ADR-0003 ergaenzt: Sicherung mit eigenem Schluessel, Token als Zusatzausstattung

Die Sicherung wird ebenfalls verschluesselt — aber die Wahl des
Schluessels ist wichtiger als die Entscheidung selbst. Mit dem
Geraeteschluessel verschluesselt waere sie genau dann unlesbar, wenn man
sie braucht: Geraet zerstoert, Baustein weg, Sicherung wertlos. Sie traegt
deshalb einen eigenen Schluessel, der nicht am Geraet haengt und den der
Kunde verwahrt.

Zum Sicherheitstoken: Er loest an drei Stellen drei verschiedene Probleme,
die leicht verwechselt werden. Als Wiederherstellung tragfaehig, als
zweiter Faktor eigenstaendig sinnvoll — als dauerhaft steckende
Startbedingung aber ohne Gewinn gegenueber dem Sicherheitsbaustein, weil
beide gegen ein entwendetes Laufwerk schuetzen und keiner gegen ein
entwendetes Geraet.

Echt und verkaufbar ist der Fall, in dem der Token bewusst entfernt wird.
Deshalb: Sicherheitsbaustein bleibt der Regelweg, Token ist
Zusatzausstattung fuer Kunden, die 'startet nicht ohne Token' verlangen —
mit der ausgesprochenen Folge, dass das Geraet nach einem Stromausfall
nicht von allein hochkommt.

Co-Authored-By: Claude Opus 5 <noreply@anthropic.com>

docs/decisions/ADR-0003-verschluesselung-und-loeschung.md

@@ -96,6 +96,66 @@ ist genauso wichtig:
 Er lässt sich nur auf echter Hardware mit echtem Sicherheitsbaustein erbringen, nicht in einer
 virtuellen Maschine.
 
+## Die Sicherung wird mit einem anderen Schlüssel verschlüsselt
+
+*Ergänzt am 20.08.2026 auf Entscheidung des CIO.*
+
+Eine Sicherung, die unverschlüsselt auf einem Netzlaufwerk des Kunden liegt, hebt die
+Verschlüsselung des Geräts vollständig auf. Sie wird deshalb ebenfalls verschlüsselt.
+
+**Dabei ist die Wahl des Schlüssels wichtiger als die Entscheidung selbst.**
+
+Eine Sicherung existiert für den Fall, dass das Gerät nicht mehr da ist. Würde sie mit dem
+Geräteschlüssel verschlüsselt — dem, der am Sicherheitsbaustein hängt —, wäre sie **genau dann
+unlesbar, wenn man sie braucht**: Gerät zerstört, Baustein weg, Schlüssel weg, Sicherung wertlos.
+Das wäre keine Sicherung, sondern eine aufwendige Art, Speicherplatz zu belegen.
+
+> **Die Sicherung trägt einen eigenen Schlüssel, der nicht am Gerät hängt und den der Kunde
+> verwahrt.** Er wird bei der Einrichtung erzeugt und einmalig ausgegeben.
+
+Daraus folgt eine Pflicht, die ins Handbuch und in die Einrichtung gehört: **Wer den
+Sicherungsschlüssel verliert, hat keine Sicherung.** Das muss bei der Ausgabe unmissverständlich
+dastehen — und die Ausgabe gehört in die Prüfspur, damit später nachweisbar ist, dass sie
+stattgefunden hat.
+
+## Zum Sicherheitstoken als Schlüsselträger
+
+*Geprüft am 20.08.2026 auf Anregung des CIO.*
+
+Ein Hardware-Token kann an drei verschiedenen Stellen eingesetzt werden, und sie lösen **nicht
+dasselbe Problem**. Sie werden leicht verwechselt.
+
+| Einsatz | Was es leistet | Bewertung |
+|---|---|---|
+| **Als Wiederherstellung** — Token im Tresor des Kunden, entsperrt bei Ausfall des Sicherheitsbausteins | Löst den Totalverlust bei Defekt der Hauptplatine | **tragfähig** — aber eine ausgedruckte Wiederherstellungslosung leistet dasselbe ohne Lieferkette |
+| **Als Startbedingung** — Token steckt dauerhaft im Gerät | Das Laufwerk allein ist wertlos | **kein Gewinn gegenüber dem Sicherheitsbaustein**, siehe unten |
+| **Als zweiter Faktor** für die Verwaltung | Anmeldung an Konsole und Oberfläche | **eigenständig sinnvoll**, unabhängig von der Verschlüsselung |
+
+**Warum ein dauerhaft steckender Token nichts hinzufügt:** Er schützt gegen ein entwendetes
+Laufwerk — aber das tut der Sicherheitsbaustein auch, denn der ist auf der Hauptplatine verlötet.
+Gegen ein entwendetes **Gerät** schützt keiner von beiden, weil beide mitgehen. Der Token bringt
+also dieselbe Wirkung und zusätzlich ein Teil, das verloren gehen, herausgezogen oder vergessen
+werden kann.
+
+**Ein Fall ist trotzdem echt und verkaufbar:** Wenn der Token **bewusst entfernt** wird — beim
+Verlassen des Geländes, über Nacht, bei Außerbetriebnahme —, ist das Gerät ohne ihn nicht
+startfähig. Das ist eine Eigenschaft, die in Hochsicherheitsumgebungen verlangt wird, und sie hebt
+den Schutz über das hinaus, was ein verlöteter Baustein leisten kann.
+
+> **Festlegung: Der Sicherheitsbaustein bleibt der Regelweg. Ein Token ist eine Zusatzausstattung
+> für Kunden, die „startet nicht ohne Token" ausdrücklich verlangen — und dann mit der
+> ausgesprochenen Folge, dass das Gerät nach einem Stromausfall nicht von allein hochkommt.**
+
+Dieser letzte Halbsatz ist der Preis und gehört ins Datenblatt: Ein Gerät, das ohne Token nicht
+startet, kann nach einem nächtlichen Stromausfall nicht selbsttätig wiederkommen — es sei denn, der
+Token steckt, und dann ist man wieder beim Regelfall.
+
+**Was gegen Token in der Fläche spricht,** unabhängig von der Sicherheit: Je Gerät ein Stück
+Bestandsführung, Ersatzteile, ein weiterer Einzellieferant — und die Firmware eines Tokens lässt
+sich nicht aktualisieren, eine Schwachstelle wäre also ein Austausch über den ganzen Bestand
+hinweg. Bei einem Erzeugnis mit fünf Jahren Versorgungspflicht ist das ein Posten, der bedacht sein
+will.
+
 ## Die verworfenen Alternativen
 
 **Verschlüsselung als Option anbieten.** Verlockend, weil es die Entsperrung beim Start zunächst