Die vom National Institute of Standards and Technology (NIST) veröffentlichten Richtlinien NIST SP 800-88 zur Datenträgerbereinigung stellen eine Reihe von Anweisungen für die effektive Bereinigung von Speichergeräten und anderen elektronischen Datenträgern dar. Diese Richtlinien, die von der US-Regierung und der Wirtschaft weitgehend befolgt werden, dienen Organisationen als Maßstab für die Umsetzung ihrer „Programme zur Datenträgerbereinigung“ und enthalten definierte Techniken und Kontrollmechanismen für Entscheidungen hinsichtlich der Bereinigung und Entsorgung. NIST 800-88 unterstützt jede Organisation, die Unterstützung bei der Entscheidungsfindung hinsichtlich der Bereinigung, Entsorgung, Wiederverwendung oder Migration von Medien und Informationen benötigt. Das National Institute of Standards and Technology (NIST) übernimmt die technische Federführung für die Mess- und Normeninfrastruktur der Vereinigten Staaten und definiert die Medienbereinigung wie folgt:
"Der allgemeine Prozess der Entfernung von Daten von Speichermedien, sodass eine angemessene Sicherheit besteht, dass die Daten nicht ohne Weiteres wiederhergestellt oder rekonstruiert werden können.“
NIST SP 800-88 Rev. 2, Richtlinien zur Datenträgerbereinigung, gültig ab dem 26. September 2025, hat NIST SP 800-88 Rev. 1 (2014) ersetzt. Um mehr über die Änderungen zu erfahren, lesen Sie die NIST SP 800-88 Rev. 2 Richtlinien zur Datenträgerbereinigung.
Bei der Weitergabe oder Entsorgung von Speichermedien ist es unerlässlich, dass die von den Speichermedien gelöschten Daten (unabhängig davon, ob es sich um magnetische, optische, elektrische oder andere Datenrückstände handelt) nicht wiederhergestellt werden können. Unter Datenlöschung versteht man einen Prozess zur Entfernung von Daten mit der Gewissheit, dass diese nicht wiederhergestellt oder rekonstruiert werden können. Die Datenlöschung ist entscheidend für die Einhaltung von Datenschutzstandards und die reibungslose Umsetzung von Datenschutzkontrollen. Es müssen definierte Maßnahmen und Mechanismen vorhanden sein, um das Durchsickern sensibler Informationen während des gesamten Lebenszyklus von IT-Assets zu verhindern.
Warum ist die Datenträgerbereinigung notwendig?
Gemäß den NIST 800-88-Richtlinien ist die Datenlöschung ein entscheidender Faktor für die Wahrung der Vertraulichkeit von Daten. Organisationen müssen eine angemessene Kontrolle über sensible „vertrauliche Informationen“ ausüben, um Datenlecks zu verhindern, die durch die unsachgemäße Entsorgung von Speichermedien oder durch unsachgemäß gelöschte, wiederverwendete Medien entstehen. Dieses Verfahren ist gemäß Referenz 2.3 der NIST 800-88-Richtlinien zur Medienbereinigung unerlässlich, um Datenverletzungen im Zusammenhang mit personenbezogenen Daten (PII) zu verhindern. Organisationen sind verpflichtet, die Datenschutzgesetze, -vorschriften und -anforderungen einzuhalten, die für die Verwaltung von PII (personenbezogenen Daten) gelten. Sie können zudem Verpflichtungen zum Schutz von PII gemäß ihren Richtlinien, Standards oder Managementanforderungen haben. Verstöße gegen Datenschutzgesetze können für Organisationen zu Geldstrafen oder zivil- oder strafrechtlichen Verfahren führen.
Was ist der Umfang der Medienbereinigung?
