.png){kind=logo}
Die kryptografische Root of Trust – wieder unter Ihrer Kontrolle. In jeder Cloud.
Hardware-gestützter Schutz für Ihre Keys – ohne dedizierte Appliance. Die Keys werden ausschließlich in geschützten Umgebungen erzeugt, gespeichert und verwendet, auf die weder Provider noch Administratoren zugreifen können. Freigegeben werden sie nur für Workloads, die ihre Integrität erfolgreich nachgewiesen haben.
PARALLELBETRIEB MIT IHRER BESTEHENDEN HSM-INFRASTRUKTUR – OHNE RIP-AND-REPLACE. VAULT UND NITRIDE SIND ALS CORE APPS DIREKT IN DIE PLATTFORM INTEGRIERT.
kein Nachweis, kein Key
Bei der Auswahl einer Key-Management-Lösung sitzen viele Stakeholder mit am Tisch. vHSM ist die Antworten auf all ihre unterschiedlichen Anforderungen.
Ihre Keys bleiben vor dem Zugriff durch Cloud-Provider, Administratoren und privilegierte Nutzer geschützt. Die Freigabe erfolgt nach dem Zero-Trust-Prinzip und ausschließlich nach erfolgreicher Attestierung. Jede Key-Nutzung, jeder Zugriffsversuch und jede administrative Aktion wird in einem unveränderlichen Audit Trail erfasst und lässt sich in Ihr SIEM übernehmen.
„Cloud-Provider, Administratoren und Infrastrukturbetreiber haben keinen Zugriff auf die Encryption Keys meines Unternehmens.“
Ersetzen Sie fragmentierte HSM-Appliances und Cloud-spezifische KMS-Architekturen durch eine einheitliche Key-Management-Plattform. Hochverfügbarkeit, Clustering, Backup und Disaster Recovery sind bereits integriert – mit denselben Kontrollen bei jedem Provider. So können Sie Workloads zwischen Clouds verschieben, ohne Ihr Key Management neu aufsetzen zu müssen.
„Ich stelle jedem Cloud-Workload dieselben Key-Management-Funktionen zur Verfügung – unabhängig davon, wo er läuft.“
REST- und gRPC-APIs, SDK und CLI, Kubernetes Secrets und CSI-Integration, Sidecar Injection sowie GitOps- und Terraform-Workflows ermöglichen eine durchgängige Automatisierung des gesamten Key-Lifecycles – von der Erstellung und Rotation bis zum Widerruf. Self-Service ersetzt aufwendige Ticket-Prozesse.
„Entwickler profitieren von einem sicheren
Key-Handling ohne die Komplexität klassischer HSMs.“
Das gesamte Leistungsspektrum auf einen Blick – von kryptografischer Sicherheit bis zur nahtlosen Integration in Ihre bestehende Infrastruktur.
3D Encryption – Verschlüsselung während der Verarbeitung, im Ruhezustand und bei der Übertragung –, HSM-gestütztes Unsealing und kryptografisch sichere Zufallszahlenerzeugung, sichere Key-Generierung, manipulationsgeschützter Betrieb, Schutz vor Zugriffen durch privilegierte Administratoren sowie attestierungsbasierte Key-Freigabe.
Erstellung, Rotation, Ablauf, Widerruf, Versionierung, Backup und Recovery – mit Policy-basierter Automatisierung des gesamten Key Lifecycles über alle Umgebungen hinweg.
RBAC-basierte Authentifizierung, granulare Autorisierungs-Policies und nahtlose Integration von Workload- und Service-Identitäten – damit ausschließlich autorisierte Nutzer und erfolgreich attestierte Workloads auf Keys zugreifen können.
Unveränderliche Audit Logs, lückenloses Tracking der Key-Nutzung und der administrativen Aktivitäten, Compliance Reporting, Policy Enforcement, automatisierte Erstellung von Nachweisen sowie SIEM-Integration.
Für AWS, Azure, Google Cloud, IONOS, STACKIT und OVH sowie Private Clouds und On-Premises-Umgebungen – eine Cloud-agnostische KMS-Plattform mit einheitlichen Kontrollen über alle Umgebungen hinweg.
REST- und gRPC-APIs, SDK und CLI, Kubernetes Secrets und CSI-Driver-Integration, Sidecar Injection, Self-Service über den Service Catalog sowie Deployments mit Docker, Helm und Terraform.
Herstellerunabhängige HSM-Integration über PKCS#11, TLS 1.3, Kompatibilität mit Enterprise-PKI sowie Unterstützung für RSA, ECC, AES und DH – mit integrierter Kryptoagilität für den künftigen Umstieg auf Post-Quantum-Kryptografie.
Hochverfügbarkeit, Clustering und Replikation, Monitoring, Telemetrie und Metriken sowie automatisierte Upgrades, Patching und Backups.
In Ihrer Umgebung bereitstellen.
Stellen Sie vHSM über Docker, Helm oder Terraform bereit – in jeder unterstützten Public oder Private Cloud oder auf Ihrer eigenen Hardware.
Identitäten und Policies definieren.
Definieren Sie, wer welche Keys nutzen darf: RBAC für Nutzer, Workload Identities für Systeme.
Keys nur für verifi-zierte Workloads.
Anwendungen erhalten Keys erst nach erfolgreicher Authentifizierung, Autorisierung und Attestierung des Workloads.
