Datenlöschung

Die sichere Löschung von Daten ist ein zentraler Bestandteil von Informationssicherheit und Datenschutz. Ziel ist die möglichst vollständige und irreversible Entfernung von Informationen aus allen relevanten Speicherbereichen, sodass eine Wiederherstellung nach dem Stand der Technik praktisch ausgeschlossen ist. Dies schützt vor Datenmissbrauch, reduziert Risiken wie Datenlecks und erfüllt gesetzliche Vorgaben.

Einführung, Sinn und Zweck sicherer Datenlöschung

Sichere Datenlöschung ist ein grundlegender Bestandteil von Informationssicherheit und Datenschutz. Sie stellt sicher, dass Daten nach Ablauf ihrer Zweckbindung oder vor der Weitergabe bzw. Entsorgung von IT‑Systemen nicht oder nur mit unverhältnismäßigem Aufwand wiederhergestellt werden können. Dies betrifft nicht nur personenbezogene Daten, sondern alle Informationen, deren unbefugte Offenlegung Schaden verursachen kann.

Der Bedarf ergibt sich aus mehreren Faktoren:

• Schutz vor Datenmissbrauch: Nicht gelöschte Daten können bei Weiterverkauf, Reparatur oder Entsorgung von Geräten ausgelesen werden.
• Erfüllung gesetzlicher Vorgaben: DSGVO, BDSG und branchenspezifische Standards verlangen die Löschung oder Anonymisierung von Daten, die für den ursprünglichen Zweck nicht mehr erforderlich sind.
• Reduzierung von Sicherheitsrisiken: Alte Datenbestände erhöhen die Angriffsfläche und können bei Cyberangriffen kompromittiert werden.
• Vermeidung von Haftungsrisiken: Fehlende oder fehlerhafte Löschung kann zu Bußgeldern, Reputationsschäden und Vertragsverletzungen führen.
• Effizientes Datenmanagement: Löschung verhindert unnötige Datenhaltung und erleichtert die Einhaltung von Aufbewahrungsfristen.

Praxisbeispiel: Ein Unternehmen gibt Leasing‑Laptops zurück. Das Leasingunternehmen verkauft diese als Gebrauchtware bei Ebay. Ohne sichere Löschung könnten vertrauliche Dokumente, Zugangsdaten oder personenbezogene Informationen von Dritten wiederhergestellt werden. Durch ein standardisiertes Löschverfahren (z. B. Secure Erase oder physische Zerstörung) wird dieses Risiko weitgehend ausgeschlossen.

Sichere Datenlöschung ist daher kein optionaler Prozess, sondern eine zwingende Maßnahme, um Vertraulichkeit, Integrität und Compliance dauerhaft sicherzustellen.

Grundlagen der sicheren Datenlöschung

Sichere Datenlöschung umfasst technische, organisatorische und rechtliche Maßnahmen. Die Auswahl geeigneter Verfahren hängt vom Speichermedium, dem Schutzbedarf und dem Einsatzkontext ab.

• Datenklassifizierung: Der Schutzbedarf von Informationen bestimmt die erforderliche Lösch- bzw. Vernichtungsmethode (z. B. Clear, Purge oder Destroy).
• Medienbezug: HDD, SSD, Flash, Cloud, Backups und Datenbanken erfordern unterschiedliche Verfahren.
• Dokumentation: Jeder Löschvorgang muss nachvollziehbar dokumentiert werden.
• Lifecycle-Ansatz: Löschung muss in Beschaffung, Betrieb, Weitergabe und Entsorgung berücksichtigt werden. Datenträger und Informationswerte sollten im Asset-Inventar geführt und mit definierten Lösch- bzw. Vernichtungsprozessen am Lebensende verknüpft sein.

Rechtliche Anforderungen

Die Löschung personenbezogener Daten ist gesetzlich geregelt.

• DSGVO Art. 5 Abs. 1 lit. e: Grundsatz der Speicherbegrenzung – personenbezogene Daten dürfen nur so lange gespeichert werden, wie es für die Zwecke der Verarbeitung erforderlich ist.
• DSGVO Art. 17: Recht auf Löschung („Recht auf Vergessenwerden“) und Löschpflichten der Verantwortlichen.
• BDSG § 35: Ergänzende nationale Regelungen zur Löschung und Einschränkung der Verarbeitung.
• BSI IT-Grundschutz (CON.6): Anforderungen an Lösch- und Vernichtungsverfahren.
• Vertragliche Pflichten: AVV mit Dienstleistern müssen Löschpflichten, Fristen und Nachweise definieren.

