Sollen wir heute Luna 7 oder schon Luna 8 beschaffen?

Luna 7 trägt FIPS 140-3 Level 3 mit dem NIST-Zertifikat 4684 und Common Criteria EAL4+, bei Luna 8 laufen beide Verfahren noch. Wer einen Nachweis braucht, beschafft Luna 7, denn Thales führt die Linie weiter und der Luna HSM Universal Client verbindet beide Generationen.

Wie trennt Luna 8 mehrere Mandanten?

Jeder Container ist eine eigene Luna 8 Instanz mit bis zu 10 Partitionen und einer eigenen Firmware-Version. Luna 100 führt einen Container, Luna 150 bis zu sechs, Luna 190 bis zu 15, und ein 1U-Gehäuse trägt ein oder zwei Kryptomodule mit zusammen bis zu 30 Instanzen.

Brauchen wir für Kartenzahlungen ein eigenes Gerät?

Ja, PIN und Kartenschlüssel gehören auf ein Payment HSM nach PCI HSM, bei Thales ist das payShield 10K mit der Zulassung v3. Die Leistung reicht je Lizenz von 25 bis 10.000 Vorgängen pro Sekunde, bis zu 20 LMK-Partitionen trennen die Schlüsselsätze.

Können wir Thales Geräte in Deutschland betreiben lassen?

Ja, wir arbeiten mit Betreibern kritischer Infrastrukturen und regulierten Branchen und übernehmen den Betrieb der Luna- und payShield-Geräte in deutschen Rechenzentren. Wer den Betrieb ganz abgeben will, bucht Luna Cloud HSM oder payShield Cloud HSM.

Thales HSM: Luna, payShield und ProtectServer

Thales im Profil

Ein Hardware-Sicherheitsmodul erzeugt und speichert Schlüssel in geprüfter Hardware und gibt sie nie im Klartext heraus. Bei Thales trennt sich das Portfolio nach Aufgabe: Luna bedient allgemeine Anwendungen über PKCS#11, payShield verarbeitet PIN und Kartenschlüssel im Zahlungsverkehr, ProtectServer führt mit Funktionsmodulen eigenen Code innerhalb der Sicherheitsgrenze aus.

Kryptografie und Hardware-Sicherheitsmodule sind unsere Kernkompetenz. Wir kennen den Universal Client, die Partitionsverwaltung über Crypto Command Center und den Weg von Luna 7 auf Luna 8 und planen Ihr Projekt entlang der Zertifikate, die Ihre Aufsicht verlangt.

Linien: Luna, payShield, ProtectServer, Data Protection on Demand
Höchste Prüfung: FIPS 140-3 Level 3, NIST-Zertifikat 4684
Post-Quanten-Verfahren: ML-KEM, ML-DSA, LMS, HSS
Betriebsformen: Appliance, PCIe-Karte, USB-Gerät, Cloud-Dienst

Die Serien im Detail

Serie 01

Luna 8 Network HSM

Thales stellte Luna 8 im August 2026 vor, als erstes Produkt einer neuen Plattform mit einem selbst entwickelten Kryptoprozessor. Die Zertifizierungen nach FIPS 140-3 Level 3 und Common Criteria laufen noch, wer ein gültiges Zertifikat braucht, beschafft weiter Luna 7.

Geräteabbildung ansehen

Modelle

Luna 8 Network HSM: Modelle
Luna 100 Standard	Ein Container, 128 MB Schlüsselspeicher
Luna 150 Enterprise	Bis zu 6 Container, 1.024 MB Schlüsselspeicher
Luna 190 Maximum	Bis zu 15 Container, 4.096 MB Schlüsselspeicher

Bauformen: 1U-Appliance mit vier 10-Gbit-Anschlüssen
Betrieb: Eigenes Rechenzentrum, Hosting beim Dienstleister

Zertifizierungen

FIPS 140-3 Level 3 im Verfahren
Common Criteria EAL4+ nach EN 419 221-5 im Verfahren
QSCD für eIDAS 2 im Verfahren
INMETRO, NITES und NATO SECRET im Verfahren

Merkmale

Jeder Container ist eine eigene Luna 8 Instanz mit bis zu 10 Partitionen
Ein oder zwei Kryptomodule je 1U, zusammen bis zu 30 Instanzen
Je Container eine eigene Firmware-Version
ML-KEM nach FIPS 203, ML-DSA nach FIPS 204 sowie LMS und HSS
Zufallszahlen aus einer Quantenquelle
Rückwärtskompatibel über den Luna HSM Universal Client

Herstellerangaben

Serie 02

Luna 7 Network HSM

Das Luna 7 Network HSM trägt die Zertifikate, die Ausschreibungen heute verlangen, darunter FIPS 140-3 Level 3 für das Modul K7 und Common Criteria EAL4+ nach EN 419 221-5. Die A-Modelle melden Administratoren mit Passwort an, die S-Modelle verlangen zusätzlich das PED-Gerät, ein eigenes Eingabegerät für die Anmeldung.

