20.01.2021

19430

DSGVO-konforme Löschsoftware für Festplatten

Hallo zusammen,

welche Software gibt es, damit man DSGVO-konform Festplatten löschen kann?
Ich kenne zwar Blancco, aber gibt es denn da keine gesetzeskonforme Alternativen?
(Auch das die pro Platte extra Lizenzen haben wollen, nervt.)
Welche Software kann noch "BSI-2011-VS"?
Gibt es so etwas auch als Freeware/ Open-Source?
(DBAN ist ja leider nicht DSGVO-konform.)
Schön wäre, wenn man da auch noch ein Protokoll erhalten würde.
Wie macht Ihr das, wenn Ihr alte Festplatten (und SSDs) DSGVO-konform entosrgen müsst/ wollt?

Vielen Dank schon mal für Eure Hilfe!

Bitte markiere auch die Kommentare, die zur Lösung des Beitrags beigetragen haben

Content-ID: 642593

Url: https://administrator.de/contentid/642593

Ausgedruckt am: 25.11.2024 um 12:11 Uhr

38 Kommentare

Neuester Kommentar

Zitat von @alwayshungry:
Wie macht Ihr das, wenn Ihr alte Festplatten (und SSDs) DSGVO-konform entosrgen müsst/ wollt?

Einmal kaufen und keine weiteren Lizenzkosten.

Gruß Spec

Hallo,

meine Schwägerin ist Künstlerin und bastelt gerne mit den Scheiben aus den Fetzplatten.

Ich gehe da aber auch noch mal mit einem Magneten rüber.

Das Zerlegen erledigen die Praktikanten.

Gruß,
Jörg

Nochmal,

ich suche eine SOFTWARE-Lösung.

Danke!

Hallo,

unter Linux gibt es dafür dd

Gruß,
Jörg

Zitat von @alwayshungry:

(DBAN ist ja leider nicht DSGVO-konform.)

Warum sollte DBAN nicht DVGSO-Konform sein? Solange die Platte keine realioziierten Sektoren hat, jann man mit jedem Tool DVGSO-Konform lóschen, z.B. DD oder ddrescue.

Und wenn die Platte realloziierte Sektoren hat, kann man die Platte nicht mehr ordentlich lóschen, egal mit welcher Software und muß die
Daten physikalischh zerstören.

lks

Zitat von @Lochkartenstanzer:
Warum sollte DBAN nicht DVGSO-Konform sein?

Siehe Webseite von DBAN https://dban.org/
DBAN kann leider keine "Neu zugeordnete Sektoren und versteckte Bereiche" löschen.
Kein Lösch-Algorithmus nach BSI-2011-VS (oder vergleichbar/ besser).
Kein Lösch-Bericht.
(Und auch nicht zertifiziert.)

Also nicht DSGVO-konform.

Und wenn die Platte realloziierte Sektoren hat, kann man die Platte nicht mehr ordentlich lóschen, egal mit welcher Software und muß die Daten physikalischh zerstören.

Falsch. Blancco kann es. Ist auch seit 2013 durch das BSI zertifiziert.

Zitat von @alwayshungry:

Zitat von @Lochkartenstanzer:
Warum sollte DBAN nicht DVGSO-Konform sein?

Und wenn die Platte realloziierte Sektoren hat, kann man die Platte nicht mehr ordentlich lóschen, egal mit welcher Software und muß die Daten physikalischh zerstören.

Falsch. Blancco kann es.

Glaube ich nicht.

Ist auch seit 2013 durch das BSI zertifiziert.

Die BSI zertifiziert viele Dinge, von denen die keine Ahnung haben.

lks

Hallo,

wenn das Ergebnis stimmt, ist es unerheblich, wer da was zertifiziert hat.

Gruß,
Jörg

Nachdem das BSI nichts, wirklich überhaupt nichts, zu der zugehörigen "TL-03423" veröffentlicht, wirst du wohl das BSI fragen müssen, welche Software man einsetzen kann.
Ohne die darunter liegenden Vorgaben zu kennen, kann man unmöglich Software empfehlen oder abschätzen, ob eine Software "konform" ist oder nicht.
Scheint ja wahnsinnig konspirativ zu sein, wenn sogar die einer Zertifizierung zugrunde liegenden Standards geheim sind...

