Die Annahme 'wer bis zum Server kommt, ist freigegeben' traegt genau so
lange, wie das Geraet im Haus des Kunden bleibt. Bei Reparatur, Austausch,
Rueckgabe und Entsorgung entscheidet allein, was auf dem Datentraeger
steht.
Der Bestandsbereich wird deshalb bei der Einrichtung verschluesselt, ohne
Schalter. Die Wurzeln nicht: Dort steht unsere ausgelieferte Software, die
auf jedem Geraet dieselbe und damit kein Geheimnis ist. Dort ist nicht
Vertraulichkeit die Frage, sondern Unversehrtheit — und dagegen hilft eine
Pruefung beim Start, keine Verschluesselung.
Sichere Loeschung heisst Schluesselvernichtung. Auf Flash-Speichern ist
Ueberschreiben durch die Verschleissverteilung nicht verlaesslich; ein
Loeschlauf, der stundenlang Nullen schreibt, erzeugt vor allem ein gutes
Gefuehl. Damit haengen beide Festlegungen zusammen: Ohne Verschluesselung
gibt es keine verlaessliche Loeschung.
Drei Stufen fuer drei Absichten, die zweite und dritte mit Loeschnachweis
auf USB — bei einem Produkt, dessen Verkaufsargument der Nachweis ist,
waere eine Loeschung ohne Beleg ein Widerspruch in sich.
Die harte Stelle ist der Schluessel beim Start. Er bindet an den
Sicherheitsbaustein, dessen Messung sich mit jedem Update aendert. Wird er
nicht vorher auch fuer die neue Fassung hinterlegt, steht nach dem
Umschalten ein Geraet da, das oben ist und an seine eigenen Daten nicht
herankommt — nicht ein misslungenes Update, sondern ein Datenverlust.
Daraus ein zweiter Nachweis: Nach Fassungswechsel und Ruecksprung ist der
Bestandsbereich erreichbar.
Co-Authored-By: Claude Opus 5 <noreply@anthropic.com>
7614341238