Modelle

Luna 7 Network HSM: Modelle
A700 und S700	1.000 RSA-2048-Operationen pro Sekunde, 5 Partitionen
A750 und S750	5.000 RSA-2048-Operationen pro Sekunde, 5 bis 20 Partitionen
A790 und S790	10.000 RSA-2048-Operationen pro Sekunde, 10 bis 100 Partitionen

Bauformen: 1U-Netzwerk-Appliance
Betrieb: Eigenes Rechenzentrum, Hybrid mit Luna Cloud HSM

Zertifizierungen

FIPS 140-3 Level 3, NIST-Zertifikat 4684 für das Modul K7
FIPS 140-2 Level 3
Common Criteria EAL4+ nach EN 419 221-5
Als QSCD gelistet

Merkmale

ECC P-256 mit 2.000, 10.000 oder 20.000 Operationen pro Sekunde je Stufe
Firmware 7.9 vom 29. Juli 2025 bringt ML-KEM und ML-DSA
Anmeldung wahlweise mit Passwort oder PED-Gerät
Schlüsselkopie und Sicherung zusammen mit Luna Cloud HSM

Herstellerangaben

Serie 03

Luna 7 PCIe HSM und USB HSM

Die PCIe-Karte steckt im Anwendungsserver und erreicht dieselben Leistungsstufen wie das Netzwerkgerät, was kurze Wege für Gerätehersteller und latenzkritische Dienste bedeutet. Das USB-Gerät U700 hält eine Partition mit 32 MB Speicher und dient der Offline-Wurzel einer PKI.

Thales Luna PCIe HSM als Einsteckkarte — Produktbild: Thales

Modelle

Luna 7 PCIe HSM und USB HSM: Modelle
PCIe A700 bis A790	Gleiche Leistungsstufen wie die Netzwerkgeräte
PCIe S700 bis S790	Anmeldung über das PED-Gerät
U700	Eine Partition, 32 MB Speicher, USB 3.0 Type-C

Bauformen: PCIe-Karte, USB-Gerät
Betrieb: Anwendungsserver, Arbeitsplatz ohne Netzanbindung

Zertifizierungen

FIPS 140-2 Level 3
FIPS 140-3 für das Modul K7, NIST-Zertifikat 4684
Common Criteria EAL4+ nach EN 419 221-5
Als QSCD gelistet
U700 nach Produktseite FIPS 140-3 Level 3, auf der Compliance-Seite im Verfahren

Merkmale

Treiber für Windows und Linux
Einbau in eigene Geräte durch Hersteller
U700 für Offline-Wurzelzertifizierungsstellen und für eigene Schlüssel in der Cloud
Gleiche Leistungsstufen und Durchsatzwerte wie beim Luna 7 Network HSM

Herstellerangaben

Serie 04

Luna Cloud HSM auf Data Protection on Demand

Data Protection on Demand ist der Marktplatz von Thales, über den Sie Luna Cloud HSM und fertige Dienste für Signatur, Code Signing und Datenbanken beziehen. Die Dienste laufen auf Hardware nach FIPS 140-2 Level 3, Hybrid Luna verbindet sie mit eigenen Geräten.

Marktplatz von Thales Data Protection on Demand — Produktbild: Thales

Modelle

Luna Cloud HSM auf Data Protection on Demand: Modelle
Luna Cloud HSM	Allgemeiner Dienst für Schlüssel und Signaturen
Digital Signing und Java Code Signer	Dienste für Signaturen und signierten Code
Microsoft ADCS und Authenticode	Dienste für Windows-PKI und Codesignatur
Oracle TDE und SQL Server	Schlüssel für die Verschlüsselung von Datenbanken
Luna Key Broker for Microsoft DKE	Schlüsselvermittlung für Double Key Encryption
Hybrid Luna HSM	Verbindung von Cloud-Dienst und eigenem Gerät

