Eine SSD sicher löschen (NVMe Secure Erase, vor Verkauf oder Entsorgung)

Kurze Antwort: Greifen Sie bei einer SSD (Solid-State-Laufwerk) nicht zu den Werkzeugen, die Sie bei einer mechanischen Festplatte nutzen würden - shred, dd if=/dev/zero, das Gutmann-Mehrfachverfahren oder DBAN. Sie sind auf SSDs unzuverlässig und nutzen das Laufwerk ohne Sicherheitsgewinn ab. Nutzen Sie stattdessen eine von zwei Methoden: (1) den eigenen Firmware-Sanitize-Befehl des Laufwerks - ATA Secure Erase für SATA-SSDs oder NVMe Format / NVMe Sanitize für NVMe-Laufwerke - oder (2) Crypto-Erase: Ist das Laufwerk verschlüsselt, zerstören Sie den Verschlüsselungsschlüssel, und jeder Block wird sofort unlesbar. Beides ist geeignet, bevor Sie ein Laufwerk verkaufen, verschenken oder entsorgen.

Dieser Leitfaden erklärt, warum SSDs anders sind, führt durch die Firmware-Befehle unter Linux und behandelt die Crypto-Erase-Abkürzung, die oft die einfachste und zuverlässigste Option ist.

Warum eine SSD keine Festplatte ist

Auf einer mechanischen Festplatte bildet eine logische Blockadresse einen festen physischen Ort auf einer rotierenden Scheibe ab. Überschreiben Sie diesen Block, haben Sie den magnetischen Zustand, an dem die Daten lagen, physisch ersetzt. Deshalb funktioniert das überschreibungsbasierte Löschen (shred, dd, Mehrfach-Tools) auf Festplatten.

SSDs brechen diese Annahme auf drei Arten:

• Wear-Leveling. NAND-Flash-Zellen degradieren mit jedem Schreibvorgang, daher verteilt der Controller der SSD die Schreibvorgänge über die Chips, um den Verschleiß auszugleichen. Wenn Sie eine Datei „überschreiben”, schreibt der Controller die neuen Daten meist in einen anderen, frischen physischen Block und mappt die logische Adresse um - die Originaldaten bleiben in einer nun verwaisten Zelle liegen, die Sie vom Betriebssystem aus nicht ansprechen können.
• Over-Provisioning. Jede SSD reserviert zusätzliche physische Kapazität (oft 7 bis 28 %), die dem Betriebssystem nie offengelegt wird. In diesem Reservebereich können Daten verbleiben, völlig außer Reichweite jeder Überschreibung, die Sie anstoßen.
• TRIM und die Flash-Translation-Layer. Der Controller führt seine eigene Mapping-Tabelle zwischen logischen und physischen Adressen. Sie haben keinen direkten Befehlspfad zu einer bestimmten Zelle; Sie fragen nur den Controller, und er entscheidet.

Die Folge: Ein Software-Überschreibungsdurchlauf kann nicht garantieren, dass er jede physische Zelle erreicht hat, die je Ihre Daten enthielt. Mehrfachverfahren wie Gutmann wurden für die magnetische Kodierung der Festplatten der 1990er entworfen und bieten auf Flash keinen zusätzlichen Nutzen - sie vervielfachen nur den Schreibverschleiß. Der richtige Ansatz übergibt die Aufgabe der einzigen Komponente, die jede Zelle erreichen kann: dem eigenen Controller der SSD.

Methode 1 - Firmware-Sanitize (ATA Secure Erase / NVMe Sanitize)

Jeder moderne SSD-Controller implementiert einen eingebauten Befehl, der die dem Controller bekannten Zellen zurücksetzt - einschließlich der über Over-Provisioning reservierten. Das ist die maßgebliche Art, das physische Medium zu löschen.

Eine laute Warnung vor jedem Befehl unten: Diese Vorgänge löschen das gesamte Laufwerk unwiderruflich, einschließlich Partitionen, Betriebssystem und aller Daten, an die Sie nicht mehr dachten. Identifizieren Sie zuerst das richtige Gerät (lsblk, sudo nvme list), hängen Sie es aus und führen Sie diese Befehle niemals gegen Ihre laufende Systemplatte aus. Sichern Sie zuvor alles, was Sie brauchen.

NVMe-SSDs unter Linux (nvme-cli)

Das Paket nvme-cli stellt die standardisierten Sanitize- und Format-Befehle für NVMe-Laufwerke bereit. Ersetzen Sie /dev/nvmeXn1 durch den echten Namespace des Laufwerks, das Sie löschen wollen - und prüfen Sie ihn zweimal.

