Start / Glossar / Geräte und Technik
Self-Encrypting Drive (SED)
Ein Self-Encrypting Drive ist eine Festplatte oder SSD, die alle Daten im Laufwerk selbst verschlüsselt. Der Schlüssel verlässt das Laufwerk nicht. Wird er gelöscht oder ersetzt, sind die alten Daten nicht mehr lesbar.
Wie ein SED arbeitet, zeigt Microsoft an einer Variante, den „Encrypted Hard Drives“ für Windows. Das sind SEDs, die zusätzlich bestimmte TCG-Protokolle und IEEE 1667 erfüllen. Die Verschlüsselung ist dort immer an. Ein Datenschlüssel verschlüsselt alle Daten und verlässt das Laufwerk nie. Ohne Strom sperrt sich das Laufwerk, erst ein Authentisierungsschlüssel gibt es wieder frei. Wird der Datenschlüssel geändert oder gelöscht, sind die Daten laut Microsoft nicht wiederherstellbar.
Darauf beruht das kryptografische Löschen. Laut NIST ist es heute bei allen modernen SSDs üblich, weil sie selbstverschlüsselnd sind. NIST SP 800-88 lässt es in Revision 2 nur unter Bedingungen als Purge gelten:
| Bedingung laut NIST | Was das bei der Ausmusterung heißt |
|---|---|
| Seit dem Anlegen der Schlüssel oder der letzten Löschung lagen keine sensiblen Daten im Klartext auf dem Datenträger | Wurde erst nach Gebrauch verschlüsselt, können alte Daten unverschlüsselt darauf liegen. Dann genügt kryptografisches Löschen nicht. |
| Algorithmus mit mindestens 128 Bit Sicherheitsstärke, etwa AES | Datenblatt prüfen |
| Der gelöschte Schlüssel (Datenschlüssel, umhüllender Schlüssel oder Ableitungsschlüssel) wird überall dauerhaft vernichtet | Liegt eine Kopie auf einem Schlüsselserver oder in einer Hinterlegung, kann sie die Daten laut NIST später wieder lesbar machen. |
NIST zieht es außerdem vor, das ganze Laufwerk zu löschen statt einzelner Bereiche. Bei der Windows-Variante erzeugt das Laufwerk für jedes Volume einen eigenen Schlüssel. Wer nur einen davon löscht, hat die anderen Volumes nicht gelöscht.
Steckt in einem Windows-Notebook ein SED, verschlüsselt BitLocker trotzdem in Software, solange keine Richtlinie die Hardware-Verschlüsselung ausdrücklich einschaltet. Den BitLocker-Schlüssel zu verwerfen, löscht dann nicht den Schlüssel des Laufwerks. Als Ersatz taugt es nur bedingt: Wurde BitLocker erst nach der ersten Nutzung aktiviert, ist die erste Bedingung aus der Tabelle nicht erfüllt.
Wir löschen mit Securaze nach NIST SP 800-88, Stufe Purge, und erstellen ein Löschprotokoll je Gerät mit Seriennummer. Was bei SEDs in Servern zusätzlich gilt, steht im Beitrag Server und Storage sicher löschen.
Was das für Ihre Ausmusterung bedeutet
Ein SED lässt sich in kurzer Zeit kryptografisch löschen, aber nur entsperrt und nur, wenn die Bedingungen von NIST erfüllt sind. Legen Sie vor der Abgabe je Laufwerk die Zugangsdaten bereit und notieren Sie, wo es Schlüssel außerhalb des Laufwerks gibt. Für ein gesperrtes Laufwerk ohne Zugangsdaten bleibt nur die Vernichtung.
Verwandte Begriffe
- Kryptografisches Löschen (Crypto Erase)
- BitLocker und TPM (Windows)
- SSD (Solid State Drive)
- Secure Erase und Sanitize
- NIST SP 800-88
Ankauf
Ausgemusterte IT verkaufen?
Wir kaufen alles an, auch alte und defekte Geräte, und zahlen auch dort noch, wo andere abwinken. Die Abholung ist kostenlos, schon ab einem Gerät. Sie bekommen noch am selben Werktag eine Antwort.
Stand: 10.10.2026. Keine Rechtsberatung.