Wie sicheres Löschen funktioniert: vom Papierkorb bis zum zerstörten Schlüssel

Ein Rechner, den Sie nicht mehr benutzen, ein Telefon, das Sie verschenken möchten, eine externe Festplatte für den Wertstoffhof. Bevor sie sich davon trennen, drücken fast alle auf „löschen“ und leeren den Papierkorb. Das ist ein vernünftiger Handgriff, nur tut er nicht das, wonach es aussieht: Häufig bleiben die Daten auf dem Datenträger, unsichtbar, aber wiederherstellbar für alle, die die passenden Werkzeuge haben. Deshalb lohnt es sich zu verstehen, wie sicheres Löschen funktioniert.

Dafür braucht es keine Kenntnisse einer Fachkraft. Es genügt zu wissen, was in einem Datenträger geschieht, wenn Sie etwas „löschen“, und welche Technologien die Daten wirklich unlesbar machen: Einige stecken bereits in Ihrem Telefon, andere sind in die Datenträger eingebaut, wieder andere kommen zum Zug, wenn ein Gerät sich nicht mehr einschalten lässt.

Dieser Beitrag stellt sie der Reihe nach vor, mit ihren tatsächlichen Vorzügen und Grenzen und ohne einzelne Produkte zu nennen. Er ist die technologische Ergänzung der Empfehlung, Daten löschen vor der Weitergabe eines Geräts: Wer Ihr altes Gerät bekommt, soll einen leeren Gegenstand vorfinden und nicht ein Stück Ihres Lebens.

Wie sicheres Löschen funktioniert und wie Sie diese Liste lesen

Zuerst dazu, was beim Löschen einer Datei tatsächlich passiert. Das Dateisystem ist das Verzeichnis, über das ein System weiß, wo jede Datei auf dem Datenträger liegt. Drücken Sie auf „löschen“, landet die Datei in aller Regel im Papierkorb, und der ist schlicht ein weiterer Ordner: Die Datei liegt unversehrt darin. Leeren Sie den Papierkorb, nimmt das System den Eintrag aus dem Verzeichnis und markiert diesen Platz als frei. Der Inhalt aber bleibt auf dem Datenträger, bis etwas darüber geschrieben wird. Genau deshalb gibt es Programme, die „gelöschte“ Dateien auch Monate später wiederfinden.

Die zweite Unterscheidung betrifft die Art des Speichers. Mechanische Festplatten (HDD) schreiben die Daten auf magnetische Scheiben: Jedes Datum hat einen festen Platz, und wer darüber schreibt, ersetzt es. Solid-State-Datenträger (SSD), Speichersticks und der Speicher der Telefone nutzen elektronische Bausteine, die ein kleiner Prozessor im Inneren verwaltet und der selbst entscheidet, wohin geschrieben wird. Dieser Unterschied verändert die Art, wie gelöscht wird.

Die Technologien sind in vier Funktionen geordnet, dieselben wie in der praktischen Anleitung Daten sicher löschen:

• Vorbeugung – die Daten unwiederbringlich machen, bevor das Gerät Ihre Hände verlässt;
• Erkennung – bemerken, dass die Löschung nicht vollständig ist;
• Reaktion – nachbessern, wenn das gewöhnliche Löschen nicht möglich ist oder das Gerät bereits fort ist;
• Steuerung – über die Zeit Ordnung halten, vor allem wenn viele Geräte auszumustern sind.

Zu jeder Technologie finden Sie das Risiko, das sie senkt, ihre Vorzüge, ihre ehrlichen Grenzen und den Aufwand der Anwendung.

1. Technologien der Vorbeugung

Kryptografisches Löschen

Ist ein Datenträger verschlüsselt – sind die Daten also in eine Form gebracht, die ohne einen geheimen Schlüssel unlesbar ist –, muss nicht jedes einzelne Datum gelöscht werden: Es genügt, den Schlüssel zu zerstören. Ohne ihn ist das, was auf dem Datenträger liegt, eine Folge sinnloser Zeichen.

