Jahrzehntelang bedeutete die Bereinigung einer Festplatte, sie mehrfach zu überschreiben. Jeder Sektor wurde beschrieben, neu beschrieben und erneut mit unterschiedlichen Mustern überschrieben. Die Logik war einfach: Wenn Spuren eines früheren magnetischen Zustands einen Schreibvorgang überstehen konnten, würde jeder weitere Schreibvorgang diese Spuren weiter verschlechtern und die Datenrettung erschweren.
Diese Logik galt für die magnetische Aufzeichnungstechnologie jener Zeit.
Moderne Festplatten speichern Daten mit weitaus höheren Speicherdichten und verwenden andere Speichermedien, Leseköpfe und Signalverarbeitungsverfahren als die Laufwerke, für die Mehrdurchlaufverfahren entwickelt wurden. Die relevante Frage lautet daher nicht: "Wie viele Durchläufe sind am sichersten?", sondern: "Was bewirkt ein einzelnes Überschreiben tatsächlich auf dem Speichermedium, und wann reicht es nicht aus?"
Was passiert beim Überschreiben?
Ein Festplattenlaufwerk speichert Daten als Magnetisierungsmuster in der Aufzeichnungsschicht einer sich drehenden Platte. Während eines Schreibvorgangs erzeugt der Schreibkopf des Laufwerks ein Magnetfeld, das die Ausrichtung des Aufzeichnungsmediums verändert. Der Lesekanal des Laufwerks erkennt diese Muster und Übergänge und decodiert sie über die Laufwerksschnittstelle in logische Daten.
Wenn ein logischer Sektor auf einer herkömmlichen Festplatte überschrieben wird, schreibt das Laufwerk normalerweise neue Daten an die physische Speicherposition, die derzeit dieser logischen Adresse zugeordnet ist. Der neue Schreibvorgang verändert den vorherigen magnetischen Speicherzustand, obwohl aufgrund von Laufwerks-Remapping und der Behandlung defekter Sektoren nicht automatisch davon ausgegangen werden sollte, dass ein logisches Überschreiben jeden physischen Speicherort abdeckt, an dem zuvor möglicherweise Daten gespeichert waren.
Ein zweiter Durchlauf wiederholt das Überschreiben im selben logischen Adressraum. Er erreicht von Natur aus keine neu zugeordneten Sektoren, versteckten Bereiche oder andere Stellen, die zuerst nicht berücksichtigt wurden, und führt keinen anderen Bereinigungsmechanismus ein.
Die historische sicherheitstechnische Begründung für wiederholtes Überschreiben beruhte auf der Möglichkeit, dass Spuren eines früheren magnetischen Zustands nach nachfolgenden Schreibvorgängen noch restlich nachweisbar bleiben könnten. Dies führte zur Entwicklung und zum Einsatz von Mehrfach-Überschreibverfahren, die darauf abzielten, die Datenrettung zuvor gespeicherter Daten zunehmend zu erschweren.
Warum wurden in der Vergangenheit mehrere Überschreibdurchgänge verwendet?
Frühe Bereinigungsverfahren wurden für Laufwerke mit deutlich geringerer Aufzeichnungsdichte, breiteren Spuren und einfacherer Leseelektronik entwickelt. Es bestand die Sorge, dass bei einer Laboranalyse der Plattenoberfläche – im Gegensatz zum Auslesen über die Laufwerksschnittstelle – schwache Restsignale früherer Daten entdeckt werden könnten, beispielsweise an den Rändern einer Spur, wo der Lesekopf das vorherige Signal nicht vollständig überschrieben hatte.
Wiederholte Schreibvorgänge mit unterschiedlichen Mustern
sollten solche Spuren unkenntlich machen. Zu den bekannten Verfahren gehörten
das dreifache Überschreiben gemäß DoD 5220.22-M und die von Peter Gutmann 1996 beschriebene 35-Durchlauf-Methode.