Ansonsten:
SMART-Daten der Festplatte auslesen, dann vier mal alternierend mit Nullen, Einsen und Zufallsdaten über die Festplatte schrubben, dann wieder SMART-Daten holen und zu Doku-Zwecken aufheben.
Aus dem "LBA Written"-Counter der Festplatte geht dann auch hervor, ob wirklich 4x geschrieben wurde.

Btw: Diese BSI-Zertifizierung hat nichts mit DSGVO zu tun

Zitat von @LordGurke:
Nachdem das BSI nichts, wirklich überhaupt nichts, zu der zugehörigen "TL-03423" veröffentlicht, wirst du wohl das BSI fragen müssen, welche Software man einsetzen kann.
Ohne die darunter liegenden Vorgaben zu kennen, kann man unmöglich Software empfehlen oder abschätzen, ob eine Software "konform" ist oder nicht.
Scheint ja wahnsinnig konspirativ zu sein, wenn sogar die einer Zertifizierung zugrunde liegenden Standards geheim sind...

Nicht konspirativ, sondern das übliche Beweisverfahren für die BSI-Vorgaben: Die Daten wurden BSI-konform gelöscht - also ist TL-03423 korrekt

Guten Morgen

SOFTware hat er gesagt

Aber ich verwende auch "nur" Hardware

Hallo LKS.
@alwayshungry hat expliziet nach "BSI-2011-VS" gefragt.
Dies geht nicht mit DD etc.

CH

Zitat von @117471:

ist es unerheblich, wer da was zertifiziert hat.

Aber nur wenn es auch zertifiziert ist

Das Thema gab es hier schon sehr oft, genau wie die dazugehörige Diskussion

Wichtig dabei ist auch ob SSD oder HDD, da die Löschmechanismen dazu unterschiedlich sind.
Für HDD empfehle ich wie oben schon gesagt DBAN, für SSD Parted Magic. Ob das jetzt DSGVO konform ist, ist schwierig zu sagen. Wichtig sind laut BSI mind. 3 Löschvorgänge (aber das hat nichts mit DSGVO zu tun). Und damit meine ich jetzt keine Schnellformatierung via USB sondern Secure Erase. Und noch viel wichtiger...alles dokumentieren

Hallo,

und wo genau fordert die DSGVO die Anwendung eines „zertifizierten“ Tools ein?

Für mich klingt das nach Lobbyarbeit. Das Zertifikat werden nur diejenigen haben, die Geld damit verdienen.

Alleine schon der Quatsch mit dem „siebenmal überschreiben“. Wo wir doch alle wissen: Sicher gelöscht sind die Daten erst dann, wenn man eine tote Katze hinter dem Friedhof vergräbt.

Gruß,
Jörg

Übrigens: Der TO hat sich pro Zertifizierung und somit dafür entschieden, anderen Menschen ohne Gegenwert sein Geld zu geben. Damit ist alles gesagt. Die Frage nach kostenlosen Lobbyergebnissen empfinde ich als naiv.

Hi,
warum "BSI-2011-VS" , entsprechend TL whatever ?
ist für Behörden und andere öffentliche Institution für VS NfD gedacht.
-
meine Empfehlung: Blancco Disk Eraser mit Methode BSI-GS oder besser: NIST PURGE.

Welche Methode für euch wahrscheinlich die sinnvollste ist, kann hier nicht abgeklärt werden.

Entgegen der hier viel verbreiteten Meinung ist es nicht möglich mit "einfachen" Linux Boardmitteln oder irgendwelcher Freeware "DSGVO-konform" zu löschen:
- Revisionssichere Protokollierung ist "schwierig" umzusetzen.
- teilweise notwendige Löschmethoden wie Enhanced Secure Erase, Cryptographic Erase etc. sind nicht so ohne Weiteres implementierbar.
- die notwendige Überprüfung der Löschung ist schwer umsetzbar.

Ich kann dir ggf. heute Abend noch eine Alternative zu Blancco Disk Eraser geben.
Ansonsten gibt es in DE noch Certus Software, gefällt mir aber im Vergleich zu BDE nicht und ist international auch nicht akzeptiert und annerkannt.

