Löschen und Wiederherstellen: Was zurückgeholt werden kann und was endgültig weg ist

Jedes Speicherprodukt muss zwei gegensätzliche Wünsche zur selben Datei erfüllen. Am Montag löscht jemand versehentlich einen Ordner und will ihn zurück. Am Freitag will die Datenschutzbeauftragte eine Datei nachweislich und endgültig loswerden. Produkte, die das eine gut können, nehmen das andere meist nicht ernst. Entweder heißt „gelöscht“ in Wirklichkeit „irgendwo versteckt, bis eine Aufbewahrungsfrist abläuft, wo genau, wissen wir auch nicht“, oder es ist ein unwiderruflicher Klick ohne Netz und doppelten Boden.

In einem Ende-zu-Ende-verschlüsselten System fällt die Antwort auf beide Wünsche klarer aus als sonst. Jede Datei hat einen Schlüssel, und was mit dem Schlüssel passiert, entscheidet darüber, was das Chiffrat noch wert ist. Dieser Artikel geht Schritt für Schritt durch, was Löschen in Sapherbox bewirkt, was Sie zurückholen können, wer das darf und ab welchem Punkt niemand mehr etwas zurückholen kann.

Der Papierkorb

Standardmäßig entfernt das Löschen eine Datei nicht. Die Datei wird als gelöscht markiert, verschwindet aus allen Listen und aus der Suche und landet im Papierkorb ihres Owners. Dort bleibt sie für eine Aufbewahrungsfrist von 30 Tagen, sofern Ihr Administrator keinen anderen Wert festgelegt hat. Nach Ablauf entfernt ein täglicher Job den Datenbankeintrag und das Chiffrat im Speicher. Ab diesem Moment gibt es kein Zurück. Bis dahin lässt sich alles rückgängig machen.

Löschen darf, wer in diesem Ordner eine Rolle mit Löschrecht hat: der Owner, ein Co-owner und wer sonst nach den Berechtigungsstufen Ihres Tenants dazu befugt ist. Wiederherstellen darf nur der Owner. Diese Asymmetrie ist Absicht. Der Papierkorb ist persönlich, und der Owner ist die einzige Person, die immer für den Inhalt verantwortlich ist. Deshalb zeigt der Papierkorb, was Ihnen gehört, und sonst nichts.

Wer einen Ordner löscht, schickt den ganzen Teilbaum auf einmal in den Papierkorb, jede Datei und jeden Unterordner. Wiederhergestellt wird dagegen Datei für Datei. Stellen Sie eine Datei wieder her, deren Ordner mit ihr gelöscht wurde, kommt auch die Ordnerkette darüber zurück. Das ist nötig, denn der Schlüssel der Datei ist für das Schlüsselpaar ihres Ordners versiegelt. Ohne den Ordner wäre die Datei nicht lesbar. Ein versehentlich gelöschter Ordner ist also in dem Moment wieder da, in dem Sie die erste Datei darin wiederherstellen, samt Struktur.

Jedes Löschen und jedes Wiederherstellen erzeugt einen Audit-Eintrag unter dem Namen der Person, die es ausgelöst hat. Die Antwort auf „Wer hat im März den Vertrag gelöscht?“ steht damit im Protokoll und hängt nicht davon ab, ob sich jemand erinnert.

Ein Administrator kann den Papierkorb abschalten. Dann wirkt das Löschen sofort: Der Eintrag ist weg, das Chiffrat ist weg, und es gibt keine Wiederherstellung. Manche Organisationen wollen das für einen Tenant, in dem nichts liegen bleiben darf. Die meisten lassen den Papierkorb an und stellen die Frist ein.

Versionen

Laden Sie eine Datei unter einem bestehenden Namen erneut hoch, entsteht eine neue Version. Die alte wird nicht überschrieben. Jede Version ist ein vollständiges, eigenständig verschlüsseltes Objekt mit eigenem Schlüssel, versiegelt für dieselben Personen. Der Versionsverlauf zeigt jede Version mit Datum und Größe, jede lässt sich herunterladen, und eine nicht mehr benötigte Version lässt sich löschen, solange es nicht die letzte ist. Eine Schaltfläche, mit der Sie zu einer älteren Version zurückkehren, gibt es nicht. Brauchen Sie eine ältere Version, laden Sie sie herunter und laden sie als neueste wieder hoch.

Versionen und Papierkorb sind voneinander unabhängig. Wird eine Datei gelöscht, werden alle ihre Versionen zusammen gelöscht, und beim Wiederherstellen kommen alle zusammen zurück. Das Löschen einer einzelnen Version wirkt sofort und geht nicht über den Papierkorb, weil es eine bewusste Handlung an einer Kopie ist, die Sie vor sich sehen.

