Datenlöschmethode

Datenlöschung ist die Praxis, und ihr Ziel lautet: keine wiederherstellbaren Daten, wenn ein Medium wiederverwendet, umgewidmet oder entsorgt wird. Die Datenlöschmethode ist der Weg, dieses Ziel auf einem bestimmten Gerät zu erreichen: der konkrete Mechanismus, den ein Bediener ausführt.

Der Unterschied ist wichtig. Die Methoden unterscheiden sich in den Speichertechnologien, für die sie taugen, in der Stärke des Schutzes, darin, ob das Medium erhalten bleibt, und darin, wie sich das Ergebnis später belegen lässt.

Die Methoden gliedern sich in zwei Familien. Logische Methoden (Überschreiben, Block Erase, kryptografisches Löschen) wirken über Software oder den Speichercontroller auf die Daten, sodass das Medium wiederverwendbar bleiben kann. Physische Methoden (Entmagnetisieren und Vernichtung) wirken auf das Medium selbst und beenden seine Nutzungsdauer.

NIST Special Publication 800-88 ordnet jede Methode einer von drei Ergebnisstufen zu. Clear verhindert die übliche Wiederherstellung per Software. Purge verhindert moderne Laborverfahren. Destroy nimmt das Medium endgültig aus der Nutzung.

Formale Richtlinien und die Branchenpraxis nennen fünf Methoden. Jede passt zu einer Medienklasse und erreicht eine bestimmte Ergebnisstufe:

Die Tabelle zeigt die praktischen Unterschiede nicht vollständig. Oft entscheiden genau sie über die Entsorgungsrichtlinie.

Überschreiben: Ein einziger Durchgang mit einem bekannten Muster genügt bei modernen Magnetplatten, das Medium muss aber voll funktionsfähig sein. Der Durchgang erreicht weder neu zugeordnete Sektoren noch Bereiche, die der Host nie adressiert hat. Deshalb gilt Überschreiben als Clear und nicht als Purge.

Block Erase: Der Controller des Laufwerks führt den Sanitize-Befehl selbst aus. Er kann Zellen löschen, die das Betriebssystem nie sieht, auch überprovisionierte Bereiche. Der Befehl muss erfolgreich abgeschlossen werden, damit er zählt.

Kryptografisches Löschen: Es geht nahezu augenblicklich, unabhängig von der Kapazität. Seine Verlässlichkeit hängt vom Schlüsselmanagement ab. Ein hinterlegter, gesicherter oder geleakter Schlüssel kann die Löschung rückgängig machen. Deshalb ist das Schlüsselinventar genauso wichtig wie der Befehl.

Entmagnetisieren: Eine einzige Einwirkung löscht alles Magnetische, auch die Firmware und die Servodaten, sodass das Medium nie wieder funktioniert. Auf Flash- oder optische Medien hat es keine Wirkung, es ist daher keine allgemeine Methode.

Physische Vernichtung: Die einzige verlässliche Option für Medien, die keine Befehle ausführen können, etwa defekte Laufwerke oder optische Discs. Sie ist die übliche Wahl für die sensibelsten Daten. Der Schutz hängt von der Partikelgröße ab, die das Gerät erreicht.

Die Wahl einer Methode gleicht Vorgaben ab, sie ist keine Rangliste nach Stärke. Eine tragfähige Richtlinie legt die Vorgaben fest, und die Methode ergibt sich daraus:

1. 1

   Speichertechnologie

   Bestimmt, welche Methoden technisch möglich sind. Überschreiben passt zu Magnetplatten, Block Erase zu Flash, Entmagnetisieren nur zu Magnetmedien, Vernichtung zu allem.

2. 2

   Sensibilität der Daten

   Je höher die Klassifizierung, desto höher die geforderte Ergebnisstufe. Weniger sensible Daten reichen womöglich mit Clear, regulierte Daten verlangen meist Purge oder Destroy.

3. 3

   Weiteres Ziel des Mediums

   Wiederverwendung auf gleicher Sensibilitätsstufe erlaubt Clear. Weitergabe an eine weniger vertrauenswürdige Umgebung oder Entsorgung verlangt Purge oder Destroy.

4. 4

   Zustand des Mediums

   Ein Laufwerk, das keine Befehle mehr annimmt, lässt sich nicht logisch bereinigen. Es geht direkt zur Entmagnetisierung oder Vernichtung.

5. 5

   Verschlüsselung von Anfang an

   Bei einem gut verwalteten verschlüsselten Laufwerk erreicht die Vernichtung des Schlüssels in Sekunden Schutz auf Purge-Niveau. Deshalb wird empfohlen, Daten schon beim Schreiben zu verschlüsseln.

6. 6

   Praktische Einschränkungen

   Datenmenge, Zeit, Gerätekosten und Überprüfbarkeit. Eine schnelle Methode, die sich nicht belegen lässt, ist in der Praxis schwächer als eine langsamere, die sich belegen lässt.

Zwei Kombinationen decken die meisten Entscheidungen ab. Eine intakte Magnetplatte, die in der Organisation bleibt, wird durch Überschreiben auf Clear gebracht. Jedes Medium, das sie verlässt, ob weiterverkauft, an den Leasinggeber zurückgegeben oder recycelt, wird je nach Klassifizierung der darauf gespeicherten Daten mit Purge oder Destroy behandelt.

Unabhängig von der Methode ist ein ungeprüftes Ergebnis nur eine Annahme. Überschreiben und Block Erase prüft man durch Stichproben des Mediums, bei denen keine erkennbaren Daten lesbar sein dürfen. Kryptografisches Löschen prüft man, indem man bestätigt, dass der Schlüssel an allen Orten verschwunden ist, an denen er lag, auch in Backups und Treuhandstellen. Vernichtung prüft man anhand der vom Gerät angegebenen Partikelgröße sowie durch Zeugen oder Zertifikate. Schlägt die Prüfung fehl, durchläuft das Medium dieselbe Methode erneut oder wird bis zur Vernichtung eskaliert.

Reife Programme erfassen für jedes Gerät Seriennummer, Datenklassifizierung, angewandte Methode und Werkzeug, Bediener, Datum und Prüfergebnis. Werden ausgemusterte Laufwerke Jahre später infrage gestellt, kann die Organisation so belegen, welches Medium wie bereinigt wurde, statt sich auf das Gedächtnis zu verlassen.