CH

Zitat von @117471:
Übrigens: Der TO hat sich pro Zertifizierung und somit dafür entschieden, anderen Menschen ohne Gegenwert sein Geld zu geben. Damit ist alles gesagt. Die Frage nach kostenlosen Lobbyergebnissen empfinde ich als naiv.

Naja, wenn jemand etwas "zertifiziert", dann heißt das für mich, daß dies ohne Hintertürl so funktioniert, wie es angegeben ist.

Beim Autoreifen weiß ich ja auch, daß ein "T-Reifen" bis 190 km/h und der "Q" nur bis 160 km/h zertifiziert ist. Wenn ich dann mit dem Q über 200 fahren will ..... wird wohl nicht so oft sein

Zitat von @ChriBo:

Boardmitteln oder irgendwelcher Freeware "DSGVO-konform" zu löschen:

- Revisionssichere Protokollierung ist "schwierig" umzusetzen.

Wieso? Man muß nur jeden Schritt dokumentieren unterscheiben und abheften.

- teilweise notwendige Löschmethoden wie Enhanced Secure Erase, Cryptographic Erase etc. sind nicht so ohne Weiteres implementierbar.

Das ist für DVGSO nicht notwendig.

- die notwendige Überprüfung der Löschung ist schwer umsetzbar.

Geht ganz einfach. Einfach komplettes Image lesen und schauen, ob noch daten "rausfallen".

Ich kann dir ggf. heute Abend noch eine Alternative zu Blancco Disk Eraser geben.

Ansonsten gibt es in DE noch Certus Software, gefällt mir aber im Vergleich zu BDE nicht und ist international auch nicht akzeptiert und annerkannt.

Die ganze Software macht im wesentlichen nichts anders als das was man mit Linux-Tools machen kann automatisiert druchzuführen und einen Textdatei auszuspucken, die ggf. elektronisch unterschrieben ist. Die kocht genauso mit Wasser.

Man könnte das mit ein paar bashskripten unter Linux nachbauen, wenn man da größeren Bedarf hätte, aber das lohnt den Aufwand nicht.

lks

Zitat von @117471:

Hallo,

und wo genau fordert die DSGVO die Anwendung eines „zertifizierten“ Tools ein?

Die DSGVO fordert den Einsatz von Software nach dem "Stand der Technik".
Wenn man ein nicht zertifiziertes Tool/ Verfahren einsetzt, dann muss man nachweisen (dokumentieren), wieso es gleichwertig oder besser ist. Dies ist jedoch recht umständlich.

Für mich klingt das nach Lobbyarbeit. Das Zertifikat werden nur diejenigen haben, die Geld damit verdienen.

Momentan finde ich es auch merkwürdig, dass scheinbar nur BDE alle Vorgaben erfüllt.
BDE ist seit 2013 zertifiziert. Danach wurden die Vorschriften so angepasst, dass es praktisch keine andere Alternative gibt. Das BSI nennt auf seiner Seite nur BDE zur Datenlöschung.

Alleine schon der Quatsch mit dem „siebenmal überschreiben“. Wo wir doch alle wissen: Sicher gelöscht sind die Daten erst dann, wenn man eine tote Katze hinter dem Friedhof vergräbt.

Das mag sein, nur es gibt Bereiche, wo man den Privatsektor verläßt. Aber auch die Privatwirtschaft muss sich an die DSGVO halten. (Erst Recht bei den Verträgen, wenn man öffentliche Auftäge annehmen will.)
Die Datenschützer fordern Verfahren nach dem "Stand der Technik". Will man wissen, welche das sind, dann wird auf das BSI verwiesen. Sieht man beim BSI nach findet man nur die Technischen Leitlinie "Anforderung zum Überschreiben von Datenträgern - BSI TL-03423", in der nur zwei Löschverfahren (u. a. BSI-2011-VS) dargestellt werden.
Ich persöhnlich fand das VSITR-Verfahren mehr als ausreichend. Aber die BSI hat das Verfahren durch BSI-2011-VS ersetzt. Damit gilt z.B. VSITR nicht mahr als DSGVO-konformes (softwarebasiertes) Datenlösch-Verfahren. (Von dem Doku-Problem mal abgesehen.)

