FIPS 140-3 Security Key 2026: Wann Zertifizierung nötig ist

Ein FIPS 140-3 Security Key kostet je nach Hersteller bis zu 50 Prozent mehr als das baugleiche Standardmodell – ein Aufpreis, den viele Mittelständler ohne konkreten Bedarf zahlen. Wer das Budget hier ohne Grund verschenkt, fehlt es an anderer Stelle in der IT-Security. Wer die Zertifizierung dagegen aus Unwissenheit weglässt, obwohl ein US-Auftraggeber sie vertraglich fordert, riskiert eine gescheiterte Ausschreibung. Dieser Ratgeber zeigt, was FIPS 140-3 bei einem Security-Key aus der Kategorie Identity & Access wirklich bedeutet, wann die Zertifizierung im deutschen Mittelstand überhaupt relevant ist – und der Produktberater hilft in wenigen Klicks bei der Einordnung des eigenen Bedarfs.

Was ist FIPS 140-3 – und warum wird der Standard gerade jetzt wichtig?

FIPS 140-3 („Security Requirements for Cryptographic Modules“) ist ein US-Bundesstandard des National Institute of Standards and Technology (NIST). Zertifiziert wird über das Cryptographic Module Validation Program (CMVP), das NIST gemeinsam mit der kanadischen Cyber-Behörde CCCS betreibt. Der Standard wurde 2019 im Federal Register veröffentlicht und löst den älteren FIPS 140-2 schrittweise ab.

Der Termin, der die Migration gerade beschleunigt: Am 21. September 2026 verschiebt NIST alle noch aktiven FIPS-140-2-Zertifikate in den Status „Historical“. Bestandssysteme dürfen sie weiter nutzen, für Neubeschaffungen gelten sie danach aber nicht mehr als aktueller Stand. Wer jetzt Security-Keys beschafft, kauft deshalb direkt FIPS-140-3-validierte Modelle.

Was bedeutet FIPS 140-3 bei einem Security-Key konkret?

Bei einem Security-Key ist das kryptografische Modul der Chip, der Schlüssel erzeugt und Signaturen berechnet. FIPS 140-3 prüft, ob genau dieser Chip nach einem festgelegten US-Verfahren getestet und zertifiziert wurde. Die Zertifizierung gilt für eine exakte Hardware- und Firmware-Version; ein Firmware-Update kann sie ungültig machen. Für Anwender heißt das: Ein „FIPS-Modus“ im Menü reicht nicht, entscheidend ist das CMVP-Zertifikat der konkret genutzten Firmware-Version.

Eine solche Validierung dauert im Schnitt anderthalb Jahre und bindet damit auch Hersteller-Roadmaps: Die YubiKey-5-FIPS-Serie etwa wurde erst im Mai 2026 offiziell auf FIPS 140-3 Level 2 umgestellt (Zert. #5291) – wer ein Gerät kauft, sollte bei Bestandsware im Zweifel die Firmware-Version gegen die CMVP-Datenbank prüfen.

Ist FIPS 140-3 in Deutschland oder der EU überhaupt Pflicht?

Nein. FIPS 140-2/140-3 ist laut US-Gesetz (Federal Information Security Management Act, FISMA) nur für US-Bundesbehörden und kanadische Behörden bei der Beschaffung kryptografischer Module verpflichtend. Für deutsche und europäische Unternehmen gibt es keine gesetzliche FIPS-Pflicht – relevant wird die Zertifizierung nur vertraglich, etwa als Zulieferer von US-Behörden oder auf Vorgabe eines US-Auftraggebers.

Wichtig für die Einordnung: FIPS 140-3 ist nicht dasselbe wie eine BSI-Zulassung, IT-Grundschutz-Konformität oder eine Common-Criteria-Zertifizierung. Das sind unabhängige Prüfverfahren mit unterschiedlichen Prüfstellen und unterschiedlichem Geltungsbereich. Ein Produkt kann FIPS-validiert sein, ohne jede BSI- oder CC-Prüfung durchlaufen zu haben – und umgekehrt.

FIPS-Level 1 bis 4: Was Level 2 und Level 3 in der Praxis bedeuten

FIPS 140-3 definiert vier aufsteigende Sicherheitsstufen:

Bei USB-Security-Keys sind in der Praxis Level 2 und Level 3 üblich – nicht das oft vermutete Einstiegs-Level 1.

Swissbit iShield Key 2 FIPS vs. YubiKey 5 NFC FIPS im Vergleich

Zwei der bekanntesten FIPS-validierten Security-Keys im Swissbit-Sortiment und bei Yubico unterscheiden sich deutlich in Level, Protokollumfang und Preis:

Der Swissbit iShield Key 2 FIDO2 FIPS erreicht mit Level 3 die höhere Zertifizierungsstufe, deckt dafür ausschließlich FIDO2 und U2F ab. Der YubiKey 5 NFC FIPS ist multiprotokollfähig – zusätzlich PIV, OATH und OpenPGP – und damit die Wahl, wenn neben FIDO2 auch klassische Smartcard-Logins oder OTP-Verfahren im Einsatz sind.

