Key Managementund HSM.
Key Management steuert kryptografische Schlüssel von der Erzeugung über Verteilung, Nutzung und Rotation bis zu Sperrung und Vernichtung. Die Plattform ist nicht selbst die Verschlüsselung. Sie entscheidet jedoch, ob kryptografischer Schutz kontrollierbar, trennbar und wiederherstellbar bleibt. Diese Seite fasst Key Management und Hardware-Sicherheitsmodule (HSM) zusammen, weil Schlüsselverwaltung und Schlüsselschutz meist gemeinsam beschafft und betrieben werden.
Marktbild: hoch und von Cloud-KMS, Enterprise-KMS, Secrets-Plattformen und HSM-Anbietern geprägt. Siebzehn Werkzeuge unterscheiden sich bei Schlüsselhoheit, Standards, Mandantentrennung und Betriebsmodell.
Ohne Lebenszyklus bleibt Kryptografie fragil.
Ein starker Algorithmus hilft nicht, wenn Schlüssel kopiert, nie rotiert, gemeinsam administriert oder beim Notfall nicht wiederhergestellt werden können. Richtlinie, technische Kontrolle und Recovery müssen denselben Lebenszyklus abbilden.
Prüfe Erzeugung, Import und Export, Rotation, Versionierung, Sperrung, Löschung, Backup, Quorum, Mandantentrennung, BYOK, HYOK, External Key Store, KMIP, PKCS#11, Cloud-Abdeckung, Audit und kryptografische Agilität.
Siebzehn Werkzeuge im Vergleich.
Der Markt teilt sich in HSM-Hersteller mit Appliances und eigenen Cloud-HSM-Diensten (Thales Luna, Entrust nShield, Utimaco, Securosys, Futurex), Enterprise-Key-Manager mit KMIP-Server und Cloud-Schlüsselsteuerung (Thales CipherTrust Manager, Entrust KeyControl, Fortanix, IBM Guardium Key Lifecycle Manager) und die nativen KMS- und HSM-Dienste der Hyperscaler, die BYOK und teils externe Schlüsselhaltung unterstützen. Secrets-Plattformen bieten Schlüsselverwaltung als Dienst an; HashiCorp Vault gehört seit 28.02.2025 zu IBM, als Open-Source-Alternative entstand OpenBao als Fork unter der Linux Foundation. Post-Quanten-Algorithmen (ML-KEM, ML-DSA) sind 2026 bei mehreren Herstellern und Cloud-KMS verfügbar, teils erst als Firmware-Erweiterung oder in laufender Zertifizierung. Mit Securosys (Zürich), Utimaco (Aachen) und Nitrokey (Berlin) sind Anbieter mit DACH-Bezug vertreten.
KMIP: KMIP-Server/-Client · FIPS L3: FIPS 140-3 Level 3, ersatzweise 140-2 Level 3 (Stufe im Profil) · Cloud-HSM: Cloud-HSM-Dienst · BYOK/HYOK: eigene Schlüssel für Cloud · PQC: Post-Quanten-Algorithmen · Appliance: On-Prem-Appliance/Hardware · Multi-Cloud: Verwaltung über mehrere Clouds. ● = auf offizieller Hersteller- oder Projektseite beschrieben, – = nicht belegt (nicht zwingend nicht vorhanden). Auswahl nicht abschliessend, keine Rangliste. Stand: Oktober 2026.
Thales Luna HSM (Network HSM und Luna Cloud HSM)
Thales Group
Netzwerk-HSM als Appliance für PKI, Signaturen und Schlüsselschutz; Luna Cloud HSM wird über die Thales-Plattform Data Protection on Demand als Dienst angeboten.
Luna 8 unterstützt laut Thales die Post-Quanten-Verfahren ML-DSA-65 und ML-KEM-768; pro Kryptomodul bis zu 15 HSM-Instanzen, bis 30 pro Appliance.
Luna Client läuft auch im Container; Schlüsselverwaltung über mehrere Clouds liegt beim separaten CipherTrust Manager.
Für Luna 8 nennt die Produktseite FIPS 140-3 Level 3 und Common Criteria als in Prüfung (Fussnote «In Process»); das in Luna Network HSM 7 eingesetzte Kryptomodul Luna K7 ist nach FIPS 140-3 Level 3 validiert (NIST-CMVP #4684; Zuordnung laut Thales-Compliance-Seite FIPS 140-3).
HSM als Appliance und als Cloud-Dienst aus einer Produktlinie mit PQC-Unterstützung in der aktuellen Generation.
