Datenlöschung bei Saugrobotern: Werksreset ist kein Nachweis

Manche Saugroboter lassen sich auf zwei Arten zurücksetzen. Eine eigene Taste am Gerät löscht nur die WLAN-Verbindung, damit sich der Roboter schnell in ein neues Netz einbinden lässt. Die vollständige Löschung läuft über die App oder eine Tastenkombination, die in der Bedienungsanleitung steht. Welche Variante der Vorbesitzer gewählt hat, sieht man dem Gerät beim Wareneingang nicht an.

Was dabei auf dem Gerät bleibt, ist nicht wenig. Das BSI beschreibt in seinen Verbraucherhinweisen, dass Saugroboter Kameras zur Objekterkennung nutzen können, die Bodenfläche kartieren und die dabei entstehenden Daten zum Teil speichern, auch in der Cloud des Herstellers. Dazu kommen die Zugangsdaten des WLANs, in dem das Gerät lief.

Wie IMEI-Prüfung, Datenlöschung und Zertifikat bei Smartphones, Tablets und Notebooks zusammenspielen, haben wir im Juli im Beitrag IMEI-Check, Datenlöschung, Zertifizierung beschrieben. Bei Saugrobotern, Smart-Home-Geräten und anderer vernetzter Elektronik fehlt meist ein eigenes Löschwerkzeug. Es gibt den Reset, und auf ihm ruht dann die ganze Hoffnung.

Gerät, Konto, Cloud: drei Orte für Daten

Wer bei vernetzten Geräten über Löschung spricht, muss drei Ebenen auseinanderhalten.

Auf dem Gerät liegt, was es für den Betrieb braucht. Der Sicherheitsforscher Dennis Giese nannte 2019 in einem Vortrag auf der DEF CON für gebrauchte Smart-Home-Geräte WLAN-Zugangsdaten, Zugangspunkte in der Umgebung, Logdateien der Cloud-Kommunikation und Karten.

Das Konto in der Hersteller-App ordnet das Gerät einer Person zu. Solange diese Kopplung besteht, gehört der Roboter digital noch seinem bisherigen Nutzer, auch wenn er physisch längst auf einer Werkbank in Heiligenhaus steht.

In der Cloud liegen Karten, Verläufe und Einstellungen, die das Gerät hochgeladen hat. Wer nur das Gerät in der Hand hat, kommt an diese Daten nicht heran. Löschen können sie der Kontoinhaber oder der Hersteller.

Ein Servicedienstleister kann deshalb nur die erste Ebene bearbeiten und belegen. Für Konto und Cloud kann er festhalten, ob beim Eingang noch eine Kopplung erkennbar war, und den Auftraggeber darauf hinweisen.

Was der Werksreset leistet

Der Werksreset ist der naheliegende Schritt und bei vielen Geräten der einzige, den der Hersteller anbietet. Das IT-Grundschutz-Kompendium des BSI verlangt ihn für IoT-Geräte ausdrücklich. Unmittelbar danach steht aber, dass anschließend alle im Gerät hinterlegten Zugangsdaten geändert werden müssen. Auf den Reset allein verlässt sich das BSI dort also nicht.

Warum, zeigen Gieses Untersuchungen gebrauchter Geräte. Er fand sie in drei Zuständen vor: gar nicht zurückgesetzt, nur das WLAN zurückgesetzt, vollständig gelöscht. Selbst der dritte Zustand war keine Garantie. Bei einem Saugroboter, den der Vorbesitzer auf Werkseinstellungen zurückgesetzt hatte, fand Giese im ausgelesenen Flash-Speicher noch Fragmente von Logdateien, Schlüsseln, Karten und WLAN-Zugangsdaten. Auch nach drei weiteren Resets waren Datenreste lesbar. Bei einem anderen Modell wurde die Datenpartition beim Reset formatiert, aber nicht überschrieben.

Bei aktuellen Smartphones hält das BSI den Werksreset dagegen für ausreichend, weil Verschlüsselung und Zugriffsschutz greifen. Bei älteren Smartphones könne er reichen, müsse aber nicht. Entscheidend ist die Bauweise: Sind die Nutzerdaten verschlüsselt und vernichtet der Reset den Schlüssel, ist er wirksam. Markiert er nur Dateien als gelöscht, ist er es nicht. Von außen ist der Unterschied nicht zu erkennen.