Gruß,
Jörg

Übrigens: Der TO hat sich pro Zertifizierung und somit dafür entschieden, anderen Menschen ohne Gegenwert sein Geld zu geben. Damit ist alles gesagt. Die Frage nach kostenlosen Lobbyergebnissen empfinde ich als naiv.

Ich suche nicht umsonst nach einer alternativen Lösung! Sie muss nicht kostenlos sein. (OpenSource hätte den Vorteil einer besseren Nachvollziehbarkeit, was denn da genau gemacht wird. Außerdem könnte man das dann um Protokolle erweitern.) An BDE stört mich vor allem, dass für jeden Löschvorgang (/ Festplatte) eine einzelne Lizenz erworben werden muss. (Das ist ja wie selber Geld drucken.) Wenn es eine Software gibt, die man einmal (oder jährlich) erwerben und dann gesetzeskonform die Datenträger (in unbegrenzter Anzahl) DSGVO-konform löschen kann, wäre mir schon sehr geholfen.

Danke nochmals an alle, die sich hier so viel Mühe geben!

Hi,

Sieht man beim BSI nach findet man nur die Technischen Leitlinie "Anforderung zum Überschreiben von Datenträgern - BSI TL-03423" ...

du vertust dich:
BSI Grunschutzkataloge: M 2.167 Auswahl geeigneter Verfahren zur Löschung oder Vernichtung von Daten
- Festplatten (mit magnetischen Datenträger), Magnetbandkassetten, Disketten: Überschreiben des gesamten Datenträgers mit einem Zufallszahlenmuster und Verifikation.
- Festplatten mit Halbleiterspeicher ( SSD / Hybrid): Für höheren Schutzbedarf ist derzeit noch keine zuverlässige Methode vorhanden. Empfohlen wird, den Datenträger von Anfang der Nutzung an vollständig zu verschlüsseln. Vor der Entsorgung sollte er wievorgenannt überschrieben werden.

Entspricht nicht mehr dem Stand der Technik, ist aber Löschung "nach BSI".

Ich persöhnlich fand das VSITR-Verfahren mehr als ausreichend

welches VSITR Verfahren ?
Im VSITR Hinweisblatt Nr.11 wurde die damals von VS-Clean verwendete Methode beschrieben.
War nur auf VS-Clean bezogen und nur für IDE und SCSII Festplatten (magnetisch) bis 40 MB zulässig.

Momentan finde ich es auch merkwürdig, dass scheinbar nur BDE alle Vorgaben erfüllt.

Meiner Meinung nach: die anderern Hersteller scheuen die Kosten der Implementierung und Zertifizierung.
Ich / Wir wären froh wenn es für DE bzw. für die EU eine Alternative zu BDE gibt.

für "DSGVO entsprechende Löschsoftware" hast du von mir auch Certus genannt bekommen.

An BDE stört mich vor allem, dass für jeden Löschvorgang (/ Festplatte) eine einzelne Lizenz erworben werden muss. (Das ist ja wie selber Geld drucken.)

Ja, kann ich nachvollziehen.
BTW: welche Menge müsst ihr im Jahr löschen ? Was kostet es dann ? Blancco bietet meines wissens nach auch Jahreslizenzen an.

Wenn es eine Software gibt, die man einmal (oder jährlich) erwerben und dann gesetzeskonform die Datenträger (in unbegrenzter Anzahl) DSGVO-konform löschen kann, wäre mir schon sehr geholfen.

Schau dir z.B. mal Killdisk an, baue einen Prozeß drumherum und lasse es dir als "DSGVO-konformes" Löschen genehmigen.

CH

Hallo,

Zitat von @alwayshungry:

Wenn man ein nicht zertifiziertes Tool/ Verfahren einsetzt, dann muss man nachweisen (dokumentieren), wieso es gleichwertig oder besser ist.

Na, dann beweise mal, dass eine Null von einem kommerziellen Programm "wertiger" oder "besser" ist als eine Null, die von einem kostenlosen Programm geschrieben wurde.

Du verläufst dich.

