ADR-0003: Bestandsbereich verschluesselt, Loeschung ueber den Schluessel

Die Annahme 'wer bis zum Server kommt, ist freigegeben' traegt genau so
lange, wie das Geraet im Haus des Kunden bleibt. Bei Reparatur, Austausch,
Rueckgabe und Entsorgung entscheidet allein, was auf dem Datentraeger
steht.

Der Bestandsbereich wird deshalb bei der Einrichtung verschluesselt, ohne
Schalter. Die Wurzeln nicht: Dort steht unsere ausgelieferte Software, die
auf jedem Geraet dieselbe und damit kein Geheimnis ist. Dort ist nicht
Vertraulichkeit die Frage, sondern Unversehrtheit — und dagegen hilft eine
Pruefung beim Start, keine Verschluesselung.

Sichere Loeschung heisst Schluesselvernichtung. Auf Flash-Speichern ist
Ueberschreiben durch die Verschleissverteilung nicht verlaesslich; ein
Loeschlauf, der stundenlang Nullen schreibt, erzeugt vor allem ein gutes
Gefuehl. Damit haengen beide Festlegungen zusammen: Ohne Verschluesselung
gibt es keine verlaessliche Loeschung.

Drei Stufen fuer drei Absichten, die zweite und dritte mit Loeschnachweis
auf USB — bei einem Produkt, dessen Verkaufsargument der Nachweis ist,
waere eine Loeschung ohne Beleg ein Widerspruch in sich.

Die harte Stelle ist der Schluessel beim Start. Er bindet an den
Sicherheitsbaustein, dessen Messung sich mit jedem Update aendert. Wird er
nicht vorher auch fuer die neue Fassung hinterlegt, steht nach dem
Umschalten ein Geraet da, das oben ist und an seine eigenen Daten nicht
herankommt — nicht ein misslungenes Update, sondern ein Datenverlust.
Daraus ein zweiter Nachweis: Nach Fassungswechsel und Ruecksprung ist der
Bestandsbereich erreichbar.

