Was bringt uns die Security World?

Alle aktuellen nShield Geräte teilen dieselbe Schlüsselarchitektur, deshalb lassen sich Appliance, Karte und Dienst in einem Bestand mischen. Bei nShield as a Service bleiben Schlüssel und Security World bei Ihnen, der Betrieb liegt bei Entrust.

Was passiert mit unseren nShield XC Geräten?

Der Verkauf endete am 31. Oktober 2025, die reguläre Wartung läuft bis zum 31. Dezember 2027, ausgenommen sind die Varianten -CC, -NTS, TSOP und Issuance. Nachfolger sind nShield 5c und nShield 5s, und wir planen den Wechsel entlang Ihrer Wartungsfristen.

Rechnet nShield schon mit Post-Quanten-Verfahren?

Ja, die 5er Reihe rechnet nativ mit ML-DSA in den Stufen 44, 65 und 87, mit ML-KEM in 512, 768 und 1024 sowie mit allen SLH-DSA-Sätzen, LMS kommt über das Post-Quantum Option Pack dazu. Die Umsetzungen sind seit der Firmware 13.8.0 nach CAVP geprüft, die Neubewertung durch das CMVP ist eingereicht.

Können wir nShield in Deutschland betreiben lassen?

Ja, wir arbeiten mit Betreibern kritischer Infrastrukturen und regulierten Branchen und betreiben die Geräte in deutschen Rechenzentren. Entrust selbst nutzt für nShield as a Service ebenfalls ein Rechenzentrum in Deutschland.

Entrust nShield HSM: Modelle und Zertifikate

nShield im Überblick

Ein Hardware-Sicherheitsmodul erzeugt und speichert Schlüssel in geprüfter Hardware und gibt sie nie im Klartext heraus. Bei Entrust teilen alle aktuellen nShield Geräte die Architektur Security World und dieselben Schnittstellen PKCS#11, OpenSSL, JCE, CAPI und CNG, nCore und Web Services, sodass Sie Modelle in einem Bestand mischen können.

Kryptografie und Hardware-Sicherheitsmodule sind unsere Kernkompetenz. Wir kennen den Aufbau einer Security World, die Ablösung der XC-Modelle und CodeSafe für eigenen Code im Gerät und führen Ihr Projekt von der Auswahl über die Schlüsselzeremonie bis in den Betrieb.

Familie: nShield 5c, 5s, as a Service, Edge, Issuance
Höchste Prüfung: FIPS 140-3 Level 3, CMVP 4745
Post-Quanten-Verfahren: ML-DSA, ML-KEM, SLH-DSA, LMS
Betriebsformen: Appliance, PCIe-Karte, USB-Gerät, as a Service

Die Serien im Detail

Serie 01

nShield 5c

Das nShield 5c ist die Netzwerk-Appliance der aktuellen Generation und löst das nShield Connect XC ab. Es trägt FIPS 140-3 Level 3 und Common Criteria EAL4+ nach EN 419 221-5 und bedient PKI, Code Signing, Datenbanken und Mobilfunknetze.

Geräteabbildung ansehen

Modelle

nShield 5c: Modelle
Base	Drei Client-Lizenzen enthalten, bis zu 10 möglich
Mid	Bis zu 20 Client-Lizenzen
High	Bis zu 1.000 Client-Lizenzen, 11.680 RSA-2048-Operationen pro Sekunde
nShield 5c 10G	Vier SFP+-Anschlüsse

Bauformen: 1U-Netzwerk-Appliance
Betrieb: Eigenes Rechenzentrum, Hosting beim Dienstleister

Zertifizierungen

FIPS 140-3 Level 3, Zertifikat 4745
Das CMVP führt Zertifikat 4745 unter nShield 5s
Common Criteria EAL4+ mit AVA_VAN.5 und ALC_FLR.2 nach EN 419 221-5
Grundlage für QSCD nach EN 419 241-2
Zufallszahlen nach BSI AIS 20/31

