Schutz Vor Datenresten

Die benachbarten Begriffe beschreiben jeweils nur einen Ausschnitt des Bildes. Remanenz ist das Phänomen: physisch wiederherstellbare Datenspuren, die eine Löschung überdauern. Purge (Bereinigung) ist eine Technik: die irreversible Entfernung durch Überschreiben, Block-Löschung oder Vernichtung des Schlüssels. Der Schutz vor Datenresten ist die Praxis, die um diese Konzepte herum aufgebaut ist. Sie legt im Voraus fest, wie jede Kopie der Daten am Ende ihres Lebenszyklus unwiederherstellbar gemacht wird, und sie kann nachweisen, dass dies geschehen ist.

Deshalb betrifft der Schutz den gesamten Lebenszyklus und nicht nur den Tag der Entsorgung. Die Entscheidungen, die bestimmen, wie vollständig Datenreste neutralisiert werden können, fallen lange bevor etwas weggeworfen wird. War der Speicher ab dem ersten Schreibvorgang verschlüsselt? Wie sind Backups und Snapshots aufgebaut? Welche Geräte haben die Daten gespeichert? Wenn ein Laptop außer Betrieb genommen wird, sind die Optionen bereits durch das eingeschränkt, was während seiner Nutzungsdauer geschehen ist.

Die Praxis stützt sich auf wenige Techniken. Jede passt zu einem anderen Medium und einer anderen Sensibilität:

Es ist schwer zu garantieren, dass jede Kopie überall gelöscht wird. Flash-Controller verlagern Daten ohne Wissen des Hosts. Cloud-Plattformen geben Blöcke an gemeinsam genutzte Pools zurück, auf die der Mandant keinen Zugriff hat. Ein defektes Laufwerk nimmt keine Befehle mehr an. Verschlüsselung vor der Entsorgung kehrt diese Anforderung um. Wurden die Daten während ihres gesamten Lebens verschlüsselt, reduziert sich die Entsorgung auf die Vernichtung des Schlüssels. Jede übersehene Kopie, etwa die verschlissene Zelle, das alte Backup oder das vergessene Array, wird zu Chiffretext, den niemand lesen kann.

Die Stärke dieses Ansatzes hängt vollständig vom Schlüsselmanagement ab. Ein Schlüssel, der in einer Hinterlegung (Escrow), einem Konfigurations-Backup oder einem Schlüsselserver mit eigenem Backup überlebt, macht die Löschung zunichte. Der Vernichtungsschritt muss daher jeden Ort abdecken, an dem der Schlüssel existiert. Der zweite Vorbehalt betrifft die Historie. Verschlüsselung schützt nur Daten, die nach ihrer Aktivierung geschrieben wurden. Ein Laufwerk, das zwei Jahre im Klartext lief und danach verschlüsselt wurde, trägt diese Klartext-Zeit darunter. Es braucht eine vollständige Bereinigung oder Vernichtung, nicht nur die Vernichtung des Schlüssels. Deshalb ist die kryptografische Löschung nur so stark wie die Schlüsselverwaltung dahinter.

Die Datenträgerbereinigung betrifft das Gerät, das entsorgt wird. Der Schutz vor Datenresten muss zusätzlich jeden anderen Ort berücksichtigen, an dem Daten still weiterbestehen:

• Dateisystem-Überbleibsel: Temporäre Dateien, Auslagerungsspeicher, Ruhezustandsdateien und Schattenkopien.
• Backups und Repliken: Snapshots, Repliken, Extrakte und Suchindizes, jeweils mit eigener Aufbewahrungsfrist.
• Peripheriegeräte: Drucker, Scanner und Netzwerkgeräte mit internem Speicher.
• Mobile und Wechseldatenträger: Telefone, Tablets, USB-Sticks und Kartenspeicher. Sie umgehen oft die formale Entsorgung.
• Arbeitsspeicher: Flüchtige Remanenz im RAM, relevant, wenn laufende Geräte gekühlt werden können.

Technik allein übersteht kein Audit. Ein funktionierendes Programm führt ein Inventar der vorhandenen Datenträger. Es verbindet die Wahl der Methode mit der Klassifizierung der Daten, die jeder Datenträger enthielt. Es verfolgt jedes Gerät zwischen Außerbetriebnahme und Entsorgung, also in dem Zeitfenster, in dem Hardware am häufigsten verschwindet.

Bereinigungsereignisse werden pro Gerät protokolliert: Seriennummer, Datenklassifizierung, angewandte Methode, Werkzeug und Version, Bediener, Datum und Ergebnis der Prüfung. Wird die Entsorgung ausgelagert, gehören die Zertifikate des Anbieters und die Nachweiskette zu diesem Protokoll. Datenschutzregime beurteilen die Organisation anhand der Nachweise, die sie vorlegen kann, nicht anhand der Absicht in ihrer Richtlinie. Für die eigenen Datensätze des Produkts gilt dieselbe Regel: Die Konsole kann Vorfallsdatensätze nach Alter, Anzahl oder Datum löschen.

1 / 2

• 
• 

Die gleichen Fehler wiederholen sich in vielen Organisationen. Eine schnelle Formatierung gilt als Löschung. Ein mehrfaches Überschreiben läuft auf einer SSD, deren Wear-Leveling alte Zellen still erhält. Der Laptop wird bereinigt, doch die Festplatte der Dockingstation, das Telefon und die Backup-Bänder werden vergessen. Eine kryptografische Löschung wird durch eine Schlüsselkopie im Backup untergraben. Datenträger gehen auf dem Transportweg verloren, während das Entsorgungsticket noch offen ist. Cloud-Volumes gelten als bereinigt, weil die Konsole „gelöscht“ anzeigte, obwohl die echte Garantie im Vertrag des Anbieters steht und nie geprüft wurde. Jeder dieser Fehler ist günstig zu verhindern und teuer zu entdecken, meist dann, wenn ein Gerät mit noch vorhandenen Daten wieder auftaucht. Auch die Aufbewahrung zählt: veraltete Daten, die niemand prüft, bleiben Datenreste.

Beginnen Sie mit den sensiblen Daten, deren Abfluss den größten Schaden anrichten würde, und erfassen Sie dann die Wege, auf denen sie tatsächlich fließen. Ein Programm, das alle Datenträger gleichzeitig bereinigen will, bleibt stecken. Beginnen Sie deshalb mit den Datenträgern und Kopien, die das Haus zuerst verlassen.

Weiterlesen: Technisches Informationsleck: was ist das und wie schützt man sich davor?.