• Gesenktes Risiko: Wiederherstellung der Daten von einem weitergegebenen Datenträger oder Telefon.
• Vorzüge: dauert auch auf sehr großen Datenträgern nur Sekunden; wirkt gut bei elektronischen Speichern, bei denen das Überschreiben wenig verlässlich ist.
• Grenzen: wirkt nur, wenn die Verschlüsselung vor dem Schreiben der Daten aktiv war; haben Sie anderswo einen Wiederherstellungsschlüssel aufbewahrt, entfernen Sie ihn nach der Weitergabe.
• Beispiel: Ihr Laptop ist seit Jahren verschlüsselt; vor dem Verkauf setzen Sie den Datenträger neu auf, der alte Schlüssel verschwindet, und die Dateien werden unlesbar.
• Aufwand: gering, sofern die Verschlüsselung bereits aktiv ist.

Die Verschlüsselung selbst erklärt der Beitrag darüber, wie die Geräteverschlüsselung funktioniert.

Zurücksetzen auf die Werkseinstellungen bei verschlüsselten Telefonen

Die Funktion im System des Telefons, die das Gerät in den Zustand zurückversetzt, in dem es das Werk verlassen hat.

• Gesenktes Risiko: Zugriff der neuen Besitzerin oder des neuen Besitzers auf Fotos, Nachrichten und Konten.
• Vorzüge: Auf neueren Telefonen ist der Speicher von Haus aus verschlüsselt, das Zurücksetzen wirkt also wie ein kryptografisches Löschen; es startet aus den Einstellungen heraus, ohne zusätzliche Werkzeuge.
• Grenzen: Auf sehr alten Modellen kann die Verschlüsselung fehlen, und dann löscht das Zurücksetzen weniger, als es scheint; es erfasst weder eine externe Speicherkarte noch die SIM; wer sich vorher nicht von den Konten abmeldet, riskiert, dass der Diebstahlschutz das Telefon für die neue Besitzerin sperrt.
• Beispiel: Sie verschenken das alte Telefon; nach dem Zurücksetzen startet es auf dem Bildschirm der Ersteinrichtung, ohne Konten und ohne Fotos.
• Aufwand: gering.

Überschreiben

Programme für sicheres Löschen, die bedeutungslose Daten – Nullen oder zufällige Werte – über den gesamten Datenträger oder über einzelne Dateien schreiben und so den ursprünglichen Inhalt ersetzen.

• Gesenktes Risiko: Wiederherstellung „gelöschter“ Dateien von mechanischen Festplatten.
• Vorzüge: Auf mechanischen Festplatten ist das ein solides Verfahren; viele Programme lesen den Datenträger am Ende noch einmal, um das Ergebnis zu prüfen; die neueren Leitlinien halten bei heutigen Datenträgern einen einzigen vollständigen Durchgang in der Regel für ausreichend.
• Grenzen: Auf einem großen Datenträger dauert es Stunden; bei elektronischen Speichern ist nicht sicher, dass jede Zelle erreicht wird; bei einzelnen Dateien bleiben andernorts Spuren zurück, etwa in vorübergehenden Kopien und Vorschaubildern, weshalb es über den ganzen Datenträger verlässlicher wirkt.
• Beispiel: Sie starten am Abend das vollständige Überschreiben einer alten externen Festplatte; am Morgen ist sie bereit zum Verschenken.
• Aufwand: mittel.

Die vollständige Formatierung vieler neuerer Systeme schließt ein Überschreiben ein. Worin sie sich von der schnellen unterscheidet, steht im Beitrag Schnellformatierung oder vollständige Formatierung.

Löschbefehle der Solid-State-Datenträger

Befehle, die in der Firmware des Datenträgers stecken, also in der Software, die ihn im Inneren steuert, und die ihm auftragen, alle seine Zellen zu leeren – auch jene, die das System gar nicht sieht.

