Hardware-Sicherheitsmodul (HSM)
Kryptografische Verfahren sind das Rückgrat moderner IT-Sicherheit. Doch wie lassen sich Schlüssel, Zertifikate und sensible Daten zuverlässig schützen? Die Antwort lautet: mit einem Hardware-Sicherheitsmodul (HSM).
Ein Hardware-Sicherheitsmodul ist ein speziell entwickeltes Gerät, das kryptografische Schlüssel generiert, verwaltet und schützt. Anders als Softwarelösungen, die anfällig für Manipulation und Angriffe sein können, bietet ein HSM physisch abgesicherte Umgebungen, in denen vertrauliche Daten sicher verarbeitet werden.
- 4
- Arten von Hardware-Sicherheitsmodulen: HSM, Smartcard, Sicherheitschip und TPM[4]
- 7
- typische Anwendungsfälle, von PKI bis Authentifizierung[3]
- 4
- Ziele der Kryptografie: Vertraulichkeit, Integrität, Authentizität, Verbindlichkeit[2]
- 4
- Bauformen bei HSMs: PCIe-Karte, Appliance, USB und Cloud[1]
Stand 09.11.2026, gezählt nach den Angaben im Ratgeber. Die Ziffern in eckigen Klammern verweisen auf die Quellen am Seitenende.
Akuter Angriff? Diese Seite ersetzt keine Notfallhilfe.
Vier Arten von Hardware-Sicherheitsmodulen
Sie unterscheiden sich vor allem in Einsatzbereich, kryptografischer Funktionalität und Leistungsfähigkeit.[4]
High-Level-Sicherheitsmodule (HSMs)
Physische Geräte mit eigenem Prozessor, eigenem Betriebssystem und geschütztem Schlüsselspeicher, oft mit Hardware-Beschleuniger. Sie unterstützen meist mehrere Algorithmen und sind als PCIe-Steckkarte, 19-Zoll-Appliance oder USB-HSM erhältlich.[4]
Smartcards
Kunststoffkarten mit integriertem Sicherheitschip, meist durch eine PIN geschützt und einer Person zugeordnet. Bekannte Formen sind Bankkarten, elektronische Personalausweise und Mitarbeiterausweise.[4]
Sicherheitschips
Sie stecken nicht nur in Smartcards, sondern auch in Reisepässen, Stromzählern und Fahrzeugen. Funktionsumfang und Leistung hängen stark vom Anwendungsfall ab.[4]
Trusted Platform Modules (TPMs)
Sicherheitschips für Computer und Smartphones. Sie speichern zum Beispiel Passwörter, Zertifikate und Schlüssel sicher, sind aber in Funktionalität und Leistung begrenzt.[4]
Aufgaben: Schlüssel erzeugen, schützen und nutzen
Ein Hardware-Sicherheitsmodul übernimmt die sensibelsten Teile kryptografischer Prozesse: Schlüssel generieren, sicher aufbewahren, verwalten und anwenden, vor allem beim Ver- und Entschlüsseln und beim digitalen Signieren.[2]
Ziele der Kryptografie
Vertraulichkeit, Integrität, Authentizität und Verbindlichkeit lassen sich nur erreichen, wenn die zugrunde liegenden Schlüssel geheim bleiben und nur Berechtigten zur Verfügung stehen.[2]
Schlüssel nutzen, ohne sie zu kennen
Sicherheitsrelevante Operationen wie Verschlüsseln, Signieren oder das Erzeugen von Zufallszahlen und Schlüsseln laufen direkt im geschützten Modul ab. Geheime Schlüssel werden verwendet, ohne dass sie das Modul verlassen.[1]
Hohe Schlüsselqualität
Je nach Ausführung bringen die Module Zufallszahlengeneratoren mit hoher Entropie mit. Dadurch sind die erzeugten Schlüssel nicht vorhersehbar.[2]
Mehr als nur Schlüssel
Geschützt werden können auch Programme, die nicht kopiert oder verändert werden sollen, sowie Daten mit besonderem Wert, etwa Transaktionsdaten oder Coins.[1]
Typische Anwendungsfälle
Hardware-Sicherheitsmodule kommen überall dort zum Einsatz, wo Schlüsselmaterial nicht in Software, sondern in einer geschützten Hardware-Umgebung erzeugt, gespeichert und verwaltet werden soll.[3]
Public Key Infrastructure (PKI)
Eine PKI stellt digitale Zertifikate für Benutzer, Geräte und Anwendungen aus.[3]
Rolle des HSM: Zertifikate signieren und bei Bedarf die Schlüssel für Benutzer, Geräte oder Anwendungen erzeugen.
Dateiverschlüsselung
Daten werden in verschlüsselten Text umgewandelt und lassen sich nur mit dem passenden Schlüssel wieder lesen.[3]
Rolle des HSM: den Dokumentenschlüssel sicher speichern sowie Dokumente ver- und entschlüsseln.
