Server und Storage sicher löschen: jedes Laufwerk einzeln, auch hinter RAID und SED

Kurz gesagtEin Server gilt erst als gelöscht, wenn jedes seiner Laufwerke einzeln gelöscht, geprüft und mit Seriennummer protokolliert ist. Dazu kommen Speicher außerhalb der Laufwerke, etwa der Cache des RAID-Controllers und der Verwaltungschip; welche das bei Ihrem Modell sind, steht im Statement of Volatility des Herstellers.

Ein Server ist abgeschaltet, die Daten sind migriert, das Rack soll leer werden. Vor der Abholung muss feststehen, welche Datenträger in den Geräten stecken und wie jeder einzelne gelöscht wird. Dazu gehören auch Speicher, die in keiner Laufwerksliste auftauchen, etwa der Verwaltungschip.

Warum ein Server für den Nachweis kein einzelnes Gerät ist

Ein Server enthält in der Regel mehrere Laufwerke, ein Storage-System entsprechend mehr. Die Richtlinie NIST SP 800-88 in der Revision 2 empfiehlt ein Löschzertifikat für jeden einzelnen Datenträger, mit Hersteller, Modell und Seriennummer. Für Ihr Löschprotokoll heißt das: eine Zeile je Laufwerk, nicht je Server.

NIST begründet das auch: Datenträger wandern nach Defekten in andere Systeme und verlassen zur Reparatur das Haus. Eine Zeile „Server, Seriennummer X, gelöscht“ sagt nichts darüber, welche Laufwerke zum Zeitpunkt der Löschung darin steckten. Erst die Seriennummer jedes Laufwerks lässt sich später gegen Ihre Inventarliste prüfen. Wie ein belastbares Protokoll aussieht, steht im Beitrag Löschprotokoll prüfen.

Warum RAID auflösen nichts löscht

Ein RAID-Verbund verteilt Daten über mehrere Laufwerke. Wer den Verbund im Controller auflöst, entfernt nicht die Datenblöcke auf den Platten. Dell beschreibt den umgekehrten Fall: Steckt man Laufwerke mit RAID-Daten an einen anderen Controller, erkennt er sie als Fremdkonfiguration und kann sie importieren. Danach ist das virtuelle Laufwerk wieder bereit, das Betriebssystem startet normal.

Ein einzelnes Laufwerk aus einem RAID 1 ist kein Bruchstück. Laut Dell enthalten beide Platten eines Spiegels immer dieselben Daten. Bei RAID 0 und RAID 5 liegen auf jedem Laufwerk zusammenhängende Abschnitte, bei RAID 0 laut Dell in Streifen von 64 KB. Deshalb gilt: Jedes Laufwerk wird so behandelt, als läge der ganze Datenbestand darauf.

Für die Löschung muss die Software jedes Laufwerk direkt ansprechen können. Ob das im eingebauten Zustand geht oder die Laufwerke dafür an einen anderen Anschluss müssen, hängt vom Controller ab. Klären Sie das mit dem Dienstleister, bevor der Abholtermin feststeht.

Wo außer den Laufwerken Daten liegen

NIST rät, beim Hersteller ein Statement of Volatility anzufordern. Darin listet der Hersteller alle flüchtigen und nichtflüchtigen Speicher eines Modells auf, welche Daten dort liegen, ob der Nutzer sie erreicht und wie sie gelöscht werden. NIST warnt zugleich: Hersteller beschreiben das unterschiedlich, Vergleiche zwischen Marken sind deshalb mit Vorsicht zu ziehen.

Woran Sie sich ohne dieses Dokument orientieren können, zeigen die Löschfunktionen der Hersteller. Dells System Erase für PowerEdge-Server mit iDRAC9 kann diese Bereiche getrennt löschen:

Die rechte Spalte ist unsere Einordnung, Dell nennt nur die Bereiche. HPE beschreibt für Secure System Erase Ähnliches: Der Verwaltungschip iLO wird zurückgesetzt und seine Lizenzen gelöscht, die BIOS-Einstellungen zurückgesetzt, Diagnose- und Garantiedaten (AHS) sowie unterstützte nichtflüchtige Speicher gelöscht. USB-Sticks und Wechselmedien schließt HPE ausdrücklich aus.

Ein Server, dessen Datenplatten gelöscht sind, kann also noch Zugangsdaten zum Verwaltungsnetz, Zertifikate und Protokolle enthalten. Setzen Sie Verwaltungschip und BIOS zurück, bevor der Server Ihr Haus verlässt, und ziehen Sie USB-Sticks und SD-Karten aus den Steckplätzen.

