FIPS 140-2 vs. FIPS 140-3: Was ist der Unterschied und wann muss die Umstellung erfolgen?

FIPS 140-2 und FIPS 140-3 sind aufeinanderfolgende NIST-Standards zur Validierung kryptografischer Module; FIPS 140-3, basierend auf dem internationalen Standard ISO/IEC 19790, ist derzeit der einzige Standard, der neue Moduleinreichungen akzeptiert, und bestehende FIPS 140-2-Zertifikate verlieren am 21. September 2026 ihren historischen Status.

FIPS 140-3 ersetzt FIPS 140-2 als Validierungsstandard für kryptografische Module des NIST und gleicht damit die US-Anforderungen an den internationalen Standard ISO/IEC 19790 an. Das NIST hat die Annahme neuer FIPS-140-2- Einreichungen im September 2021 eingestellt. Alle FIPS-140-2-Validierungszertifikate, unabhängig von ihrer Stufe, verlieren am 21. September 2026 ihre Gültigkeit. Organisationen müssen daher bis zu diesem Datum auf FIPS-140-3-validierte Module umstellen.

Wichtige Erkenntnisse

• FIPS 140-3 basiert auf ISO/IEC 19790 und gleicht damit erstmals den US-Standard an den internationalen Standard an, wodurch die grenzüberschreitende Anerkennung validierter Module erleichtert wird.
• NIST hat die Annahme neuer FIPS 140-2-Moduleinreichungen im September 2021 eingestellt; alle seitdem erfolgten Validierungen erfolgen nach FIPS 140-3.
• Der 21. September 2026 ist der endgültige Stichtag: An diesem Tag verliert jedes FIPS 140-2-Zertifikat auf jeder Sicherheitsstufe seinen historischen Status.
• Eine „historische“ Validierung ist für bestehende Installationen nicht automatisch ungültig, jedoch wird der historische Status bei Neuanschaffungen im öffentlichen Beschaffungswesen und in vielen regulierten Branchen als nicht konform betrachtet.
• FIPS 140-3 ergänzt die Anforderungen um nicht-invasive Angriffstests und aktualisierte Software-/Firmware-Sicherheitsanforderungen, die in FIPS 140-2 nicht enthalten sind.

Was hat sich zwischen FIPS 140-2 und FIPS 140-3 tatsächlich geändert?

Aspekt	FIPS 140-2	FIPS 140-3
Standardbasis	US-spezifisch (vom NIST verfasst)	Entspricht ISO/IEC 19790 (international)
Neue Einreichungen werden angenommen	Geschlossen im September 2021	Derzeit werden nur Standardeinreichungen angenommen.
Nichtinvasive Angriffsprüfung	Nicht erforderlich	Als testbare Anforderung auf höheren Ebenen hinzugefügt.
Software-/Firmware-Sicherheit	Anforderungen aus dem Jahr 2001	Aktualisiert, um moderne Modularchitekturen widerzuspiegeln.
Vier Sicherheitsstufen	Ja (1-4)	Ja (1-4), gleiche konzeptionelle Struktur, aktualisierte Testanforderungen

Was genau ist die Frist am 21. September 2026?

Am 21. September 2026 werden alle verbleibenden FIPS-140-2-Validierungszertifikate in der CMVP-Liste (Cryptographic Module Validation Program) des NIST (National Institute for Standards in Technology) in den Status „Historisch“ versetzt , unabhängig vom Validierungsniveau oder Ausstellungsdatum. Dieses Datum ist vom NIST festgelegt und nicht an das Ausstellungsdatum der einzelnen Zertifikate gekoppelt. Daher benötigen Organisationen, die weiterhin auf FIPS-140-2-validierte Module angewiesen sind, frühzeitig einen klaren Migrationsplan.

Was bedeutet „historischer“ Status in der Praxis?

Eine historische Validierung bedeutet, dass das Modul nicht mehr aktiv in der CMVP-Liste als aktuell geführt wird. Bereits eingesetzte Systeme funktionieren jedoch weiterhin. Die praktischen Auswirkungen betreffen hauptsächlich die Beschaffung: Bundesbehörden und viele regulierte Abnehmer fordern für Neuanschaffungen aktuell validierte (nicht historische) Module. Einige Compliance-Rahmenwerke verweisen explizit auf eine aktive FIPS-140-3- Validierung als Kontrollanforderung. Daher stellt der historische Status ein echtes Hindernis für neue Verträge dar, selbst wenn bestehende Installationen weiterlaufen.