# NVMe-Geräte auflisten, um das richtige auszuwählen
sudo nvme list

# Kryptografisches Löschen: rotiert den internen Medienverschlüsselungsschlüssel,
# wodurch alle vorhandenen Daten sofort unentschlüsselbar werden (falls unterstützt)
sudo nvme format /dev/nvmeXn1 --ses=2

# Oder ein Block-Löschen (Benutzerdaten) statt Crypto-Erase
sudo nvme format /dev/nvmeXn1 --ses=1

# Der dedizierte Sanitize-Befehl (Block-Löschen); Unterstützung zuerst prüfen
sudo nvme sanitize /dev/nvmeXn1 --sanact=2

--ses=2 fordert ein kryptografisches Löschen an: Viele NVMe-SSDs verschlüsseln alle Daten transparent mit einem internen Schlüssel, und das Rotieren dieses Schlüssels macht den alten Inhalt in Sekunden unwiederbringlich. --ses=1 fordert ein Löschen der Benutzerdaten an. Die Unterstützung der einzelnen Modi variiert je Laufwerk; sudo nvme id-ctrl /dev/nvmeXn1 meldet die Sanitize- und Format-Fähigkeiten, die der Controller angibt.

SATA-SSDs unter Linux (hdparm)

Bei SATA-SSDs wird der Befehl ATA Secure Erase über hdparm ausgegeben. Das Laufwerk darf nicht „frozen” sein (ein Power-Cycle oder Suspend/Resume behebt einen frozen-Zustand oft). Die Sequenz setzt ein temporäres Benutzerpasswort und gibt dann das Löschen aus, das das Passwort als Teil des Vorgangs entfernt.

# Bestätigen, dass das Laufwerk "not frozen" ist und den Befehl unterstützt
sudo hdparm -I /dev/sdX | grep -i -A2 security

# Ein temporäres Passwort setzen (von der ATA-Spezifikation verlangt, um das Löschen scharfzuschalten)
sudo hdparm --user-master u --security-set-pass p /dev/sdX

# Das Secure Erase ausgeben (oder --security-erase-enhanced, falls als unterstützt gelistet)
sudo hdparm --user-master u --security-erase p /dev/sdX

Auch hier ist /dev/sdX ein Platzhalter - setzen Sie den verifizierten Geräteknoten ein. blkdiscard /dev/sdX ist eine leichtere Alternative, die ein TRIM/Discard über das ganze Gerät ausgibt; das ist schneller, garantiert aber im Gegensatz zum Sanitize nicht, dass der Reservebereich gelöscht wird, also bevorzugen Sie für die Entsorgung das Firmware-Sanitize.

Herstellerwerkzeuge

Die meisten SSD-Hersteller liefern Desktop-Programme, die eben diese Firmware-Befehle hinter einen Knopf packen - der einfachste Weg für Windows-Nutzer: Samsung Magician (Secure Erase), Crucial Storage Executive, WD Dashboard / SanDisk Dashboard und ähnliche. Sie geben im Hintergrund die standardmäßigen ATA/NVMe-Sanitize-Befehle aus.

Methode 2 - Crypto-Erase (den Schlüssel zerstören)

Die einfachste und robusteste Methode löscht überhaupt keine Zellen - sie macht die Daten dauerhaft unentschlüsselbar, indem sie den Schlüssel zerstört.

Ist das gesamte Laufwerk bereits verschlüsselt - mit LUKS unter Linux, BitLocker unter Windows oder FileVault unter macOS - dann ist jeder Block auf der Platte Chiffretext. Der Klartext existiert nur, solange der Schlüssel geladen ist. Löschen oder überschreiben Sie das Schlüsselmaterial, und das gesamte Volume wird zu einem Feld zufällig aussehender Bytes, das niemand entschlüsseln kann - sofort und unabhängig von Wear-Leveling oder Over-Provisioning.