Momentan finde ich es auch merkwürdig, dass scheinbar nur BDE alle Vorgaben erfüllt.

Die Vorgaben werden nur von demjenigen erfüllt, der sie mit viel Lobbyarbeit definiert hat. Oh Wunder!

Abgesehen davon gilt in Deutschland immer noch die Unschuldsvermutung. Solange dein Ergebnis stimmt, liegt die Beweislast bei demjenigen, der Dir - vorsichtig ausgedrückt - an die Karre pissen will.

Das mag sein, nur es gibt Bereiche, wo man den Privatsektor verläßt.

Ich rede von medizinischen Daten, Daten von Rechtsanwälten und Steuerberatern und Personalunterlagen. So etwas findest Du in jedem gut sortierten Krankenhaus.

Erst Recht bei den Verträgen, wenn man öffentliche Auftäge annehmen will.

Da gibt es ganz andere, übergeordnete Zertifizierungen (z.B. ISO27001).

Die Datenschützer fordern Verfahren nach dem "Stand der Technik".

Mein Datenschützer fordert jeden Tag ein Schinken-Käsebrötchen...

Ernsthaft - Datenschützer sind gar nicht in der Position, Forderungen zu stellen. Die Forderugnen kommen aus den Gesetzen und Verordnungen und werden von den Datenschützern maximal interpretiert. Nur, weil ein Datenschützer die eigene Wichtigkeit durch den Raum kegelt um mal wieder ein paar Stunden aufzuschreiben heißt das noch lange nicht, dass er Recht hat.

Wir können den Spieß ja auch mal umdrehen: Wie wäre es, wenn Du die Festplatte mit dd acht- statt (wie in der Zertifizierung) siebenmal überschreibst. Das wäre minimal mehr Aufwand, deutlich höhere Sicherheit - und das alles mit dem Stand der Technik von vor 40 Jahren!

Noch einmal - Du verläufst dich!

OpenSource hätte den Vorteil einer besseren Nachvollziehbarkeit,

Eine derartige Lösung kann nicht "OpenSource" sein. Du hast Zugriff auf den Quellcode und könntest diesen jederzeit verändern. D.h., Du müsstest bei jedem Quellcode die Authentizität des zugrundeliegenden Quellcodes sicherstellen und gleichzeitig prüfen, dass das laufende Binary aus diesem erstellt wurde. Das ist ein klassisches Henne-Ei-Problem.

An BDE stört mich vor allem, dass für jeden Löschvorgang (/ Festplatte) eine einzelne Lizenz erworben werden muss.

Das wäre tatsächlich ein Ansatz: Der Hersteller könnte z.B. die Seriennummer abgreifen, aus diesem einen Schlüssel erstellen, den in deine Software zurückspielen und dein Programm signiert die Protokolle dann mit diesem Schlüssel.

Aber, noch einmal: Auch das führt nur zu einem(!) möglichen Ergebnis. Und das ist gleichwertig mit allen anderen Ergebnissen.

Ich kann das nachvollziehen, dass Du gedanklich etwas ins Rudern kommst. Deine Verunsicherung ist letztendlich genau der Nährboden, der geschaffen wurde, um derartige "Exklusivprodukte" zu vermarkten.

Gruß,
Jörg

Hallo Ingo,

auch wenn du eine Softwarelösung suchst so gebe ich doch zu bedenken, das der finanzielle Aufwand im Verhältnis stehen sollte.

Als wir unsere alten Server entsorgt haben, stand 20h ein Festplattenhäcksler vor der Firma und hat uns anschließend die Liste
der Seriennummer mit der Bestätigung der ordnungsgemäße Vernichtung überreicht. Seite Zertifikate hatten wir schon zuvor erhalten.

In der Zeit, wo du hier suchst, hast du die Anfahrt und einen Teil der zu vernichtenden Festplatten bereits "bezahlt".
Wenn du alle notwendigen Lizenzen und die Zeit für die Löschung rechnest, kannst du locker alle Festplatten häckseln und dir
neue Datenträger als Ersatz kaufen.

KISS.

Grüße vom it-frosch

Zitat von @ChriBo:
welches VSITR Verfahren ?