• Gesenktes Risiko: Daten in Bereichen des Datenträgers, die das gewöhnliche Überschreiben nicht erreicht.
• Vorzüge: Es ist das für diese Speicher gedachte Verfahren; es arbeitet von innen und erreicht auch die Reservebereiche; viele neuere Datenträger führen es als kryptografisches Löschen aus.
• Grenzen: Es startet aus dem Hilfsprogramm des Herstellers oder aus den Starteinstellungen des Rechners heraus, und das ist nicht immer selbsterklärend; die Umsetzung fällt von Modell zu Modell verschieden aus.
• Beispiel: Sie verkaufen einen Rechner mit einem Solid-State-Datenträger; Sie starten das Löschen über die Firmware und installieren danach das System neu.
• Aufwand: mittel.

Warum SSD anders sind, in einer Zeile. Um nicht immer dieselben Zellen zu verbrauchen, verteilt der Datenträger die Schreibvorgänge über den gesamten Speicher (Abnutzungsausgleich): Wer eine Datei „überschreibt“, schreibt oft an eine andere Stelle, und die alte Kopie bleibt in einer Zelle liegen, die sich nicht ansteuern lässt.

2. Technologien der Erkennung

Zustand der Verschlüsselung

Der Bereich in den Einstellungen von Telefon und Rechner, der anzeigt, ob der Speicher verschlüsselt ist.

• Gesenktes Risiko: sich auf ein Zurücksetzen oder ein kryptografisches Löschen bei einem Gerät zu verlassen, das gar nicht verschlüsselt war.
• Vorzüge: in einer Minute geprüft; sagt Ihnen, ob das Zurücksetzen genügt oder ein weiteres Verfahren nötig ist.
• Grenzen: sagt nichts über die angeschlossenen externen Datenträger und nichts über anderswo verstreute Kopien der Daten.
• Aufwand: gering.

Selbstdiagnose des Datenträgers

Das in die Datenträger eingebaute Überwachungssystem, häufig SMART genannt, das Fehler, beschädigte Bereiche und Abnutzung aufzeichnet.

• Gesenktes Risiko: einen Datenträger in der Überzeugung weiterzugeben, ihn gelöscht zu haben, während einzelne Bereiche längst als defekt ausgeschlossen waren.
• Vorzüge: weist auf Datenträger mit vielen ersetzten Bereichen hin, in denen Bruchstücke von Daten in nicht mehr erreichbaren Zonen liegen bleiben können; hilft bei der Entscheidung zwischen Löschen und Zerstören.
• Grenzen: Die Werte zu lesen verlangt etwas Übung; ein Datenträger, der nicht mehr startet, lässt sich nicht befragen.
• Aufwand: mittel.

Welche Hinweise vor und nach der Weitergabe zu beachten sind, sammelt der Beitrag über die Anzeichen für nicht gelöschte Daten.

3. Technologien der Reaktion

Physische Zerstörung

Den Datenträger unbrauchbar machen: schreddern, die Scheiben durchbohren, entmagnetisieren – ein sehr starkes Magnetfeld, das nur bei mechanischen Festplatten wirkt.

• Gesenktes Risiko: Wiederherstellung der Daten von defekten Datenträgern, die sich auf keinem anderen Weg mehr löschen lassen.
• Vorzüge: die einzige Möglichkeit bei einem Datenträger, der nicht mehr startet; es gibt darauf spezialisierte Dienste, die den Vorgang bescheinigen.
• Grenzen: Der Datenträger lässt sich nicht mehr weiterverwenden; die Bausteine eines Solid-State-Datenträgers sind klein, und ein Loch trifft sie womöglich nicht; die Zerstörung zu Hause bringt Gefahren mit sich, von Splittern bis zu scharfen Kanten.
• Beispiel: Der alte Laptop startet nicht mehr; Sie übergeben den Datenträger einem Dienst für bescheinigte Vernichtung und den Rest dem Wertstoffhof für Elektroaltgeräte.
• Aufwand: mittel.

Löschen aus der Ferne

Die an das Konto von Telefon oder Rechner gebundene Funktion, mit der sich das Zurücksetzen aus der Ferne auslösen lässt.

