7614341238
Die Annahme 'wer bis zum Server kommt, ist freigegeben' traegt genau so lange, wie das Geraet im Haus des Kunden bleibt. Bei Reparatur, Austausch, Rueckgabe und Entsorgung entscheidet allein, was auf dem Datentraeger steht. Der Bestandsbereich wird deshalb bei der Einrichtung verschluesselt, ohne Schalter. Die Wurzeln nicht: Dort steht unsere ausgelieferte Software, die auf jedem Geraet dieselbe und damit kein Geheimnis ist. Dort ist nicht Vertraulichkeit die Frage, sondern Unversehrtheit — und dagegen hilft eine Pruefung beim Start, keine Verschluesselung. Sichere Loeschung heisst Schluesselvernichtung. Auf Flash-Speichern ist Ueberschreiben durch die Verschleissverteilung nicht verlaesslich; ein Loeschlauf, der stundenlang Nullen schreibt, erzeugt vor allem ein gutes Gefuehl. Damit haengen beide Festlegungen zusammen: Ohne Verschluesselung gibt es keine verlaessliche Loeschung. Drei Stufen fuer drei Absichten, die zweite und dritte mit Loeschnachweis auf USB — bei einem Produkt, dessen Verkaufsargument der Nachweis ist, waere eine Loeschung ohne Beleg ein Widerspruch in sich. Die harte Stelle ist der Schluessel beim Start. Er bindet an den Sicherheitsbaustein, dessen Messung sich mit jedem Update aendert. Wird er nicht vorher auch fuer die neue Fassung hinterlegt, steht nach dem Umschalten ein Geraet da, das oben ist und an seine eigenen Daten nicht herankommt — nicht ein misslungenes Update, sondern ein Datenverlust. Daraus ein zweiter Nachweis: Nach Fassungswechsel und Ruecksprung ist der Bestandsbereich erreichbar. Co-Authored-By: Claude Opus 5 <noreply@anthropic.com>
6.1 KiB
ADR-0003 — Der Bestandsbereich ist verschlüsselt, gelöscht wird über den Schlüssel
Stand: Angenommen, 20.08.2026 · Entscheidet: CIO Thomas Reitz
Bezug: ADR-0002 (Startverfahren), Bedienkonzept §4 · Betrifft: Ersteinrichtung,
Konsolenmenü, Fassungswechsel, Außerbetriebnahme
Worum es geht
Ein Gerät steht beim Kunden im Serverraum. Wer bis dorthin kommt, ist freigegeben — der Raum ist die Zugangskontrolle, und so arbeitet jedes Netzwerkgerät. Die Annahme trägt aber genau so lange, wie das Gerät im Haus des Kunden bleibt.
Sie trägt nicht mehr, wenn ein Laufwerk das Haus verlässt: bei Reparatur, bei Austausch, bei Rückgabe am Vertragsende, bei Entsorgung. Dann entscheidet nicht mehr das Türschloss, sondern allein das, was auf dem Datenträger steht.
Die Frage lautet deshalb: Was gibt ein Laufwerk her, das aus dem Gerät ausgebaut wird?
Die Entscheidung
Der Bestandsbereich wird bei der Einrichtung verschlüsselt. Ohne Ausnahme und ohne Schalter.
Er trägt alles, was dem Kunden gehört — Zustandsdatenbank, Wissensspeicher, Vektorindex, Tresor, Protokolle. Genau deshalb ist er auch der richtige und einzige Ort dafür: Die Regel „alles Dauerhafte gehört in den Bestand" macht die Verschlüsselung eines Bereichs ausreichend.
Die Wurzeln werden nicht verschlüsselt, sondern auf Unversehrtheit geprüft.
Das ist kein Sparen, sondern eine andere Frage. In den Wurzeln steht unsere ausgelieferte Software — sie ist auf jedem Gerät dieselbe und damit kein Geheimnis. Vertraulichkeit ist dort kein Thema, Unversehrtheit sehr wohl: Wer den Datenträger in der Hand hat, könnte die Wurzel verändern und das Gerät startete sie. Dagegen hilft keine Verschlüsselung, sondern eine Prüfung beim Start.
Das passt zudem zum A/B-Verfahren: Eine nur lesbare, geprüfte Wurzel ist ohnehin das, was der Fassungswechsel voraussetzt.
Sichere Löschung heißt Schlüsselvernichtung
Auf Flash-Speichern ist Überschreiben nicht verlässlich. Die Verschleißverteilung des Laufwerks schreibt an eine andere Stelle, als der Befehl meint; überschriebene Blöcke können physisch erhalten bleiben. Ein Löschlauf, der stundenlang Nullen schreibt, erzeugt vor allem ein gutes Gefühl.