Dieser Ansatz spiegelte die zum Zeitpunkt der Entwicklung der Verfahren verfügbare Aufzeichnungstechnologie wider. Die Anzahl der Durchläufe wurde folglich mit der Stärke der Datenlöschung in Verbindung gebracht, auch wenn dieser Zusammenhang an bestimmte Laufwerke gebunden war. Das US-Verteidigungsministerium hat sich in späteren NISPOM-Richtlinien von verbindlichen Vorgaben zur Überschreibung distanziert, und die aktuellen NIST-Richtlinien betrachten eine feste Anzahl von Durchläufen nicht mehr als Voraussetzung für die Datenlöschung.
Wie hat sich die magnetische Aufzeichnungstechnologie verändert?
Moderne Laufwerke speichern Daten mit weitaus höheren Flächendichten, mit schmaleren Spuren, präziserer Kopfpositionierung und Aufzeichnungstechnologien wie der senkrechten, der Shingled- und der wärmeunterstützten magnetischen Aufzeichnung (HAMR). Der Lesekanal ist auf ausgefeilte Signalverarbeitung und Fehlerkorrektur angewiesen, um die aktuellen Daten überhaupt zuverlässig wiederherzustellen.
Unter diesen Bedingungen bieten zusätzliche Überschreibdurchläufe im Allgemeinen kaum praktischen Nutzen für die Daten, die bereits durch das Überschreiben erfasst wurden. NIST Rev. 2 stellt fest, dass das Überschreiben die Datenrettung in der Regel erschwert, selbst wenn modernste Labortechniken zum Einsatz kommen.
Die praktische Schlussfolgerung lautet, dass eine für ältere Aufzeichnungstechnologien entwickelte Durchlaufanzahl nicht auf moderne Laufwerke übertragbar ist. Bei einer modernen Festplatte besteht ein erhebliches Restrisiko darin, ob die Löschtechnik jede Stelle erreicht, an der sich Daten befinden könnten, einschließlich neu zugeordneter Bereiche und, sofern vorhanden, versteckter Bereiche wie der Host Protected Area (HPA) und des Device Configuration Overlay (DCO).
Bietet ein zusätzlicher Überschreibdurchgang eine zusätzliche Bereinigung?
Nicht an sich. Sobald ein vollständiger Überschreibvorgang die Daten an den entsprechenden, vom Benutzer adressierbaren Stellen ersetzt hat, wiederholt ein weiterer Durchlauf lediglich das logische Überschreiben. Er befasst sich nicht von Natur aus mit neu zugeordneten Sektoren oder anderen Bereichen außerhalb des logischen Adressraums und sollte daher nicht als eine andere Stufe der Datenlöschung betrachtet werden.
Wenn ein höheres Maß an Sicherheit erforderlich ist, ist die Lösung eine andere Bereinigungsmethode und nicht einfach eine höhere Anzahl von Durchläufen. Bei Festplatten kann dies eine auf Geräteebene durchgeführte Bereinigungstechnik beinhalten, die für das Laufwerk und den geltenden Standard geeignet ist, oder die Vernichtung, wenn keine Wiederverwendung erforderlich ist.
Aus diesem Grund sollte die Anzahl der Durchläufe am besten als Eigenschaft eines bestimmten Verfahrens verstanden werden und nicht als Maß für die Löschstärke.
Clear, Purge und Destroy: Wo das Überschreiben zum Einsatz kommt
NIST SP 800-88 Rev. 2 definiert drei Bereinigungsmethoden. „Clear“ nutzt logische Techniken wie das Überschreiben, um alle vom Benutzer adressierbaren Speicherorte zu bereinigen und vor einer einfachen, nicht-invasiven Datenrettung über die Standardschnittstelle zu schützen. „Purge“ nutzt logische oder physikalische Techniken, die darauf abzielen, eine Datenrettung selbst mit modernsten Labortechniken unmöglich zu machen, während das Speichermedium potenziell wiederverwendbar bleibt. „Destroy“ macht die Datenrettung unmöglich und macht das Speichermedium unbrauchbar. Rev. 2 verweist die Leser auf anwendbare Normen wie IEEE 2883 für technologiespezifische Bereinigungstechniken.