Für Luna 8 sind FIPS 140-3 und Common Criteria laut Produktseite noch in Prüfung; KMIP und Cloud-Schlüsselsteuerung erfordern zusätzliche Thales-Produkte.
Entrust nShield HSM (Connect, nShield as a Service)
Entrust Corporation
nShield Connect ist ein rackmontierbares Netzwerk-HSM; nShield as a Service stellt die Funktionen als Cloud-Dienst bereit, ergänzt um einen Cloud-Disaster-Recovery-Dienst.
Entrust nennt Unterstützung für Post-Quanten-Algorithmen nach NIST-Standards; CodeSafe erlaubt eigenen Code im HSM.
KMIP und Cloud-BYOK sind auf der Seite des HSM nicht beschrieben; dafür ist KeyControl vorgesehen.
Auf der Produktseite für Connect FIPS 140-2 Level 2 und Level 3 genannt; FIPS 140-3 dort nicht erwähnt.
Netzwerk-HSM mit Option zur Ausführung eigener Anwendungen im Modul und Dienstvariante.
Für die Connect-Modelle nur FIPS 140-2 auf der Produktseite; KMIP und Cloud-Schlüsselsteuerung nur über weitere Entrust-Produkte.
Utimaco u.trust General Purpose HSM Se-Series / CryptoServer
Utimaco GmbH
Mandantenfähiges General-Purpose-HSM mit bis zu 31 Containern; CryptoServer-Varianten für eIDAS und VS-NfD.
Die Se-Series wird als PQC-ready beschrieben; Post-Quanten-Verfahren über die Firmware-Erweiterung Quantum Protect, ohne Nennung einzelner Algorithmen auf der Seite.
KMIP wird auf der HSM-Seite nicht genannt; Utimaco führt dafür den Enterprise Secure Key Manager separat.
FIPS 140-3 Level 3 zertifiziert; die CSe-Series ist für eine Validierung nach FIPS 140-3 Level 4 ausgelegt.
Europäischer HSM-Hersteller mit eIDAS- und VS-NfD-Varianten sowie HSM als Dienst.
PQC-Algorithmen auf der Produktseite nicht einzeln genannt; KMIP und Cloud-Schlüsselsteuerung nur über weitere Produkte.
Securosys Primus HSM und CloudHSM
Securosys SA
Primus-HSM der Reihen X, E und CyberVault für On-Premises sowie CloudHSM in geo-redundanten lokalen, regionalen oder globalen Varianten; Hauptsitz Zürich.
Laut Securosys unterstützt die zertifizierte Firmware ab 3.x PQC unter CC und FIPS; laut FAQ (Primus Cyber Vault) dediziert oder hybrid einsetzbar.
APIs PKCS#11, CNG, Java und REST; der Securosys KMIP Server übersetzt KMIP-Anfragen für Primus HSM oder CloudHSM; BYOK und External Key Management als Integrationen gelistet.
FIPS 140-2 Level 3 (Firmware 2.5.14); FIPS 140-3 Level 3 für Firmware 3.1.0 in Zertifizierung; Common Criteria EAL4+ und eIDAS (EN 419221-5).
Schweizer HSM-Hersteller mit Appliance, Cloud-Dienst, PQC-fähiger Firmware und eIDAS-Zertifizierung.
FIPS 140-3 für die aktuelle Firmware noch nicht erteilt (Stand Dokumentation); BYOK-Ablauf auf der Übersichtsseite nicht beschrieben.
Futurex CryptoHub, KMES Series 3 und VirtuCrypt
Futurex
CryptoHub vereint HSM, Key Management, PKI/CA und Datenschutz; KMES Series 3 ist eine Key-Management-Appliance mit eingebautem HSM.
CryptoHub wird als PQC-ready beschrieben; einzelne Algorithmen sind auf der Seite nicht genannt.
KMES Series 3 nennt KMIP unter den unterstützten Protokollen; Futurex ist als Partner für Google Cloud External Key Manager gelistet.
Eingebettetes HSM der KMES Series 3 nach FIPS 140-2 Level 3 und PCI PTS HSM; die VirtuCrypt-Seite nennt sowohl FIPS 140-3 Level 3 als auch FIPS 140-2 Level 3.
Appliance und Cloud-Dienst aus einer Hand, mit starker Ausrichtung auf Zahlungsverkehr und Finanzbranche.
