Sanitisierung

Im Alltag bedeutet sanitisieren, etwas hygienisch zu machen: eine Oberfläche desinfizieren, Wasser aufbereiten oder eine Wunde reinigen. Auch die Softwareentwicklung hat das Wort übernommen, etwa wenn Benutzereingaben von Zeichen befreit werden, die als Code ausgeführt werden könnten. Beide Bedeutungen haben einen gemeinsamen Kern: den gefährlichen Teil neutralisieren und das Ganze brauchbar lassen.

Die Informationssicherheit wendet das Verb auf die Daten selbst an. Daten zu sanitisieren heißt, sie zu entfernen, zu löschen oder zu neutralisieren, sodass sich das Verbleibende nicht mehr wiederherstellen oder missbrauchen lässt. Anders als im Alltag muss das Ergebnis nicht sauber aussehen. Eine mit festen Mustern überschriebene Festplatte ist ein Erfolg, kein Chaos.

Sanitisieren ist ein Ergebnisbegriff. Er legt fest, dass die Daten entfernt oder unschädlich sind, schreibt aber kein Verfahren vor. Diese Weite macht ihn im Gespräch praktisch und in Anforderungen unscharf, daher bevorzugen Normen engere Begriffe und definieren jeden vor dem Gebrauch.

Was Sanitisierung vom Löschen trennt, ist die Remanenz: die Reste, die gewöhnliches Entfernen auf dem Speicher zurücklässt. Eine gelöschte Datei, Nachricht oder ein Cloud-Volume überlebt meist als wiederherstellbare Bytes. Sanitisierung schließt diese Lücke gezielt.

Delete entfernt nur den Indexeintrag. Erase überschreibt die Daten selbst. Purge verhindert die Wiederherstellung im Labor durch Entmagnetisierung, Blocklöschung oder kryptografisches Löschen. Destroy vernichtet den Datenträger, wenn Purge nicht möglich ist. Die Tabelle zeigt, was jedes Verfahren leistet:

Das Verb gilt auch unterhalb eines ganzen Datenträgers. Dokumente enthalten mehr als den sichtbaren Text: versteckte Tabellenblätter, nachverfolgte Änderungen, Kommentare und Metadaten wie Autorennamen, Firmennamen und Dateipfade. Eine Datei vor dem Verlassen der Organisation zu sanitisieren heißt, diese Rückstände zu entfernen.

Datensätze erhalten dieselbe Behandlung, bevor sie in Entwicklung, Test und Analyse wiederverwendet werden. Hier nähert sich das Verb der Datenmaskierung. Maskierung erhält die Struktur der Daten und verbirgt die Werte. Sanitisierung ist erst erfüllt, wenn der sensible Inhalt tatsächlich verschwunden ist.

Sanitisierung ist außerdem die übliche Bereinigung nach einer versehentlichen Offenlegung oder einem Datenabfluss. Die entwichenen Kopien werden aufgespürt, bereinigt oder vernichtet, und der Vorgang wird dokumentiert.

Der klassische Fall ist ein Gerät, das den Besitzer wechselt: Laptops von ausscheidenden Mitarbeitenden, Festplatten im Garantiefall, eingetauschte Smartphones, ausgemusterte Server. Jede Ausgabe ist eine Entscheidung zur Medien-Sanitisierung, und das Verfahren richtet sich nach dem Medium.

Zwei Gewohnheiten unterscheiden ein Entsorgungsprogramm von einer einmaligen Aktion. Die erste ist die Stichprobenprüfung der sanitisierten Medien. Die zweite ist die Erfassung von Seriennummern, Verfahren, verantwortlichen Personen und Datum. Dieses Protokoll macht die Gewohnheit zum Nachweis, den Prüfer und Ermittler nach Vorfällen verlangen.

Die Cloud ist der schwierigste Fall: Der Kunde besitzt die Daten, berührt aber nie den Datenträger. Ein Objekt zu löschen ist ein logischer Vorgang. Replikate, Backups, Snapshots und Caches können denselben Inhalt in anderen Regionen oder Konten enthalten, und keines davon kann der Kunde direkt überschreiben.

Der praktische Weg ist die kryptografische Löschung: die Vernichtung der Schlüssel, mit denen die Daten verschlüsselt wurden. So wird jede Kopie, bekannt oder unbekannt, auf einen Schlag unlesbar. Der Rest ist vertraglich geregelt: Aufbewahrungseinstellungen, Backup-Fenster und die Zusagen des Anbieters zu gemeinsam genutzter Hardware bestimmen, wie vollständig eine Bereinigung sein kann.

Sanitisierungsprogramme scheitern häufiger an Verantwortlichkeit als an Werkzeugen. Jede Stufe braucht eine benannte verantwortliche Person, damit niemand annimmt, die Entsorgung sei von jemand anderem freigegeben worden. Eine typische Rollenverteilung sieht so aus:

Regelmäßig angewendet ist Sanitisierung grundlegende Datenhygiene und nicht nur ein Schritt bei der Entsorgung. Die termingerechte Entfernung veralteter Daten, wie alter Datensätze und genutzter Testkopien, verringert, was abfließen, gerichtlich angefordert oder verkauft werden kann. Daten, die nicht mehr existieren, brauchen keinen weiteren Schutz.

Das Verb ist nur ehrlich, wenn das Ergebnis nachgewiesen ist. Aufsichtsbehörden und Sicherheitsrahmen behandeln die geprüfte Entfernung als Pflicht, nicht als Gefälligkeit. In der Praxis braucht es dafür drei Dinge:

1. 1

   Verfahren wählen

   Wählen Sie ein Verfahren, das zum Medium und zur Sensibilität der Daten passt.

2. 2

   Ergebnis prüfen

   Prüfen Sie Stichproben der Ausgabe, statt dem Werkzeug allein zu vertrauen.

3. 3

   Protokoll führen

   Verknüpfen Sie jedes Gerät und jeden Datensatz mit der Maßnahme, der verantwortlichen Person und dem Datum.

Sanitisierung ist eine der wenigen Maßnahmen, die noch wirken, wenn andere versagt haben. Ein gestohlener Laptop mit sanitisierter Festplatte bringt nichts, und eine Datei ohne versteckte Metadaten verrät nichts über das Team, das sie geschrieben hat.

Beginnen Sie mit den Daten, deren Abfluss den größten Schaden verursachen würde, und dann mit den Kanälen, die tatsächlich genutzt werden. Richtlinien, die für alles auf einmal geschrieben werden, blockieren am Ende die Arbeit und werden abgeschaltet.