Der Begriff Hardware-Sicherheitsmodul oder englisch Hardware Security Module (HSM) bezeichnet ein internes oder externes Peripheriegerät für die effiziente und sichere Ausführung kryptographischer Operationen oder Applikationen. Dies ermöglicht zum Beispiel, die Vertrauenswürdigkeit und die Integrität von Daten und den damit verbundenen Informationen in geschäftskritischen IT-Systemen sicherzustellen. Um die Vertrauenswürdigkeit zu gewährleisten, kann es erforderlich sein, die zum Einsatz kommenden kryptographischen Schlüssel sowohl softwaretechnisch als auch gegen physische Angriffe oder Seitenkanalangriffe zu schützen.

Die Vorteile von Hardware-Sicherheitsmodulen in der Übersicht:

• Bis zu mehreren tausend Transaktionen pro Sekunde
• Hohe Anzahl von Schlüsseln auf nur einem HSM
• Unterstützung aller gängigen Kryptoalgorithmen
• Flexible Einsatzmöglichkeiten durch individuelle Anpassung
• Ausfallsicherheit und Lastverteilung (High Availability, Loadsharing und Loadbalancing), skalierbare Performance
• Leistungsfähige und flexible Schlüsselverwaltung mit sicherem Backup der Schlüssel und Konfigurationsdaten
• Zugriffsschutz im Mehr-Augen-Prinzip
• Leistungsfähige Entwicklungstools
• Zertifizierung nach Sicherheitsstandards

Mögliche Einsatzgebiete eines HSM sind:

• Verschlüsselung personenbezogener Daten oder Kreditkarten-Daten in Kundendatenbanken zur Erfüllung der Anforderungen des PCI Data Security Standard (PCI DSS)
• Erzeugung von Signaturen für Zertifikate (Certification Authority)
• Kommunikation über Web-Portale von Behörden und Banken
• Erzeugung elektronischer Tickets
• Signaturen in Zeitstempeldiensten
• Erstellung von Personalisierungsdaten für die Produktion von Debit- (z. B. Maestro-Card) und Kreditkarten (z. B. MasterCard, Visa, American Express, Diners) sowie Ausweisdokumenten mit Chiptechnologie (z. B. Identitätskarten, Führerausweise, Pässe)
• Security-Prozessor in Netzwerken der Zahlungsverkehrsdienstleister
• Sichere PIN-Brieferstellung
• Transaktionssicherung in Mautsystemen
• Zeitstempeldienste
• Signaturserver
• Archivierungssysteme
• Zertifizierungsstelle (im Rahmen einer PKI)
• E-Mail-Absicherung nach S/MIME-Standard oder PGP
• E-Tickets
• etc.

Im groben wird auch unterschieden zwischen General Purpose HSM sowie Payment HSM.

In der Regel werden HSM nach Sicherheitsstandards zertifiziert, wie z. B. FIPS 140-1 und 140-2, DK (Die Deutsche Kreditwirtschaft) oder Common Criteria (CC). Speziell für HSMs, die von Zertifizierungsdiensteanbietern für die Erzeugung von digitalen Signaturen verwendet werden, wurde das CC Schutzprofil CWA 14167-2 entwickelt.

Angebotsformen sind:

• Seperate Appliances
• PCIe-Karten
• USB-Geräte (vornehmlich im MS-Umfeld einsetzbar)

Aktuelle Anbieter (Liste in alphabetischer Reihenfolge und NICHT vollständig!) sind:

• AEP
• ATOS
• Basefarm
• Cavium
• FutureX
• Hewlett Packard Enterprise
• IBM
• nCipher
• Rainbow Technologies
• Safenet
• Securosys
• Swift
• Thales
• Ultra Electronics
• Utimaco
• YubiHSM

Alle verwendete Firmen-, Markennamen und Warenzeichen sind Eigentum der jeweiligen Inhaber und dienen lediglich zur Identifikation und Beschreibung der Produkte und Dienstleistungen. Eine Haftung für Richtigkeit, Vollständigkeit und Aktualität wird nicht übernommen.