Hardware-Sicherheitsmodul (HSM & TPM 2.0)

Ein Hardware-Sicherheitsmodul (Hardware Security Module, HSM) ist ein physisch geschütztes Kryptografie-Gerät – verfügbar als kompaktes USB-Modul (z. B. Nitrokey HSM), PCIe-Steckkarte oder 19-Zoll-Netzwerkgerät –, das speziell für die sichere Erzeugung und Verwahrung kryptografischer Schlüssel entwickelt wurde. Auf Server- und Laptop-Mainboards übernimmt das fest verlötete Trusted Platform Module (TPM 2.0) eine ähnliche Aufgabe für die Festplattenverschlüsselung und die Überprüfung des Systemstarts.

Das zentrale Konstruktionsprinzip eines HSM: Private Hauptschlüssel (Private Keys) verlassen den geschützten Chip niemals im Klartext. Soll ein Dokument signiert oder ein Datenblock entschlüsselt werden, schickt der Server die Anfrage über eine standardisierte Schnittstelle (wie PKCS#11) an das HSM, das die Berechnung im eigenen Krypto-Prozessor ausführt.

Warum Software-Schlüssel im normalen Arbeitsspeicher ein leichtes Angriffsziel sind

Werden private Zertifikatsschlüssel oder die Master-Keys einer Datenbank als normale Datei auf der Festplatte gespeichert und zur Nutzung in den Hauptspeicher (RAM) des Servers geladen, kann ein Angreifer mit Administratorrechten diese Schlüssel binnen Sekunden kopieren und dauerhaft außer Haus entwenden.

Mit einem HSM ist ein solcher Diebstahl des Schlüsselmaterials technisch ausgeschlossen: Selbst bei einem Einbruch in das Betriebssystem kann der Schlüssel nicht exportiert werden; bei physischen Manipulationsversuchen am Gehäuse löscht das Modul den internen Speicher automatisch.

Der häufigste Betriebsfehler: Kein Mehr-Augen-Prinzip beim HSM-Backup

Ein HSM schützt nur dann zuverlässig, wenn auch die Wiederherstellungskarten (Smartcards für das Schlüssel-Backup bei einem Hardware-Defekt) sauber verwaltet werden. Liegen das HSM und die zugehörige Backup-Smartcard samt PIN im selben Serverschrank oder in der Hand eines einzelnen Administrators, entsteht ein hohes Ausfall- und Missbrauchsrisiko.

Für produktive Systeme empfiehlt sich daher immer ein sogenanntes M-aus-N-Treuhänderverfahren, bei dem mehrere Berechtigte ihre Karten gemeinsam einstecken müssen, um ein neues Ersatz-HSM freizuschalten.

3 Schritte für den sinnvollen Einsatz im eigenen Rechenzentrum

• Zertifizierungsstelle (PKI) und Tresor-Hauptschlüssel auf HSMs auslagern: Sichern Sie den Root-Schlüssel Ihrer internen Unternehmens-Zertifizierungsstelle sowie die Master-Schlüssel Ihres Passwort- und Key-Managers (z. B. OpenBao / Vault) über ein dediziertes Hardware-Modul ab.
• Mehr-Augen-Prinzip für Backup-Smartcards einrichten: Verteilen Sie die Wiederherstellungskarten auf mindestens drei bis vier Vertrauenspersonen im Unternehmen, von denen für eine Wiederherstellung mindestens zwei gemeinsam anwesend sein müssen.
• TPM 2.0 für die Festplattenverschlüsselung aller Server nutzen: Aktivieren Sie auf Ihren Virtualisierungs- und Backup-Servern die automatische LUKS-Festplattenverschlüsselung mit Anbindung an das integrierte TPM-2.0-Modul.