• Gesenktes Risiko: offengelegte Daten auf einem Gerät, das verloren, gestohlen oder ohne Löschung übergeben wurde.
• Vorzüge: wirkt, wenn das Gerät nicht mehr bei Ihnen ist; bei einem verschlüsselten Gerät kommt sie einem kryptografischen Löschen gleich.
• Grenzen: muss vorher eingeschaltet worden sein; das Gerät muss sich mit dem Internet verbinden, um den Befehl zu erhalten.
• Aufwand: gering.

Entfernen des Geräts aus den Konten

Die Liste der verbundenen Geräte in den Sicherheitseinstellungen der Konten erlaubt es, das weitergegebene Gerät zu trennen und offene Sitzungen zu schließen.

• Gesenktes Risiko: Zugriff auf Ihre Konten, Ihr Postfach oder Ihre Cloud durch die Person, die das Gerät erhalten hat.
• Vorzüge: wirkt auch im Nachhinein; schließt den Zugang zu den Daten, die in der Cloud liegen.
• Grenzen: löscht die örtlich gespeicherten Dateien nicht; ist für jeden wichtigen Dienst zu wiederholen.
• Aufwand: gering.

4. Technologien der Steuerung

Sie zählen, sobald die Geräte nicht nur Ihnen gehören: Familie, Kanzlei, Verein, kleines Büro.

Anerkannte Leitlinien zur Bereinigung von Datenträgern

Normungsgremien und Behörden für Informationssicherheit veröffentlichen Leitlinien dazu, wie Daten unwiederbringlich werden. Sie unterscheiden meist drei Stufen: bereinigen – Überschreiben mit den üblichen Werkzeugen –, tiefgreifend entfernen – Befehle der Firmware und kryptografisches Löschen, beständig auch gegenüber einer Untersuchung im Labor – und zerstören.

• Gesenktes Risiko: aus dem Stegreif getroffene und nirgends festgehaltene Entscheidungen.
• Vorzüge: Sie geben eine gemeinsame Sprache dafür, welche Stufe die jeweilige Empfindlichkeit der Daten verlangt; sie erklären, warum mehrfaches Überschreiben bei heutigen Datenträgern nicht mehr als nötig gilt.
• Grenzen: Sie sind für Organisationen geschrieben und können für den privaten Gebrauch schwerfällig wirken; sie werden über die Jahre fortgeschrieben.
• Aufwand: mittel.

Verschlüsselung vom ersten Tag an

Die Verschlüsselung auf jedem neuen Gerät einschalten, bevor irgendein Datum darauf gespeichert wird.

• Gesenktes Risiko: am Ende des Gerätelebens auf langwierige oder unsichere Verfahren angewiesen zu sein.
• Vorzüge: macht das kryptografische Löschen jederzeit möglich; schützt auch bei einem Diebstahl und nicht nur bei der Weitergabe.
• Grenzen: Der Wiederherstellungsschlüssel will geordnet verwahrt sein; auf manchen Rechnern ist die Verschlüsselung von Hand einzuschalten.
• Aufwand: gering.

Ein festes Verfahren für die Ausmusterung

Eine schriftliche Liste der Schritte, die jedes Mal zu gehen sind, wenn ein Gerät das Haus oder das Büro verlässt: Datensicherung (Backup), Abmeldung von den Konten, Löschen, Kontrolle, Übergabe.

• Gesenktes Risiko: Versäumnisse, vor allem wenn sich verschiedene Menschen darum kümmern.
• Vorzüge: macht den Ablauf wiederholbar; ein knappes Verzeichnis – welches Gerät, wann, mit welchem Verfahren – hilft zu belegen, dass sorgfältig gehandelt wurde; Wertstoffhöfe und Entsorgungsdienste, die eine Bescheinigung ausstellen, runden den Weg ab, ersetzen aber Ihre eigene Löschung nicht.
• Grenzen: Kümmert sich niemand darum, bleibt es auf dem Papier.
• Aufwand: gering.