Keys nur nach Attestierung
Für Ihre bestehende Infrastruktur, nicht für Rip-and-Replace
Die meisten Unternehmen verfügen über gewachsene Infrastrukturen: bestehende HSM-Appliances, produktive Cloud-KMS und eine über Jahre aufgebaute PKI. vHSM ist genau für diese Realität konzipiert. Standardisierte Schnittstellen ermöglichen eine nahtlose Integration und eine schrittweise Migration – dann, wenn sie technisch und wirtschaftlich sinnvoll ist.
Drei Ebenen für, durchgängige Key Security
vHSM bildet die kryptografische Root of Trust. Zwei ergänzende Ebenen machen sie im laufenden Betrieb nutzbar: Vault verwaltet die auf diesen Keys basierenden Application Secrets, während Nitride festlegt, welche Workloads darauf zugreifen dürfen.
Workload startet
CPU prüft Code, Konfiguration und Plattformstatus
Nachweis erstellt
Hardwarebasierter Attestierungsnachweis, signiert
Policy geprüft
Nitride gleicht den Nachweis mit Ihrer Policy ab
Keys freigegeben
vHSM und Vault entsiegeln – erst jetzt, nur für diesen Workload
Workload startet
Manipuliertes Image, eingeschleuster Container oder UNBEKANNTER HOST
Nachweis erstellt
Messwert stimmt nicht mit der freigegebenen Konfiguration überein
Policy lehnt ab
Abweichung und Ursache werden im Audit Log erfasst
Keine Freigabe
Keine Keys, keine Secrets – die Daten bleiben verschlüsselt
Fragen vor dem Einstieg
Ist ein Software-HSM wirklich sicher wie ein klassisches HSM?
Die Schutzgrenze bildet weiterhin die Hardware – nur eben ohne dedizierte Appliance. Keys verbleiben in Trusted Execution Environments, deren Speicher während der Verarbeitung durch die CPU verschlüsselt wird. Die Key-Generierung erfolgt in geschützten Umgebungen mit HSM-gestützter Zufallszahlenerzeugung; alle Operationen sind konstruktionsbedingt gegen Manipulation geschützt.
Ersetzt vHSM AWS KMS, Azure Key Vault und Google Cloud KMS?
Das kann es – muss es aber nicht vom ersten Tag an. In der Praxis können Sie zunächst die besonders schützenswerten und regulatorisch relevanten Keys in vHSM überführen und so dem Zugriff der Cloud-Provider entziehen, während Standard-Workloads weiterhin über dieCloud-KMS bedient werden.Dank der Abstraktionsschicht spielt es für Anwendungen keine Rolle mehr, welches Key Management im Hintergrund zum Einsatz kommt. Damit wird die Migration zu einer Policy-Entscheidung – und erfordert keine grundlegende Neugestaltung Ihrer Architektur.
Was passiert mit unseren bestehenden physischen HSMs?
Sie bleiben im Einsatz. Über PKCS#11 lassen sich HSM-abhängige Anwendungen unverändert weiterbetreiben. Der Parallelbetrieb ist dabei für den Anfang ausdrücklich vorgesehen. Die Konsolidierung erfolgt erst dann, wenn es für Sie sinnvoll ist – abhängig von der wirtschaftlichen Nutzungsdauer Ihrer bestehenden HSMs und Ihrer Risikostrategie, nicht vom Zeitplan eines Anbieters.
Wie funktioniert die attestierungsbasierte Key-Freigabe in der Praxis?
Fordert ein Workload einen Key an, überprüft vHSM vor der Freigabe dessen Identität und, sofern entsprechend konfiguriert, seine Attestierung. Diese liefert den kryptografischen Nachweis, dass der Workload unverändert in einer vertrauenswürdigen Umgebung ausgeführt wird. Gestohlene Credentials ohne gültige Runtime reichen für den Zugriff. So wird der Zugang zu Keys durch kryptografische Policies gesteuert – und nicht durch administrative Privilegien.
Ist vHSM für Post-Quantum-Kryptografie ausgelegt?
Kryptoagilität ist von Anfang an Teil der Architektur: vHSM unterstützt heute RSA, ECC, AES und DH, ist aber auch schon auf die künftige Einführung von Post-Quantum-Kryptografie (PQC) ausgelegt. Damit wird der Umstieg auf PQC zu einem kontrollierten Schritt im Key Lifecycle, ohne Ablösung der zugrunde liegenden Plattform.
Wie sieht die Performance bei hohen Transaktionsvolumina aus?
Clustering und Replikation ermöglichen eine horizontale Skalierung des Durchsatzes. Konkrete Performance-Werte pro Operation sollten aber lieber gemessen als versprochen werden – auf Basis Ihrer tatsächlichen Workloads und Anforderungen.
Holen Sie sich Ihre Keys zurück_
Zeigen Sie uns, wo Ihre Keys heute liegen: auf physischen HSMs, in Cloud-KMS oder in beiden Welten. Wir helfen Ihnen, Ihre Keys dem Zugriff der Provider zu entziehen und vollständig unter Ihre eigene Kontrolle zu bringen – ohne dafür Ihre bestehende Architektur neu aufsetzen zu müssen.
möchten SIE erst tiefer in die Technik einsteigen? Lesen Sie unsere DoKU.