Die NIST 800-88-Richtlinien zur Datenträgerbereinigung und zum Datenschutz legen fest, dass der Bereinigungsprozess auf alle auf dem Datenträger gespeicherten Daten angewendet werden muss, da es für Datenträgerbereiniger besonders schwierig sein kann, sensible Daten zu unterscheiden. NIST bezieht sich auf die endgültige Bereinigung und/oder Entsorgung von Datenträgern und Informationen. Eine teilweise Datenlöschung ist riskant und gemäß den Standardrichtlinien NIST 800-88 nicht zulässig. NIST 800-88 Revision 1 deckt alle Arten von Speichermedien ab, seien es Festplatten, Solid-State-Laufwerke, optische Medien, Flash-Speicher oder Papiermedien, unabhängig vom Sensibilitätsgrad der Daten. Diese Richtlinien legen drei grundlegende Prozesse fest: NIST Clear, Purge und Destroy, die darauf abzielen, die Wiederherstellung von Daten durch unbefugte Personen oder Parteien zu verhindern. Dies gilt für den gesamten Lebenszyklus der Medien, von der aktiven Nutzung bis zur Entsorgung. Risikomanagement und die Einhaltung gesetzlicher Anforderungen sind zentrale Grundsätze dieser Richtlinien. Um sicherzustellen, dass personenbezogene Daten vollständig und unwiederherstellbar gelöscht werden, müssen Organisationen den Löschprozess dokumentieren und validieren. Nach der Löschung sollte für jedes Medium ein Entsorgungszertifikat (auch als Vernichtungsbescheinigung bezeichnet) ausgestellt werden, um zu bestätigen, dass es gelöscht wurde. Das Vernichtungszertifikat (COD) ist ein papierbasiertes oder elektronisches Dokument, das bestätigt, dass der Löschprozess durchgeführt wurde.
Sobald die Entscheidung über den Löschprozess der Medien getroffen wurde – einschließlich der Löschmethode, der Art der Medien und der Berücksichtigung von Umweltauswirkungen –, stellt sich die Frage, wer der Entscheidungsträger sein sollte. Wer bestimmt, was, wann und wie die Daten gelöscht werden sollen?
Wer ist für die sichere Löschung von Datenträgern verantwortlich?
Gemäß den NIST 800-88-Richtlinien zur Datenträgerbereinigung sollte der Prozess von verschiedenen Abteilungen innerhalb einer Organisation durchgeführt werden. Die Datenverantwortlichen tragen die Hauptverantwortung für die Löschung aller Datensätze von den Datenträgern, bevor diese recycelt oder entsorgt werden. Die IT- und Sicherheitsabteilungen übernehmen die Verantwortung für die Datenlöschung unter Verwendung der am besten geeigneten Methoden – „Clear“, „Purge“ oder „Destroy“ – je nach Sensibilität der Daten. Compliance-Beauftragte stellen sicher, dass diese Prozesse den geltenden Vorschriften und Richtlinien entsprechen, während Asset-Manager alle Verfahren zur Entsorgung von IT-Assets über deren gesamten Lebenszyklus hinweg überwachen. Im Falle einer ausgelagerten Medienentsorgung liegt die Verantwortung beim Drittanbieter, der die festgelegten Verfahren einhalten und nach Abschluss ein Zertifikat vorlegen muss. Insgesamt gewährleisten diese Rollen, dass keine sensiblen Informationen aus den Medien nach außen gelangen und dass diese so dauerhaft wie möglich gelöscht werden.
Die Richtlinien „NIST 800-88 Media Sanitization Rev 1“ helfen dabei, Rollen und Verantwortlichkeiten bei der Datenträgerbereinigung wie folgt zu kategorisieren und zuzuweisen:
- Datenverantwortliche, IT-Sicherheitsteams, Compliance-Beauftragte, Anlagenverwalter und Drittanbieter – Beispiele: Chief Information Officers, Eigentümer von Informationssystemen, Datenverantwortliche, System-Sicherheitsmanager, Datenschutzbeauftragte und Nutzer
- Definition und Kategorisierung der Sicherheit gemäß den Compliance-Anforderungen – SOX, HIPAA, PCI-DSS, EU-DSGVO usw.
