Datensicherheit – Sind Daten nach dem Löschen unwiederbringlich weg?
Überschreiben der Information
Standardmäßig werden zu löschende Daten als solche markiert und dadurch zum Überschreiben für neue Daten freigegeben. In größeren und mitwachsenden Cloud-Umgebungen besteht die Möglichkeit, dass ein konkreter Speicherplatz lange nicht gebraucht wird. Die zum Überschreiben freigegebenen Daten können während dieser Zeit noch physisch vorhanden sein. Werden HDD-Speicher verwendet, ist es wichtig, das Überschreiben proaktiv zu gestalten. Das heißt, eine Software überschreibt die Informationen einmal oder mehrfach mit Zeichenfolgen oder Zufallszahlen (dummy data). Je öfter dies erfolgt und je komplexer die Zeichenfolgen sind, desto höher ist die Sicherheit. Der Datenträger bleibt erhalten und kann anschließend weiterverwendet werden.
Dabei besteht das Restrisiko lediglich in der Gefahr, dass die Daten nicht ordentlich oder vollständig überschrieben wurden. Das passiert vor allem beim Verwenden zu kurzer oder banaler Zeichenfolgen beziehungsweise beim einmaligen Überschreiben. Rein theoretisch könnten überschriebene Daten in den letzten beiden Fällen per Magnetkraftmikroskopie rekonstruiert werden. Das extrem aufwendige Szenario ist allerdings in der Praxis so unwahrscheinlich, dass es keine Gefahr darstellt.
Flash-Speicher versetzen den zum Überschreiben freigegebenen Datenspeicher automatisch in den Ursprungszustand. Das kommt einem Überschreiben gleich und bedeutet ein sehr geringes Restrisiko.
Löschen von Verknüpfungen
Das Löschen der Verbindungsinformation kommt vor allem dann in Betracht, wenn die Daten verteilt gespeichert sind und die Informationen sich ausschließlich über die Verbindung ergeben. Hintergrund ist, dass es aufwendig sein und zu Lasten der Performance gehen kann, alle Datensätze einzeln zu finden und zu überschreiben. Einfacher ist in so einem Fall das Löschen der Verbindungsinformation, um die vertraulichen Informationen in den Daten unkenntlich zu machen. Dadurch sind die einzelnen Informationen zwar immer noch vorhanden, aber wertlos und zum Überschreiben freigegeben. Um die Daten zurückzugewinnen, müsste zunächst ein physischer Zugriff erfolgen. Je höher die physische Sicherheit des Rechenzentrums dabei ist, desto geringer wird das Risiko. Sind die Daten allerdings auf einer einzelnen dedizierten Harddisk-Festplatte gespeichert, ist von dieser Methode abzuraten. Die Informationen können dann relativ einfach wieder zusammengefügt werden.
Daten nicht mehr interpretierbar machen
Liegen Daten verschlüsselt vor, können sie durch Vernichten der Verschlüsselungsinformation unkenntlich gemacht werden. Die Informationen bleiben zwar physisch vorhanden, können aber nicht mehr interpretiert werden. Dafür werden entweder die Angaben zur Codierung (interpretatorischer Schlüssel), zur Speicherorganisation oder zur Entschlüsselung (kryptografischer Schlüssel) vernichtet. Je nach Codierung sind sie nur mit einem oft unverhältnismäßig hohen Aufwand rekonstruierbar.
Die Mischung macht‘s
Bei Adacor Hosting wird eine Kombination aus den beschriebenen Maßnahmen verwendet: Wird ein virtueller Server nicht mehr gebraucht, überschreibt der Hypervisor seine in der Infrastruktur verteilten Datenblöcke mindestens einmal komplett mit Nullen und gibt sie zum weiteren Überschreiben frei. Aufgrund der Hochsicherheit der Rechenzentren (ISO 27001 nach BSI-Grundschutz zertifiziert) ist das Vorgehen mit einem sehr geringen Risiko verbunden.
Die HDD-Festplatten werden dabei bei ihrer Aussonderung einzeln mehrfach mit dummy data überschrieben, um sie wieder fit für den weiteren Gebrauch zu machen. Für Hardware, die kaputt oder für die die Gewährleistung abgelaufen ist und die physisch zerstört werden muss, arbeiten wir mit einem DIN-zertifizierten Dienstleister zusammen. Beobachtet von einem internen Mitarbeiter erfolgt die physikalische Zerstörung vor Ort im NOC.
Fazit: Nachhaltiges Löschen ist machbar
Das Löschen persönlicher und vertraulicher Daten bedeutet, sie unkenntlich zu machen. Die entsprechenden Vorgaben für personenbezogene Informationen ergeben sich explizit aus den Datenschutzregelungen wie dem BDSG oder dem SGB und sollten auch für andere vertrauliche Informationen herangezogen werden. Sie sind für uns Handlungsgrundlage und umfassen wahlweise das Überschreiben, Zerstören des Datenträgers sowie Vernichten der Verknüpfungs- oder Verschlüsselungsinformationen. Welche der Maßnahmen die beste Wahl ist, richtet sich unter anderem nach Ort und Art der verwendeten Speicher. Theoretisch ist es niemals völlig unmöglich, unkenntlich gemachte Daten wieder zu rekonstruieren. Die Wissenschaft kennt solche Szenarien. Diese praktisch umzusetzen, ist jedoch meist so extrem aufwendig, dass es als sehr unwahrscheinlich gilt.