Das Überschreiben ist eine „Clear“-Technik, sofern es für das Speichermedium und das erforderliche Sicherheitsniveau angemessen ist. Rev. 2 legt außerdem fest, dass, sofern eine „Purge“-Technik verfügbar ist, „Purge“ anstelle von „Clear“ verwendet werden sollte. Die Auswahl technologiespezifischer Techniken wird nun weitgehend durch IEEE 2883 und andere anerkannte Normen geregelt und nicht mehr im Detail in Rev. 2 selbst beschrieben.
Was sagt NIST SP 800-88 Revision 2 über Überschreibdurchläufe aus?
NIST SP 800-88 Rev. 2, veröffentlicht im September 2025, ersetzte Revision 1 (2014). Darin wird anerkannt, dass Festplatten in der Vergangenheit mit mehreren Überschreibdurchläufen gelöscht wurden, häufig nach dem -Verfahren auf Basis von DoD 5220.22-M, wobei die historischen Verfahren von einem einzigen Durchlauf bis zu 39 Durchläufen reichten.
Das Änderungsprotokoll ist eindeutig: Die „Clear“-Methode wurde dahingehend präzisiert, dass ein mehrmaliges Überschreiben nicht erforderlich ist, womit der veralteten Formulierung in DoD 5220.22-M entgegengewirkt wird, die eine festgelegte Anzahl von Überschreibdurchläufen und -mustern vorschrieb. Wo eine höhere Sicherheit erforderlich ist, verweist Rev. 2 Organisationen auf eine geeignete Purge- oder Destroy-Methode, anstatt einfach nur weitere Überschreibdurchläufe hinzuzufügen.
Rev. 2 legt zudem größeren Wert darauf, den Erfolg der Datenbereinigung nachzuweisen. Dabei wird zwischen der Verifizierung der Datenbereinigung – bei der geprüft wird, ob der Vorgang erfolgreich abgeschlossen wurde und ob Fehler oder Anomalien vorliegen – und der Validierung der Datenbereinigung unterschieden, bei der festgestellt wird, ob das Ergebnis für die erforderliche Vertraulichkeitsstufe akzeptabel ist. In der Bescheinigung über die Datenbereinigung werden die Methode, die Technik, das Tool sowie Details zur Verifizierung/zum Status und zur Validierung festgehalten.
Sind also mehrere Überschreibdurchgänge notwendig?
Nein, nicht als allgemeine technische Anforderung. Bei modernen Festplatten kann ein einziges vollständiges Überschreiben aller relevanten, vom Benutzer adressierbaren Speicherorte die NIST-Methode „Clear“ erfüllen, sofern „Clear“ die geeignete Methode ist. Zusätzliche Durchläufe verlängern die Dauer, heben die Bereinigungsmethode jedoch nicht an sich von Clear auf Purge an.
Mehrdurchlaufverfahren sind nicht grundsätzlich ungültig. Sie können weiterhin angewendet werden, wenn ein Vertrag, eine interne Richtlinie oder eine Altanforderung dies ausdrücklich vorschreibt. In diesem Fall ist die Anzahl der Durchläufe eher eine verfahrenstechnische oder Compliance-Anforderung als ein Beweis dafür, dass zusätzliche Durchläufe eine höhere NIST-Löschmethode gewährleisten.
Was tatsächlich die Stärke der Datenlöschung bestimmt, ist, ob die Technik für das Speichermedium geeignet ist, ob sie die Stellen erreicht, an denen sich möglicherweise Daten befinden, ob sie das erforderliche Sicherheitsniveau bietet und ob das Ergebnis überprüft, validiert und dokumentiert wird.
BitRaser Drive Eraser unterstützt die Arbeitsabläufe gemäß NIST SP 800-88 „Clear“ und „Purge“, überprüft die Löschergebnisse und erstellt Löschzertifikate für Audit- und Compliance-Zwecke.