Bauformen: Cloud-Dienst
Betrieb: Cloud-Dienst von Thales, Hybrid mit eigenen Luna-Geräten

Zertifizierungen

Hardware nach FIPS 140-2 Level 3

Merkmale

Weitere Dienste für CyberArk, Hyperledger und PKI-Schlüssel
Luna HSM Backup sichert Schlüssel aus dem Dienst
CipherTrust Key Management Services im selben Marktplatz
payShield Cloud HSM als gehostetes Gerät für Azure, AWS und Google Cloud

Herstellerangaben

Serie 05

payShield 10K

Das payShield 10K verarbeitet PIN, Kartenschlüssel und Transaktionen bei Emittenten, Acquirern und Netzbetreibern und trägt die Zulassung PCI HSM v3. Thales nennt für das Gerät weder eine Prüfung nach FIPS 140-3 noch Post-Quanten-Verfahren.

Modelle

payShield 10K: Modelle
PS10-S	Zwei Host-Anschlüsse mit 1 Gbit
PS10-D	Host-Anschlüsse mit 10 Gbit
PS10-F	Anschluss über FICON

Bauformen: 1U-Appliance
Betrieb: Eigenes Rechenzentrum, payShield Cloud HSM als gehostetes Gerät

Zertifizierungen

FIPS 140-2 Level 3 für den TASP
PCI HSM v3 einschließlich RAP
PCI HSM v3 KLD für das Trusted Management Device
AusPayNet, CB HSM, GBIC und Bancontact

Merkmale

Leistung je Lizenz: 25, 60, 250, 1.000, 2.500 oder 10.000 Vorgänge pro Sekunde
Leistungsstufe später per Lizenz erweiterbar
Bis zu 20 LMK-Partitionen für getrennte Schlüsselsätze
Verwaltung über payShield Manager und payShield Monitor
Schlüsselladen über das Trusted Management Device

Herstellerangaben

Serie 06

ProtectServer 3

ProtectServer 3 richtet sich an Teams, die eigene Logik im Gerät ausführen wollen, denn Funktionsmodule laufen innerhalb der Sicherheitsgrenze. Die Geräte tragen FIPS 140-2 Level 3, die Prüfung nach FIPS 140-3 Level 3 läuft mit der Firmware 7.03.03 seit September 2025.

Modelle

ProtectServer 3: Modelle
ProtectServer 3+ External	1U, zwei Netzteile, vier Gigabit-Anschlüsse
ProtectServer 3 External	Kompaktes Gehäuse für kleinere Umgebungen
ProtectServer 3 PCIe	Leistungsstufen PL25, PL220 und PL3500

Bauformen: 1U-Appliance, Kompaktes Tischgerät, PCIe-Karte
Betrieb: Eigenes Rechenzentrum, Anwendungsserver mit PCIe-Karte

Zertifizierungen

FIPS 140-2 Level 3
FIPS 140-3 Level 3 im Verfahren, Firmware 7.03.03 seit September 2025

Merkmale

Funktionsmodule führen eigenen Code innerhalb der Sicherheitsgrenze aus
Emulator in Software für Entwicklung und Test
Zwei Netzteile und vier Gigabit-Anschlüsse beim ProtectServer 3+ External

Herstellerangaben

So finden Sie die passende Linie

Vier Fragen führen bei Thales zur Entscheidung: der geforderte Nachweis, die Last mit der Zahl der Partitionen, die Art der Anwendung und das Betriebsmodell. Wir prüfen die vier Punkte gemeinsam und begründen die Wahl schriftlich.

01

Zertifikat heute oder Plattform von morgen

Luna 7 trägt FIPS 140-3 Level 3 und Common Criteria EAL4+ und passt damit in Ausschreibungen mit Nachweispflicht. Bei Luna 8 laufen diese Verfahren noch, dafür bringt die Plattform mehr Container und die neuen Post-Quanten-Verfahren mit.

02

Last und Partitionen

Das Luna 7 Network HSM reicht von 1.000 bis 10.000 RSA-2048-Operationen pro Sekunde und von 5 bis 100 Partitionen. Luna 8 zählt anders: bis zu 15 Container je Gerät, jeder Container mit bis zu 10 Partitionen.

03

Anwendung oder Zahlungsverkehr

PIN-Verarbeitung und Kartenschlüssel verlangen das payShield 10K mit der Zulassung PCI HSM v3. PKI, Code Signing und Datenbanken laufen auf Luna, eigene Logik im Gerät gehört auf ProtectServer 3.

