Welche Utimaco Serie ist heute nach FIPS 140-3 zertifiziert?

Die u.trust General Purpose HSM Se-Serie trägt FIPS 140-3 Level 3 mit der CMVP-Nummer 5223, gültig bis März 2031. Die CSe-Serie strebt Level 4 an und befindet sich im Verfahren, wir weisen das in Ausschreibungen getrennt aus.

Was passiert mit unseren CryptoServer Geräten?

Der CryptoServer General Purpose HSM erreicht im März 2027 sein End of Life, Nachfolger ist die u.trust Se-Serie. Wir planen die Migration entlang Ihrer Zertifikatslaufzeiten und halten beide Linien während des Übergangs parallel.

Brauchen wir für den Zahlungsverkehr ein eigenes Gerät?

Ja, PIN-Verarbeitung und Kartenschlüssel verlangen ein Payment HSM nach PCI PTS, bei Utimaco das Atalla AT1000. Allgemeine Anwendungen wie PKI und Code Signing laufen auf der Se-Serie, beide Linien lassen sich getrennt betreiben.

Können wir die Geräte in Deutschland betreiben lassen?

Ja, wir arbeiten mit Betreibern kritischer Infrastrukturen und regulierten Branchen und betreiben die Geräte in deutschen Rechenzentren. Alternativ nutzen Sie Utimaco Trust as a Service mit zwei Rechenzentren je Verfügbarkeitszone.

Utimaco HSM: Serien, Zertifikate, Integration

Utimaco im Überblick

Ein Hardware-Sicherheitsmodul erzeugt und speichert kryptografische Schlüssel in einem geprüften Gerät. Der Schlüssel verlässt diese Grenze nie im Klartext, die Anwendung ruft Signatur und Entschlüsselung über PKCS#11, CNG oder CXI ab. Utimaco deckt mit einer Plattform allgemeine Anwendungen, Zahlungsverkehr und Schlüsselverwaltung ab.

Kryptografie und Hardware-Sicherheitsmodule sind unsere Kernkompetenz. Wir kennen die Utimaco Firmware, die Container-Trennung und die Migrationspfade zwischen CryptoServer und u.trust. Als Trust as a Service Partner, Reseller, Distributor für EMEA und Trainingspartner liefern wir Technik, Lizenzen und Wissen aus einer Hand.

Linien: General Purpose, Payment, Key Management
Höchste Prüfung: FIPS 140-3 Level 3, CMVP 5223
Post-Quanten-Verfahren: ML-KEM, ML-DSA, LMS, HSS, XMSS
Betriebsformen: Appliance, PCIe-Karte, as a Service

OTOKO® und Utimaco

Bei Utimaco reicht unsere Rolle weit über den Vertrieb hinaus, wir gehören weltweit zu den größten Partnern des Herstellers. Vier Rollen bündeln wir unter einem Dach, von der Lieferung als Dienst bis zur Schulung Ihrer Leute.

01

Trust as a Service Partner

Wir liefern Utimaco Module als Dienst, mit Betrieb, Überwachung und dokumentierter Schlüsselzeremonie.

02

Value Added Reseller

Geräte und Lizenzen kommen mit Auslegung, Integration und Support, statt als reine Lieferung.

03

Value Added Distributor EMEA

Für u.trust LAN Crypt und DiskEncrypt beliefern und betreuen wir Partner in Europa, dem Nahen Osten und Afrika.

04

Exklusiver Trainingspartner

Utimaco Schulungen laufen weltweit exklusiv über uns, von der Administration bis zur Schlüsselverwaltung.

Die Serien im Detail

Serie 01

u.trust General Purpose HSM Se-Serie

Die Se-Serie ist die aktuelle Linie für allgemeine Anwendungen und der Nachfolger der CryptoServer Se-Modelle. Sie trennt bis zu 31 Mandanten in eigenen Containern und lässt sich im Feld auf Post-Quanten-Verfahren aktualisieren.