Im Entscheidungsprozess zur Datenträgerbereinigung spielt die Vertraulichkeit der Informationen eine zentrale Rolle, während die Art des Datenträgers von untergeordneter Bedeutung ist. Entscheidungsträger legen die Art der Bereinigung auf der Grundlage individueller Anforderungen fest. Die Entscheidung, geleaste IT-Assets oder solche, die das Ende ihres Lebenszyklus erreichen, sicher zu entsorgen, wird getroffen, um Datenverletzungen zu verhindern und gesetzliche Vorschriften einzuhalten. Physische Vernichtungsmethoden kommen nicht in Frage, da sie nicht umweltfreundlich sind. Stattdessen bevorzugen Entscheidungsträger die Medienlöschung mithilfe von Datenlöschsoftware.
NIST 800-88 Techniken und Methoden zur Bereinigung von Datenträgern
Zu den gängigen Methoden zur Datenträgerbereinigung gehören Datenlöschung, Entmagnetisierung, Schreddern, Zurücksetzen auf die Werkseinstellungen, Datenlöschung, Neuformatierung und physische Vernichtung.
- Techniken wie das Schreddern, das Zurücksetzen auf die Werkseinstellungen, das Löschen von Daten und das Neuformatieren sind unvollständige Methoden der Datenträgerbereinigung und können Datenspuren hinterlassen. Lesen Sie mehr über den Unterschied zwischen Löschen und Datenlöschung
- Durch die Entmagnetisierung wird das Magnetfeld von Speichermedien entfernt, wodurch die Daten auf diesen Medien unwiederherstellbar werden.
- Die Datenlöschung zerstört Speichermedien, indem sie mit Nullen und Einsen überschrieben werden, wodurch die darauf befindlichen Daten unzugänglich und die Medien für eine spätere Wiederverwendung unbrauchbar werden. Die Datenlöschung trägt zur Förderung der Nachhaltigkeitsziele Recycling und Wiederverwendung bei.
Methoden zur Datenlöschung gemäß den NIST 800-88-Richtlinien
Die NIST-Richtlinien legen Techniken zur Datenlöschung je nach Art des Datenspeichermediums fest, darunter magnetische Speicher, Flash-Speicher-basierte Medien, RAM- und ROM-basierte Speichergeräte usw. Die folgende Tabelle fasst die empfohlenen „Mindestanforderungen an die Löschung“ für verschiedene Arten von Speichermedien in Bezug auf spezifische Techniken (oder Methoden) wie folgt zusammen:
|
Medientyp
|
Löschung
|
Löschung
|
Vernichtung
|
|
Magnetische Medien – ATA-Festplatten, Bandlaufwerke, SCSI-Laufwerke, SATA- und PATA-Laufwerke
|
Überschreiben unter Verwendung validierter Überschreibtechnologien oder -methoden oder zugelassener Software
|
Sicheres Löschen, Entmagnetisieren oder kryptografisches Löschen (CE) werden im Rahmen der NIST-Löschverfahren berücksichtigt
|
Verbrennung, Schreddern, Pulverisieren und Zerkleinern gelten als Methoden der Vernichtung
|
|
Flash-Speicher-basierte Speichergeräte – ATA-SSDs, SCSI-SSDs, USB, Speicherkarten
|
Überschreiben des Mediums durch einmaliges Überschreiben mit einem festen Datenwert mittels Software. Der ATA-Befehl „Secure Erase“ wird ebenfalls berücksichtigt
|
Blocklöschung, kryptografische Löschung über die TCG Opal SSC- oder Enterprise SSC-Schnittstelle zur Ausführung eines Befehls zur Änderung aller Medienverschlüsselungsschlüssel (MEKs)