Digitale Signaturen
Sie belegen die Identität des Absenders und die Unversehrtheit der Daten, etwa bei Verträgen, Urkunden oder Zahlungen.[3]
Rolle des HSM: Signaturschlüsselpaar erzeugen, den privaten Schlüssel sicher verwahren und die Daten signieren.
Code Signing
Software und Firmware werden digital signiert. Vor einem Update wird geprüft, ob der Code unverändert ist und woher er stammt.[3]
Rolle des HSM: Schlüsselpaar erzeugen, privaten Schlüssel verwahren und die Code-Signatur erstellen.
Key Injection
Kryptografische Schlüssel werden sicher in Geräte oder Chips eingebracht, zum Beispiel zur eindeutigen Identifikation.[3]
Rolle des HSM: Schlüssel erzeugen, geräte- oder chipspezifische Schlüssel aus einem Master Key ableiten und Personalisierungsdaten aufbereiten.
Absicherung von Transaktionsdaten
Etwa bei Kartenzahlungen am Terminal, Online-Einkäufen, Mautabrechnung oder Zählerablesung. Kleine Module sichern die Daten dezentral, zentrale HSMs entschlüsseln und prüfen sie im Rechenzentrum.[3]
Rolle des HSM: Schlüssel verwahren, Daten ver- und entschlüsseln sowie signieren und prüfen.
Authentifizierung
Anmeldung mit dem elektronischen Personalausweis, dem Firmenausweis oder des Smartphones am Mobilfunknetz.[3]
Rolle des HSM: Schlüssel verwahren sowie Anmeldedaten signieren und prüfen, die eigentliche Prüfung übernehmen zentrale HSMs.
Standards, Schnittstellen und Algorithmen
Diese Merkmale stehen im Ratgeber des Marktplatzes als Filter für die Anbietersuche zur Verfügung.[1]
Zertifizierungen
- FIPS 140-2 / 140-3 (Level 2, 3 und 4)
- Common Criteria (EAL4+ und EAL5+)
- BSI-Zulassung für Verschlusssachen (VS-NfD)
- PCI HSM
- eIDAS-Konformität
Schnittstellen
- PKCS #11
- Java Cryptography Extension (JCE)
- Microsoft CNG und SQLEKM
- KMIP und REST API
- OpenSSL Engine
Algorithmen
- RSA, ECC und AES
- Post-Quantum-Kryptografie
- Krypto-Agilität
- True Random Generator
Mehr dazu im Ratgeber: Zertifizierungen, Schnittstellen, High-Level-Sicherheitsmodul, Smartcard und Trusted Platform Module.
Fragen und Antworten
Was ist ein Hardware-Sicherheitsmodul?
Ein HSM ist ein spezialisiertes Gerät, das kryptografische Schlüssel erzeugt, speichert und vor unbefugtem Zugriff schützt. Es ist physisch gehärtet und nach strengen Sicherheitsstandards zertifiziert.
Wofür werden HSMs eingesetzt?
Typische Einsatzfelder sind digitale Signaturen, Zertifikatsverwaltung, Absicherung von Zahlungsprozessen, Verschlüsselung in Cloud-Umgebungen und Schutz kritischer Infrastrukturen.
Welche Vorteile bietet ein Hardware-Sicherheitsmodul gegenüber Softwarelösungen?
HSMs sind manipulationssicher, erfüllen internationale Standards wie FIPS 140-2 oder Common Criteria und bieten eine höhere Sicherheit gegen Angriffe. Zudem lassen sie sich in komplexe IT-Infrastrukturen integrieren.
Welche Rolle spielen HSMs in der IT-Sicherheitsstrategie?
Sie stellen sicher, dass sensible Schlüsselmaterialien nicht kompromittiert werden. Damit bilden sie das Fundament für Vertrauen in digitale Prozesse, insbesondere im E-Commerce, in der Finanzwelt und in Behörden.
Sind Hardware-Sicherheitsmodule nur für große Unternehmen interessant?
Nein. Auch kleinere Organisationen profitieren von HSMs, wenn sie kritische Daten schützen oder regulatorische Anforderungen erfüllen müssen. Viele Anbieter stellen skalierbare Lösungen zur Verfügung.
Welche Arten von Hardware-Sicherheitsmodulen gibt es?
Grundsätzlich werden vier Arten unterschieden: High-Level-Sicherheitsmodule (HSMs), Smartcards, Sicherheitschips und Trusted Platform Modules (TPMs). Sie unterscheiden sich vor allem in Einsatzbereich, kryptografischer Funktionalität und Leistungsfähigkeit.[4]
Was unterscheidet ein HSM von einer Smartcard oder einem TPM?
Ein HSM ist ein physisches Gerät mit eigenem Prozessor, Betriebssystem und geschütztem Schlüsselspeicher und unterstützt meist mehrere Algorithmen. Smartcards und TPMs sind kleine Sicherheitschips, deren Funktionalität und Leistung begrenzt sind.[4]
Wie schützen Hardware-Sicherheitsmodule Schlüssel?