Eine Eigenschaft von Versionen sollten Sie kennen, bevor Sie sich auf sie verlassen. Entfernen Sie eine Person aus einem Ordner, wird die aktuelle Version jeder Datei unter einem neuen Schlüssel neu verschlüsselt. Mit ihrem alten Schlüssel kann die entfernte Person diese Version dann nicht mehr öffnen. Ältere Versionen behalten ihre ursprünglichen Schlüssel. Wer entfernt wurde und Version drei schon heruntergeladen hatte, kann Version drei weiterhin öffnen. Warum der Entzug bei der aktuellen Version endet, haben wir an anderer Stelle beschrieben.

Geplante Löschung

Manche Daten haben ein bekanntes Ablaufdatum: eine Aufbewahrungsfrist, ein Projektende, eine vertragliche Frist. Statt einer Erinnerung im Kalender geben Sie der Datei in ihren Eigenschaften ein Löschdatum. Die Datei wandert an diesem Tag in den Papierkorb und wird nach Ablauf der Papierkorbfrist endgültig entfernt. Planen darf jeder, der die Datei auch löschen dürfte. Der Termin steht im Audit-Log, und der Bericht „Datenbestand“ führt ihn neben der Klassifizierung der Datei auf. Genau diese Angaben gehören in ein Verzeichnis von Verarbeitungstätigkeiten nach Art. 30 DSGVO.

Workflows können den Termin für Sie setzen. Eine Regel kann festlegen, dass jede Datei mit erkannten personenbezogenen Daten in einem bestimmten Ordner nach einer festgelegten Zahl von Tagen zur Löschung vorgemerkt wird oder dass Uploads in einen Eingangsordner zum Quartalsende ablaufen. Was die Klassifizierung erkennen kann, haben wir an anderer Stelle beschrieben. Die geplante Löschung ist eine der Aktionen, die sie auslösen kann.

Auch Ordner können ablaufen. Ein Ordner mit Ablaufdatum leert an diesem Tag entweder seinen Inhalt und bleibt bestehen, oder er verschwindet mit allem, was darin liegt, je nachdem, was Sie beim Einrichten gewählt haben. Beides erscheint im Audit-Log als Aktion des Systems. Ein Prüfer sieht also, dass eine Löschung planmäßig stattgefunden hat und nicht von Hand.

Was „endgültig gelöscht“ bedeutet

Diesen Teil lohnt es sich zweimal zu lesen, denn die Branche nimmt es mit den Worten nicht genau.

In Sapherbox ist jede Datei mit einem eigenen Schlüssel verschlüsselt. Dieser Schlüssel ist für den Identitätsschlüssel des Owners und für das Schlüsselpaar des Ordners versiegelt, und diese versiegelten Schlüssel liegen als Datenbankzeilen direkt neben dem Dateieintrag. Entfernt der Bereinigungsjob eine Datei am Ende der Papierkorbfrist, entfernt er den Dateieintrag samt den versiegelten Schlüsseln sowie das Chiffrat im Speicher. Danach gibt es keinen Eintrag, keinen Schlüssel und kein Objekt mehr.

An einer einzigen Stelle überlebt eine Spur noch eine Weile: im Datenbank-Backup. Jede Tenant-Datenbank wird einmal täglich gesichert, verschlüsselt mit einem Schlüssel, der offline aufbewahrt wird und auf keinem Server liegt, und die letzten sieben Sicherungen werden aufbewahrt. Eine Sicherung, die vor der Bereinigung entstanden ist, enthält den Eintrag der Datei und ihre versiegelten Schlüssel noch. Das Chiffrat dagegen ist nicht darin enthalten. Es lag nie in der Datenbank und ist inzwischen aus dem Speicher verschwunden. Ein eingespieltes Backup wüsste also, dass es die Datei gab, mit maskiertem Namen und Größe, und hätte einen Schlüssel zu einem Objekt, das nicht mehr existiert. Nach sieben Tagen ist auch diese Sicherung weg.

Auf der Speicherseite gibt es keine zweite Kopie. Der Objektspeicher hält pro Version genau ein verschlüsseltes Objekt. Die Ausfallsicherheit kommt von der Replikation des Anbieters, nicht von einer Historie alter Stände, und wenn die Bereinigung ein Objekt entfernt, gibt es keinen älteren Stand, auf den man zurückgreifen könnte. Wir sagen das so deutlich, weil es die ehrliche Konsequenz des Konzepts ist. Die Papierkorbfrist ist die einzige Möglichkeit, eine Löschung rückgängig zu machen.