04

Betriebsmodell

Sie betreiben die Geräte selbst, geben den Betrieb an uns oder buchen Luna Cloud HSM und payShield Cloud HSM als Dienst. Die gesamte Lösung läuft in deutschen Rechenzentren.

Was wir rund um Thales übernehmen

Um das Gerät herum liegt die eigentliche Arbeit: Auswahl, Anbindung der Anwendungen, Schlüsselzeremonie, Überwachung und Betrieb. Ein Team begleitet Sie von der Beratung bis zum Betrieb.

HSM Consulting und Integration
Wir vergleichen die Luna-Stufen anhand Ihrer Last, richten die Partitionen ein und verbinden Ihre Anwendungen über den Luna HSM Universal Client. Die Schlüsselzeremonie protokollieren wir für die Revision.
Wir vergleichen die Luna-Stufen anhand Ihrer Last. Wir richten die Partitionen ein. Wir verbinden Ihre Anwendungen über den Luna HSM Universal Client. Die Schlüsselzeremonie protokollieren wir für die Revision.
HSM & Schlüsselmanagement
PQC Readiness
Wir erfassen, welche Anwendungen auf RSA und ECC beruhen, denn Quantenrechner können beide Verfahren brechen, und planen den Wechsel auf ML-KEM und ML-DSA. Bei Luna 7 liefert die Firmware 7.9 diese Verfahren, bei Luna 8 gehören sie zur Plattform.
Wir erfassen Ihre Anwendungen mit RSA und ECC. Quantenrechner können beide Verfahren brechen. Wir planen den Wechsel auf ML-KEM und ML-DSA. Bei Luna 7 liefert die Firmware 7.9 diese Verfahren. Bei Luna 8 gehören sie zur Plattform.
Post-Quanten-Kryptografie
Cloud
Wir wählen die passenden Dienste auf Data Protection on Demand aus, verbinden sie mit Ihren Anwendungen und halten Schlüssel über Hybrid Luna auch im eigenen Rechenzentrum. payShield Cloud HSM lässt sich mit Azure, AWS und Google Cloud betreiben.
Wir wählen die passenden Dienste auf Data Protection on Demand aus. Wir verbinden sie mit Ihren Anwendungen. Mit Hybrid Luna halten Sie Schlüssel auch im eigenen Rechenzentrum. payShield Cloud HSM läuft mit Azure, AWS und Google Cloud.
Cloud

Normen und Nachweise

Fünf Vorgaben entscheiden bei Thales über Auswahl und Unterlagen. Wir ordnen jeder Vorgabe die Linie zu, die sie heute trägt, und nennen die Verfahren, die noch laufen.

Vorgabe / Verlangt / OTOKO® liefert
Vorgabe	Verlangt	OTOKO® liefert
FIPS 140-3	Geprüfte Kryptomodule mit definierter physischer Schutzstufe	Luna 7 mit Level 3 und NIST-Zertifikat 4684, Luna 8 und ProtectServer 3 im Verfahren
Common Criteria EN 419 221-5	Geprüftes Signaturmodul für Vertrauensdienste	Luna 7 als Netzwerkgerät und PCIe-Karte mit EAL4+, Luna 8 im Verfahren
eIDAS	Qualifizierte Signaturerstellungseinheit beim Vertrauensdiensteanbieter	Luna 7 ist als QSCD gelistet, die QSCD-Prüfung für eIDAS 2 läuft bei Luna 8
PCI HSM	Geprüfte Hardware für PIN und Kartenschlüssel	payShield 10K nach v3 mit RAP, dazu die KLD-Prüfung des Trusted Management Device
Nationale Kartenfreigaben	Freigaben der nationalen Zahlungssysteme	payShield 10K mit AusPayNet, CB HSM, GBIC und Bancontact, Herstellerangabe ohne Prüfnummer

Häufige Fragen zu Thales

Passende Themen

Leistungen

Branchen

Weitere Hersteller

Menü

Thales HSM: Luna und payShield im Betrieb

Thales im Profil

Die Serien im Detail

Luna 8 Network HSM

Luna 7 Network HSM

Luna 7 PCIe HSM und USB HSM

Luna Cloud HSM auf Data Protection on Demand

payShield 10K

ProtectServer 3

So finden Sie die passende Linie

Was wir rund um Thales übernehmen

Normen und Nachweise

Häufige Fragen zu Thales

Passende Themen

Sie möchten mehr erfahren über

Thales

Unsere Kunden

Unsere Partner