Was ist sichere Datenlöschung (Data Sanitization)?

Sichere Datenlöschung (engl. data sanitization, oft auch Datenbereinigung genannt) ist das bewusste, dauerhafte Entfernen von Daten von einem Speichermedium, sodass sie sich selbst mit forensischen Mitteln nicht wiederherstellen lassen. Sie ist der Schritt, der es überhaupt erst sicher macht, ein datenträgendes Gerät aus Ihrem Einflussbereich zu entlassen - ob es weiterverkauft, gespendet, recycelt oder im Rahmen der IT Asset Disposition (ITAD) an einen Entsorgungsanbieter geht.

Achten Sie auf die Lücke zwischen echter Löschung und dem, was die meisten stattdessen tun. Den Papierkorb zu leeren, ein Benutzerprofil zu löschen oder ein Laufwerk schnell zu formatieren entfernt nur die Wegweiser zu den Daten, nicht die Daten selbst. Solange die zugrunde liegenden Blöcke nicht überschrieben oder vernichtet sind, kann gewöhnliche Wiederherstellungssoftware die Dateien zurückholen.

Die drei Methodenfamilien

Die weit verbreitete Referenz ist NIST SP 800-88, das die Datenlöschung in drei aufeinander aufbauende Stufen unterteilt (in Deutschland gibt das BSI mit der Richtlinie BSI TR-03138 / „Ersatzverfahren” vergleichbare Vorgaben):

• Clear - Überschreiben des Speichers mit neuen Daten über die normalen Schreibbefehle. Schützt vor gewöhnlicher Wiederherstellungssoftware; geeignet für Medien, die intern wiederverwendet werden.
• Purge - stärkere Verfahren, die auch eine Wiederherstellung im Labor verhindern: Firmware-Secure-Erase, kryptografisches Löschen (Zerstörung des Verschlüsselungsschlüssels, sodass die Daten zu unlesbarem Chiffretext werden) oder Entmagnetisierung bei magnetischen Medien.
• Destroy - Schreddern, Zerkleinern oder Verbrennen des Mediums, sodass es nicht mehr nutzbar ist. Das Ende der Fahnenstange, wenn das Laufwerk defekt ist, die Daten hochsensibel sind oder die Richtlinie es vorschreibt.

Den nächstliegenden Fehler vermeiden: Die Verfahren hängen vom Medium ab. Entmagnetisierung löscht Festplatten und Bänder, bei SSDs bewirkt sie nichts; das mehrfache Überschreiben magnetischer Platten passt schlecht zu Flash-Speicher, wo Secure-Erase oder kryptografisches Löschen der Firmware die Arbeit korrekt erledigt.

Die richtige Methode wählen

Drei Fragen entscheiden. Wird das Gerät wiederverwendet oder verkauft? Dann löschen, nicht vernichten - ein verifiziertes Löschen erhält den Wiederverkaufswert, funktionierende Laufwerke zu schreddern bedeutet, Geld zu verbrennen. Wie sensibel sind die Daten? Gewöhnliche Geschäftsdaten auf einem funktionierenden Laptop genügen Clear oder Purge; regulierte oder hochriskante Daten verlangen Purge oder Destroy. Und können Sie das Verfahren überhaupt ausführen? Laufwerke, die nicht mehr ansprechbar sind, sowie Speicher in Kopierern, medizinischer oder Diagnoseausrüstung und Netzwerktechnik lassen sich oft nicht verlässlich löschen - das sind standardmäßig Fälle für die Vernichtung.

Verifikation und Nachweis

Eine Löschung ohne hinterlassenen Nachweis ist praktisch nicht geschehen, weil niemand später belegen kann, dass sie stattgefunden hat. Der praxistaugliche Standard ist ein Nachweis je Gerät: welches Laufwerk (Seriennummer), welches Verfahren, welches Werkzeug oder welcher Anbieter, wer es durchgeführt hat und wann - dazu ein Vernichtungsnachweis, wenn ein Dritter vernichtet. Den Nachweis am Asset aufbewahren, nicht in einem losen Ordner; in AMPthilly lassen sich Löschprotokolle und Zertifikate als Dokumente am Asset-Datensatz anhängen, wo der Audit-Trail ohnehin schon zeigt, wann das Gerät ausgemustert wurde.

Häufige Fehler

• Sich auf Löschen oder Werksreset verlassen. Resets unterscheiden sich je nach Gerät und Generation; manche lassen Nutzerdaten wiederherstellbar. Verifizieren, nicht annehmen.
• Versteckten Speicher vergessen. Kopierer, Drucker, Telefone, Smart-TVs in Besprechungsräumen und Laufwerkskäfige in alten Servern tragen Daten, an die niemand denkt.
• Das Gerät löschen, die Kopien nicht. Ein perfekt gelöschter Laptop nützt wenig, wenn dieselben Dateien in einem nicht verwalteten Backup oder im Cloud-Sync einer ausgeschiedenen Person weiterleben.
• Keine Anbindung an das Asset-Register. „Wir löschen vor der Entsorgung alles” ist eine Behauptung; ein Register, in dem jedes ausgemusterte Gerät seinen Löschnachweis trägt, ist ein Beleg.

Verwandte Begriffe

• Datenträgendes Gerät - jedes Asset, das gelöscht werden muss, bevor es Ihren Einflussbereich verlässt
• Vernichtungsnachweis - der Nachweis eines Dritten, dass Medien vernichtet wurden
• Audit-Trail - der Nachweis, der Löschbelege an die Asset-Historie bindet
• Elektroschrott - wohin vernichtete Medien nach der Vernichtung gehen
• WEEE-Richtlinie - die EU-Regeln für den Umgang mit Elektroschrott