Daneben enthält die ISO/IEC 27002:2022 mit Control 8.10 „Information deletion“ eine Referenzmaßnahme zur Löschung von Informationen als Bestandteil eines Informationssicherheits-Managementsystems (ISMS).

Standards und Referenzmodelle

NIST 800-88 (Clear / Purge / Destroy)

NIST SP 800‑88 ist eine international weit verbreitete Richtlinie zur Bereinigung von Datenträgern (Media Sanitization). Die Revision 1 wurde 2025 durch Revision 2 abgelöst; die grundlegenden Kategorien bleiben jedoch erhalten.

• Clear: Logische Löschung (z. B. Überschreiben, standardkonformes Secure Erase) mit dem Ziel, Daten für einfache Wiederherstellungsverfahren unzugänglich zu machen.
• Purge: Tiefere Bereinigung (z. B. Krypto-Schreddern, herstellerspezifische Purge-Verfahren, Degaussing), sodass Daten auch mit fortgeschrittenen Laborverfahren nicht mehr oder nur mit unverhältnismäßigem Aufwand rekonstruiert werden können.
• Destroy: Physische Zerstörung des Mediums.

Die Auswahl richtet sich nach Schutzbedarf, Medium und Risikoanalyse. Für hohe oder sehr hohe Schutzbedarfe werden in der Regel Purge- oder Destroy-Verfahren gefordert.

BSI IT-Grundschutz (CON.6)

Der BSI-Baustein CON.6 „Löschung und Vernichtung von Informationen“ definiert Anforderungen an:

• Lösch- und Vernichtungsverfahren je Medium und Schutzbedarf
• Dokumentation und Nachweis der Löschung bzw. Vernichtung
• Entsorgung und Vernichtung durch interne oder externe Stellen
• Auswahl, Steuerung und Kontrolle geeigneter Dienstleister

Technische Methoden und Verfahren

Überschreiben

Überschreiben ersetzt vorhandene Daten durch definierte Muster oder Zufallsdaten. Es eignet sich vor allem für magnetische Medien.

• Einfaches Überschreiben: Ein Durchgang mit Verifikation (z. B. NIST‑konformes Clear).
• Mehrfaches Überschreiben: Mehrere Durchgänge (z. B. historisch DoD 5220.22‑M, Gutmann). Solche Verfahren mit vielen Durchgängen gelten heute für moderne Festplatten meist als überholt.
• Einschränkung: Bei SSDs aufgrund von Wear‑Leveling und Overprovisioning nicht zuverlässig, da nicht alle Speicherzellen gezielt adressiert werden können.

Praxisbeispiel: Ausmusterung eines Laptops mit HDD → 1× Überschreiben nach einem aktuellen Standard (z. B. NIST‑Clear) mit anschließender Verifikation.

Entmagnetisieren (Degaussing)

Ein starkes Magnetfeld zerstört die magnetische Struktur des Mediums.

• Geeignet: HDDs, Magnetbänder.
• Nicht geeignet: SSDs, Flash‑Speicher und optische Medien.
• Folge: Medium ist danach unbrauchbar und kann nicht mehr verwendet werden.

Physische Zerstörung

Physische Vernichtung ist die sicherste Methode bei hohen Schutzbedarfen oder defekten Medien, bei denen logische Verfahren nicht mehr zuverlässig anwendbar sind.

• Schreddern: Zerkleinern in definierte Partikelgrößen (z. B. nach DIN 66399).
• Verbrennen: Thermische Vernichtung in geeigneten Anlagen.
• Zerkleinern: Durchbohren, Pulverisieren oder vergleichbare Verfahren.

Praxisbeispiel: Defekte SSD mit sensiblen Daten → Schreddern nach DIN 66399 unter Berücksichtigung des Schutzbedarfs.

Krypto-Schreddern

Löschen kryptografischer Schlüssel macht verschlüsselte Daten unlesbar.

