IDEMIA

Das Sphere HSM verteilt die Kryptografie auf viele Secure Elements, also auf manipulationsgeschützte Mikrocontroller, und kommt ohne zentralen Hauptprozessor aus. Wer mehr Leistung braucht, rüstet weitere Secure Elements nach; das Gerät nimmt dabei rund 50 Watt auf und arbeitet ohne Lüfter.

Mehrere Mandanten arbeiten in getrennten Sicherheitsdomänen, und aktive Geräte übernehmen den Betrieb im Cluster füreinander. IDEMIA entwickelt und konfiguriert die Geräte in Frankreich und richtet sie auf Post-Quanten-Verfahren aus.

IDEMIA richtet das Sphere HSM auf Post-Quanten-Verfahren aus und veröffentlicht mit der Sphere Cryptographic Library eine Bibliothek, deren Algorithmen im Programm CAVP geprüft sind. Für Kunden, die heute ein anderes HSM betreiben, stellt sich die Frage, welche Schlüssel und Anwendungen zuerst umziehen und ob beide Systeme eine Zeit lang parallel laufen.

Bei einem jungen Produkt entscheidet die Qualität der Nachweise. IDEMIA nennt FIPS 140-3 Level 3 als Herstellerangabe; Angaben zu PCI PTS, Common Criteria oder ANSSI liegen nicht vor, eine Bestätigung als QSCD für eIDAS 2.0 ebenfalls nicht (Stand 18.09.2026).

Wir weisen solche Angaben in Ausschreibungen getrennt von belegten Prüfungen aus und klären vorab mit Ihrer Aufsicht, welcher Nachweis akzeptiert wird. Die Algorithmen der Sphere Cryptographic Library sind dagegen im Programm CAVP geprüft; die Bibliothek wurde im Juli 2025 veröffentlicht.

In Deutschland, Österreich und der Schweiz installiert OTOKO das Sphere HSM im Rechenzentrum des Kunden oder in der vorgesehenen Cloud-Umgebung. IDEMIA nennt beide Einsatzorte sowie die Kaltlagerung selten genutzter Schlüssel. Vor dem Einbau legen wir Sicherheitsdomänen, Rollen und das Zeremonieprotokoll fest, damit Mandanten und Administration von Beginn an getrennt sind.

Im Betrieb überwachen wir die Geräte, pflegen Rollen und Protokolle und binden Ereignisse an das SIEM des Kunden an. Änderungen an Bestückung, Firmware oder Mandanten dokumentieren wir für die Revision. Weil die Leistung mit jedem weiteren Secure Element wächst, prüfen wir bei jeder Wartung, ob Last und Ausbaustufe noch zusammenpassen.

Fragen, die Hersteller-Know-how erfordern, etwa zu Schnittstellen oder zur Sphere Cryptographic Library, klären wir direkt mit IDEMIA. Für den Kunden bleibt OTOKO der Ansprechpartner von der Auslegung bis zur Wartung.

IDEMIA nennt als Anwendungen PKI und Zertifizierungsstellen, Code Signing, Identitäts- und Zugriffsverwaltung, Zahlungsverkehr, Datenverschlüsselung, Schlüsselverwaltung in der Cloud und digitale Identitäten.

Die Liste der Programmierschnittstellen ist bislang nicht veröffentlicht. Deshalb klären wir die Schnittstellen vor jeder Anbindung direkt mit dem Hersteller und testen sie an Ihrer Anwendung, bevor das Gerät in den Betrieb geht.

Wir beginnen mit einer Bestandsaufnahme der eingesetzten Schlüssel und Verfahren, auf Wunsch mit OSEEK, und planen daraus die Reihenfolge: zuerst Testumgebung und unkritische Anwendungen, danach produktive Schlüssel mit dokumentierter Zeremonie. Für jede Anwendung halten wir fest, welche Schnittstelle sie nutzt und ob sie Post-Quanten-Verfahren schon verarbeiten kann. So entsteht ein Migrationsplan, der Ausfälle vermeidet und gegenüber Revision und Aufsicht belegbar bleibt.