|
Verbrennen, Schreddern, Pulverisieren und Zerkleinern gelten als Vernichtungsmethoden
|
|
CDs/DVDs
|
Nicht zutreffend
|
Nicht zutreffend
|
Zerkleinern und Aufbrechen – Zerlegen in Partikel
|
|
Mobile Geräte – Apple iPhone, iPad, Android-Geräte, Windows-Geräte und alle anderen mobilen Geräte, einschließlich Tablets
|
iPhone: Überschreiben in einem Durchgang zusammen mit CE
Android- und andere Geräte: Auf Werkseinstellungen zurücksetzen
|
iPhone: Wie „Löschen“
Android und andere Geräte: Befehl „Secure Trim“, kryptografische Löschung (CE), sichere Löschung
|
Verbrennen, Schreddern, Pulverisieren, Zerkleinern
|
NIST SP 800-88 – Bewährte Verfahren für die Datenlöschung
Dieser Abschnitt beschreibt bewährte Verfahren für die Datenlöschung auf der Grundlage der Empfehlungen von NIST SP 800-88 wie folgt:
1. Berücksichtigen Sie die Risiken einer teilweisen Datenlöschung [Abschnitt 2.8]
In der Regel löschen Organisationen alle auf einem Speichermedium gespeicherten Daten, d. h. sie führen eine vollständige Löschung durch. In manchen Situationen kann jedoch nur eine teilweise Löschung des Speichermediums erforderlich sein. Beispielsweise kann die Einhaltung moderner Datenschutzbestimmungen erfordern, dass eine Organisation die Daten ihrer Neukunden aufbewahrt, während sie verpflichtet ist, die Daten ihrer ehemaligen Kunden zu löschen. Die NIST SP 800-88-Richtlinie warnt vor den potenziellen Risiken einer teilweisen Medienlöschung aufgrund ihrer technischen Herausforderungen und Risiken, wie z. B. dem Überlaufen sensibler Daten in nicht gelöschte Sektoren des Laufwerks.
2. Ermitteln Sie im Voraus den Bedarf und die Methoden der Medienlöschung [Abschnitt 4.1]
Der Leitfaden besagt, dass der Bedarf an einer Medienbereinigung und die Arten der Medien ermittelt werden sollten, bevor die Entsorgungsphase des IT-Asset-Management-Lebenszyklus erreicht ist. Die Art des Speichermediums ist ein grundlegender Faktor für die Bestimmung der richtigen Methode zur Datenvernichtung sowie für die Gesamtdauer des Bereinigungsprozesses. Der Leitfaden empfiehlt, die Unterstützung von Anbietern von Speicherhardware in Anspruch zu nehmen, um die Speichermedien zu identifizieren, die in der Regel in einer „Volatility Statement“ dokumentiert sind. Organisationen müssen jedoch bei der Lektüre dieser Erklärungen die gebotene Sorgfalt walten lassen und herstellerspezifische Abweichungen in den bereitgestellten Informationen berücksichtigen.
3. Bestimmung der Vertraulichkeitsstufen der Daten [Abschnitt 4]
Die NIST-Richtlinien nennen den „Vertraulichkeitsgrad der Daten“ als entscheidenden Faktor für eine effektive Datenvernichtung und Entscheidungsfindung. Darüber hinaus wird empfohlen, eine Zuordnung der auf den Geräten gespeicherten Datentypen zu ihren Vertraulichkeitsstufen zu erstellen, um eine effektive und effiziente Datenlöschung zu ermöglichen. Das NIST betont, dass zur Bestimmung des Vertraulichkeitsgrades der Daten die in der Federal Information Processing Standard (FIPS) Publication 199 beschriebenen Verfahren angewendet werden müssen.