Auf einem LUKS-Volume bedeutet das, den Header zu zerstören, der die Schlüssel-Slots enthält:

# Einen bestimmten LUKS-Schlüssel-Slot oder den gesamten Header unwiderruflich löschen
sudo cryptsetup luksErase /dev/sdX

Ist der LUKS-Header einmal weg, kann der von ihm geschützte Volume-Schlüssel nie wiederhergestellt werden, sodass die Daten unwiederbringlich sind, obwohl der Chiffretext physisch in den Zellen verbleibt. Deshalb ist das Verschlüsseln eines Laufwerks vom ersten Tag an die beste Entsorgungsstrategie: Wenn die Zeit kommt, müssen Sie dem Firmware-Sanitize überhaupt nicht vertrauen - Sie werfen einfach den Schlüssel weg. Siehe unsere Leitfäden zur vollständigen Festplattenverschlüsselung und dazu, was Verschlüsselung tatsächlich ist, um dies korrekt einzurichten.

Für Laufwerke, die nie verschlüsselt wurden, ist Crypto-Erase im Nachhinein nicht verfügbar; greifen Sie dann auf das Firmware-Sanitize aus Methode 1 zurück.

Bevor Sie verkaufen, verschenken oder entsorgen

Laufwerk verkaufen oder verschenken: Führen Sie ein Firmware-Secure-Erase (oder das Herstellerwerkzeug) aus, oder wenn es verschlüsselt war, machen Sie ein Crypto-Erase durch Zerstören des Schlüssels, dann optional ein einzelnes Firmware-Sanitize zur Beruhigung. Ein totes Laufwerk physisch zerstören, das nicht mehr startet (sodass kein Befehl es erreichen kann): Die mechanische Zerstörung der NAND-Chips ist der Ausweg, wenn Sanitize unmöglich ist.

Was NICHT funktioniert

• Schnellformatierung schreibt das Inhaltsverzeichnis des Dateisystems neu, nicht die Daten; die darunterliegenden Blöcke bleiben unberührt.
• Dateien löschen / Papierkorb leeren entfernt nur Verweise.
• Ein einzelner Null-Durchlauf auf einer SSD verfehlt umgemappte und über Over-Provisioning reservierte Zellen und ist nicht maßgeblich.
• shred, dd, Gutmann, DBAN wurden für magnetische Scheiben gebaut und geben auf Flash keine Garantie, während sie Schreibverschleiß hinzufügen.

Häufig gestellte Fragen

Funktioniert shred auf einer SSD?

Nicht zuverlässig. shred überschreibt die logischen Blöcke, auf die Sie es richten, aber der Controller einer SSD nutzt Wear-Leveling und Over-Provisioning, sodass Ihr Überschreiben oft auf frischen Zellen landet, während die Originaldaten in umgemappten oder reservierten Zellen überleben, die Sie nicht ansprechen können. Nutzen Sie stattdessen das Firmware-Secure-Erase / Sanitize des Laufwerks oder Crypto-Erase, wenn das Laufwerk verschlüsselt ist.

Ist ATA Secure Erase sicher für das Laufwerk?

Ja. ATA Secure Erase und NVMe Sanitize sind Standardbefehle, die der Controller ausführen soll; sie setzen die Zellen zurück, statt sie mit Durchläufen zu hämmern, sodass sie weit weniger Verschleiß verursachen als eine Mehrfach-Überschreibung. Das eigentliche Risiko ist menschlich: Der Befehl löscht das ganze Laufwerk unwiderruflich, also verifizieren Sie den Geräteknoten und sichern Sie zuvor alles, was Sie brauchen.

Wie lösche ich eine NVMe-SSD unter Linux sicher?

Installieren Sie nvme-cli, führen Sie sudo nvme list aus, um den richtigen Namespace zu identifizieren, und geben Sie dann sudo nvme format /dev/nvmeXn1 --ses=2 für ein kryptografisches Löschen aus (oder --ses=1 für ein Löschen der Benutzerdaten). Manche Laufwerke unterstützen auch sudo nvme sanitize. Prüfen Sie mit sudo nvme id-ctrl, welche Modi Ihr Laufwerk angibt, und kontrollieren Sie den Gerätepfad doppelt - der Vorgang kann nicht rückgängig gemacht werden.

Reicht verschlüsseln und dann den Schlüssel zerstören?

Ja, wenn das gesamte Laufwerk von Anfang an verschlüsselt war. Ist jeder Block Chiffretext (LUKS, BitLocker, FileVault), macht das Zerstören des Schlüsselmaterials - etwa das Löschen des LUKS-Headers mit cryptsetup luksErase - alle Daten sofort unentschlüsselbar, unabhängig von Wear-Leveling oder Over-Provisioning. Es hilft nicht bei Daten, die vor der Aktivierung der Verschlüsselung geschrieben wurden, weshalb das Verschlüsseln eines Laufwerks am ersten Tag der sauberste Entsorgungsplan ist.