VSITR ist auch vom BSI. Bei diesem Standard werden durch 7-faches Überschreiben die Inhalte gelöscht.
Der Standard ist nicht mehr gültig.

Momentan finde ich es auch merkwürdig, dass scheinbar nur BDE alle Vorgaben erfüllt.

Meiner Meinung nach: die anderern Hersteller scheuen die Kosten der Implementierung und Zertifizierung.
Ich / Wir wären froh wenn es für DE bzw. für die EU eine Alternative zu BDE gibt.

Ja, ich/ wir auch. Deshalb die Frage.

für "DSGVO entsprechende Löschsoftware" hast du von mir auch Certus genannt bekommen.

Werde ich mir mal ansehen.

Hi,

VSITR ist auch vom BSI. Bei diesem Standard werden ...

nocmal genau: es gab nie einen "VSITR Standard".
Der BSI hat im letzten Jahrtausend eine Software names VS-CLEAN zum Löschen von VS NfD Festplatten erstellen lassen.
Diese Software hat 7-fach überschrieben, es war eine Variation der Bruce Schneier Methode.
Dies wurde im VSITR Hinweisblatt Nr.11 im Anhang zur Software VS-Clean beschrieben.
(Fast) alle Hersteller von Datenlöschsoftware haben dann 7-fach Löschen VSITR Methode oder BSI Methode oder whatever genannt.
So ist der Begriff "VSITR Standard" entstanden, macht sich ja gut: wir löschen nach BSI.
Du kannst ja mal versuchen die Originalbeschreibung des "VSITR Standards" (BSI Dokument) zu erhalten, gibt es nicht, da es VS war (ist).

CH

https://www.bsi-fuer-buerger.de/BSIFB/DE/Empfehlungen/RichtigLoeschen/ri ...

Ich bin u.a. Datenschutzbeauftragter. Die DSGVO fordert nicht direkt irgendeine besondere Form eines Löschverfahrens, sondern dass die Daten nach dem "Stand der Technik" und generell im Rahmen dessen, was auch finanziell möglich ist, zu löschen. Beim Stand der Technik orientiern sich die Aufsichtsbehörden beim BSI.
Wie man dann genau löschen muss, muss sich aus den Kategorien der gespeicherten Daten ergeben. Sind es z.B. nur Kontakte, die von Visitenkarten gescannt wurden, dann ist das Risiko bei den betroffenen Personen, niedrig einzuschätzen, wenn ihre Daten offen gelegt werden würden. Dann würde ich als Datenschutzbeauftragter sagen: schreib einmal das Dingen mit Nullen voll, fertig.
Sind die Daten aber einer besonderen Kategorie zuzuordnen oder könnte man mit der Offenlegung der Daten bei den betroffenen Personen hohen Schaden anrichten, oder handelt es sich um Daten mit einem Geheimhaltungsgrad wie z.B. "Geheim", dann geben im Allgemeinen andere Rechtsvorschriften genauere Ansatzpunkte für das erforderliche Verfahren vor. Mitunter wird z.B. bei der höchsten Stufe "streng Geheim" gefordert, dass die Datenträger mechanisch zerstört und nicht wieder verwendet werden dürfen.

Das sind aber alles rein rechtliche Dinge.

Es gibt darüber hinaus jüngere Untersuchungen, die belegen, dass man sogar bei SSDs meist mit der Methode "einmal alles mit Zufallswerten vollmachen" die Daten so weit vernichtet, dass der Aufwand,um ein paar Bytes wieder sichtbar zu machen, viel zu hoch ist - bzw. eine Wiederherstellung von Daten nahezu unmöglich ist.
Die Diskussion um verschiedene Löschmethoden (Nullen, Zufallen, 7 Durchgänge, etc...) halte ich eher für überzogen und überflüssen. Einzig das komplette Überschreiben nur mit Nullen würde ich nicht machen, weil es mittlerweile Datenträger gibt, die von sich aus Daten komprimieren, d.h. man denkt, man würde 1 Mio Nullen drüberschreiben lassen, schreibt aber in wirklich nur 10 Bytes, wo drin steht.