Merkmale

Firmware 13.8.3 im Modell High mit 23.890 ECDSA-P-256-Operationen pro Sekunde
ML-DSA-44 mit 3.130 Signaturen pro Sekunde
Zwei Netzteile, im Betrieb wechselbar
Getrennte Rollen für Betreiber und Mandant
Fernverwaltung über nShield Remote Administration und KeySafe 5
CodeSafe 5 führt eigenen Code in Containern im Gerät aus

Herstellerangaben

Serie 02

nShield 5s

Das nShield 5s ist die PCIe-Karte derselben Generation, ersetzt das nShield Solo XC und liefert im Modell High 13.614 RSA-2048-Operationen pro Sekunde. Die Option Multi-Tenancy legt getrennte Security Worlds auf eine einzige Karte.

Modelle

nShield 5s: Modelle
Base	Kleinste der drei Leistungsstufen
Mid	Mittlere Leistungsstufe
High	13.614 RSA-2048- und 21.826 ECDSA-P-256-Operationen pro Sekunde
Multi-Tenancy für nShield 5s	Getrennte Security Worlds auf einer Karte

Bauformen: Flache PCIe-2.0-x4-Karte
Betrieb: Anwendungsserver, Eigenes Rechenzentrum

Zertifizierungen

FIPS 140-3 Level 3, CMVP-Zertifikat 4745
Geprüft am 31. Juli 2024, gültig bis 30. Juli 2029
Common Criteria EAL4+ nach EN 419 221-5
eIDAS QSCD

Merkmale

Karte mit 25 Watt Leistungsaufnahme
Externes Smartcard-Lesegerät im Lieferumfang
ML-DSA-44 mit 2.780 Signaturen pro Sekunde
Gleiche Post-Quanten-Verfahren wie beim nShield 5c
Nachfolger des nShield Solo XC

Herstellerangaben

Serie 03

nShield as a Service

Bei nShield as a Service betreibt Entrust die Geräte in eigenen Rechenzentren, unter anderem in Deutschland, und Sie behalten Schlüssel und Security World. Sie wählen zwischen vier Leistungsstufen und zwischen selbst verwaltetem und vollständig verwaltetem Betrieb.

Modelle

nShield as a Service: Modelle
Basic	400 RSA-2048-Signaturen pro Sekunde
Standard	800 RSA-2048-Signaturen pro Sekunde
Premium	6.000 RSA-2048-Signaturen pro Sekunde
Enterprise	16.000 RSA-2048-Signaturen pro Sekunde

Bauformen: Gehosteter Dienst
Betrieb: Von Entrust betriebene Rechenzentren, Ausweichbetrieb in der Cloud

Zertifizierungen

Die US-Region ist nach PCI DSS zertifiziert

Merkmale

Rechenzentren in Deutschland, Großbritannien, den USA und Australien
Betrieb wahlweise selbst verwaltet oder vollständig verwaltet
CodeSafe wird unterstützt
Option für den Ausweichbetrieb in der Cloud
Schlüssel und Security World bleiben beim Kunden

Herstellerangaben

Serie 04

nShield Edge

Das nShield Edge ist ein tragbares USB-Gerät mit Smartcard-Leser für die Offline-Wurzel einer PKI, für Entwicklung und für eigene Schlüssel in der Cloud. Das Datenblatt stammt von 2020, es nennt weder FIPS 140-3 noch Post-Quanten-Verfahren.

Modelle

nShield Edge: Modelle
nShield Edge FIPS 140-2 Level 2	Variante mit Prüfstufe 2
nShield Edge FIPS 140-2 Level 3	Variante mit Prüfstufe 3
Developer Edition	Ausgabe für Entwicklung und Test

Bauformen: USB-Gerät
Betrieb: Arbeitsplatz, Entwicklungsumgebung

Zertifizierungen

FIPS 140-2 Level 2
FIPS 140-2 Level 3
Keine Angabe zu FIPS 140-3

Merkmale

Etwa 2 RSA-2048-Operationen pro Sekunde
Smartcard-Leser für die Verwaltung
Für Offline-Wurzelzertifizierungsstellen, Entwicklung und eigene Schlüssel in der Cloud
Alle Angaben stammen aus dem Datenblatt von 2020

Herstellerangaben

Serie 05

nShield Issuance HSM

Das nShield Issuance HSM bereitet EMV-Daten auf und erzeugt Schlüssel für die Ausgabe von Karten, wobei EMV der Standard für Chipkarten ist. Es arbeitet nur mit Entrust Adaptive Issuance und dem Key Manager ab Version 6.6 und ist kein allgemeines Payment HSM nach PCI PTS.