Was die eingebauten Löschfunktionen leisten und wo sie enden

Dell und HPE bieten eigene Werkzeuge an, um einen Server vor der Abgabe zu bereinigen. Was sie löschen und welchen Bericht sie liefern, unterscheidet sich.

Dell System Erase. Festplatten, SSDs, NVMe-Laufwerke und PCIe-Karten, die Instant Secure Erase unterstützen, werden kryptografisch gelöscht. Für SAS- und SATA-Laufwerke ohne diese Funktion gibt es eine Option zum Überschreiben. Dell weist ausdrücklich darauf hin: Ist die Schlüsselverwaltung Secure Enterprise Key Management aktiv, muss sie vorher abgeschaltet werden. Sonst können die von iDRAC gesicherten Laufwerke dauerhaft gesperrt bleiben.

HPE Secure System Erase. HPE verweist bei dieser Funktion auf NIST SP 800-88 Revision 1, also die Vorgängerfassung. Externe Speicher, die über FCoE, iSCSI, externes SAS oder Fibre Channel angebunden sind, müssen vorher getrennt werden. Laut HPE kann der Vorgang bis zu einem Tag dauern. Danach lässt sich ein Bericht abrufen, der je Laufwerk zeigt, was erfolgreich gelöscht wurde. Sichern Sie ihn, bevor der Server geht.

Beide Funktionen bereinigen nur, was sie unterstützen und was gerade im Server steckt. Ein Laufwerk aus dem Ersatzteilschrank oder ein Storage-System im Nachbarrack erreichen sie nicht. Ein Herstellerbericht ist außerdem kein Löschprotokoll mit Verfahren, Werkzeugversion und Prüfung je Seriennummer. Ob Sie das bekommen, klären Sie gesondert.

Was bei selbstverschlüsselnden Laufwerken gilt

Laufwerke, die ihre Daten selbst verschlüsseln, heißen selbstverschlüsselnd, kurz SED. NIST beschreibt sie so: Die Verschlüsselung ist immer aktiv und erfasst alle Daten auf dem Laufwerk. Laut Dell (Stand März 2025) haben alle aktuell ausgelieferten PowerEdge-Server SED- oder ISE-Laufwerke und können kryptografisch löschen.

Damit ist das kryptografische Löschen möglich. NIST führt es als Verfahren der Stufe Purge: Die Schlüssel, die die Daten schützen, werden bereinigt, die entschlüsselten Daten sind danach nicht mehr wiederherstellbar. Bevor Sie sich darauf verlassen, klären Sie:

1. Lag je etwas unverschlüsselt auf dem Laufwerk? NIST nennt das als Voraussetzung: Seit der letzten Löschung dürfen keine sensiblen Daten im Klartext gespeichert worden sein. Sonst braucht es ein anderes Verfahren.
2. Gibt es Kopien der Schlüssel? Werden Schlüssel von einem Schlüsselserver eingespielt, gesichert oder hinterlegt, kann laut NIST jede Kopie außerhalb des Laufwerks später die Daten wieder lesbar machen. Ein Löschbefehl am Laufwerk erfasst diese Kopien nicht. NIST rät, dem kryptografischen Löschen dann nur zu trauen, wenn klar ist, wo und wie die Schlüssel außerhalb verwaltet wurden. Wie das Dell-Beispiel zeigt, kann eine aktive Schlüsselverwaltung ein Laufwerk sogar dauerhaft sperren, wenn die Reihenfolge nicht stimmt.
3. Ist das Laufwerk entsperrt? Ein gesperrtes Laufwerk, zu dem niemand mehr die Zugangsdaten hat, lässt sich weder prüfen noch protokolliert löschen. Es wird ein Fall für die Vernichtung.

NIST nennt außerdem Angaben, die ein Nachweis über kryptografisches Löschen zusätzlich enthalten kann. Dazu gehört, welche Bereiche des Laufwerks verschlüsselt sind und wie die übrigen gelöscht werden, und ob Schlüssel je hinterlegt oder eingespielt wurden.