Geräteabbildung ansehen

Utimaco u.trust General Purpose HSM als Rack-Appliance — Rack-ApplianceProduktbild: Utimaco

Modelle

u.trust General Purpose HSM Se-Serie: Modelle
Se100	101 RSA-2048-Operationen pro Sekunde
Se2k	2.050 RSA-2048-Operationen pro Sekunde
Se5k	5.100 Operationen, wahlweise 8, 16 oder 31 Container
Se15k	15.000 RSA-2048-Operationen pro Sekunde
Se40k	40.000 Operationen, wahlweise 8, 16 oder 31 Container

Bauformen: LAN-Appliance, PCIe-Karte
Betrieb: Eigenes Rechenzentrum, General Purpose HSM as a Service, Anbindung an AWS, Azure und Google Cloud

Zertifizierungen

FIPS 140-3 Level 3, CMVP 5223
FIPS 140-2 Level 3
Common Criteria
PCI PTS HSM v3

Merkmale

Bis zu 31 getrennte Container, jeder mit eigenen PKCS#11-Partitionen
Quantum Protect liefert ML-KEM, ML-DSA, LMS, HSS und XMSS
Weitere Pakete für 5G, Blockchain und Double Key Encryption
Kostenloser Simulator für Tests vor der Beschaffung
Eigene Firmware über das CryptoServer SDK

Herstellerangaben

Serie 02

u.trust General Purpose HSM CSe-Serie

Die CSe-Serie ergänzt die Se-Linie um die höchste physische Schutzstufe und wurde im Oktober 2025 vorgestellt. Eine tamper-aktive Sensorfolie löscht die Schlüssel, sobald jemand das Gehäuse öffnet.

Geräteabbildung ansehen

Utimaco u.trust General Purpose HSM der CSe-Serie als PCIe-Karte — PCIe-KarteProduktbild: Utimaco

Modelle

u.trust General Purpose HSM CSe-Serie: Modelle
CSe100	101 RSA-2048-Signaturen pro Sekunde, ein Container
CSe2k	2.050 Signaturen pro Sekunde, vier Container
CSe5k	5.100 Signaturen, wahlweise 8, 16 oder 31 Container

Bauformen: LAN-Appliance, PCIe-Karte
Betrieb: Eigenes Rechenzentrum, Hosting beim Dienstleister

Zertifizierungen

FIPS 140-3 Level 4 im Verfahren
PCI PTS HSM v3

Merkmale

Tamper-aktive Sensorfolie mit sofortiger Schlüssellöschung
Bis zu 25.000 ECC-Signaturen pro Sekunde
Gleiche Post-Quanten-Verfahren wie die Se-Serie
Simulator und Anwendungspakete für eIDAS-Konfigurationen

Herstellerangaben

Serie 03

CryptoServer General Purpose HSM

Der CryptoServer trägt die Zulassungen, die im öffentlichen Sektor und bei Vertrauensdiensten heute verlangt werden, darunter Common Criteria nach EN 419 221-5, eIDAS QSCD und VS-NfD. Für Neuprojekte planen wir den Übergang auf die u.trust Se-Serie mit ein.

Geräteabbildung ansehen

Utimaco CryptoServer General Purpose HSM als PCIe-Karte — PCIe-KarteProduktbild: Utimaco

Modelle

CryptoServer General Purpose HSM: Modelle
Se12	Einstieg für kleine Signaturlasten
Se52	Mittlere Last in PKI-Umgebungen
Se500	Hohe Last für Vertrauensdienste
Se1500	Höchste Last der CryptoServer-Reihe

Bauformen: LAN-Appliance V5, PCIe-Karte
Betrieb: Eigenes Rechenzentrum, Trust as a Service
Lebenszyklus: End of Life im März 2027, Nachfolger ist die u.trust General Purpose HSM Se-Serie

Zertifizierungen

FIPS 140-2 Level 3
Common Criteria EAL4+ nach EN 419 221-5
eIDAS QSCD
VS-NfD, EU RESTRICTED, NATO RESTRICTED

