Eine klassische Festplatte speichert Daten magnetisch auf rotierenden Scheiben. SSDs, NVMe-Laufwerke, USB-Sticks und andere Flash-Speicher arbeiten dagegen mit Speicherzellen, einem Controller und internen Verwaltungsmechanismen. Genau dieser Unterschied entscheidet darüber, ob eine Löschung tatsächlich zuverlässig ist. Ein einfaches Überschreiben der sichtbaren Laufwerksbereiche kann bei Flash-Medien zu kurz greifen, weil Daten intern verschoben, zwischengespeichert oder in Reservebereichen abgelegt werden. Für Unternehmen bedeutet das: Die bisherige Routine für Festplatten darf nicht ungeprüft auf moderne Datenträger übertragen werden. Entscheidend sind das konkrete Laufwerk, seine unterstützten Löschfunktionen, der Schutzbedarf der Daten und eine nachvollziehbare Dokumentation.
Flash-Speicher verlangt andere Löschwege
Bei einer klassischen magnetischen Festplatte lässt sich der Löschvorgang vergleichsweise direkt nachvollziehen. Ein Programm schreibt Daten über die adressierbaren Sektoren und ersetzt die vorhandenen Informationen. Werden alle relevanten Bereiche vollständig bearbeitet und anschließend geprüft, kann dieses Verfahren je nach Schutzbedarf eine geeignete Lösung für die Wiederverwendung sein. Das BSI weist zugleich darauf hin, dass ein einfaches Zurücksetzen auf Werkseinstellungen nicht mit einer sicheren Datenlöschung gleichzusetzen ist.Bei SSDs funktioniert dieser Ansatz nicht in gleicher Weise. Flash-Speicher kann einzelne Speicherzellen nicht beliebig und direkt überschreiben. Der Controller verteilt Schreibvorgänge über verschiedene Blöcke, um die Lebensdauer des Laufwerks zu erhöhen. Nicht mehr benötigte Daten werden zunächst logisch freigegeben und später durch interne Prozesse wie Garbage Collection bereinigt. Hinzu kommen Over-Provisioning, Reserveblöcke, Fehlerkorrektur, Wear-Leveling sowie teilweise Cache- und Firmwarebereiche. Für das Betriebssystem sind diese Speicherbereiche nicht immer sichtbar. Ein herkömmliches Überschreibprogramm erreicht deshalb möglicherweise nicht alle physischen Zellen, in denen sich zuvor Daten befanden.Auch TRIM oder eine Formatierung sind nicht automatisch ein vollständiger Löschbeleg. Solche Funktionen können dem Laufwerk mitteilen, dass logische Bereiche nicht mehr benötigt werden. Sie sagen jedoch allein noch nichts darüber aus, ob sämtliche früheren Informationen in nicht adressierbaren Bereichen sicher entfernt wurden. Ebenso ist das Auslesen des Laufwerks nach dem Löschvorgang nur eingeschränkt aussagekräftig, wenn interne Speicherbereiche nicht sichtbar sind.Für SATA-SSDs kommen je nach Modell herstellerspezifische oder standardisierte Funktionen wie Secure Erase beziehungsweise Sanitize infrage. Bei NVMe-Laufwerken stehen unter anderem Format- und Sanitize-Befehle zur Verfügung. Welche Variante unterstützt wird und welchen Umfang sie tatsächlich hat, muss vor der Ausführung über die Laufwerksdaten, die Herstellerdokumentation und geeignete Prüfwerkzeuge festgestellt werden. Ein Crypto Erase kann Daten beispielsweise dadurch unbrauchbar machen, dass der für die Verschlüsselung verwendete Schlüssel sicher gelöscht oder ersetzt wird. Das setzt voraus, dass die Verschlüsselungsarchitektur des Laufwerks und die Schlüsselfunktionen verlässlich bekannt sind.In der Unternehmenspraxis beginnt sichere Löschung deshalb nicht mit dem Start eines Programms, sondern mit der Identifikation des Datenträgers. Seriennummer, Schnittstelle, Hersteller, Modell, Firmwarestand und erkannte Löschoptionen sollten erfasst werden. Anschließend wird entschieden, ob eine Wiederverwendung möglich ist oder ob eine physische Vernichtung das angemessene Verfahren darstellt. Bei defekten, gesperrten oder nicht eindeutig unterstützten SSDs ist ein Softwareverfahren häufig nicht ausreichend belastbar. Für besonders schutzbedürftige Informationen kann die physische Vernichtung des Speichermediums die sicherere Entscheidung sein, auch wenn dadurch eine weitere Nutzung ausgeschlossen wird.Zu berücksichtigen sind außerdem Geräte, in denen Flash-Speicher fest integriert ist. Dazu zählen beispielsweise Smartphones, Netzwerkkomponenten, Drucker, Mainboards, IoT-Geräte und manche Servermodule. Dort können neben Nutzdaten auch Zugangsdaten, Zertifikate, Konfigurationen oder Protokollinformationen gespeichert sein. Ein Werksreset muss daher nach den Funktionen des jeweiligen Geräts beurteilt werden. Sind Speicher oder Managementbereiche nicht zuverlässig zurücksetzbar, kann der Ausbau oder die Vernichtung des relevanten Bauteils erforderlich sein.Datenschutzrechtlich kommt es nicht auf die Bezeichnung des Löschverfahrens, sondern auf ein dem Risiko angemessenes Schutzniveau an. Unternehmen sollten Verfahren nach Datentyp, Schutzbedarf und geplanter Weiterverwendung festlegen, regelmäßig überprüfen und auch Sicherungen, Archive sowie temporäre Speicher berücksichtigen. Werden externe Dienstleister eingesetzt, müssen deren Abläufe nachvollziehbar, kontrollierbar und dokumentiert sein. Dazu gehören eine gesicherte Abholung, eindeutige Zuordnung der Datenträger, kontrollierte Bearbeitung und ein belastbarer Lösch- oder Vernichtungsnachweis.Corebo verbindet bei der Aussonderung von IT-Systemen technische Löschung, Datenträgervernichtung und Recycling mit dokumentierten Prozessschritten. Gerade bei gemischten Beständen aus HDDs, SATA-SSDs, NVMe-Laufwerken und integrierten Speichern ist eine pauschale Behandlung riskant. Eine fachgerechte Prüfung entscheidet, welcher Datenträger gelöscht, wiederverwendet, ausgebaut oder nach den Anforderungen der DIN 66399 vernichtet wird. Erst wenn Technik, Schutzbedarf, Transport und Nachweis zusammenpassen, wird aus einem Löschvorgang ein belastbarer Prozess.