Bei hochsensiblen KNX-Secure-Installationen (strategische Standorte, Gebäude im Verteidigungsbereich) lassen sich die Keyring-Schlüssel in einem an die ETS angebundenen Hardware Security Module (HSM) speichern, sodass sie auch während Download-Operationen die gesicherte Hardware nie verlassen.

Ein HSM ist ein zertifiziertes Hardwaregehäuse (typisch FIPS 140-2 Level 3 oder höher), das kryptografische Schlüssel speichert und folgendes garantiert: echte Zufallszahlenerzeugung (TRNG), kryptografische Operationen im geschützten Speicher (Schlüssel niemals im Klartext im ETS-RAM), manipulationssicheres Audit-Log sowie Tamper Detection. Die Kosten liegen bei 500-5000 € für ein USB-HSM. Der Einsatz beschränkt sich auf Hochsicherheitsstandorte und ist Standard bei Banking, Verteidigung und kritischen Infrastrukturen.

Wichtig: Die große Mehrheit der KNX-Secure-Installationen benötigt KEIN HSM — der verschlüsselte ETS-Keyring genügt in 99 % der Fälle. Bei HSM-Einsatz die PIN/Recovery-Prozedur vor der Inbetriebnahme festlegen: Ein verlorener HSM-Zugang unter FIPS 140-2 Level 3 ist endgültig unwiederbringlich.