Auffällig ist der Preisabstand zwischen FIPS- und Standardmodell: Bei Swissbit kostet die FIPS-Variante nur rund 1,70 Euro mehr als der baugleiche Nicht-FIPS-Schlüssel (20,20 statt 21,90 Euro). Beim YubiKey liegt der reguläre YubiKey 5 NFC dagegen bei rund 58 Euro – gut 30 Euro unter dem FIPS-Modell. Der Zertifizierungs-Aufpreis fällt also je nach Hersteller sehr unterschiedlich aus. Wer alle aktuell FIPS-zertifizierten Modelle im Sortiment vergleichen will, findet sie in der Kategorie Identity & Access.

Für wen lohnt sich ein FIPS-zertifizierter Security-Key?

Ein FIPS-Key ist sinnvoll, wenn eines der folgenden Kriterien zutrifft:

• Das Unternehmen liefert direkt oder über einen Subauftrag an US-Bundesbehörden oder das US-Verteidigungsministerium
• Ein US-Mutterkonzern oder Auftraggeber fordert FIPS-Validierung vertraglich
• Ein Kunde in einer regulierten Branche mit US-Bezug verlangt die Zertifizierung explizit
• Eine Ausschreibung nennt FIPS 140-3 als Zuschlagskriterium

Trifft keiner dieser Punkte zu, reicht für die tägliche MFA-Absicherung im deutschen Mittelstand ein Standard-FIDO2-Schlüssel wie der Swissbit iShield Key 2 FIDO2 MIFARE völlig aus. FIPS-Validierung macht einen Schlüssel nicht automatisch sicherer im Alltag – sie bescheinigt lediglich die Konformität mit einem spezifischen US-Prüfverfahren. Dass FIPS-Status kein Freifahrtschein ist, zeigte 2019 ein Sicherheitshinweis von Yubico: Fehlerhafte Zufallszahlengenerierung in betroffenen Firmware-Versionen führte zu reduzierter Entropie bei neu erzeugten Schlüsseln. Da sich die Firmware auf bereits ausgelieferten Keys nicht nachträglich aktualisieren ließ, tauschte Yubico die betroffenen Geräte kostenlos gegen Modelle mit korrigierter, neu zertifizierter Firmware aus.

Häufige Fragen zum FIPS 140-3 Security Key

Ist FIPS 140-3 in Deutschland gesetzlich vorgeschrieben?

Nein. FIPS 140-3 ist eine US-Vorgabe für Bundesbehörden, in Deutschland und der EU gibt es keine gesetzliche FIPS-Pflicht. Relevant wird die Zertifizierung hierzulande nur über Verträge mit US-Bezug.

Was ist der Unterschied zwischen FIPS-140-3-Level 2 und Level 3?

Level 2 verlangt Manipulationsnachweis und rollenbasierte Authentifizierung, Level 3 zusätzlich aktiven Manipulationsschutz und Identitätsauthentifizierung. Level 3 gilt als die höhere physische Sicherheitsstufe.

Was passiert am 21. September 2026 mit alten FIPS-140-2-Zertifikaten?

NIST setzt an diesem Datum alle noch aktiven FIPS-140-2-Zertifikate auf den Status „Historical“. Bestandssysteme laufen weiter, für Neubeschaffungen sollten ab sofort FIPS-140-3-validierte Produkte gewählt werden.

Kann ich einen FIPS-Security-Key auch ohne US-Bezug einsetzen?

Ja, technisch funktioniert ein FIPS-Key wie jeder andere FIDO2-Schlüssel. Ohne konkrete Compliance-Anforderung zahlt man dann aber meist nur einen Aufpreis ohne praktischen Zusatznutzen.

Was kostet ein FIPS-zertifizierter Security-Key im Vergleich zum Standardmodell?

Das hängt stark vom Hersteller ab: Bei Swissbit liegt der FIPS-Aufpreis bei rund 1,70 Euro, beim YubiKey 5 NFC FIPS liegt der Preisunterschied zum Standardmodell deutlich höher.

Ist ein FIPS-Key automatisch sicherer als ein normaler FIDO2-Schlüssel?

Nein. FIPS 140-3 bescheinigt die Konformität mit einem US-Prüfverfahren für das Kryptomodul, nicht per se ein höheres Sicherheitsniveau im Alltagseinsatz. Beide Schlüsseltypen schützen gleichermaßen gegen Phishing.

Fazit: Bedarf vor Zertifikat

FIPS 140-3 löst ab September 2026 endgültig FIPS 140-2 ab – relevant wird das für deutsche Unternehmen aber nur mit konkretem US-Bezug in der Lieferkette oder Ausschreibung. Ohne diese Anforderung ist ein Standard-FIDO2-Schlüssel die wirtschaftlichere Wahl. Unsicher, welches Modell zur eigenen MFA-Strategie passt? Der Produktberater hilft bei der Auswahl zwischen FIDO2-, FIPS- und MIFARE-Varianten – und wer die Anforderungen aus NIS2 im Blick behalten will, findet Details in der NIS2-Compliance-Checkliste.