Merkmale

Anwendungspaket CC eIDAS für Fernsignaturen nach EN 419 241-2
Anwendungspaket VS-NfD für eingestufte Umgebungen
Schnittstellen PKCS#11, CNG und CXI
Simulator für Test und Entwicklung
Auch über Trust as a Service verfügbar

Herstellerangaben

Serie 04

Atalla AT1000 Payment HSM

Das AT1000 schützt PIN, Kartendaten und Schlüssel im Zahlungsverkehr und erfüllt die Prüfungen, die Netzbetreiber und Aufsicht dafür verlangen. Emittenten, Acquirer und Zahlungsdienstleister betreiben es im eigenen Rechenzentrum oder als Dienst.

Modelle

Atalla AT1000 Payment HSM: Modelle
AT1000	Bis zu 10.000 Transaktionen pro Sekunde
AT1000 Partitionen	Eigene Schlüssel und Administratoren je Partition

Bauformen: LAN-Appliance
Betrieb: Eigenes Rechenzentrum, Payment HSM as a Service

Zertifizierungen

FIPS 140-3 Level 3
FIPS 140-2 Level 4 physisch
PCI PTS HSM v3
PCI PIN und PCI DSS

Merkmale

Fernverwaltung für Masterkeys, Schlüsselinjektion und Firmware
Partitionierung für mehrere Mandanten auf einem Gerät
Kostenloser Simulator für Integrationstests
Auch als Payment HSM as a Service

Herstellerangaben

Serie 05

Enterprise Secure Key Manager

Der Enterprise Secure Key Manager verwaltet Schlüssel für Datenbanken, Speicher und Anwendungen über KMIP und nimmt dem HSM die Verwaltungsaufgaben ab. Er skaliert von der virtuellen Instanz bis zur Appliance mit eingebautem Hardware-Sicherheitsmodul.

Modelle

Enterprise Secure Key Manager: Modelle
ESKM L1	Virtuelle Instanz, FIPS 140-2 Level 1
ESKM L2	1U-Appliance für den Regelbetrieb
ESKM L3	1U-Appliance mit eingebautem General Purpose HSM
ESKM L4	Höchste Ausbaustufe der Reihe

Bauformen: Virtuelle Instanz, 1U-Appliance
Betrieb: Eigenes Rechenzentrum, Virtualisierung, as a Service

Zertifizierungen

Common Criteria EAL2+
FIPS 140-2 Level 1 für L1
FIPS 140-3 Level 2 im Verfahren

Merkmale

KMIP 1.0 bis 2.1 für Fremdsysteme
Mehr als zwei Millionen Schlüssel je Cluster
Unterstützung für Post-Quanten-Verfahren
Auch als Enterprise Key Manager as a Service

Herstellerangaben

So finden Sie die passende Serie

Vier Fragen entscheiden über die Wahl: die geforderte Prüfstufe, die Last in Signaturen pro Sekunde, die Schnittstellen Ihrer Anwendungen und das Betriebsmodell. Wir klären sie in einem Workshop und halten das Ergebnis in einer Entscheidungsvorlage fest.

01

Prüfstufe

FIPS 140-3 Level 3 deckt den Regelfall ab, Level 4 fordert eine aktive Sensorfolie und kommt bei Behörden und Betreibern kritischer Infrastrukturen vor. Für Vertrauensdienste zählt Common Criteria nach EN 419 221-5 statt FIPS.

02

Last und Mandanten

Die Modelle unterscheiden sich um den Faktor 400 in RSA-Operationen pro Sekunde, von 101 beim Se100 bis 40.000 beim Se40k. Wer mehrere Anwendungen trennt, wählt ein Modell mit 8, 16 oder 31 Containern.

03

Schnittstellen

Ihre Anwendungen sprechen PKCS#11, CNG oder CXI, Schlüsselverwaltungen sprechen KMIP. Wir prüfen vorab im Simulator, ob Datenbank, PKI oder Signaturdienst mit der gewählten Firmware zusammenarbeiten.