Und nochmal: wenn die Daten mit einer Geheimhaltungsstufe verknüpft sind, empfiehlt sich die mechanische Zerstörung. Ich würde allerdings keinen Hammer nehmen, sondern Mikrowelle + Bohrmaschine ;)

Hallo,

das Problem ist, dass die Blöcke auf der Platte nie 100% getroffen werden. Insofern kann tatsächlich (theoretisch) eine Art „Schatten“ entstehen.

Ich denke aber, dass man mit Zufallswerten statt Nullen ausreichend sicher unterwegs ist. In dem besten Fall kann man nicht beweisen, dass überhaupt etwas gelöscht wurde.

Gruß,
Jörg

@137960

Ich würde allerdings keinen Hammer nehmen, sondern Mikrowelle + Bohrmaschine ;)

Da Mikrowelle und Bohrmaschine für gewöhnlich keine Vernichtungsprotokolle ausstellen, wozu man bei der Vernichtung von Datenträgern m.M. nach verpflichtet ist, scheiden sie wohl eher aus, auch wenn technisch möglich.

Grüße vom it-frosch

Das bringt mich auf eine Idee, wie du nachweisen kannsr, dass die Daten überschrieben wurden:
Im ersten Durchgang überschreibst du die Platte mit einem zufälligen 512 Bytes großen String, der sich so oft wiederholt, wie nötig.
Im zweiten Schritt liest du über die Platte und zählst, wie oft dieser String gelesen wurde.
Das müsste dann ja exakt der Anzahl Sektoren der Festplatte entsprechen.
Dann überschreibst du mit echtem Zufall und Nullen. Bei einem erneuten lesen darf dein Zufalls-String nicht mehr gefunden werden.
Das dokumentiert man jetzt und hat damit technisch kontrolliert, dass die Festplatte wirklich vollständig überschrieben wurde.

Das sollte ein geeignetes Verfahren sein, da ja hier sogar zwei Mal geprüft wird, dass die ursprünglichen Daten vollständig überschrieben wurden.

Zitat von @it-frosch:

@137960

Ich würde allerdings keinen Hammer nehmen, sondern Mikrowelle + Bohrmaschine ;)

Der Schredder, in den man die Festplatte reinwirft macht normalerweise auch kein Protokoll.

Das macht der Mensch, der die Platten in die Hand nimmt und reinwirft.

lks

Da würde ich eher ne Software vertrauen, die das Protokoll erst dann erstellt/ausfüllt wenn sie den Datenträger komplett überschrieben hat.
Beim Schredder macht es ja ein Mensch den man nicht kennt. Hätte erst dann Vetrauen in die erledigte Arbeit wenn er den ganzen Prozess lückenlos auf Video festhällt. Inkl. Ranzoomen auf die Seriennummer der HDD und anschließendem in den Schredder schieben. Danach noch die Fetzen nach teilen der Seriennummer absuchen und dabei filmen.

Kann man zum Löschen der Datenträger nicht TrueCrypt einsetzen?
Darauf ein Volume in der Größe des Datenträgers erstellen lassen. Da wird doch ne riesige Datei mit scheinbar Datenmüll erstellt. Somit wären alle Daten überschrieben.

@lks

Der Schredder, in den man die Festplatte reinwirft macht normalerweise auch kein Protokoll.

Doch, der hat einen Scanner mit dem die SN vor dem Schreddern gescannt wird.

Ok, der Mensch muss das tun und anschließend auf drucken drücken.

Wir diskutieren hier über Software Löschmethoden die wahrscheinlich nicht ganz konform sind, da die Software es zwar kann aber
vom bestimmenden Gremium nicht akzeptiert wird bzw. deren Lizenzen recht hoch sind.

Ich würde hier entweder einen Dienstleister nehmen, der sich darum kümmert oder die Platten schreddern lassen.
Wenn man öfters mal den Stundenlohn eines externen Dienstleisters für sich selbst ansetzt, dann kommt man ganz schnell dahinter,
was die für einen wirtschaftlichere Variante ist.

Nur darauf wollte ich drauf hinweisen.

