Was ist Azure Payment HSM?
Azure Payment HSM ist ein BareMetal-Dienst, der auf Thales payShield 10K Payment Hardware Security Modules aufsetzt. Diese physischen Geräte führen kryptografische Schlüsseloperationen für Echtzeit-Zahlungstransaktionen in der Azure-Cloud aus. Der Dienst richtet sich an Zahlungsdienstleister und Finanzinstitute, die ihre Zahlungssysteme in die Public Cloud verlagern möchten, ohne die Anforderungen der Payment Card Industry (PCI) an Sicherheit, Auditierbarkeit, Latenz und Durchsatz aufzugeben.
Die HSMs werden bereitgestellt und direkt mit dem Virtual Network des Kunden verbunden. Die administrative Kontrolle liegt vollständig beim Kunden. HSMs lassen sich als Paar bereitstellen und für Hochverfügbarkeit konfigurieren. Microsoft weist darauf hin, dass es sich um einen hochspezialisierten Dienst handelt; die Preis- und Einstiegsdokumentation sollte vor einer Entscheidung geprüft werden.
Kernfunktionen
Single-Tenant-HSM mit alleiniger Kontrolle: Das HSM wird einem Kunden exklusiv zugewiesen. Nach der Zuweisung hat Microsoft nach eigener Angabe keinen Zugriff auf Kundendaten; beim Freigeben des Geräts werden die Daten zeroisiert und gelöscht.
Native Netzwerkanbindung: Bei der Bereitstellung entstehen zwei Host-Netzwerkschnittstellen und eine Management-Schnittstelle, die als Ressourcen in einer Azure-Ressourcengruppe sichtbar sind.
Remote-Management über payShield Manager: Verwaltung und Schlüsselzeremonien erfolgen über Thales payShield Manager und das payShield Trusted Management Device (TMD).
Zertifizierte Hardware: Die eingesetzten payShield 10K HSMs sind nach Herstellerangabe für FIPS 140-2 Level 3 und PCI HSM v3 zertifiziert.
Skalierbare Abonnementstufen: Es stehen mehrere Abonnementoptionen für unterschiedliche Performance- und Anwendungsanforderungen zur Verfügung; die höchste Leistungsstufe des Dienstes liegt bei 2.500 CPS.
Typische Anwendungsfälle
Zahlungsverarbeitung und Autorisierung: Karten- und Mobile-Payment-Autorisierung, PIN- und EMV-Kryptogramm-Validierung sowie 3-D-Secure-Authentifizierung.
Ausgabe von Zahlungs-Credentials: Personalisierung von Karten, mobilen Secure Elements, Wearables, vernetzten Geräten und Host-Card-Emulation-Anwendungen.
Schlüssel- und Authentifizierungsdatenschutz: Schlüsselmanagement für POS, mPOS und SPOC, Remote Key Loading für ATM- und POS-Geräte sowie PIN-Generierung, -Druck und -Routing.
Schutz sensibler Daten: Point-to-Point-Encryption (P2PE), Security-Tokenisierung zur PCI-DSS-Compliance und EMV-Payment-Tokenisierung.
Vorteile
- Migration bestehender payShield-Workloads ohne Änderungen an Zahlungsanwendungen oder HSM-Software
- Reduzierter physischer HSM-Fußabdruck im eigenen Rechenzentrum bei gleichbleibender Zertifizierungsbasis
- Einsatz als Bestandteil validierter PCI-P2PE- oder PCI-PIN-Komponenten und -Lösungen
- Abonnementmodell statt Kauf physischer Hardware, dadurch geringere Anfangsinvestition für neue Marktteilnehmer
- Flexiblere HSM-Auslastung und einfachere gemeinsame Nutzung durch geografisch verteilte Teams
Integration mit innFactory
Als Microsoft Solutions Partner unterstützt innFactory Sie bei der Bewertung, Planung und Anbindung von Azure Payment HSM: Netzwerkdesign für die Virtual-Network-Integration, Betriebs- und Hochverfügbarkeitskonzepte sowie die Einbettung in bestehende Zahlungs- und Compliance-Prozesse.
Kontaktieren Sie uns für eine unverbindliche Beratung zu Azure Payment HSM.
Typische Anwendungsfälle
Technische Spezifikationen
Häufig gestellte Fragen
Was unterscheidet Azure Payment HSM von Azure Dedicated HSM?
Azure Payment HSM ist speziell auf Zahlungsverkehr ausgelegt und nutzt Thales payShield 10K Payment HSMs, die für PCI HSM v3 zertifiziert sind. Der Dienst unterstützt Zahlungsanwendungsfälle wie PIN- und EMV-Kryptogramm-Validierung, 3-D-Secure und Remote Key Loading. Für nicht zahlungsspezifische Schlüsseloperationen führt Microsoft mit Azure Dedicated HSM und Managed HSM eigene Angebote.
Hat Microsoft Zugriff auf die Schlüssel im Payment HSM?
Nach Microsoft-Angabe hat Microsoft nach der Zuweisung eines HSM an einen Kunden keinen Zugriff auf Kundendaten. Wird das HSM nicht mehr benötigt, werden die Kundendaten beim Freigeben des Geräts zeroisiert und gelöscht.
Müssen bestehende Zahlungsanwendungen angepasst werden?
Laut Dokumentation erfordert die Migration bestehender Anwendungen zur Azure-Lösung keine Änderungen an den Zahlungsanwendungen oder der HSM-Software, da dieselbe payShield-Hardware zum Einsatz kommt.
Wie erfolgt die Verwaltung der HSMs?
Die Verwaltung erfolgt remote über Thales payShield Manager und das payShield Trusted Management Device (TMD) samt zugehöriger Smartcard-Reader und Smartcards. Bestandskunden von Thales können ihre vorhandenen Remote-Management-Lösungen weiterverwenden; neue Kunden beziehen das Zubehör von Thales oder einem Partner.
Welche Compliance-Anforderungen deckt der Dienst ab?
Microsoft betreibt die Rechenzentren, in denen Azure-Payment-HSM-Lösungen stehen, PCI-DSS- und PCI-3DS-konform. Die eingesetzten payShield-10K-HSMs sind für FIPS 140-2 Level 3 und PCI HSM v3 zertifiziert. Für Ihre eigene Zertifizierung ist die konkrete Ausgestaltung Ihrer Lösung maßgeblich.
Hinweis: Alle Produktinformationen auf dieser Seite wurden sorgfältig zusammengestellt, sind jedoch ohne Gewähr und können veraltet oder unvollständig sein. Cloud-Services entwickeln sich schnell weiter — Funktionen, Preise, SLAs und Verfügbarkeit ändern sich laufend. Verbindliche und aktuelle Informationen finden Sie ausschließlich auf der offiziellen Produktseite von Azure (offizielle Dokumentation). Diese Seite stellt kein Angebot von Azure dar.