Co-Authored-By: Claude Opus 5 <noreply@anthropic.com>

docs/decisions/ADR-0003-verschluesselung-und-loeschung.md

@@ -0,0 +1,113 @@
+# ADR-0003 — Der Bestandsbereich ist verschlüsselt, gelöscht wird über den Schlüssel
+
+**Stand:** Angenommen, 20.08.2026 · **Entscheidet:** CIO Thomas Reitz
+**Bezug:** `ADR-0002` (Startverfahren), Bedienkonzept §4 · **Betrifft:** Ersteinrichtung,
+Konsolenmenü, Fassungswechsel, Außerbetriebnahme
+
+---
+
+## Worum es geht
+
+Ein Gerät steht beim Kunden im Serverraum. Wer bis dorthin kommt, ist freigegeben — der Raum ist
+die Zugangskontrolle, und so arbeitet jedes Netzwerkgerät. Die Annahme trägt aber genau so lange,
+wie das Gerät im Haus des Kunden bleibt.
+
+**Sie trägt nicht mehr, wenn ein Laufwerk das Haus verlässt:** bei Reparatur, bei Austausch, bei
+Rückgabe am Vertragsende, bei Entsorgung. Dann entscheidet nicht mehr das Türschloss, sondern
+allein das, was auf dem Datenträger steht.
+
+Die Frage lautet deshalb: **Was gibt ein Laufwerk her, das aus dem Gerät ausgebaut wird?**
+
+## Die Entscheidung
+
+**Der Bestandsbereich wird bei der Einrichtung verschlüsselt. Ohne Ausnahme und ohne Schalter.**
+
+Er trägt alles, was dem Kunden gehört — Zustandsdatenbank, Wissensspeicher, Vektorindex, Tresor,
+Protokolle. Genau deshalb ist er auch der richtige und einzige Ort dafür: Die Regel „alles
+Dauerhafte gehört in den Bestand" macht die Verschlüsselung **eines** Bereichs ausreichend.
+
+**Die Wurzeln werden nicht verschlüsselt, sondern auf Unversehrtheit geprüft.**
+
+Das ist kein Sparen, sondern eine andere Frage. In den Wurzeln steht unsere ausgelieferte Software
+— sie ist auf jedem Gerät dieselbe und damit kein Geheimnis. **Vertraulichkeit ist dort kein Thema,
+Unversehrtheit sehr wohl:** Wer den Datenträger in der Hand hat, könnte die Wurzel verändern und
+das Gerät startete sie. Dagegen hilft keine Verschlüsselung, sondern eine Prüfung beim Start.
+
+Das passt zudem zum A/B-Verfahren: Eine nur lesbare, geprüfte Wurzel ist ohnehin das, was der
+Fassungswechsel voraussetzt.
+
+## Sichere Löschung heißt Schlüsselvernichtung
+
+**Auf Flash-Speichern ist Überschreiben nicht verlässlich.** Die Verschleißverteilung des Laufwerks
+schreibt an eine andere Stelle, als der Befehl meint; überschriebene Blöcke können physisch
+erhalten bleiben. Ein Löschlauf, der stundenlang Nullen schreibt, erzeugt vor allem ein gutes
+Gefühl.
+
+**Ist der Bereich verschlüsselt, ist die Löschung die Vernichtung des Schlüssels.** Das dauert
+Sekunden, ist vollständig und lässt sich belegen. Der Rest ist Rauschen.
+
+> Deshalb hängen die beiden Festlegungen zusammen: **Ohne Verschlüsselung gibt es keine verlässliche
+> Löschung.** Wer B will, muss A haben.
+
+Drei Stufen, weil drei verschiedene Absichten dahinterstehen:
+
+| Stufe | Was geschieht | Wofür |
+|---|---|---|
+| **Einstellungen zurücksetzen** | Netz, Kennwörter, Zertifikate, Einrichtungszustand. Der Bestand bleibt | Ausgesperrt, falsch eingerichtet |
+| **Sichere Datenlöschung** | Der Schlüssel wird vernichtet. Der Bestand ist damit unwiederbringlich | Weitergabe, Rückgabe, Vertragsende |
+| **Datenträger bereinigen** | Zusätzlich der Löschbefehl des Laufwerks selbst | Entsorgung, Reparatur außer Haus |
+
+Die zweite und dritte Stufe erzeugen einen **Löschnachweis** auf USB: Gerätekennung, Seriennummer
+des Laufwerks, angewandtes Verfahren, Zeitpunkt, Ergebnis. Das ist kein Beiwerk — bei einem
+Produkt, dessen Verkaufsargument der Nachweis ist, wäre eine Löschung ohne Beleg ein Widerspruch in
+sich. Und es ist genau das, was ein Kunde am Vertragsende verlangt.
+
+## Der Schlüssel muss ohne Menschen verfügbar sein — und das ist die harte Stelle
+
+Ein Gerät im Serverraum muss nach einem Stromausfall von allein hochkommen. Niemand tippt um drei
+Uhr nachts eine Passphrase. Der Schlüssel bindet deshalb an den **Sicherheitsbaustein der
+Hardware**, der ihn nur herausgibt, wenn die Messung des Startzustands stimmt.
+
+**Damit wird aus einer Tresorfrage eine Gerätefrage.** Die offene Frage O-8 betraf bisher die
+Zugangsdaten; sie betrifft jetzt den gesamten Datenbestand.
+
+> **Und sie kollidiert mit dem Fassungswechsel.** Die Messung des Startzustands ändert sich mit
+> Kern und Startlader — also bei **jedem** Update. Wird der Schlüssel nicht vorher auch für die neue
+> Fassung hinterlegt, steht nach dem Umschalten ein Gerät da, das oben ist und an seine eigenen
+> Daten nicht herankommt.
+>
+> Das ist der schlimmste denkbare Ausgang: **nicht ein misslungenes Update, sondern ein
+> unerreichbarer Bestand.** Und der Rücksprung rettet es nur, solange die alte Messung noch gültig
+> ist.
+
+Daraus folgt eine Reihenfolge, die nicht verhandelbar ist:
+
+**Der Fassungswechsel hinterlegt den Schlüssel für die neue Fassung, solange die alte noch läuft
+und der Bereich offen ist — und erst danach schaltet er um.** Wird das vergessen, ist das kein
+Schönheitsfehler, sondern ein Datenverlust.
+
+## Was daraus für den Nachweis folgt
+
+Zum ersten Nachweis des Erzeugnisses — der Rücksprung greift von selbst — kommt ein zweiter, und er
+ist genauso wichtig:
+
+> **Nach einem Fassungswechsel und nach einem Rücksprung ist der Bestandsbereich erreichbar.**
+
+Er lässt sich nur auf echter Hardware mit echtem Sicherheitsbaustein erbringen, nicht in einer
+virtuellen Maschine.
+
+## Die verworfenen Alternativen
+
+**Verschlüsselung als Option anbieten.** Verlockend, weil es die Entsperrung beim Start zunächst
+umgeht und die Ersteinrichtung vereinfacht. Dagegen steht, dass eine Sicherheitseigenschaft, die
+abschaltbar ist, im Zweifel abgeschaltet ist — und dass ein Gerät ohne sie keine verlässliche
+Löschung kennt. Ein Produkt, das in Banken und Verteidigungsbereiche verkauft werden soll, kann das
+nicht als Wahlmöglichkeit führen.
+
+**Löschen durch Überschreiben.** Der vertraute Weg, und auf drehenden Platten war er richtig. Auf
+Flash-Speichern ist er langsam und gibt eine Sicherheit vor, die er nicht hat.
+
+**Auch die Wurzeln verschlüsseln.** Kostet Vertraulichkeit, die es dort nicht zu schützen gibt, und
+verlegt die Entsperrung in den Startvorgang **vor** den Selbstprüflauf — womit ein Fehler dort das
+Gerät unrettbar macht, statt einen Rücksprung auszulösen. Der Rückweg ist mehr wert als die
+Verschlüsselung von Dateien, die auf jedem Gerät gleich sind.