Ist der Bereich verschlüsselt, ist die Löschung die Vernichtung des Schlüssels. Das dauert Sekunden, ist vollständig und lässt sich belegen. Der Rest ist Rauschen.
Deshalb hängen die beiden Festlegungen zusammen: Ohne Verschlüsselung gibt es keine verlässliche Löschung. Wer B will, muss A haben.
Drei Stufen, weil drei verschiedene Absichten dahinterstehen:
| Stufe | Was geschieht | Wofür |
|---|---|---|
| Einstellungen zurücksetzen | Netz, Kennwörter, Zertifikate, Einrichtungszustand. Der Bestand bleibt | Ausgesperrt, falsch eingerichtet |
| Sichere Datenlöschung | Der Schlüssel wird vernichtet. Der Bestand ist damit unwiederbringlich | Weitergabe, Rückgabe, Vertragsende |
| Datenträger bereinigen | Zusätzlich der Löschbefehl des Laufwerks selbst | Entsorgung, Reparatur außer Haus |
Die zweite und dritte Stufe erzeugen einen Löschnachweis auf USB: Gerätekennung, Seriennummer des Laufwerks, angewandtes Verfahren, Zeitpunkt, Ergebnis. Das ist kein Beiwerk — bei einem Produkt, dessen Verkaufsargument der Nachweis ist, wäre eine Löschung ohne Beleg ein Widerspruch in sich. Und es ist genau das, was ein Kunde am Vertragsende verlangt.
Der Schlüssel muss ohne Menschen verfügbar sein — und das ist die harte Stelle
Ein Gerät im Serverraum muss nach einem Stromausfall von allein hochkommen. Niemand tippt um drei Uhr nachts eine Passphrase. Der Schlüssel bindet deshalb an den Sicherheitsbaustein der Hardware, der ihn nur herausgibt, wenn die Messung des Startzustands stimmt.
Damit wird aus einer Tresorfrage eine Gerätefrage. Die offene Frage O-8 betraf bisher die Zugangsdaten; sie betrifft jetzt den gesamten Datenbestand.
Und sie kollidiert mit dem Fassungswechsel. Die Messung des Startzustands ändert sich mit Kern und Startlader — also bei jedem Update. Wird der Schlüssel nicht vorher auch für die neue Fassung hinterlegt, steht nach dem Umschalten ein Gerät da, das oben ist und an seine eigenen Daten nicht herankommt.
Das ist der schlimmste denkbare Ausgang: nicht ein misslungenes Update, sondern ein unerreichbarer Bestand. Und der Rücksprung rettet es nur, solange die alte Messung noch gültig ist.
Daraus folgt eine Reihenfolge, die nicht verhandelbar ist:
Der Fassungswechsel hinterlegt den Schlüssel für die neue Fassung, solange die alte noch läuft und der Bereich offen ist — und erst danach schaltet er um. Wird das vergessen, ist das kein Schönheitsfehler, sondern ein Datenverlust.
Was daraus für den Nachweis folgt
Zum ersten Nachweis des Erzeugnisses — der Rücksprung greift von selbst — kommt ein zweiter, und er ist genauso wichtig:
Nach einem Fassungswechsel und nach einem Rücksprung ist der Bestandsbereich erreichbar.
Er lässt sich nur auf echter Hardware mit echtem Sicherheitsbaustein erbringen, nicht in einer virtuellen Maschine.
Die verworfenen Alternativen
Verschlüsselung als Option anbieten. Verlockend, weil es die Entsperrung beim Start zunächst umgeht und die Ersteinrichtung vereinfacht. Dagegen steht, dass eine Sicherheitseigenschaft, die abschaltbar ist, im Zweifel abgeschaltet ist — und dass ein Gerät ohne sie keine verlässliche Löschung kennt. Ein Produkt, das in Banken und Verteidigungsbereiche verkauft werden soll, kann das nicht als Wahlmöglichkeit führen.
Löschen durch Überschreiben. Der vertraute Weg, und auf drehenden Platten war er richtig. Auf Flash-Speichern ist er langsam und gibt eine Sicherheit vor, die er nicht hat.
Auch die Wurzeln verschlüsseln. Kostet Vertraulichkeit, die es dort nicht zu schützen gibt, und verlegt die Entsperrung in den Startvorgang vor den Selbstprüflauf — womit ein Fehler dort das Gerät unrettbar macht, statt einen Rücksprung auszulösen. Der Rückweg ist mehr wert als die Verschlüsselung von Dateien, die auf jedem Gerät gleich sind.