Datenbereinigung (Sanitization)

Das gewöhnliche Löschen ist ein Buchungsvorgang. Das Betriebssystem entfernt den Dateieintrag aus dem Dateisystemindex und markiert den Speicherplatz als frei, während die Bytes auf dem Medium erhalten bleiben, bis andere Daten sie überschreiben. Diese Restdaten heißen Datenremanenz. Sanitization richtet sich gegen die Daten selbst, nicht gegen den Index. Sie wendet physische oder logische Verfahren an, die nichts Wiederherstellbares zurücklassen, ob das Medium verkauft, an einen Leasinggeber zurückgegeben, zwischen Umgebungen unterschiedlicher Sensibilität verschoben oder verschrottet wird.

Im Alltag werden löschen, wischen und bereinigen locker und oft gleichbedeutend verwendet. Formale Vorgaben gehen umgekehrt vor und definieren jeden Begriff, bevor sie ihn verwenden. Der Unterschied zwischen einer schnellen Formatierung und einem geprüften Purge ist genau der Unterschied zwischen einer Offenlegung und einer sauberen Entsorgung.

Das Referenzwerk ist die NIST Special Publication 800-88, Guidelines for Media Sanitization. Sie definiert drei Maßnahmen zunehmender Stärke:

1. 1

   Clear

   Überschreibt adressierbaren Speicher mit einem festen Muster über Standard-Lese- und Schreibbefehle. Schützt vor Wiederherstellung durch übliche Software-Tools, solange das Medium in einer kontrollierten Umgebung bleibt.

2. 2

   Purge

   Wendet fortgeschrittene Verfahren an, etwa Entmagnetisierung, Block-Löschung oder kryptografisches Löschen, sodass eine Wiederherstellung praktisch unmöglich wird. Schützt vor hochmodernen Laborverfahren.

3. 3

   Destroy

   Macht das Medium durch Schreddern, Zerlegen, Pulverisieren oder Verbrennen physisch unbrauchbar. Schützt vor jedem Zugriff, allerdings auf Kosten des Mediums selbst.

Drei Faktoren entscheiden über die passende Stufe: die Vertraulichkeit der auf dem Medium gespeicherten Daten, ob das Medium im Unternehmen bleibt oder es verlässt, und was das Medium technisch unterstützt. Verschlüsselung verändert die Rechnung. Auf einem gut verwalteten verschlüsselten Laufwerk erreicht das kryptografische Löschen, also die Vernichtung des Schlüssels, in Sekunden einen Schutz auf Purge-Niveau. Deshalb empfiehlt NIST, Daten ab dem Schreiben zu verschlüsseln und die Schlüsselvernichtung als vollwertige Sanitization-Methode zu betrachten. Eine Technik, die bei einer Speichertechnologie funktioniert, kann bei einer anderen wirkungslos sein:

• Magnetplatten und -bänder: Direktes Überschreiben ist in der Regel wirksam. Entmagnetisieren entfernt die magnetischen Domänen vollständig und macht das Medium unbrauchbar.
• Flash-Medien (SSDs, USB-Sticks): Wear-Leveling und Overprovisioning halten Zellen außerhalb der Kontrolle des Hosts. Daher sind laufwerkseigene Sanitize-Befehle oder kryptografisches Löschen vorzuziehen.
• Mobile und eingebettete Geräte: Eingebaute Rücksetzfunktionen unterscheiden sich in ihrer Wirkung und erfassen wechselbaren Speicher mitunter nicht. Jede Komponente braucht eine eigene Behandlung.
• Optische Medien: Sie lassen sich nicht überschreiben. Zerstörung ist die einzig verlässliche Option.
• Defekte oder beschädigte Laufwerke: Ein Medium, das keine Befehle mehr annimmt, lässt sich nicht verifizieren. Dokumentierte physische Zerstörung ist dann die Rückfalloption.

Derselbe Begriff gilt auch für Datensätze statt Medien, etwa beim Bereinigen einer Datenbank, eines Postfachs oder eines Cloud-Mandanten am Ende einer Aufbewahrungsfrist. Hier liegt die Schwierigkeit in der Vollständigkeit, nicht in der Physik. Ein Datensatz kann in Replikaten, Transaktionsprotokollen, Suchindizes, Data-Warehouse-Extrakten und Backups fortbestehen, die vor der Sanitization angelegt wurden. Backups, die sich nicht gezielt bearbeiten lassen, behandelt man üblicherweise, indem man die Aufbewahrungsfrist auslaufen lässt. Das sollte im Aufbewahrungsplan ausdrücklich festgehalten sein und nicht stillschweigend vorausgesetzt werden.

Cloud-Speicher bringt eine vertragliche Dimension mit. Ein gelöschtes Volume gibt seine Blöcke an einen gemeinsamen Pool zurück. Ob diese Blöcke vor der Neuzuweisung genullt werden, ist eine Eigenschaft der Plattform, nicht des Mandanten. Die Sanitization-Zusage des Anbieters, also was er bei der Freigabe eines Volumes tut und welche Nachweise er liefert, wird daher Teil des Servicevertrags.

Eine Sanitization, die sich nicht nachweisen lässt, überzeugt keinen Prüfer. Ausgereifte Entsorgungsprozesse erfassen für jedes Gerät die folgenden Angaben. Wird die Entsorgung ausgelagert, kommen die Nachweiskette und die Zertifikate des Dienstleisters zum Protokoll hinzu. Das daraus entstehende Verzeichnis beantwortet die Frage, die Aufsichtsbehörden nach einem Vorfall stellen: Woher weiß die Organisation, dass kein Gerät mit noch vorhandenen Daten ihre Kontrolle verlassen hat?

In Anexet Inventory hat jedes Gerät eine Karte mit Typ, Hersteller, Seriennummer, Inventarnummer, Status und Standort. Das Hardware-Inventar ist der Ausgangspunkt für das Protokoll: Es zeigt, welches Gerät welches ist, bevor etwas das Haus verlässt.

Die meisten Sanitization-Fehler sind Prozessfehler, keine technischen. Was diese Lücken schließt, ist, Sanitization als geplanten Lebenszyklusschritt mit einem benannten Verantwortlichen zu behandeln, statt als Ad-hoc-Aufgabe zum Zeitpunkt der Entsorgung. Typische Fehler sind:

• Einen Datenträger schnell formatieren und ihn als bereinigt bezeichnen.
• Mehrfaches Überschreiben auf einer SSD, deren ausgemusterte Zellen die alten Daten behalten.
• Den Laptop bereinigen, aber das Telefon, die Backup-Bänder oder Ersatzlaufwerke in einer Schublade vergessen.
• Den Überblick über Medien zwischen Außerbetriebnahme und Entsorgung verlieren, also in der Phase, in der Geräte am häufigsten verschwinden. Ein Register der IT-Asset-Verwaltung soll genau diese Lücke schließen.

Beginnen Sie mit den Medien, die die sensibelsten Daten enthalten, und mit denen, die die Organisation verlassen, etwa geleaste Laptops und zurückgegebene Laufwerke. Ergänzen Sie danach Backups und Ersatzlaufwerke, die im Inventar nie auftauchten.