04

Betriebsmodell

Sie können die Geräte selbst betreiben, von uns betreiben lassen oder Utimaco Trust as a Service nutzen. Die gesamte Lösung läuft in deutschen Rechenzentren.

Was wir rund um Utimaco leisten

Wir liefern nicht nur das Gerät, sondern die Kette davor und danach: Auswahl, Integration, Schlüsselzeremonie, Monitoring und Betrieb. Ein Team begleitet Sie von der Beratung bis zum Betrieb.

HSM Consulting und Integration
Wir dimensionieren die Serie, richten Container und Partitionen ein, binden PKCS#11 und CNG an und dokumentieren die Schlüsselzeremonie prüffest.
Wir wählen die passende Serie und Größe. Wir richten Container und Partitionen ein. Wir binden PKCS#11 und CNG an Ihre Anwendungen an. Wir dokumentieren die Schlüsselzeremonie für Prüfer.
HSM & Schlüsselmanagement
PQC Readiness
Wir erfassen, welche Schlüssel und Protokolle auf RSA und ECC beruhen, und planen den Wechsel auf ML-KEM und ML-DSA mit der Firmware Quantum Protect.
Wir erfassen Ihre Schlüssel und Protokolle. Wir sehen nach, wo RSA und ECC im Einsatz sind. Diese Verfahren sind gegen Quantenrechner angreifbar. Wir planen den Wechsel auf ML-KEM und ML-DSA. Dafür nutzen wir die Firmware Quantum Protect.
Post-Quanten-Kryptografie
Cybersecurity
Wir überwachen die Geräte, trennen Administration und Anwendung, prüfen Rollen und Protokolle und binden die Ereignisse an Ihr SIEM an.
Wir überwachen die Geräte im Betrieb. Wir trennen Verwaltung und Anwendung. Wir prüfen Rollen und Protokolle regelmäßig. Wir leiten die Ereignisse an Ihr SIEM weiter. Ein SIEM sammelt und bewertet Sicherheitsmeldungen.
Cybersecurity

Normen und Nachweise

Diese fünf Vorgaben bestimmen bei Utimaco die Auswahl und die Dokumentation. Wir sagen Ihnen, welche Serie sie heute trägt und welcher Nachweis noch im Verfahren ist.

Vorgabe / Verlangt / OTOKO® liefert
Vorgabe	Verlangt	OTOKO® liefert
FIPS 140-3	Geprüfte Kryptomodule mit definierter physischer Schutzstufe	Se-Serie mit Level 3 und CMVP-Nummer 5223, CSe-Serie mit Level 4 im Verfahren
Common Criteria EN 419 221-5	Geprüftes Signaturmodul für Vertrauensdienste	CryptoServer mit EAL4+ und dem Anwendungspaket CC eIDAS
PCI PTS HSM	Geprüfte Hardware für PIN und Kartenschlüssel	Atalla AT1000 nach v3, dazu PCI PIN und PCI DSS
eIDAS	Qualifizierte Signaturerstellungseinheit beim Vertrauensdiensteanbieter	CryptoServer als QSCD, Fernsignatur nach EN 419 241-2
BSI VS-NfD	Freigabe für Verschlusssachen bis VS-NfD	CryptoServer mit VS-NfD-Paket, auch EU und NATO RESTRICTED

Häufige Fragen zu Utimaco

Passende Themen

Leistungen

Branchen

Weitere Hersteller

Menü

Utimaco HSM: Schlüssel in zertifizierter Hardware

Utimaco im Überblick

OTOKO® und Utimaco

Die Serien im Detail

u.trust General Purpose HSM Se-Serie

u.trust General Purpose HSM CSe-Serie

CryptoServer General Purpose HSM

Atalla AT1000 Payment HSM

Enterprise Secure Key Manager

So finden Sie die passende Serie

Was wir rund um Utimaco leisten

Normen und Nachweise

Häufige Fragen zu Utimaco

Passende Themen

Sie möchten mehr erfahren über

Utimaco

Unsere Kunden

Unsere Partner