eigenen Containern. Der ältere CryptoServer bringt weiterhin Common Criteria nach EN 419 221-5, die eIDAS-Zulassung als QSCD und die BSI-Freigabe für Verschlusssachen mit.

Utimaco entwickelt und fertigt in Aachen. Drei Linien decken drei Felder ab. Das sind allgemeine Anwendungen, Zahlungsverkehr und Schlüsselverwaltung. Die u.trust Se-Serie trägt FIPS 140-3 Level 3. Die Prüfnummer lautet CMVP 5223. Ein Gerät trennt bis zu 31 Mandanten in Containern. Der ältere CryptoServer trägt Common Criteria nach EN 419 221-5. Er ist nach eIDAS als QSCD zugelassen. Das BSI gibt ihn für Verschlusssachen frei.

02Thales

Thales deckt mit der Luna-Reihe die allgemeinen Anwendungen ab und mit payShield 10K den Zahlungsverkehr nach PCI HSM v3. Das Luna 7 Network HSM trägt FIPS 140-3 Level 3 und Common Criteria EAL4+, die im August 2026 vorgestellte Plattform Luna 8 steht dagegen noch im Zertifizierungsverfahren. Über Data Protection on Demand gibt es Luna auch als Cloud-Dienst.

Thales hat zwei Linien. Luna deckt allgemeine Anwendungen ab. payShield 10K deckt den Zahlungsverkehr ab. Es erfüllt PCI HSM in der Version 3. Das Luna 7 Network HSM trägt FIPS 140-3 Level 3. Es trägt auch Common Criteria EAL4+. Thales stellte im August 2026 die Plattform Luna 8 vor. Ihre Zertifizierung läuft noch. Data Protection on Demand bietet Luna als Cloud-Dienst.

03Entrust

Entrust verwaltet mit nShield 5c und nShield 5s alle Schlüssel über die gemeinsame Architektur Security World, geprüft nach FIPS 140-3 Level 3 und Common Criteria EAL4+ nach EN 419 221-5. CodeSafe führt eigenen Code innerhalb der Sicherheitsgrenze aus, nShield as a Service läuft unter anderem aus deutschen Rechenzentren.

Entrust bietet nShield 5c und nShield 5s an. Beide nutzen dieselbe Architektur für Schlüssel. Sie heißt Security World. Beide tragen FIPS 140-3 Level 3. Beide tragen Common Criteria EAL4+ nach EN 419 221-5. Mit CodeSafe läuft eigener Code im geschützten Bereich des Geräts. nShield as a Service nutzt auch deutsche Rechenzentren.

04IBM

IBM liefert mit dem 4770 und Crypto Express 8S eine Karte für IBM Z, Power und x86, wahlweise im Modus CCA für den Zahlungsverkehr oder EP11 für PKCS#11. Die Karte ist nach FIPS 140-2 Level 4 geprüft, die Prüfung nach FIPS 140-3 Level 3 läuft noch.

IBM liefert die Karte 4770, auch Crypto Express 8S genannt. Sie passt in IBM Z, Power und x86-Server. Der Modus CCA dient dem Zahlungsverkehr. Der Modus EP11 bedient die Schnittstelle PKCS#11. Die Karte trägt FIPS 140-2 Level 4. Die Prüfung nach FIPS 140-3 Level 3 läuft noch.

05Futurex

Futurex führt Zahlungsverkehr und allgemeine Anwendungen auf einer einzigen Plattform zusammen. Die Excrypt-Geräte tragen FIPS 140-3 Level 3 sowie PCI PTS HSM v4 und stellen bis zu 75 virtuelle Module je Gerät bereit. CryptoHub ergänzt in derselben Oberfläche die Schlüsselverwaltung, eigene Zertifizierungsstellen und die Schlüsselinjektion für Terminals und Geldautomaten.

Futurex führt zwei Aufgaben auf einer Plattform zusammen. Das sind Zahlungsverkehr und allgemeine Anwendungen. Die Excrypt-Geräte tragen FIPS 140-3 Level 3. Sie tragen auch PCI PTS HSM in Version 4. Ein Gerät stellt bis zu 75 virtuelle Module bereit. CryptoHub ergänzt in derselben Oberfläche die Schlüsselverwaltung. Es ergänzt Zertifizierungsstellen und Schlüsselinjektion für Terminals und Geldautomaten.

06Marvell

Marvell verkauft mit LiquidSecurity 2 PCIe-Karten an Anbieter, die Module als Dienst betreiben, und an Hersteller eigener Appliances. Die Karten tragen FIPS 140-3 Level 3 mit der CMVP-Nummer 4703 und stellen je nach Ausbau bis zu 45 Partitionen bereit.

Marvell verkauft PCIe-Karten mit dem Namen LiquidSecurity 2. Käufer sind Anbieter von Modulen als Dienst. Käufer sind auch Hersteller eigener Geräte. Die Karten tragen FIPS 140-3 Level 3. Die Prüfnummer lautet CMVP 4703. Je nach Ausbau bieten sie bis zu 45 Partitionen.

07IDEMIA

IDEMIA ist seit September 2025 mit dem Sphere HSM am Markt und baut es aus einer Matrix vieler Secure Elements statt aus einem zentralen Prozessor. Die Geräte wachsen von 32 auf 128 Elemente, sind in Frankreich entwickelt und tragen nach Herstellerangabe FIPS 140-3 Level 3.

IDEMIA bietet das Sphere HSM seit September 2025 an. Es besteht aus vielen kleinen Sicherheitschips. Diese heißen Secure Elements. Ein zentraler Prozessor fehlt also. Die Geräte wachsen von 32 auf 128 Elemente. Sie sind in Frankreich entwickelt. FIPS 140-3 Level 3 ist bisher eine Herstellerangabe.