4. Bestimmen Sie die Sicherheitskategorisierung [Abschnitt 4.2]
Die Sicherheitskategorisierung ist im Wesentlichen eine Methode zur Einstufung der Vertraulichkeit eines Systems auf der Grundlage der FIPS-199-Definition in NIST SP 800-60 Rev. 1. Die Sicherheitskategorisierung liefert dem Systemadministrator wichtige Informationen für die Gestaltung eines Medienbereinigungsprozesses, der den Datenschutzanforderungen und -standards der Organisation entspricht. Die NIST 800-88-Richtlinien zur Medienbereinigung erwähnen die Notwendigkeit einer Überprüfung der Sicherheitskategorisierung und legen fest, dass „die Sicherheitskategorisierung mindestens alle drei Jahre (oder bei einer wesentlichen Änderung innerhalb des Systems) überprüft und während des gesamten Lebenszyklus des Systems neu validiert werden muss.“
5. Berücksichtigen Sie den Aspekt der Medienkontrolle und des Zugriffs [Abschnitt 4.4]
Die Entscheidung bezüglich der Medienbereinigung wird auch davon beeinflusst, welche Stelle die Kontrolle über die ausgehenden Speichermedien hat. Das Eigentumsrecht an den Geräten kann sich je nach den konkreten Umständen ändern oder unverändert bleiben, was bei der Auswahl einer Bereinigungsmethode berücksichtigt werden sollte. Beispielsweise verbleiben Medien, die zur Wartung und Aktualisierung an einen Dienstleister oder AMC gesendet werden, gemäß dem Vertrag im Eigentum und unter der Kontrolle der Organisation. Die Organisation sollte daher die mit der „Kontrollkette“ verbundenen Risiken berücksichtigen und das Speichermedium löschen, bevor sie es an einen Dritten übergibt. Im Gegensatz dazu gehen bei Medien, die ausgetauscht oder weiterverkauft werden, Eigentum und Kontrolle auf den neuen Eigentümer, wie z. B. einen Wiederverkäufer, über. Die Organisation sollte daher eine Bereinigungsmethode wie das Löschen in Betracht ziehen, um den Restwert der Hardware (Wiederverwendung) zu erhalten und gleichzeitig die Datenvernichtung sicherzustellen.
6. Überprüfung des Prozesses zur Bereinigung und Entsorgung von Datenträgern [Abschnitt 4.7]
Die NIST SP 800-88-Richtlinien empfehlen einen Verifizierungsprozess für die Löschung von Datenträgern. Es gibt zwei Arten der Verifizierung, die in Betracht gezogen werden sollten, nämlich:
a) Überprüfung der Wirksamkeit der Löschung bei jeder Löschung von Medien unter Verwendung der Clear- oder Purge-Technik, da einige Fälle von Destroy keine praktische Überprüfung jedes gelöschten Mediums zulassen.
b) Stichprobenartige Überprüfung einer Teilmenge von Datenträgern, idealerweise durchgeführt von Personen, die nicht am ursprünglichen Löschprogramm beteiligt waren
Die Richtlinien empfehlen die Überprüfung der Ausrüstung, des Personals und der Ergebnisse der Datenlöschung, um eine ausfallsichere Garantie für den Datenlöschungsprozess zu gewährleisten.
7. Aufbewahrung einer Bescheinigung über die Entsorgung von Datenträgern [Abschnitt 4.8]
Die Richtlinie betont die Aufbewahrung eines dokumentierten Zertifikats für jede Einheit bereinigter elektronischer Datenträger, insbesondere solcher, die sensible und vertrauliche Daten enthalten. Sie erwähnt ausdrücklich die Bedeutung einer automatisierten Dokumentation, um den Zugriff auf die Zertifikate (Prüfpfade) für physische Datenträger zu erleichtern. In Übereinstimmung mit den NIST-Richtlinien zur Datenträgerbereinigung sollte das Zertifikat Details zu Hardware und Verfahren enthalten, wie Hersteller, Modell, Seriennummer, Datenträgertyp und -quelle, Bereinigungsmethode, verwendetes Tool und dessen Version, Details zur Überprüfung usw.
Fazit:
Die Richtlinien NIST 800-88 Revision 1 legen detailliert fest, wie Speichermedien so bereinigt werden können, dass eine Datenwiederherstellung unmöglich ist, wobei die Kosten auf ein Minimum beschränkt werden und die Vorgehensweise umweltfreundlich ist. Unternehmen können die drei Methoden der Datenlöschung nutzen, nämlich „Clear“, „Purge“ und „Destroy“, die für unterschiedliche Stufen der Datensensibilität und Arten von Speichermedien wie Festplatten und SSDs geeignet sind. Diese Richtlinien gewährleisten die Einhaltung gesetzlicher Standards und empfehlen die Ausstellung eines Vernichtungszertifikats sowie die Überprüfung des Löschvorgangs, um sensible Informationen während ihres gesamten Lebenszyklus zu schützen.
