Zertifizierungen von Hardware-Sicherheitsmodulen

Hardware-Sicherheitsmodule müssen hohe Sicherheitsanforderungen erfüllen, bevor sie in bestimmten Märkten und Anwendungsbereichen eingesetzt werden dürfen. Zu den wichtigsten Zertifizierungen und Zulassungen gehören:

FIPS 140-2 / FIPS 140-3

Eine der wichtigsten Zertifizierungen für Hardware-Sicherheitsmodule ist FIPS 140-2. Der Standard wurde von der US-Behörde National Institute of Standards and Technology (NIST) herausgegeben und vom Cryptographic Module Validation Program (CMVP) validiert. Er legt Mindestanforderungen an kryptografische Module fest, die beispielsweise von US-Regierungsbehörden eingesetzt werden. Gleichzeitig wird FIPS 140-2 seit vielen Jahren auch weltweit von Unternehmen und Organisationen gefordert.

FIPS 140-2 unterscheidet zwischen vier Sicherheitsstufen (Level 1 bis Level 4). Dabei steht Level 1 für das niedrigste und Level 4 für das höchste Sicherheitsniveau. Der Standard wurde vor einigen Jahren grundlegend überarbeitet und als FIPS 140-3 neu veröffentlicht. Die überarbeitete Version orientiert sich unter anderem an internationalen Standards wie ISO/IEC 19790:2012 und stellt höhere Anforderungen als der Vorgänger. Auch FIPS 140-3 unterscheidet vier Sicherheitslevel.

Seit dem 1. April 2022 werden neue Produktzertifizierungen nur noch nach FIPS 140-3 durchgeführt. Bereits bestehende FIPS 140-2 Zertifikate bleiben noch bis maximal September 2026 gültig. Bei Hardware-Sicherheitsmodulen wird in der Regel mindestens die Sicherheitsstufe Level 3 gefordert.

Common Criteria

Die Common Criteria for Information Technology Security Evaluation (CC) sind international anerkannte Standards zur Prüfung und Bewertung der Sicherheit von IT-Produkten. Sie legen sogenannte Evaluation Assurance Level (EAL) fest, die das Vertrauensniveau eines Produkts in sieben Stufen von EAL1 bis EAL7 beschreiben.

Die Zertifizierung erfolgt durch akkreditierte Prüfstellen. In Deutschland ist beispielsweise das Bundesamt für Sicherheit in der Informationstechnik (BSI) dafür zuständig. Für Hardware-Sicherheitsmodule wird üblicherweise eine Prüftiefe von EAL4 oder höher gefordert.

BSI-Zulassungen für die Verarbeitung von Verschlusssachen

Für sicherheitskritische Anwendungen im deutschen Behördenumfeld bietet das BSI spezielle Zulassungsverfahren für IT-Produkte an. Dabei wird geprüft, ob sich die Produkte für die sichere Verarbeitung von Verschlusssachen, also geheimhaltungsbedürftigen Informationen, eignen.

Eine entsprechende BSI-Zulassung ist Voraussetzung für den Einsatz solcher Produkte in Bundes- und Landesbehörden sowie in Unternehmen mit Geheimschutzpflichten, wenn diese eingestufte Informationen speichern, verarbeiten oder übertragen. Vergleichbare Zulassungen für die Verarbeitung eingestufter Informationen gibt es auch auf Ebene der EU und der NATO.

Zertifizierungen für den digitalen Zahlungsverkehr

Daneben gibt es verschiedene weltweite und regionale Zertifizierungen für HSMs, die bei der Verarbeitung von Zahlungstransaktionen eingesetzt werden. Dazu gehören beispielsweise PCI-HSM der Payment Card Industry und die DK-Zertifizierung der Deutschen Kreditwirtschaft.