FIPS-Angaben je Produkt uneinheitlich (KMES 140-2, VirtuCrypt 140-2 und 140-3); BYOK-Zielclouds nicht konkret beschrieben.
YubiHSM 2 / YubiHSM 2 FIPS
Yubico AB
Kompaktes HSM im USB-Format für Server, etwa für CA, Code Signing und Schlüsselschutz einzelner Dienste.
Schlüssel bleiben im Modul; Yubico nennt BYOK-Funktion für Multi-Cloud-Szenarien.
Schnittstellen YubiHSM KSP, PKCS#11 und native Bibliotheken; im Netzwerk für Anwendungen anderer Server freigebbar.
Die Variante YubiHSM 2 FIPS ist nach FIPS 140-3 validiert; das Level ist auf der Produktseite nicht genannt.
Kostengünstiger Hardware-Schlüsselschutz für kleinere Dienste ohne Rack-Appliance.
Kein Netzwerk-HSM im engeren Sinn, begrenzte Kapazität; FIPS-Level auf der Produktseite nicht ausgewiesen (daher fips False).
CipherTrust Manager mit CipherTrust Cloud Key Manager
Thales Group
Zentrale Schlüssel- und Richtlinienverwaltung über hybride, Multi-Cloud-, SaaS-, Kubernetes-, VMware- und HSM-Umgebungen.
Integration mit Thales- und Fremd-HSM sowie standardbasierten KMIP-Lösungen; Steuerung von Schlüsseln in AWS KMS, Azure Key Vault und Google Cloud.
CipherTrust Cloud Key Manager unterstützt BYOK und teils HYOK für AWS, Azure (nur BYOK), Google, Salesforce, Microsoft 365 und OCI.
Thales bezeichnet den CipherTrust Manager als FIPS 140-3 Level 3 compliant (Seite Transparent Encryption).
Bündelt KMIP-Server, HSM-Anbindung und Cloud-Schlüsselsteuerung für mehrere Anbieter in einer Verwaltung.
HYOK nicht für alle Clouds; Bauform und Validierungsstand je Modell zu prüfen.
Entrust KeyControl
Entrust Corporation
KeyControl Vault for KMIP verwaltet den Lebenszyklus von Schlüsseln für KMIP-Workloads wie Virtualisierung, Backup, Datenbanken und Storage.
BYOK und HYOK: Schlüssel werden beim Kunden erzeugt und gehalten, der Cloud-Anbieter nutzt sie im Auftrag.
Genannt sind KeyControl Vault for Google Cloud Keys und Microsoft 365 Double Key Encryption; der Compliance Manager deckt On-Premises, Multi-Cloud und hybride Umgebungen ab.
Betrieb On-Premises oder als Dienst in den USA und in Europa; FIPS-Angaben auf der Produktseite nicht genannt.
KMIP-Schlüsselverwaltung und HYOK-Ansatz aus einer Produktfamilie, auch als Dienst mit Standort Europa.
Auf der Produktseite sind nur Google Cloud und Microsoft 365 als Cloud-Ziele namentlich genannt; HSM-Schutz erfordert nShield.
Fortanix Data Security Manager (KMS und HSM)
Fortanix, Inc.
Vereinheitlichte Schlüsselverwaltung über hybride und Multi-Cloud-Umgebungen, ergänzt um HSM-Funktion, Secrets Management und Code Signing.
Post-Quanten-Kryptografie und HSM-Modernisierung werden als Anwendungsfälle der Plattform geführt.
APIs REST, PKCS#11, KMIP, JCE, CAPI und CNG; BYOK, AWS KMS External Key Store (XKS) und Google External Key Manager.
Fortanix nennt FIPS 140-2 Level 3 für seine Hardware; Bereitstellung als physische oder virtuelle Appliance oder als Dienst.
KMS, HSM-Dienst und externe Schlüsselhaltung für mehrere Clouds aus einer Plattform.
FIPS-Angabe bezieht sich auf die physische Appliance; bei SaaS und virtueller Appliance ist der Schutzumfang einzeln zu klären.
IBM Guardium Key Lifecycle Manager
IBM Corporation
Zentrale Schlüsselverwaltung für verschlüsselnde Geräte und Anwendungen, etwa Storage und Oracle TDE.
Software-Kryptomodul nach FIPS 140-3 Level 1, optional mit HSM nach FIPS 140-3 Level 3.
Protokolle KMIP, IPP und REST sowie PKCS#11; Kompatibilitätsliste für HSM und KMIP-Clients.