Modelle

nShield Issuance HSM: Modelle
nShield HSMi	1U-Appliance für die Kartenausgabe
Variante FIPS 140-2 Level 2	Ausgabe mit Prüfstufe 2
Variante FIPS 140-2 Level 3	Ausgabe mit Prüfstufe 3

Bauformen: 1U-Appliance
Betrieb: Eigenes Rechenzentrum

Zertifizierungen

FIPS 140-2 Level 2
FIPS 140-2 Level 3
Keine Zulassung als Payment HSM nach PCI PTS

Merkmale

Aufbereitung von EMV-Daten für die Kartenausgabe
Erzeugung der Schlüssel für Karten
Nur mit Entrust Adaptive Issuance nutzbar
Key Manager ab Version 6.6 erforderlich

Herstellerangaben

Serie 06

nShield XC

Die XC-Reihe mit nShield Connect XC und Solo XC wird nicht mehr verkauft, bleibt aber bis Ende 2027 in der regulären Wartung. Das Connect XC trägt FIPS 140-2 Level 2 und 3 sowie Common Criteria EAL4+ und leistet in den Stufen Mid und High 3.500 oder 8.600 RSA-2048-Operationen pro Sekunde.

Modelle

nShield XC: Modelle
nShield Connect XC Mid	3.500 RSA-2048-Operationen pro Sekunde
nShield Connect XC High	8.600 RSA-2048-Operationen pro Sekunde
nShield Solo XC	PCIe-Karte, Nachfolger ist das nShield 5s

Bauformen: 1U-Netzwerk-Appliance, PCIe-Karte
Betrieb: Eigenes Rechenzentrum, Anwendungsserver
Lebenszyklus: End of Sale am 31. Oktober 2025, reguläre Wartung bis zum 31. Dezember 2027, Nachfolger sind nShield 5c und nShield 5s

Zertifizierungen

FIPS 140-2 Level 2 und Level 3
Common Criteria EAL4+

Merkmale

Ausgenommen vom End of Sale sind die Varianten -CC, -NTS, TSOP und Issuance
Das Abbild für Connect CLX wird nach Security World 13.3 nicht mehr gepflegt
Nachfolger sind nShield 5c und nShield 5s

Herstellerangaben

So wählen Sie das passende Modell

Vier Punkte entscheiden bei Entrust über die Wahl: die geforderte Prüfstufe, die Last mit der Zahl der Mandanten, der Bedarf an eigenem Code und das Betriebsmodell. Wir arbeiten die Punkte mit Ihrem Team durch und halten die Entscheidung fest.

01

Prüfstufe und Zulassungen

nShield 5c und 5s tragen FIPS 140-3 Level 3 und Common Criteria EAL4+ nach EN 419 221-5 und dienen als Grundlage für QSCD. Das nShield Edge und das Issuance HSM bleiben bei FIPS 140-2, das reicht für Ausschreibungen mit Nachweispflicht selten aus.

02

Last und Mandanten

Das nShield 5c leistet im Modell High 11.680 RSA-2048-Operationen pro Sekunde, die Karte nShield 5s erreicht 13.614. Als Dienst reichen die Stufen von 400 bis 16.000 Signaturen pro Sekunde, getrennte Security Worlds liefert die Option Multi-Tenancy.

03

Eigener Code und Schnittstellen

Alle aktuellen Geräte sprechen PKCS#11, OpenSSL, JCE, CAPI und CNG, nCore und Web Services. Wer eigene Logik im Gerät braucht, nutzt CodeSafe 5 und führt den Code in einem Container innerhalb der Sicherheitsgrenze aus.

