Auswahl geeigneter Verfahren zur Löschung oder Vernichtung von Daten

Um die Vertraulichkeit schutzbedürftiger Informationen sicherzustellen, müssen diese Informationen nach Gebrauch so vernichtet oder gelöscht werden, dass eine Rekonstruktion der Informationen mit hoher Wahrscheinlichkeit ausgeschlossen werden kann.

Zur sicheren Löschung oder Vernichtung müssen zum einen geeignete Verfahren und zum anderen geeignete Geräte, Anwendungen oder Dienstleistungen zur Verfügung stehen.

Es gibt verschiedene Methoden, um Informationen auf Datenträgern zu löschen oder zu vernichten. Eine kurze Darstellung findet sich in M 2.433 Überblick über Methoden zur Löschung und Vernichtung von Daten. Die wichtigsten Empfehlungen zum Löschen und Vernichten der derzeit gebräuchlichen Datenträger werden hier kurz dargelegt.

Empfehlung zum Löschen von Datenträgern:

Die einfachen Löschkommandos der jeweiligen Betriebssysteme und auch die Formatierung der entsprechenden Datenträger reichen nicht aus, um dort gespeicherte Daten sicher zu löschen. Für das sichere Löschen sollten daher physikalische Maßnahmen wie die mechanische, thermische oder magnetische Behandlung des entsprechenden Datenträgers oder das gezielte, ein- oder mehrmalige Überschreiben des Datenträgers ausgewählt werden. Zum Überschreiben wird die Verwendung von zufälligen Datenmustern empfohlen. Bei Datenträgern, die im gleichen gesicherten Bereich weiterverwendet werden sollen, kann der Aufwand zum Löschen niedriger angesetzt werden als bei Datenträgern, die den Anwendungsbereich verlassen und z. B. verkauft werden. Im Folgenden wird ein Überblick über Methoden zum Löschen gebräuchlicher Datenträger gegeben:

• Papierdokumente:
  Keine zuverlässige Methode vorhanden.

• Mikrofilm, Mikrofiche:
  Keine zuverlässige Methode vorhanden.

• Festplatten (mit magnetischen Datenträger), Magnetbandkassetten, Disketten:
  Überschreiben des gesamten Datenträgers mit einem Zufallszahlenmuster und Verifikation.

• Festplatten mit Halbleiterspeicher (SSD / Hybrid):
  Für höheren Schutzbedarf ist derzeit noch keine zuverlässige Methode vorhanden. Empfohlen wird, den Datenträger von Anfang der Nutzung an vollständig zu verschlüsseln. Vor der Entsorgung sollte er wie vorgenannt überschrieben werden.

• Optische Datenträger (CD, DVD):
  Wiederbeschreibbare Datenträger wie CD-RW oder DVD-RW können bei normalem Schutzbedarf durch Überschreiben mit beliebigen Daten gelöscht werden.

• Flüchtige Halbleiterspeicher (SRAM, DRAM):
  Zum Löschen sollte die Stromversorgung ausgeschaltet werden. Wenn vorhanden, muss vorher die Pufferbatterie entfernt werden.
  Bei sehr hohem Schutzbedarf muss vorher der Speicher mit beliebigen Daten einmal überschrieben werden.

• Nichtflüchtige Halbleiterspeicher (EPROM, EEPROM, Flash EPROM) USB-Stick, Flash-Card, Flash-Disk, PCMCIA-Karten:
  Bei hohem Schutzbedarf muss der gesamte Speicherbereich mit geeigneter Software dreimal überschrieben werden.

• Chipkarten:
  Keine zuverlässige Methode vorhanden.

• Multifunktionsgeräte (Kopierer, usw.) mit Festplatten:
  Überschreiben: Bei normalem Schutzbedarf sollten die Informationen nach dem Ausdruck über eine Löschfunktion aus dem Zwischenspeicher gelöscht werden. Bei hohem Schutzbedarf muss die Festplatte mit geeigneter Software nach jedem Ausdruck überschrieben werden.
  Bei Abgabe oder Aussonderung eines Gerätes muss M 2.400 beachtet werden.

