Server sicher ausser Betrieb nehmen: aus allen Systemen entfernen, die ihm noch vertrauen

Ziel

Einen Server ausser Betrieb nehmen, ohne veraltete Verweise in DNS, Monitoring, Backups oder einem Verzeichnisdienst zu hinterlassen, und den Speicher vor Wiederverwendung oder Entsorgung passend zum Medientyp sicher zu löschen (Sanitisierung).

Voraussetzungen

Der Inventareintrag, der alle Systeme auflistet, die auf diesen Host verweisen; Rechte zum Entfernen von Einträgen in DNS, Monitoring, Backup und Verzeichnisdiensten; ein Plan zur Medien-Sanitisierung, falls Datenträger wiederverwendet werden oder die Kontrolle der Organisation verlassen.

Schritte

1. Sicherstellen, dass nichts mehr vom Host abhängt (aktive Verbindungen, Jobs mit diesem Host als Ziel, Load-Balancer-Einträge), und zuerst den Traffic abziehen (Drain).
2. DNS-Einträge (Forward und Reverse) entfernen oder anpassen, sodass Name und IP nicht mehr auf einen aktiven Dienst auflösen.
3. Den Host aus Monitoring, Dashboards und Runbooks entfernen.
4. Die Backup-Jobs des Hosts deaktivieren; bestehende Backups gemäss Aufbewahrungsrichtlinie behalten oder löschen.
5. Für den Host ausgestellte Zugangsdaten widerrufen: Einträge in known_hosts, Service-Account- und API-Zugangsdaten sowie TLS-Zertifikate, die auf ihn lauten (widerrufen, nicht bis zum Ablauf warten).
6. Ist der Host in eine Domäne eingebunden, sein Computerobjekt mit Remove-ADComputer -Identity <name> entfernen; das Cmdlet ist dokumentiert als „Removes an Active Directory computer“. Vorher mit -WhatIf eine Vorschau erzeugen; rückgängig machen lässt sich der Schritt nur mit dem AD-Papierkorb (AD Recycle Bin) oder einer autoritativen Wiederherstellung. Objekte mit untergeordneten Objekten (etwa Cluster-Knoten) erfordern Remove-ADObject -Recursive.
7. Den Speicher vor Wiederverwendung oder Entsorgung sanitisieren und das Verfahren auf das Medium abstimmen. NIST SP 800-88 Rev. 2 definiert Sanitisierung als Vorgang, der „access to target data on the media infeasible for a given level of effort“ macht, und zwar durch Clear, Purge oder Destroy:
   • SSD/NVMe: Überschreiben ist wegen Wear-Leveling unzuverlässig, daher die eigene Löschfunktion des Laufwerks verwenden. Bei NVMe funktioniert nvme format <device> --ses=1 (User Data Erase) oder --ses=2 (Cryptographic Erase); ein einfaches nvme format verwendet standardmässig --ses=0, „No secure erase operation requested“. nvme sanitize sowie ATA Secure Erase bzw. Sanitize sind Alternativen, soweit unterstützt. blkdiscard führt nur ein TRIM auf Sektoren aus („is used to discard device sectors“) und garantiert nicht, dass die Flash-Zellen gelöscht werden; es ist daher kein Sanitisierungsverfahren.
   • LUKS-Volumes: cryptsetup luksErase <device> (neuere Syntax cryptsetup erase) löscht alle Keyslots und macht den Container „permanently inaccessible“. Als Cryptographic Erase gilt das nur, wenn alle Daten vom ersten Schreibvorgang an verschlüsselt waren und weder ein Backup des LUKS-Headers noch eine Kopie des Volume-Schlüssels erhalten geblieben ist.
   • HDDs: Ein vollständiges Überschreiben des Geräts ist eine Clear-Technik, erreicht aber keine neu zugewiesenen (reallocated) Sektoren. Purge nutzt den Sanitize- bzw. Secure-Erase-Befehl des Laufwerks oder Entmagnetisieren (Degaussing), Destroy bedeutet physische Zerstörung.
   • Cloud-Volumes: das Volume löschen und, falls vorhanden, den kundenverwalteten Schlüssel (customer-managed key) vernichten.
8. Den Inventareintrag als ausgemustert markieren, statt ihn zu löschen.

Erwartetes Ergebnis

Kein DNS-, Monitoring-, Backup- oder Verzeichniseintrag verweist mehr auf den Host, seine Zugangsdaten sind widerrufen, und der Speicher ist passend zum Medientyp sanitisiert.

Grenzen und Prüfbasis

NIST SP 800-88 behandelt Clear, Purge und Destroy als unterschiedliche Sicherheitsstufen, nicht als austauschbare Optionen; die Wahl hängt von der Sensitivität der Daten ab und davon, ob die Medien die Kontrolle der Organisation verlassen. Das Ergebnis sollte überprüft und dokumentiert werden. Je nach Fähigkeiten des Laufwerks kann nvme format jeden Namespace des Controllers löschen; keiner dieser Befehle lässt sich rückgängig machen, daher vorher den Gerätepfad prüfen (lsblk, nvme list). Das Entfernen eines AD-Computerobjekts macht bereits ausgestellte Kerberos-Tickets nicht ungültig; sie bleiben bis zu ihrem Ablauf gültig. Zugehörige Service-Accounts und Delegierungen sind in Schritt 5 zu behandeln.