Wie sollten Organisationen die Migration von FIPS 140-2 zu FIPS 140-3 planen?

1. Erstellen Sie ein Inventar aller HSMs, kryptografischen Bibliotheken und eingebetteten Module, die derzeit unter einer FIPS 140-2-Validierung laufen.
2. Prüfen Sie bei jedem Anbieter den FIPS 140-3-Validierungsstatus und die Roadmap für die jeweilige Hardware- oder Softwareversion.
3. Priorisieren Sie die Migration für alles, was mit der Beschaffung durch die Bundesregierung, laufenden Compliance-Prüfungen oder ... zusammenhängt. Verträge Aktuelle Validierung erforderlich.
4. Planen Sie Hardware-Aktualisierungszyklen und Software-Updates rund um den Stichtag September 2026 und betrachten Sie diesen nicht als ein weit entferntes Datum.
5. Validieren Sie die migrierte Umgebung vollständig und bestätigen Sie, dass die FIPS 140-3-Zertifikatsnummer und das Sicherheitsniveau des neuen Moduls den Anforderungen der Compliance-Dokumentation entsprechen.

Wie Verschlüsselungsberatung hilft

Wie Verschlüsselungsberatung hilft: HSM-as-a-Service läuft heute auf FIPS 140-3-validierter Hardware. Unsere HSM-Services- und FIPS-Beratungsteams unterstützen Unternehmen bei der Erfassung von FIPS 140-2-Abhängigkeiten und der Planung der Migration bis zum Stichtag im September 2026. Dabei orientieren wir uns an den zertifizierten Verfahren nach ISO/IEC 27001:2022 und SOC 2.

Häufig gestellte Fragen

Wann laufen FIPS 140-2-Zertifikate ab?

Alle FIPS 140-2-Validierungszertifikate werden am 21. September 2026 in den historischen Status versetzt. Dieser von NIST festgelegte Stichtag gilt unabhängig vom ursprünglichen Validierungsdatum oder Sicherheitsniveau des Moduls.

Kann ich noch FIPS 140-2-validierte Hardware kaufen?

Neue FIPS-140-2-Zertifizierungen werden vom NIST seit September 2021 nicht mehr angenommen. Daher wurden alle Hardware- und Softwareprodukte, die weiterhin als FIPS-140-2-konform vermarktet werden, vor diesem Stichtag validiert. Organisationen, die neue kryptografische Module erwerben, sollten stattdessen die aktuelle FIPS-140-3-Validierung überprüfen.

Worin besteht der wesentliche technische Unterschied zwischen FIPS 140-2 und FIPS 140-3?

FIPS 140-3 basiert auf dem internationalen Standard ISO/IEC 19790, ergänzt diesen um Anforderungen für nicht-invasive Angriffstests und aktualisiert die Sicherheitsanforderungen für Software und Firmware, um moderne Modularchitekturen widerzuspiegeln, im Vergleich zu den ursprünglichen Anforderungen von FIPS 140-2 aus dem Jahr 2001.

Muss meine Organisation sofort migrieren?

Das hängt von Ihren Compliance-Verpflichtungen und Beschaffungsanforderungen ab, aber jede Organisation, die auf FIPS 140-2 validierte Module angewiesen ist, sollte schon lange vor dem 21. September 2026 einen Migrationsplan haben, da der historische Status Auswirkungen auf neue Bundesbeschaffungsvorschriften und viele Anforderungen regulierter Branchen hat.

Wechseln Sie vor Ablauf der Frist zu FIPS 140-3

Gehen Sie den nächsten Schritt: HSM-as-a-Service läuft bereits heute auf FIPS 140-3-validierter Hardware. Unser HSM-Services-Team unterstützt Sie bei der Erfassung Ihrer FIPS 140-2-Abhängigkeiten und plant Ihre Migration rechtzeitig vor September 2026. Entdecken Sie HSM-as-a-Service und legen Sie los.