• Geeignet: SSDs, Flash, virtuelle Datenträger, verschlüsselte Container und Datenspeicher.
• Vorteil: Sehr schnell, da nur Schlüssel gelöscht werden müssen, nicht alle Datenblöcke.
• Voraussetzung: Vollständige, konsequent eingesetzte Verschlüsselung des Mediums bzw. der Daten. Die gewählten Verfahren und Schlüsselstärken müssen dem Schutzbedarf entsprechen.

Secure Erase

Firmware-basierte Funktion zur Löschung aller adressierbaren Speicherbereiche.

• Anwendung: HDDs und SSDs.
• Verfügbarkeit: Hersteller‑Tools, teilweise BIOS/UEFI, spezialisierte Löschsoftware.
• Hinweis: Manche SSD‑Implementierungen sind fehleranfällig oder nicht vollständig NIST‑konform. Es ist daher ein Nachweis bzw. eine Validierung des Verfahrens erforderlich (z. B. durch Herstellerdokumentation, Tests oder Zertifizierung). Im Rahmen von NIST 800‑88 kann ein validiertes Secure‑Erase‑Verfahren der Kategorie „Purge“ zugeordnet werden.

Softwarelösungen

Tools zur Löschung einzelner Dateien, freier Speicherbereiche oder kompletter Datenträger.

• Beispiele: DBAN, Eraser, Blancco Drive Eraser, herstellerspezifische Tools.
• Standards: Umsetzung von Vorgaben aus NIST 800‑88, BSI‑Empfehlungen oder anderen anerkannten Richtlinien. Historische Verfahren wie DoD 5220.22‑M oder Gutmann sollten nur noch eingesetzt werden, wenn sie explizit gefordert oder nachweisbar geeignet sind.

Löschung in komplexen Umgebungen

Cloud-Datenlöschung

Cloud‑Umgebungen erfordern besondere Maßnahmen, da Daten repliziert und verteilt gespeichert werden.

• Löschung von Replikaten, Snapshots, Caches und temporären Kopien.
• Berücksichtigung von Multi‑Zonen‑ und Multi‑Region‑Setups.
• Nutzung von Anbieterfunktionen (z. B. „Secure Delete“, „Object Lock“, Lifecycle‑Policies).
• Löschbestätigungen des Providers und vertragliche Regelungen (AV‑Vertrag, SLA) zu Löschfristen, Restaufbewahrung und Nachweisen.

Praxisbeispiel: S3‑Bucket mit Versionierung → alle Versionen, Replikate und ggf. Cross‑Region‑Replikationen löschen; Lifecycle‑Regeln so konfigurieren, dass zukünftige Objekte nach Ablauf der Aufbewahrungsfrist automatisch gelöscht werden.

Backups

Backups sind ein kritischer Faktor für DSGVO‑konforme Löschung.

• Löschkonzepte müssen Backup‑Zyklen und Aufbewahrungsfristen berücksichtigen.
• Nach Löschung im Produktivsystem dürfen personenbezogene Daten nicht gezielt aus Backups wiederhergestellt werden; im Falle einer vollständigen Systemwiederherstellung müssen ergänzende Maßnahmen (z. B. erneute Löschung, selektives Bereinigen) vorgesehen werden.
• Nutzung von Backup‑Verschlüsselung und geplanter Schlüsselvernichtung kann sicherstellen, dass Alt‑Backups nach Ablauf der Aufbewahrungsfrist faktisch unlesbar werden.

Datenbanken

Datenbanken speichern Daten in mehreren Bereichen.

• Tabellen, Indizes, Transaktionslogs, Caches und temporäre Dateien.
• Löschung muss alle relevanten Speicherorte berücksichtigen.
• Nutzung von „Secure Delete“‑Funktionen (falls verfügbar) sowie geeigneten Bereinigungsmechanismen für Logs, Caches und Archivtabellen.

Mobile Geräte

Mobile Endgeräte benötigen spezifische Löschmechanismen.

• Remote Wipe über MDM‑Lösungen.
• Löschung lokaler Schlüssel bei verschlüsselten Geräten (Krypto‑Schreddern).
• Sicheres Zurücksetzen auf Werkseinstellungen und anschließend ggf. zusätzliche Maßnahmen (z. B. erneute Verschlüsselung und Schlüsselvernichtung), insbesondere vor Weitergabe oder Rückgabe von Geräten.

