Glossarbegriff
HSM / KMS
Auch: Hardware Security Module, Key Management System
HSM = manipulationsgeschützte Hardware für kryptografische Operationen (Zertifizierung FIPS 140-2/3, Common Criteria). KMS = Software-Schicht zur Schlüssel-Verwaltung, oft mit HSM-Backend. Pflicht-Komponenten für regulierte Verschlüsselung.
HSM-Klassen: Network-HSM (Thales Luna, Entrust nShield, Utimaco), Cloud-HSM (AWS CloudHSM, Azure Dedicated HSM, Google Cloud HSM), USB-HSM. Wichtig: FIPS 140-2 Level 3 oder höher für regulierte Workloads.
Cloud-KMS: AWS KMS, Azure Key Vault, Google Cloud KMS. Bring-Your-Own-Key (BYOK) erlaubt Import eines Kunden-Schlüssels. Hold-Your-Own-Key (HYOK) hält den Master-Key beim Kunden, Cloud-KMS kann nicht entschlüsseln.
In der Praxis
Pruef-Fälle: BAIT BTO 5 (Kryptografie), DORA Art. 9 (ICT-Sicherheitsmaßnahmen), NIS2 Art. 21 Buchstabe h (Kryptografie), BSI TR-02102 (kryptografische Vorgaben). Schlüssel-Hoheit und Rotations-Disziplin sind klassische Audit-Schwerpunkte.
Verwandte Begriffe
BYOK / HYOK (Bring/Hold Your Own Key)
Schlüssel-Management-Modelle in Cloud-Umgebungen: BYOK bedeutet, der Kunde bringt seinen eigenen Schlüssel in den Cloud-KMS ein. HYOK bedeutet, der Schlüssel verlässt nie die Kunden-Infrastruktur, nur die Operationen werden bei Bedarf an den KMS delegiert.
Sovereign cloud
A cloud deployment model that guarantees operational, legal and technical control of data and workloads within a specific jurisdiction (typically the EU). Sovereign cloud answers the concern that hyperscaler deployments remain exposed to foreign jurisdiction, primarily the US CLOUD Act.
Confidential Computing
Hardware-basierte Isolation, die Daten während der Verarbeitung verschlüsselt hält (data-in-use). Ergänzt Verschlüsselung at-rest und in-transit. Technologien: Intel SGX, Intel TDX, AMD SEV-SNP, ARM CCA, Nvidia H100 Confidential Computing.
AI Act Konformitätsbewertung
Verfahren zur Feststellung, dass ein Hochrisiko-KI-System die Anforderungen des EU AI Act erfüllt, bevor es in Verkehr gebracht oder in Betrieb genommen wird. Pflicht für alle Anhang-III-Hochrisiko-Systeme ab 2. Dezember 2027 (verschoben vom ursprünglichen 2. August 2026 durch den Digital Omnibus, Verordnung (EU) 2026/1744).
AI Act Risikoklassen
Vier-stufige Klassifikation nach EU AI Act: verboten (Art. 5), Hochrisiko (Anhang I/III), begrenztes Risiko (Art. 50 Transparenzpflichten), minimales Risiko (freiwillige Codes). Klassifizierung ist die erste Pflicht, sie muss dokumentiert und nachvollziehbar sein.
BaFin DORA-Aufsichtsmitteilung
Veröffentlichungen der BaFin zur Auslegung und Erwartung der DORA-Anwendung in Deutschland. Stand 2025/2026 ergehen die wichtigsten Hinweise als Aufsichtsmitteilungen, Merkblätter und Fachartikel im BaFin-Journal, nicht als klassisches Rundschreiben.
BAIT
Rundschreiben der BaFin, das die Anforderungen an die IT-Aufstellung von Kreditinstituten konkretisiert. Präzisiert MaRisk AT 7.2 für IT-Strategie, Informationssicherheit, Benutzerberechtigungen, Projektmanagement, Anwendungsentwicklung und IT-Outsourcing.
BCM
Disziplin zur Aufrechterhaltung kritischer Geschäftsprozesse bei Störungen. Standards: ISO 22301, BSI-Standard 200-4. Im Finanzsektor durch BAIT/VAIT und DORA Art. 11 verpflichtend.