Für die Datenschutzbeauftragte ergibt sich daraus ein klarer Zeitstrahl. Wird eine Datei am Monatsersten gelöscht und bleibt im Papierkorb, kann nur ihr Owner sie lesen, und zwar bis die Frist abläuft. Nach der Bereinigung kann sie niemand mehr lesen, und nach weiteren sieben Tagen existiert nirgends mehr eine Spur ihrer Schlüssel. Beide Termine folgen aus Einstellungen, die Sie bestimmen, und beide sind im Audit-Log nachvollziehbar.

Konten

Nicht nur Dateien werden gelöscht oder wiederhergestellt, sondern auch Konten. Dafür gelten andere Regeln.

Ein deaktiviertes Konto ist nicht gelöscht. Die Anmeldung wird verweigert, die Synchronisation stoppt, Sitzungen enden. Die Dateien, die Schlüssel und die Freigaben bleiben aber genau so, wie sie waren. Wird das Konto reaktiviert, funktioniert die Anmeldung wieder, und nichts muss neu aufgebaut werden, weil nichts entfernt wurde. Die Deaktivierung ist der richtige erste Schritt, wenn jemand geht. Und sie ist der einzige Schritt, solange die Person zurückkommen könnte oder ihre Ordner noch einen Owner brauchen.

Ein gelöschtes Konto ist weg. Seine Dateien verschwinden mit ihm, seine versiegelten Schlüssel ebenso, und kein Administrator kann sie zurückholen, denn kein Administrator hat die Schlüssel je besessen. Bevor Sie das Konto einer Person löschen, der geteilte Ordner gehören, geben Sie diesen Ordnern einen neuen Owner oder fügen Sie einen Co-owner hinzu. Sonst verschwindet ihr Inhalt mit dem Konto. Warum man die Verantwortung für Ordner vor dem Weggang übergibt, statt sie hinterher zurückzuholen, haben wir in einem eigenen Artikel beschrieben.

Ein vergessenes Passwort erfordert eine andere Art der Wiederherstellung, und die haben wir separat behandelt: der gespeicherte Wiederherstellungscode oder der Escrow-Schlüssel Ihrer Organisation. Beides funktioniert ohne den Anbieter.

Der Sync-Client

Löschungen wandern in beide Richtungen. Löschen Sie eine Datei im synchronisierten Ordner auf Ihrem Laptop, landet sie auf dem Server im Papierkorb. Das Sicherheitsnetz ist also dasselbe, ob Sie im Browser oder im Explorer gearbeitet haben. Stellen Sie die Datei aus dem Papierkorb wieder her, erscheint sie auf jedem synchronisierten Gerät erneut. Ist der Papierkorb in Ihrem Tenant abgeschaltet, erhält der Client stattdessen eine Löschmarkierung. Der Server bewahrt diese Markierungen lange genug auf, damit auch ein Gerät, das wochenlang offline war, noch erfährt, was verschwunden ist. Der Client leert einen lokalen Ordner nie von sich aus, nur weil er eine Liste nicht lesen konnte. Er löscht lokal nur, was der Server als entfernt bestätigt hat. Den Client und seinen Umgang mit Konflikten haben wir ausführlich beschrieben.

Grenzen, klar benannt

Drei Dinge kann keine Löschfunktion leisten, und wir sagen das lieber, als es zu verschweigen.

Löschen holt keine Kopien zurück. Eine Datei, die vor dem Löschen heruntergeladen, gedruckt, weitergeleitet oder auf einen Laptop synchronisiert wurde, existiert dort weiter. Löschen wirkt nur im Vault.

Löschen macht ältere Versionen nicht nachträglich unlesbar. Entzug und Löschung wirken auf das, was aktuell ist. Frühere Versionen, die jemand bereits hat, bleiben für diese Person lesbar.

Nach der Bereinigung lässt sich nichts mehr wiederherstellen. Die Papierkorbfrist ist die einzige Chance, ein Versehen zu korrigieren. Wählen Sie sie entsprechend: lang genug, dass ein Versehen auffällt, und kurz genug, dass Sie gegenüber dem Datenschutz gut dastehen. 30 Tage sind der Standard, weil sie meist beides erfüllen.

Fragen?

Wenn Sie eine Aufbewahrungsfrist festlegen, eine Löschrichtlinie auf geplante Löschung und Ordnerablauf abbilden oder die Zeitstrahlen für Bereinigung und Backup schriftlich für ein Audit brauchen, schreiben Sie uns an hello@sapherbox.com.