Betrieb auf Bare-Metal-Servern, als virtuelle Maschine oder als Container; Schlüsselhoheit vollständig beim Betreiber.
Etablierter KMIP-Server für Storage- und Backup-Umgebungen mit HSM-Option.
Level 3 nur mit externem HSM; Cloud-BYOK und PQC auf der Produktseite nicht genannt.
AWS Key Management Service und AWS CloudHSM
Amazon Web Services
AWS KMS verwaltet Schlüssel für AWS-Dienste und Anwendungen; CloudHSM stellt kundeneigene Single-Tenant-HSM-Instanzen in der eigenen VPC bereit.
AWS KMS nutzt ML-KEM für post-quanten-sichere TLS-Verbindungen zu den KMS-Endpunkten und unterstützt ML-DSA (FIPS 204) für Signaturen.
Import eigener Schlüssel (symmetrisch, HMAC, asymmetrisch) in AWS KMS.
Operationen mit entschlüsseltem Schlüsselmaterial in HSM nach FIPS 140-3 Security Level 3; in den China-Regionen (NWCD) ohne FIPS-Validierung.
Tiefe Integration in AWS-Dienste mit Wahl zwischen verwaltetem KMS und dediziertem HSM.
Auf AWS beschränkt; kein KMIP-Server und keine Verwaltung von Schlüsseln anderer Clouds.
Azure Key Vault und Azure Key Vault Managed HSM
Microsoft Corporation
Managed HSM ist ein voll verwalteter, hochverfügbarer Single-Tenant-HSM-Dienst; Key Vault bietet mandantenfähige Tresore für Schlüssel, Secrets und Zertifikate.
Schlüssel werden im HSM erzeugt oder per BYOK aus eigenen On-Premises-HSM importiert.
Integriert mit Azure- und Microsoft-PaaS/SaaS-Diensten, etwa Azure Storage, für Verschlüsselung ruhender Daten.
HSM-Flotte von Managed HSM und Key Vault Premium auf FIPS 140-3 Level 3 validierter Firmware.
Single-Tenant-HSM als verwalteter Dienst mit nativer Einbindung in Azure und Microsoft 365.
Auf Azure ausgerichtet; Post-Quanten-Algorithmen und KMIP auf der Übersichtsseite nicht genannt.
Google Cloud KMS mit Cloud HSM und Cloud External Key Manager
Google LLC
Cloud KMS mit Schutzlevel Software, HSM (auch Single-tenant Cloud HSM) und extern über Cloud EKM.
Cloud KMS führt ML-KEM-768/1024 (FIPS 203) und ML-DSA (FIPS 204) laut Algorithmenliste bisher nur mit Schutzlevel software (nicht hsm/external).
Cloud EKM nutzt Schlüssel in externen Systemen der Partner Fortanix, Futurex und Thales; Zugriff kann jederzeit entzogen werden.
Cloud HSM betreibt Schlüssel in einem von Google verwalteten Cluster aus HSM nach FIPS 140-2 Level 3.
Drei Schutzlevel inklusive externer Schlüsselhaltung bei Drittanbietern in einem Dienst.
Auf Google Cloud beschränkt; Post-Quanten-Algorithmen laut Algorithmenliste bisher nur mit Schutzlevel software (nicht hsm/external).
IBM Cloud Hyper Protect Crypto Services / Key Protect
IBM Corporation
Schlüsselverwaltung mit HSM-Schutz in IBM Cloud, mandantenfähig mit BYOK oder dediziert mit Keep Your Own Key (KYOK).
Im Dedicated-Modell exklusive Kontrolle über das HSM; Schlüssel bleiben beim Kunden.
Key Protect bietet KMIP-Adapter für VMware.
HSM nach FIPS 140-2 Level 3 (Standard) und FIPS 140-3 Level 4 (Dedicated, laut IBM noch in NIST-Zertifizierung).
KYOK-Modell mit dediziertem HSM für hohe Anforderungen an Schlüsselhoheit in der Cloud.
Auf IBM Cloud ausgerichtet; Level-4-Zertifizierung für Dedicated noch nicht abgeschlossen.
HashiCorp Vault (Transit, KMIP, Key Management)
HashiCorp (IBM)
Transit stellt Verschlüsselung als Dienst bereit; die KMIP-Secrets-Engine macht Vault zum KMIP-Server.
Transit unterstützt in Enterprise ML-DSA für Signaturen; FIPS-140-3-Modus mit Hinweis auf nicht zertifizierte Algorithmen.
