HSM (Hardware Security Module)
Definition
HSM-Zertifizierungen: Um gemäß der Verordnung eIDAS qualifiziert zu sein, muss ein HSM strenge Standards erfüllen – FIPS 140-2 Level 3 oder FIPS 140-3 Level 3+ (US-Standard des NIST) und/oder Common Criteria EAL4+ (europäischer Standard). HSMs mit Common Criteria-Zertifizierung sind berechtigt, Schlüssel für qualifizierte Signatur (QES) und Schlüssel für qualifizierten Zeitstempel zu hosten. Die europäische Vertrauensliste (EU Trusted List) führt die für jeden qualifizierten Anbieter autorisierten HSMs auf.
Cloud-HSM vs. physisches HSM: Historisch waren HSMs spezialisierte Appliances, die in privaten Rechenzentren installiert wurden. Cloud-Provider bieten jetzt gemeinsam genutzte oder dedizierte HSMs als SaaS an – AWS CloudHSM, Azure Dedicated HSM, Google Cloud HSM, aber auch nationale HSMs, die von europäischen QTSP betrieben werden. Die Verordnung eIDAS 2.0 erkennt Cloud-HSMs ausdrücklich für qualifizierte Fernsignatur an.
HSM und Verschlüsselung ("HSM-Verschlüsselung"): Über die Signatur hinaus schützen HSMs Verschlüsselungsschlüssel für Datenbanken, Festplattenverschlüsselungsschlüssel (BitLocker, FileVault, LUKS), Root-Schlüssel für interne PKI und Anwendungsgeheimnisse. Schlüsselrotation, Sicherung und Widerruf werden über PKCS#11 oder proprietäre Schnittstellen verwaltet.
Implementierung bei Certyneo: Die kryptographischen Schlüssel für Fernsignatur werden in HSMs mit Common Criteria EAL4+-Zertifizierung gehostet, die von unserem qualifizierten Vertrauensdienst-Anbieter (QTSP) betrieben werden. Kein privater Schlüssel ist jemals für Certyneo oder seinen Hoster zugänglich – jede Signaturoperation läuft durch starke Authentifizierung des Unterzeichners und einen API-Aufruf zum HSM, der die Signatur zurückgibt, ohne den Schlüssel freizulegen. Siehe auch QSCD und Cloud-Signatur.
Häufig gestellte Fragen
Was ist ein HSM (Hardware Security Module)?
Ein HSM ist ein spezialisiertes und tamper-proof Hardwaregerät, das kryptographische Schlüssel innerhalb zertifizierter Hardware generiert, speichert und nutzt. Private Schlüssel verlassen das Modul niemals im Klartext, weshalb HSMs die Vertrauensbasis für qualifizierte elektronische Signaturen und Siegel bilden.
Wofür wird ein HSM benötigt?
Innerhalb einer Signaturplattform hostet das HSM die Signaturschlüssel und führt die kryptographische Operation selbst durch: Das Schlüsselmaterial wird dem Anwendungsserver niemals freigegeben. HSMs dienen auch zum Schutz von TLS-Schlüsseln, PKI-Zertifizierungsstellen, Zahlungen und zur Datenbankenverschlüsselung.
Was ist der Unterschied zwischen einem HSM und einer Softwarespeicherung von Schlüsseln?
Ein Softwareschlüsselspeicher bewahrt Schlüssel im RAM oder auf der Festplatte eines Servers auf, wo eine einzelne Kompromittierung ermöglicht, sie zu kopieren. Ein HSM bewahrt Schlüssel in tamper-proof zertifizierter Hardware (FIPS 140-2/3, Common Criteria EAL4+) auf und legt nur Signatur- oder Entschlüsselungsoperationen offen, niemals die Schlüssel selbst.
Ist ein HSM für eine qualifizierte elektronische Signatur (eIDAS) erforderlich?
Ja. Nach der eIDAS-Verordnung muss eine qualifizierte elektronische Signatur mit einem qualifizierten Signaturerstellungsgerät (QSCD) erstellt werden. In der Praxis ist dieses QSCD ein zertifiziertes HSM, das vom qualifizierten Vertrauensdiensteanbieter betrieben wird und den Schlüssel des Unterzeichners auf dem höchsten durch die Verordnung geforderten Niveau schützt.
Was ist ein Cloud-HSM?
Ein Cloud-HSM ist ein zertifiziertes Hardwaremodul, das als verwalteter Service bereitgestellt wird: Die Organisation profitiert vom Schutz von Schlüsseln auf HSM-Niveau, ohne die Hardware selbst zu betreiben. Die qualifizierte Fernvollmacht stützt sich auf Cloud-HSMs, die vom Vertrauensdienstleister gehalten werden.
Zugehörige Leitfäden
Verwandte Begriffe
Bereit, diese Konzepte in die Praxis umzusetzen?
Mit Certyneo erstellen Sie eIDAS-konforme Signatur-Umschläge in wenigen Klicks, ohne Installation.