Datenlöschungstechnik

Im Alltag werden Methode und Technik austauschbar verwendet. Im operativen Betrieb ist der Unterschied wichtig. Eine Sanitisierungsmethode benennt die Handlung und die Stärke, die sie erreichen muss: Löschen, Bereinigen oder Vernichten, gemessen an der Skala der NIST SP 800-88. Eine Sanitisierungstechnik ist der konkrete Mechanismus, der diese Handlung auf einem bestimmten Medium umsetzt: das Überschreiben von Sektoren, das Entmagnetisieren magnetischer Domänen, der Aufruf der Löschfunktion des Controllers, die Vernichtung eines Verschlüsselungsschlüssels oder das Schreddern des Geräts.

Die Folge ist praktisch. Richtlinien werden in Methoden formuliert, die Ausführung erfolgt in Techniken. Eine Richtlinie kann verlangen, dass Datenträger ausscheidender Mitarbeiter bereinigt werden, doch die Technik wählt der Ingenieur, der vor einer defekten SSD steht. Eine Technik kann sogar zwei Methoden abdecken: Entmagnetisieren bereinigt eine Magnetplatte und zerstört sie zugleich.

Fünf Mechanismen decken in der Praxis fast die gesamte Sanitisierung ab, und jeder hat eine physikalische Grundlage, die bestimmt, wo er wirkt. Auf einer funktionsfähigen Magnetplatte macht ein einziger Überschreibdurchgang softwarebasierte Wiederherstellung unmöglich. Zusätzliche Durchgänge kosten Zeit, bringen aber keine zusätzliche Sicherheit.

Jeder Mechanismus wirkt gegen eine andere Form der Datenremanenz: gegen Daten, die nach gewöhnlichem Löschen auf dem Medium zurückbleiben.

Entscheidend für die Richtigkeit einer Technik ist nicht ihre Stärke auf dem Papier, sondern die Physik des Mediums. Ein Überschreibdurchgang, der auf einer Festplatte nichts Wiederherstellbares hinterlässt, erreicht die Zellen nicht, die der Controller einer SSD aus dem Blick genommen hat.

Flash verträgt kein Überschreiben. Wear Leveling und Over-Provisioning halten einen Teil der physischen Zellen außerhalb des Adressraums des Hosts, außerhalb der Reichweite jedes Schreibbefehls. Die maßgebliche Technik für SSDs ist die Sanitize-Funktion des Controllers oder das kryptografische Löschen. Ein Laufwerk, das für beides zu stark beschädigt ist, geht direkt zur Zerstörung.

Cloud-Speicher scheitert an jeder physischen Technik aus dem umgekehrten Grund: Der Mandant berührt das Medium nie. Ob die Blöcke eines gelöschten Volumes vor der Wiederverwendung genullt werden, hängt von der Plattform ab. Löschen ist daher entweder kryptografisch, durch Vernichten des Schlüssels, oder vertraglich, auf Grundlage der Zusagen des Anbieters.

Jedes Medium schließt einige Techniken aus. ✓ kennzeichnet eine Technik, die auf diesem Medium funktioniert, ✗ eine, die versagt oder nicht anwendbar ist. Kryptografisches Löschen zählt nur dort, wo das Medium von Anfang an verschlüsselt war. Für SSDs ist die Sanitize-Funktion des Controllers die zweite maßgebliche Technik.

Eine Technik wird an der Stärke gemessen, die ihre Methode verlangt. Löschen muss gewöhnliche Wiederherstellungswerkzeuge abwehren. Bereinigen muss Wiederherstellung selbst im Labor unmöglich machen. Vernichten muss jeden abwehren. Ein Überschreiben, das für die interne Weiterverwendung eines Laptops genügt, reicht nicht mehr, wenn der Laptop verkauft wird. Die Technik bleibt dieselbe, das Urteil ändert sich, weil sich das Ziel geändert hat.

Ausführung ohne Prüfung ist eine Annahme, keine Sanitisierung. Nach dem Überschreiben wird eine Stichprobe des Speicherbereichs gelesen, um zu bestätigen, dass nichts Erkennbares zurückkehrt. Eine Blocklöschung protokolliert ihren Abschlussstatus. Eine Zerstörung wird mit Seriennummer, Methode und Übergabekette dokumentiert. Im Rahmen eines Programms zur Medienbereinigung wird jeder dieser Nachweise zusammen mit dem Auftrag gespeichert. Ein Laufwerk, das mitten im Überschreiben keine Befehle mehr annimmt, geht zur Zerstörung.

Die meisten Fehler entstehen, wenn eine Technik auf ein Medium angewendet wird, für das sie nie gedacht war. Mehrfaches Überschreiben auf einer SSD nutzt sie ab, während ausgemusterte Zellen ihre Daten behalten. Das Entmagnetisieren von Flash oder optischen Medien bewirkt nichts. Grobes Schreddern einer SSD kann Fragmente mit lesbaren Daten hinterlassen, daher muss die Partikelgröße zur Flächendichte passen. Häufig sind auch Schnellformatierungen, die als Sanitisierung ausgegeben werden, kryptografische Löschungen mit einer zweiten, aktiven Schlüsselkopie im Backup und Cloud-Volumes, die als sauber gelten, weil die Konsole „gelöscht“ meldete. Jede dieser Techniken wurde ehrlich ausgeführt und bewies doch nichts. Das Ergebnis bestimmt das Medium, nicht der Aufwand.

Zwischen Richtlinie und Handlung steht eine technische Entscheidung, die praktische Einschränkungen gegen die geforderte Stärke abwägt. Prüfen Sie die Punkte der Reihe nach:

1. 1

   Medium bestätigen

   Ermitteln Sie den Speichertyp und ob das Medium noch Befehle annimmt. Ein Laufwerk, das nicht mehr reagiert, hat nur noch eine Technik: die Zerstörung.

2. 2

   Technik zuordnen

   Streichen Sie anhand der Tabelle die Techniken, die das Medium nicht unterstützt, etwa Überschreiben bei Flash.

3. 3

   Durchsatz abwägen

   Überschreiben dauert Stunden pro Terabyte, kryptografisches Löschen Sekunden.

4. 4

   Schlüsselverwaltung prüfen

   Kryptografisches Löschen setzt Verschlüsselung von Anfang an und keine verbleibenden Schlüsselkopien in Backup oder Treuhand voraus.

5. 5

   Kosten und Standort berücksichtigen

   Entmagnetisierer und Schredder sind teuer, und Zerstörung beendet die Weiterverwendbarkeit. Filialen ohne diese Geräte setzen auf Softwarelöschung oder auf die Übergabe durch einen Kurier.

Beginnen Sie beim Medium, nicht beim Werkzeug. Listen Sie die Geräte auf, die Ihr Unternehmen verlassen, den Speichertyp in jedem und die Technik, die darauf wirkt. Behandeln Sie eine gelöschte Datei als weiterhin vorhanden, bis eine dieser Techniken gelaufen ist.

Eine Löschung ist erst abgeschlossen, wenn das Protokoll es bestätigt. Halten Sie bei jedem Gerät Methode, Technik, Seriennummer und die Person fest, die das Ergebnis freigegeben hat.