Welches Verfahren für welchen Datenträger

Mit der Revision 2 vom September 2025 hat NIST die gerätebezogenen Tabellen aus der Richtlinie genommen. Abgesehen vom kryptografischen Löschen verweist NIST für die einzelnen Verfahren jetzt auf die Norm IEEE 2883. Die Grundregeln aus dem Text der Richtlinie:

Wie groß die unerreichbare Reserve sein kann, zeigt ein Beispiel aus der Richtlinie: Ein Laufwerk hat 1024 GB Speicher, nutzbar sind 900 GB. Daten können trotzdem auf allen 1024 GB liegen, und der ganze Inhalt sollte gelöscht werden. Jedes Verfahren endet mit einer Prüfung. Erst wenn sie bestanden ist, wird das Laufwerk als gelöscht eingetragen.

Storage-Systeme, Ersatzlaufwerke und Garantietausch

Bei Storage-Systemen mit vielen Laufwerken gilt dieselbe Regel, nur in größerer Zahl. Notieren Sie vor dem Abbau, welches Laufwerk in welchem Einschub steckte, und lassen Sie die Laufwerke möglichst in den Systemen. Bei einem losen Laufwerk ohne Notiz lässt sich später nicht mehr belegen, aus welchem System es stammt.

Wer nur einzelne Bereiche eines Storage-Systems löscht, etwa ein Volume, geht laut NIST ein Risiko ein. Daten können in umgelagerte Blöcke oder Reservebereiche gewandert sein. Die Löschbefehle der Laufwerke wirken zudem meist auf das ganze Laufwerk. Bei der Ausmusterung löschen Sie deshalb ganze Laufwerke, nicht einzelne Volumes.

Denken Sie außerdem an Laufwerke, die nie in einem laufenden System auftauchen: Ersatzplatten im Schrank, ausgebaute Platten nach einem Defekt. Zum Garantietausch schreibt NIST: Ein Laufwerk, das gegen Ersatz an den Hersteller geht und nicht zurückkommt, verlässt Ihre Kontrolle. Klären Sie vor dem Tausch, ob es vorher gelöscht wird oder bei Ihnen bleibt.

Was Sie jetzt tun sollten

1. Laufwerksliste anlegen. Je Server und Storage-System jedes Laufwerk mit Seriennummer, Typ und Einschub. Ersatz- und Defektlaufwerke kommen auf dieselbe Liste.
2. Statement of Volatility anfordern. Für jedes Servermodell beim Hersteller oder im Supportportal. Haken Sie jeden nichtflüchtigen Speicher daraus ab.
3. Daten und Fristen prüfen. Erst löschen, wenn alles migriert ist und keine Aufbewahrungsfristen mehr auf den Systemen liegen. Lassen Sie sich das intern schriftlich bestätigen.
4. Schlüssel klären. Notieren Sie, welche Laufwerke selbstverschlüsselnd sind, ob ein Schlüsselserver beteiligt ist und wo Schlüssel gesichert wurden. Schalten Sie die Schlüsselverwaltung nach Anleitung des Herstellers ab, bevor Laufwerke gelöscht werden.
5. Verwaltungschip und BIOS zurücksetzen. Konten, Zertifikate und Netzwerkeinstellungen in iDRAC, iLO oder dem Gegenstück Ihres Herstellers entfernen, USB-Sticks und SD-Karten ziehen.
6. Externe Speicher trennen. Vor jeder herstellereigenen Löschfunktion alle angebundenen Speichernetze abklemmen, damit nichts Falsches gelöscht wird.
7. Protokoll je Laufwerk verlangen. Gleichen Sie es nach der Löschung Zeile für Zeile mit Ihrer Laufwerksliste ab. Fehlt ein Laufwerk, fragen Sie nach, bevor Sie den Vorgang abschließen.

So löschen wir Server und Storage

Wir kaufen Server, Storage-Systeme und einzelne Festplatten und SSDs an. Vor jeder Abholung von Geräten mit Daten schließen wir einen Vertrag zur Auftragsverarbeitung. Die Laufwerke löschen wir in Deutschland mit Securaze nach NIST SP 800-88 Purge, auf Wunsch als Löschung vor Ort. Jedes Laufwerk erscheint mit eigener Seriennummer im Löschprotokoll. Was sich nicht löschen lässt, wird bei zertifizierten deutschen Recycling-Partnern physisch vernichtet, mit Zertifikat. Mehr zu den Geräten unter Server und Netzwerktechnik, zum Ablauf beim Rückbau von Serverraum und Rechenzentrum und unter sichere Datenlöschung.

Keine Rechtsberatung. Stand der Angaben: 11. Oktober 2026.