xinionos/docs/decisions/ADR-0003-verschluesselung-und-loeschung.md

# ADR-0003 — Der Bestandsbereich ist verschlüsselt, gelöscht wird über den Schlüssel

**Stand:** Angenommen, 20.08.2026 · **Entscheidet:** CIO Thomas Reitz
**Bezug:** `ADR-0002` (Startverfahren), Bedienkonzept §4 · **Betrifft:** Ersteinrichtung,
Konsolenmenü, Fassungswechsel, Außerbetriebnahme

---

## Worum es geht

Ein Gerät steht beim Kunden im Serverraum. Wer bis dorthin kommt, ist freigegeben — der Raum ist
die Zugangskontrolle, und so arbeitet jedes Netzwerkgerät. Die Annahme trägt aber genau so lange,
wie das Gerät im Haus des Kunden bleibt.

**Sie trägt nicht mehr, wenn ein Laufwerk das Haus verlässt:** bei Reparatur, bei Austausch, bei
Rückgabe am Vertragsende, bei Entsorgung. Dann entscheidet nicht mehr das Türschloss, sondern
allein das, was auf dem Datenträger steht.

Die Frage lautet deshalb: **Was gibt ein Laufwerk her, das aus dem Gerät ausgebaut wird?**

## Die Entscheidung

**Der Bestandsbereich wird bei der Einrichtung verschlüsselt. Ohne Ausnahme und ohne Schalter.**

Er trägt alles, was dem Kunden gehört — Zustandsdatenbank, Wissensspeicher, Vektorindex, Tresor,
Protokolle. Genau deshalb ist er auch der richtige und einzige Ort dafür: Die Regel „alles
Dauerhafte gehört in den Bestand" macht die Verschlüsselung **eines** Bereichs ausreichend.

**Die Wurzeln werden nicht verschlüsselt, sondern auf Unversehrtheit geprüft.**

Das ist kein Sparen, sondern eine andere Frage. In den Wurzeln steht unsere ausgelieferte Software
— sie ist auf jedem Gerät dieselbe und damit kein Geheimnis. **Vertraulichkeit ist dort kein Thema,
Unversehrtheit sehr wohl:** Wer den Datenträger in der Hand hat, könnte die Wurzel verändern und
das Gerät startete sie. Dagegen hilft keine Verschlüsselung, sondern eine Prüfung beim Start.

Das passt zudem zum A/B-Verfahren: Eine nur lesbare, geprüfte Wurzel ist ohnehin das, was der
Fassungswechsel voraussetzt.

## Sichere Löschung heißt Schlüsselvernichtung

**Auf Flash-Speichern ist Überschreiben nicht verlässlich.** Die Verschleißverteilung des Laufwerks
schreibt an eine andere Stelle, als der Befehl meint; überschriebene Blöcke können physisch
erhalten bleiben. Ein Löschlauf, der stundenlang Nullen schreibt, erzeugt vor allem ein gutes
Gefühl.

**Ist der Bereich verschlüsselt, ist die Löschung die Vernichtung des Schlüssels.** Das dauert
Sekunden, ist vollständig und lässt sich belegen. Der Rest ist Rauschen.

> Deshalb hängen die beiden Festlegungen zusammen: **Ohne Verschlüsselung gibt es keine verlässliche
> Löschung.** Wer B will, muss A haben.

Drei Stufen, weil drei verschiedene Absichten dahinterstehen:

| Stufe | Was geschieht | Wofür |
|---|---|---|
| **Einstellungen zurücksetzen** | Netz, Kennwörter, Zertifikate, Einrichtungszustand. Der Bestand bleibt | Ausgesperrt, falsch eingerichtet |
| **Sichere Datenlöschung** | Der Schlüssel wird vernichtet. Der Bestand ist damit unwiederbringlich | Weitergabe, Rückgabe, Vertragsende |
| **Datenträger bereinigen** | Zusätzlich der Löschbefehl des Laufwerks selbst | Entsorgung, Reparatur außer Haus |

Die zweite und dritte Stufe erzeugen einen **Löschnachweis** auf USB: Gerätekennung, Seriennummer
des Laufwerks, angewandtes Verfahren, Zeitpunkt, Ergebnis. Das ist kein Beiwerk — bei einem
Produkt, dessen Verkaufsargument der Nachweis ist, wäre eine Löschung ohne Beleg ein Widerspruch in
sich. Und es ist genau das, was ein Kunde am Vertragsende verlangt.

## Der Schlüssel muss ohne Menschen verfügbar sein — und das ist die harte Stelle

Ein Gerät im Serverraum muss nach einem Stromausfall von allein hochkommen. Niemand tippt um drei
Uhr nachts eine Passphrase. Der Schlüssel bindet deshalb an den **Sicherheitsbaustein der
Hardware**, der ihn nur herausgibt, wenn die Messung des Startzustands stimmt.

**Damit wird aus einer Tresorfrage eine Gerätefrage.** Die offene Frage O-8 betraf bisher die
Zugangsdaten; sie betrifft jetzt den gesamten Datenbestand.

> **Und sie kollidiert mit dem Fassungswechsel.** Die Messung des Startzustands ändert sich mit
> Kern und Startlader — also bei **jedem** Update. Wird der Schlüssel nicht vorher auch für die neue
> Fassung hinterlegt, steht nach dem Umschalten ein Gerät da, das oben ist und an seine eigenen
> Daten nicht herankommt.
>
> Das ist der schlimmste denkbare Ausgang: **nicht ein misslungenes Update, sondern ein
> unerreichbarer Bestand.** Und der Rücksprung rettet es nur, solange die alte Messung noch gültig
> ist.

Daraus folgt eine Reihenfolge, die nicht verhandelbar ist:

**Der Fassungswechsel hinterlegt den Schlüssel für die neue Fassung, solange die alte noch läuft
und der Bereich offen ist — und erst danach schaltet er um.** Wird das vergessen, ist das kein
Schönheitsfehler, sondern ein Datenverlust.

## Was daraus für den Nachweis folgt

Zum ersten Nachweis des Erzeugnisses — der Rücksprung greift von selbst — kommt ein zweiter, und er
ist genauso wichtig:

> **Nach einem Fassungswechsel und nach einem Rücksprung ist der Bestandsbereich erreichbar.**

Er lässt sich nur auf echter Hardware mit echtem Sicherheitsbaustein erbringen, nicht in einer
virtuellen Maschine.

## Die verworfenen Alternativen

**Verschlüsselung als Option anbieten.** Verlockend, weil es die Entsperrung beim Start zunächst
umgeht und die Ersteinrichtung vereinfacht. Dagegen steht, dass eine Sicherheitseigenschaft, die
abschaltbar ist, im Zweifel abgeschaltet ist — und dass ein Gerät ohne sie keine verlässliche
Löschung kennt. Ein Produkt, das in Banken und Verteidigungsbereiche verkauft werden soll, kann das
nicht als Wahlmöglichkeit führen.

**Löschen durch Überschreiben.** Der vertraute Weg, und auf drehenden Platten war er richtig. Auf
Flash-Speichern ist er langsam und gibt eine Sicherheit vor, die er nicht hat.

**Auch die Wurzeln verschlüsseln.** Kostet Vertraulichkeit, die es dort nicht zu schützen gibt, und
verlegt die Entsperrung in den Startvorgang **vor** den Selbstprüflauf — womit ein Fehler dort das
Gerät unrettbar macht, statt einen Rücksprung auszulösen. Der Rückweg ist mehr wert als die
Verschlüsselung von Dateien, die auf jedem Gerät gleich sind.