Sicheres Löschen (Purge)

Purge ist die dauerhafte, nicht rückgängig zu machende Entfernung von Daten aus Speichermedien, sodass eine Wiederherstellung auch mit modernsten Labortechniken nicht möglich ist. Die Restdaten, die nach einer gewöhnlichen Löschung übrig bleiben, nennt man Datenremanenz, und Purge soll genau diese beseitigen.

Über Purge hinaus geht die physische Zerstörung, etwa durch Schreddern oder Verbrennen, die das Medium ebenfalls unbrauchbar macht. Purge lässt das Gerät dagegen funktionsfähig, weshalb es sich für Medien eignet, die weiterhin genutzt werden.

Wenn ein Benutzer eine Datei löscht, entfernt das Betriebssystem ihren Namen aus dem Dateisystemindex und markiert den Speicherplatz als frei. Die Bytes einer gelöschten Datei bleiben auf dem Medium, bis sie zufällig überschrieben werden, und gewöhnliche Werkzeuge können sie bis dahin oft wiederherstellen.

Clearing überschreibt die Daten einmal mit einem festen Muster, was vor Wiederherstellung mit üblicher Software schützt. Purge ist stärker, weil die Wiederherstellung selbst mit Labortechniken unmöglich wird. Die Tabelle zeigt, wovor jede Stufe schützt.

Der Referenzrahmen ist NIST Special Publication 800-88, Guidelines for Media Sanitization. Er definiert die Stufenfolge Clear, Purge, Destroy und ordnet Medientypen (Magnetplatten, SSDs, Bänder, Flash-Speicher, mobile Geräte) geeignete Verfahren zu. Anerkannte Löschmethoden sind:

Purge wird zu bestimmten Zeitpunkten im Lebenszyklus eines Mediums eingesetzt, nicht nach jeder Löschung:

• bevor ein Laufwerk, Notebook, Smartphone oder Band die Organisation verlässt, etwa beim Verkauf, bei Spenden, beim Recycling oder bei der Rückgabe von Leasinggeräten
• wenn ein Medium in Umgebungen mit unterschiedlichen Schutzstufen wechselt
• wenn Daten ihre Aufbewahrungsfrist erreichen, statt am Ort zu verbleiben, etwa bei veralteten Daten, die niemand mehr braucht
• bei der Reaktion auf Sicherheitsvorfälle, wenn Daten auf ein System mit geringerem Schutzniveau gelangt sind

Überschreiben ist auf Flash-Speichern unzuverlässig. Wear Leveling und Over-Provisioning bedeuten, dass das Hostsystem nicht garantieren kann, dass jede physische Zelle neu beschrieben wurde. Bei SSDs sind daher geräteeigene Sanitize-Befehle oder das kryptografische Löschen vorzuziehen, wobei das kryptografische Löschen nur so stark ist wie die Vernichtung des Schlüssels dahinter.

Purge betrifft nur ein einzelnes Medium. Backups, Snapshots und Schattenkopien können die Daten weiterhin enthalten und brauchen eine gleichwertige Behandlung. Der Begriff gilt auch für logische Daten, etwa Datensätze, die am Ende ihrer Aufbewahrungsfrist aus einer Datenbank, einem Postfach oder einem Archiv entfernt werden.

Die Herausforderung liegt hier in der Vollständigkeit, nicht in der Physik. Ein gelöschter Datensatz kann in Replikaten, Transaktionsprotokollen, Suchindizes, Data-Warehouse-Exporten, zwischengespeicherten Berichten und früheren Backups fortbestehen. Ein logisches Purge koordiniert deshalb Maßnahmen über alle Kopien hinweg. Für Backups, die sich nicht selektiv bearbeiten lassen, ist die übliche Lösung das Auslaufen der Aufbewahrungsfrist, die im Aufbewahrungsplan ausdrücklich festgelegt wird.

Logisches Purge zeigt sich auch in der Konsole von Anexet DLP. Der Dialog zum Löschen von Vorfällen entfernt Vorfälle, die älter als eine festgelegte Anzahl Tage sind, behält nur die letzten N oder entfernt alles vor einem gewählten Datum. Der Reiter Datenspeicherung des Reports Server legt fest, wie lange gesammelte Daten aufbewahrt werden, hier die letzten 180 Tage.

1 / 2

• 
• 

Die Entscheidung beruht auf drei Faktoren: der Sensibilität der Daten auf dem Medium, der Frage, ob das Medium innerhalb oder außerhalb der Organisation weiterverwendet wird, und dem, was das Medium technisch unterstützt. Fehler entstehen, wenn diese Faktoren vermischt werden, etwa wenn ein Verfahren für die Weiterverwendung auf ein verkauftes Gerät angewandt wird oder brauchbare Hardware ohne Not zerstört wird.

1. 1

   Daten einstufen

   Lege zuerst fest, wie sensibel die Daten auf dem Medium sind.

2. 2

   Weiterverwendung prüfen

   Kläre, ob das Medium in einer Umgebung mit gleicher Sensibilität bleibt oder die Organisation verlässt.

3. 3

   Verfahren zuordnen

   Zerstörung passt zu sensiblen Medien, die die Organisation verlassen. Der geräteeigene Sanitize-Befehl passt zur Weiterverwendung auf gleicher Stufe, das kryptografische Löschen zu verschlüsselten Medien mit gut verwalteten Schlüsseln.

Die Überprüfung ist wichtig, weil Unternehmensrichtlinien und Prüfer in der Regel einen Nachweis verlangen, dass die Bereinigung erfolgreich war. Deshalb werden Restdaten nachträglich geprüft.

Da Purge nicht rückgängig zu machen ist, braucht es Freigabe und Protokoll. Übliche Kontrollen verlangen eine namentlich benannte Genehmigungsperson und die Prüfung, dass kein Rechtsstreit und keine laufende Untersuchung die Daten erfasst. Außerdem ist ein Zertifikat erforderlich, das Medium oder Datenbestand, Verfahren, Bearbeiter, Datum und Prüfergebnis festhält. Wird die Entsorgung ausgelagert, werden Übergabekette und Vernichtungszertifikate des Dienstleisters Teil dieses Nachweises.