04

Betriebsmodell

Sie betreiben die Geräte selbst, geben den Betrieb an uns oder buchen nShield as a Service mit Rechenzentren in Deutschland. Die gesamte Lösung läuft in deutschen Rechenzentren.

Unsere Arbeit rund um nShield

Die Security World will geplant, dokumentiert und gepflegt werden, dazu kommen Integration, Überwachung und der Wechsel von XC auf die 5er Reihe. Ein Team begleitet Sie von der Beratung bis zum Betrieb.

HSM Consulting und Integration
Wir planen die Security World, richten Karten und Appliances ein und verbinden Ihre Anwendungen über PKCS#11, JCE und CNG. Die Ablösung der XC-Geräte planen wir entlang Ihrer Wartungsfristen.
Wir planen die Security World. Wir richten Karten und Appliances ein. Wir verbinden Ihre Anwendungen über PKCS#11, JCE und CNG. Die Ablösung der XC-Geräte planen wir entlang Ihrer Wartungsfristen.
HSM & Schlüsselmanagement
PQC Readiness
Wir erfassen, welche Anwendungen auf RSA und ECC beruhen, denn Quantenrechner können beide Verfahren brechen, und planen den Wechsel auf ML-DSA und ML-KEM. Die Firmware 13.8.0 vom 22. August 2025 bringt diese Verfahren, die Neubewertung durch das CMVP läuft noch.
Wir erfassen Ihre Anwendungen mit RSA und ECC. Quantenrechner können beide Verfahren brechen. Wir planen den Wechsel auf ML-DSA und ML-KEM. Die Firmware 13.8.0 vom 22. August 2025 bringt diese Verfahren. Die Neubewertung durch das CMVP läuft noch.
Post-Quanten-Kryptografie
Cybersecurity
Wir überwachen die Geräte, trennen die Rollen von Betreiber und Mandant, prüfen die Karten der Security World und melden Ereignisse an Ihr SIEM. Das SIEM sammelt und bewertet Sicherheitsmeldungen.
Wir überwachen die Geräte im Betrieb. Wir trennen die Rollen von Betreiber und Mandant. Wir prüfen die Karten der Security World. Wir melden Ereignisse an Ihr SIEM. Ein SIEM sammelt und bewertet Sicherheitsmeldungen.
Cybersecurity

Normen und Nachweise

Fünf Vorgaben bestimmen bei Entrust die Auswahl und die Unterlagen. Wir nennen zu jeder Vorgabe das Gerät, das sie trägt, und weisen offene Verfahren aus.

Vorgabe / Verlangt / OTOKO® liefert
Vorgabe	Verlangt	OTOKO® liefert
FIPS 140-3	Geprüfte Kryptomodule mit definierter physischer Schutzstufe	nShield 5s mit Level 3 und Zertifikat 4745, gültig bis 30. Juli 2029, das nShield 5c nennt dasselbe Zertifikat
Common Criteria EN 419 221-5	Geprüftes Signaturmodul für Vertrauensdienste	nShield 5c und 5s mit EAL4+, AVA_VAN.5 und ALC_FLR.2, geprüft über NSCIB
eIDAS EN 419 241-2	Qualifizierte Signaturerstellungseinheit für Fernsignaturen	nShield 5c und 5s als Grundlage für QSCD nach EN 419 241-2
BSI AIS 20/31	Geprüfter Zufallszahlengenerator	Zufallszahlengenerator des nShield 5c nach AIS 20/31
PCI DSS	Geprüfte Betriebsumgebung für Kartendaten	nShield as a Service ist in der US-Region nach PCI DSS zertifiziert

Häufige Fragen zu Entrust

Passende Themen

Leistungen

Branchen

Weitere Hersteller

Menü

Entrust nShield: Security World für alle Geräte

nShield im Überblick

Die Serien im Detail

nShield 5c

nShield 5s

nShield as a Service

nShield Edge

nShield Issuance HSM

nShield XC

So wählen Sie das passende Modell

Unsere Arbeit rund um nShield

Normen und Nachweise

Häufige Fragen zu Entrust

Passende Themen

Sie möchten mehr erfahren über

Entrust

Unsere Kunden

Unsere Partner