Vergleichstabelle

So treffen Sie die Wahl

Wenn Sie ein Telefon oder ein Tablet weitergeben. Prüfen Sie, ob der Speicher verschlüsselt ist, melden Sie sich von den Konten und vom Diebstahlschutz ab, nehmen Sie SIM und Speicherkarte heraus und starten Sie danach das Zurücksetzen auf die Werkseinstellungen. Sorgen Sie zuvor für eine Kopie dessen, was Sie behalten möchten, wie es die Empfehlung zur regelmäßigen Sicherung von Fotos und Videos beschreibt.

Wenn Sie einen Rechner oder eine externe Festplatte weitergeben. War der Datenträger verschlüsselt, setzen Sie ihn neu auf und zerstören damit den Schlüssel. Ist es eine unverschlüsselte mechanische Festplatte, wählen Sie ein vollständiges Überschreiben mit Prüfung. Ist es ein unverschlüsselter Solid-State-Datenträger, nutzen Sie den Löschbefehl der Firmware. Warum die Schnellformatierung nicht genügt, erklärt die Empfehlung zur vollständigen Formatierung der Festplatte.

Wenn Sie die Geräte einer Familie oder eines kleinen Büros betreuen. Verschlüsselung auf jedem neuen Gerät, ein schriftliches Verfahren für die Ausmusterung mit einem knappen Verzeichnis, ein verlässlicher Weg für die Entsorgung defekter Datenträger. Die anerkannten Leitlinien helfen bei der Entscheidung, wann sich das Zerstören lohnt.

Eine Faustregel. Keine Technologie bietet eine unbedingte Gewähr. Das beste Verhältnis von Ergebnis zu Aufwand ergibt die Verbindung aus Verschlüsselung von Anfang an und kryptografischem Löschen oder Zurücksetzen bei der Weitergabe, mit der physischen Zerstörung für jene Datenträger, die sich nicht mehr löschen lassen. Unterhalb dieser Schwelle hofft man, dass niemand sucht; oberhalb beginnen die förmlichen Verfahren der Organisationen.

Bezug zum Framework Cyber Welfare

Referenzstufe: FL3 – Selbstständig. Das ist die Stufe, auf der ein Werkzeug so weit verstanden wird, dass es sich ohne Hilfe nutzen und an das Gerät anpassen lässt, das gerade vor einem liegt.

Fazit

Wirklich zu löschen ist keine Arbeit für ein Labor. Oft steckt die richtige Technologie schon in Ihren Geräten: Dieselbe Verschlüsselung, die das Telefon jeden Tag schützt, macht die Daten im Augenblick der Weitergabe in wenigen Sekunden unlesbar. Überschreiben, Befehle der Firmware und physische Zerstörung kommen dort zum Zug, wo dieser Weg fehlt. Wie es um Ihre digitalen Gewohnheiten insgesamt steht, zeigt Ihnen die Selbstbewertung der digitalen Resilienz als Ausgangspunkt.

Empfohlener erster Schritt. Sehen Sie heute nach, ob Telefon und Rechner verschlüsselt sind. Wenn ja, genügen bei der Weitergabe später wenige Minuten; wenn nein, schalten Sie die Verschlüsselung jetzt ein.

Verwandte Inhalte

• Daten löschen vor der Weitergabe eines Geräts – die Empfehlung, auf die sich dieser Beitrag bezieht
• Daten sicher löschen – wie Sie diese Technologien der Reihe nach anwenden
• Datenwiederherstellung auf Gebrauchtgeräten – die Verfahren der Wiederherstellung, gegen die diese Technologien gedacht sind
• Anzeichen für nicht gelöschte Daten – worauf Sie vor und nach der Weitergabe achten

Einen Begriff nachschlagen

Kurze Einträge aus dem Cyber-Welfare-Glossar, für alle, die bei einem einzelnen Begriff verweilen möchten:

• Festplattenverschlüsselung
• Schlüsselbund
• Air Gap

Machen Sie den ersten Schritt: Das Programm „Schützen Sie Ihre digitale Privatsphäre“ begleitet Sie kostenlos, eine Empfehlung nach der anderen.