Von der Nutzung der folgenden Methoden als Löschverfahren wird abgeraten, da diese nicht zuverlässig sind und Daten wieder rekonstruiert werden können:

• Löschkommandos

• Überschreiben einzelner Dateien

• High-Level-Formatierung

• Low-Level-Formatierung

Empfehlungen zum Vernichten von Datenträgern:

In der Norm DIN 66399:2012 „Vernichten von Datenträgern“, Teil 1 wird dem Schutzbedarf eine Schutzklasse zugeordnet. Aus der Schutzklasse leiten sich dann die anzuwendenden Sicherheitsstufen für die verschiedenen Datenträger ab. Für normalen Schutzbedarf ist die Schutzklasse 2 angemessen. Geeignete Vernichtungsverfahren und Partikelgrößen für die jeweiligen Schutzklassen finden sich in DIN 66399 Teil 2.

Für die Vernichtung von Datenträgern kann auch auf zuverlässige Dienstleister zurückgegriffen werden (siehe M 2.436).

• Papierdokumente:
  Papierdokumente sollten mit Aktenvernichtern zerkleinert werden. Bei normalem Schutzbedarf sollten hierfür Aktenvernichter der Sicherheitsstufe P-3 nach DIN 66399 genutzt werden, bei höherem Schutzbedarf solche der Sicherheitsstufe P-4, P-5 oder P-6 (siehe auch M 2.435).

• Mikrofilm, Mikrofiche:
  Zum mechanischen Zerkleinern wird Stufe F-4 nach DIN 66399 empfohlen, jedoch sind nur noch vereinzelt geeignete Geräte vorhanden. Daher sollten diese Datenträger verbrannt werden. Die Temperatur muss dabei über 300° C liegen, die Verweildauer mindestens 60 Minuten betragen.
• Festplatten:
  Festplatten können mechanisch mit einem Schredder zerkleinert werden. Dabei ist bei hohem Schutzbedarf mindestens die Sicherheitsstufe H-5 nach DIN 66399 anzuwenden. Die Anwendung der Sicherheitsstufe DIN 66399 H-6 sollte bei Festplatten mit hoher Kapazität oder hohen Datendichten in Erwägung gezogen werden. Bei normalem Schutzbedarf sind Partikelgrößen entsprechend DIN 66399, Stufe H-4, bis 2000 Quadratmillimeter durchaus vertretbar. Für mechanisch kleine Laufwerke ist die Verwendung höherer Sicherheitsstufen notwendig. Festplatten können auch thermisch vernichtet werden, dafür muss das Festplattenlaufwerk mindestens 15 Minuten lang auf über 1.000° C erhitzt werden.

• Magnetbänder, Magnetbandkassetten:
  Magnetbänder sollten mit Geräten zerkleinert werden, die die Anforderungen der DIN 66399, Stufe T-3 erfüllen. Bei höherem Schutzbedarf sollte die Partikelgröße höchstens 30 Quadratmillimeter betragen (Stufe T-5).

• Disketten, Optische Datenträger (CD, DVD):
  Diese Datenträger können mechanisch mit einem Vernichter zerkleinert werden. Bei optischen Datenträgern darf die Größe der Partikel 160 Quadratmillimeter, gemäß DIN 66399, Stufe O-3 nicht überschreiten, bei höherem Schutzbedarf muss sie unter 30 Quadratmillimeter, Stufe O-4, liegen. Sie können auch thermisch vernichtet werden, dafür müssen sie mindestens 60 Minuten lang auf über 300° C erhitzt oder bei höheren Temperaturen verbrannt werden.

• Halbleiterspeicher ( SRAM , DRAM , EPROM , EEPROM , USB -Stick, Flash-Speicher, SSD -Festplatten, PCMCIA -Karten):
  Diese Datenträger können mit geeignetem Gerät mechanisch zerkleinert werden. Die Geräte sollen der Sicherheitsstufe E-4 nach DIN 66399 entsprechen. Sie können auch verbrannt werden. Dabei müssen sie mindestens 15 Minuten lang auf über 800 C erhitzt werden.

• Chipkarten:
  Chipkarten können verbrannt oder mechanisch mit einem Vernichtungsgerät zerkleinert werden. Bei normalem Schutzbedarf sollten hierfür Vernichter der Sicherheitsstufe E-4 nach DIN 66399 genutzt werden.

