Datenträgerbereinigung

Medien-Sanitisierung ist immer dann nötig, wenn ein Speichermedium den Kontrollbereich seines Eigentümers verlässt. Ein Laptop wird weiterverkauft, ein gemieteter Server zurückgegeben, ein USB-Stick wandert von Projekt zu Projekt, eine defekte Festplatte geht an den Hersteller zurück und Backup-Bänder erreichen das Ende ihrer Aufbewahrungsfrist. In jedem Fall darf der nächste Besitzer nicht wiederherstellen können, was der vorherige darauf gespeichert hat.

Der Begriff umfasst mehr als Computer, weil Speicher in Geräten steckt, die niemand als Laufwerk betrachtet: interne und externe Festplatten, USB-Sticks, Speicherkarten und portable SSDs, Smartphones und Tablets mit eingebautem Flash-Speicher, Bänder und optische Datenträger sowie der interne Datenträger oder Flash-Baustein von Druckern, Scannern und Netzwerkgeräten. Jedes Wechselmedium, das den Besitzer wechselt, braucht dieselbe Entscheidung.

Sanitisierung ist keine einzelne Stufe, sondern eine Leiter. Die NIST SP 800-88 benennt ihre drei Sprossen, und die richtige wählt man nach der Sensibilität der Daten und dem weiteren Weg des Mediums: zurück in eine ähnliche Umgebung, in eine weniger vertrauenswürdige oder ganz aus der Organisation hinaus. Jede Stufe ist eine eigene Sanitisierungsmethode mit eigenen Grenzen.

Wenn ein Betriebssystem eine Datei löscht, entfernt es den Dateisystem-Eintrag, der auf die Daten zeigt, und markiert den Platz als frei. Die Bytes bleiben auf dem Medium, bis der Platz wiederverwendet wird, und bis dahin lassen sie sich oft mit weit verbreiteten Werkzeugen wiederherstellen. Diese Restdaten heißen Remanenz. Eine Schnellformatierung ist nicht stärker, denn sie schreibt meist den Index neu, nicht unbedingt den Datenbereich.

Die Sanitisierung muss auch Daten erfassen, die das aktuelle Betriebssystem nicht sieht: umgemappte Sektoren auf einer fehlerhaften Festplatte, den Over-Provisioning-Bereich einer SSD, Partitionen früherer Installationen und den Slack-Space am Ende teilweise überschriebener Blöcke. Deshalb wirkt sie direkt auf den Speicher und ist vor jeder Weitergabe eines Mediums Pflicht.

Überschreiben, die klassische Löschtechnik, wurde für Magnetplatten entwickelt, bei denen der Host jeden Sektor direkt ansprechen kann. Flash-Speicher bricht diese Annahme. Wear Leveling und Over-Provisioning lassen den Controller Schreibvorgänge in Zellen verteilen, die der Host nicht sieht, deshalb beweist ein Überschreibdurchgang nicht, dass jede physische Kopie erreicht wurde. Bei SSDs, USB-Sticks und Smartphones stützt sich die Sanitisierung daher auf geräteeigene Befehle oder auf die kryptografische Löschung, bei der der Verschlüsselungsschlüssel statt der Daten vernichtet wird.

Die kryptografische Löschung ist schnell und vollständig, wenn das Medium ab dem ersten Tag verschlüsselt war, und nur so verlässlich wie das Schlüsselmanagement dahinter. Ein Schlüssel, der hinterlegt, gesichert oder abgeflossen ist, kann die Löschung rückgängig machen. Bei Medien, die keinen Sanitisierungsbefehl ausführen können und nie verschlüsselt waren, ist die physische Zerstörung meist die einzig vertretbare Antwort.

Eine Sanitisierung, die sich nicht belegen lässt, hat aus Sicht eines Prüfers nicht stattgefunden. Reife Programme behandeln Handlung und Protokoll als eine einzige Kontrolle. Der Bediener führt die Methode aus, prüft das Ergebnis stichprobenartig und stellt ein Zertifikat aus. Wird die Entsorgung extern vergeben, gehören Lieferkette und Zertifikate des Dienstleisters zum Protokoll. Der übliche Ablauf sieht so aus:

1. 1

   Methode ausführen

   Der Bediener wendet die gewählte Sanitisierungsmethode auf das Medium an.

2. 2

   Ergebnis prüfen

   Eine Stichprobe bestätigt, dass die Daten nicht mehr wiederherstellbar sind.

3. 3

   Zertifikat ausstellen

   Das Zertifikat nennt Medium, Methode, Werkzeug, Bediener, Datum und Ergebnis.

Ein Zertifikat kann nur ein Medium nennen, das jemand erfasst hat. Anexet Inventory führt zu jedem Gerät eine Karte mit Typ, Hersteller, Seriennummer, Status und Standort, sodass die Seriennummer im Zertifikat einem Eintrag im Bestand entspricht. Anexet sanitisiert Medien nicht selbst. Die Software liefert den Bestand, auf dem das Sanitisierungsprotokoll aufbaut.

Sanitisierung ist eine Kontrolle des Lebenszyklus, kein einmaliges Ereignis. Sie verbindet das Asset-Inventar, das weiß, welche Medien es gibt und wo sie sind, mit der Datenklassifizierung, die festlegt, wie stark die Sanitisierung sein muss, und mit dem Aufbewahrungsplan, der bestimmt, wann die Aufbewahrungsfrist der Daten endet.

Schriftliche Anforderungen finden sich in mehreren Rahmenwerken. NIST SP 800-88 behandelt das Thema direkt, ISO/IEC 27001 verlangt dokumentierten Umgang mit Medien bis zur Entsorgung, und branchenspezifische Regeln für Zahlungskarten- und Gesundheitsdaten fordern ebenfalls eine kontrollierte Entsorgung. Innerhalb der Organisation klassifiziert der Dateneigentümer, die IT führt aus und die Informationssicherheit prüft. Die Richtlinie legt außerdem Standards für übliche Wege fest: interne Wiederverwendung, Rückgabe gemieteter Geräte, Verkauf, Recycling und Zerstörung.