TCG Opal

Wie TCG Opal funktioniert

Ein Opal-Laufwerk verschlüsselt alle Daten automatisch mit einem internen Schlüssel. Ist die Sperre aktiv, gibt das Laufwerk die Daten erst nach Eingabe eines Kennworts oder über eine Verwaltungssoftware frei, oft schon vor dem Start des Betriebssystems (Pre-Boot-Authentifizierung). Wichtige Funktionen der Opal-Spezifikation, aktuell in Versionen 2.x:

Funktion	Zweck
Hardwareverschlüsselung	Verschlüsselung durch den Laufwerkscontroller ohne Last für den Prozessor
Sperrbereiche	Teile oder das ganze Laufwerk lassen sich getrennt sperren
Schlüsselwechsel	Neuer Schlüssel macht alte Daten unlesbar (Crypto Erase)
PSID-Revert	Zurücksetzen mit der auf dem Etikett aufgedruckten PSID; setzt das Laufwerk zurück und löscht die Daten kryptografisch

TCG Opal bei der Ausmusterung

Für die Löschung bietet Opal einen schnellen Weg: Der Schlüssel wird ersetzt, die Daten sind danach nicht mehr lesbar. Wie zuverlässig das ist, hängt von der Umsetzung des Herstellers ab. Nach bekannt gewordenen Schwachstellen in der Hardwareverschlüsselung einzelner SSDs nutzt etwa BitLocker standardmäßig Softwareverschlüsselung. Viele Löschverfahren kombinieren den Schlüsselwechsel deshalb mit weiteren Schritten und einer Prüfung. Mehr dazu im Ratgeber Festplatten und SSDs sicher löschen. Second IT löscht SSDs mit Blancco und stellt ein digital signiertes Löschzertifikat je Gerät aus. Nicht löschbare Datenträger werden im eigenen Haus nach DIN 66399 vernichtet.

Häufige Fragen zu TCG Opal

Woran erkenne ich ein Opal-Laufwerk?

Am Datenblatt des Herstellers oder an Angaben wie „TCG Opal 2.0“ bzw. „SED“. Verwaltungs- und Diagnoseprogramme zeigen die unterstützten Funktionen ebenfalls an.

Was ist ein PSID-Revert?

Ein Zurücksetzen mit der physischen Sicherheitskennung (PSID), die auf dem Laufwerk aufgedruckt ist. Es entsperrt das Laufwerk für die Weiterverwendung und löscht dabei alle Daten kryptografisch.

Reicht Opal-Verschlüsselung als Datenschutz bei der Abgabe?

Allein nicht. Für die Abgabe brauchen Sie eine dokumentierte Löschung je Laufwerk. Verschlüsselung erleichtert diese, ersetzt aber nicht den Nachweis.