Schlüsselimport (BYOK) in Transit; KMIP erfordert Vault Enterprise mit Advanced Data Protection oder HCP Vault Dedicated.
Self-Hosted oder als HCP-Dienst; HSM-Schutz nur über externe HSM-Anbindung.
Schlüsseldienste direkt in eine verbreitete Secrets-Plattform integriert, gut automatisierbar.
KMIP und PQC nur in kostenpflichtigen Editionen; selbst kein HSM, Zertifizierungsstufe hängt vom angebundenen HSM ab.
OpenBao
OpenBao (Linux Foundation / OpenSSF)
Community-getriebener Secrets Manager und Fork von Vault unter dem OpenSSF der Linux Foundation.
Verschlüsselung als Dienst mit zentraler Schlüsselverwaltung für Daten in Transit und im Ruhezustand.
Dynamische Secrets etwa für Kubernetes und SQL-Datenbanken, Widerruf ganzer Secret-Bäume.
Selbstbetrieb mit offener Governance; Lizenz laut Repository Mozilla Public License 2.0.
Offene Alternative für Verschlüsselung als Dienst ohne Lizenzbindung an einen Hersteller.
Keine Herstellerzertifizierung und kein Enterprise-Support des Projekts; KMIP und PQC auf der Projektseite nicht genannt.
Nitrokey NetHSM
Nitrokey GmbH
Netzwerk-HSM in Deutschland gefertigt, mit offener Architektur und kundenspezifischen Anpassungen.
RSA, ECC und AES-CBC; Post-Quanten-Verfahren (ML-KEM, ML-DSA) sind als spätere Erweiterung per Software-Update vorgesehen.
REST-API mit SDKs für zahlreiche Sprachen sowie PKCS#11-Modul und Kommandozeilenwerkzeug.
Betrieb als Appliance beim Kunden; Cloud-Variante als geplant bezeichnet, FIPS-Zertifizierung auf der Seite nicht genannt.
Transparente, quelloffene HSM-Appliance aus Deutschland für souveräne Umgebungen.
Keine FIPS-Zertifizierung genannt; PQC erst angekündigt; Leistung und Hochverfügbarkeit im Vergleich zu Enterprise-HSM zu prüfen.
Weitere Anbieter
Kurz eingeordnet, ausserhalb der Vergleichsmatrix.
- Utimaco Enterprise Secure Key Manager (ESKM): KMIP-Key-Manager von Utimaco
- Oracle Key Vault: Schlüssel- und Secrets-Verwaltung mit KMIP, Schwerpunkt Oracle-Datenbanken (TDE)
- Akeyless Platform: SaaS-Secrets- und Schlüsselverwaltung mit KMS-Funktion; Schwerpunkt Secrets Management
- Crypto4A QxHSM: HSM mit Fokus Post-Quanten-Kryptografie
- Marvell LiquidSecurity: HSM-Adapter, Basis einiger Cloud-HSM-Dienste; kein eigenständiges Unternehmensprodukt für Endkunden
- Keyfactor, Venafi (CyberArk): Zertifikats- und Maschinenidentitätsverwaltung; eigene Klasse, nicht Schlüssellebenszyklus für Daten
- Futurex Excrypt / Payment-HSM, Thales payShield: Payment-HSM für Zahlungsverkehr; Spezialsegment ausserhalb des General-Purpose-Zuschnitts
- Rotation ändert nur Metadaten, produktive Daten bleiben am alten Schlüssel hängen.
- Key-Administratoren können gleichzeitig Richtlinien ändern und geschützte Daten entschlüsseln.
- Ein Cloud-Ausfall oder gesperrtes Konto verhindert Recovery, weil kein getesteter Alternativpfad existiert.
Erzeuge, nutze, rotiere, sperre und stelle einen Schlüssel in einem realen Anwendungspfad wieder her. Prüfe Vier-Augen-Prinzip, Protokollierung, Ausfall einer Region und einen kontrollierten Anbieterwechsel.
Encryption nutzt die Schlüssel. HSM schützt besonders kritische Operationen in Hardware. Secrets Management behandelt zusätzlich Passwörter, Tokens und dynamische Zugangsdaten.
Security Tool Navigator · Gebiet 08
Im Gebiet Data Security einordnen.
Diese Werkzeugklasse gehört zum Gebiet Data Security. Der Gebietshub zeigt, wie die Werkzeugklassen zusammenwirken, wo sie sich abgrenzen und welche Fragen CIO und CISO jeweils klären.