Welche Verfahren geeignet sind, um die in der Institution vorkommenden Daten oder Datenträger zu löschen oder zu vernichten, hängt von der Art der Datenspeicherung, der Datenträger und vom Grad der Schutzbedürftigkeit der Informationen ab. Auch ist zu berücksichtigen, für welche weitere Verwendung der Datenträger vorgesehen ist. Daher sollte eine Anforderungsanalyse vor der Auswahl durchgeführt werden, um geeignete Verfahren zu finden.

Hierbei sollten unter anderem folgende Fragen beantwortet werden:

• Welche Datentypen (auf welchen Betriebssystemen und in welchen Anwendungen) und welche Datenträgertypen (z. B. optisch oder magnetisch) mit welchen Datenvolumen (z. B. Megabyte, Gigabyte, Terabyte) sollen sicher gelöscht werden?

• Wie hoch ist der Schutzbedarf der auf den Datenträgern gespeicherten Daten?

• Wie groß ist Datenträger selbst? Wird das Ergebnis der Vernichtung dem Schutzbedarf gerecht?

• Wurden bzw. werden die Datenträger in einem geschützten Bereich verwendet?

• Sind bereits Werkzeuge zum Löschen und Vernichten von Informationen vorhanden? Sind diese geeignet für den identifizierten Schutzbedarf und die vorhandenen Datenträger-Arten?

• Welche Arten von Lösch- und Vernichtungsverfahren existieren für den identifizierten Schutzbedarf und die vorhandenen Datenträger-Arten? Wie hoch ist der Schulungsaufwand, um diese zuverlässig zu benutzen?

• Wie groß ist die voraussichtliche Menge von Datenträgern eines Typs, der gelöscht bzw. vernichtet werden soll?

Das Löschen von Daten oder Vernichten von Datenträgern sollte arbeitsplatz- und zeitnah durchgeführt werden, damit die Datenträger möglichst nicht zwischengelagert werden müssen. Damit wird in der Regel auch der Personenkreis, der mit den Datenträgern umgeht, eingeschränkt und die Sicherheit erhöht.

Je nach Schutzbedarf der Informationen und den verwendeten Datenträger müssen andere Werkzeuge oder Geräte verwendet werden, um die Daten zuverlässig zu löschen oder zu vernichten. Einige Werkzeuge und Geräte sind teuer in der Anschaffung bzw. nicht einfach korrekt zu bedienen. Daher kann es sinnvoll sein, hierfür Dienstleistungsverträge mit Externen abzuschließen. Zu diesem Zweck müssen die ausgesonderten Datenträger innerhalb der Institution eingesammelt werden. Dazu sollten an geeigneten Stellen einbruchsichere Behälter aufgestellt und regelmäßig geleert werden.

Vernichtungsgeräte sind durch die normale Nutzung einem Verschleiß unterworfen. Durch unsachgemäße Nutzung oder Vernichtung von Datenträgern, für die das Gerät nicht vorgesehen war, können Schäden am Gerät entstehen. Eine regelmäßige Überprüfung der Partikelgröße muss daher durchgeführt werden, beispielsweise durch eine einfache Sichtprüfung gegen die Daten aus dem Gerätehandbuch.

Es muss nachvollziehbar dokumentiert werden, welche Verfahren zum Löschen und Vernichten für die verschiedenen Datenarten und den jeweiligen Schutzbedarf ausgewählt wurden und wie diese anzuwenden sind.

Die Mitarbeiter müssen in die ausgewählten Verfahren zum Löschen und Vernichten von Informationen eingewiesen werden, vor allem, wenn sie die entsprechenden Werkzeuge selber benutzen sollen.

Prüf-Fragen:

• Wurden für die verschiedenen Datenarten und den jeweiligen Schutzbedarf angemessene Verfahren zum Löschen oder Vernichten festgelegt?
• Wurden die Mitarbeiter in die Verfahren zum Löschen und Vernichten von Informationen eingewiesen, vor allem in den Gebrauch der vorhandenen Werkzeuge und Geräte?
• Stehen für die verschiedenen Arten von Datenträgern geeignete Geräte und Werkzeuge zum zuverlässigen Löschen oder Vernichten der gespeicherten Informationen zur Verfügung?
• Wird das Ergebnis der Vernichtung regelmäßig kontrolliert?
• Wird das für einen Datenträger gewählte Vernichtungsverfahren dem Stand der Technik ( z. B. Größe des Datenträgers) gerecht?

Stand: 04 2016