Nicht das hier jetzt noch jemand mit einer Mikrowelle mit KI kommt, die wohl doch eine Protokoll erstellen könnte. ^^

grüße vom it-frosch

Hallo,

Zitat von @LordGurke:

Das sollte ein geeignetes Verfahren sein, da ja hier sogar zwei Mal geprüft wird, dass die ursprünglichen Daten vollständig überschrieben wurden.

Das Problem ist, dass Du das Protokoll nicht fälschungssicher der Hardware zuordnen kannst. Du weißt nicht, ob es sich bei der geschredderten Platte wirklich um die Platte handelt, die auch im Protokoll steht.

Deshalb "mein" Ansatz mit dem aus der Seriennummer errechneten Zertifikat, dass der Hersteller via SOAP o.Ä. rausrückt

Gruß,
Jörg

Was kostet es eigentlich eine Platte zu vernichten?

Ob es da nicht billiger ist, zum Schlosser Deines Vertauens zu gehen und ihn mit der "Schweißerei" drüberfahren zu lassen?

Zitat von @Franz-Josef-II:

Was kostet es eigentlich eine Platte zu vernichten?

Ob es da nicht billiger ist, zum Schlosser Deines Vertauens zu gehen und ihn mit der "Schweißerei" drüberfahren zu lassen?

Kommt drauf an, ob Du nur Dich selbst die Daten zerstört haben willst (da reicht auch ein Bello) , oder ob Du Dritten gegenüber den Nachweis erbringen mußt, daß Du die Daten zerstört hast.

lks

Zitat von @117471:

Zitat von @LordGurke:

Das sollte ein geeignetes Verfahren sein, da ja hier sogar zwei Mal geprüft wird, dass die ursprünglichen Daten vollständig überschrieben wurden.

Ich würde das mit meinem vorher angesprochenen Ansatz verknüpfen, dass man vor und nach dem Überschreiben die SMART-Werte der Festplatte ausliest und protokollierst. Daraus ergibt sich die Seriennummer und auch, wie viele LBAs geschrieben wurden und daraus wiederum, dass du die Festplatte tatsächlich überschrieben hast.
Dein Prozess muss nur sicherstellen bzw. erkennen, dass du nicht zwischendurch die Festplatte tauschst. Aber das wäre ja auch z.B. durch SMART-Abfragen zwischendrin während der Löschung möglich.

Hallo,

Zitat von @LordGurke:

Ich würde das mit meinem vorher angesprochenen Ansatz verknüpfen, dass man vor und nach dem Überschreiben die SMART-Werte der Festplatte ausliest und protokollierst.

Japp, aber auch dann könntest Du im Anschluss ein gefälschtes Protokoll erstellen.

Wenn Du meinem Ansatz folgst und z.B. den Fingerprint vom Zertifikat und einen Hash mit ins Protokoll schreibst (gerne auch als QR Code), dann hättest Du etwas, was sogar in ausgedruckter Form fälschungssicher ist

Gruß,
Jörg

Zitat von Franz-Josef-II:

Was kostet es eigentlich eine Platte zu vernichten?

Wir hatten 2016 bei einer Menge von 400 Festplatten einen Vorortpreis von 3,90 EUR pro Stück bekommen.

Standard-Service:
Sicherheitsstufe H-4 / Schutzklasse 3 gem. DIN 66399:
Die Vernichtung von Datenträgern, welche Daten mit normalem Schutzbedarf beinhalten, erfolgt durch denShredder in der
Verarbeitungsstufe 1. Dieser Shredder schneidet dieFestplatten in kleine Streifen. Das Ergebnis sind Partikelgrößen
zwischen 300 mm² und 900 mm².
Die Empfehlung des Bundesamtes für Sicherheit in der Informationstechnik (BSI) gibt hierfür eine Partikelgröße nach der
Vernichtung bis 1000 mm² vor.

grüße vom it-frosch

Frage Sicherheit Datenschutz

Mehr von alwayshungry

Leiser 10gbase-t Switch (Heimbereich)alwayshungry - 17 Kommentare

Microsoft Azure - Lizenzfragealwayshungry - 9 Kommentare

Windows Ordner LCU - Was ist das?alwayshungry - 6 Kommentare

Windows 10 - Netzwerk Speedlimit?alwayshungry - 17 Kommentare

Heiß diskutiert