Sie speichern Schlüssel in geschützten Hardwarebereichen und führen kryptografische Operationen direkt im Modul aus. Geheime Schlüssel können so benutzt werden, ohne dass sie das Modul verlassen oder bekannt sind.[2]
Was ist Key Injection?
Key Injection bezeichnet das sichere Einbringen kryptografischer Schlüssel in Geräte oder Chips. Ein HSM kann dabei Schlüssel erzeugen, geräte- oder chipspezifische Schlüssel aus einem Master Key ableiten und die Personalisierungsdaten aufbereiten.[3]
Welche Rolle spielen HSMs beim Code Signing?
Ein HSM erzeugt das Signaturschlüsselpaar, verwahrt den privaten Schlüssel sicher und erstellt die Code-Signatur. Bei einem Software- oder Firmware-Update wird anhand dieser Signatur geprüft, ob der Code unverändert ist.[3]
Über welche Schnittstellen lassen sich HSMs anbinden?
Zu den gängigen Schnittstellen gehören PKCS #11, die Java Cryptography Extension (JCE), Microsoft CNG und SQLEKM, KMIP, REST-APIs und die OpenSSL Engine.[1]
Welche Zertifizierungen und Standards sind für HSMs relevant?
Genannt werden unter anderem FIPS 140-2 und 140-3 (Level 2 bis 4), Common Criteria (EAL4+ und EAL5+), die BSI-Zulassung für Verschlusssachen, PCI HSM und die eIDAS-Konformität.[1]
Wie finde ich passende Anbieter für Hardware-Sicherheitsmodule?
Die interaktive Liste im Ratgeber des Marktplatzes IT-Sicherheit lässt sich nach Art des Moduls, Schnittstellen, Algorithmen, Zertifizierungen, Anwendungsbereichen und Bezahlmodell (Kauf, Miete, Abo, Pay-per-use) filtern.[1]
Ihre Frage ist nicht dabei? Schreiben Sie dem Support oder nutzen Sie den Ratgeber.
Fragen zu Anbietern und Lösungen
Hubert Martens
Vertrieb, Marktplatz IT-Sicherheit
Er ist Ansprechpartner für Partnerschaften und für Anbieter, die ihre Hardware-Sicherheitsmodule im Anbieterverzeichnis des Marktplatzes sichtbar machen möchten.[6]
martens@it-sicherheit.deFragen zur Nutzung und zum Konto: Support montags bis freitags von 9 bis 17 Uhr[6], marktplatz@it-sicherheit.de
Mehr als eine Landingpage
Das Thema gehört zum Marktplatz IT-Sicherheit, den Prof. Norbert Pohlmann mit dem if(is) aufgebaut hat. Dort finden Sie zusätzlich Anbieterverzeichnis, interaktive Listen, den KI-Assistenten Sia und eine kostenlose Awareness-Schulung.[6]
Marktplatz IT-Sicherheit, Institut für Internet-Sicherheit if(is), Westfälische Hochschule, Neidenburger Straße 43, 45897 Gelsenkirchen, Telefon +49 (0) 241 / 53809288[5][7]
Weitere Informationen zu Hardware-Sicherheitsmodulen
Das Hardware-Sicherheitsmodul ist der sichere Tresor der digitalen Welt.
Das Hardware-Sicherheitsmodul ist mehr als nur ein Gerät. Ohne HSMs wären viele Prozesse, die wir täglich nutzen, vom Online-Banking bis zur elektronischen Signatur, nicht vertrauenswürdig.
Weitere Projekte
- Marktplatz IT-Sicherheit die Plattform für IT-Sicherheit
- Cyber-Sicherheit offeriert umfassendes Know-how zur Cyber-Sicherheit (Prof. Norbert Pohlmann)
- Security Awareness ist eine Selbstlernakademie für mehr Cyber-Sicherheit
- Trust Media hilft, das Vertrauen in digitale Medien zu stärken
- Internet-Sicherheit bietet eine Übersicht zum Institut für Internet-Sicherheit
Weitere Plattformen des Instituts für Internet-Sicherheit if(is)
Quellen und Stand
Die Angaben auf dieser Seite stammen von it-sicherheit.de und marktplatz-it-sicherheit.de. Maßgeblich ist jeweils die verlinkte Seite.
- Hardware-Sicherheitsmodule: Ratgeber, Definition, Filter und Anbieterliste
- Aufgaben und Funktionen: Ziele der Kryptografie, Schlüsselschutz
- Anwendungsbeispiele: PKI, Signaturen, Code Signing, Key Injection
- Prinzipielle Arten: HSM, Smartcard, Sicherheitschip, TPM
- Impressum: Betreiber und Anschrift
- Marktplatz IT-Sicherheit für Anbieter: Ansprechpartner, Support-Zeiten, Angebote
- Kontakt: Kontaktmöglichkeiten des Marktplatzes