Organisatorische Anforderungen

Richtlinien und Verfahren

• Festlegung von Löschanforderungen je Datenart, Schutzbedarf und Medium.
• Definition von Clear/Purge/Destroy je Schutzbedarf und Anwendungskontext.
• Integration in IT‑Betriebsprozesse (z. B. bei Hardware‑Rückgabe, Incident‑Response, Lifecycle‑Management).

Verantwortlichkeiten

• Klare Zuordnung von Zuständigkeiten (IT, Informationssicherheit, Datenschutz, Entsorger).
• Freigabeprozesse für Löschvorgänge, insbesondere bei Medien mit hohem Schutzbedarf.
• Regelung der Verantwortlichkeiten bei externen Dienstleistern.

Schulung und Sensibilisierung

• Regelmäßige Schulungen zu Löschverfahren und Schutzbedarfen.
• Sensibilisierung für Risiken unsachgemäßer Löschung (z. B. Verkauf von Datenträgern ohne Bereinigung).

Dokumentation und Nachweis

• Löschprotokolle mit Datum, Methode, Medium, Schutzbedarf, Verantwortlichen und ggf. verwendeten Standards (z. B. NIST 800‑88).
• Nachweisführung gegenüber Datenschutz, Revision und Aufsichtsbehörden.
• Bei externen Dienstleistern Einforderung und Aufbewahrung von Lösch- bzw. Vernichtungszertifikaten mit Angaben zu Verfahren, Standards und Umfang.

Überwachung und Kontrolle

• Regelmäßige Audits der Löschprozesse und Stichprobenprüfungen.
• Kontrolle vor Entsorgung, Weiterverwendung oder Rückgabe von Geräten.
• Überprüfung von Dienstleistern (z. B. Vor‑Ort‑Kontrollen, Zertifikate, Auditberichte).

Auswahl und Nutzung von Tools

• Bewertung geeigneter Software‑ und Hardware‑Tools (u. a. Funktionsumfang, Nachweisführung, Standardkonformität).
• Einsatz zertifizierter Lösungen, sofern verfügbar (z. B. nach NIST 800‑88, BSI‑Empfehlungen).
• Regelmäßige Überprüfung von Tool‑Versionen und Konfigurationen.

Entsorgung und Recycling

• Vorgaben zur sicheren Entsorgung von Medien (interne Entsorgung, externe Dienstleister).
• Sicherstellung der Löschung oder Vernichtung vor Recycling oder Wiederverwendung.
• Berücksichtigung von Umweltaspekten im Rahmen der sicheren Vernichtung.

Notfallmaßnahmen

• Notfallpläne für Löschung bzw. schnelle Unzugänglichmachung von Daten bei Cyberangriffen oder physischen Schäden (z. B. kompromittierte Systeme, Diebstahl von Geräten).
• Sofortmaßnahmen zur schnellen Datenvernichtung oder Schlüsselvernichtung, falls erforderlich.
• Einbindung der Datenlöschung in das Notfall‑ und Business‑Continuity‑Management.

Typische Fehler und Risiken

• Löschung nur im Produktivsystem, nicht in Backups oder Replikaten berücksichtigt.
• Unvollständige Löschung bei SSDs und Flash‑Speichern aufgrund ungeeigneter Verfahren.
• Fehlende oder unzureichende Dokumentation.
• Ungeeignete Tools oder veraltete Verfahren ohne Bezug zu aktuellen Standards.
• Fehlende Kontrolle und vertragliche Regelungen bei externen Dienstleistern.
• Verwechslung von Anonymisierung (als Löschersatz möglich) mit Pseudonymisierung (keine Löschung im Sinne der DSGVO).

Weitere Quellen

• BSI IT-Grundschutz Kompendium – Baustein CON.6
• BITKOM Leitfaden zum sicheren Datenlöschen
• NIST SP 800-88 Revision 1 (inzwischen durch Revision 2 ersetzt)
• NIST SP 800-88 Revision 2 – Guidelines for Media Sanitization
• ISO/IEC 27002:2022 – Control 8.10 Information deletion