Die US-Richtlinie NIST SP 800-88 ordnet den Hersteller-Reset entsprechend ein. Er zählt zur Stufe „Clear“, der schwächsten von dreien, und auch das nur, wenn sich über die normale Bedienoberfläche keine Daten mehr abrufen lassen. „Clear“ schützt gegen einfache Wiederherstellung über dieselbe Schnittstelle, die auch der Nutzer hat. Wer den Speicherchip auslötet und ausliest, ist damit nicht ausgeschlossen.

Was sich mit NIST SP 800-88 Rev. 2 geändert hat

Im September 2025 hat das NIST die Revision 2 dieser Richtlinie veröffentlicht. Sie ersetzt die Fassung von 2014. Für Hersteller, Händler und Refurbisher sind vier Änderungen wichtig:

• Die Tabellen mit Löschverfahren je Medientyp sind entfallen. Für konkrete Techniken verweist NIST auf IEEE 2883 und andere Standards. Nur das kryptografische Löschen behandelt die Richtlinie noch selbst.
• Im Mittelpunkt steht ein Löschprogramm der Organisation mit Richtlinie, Zuständigkeiten, Schulung, Werkzeugpflege und Nachweispflichten.
• Neu ist die Trennung von Verifikation und Validierung. Verifikation prüft, ob der Vorgang fehlerfrei durchgelaufen ist. Validierung entscheidet, ob das Ergebnis für die Sensibilität der Daten genügt.
• Mehrfaches Überschreiben ist nicht nötig. Bei modernen Speichern bringt es kaum Schutz und verkürzt bei Flash-Speichern die Lebensdauer.

Ein Zertifikat mit dem Vermerk „nach NIST 800-88“ sagt daher wenig, solange nicht dasteht, welche Stufe mit welchem Werkzeug erreicht wurde.

Den Löschumfang vor der Reparatur festlegen

Ob gelöscht werden soll, hängt davon ab, wohin das Gerät danach geht. Bekommt ein Kunde seinen reparierten Saugroboter zurück, möchte er seine Karten vielleicht behalten. Wird das Gerät getauscht oder als B-Ware weiterverkauft, müssen die Daten des Vorbesitzers weg. Das gehört in den Auftrag, bevor das erste Gerät auf der Werkbank liegt. Verbrauchern rät das BSI ohnehin, vor einer Reparatur ihre Daten zu sichern.

Für die Vereinbarung sollten Sie mindestens klären:

• Welche Gerätegruppen werden gelöscht, welche bleiben unverändert?
• Welches Verfahren gilt für welche Gruppe?
• Was geschieht mit Geräten, die nicht mehr starten und sich deshalb gar nicht zurücksetzen lassen? Infrage kommen Ausbau und Vernichtung des Speichers oder ein dokumentierter Ausnahmefall.
• Wer veranlasst die Trennung vom Nutzerkonto?

Für Datenschutzverantwortliche kommt die Nachweisfrage hinzu. Die DSGVO verlangt eine angemessene Sicherheit personenbezogener Daten (Art. 5 Abs. 1 lit. f und Art. 32) und verpflichtet den Verantwortlichen, die Einhaltung nachweisen zu können (Art. 5 Abs. 2). Der BSI-Grundschutz fordert bei externen Dienstleistern einen Löschprozess, der „ausreichend sicher und nachvollziehbar“ ist. Welche Pflichten in Ihrem Fall gelten, etwa ob ein Vertrag zur Auftragsverarbeitung nötig ist, klären Sie mit Ihrer Datenschutzberatung. Dieser Beitrag ersetzt keine Rechtsberatung.

Bei PST wird der Löschumfang vor Auftragsbeginn mit dem Auftraggeber festgelegt und dokumentiert.

Was ein Löschnachweis enthalten sollte

Ein Löschnachweis ist ein Datensatz pro Gerät. Die Mindestangaben orientieren sich an der Liste in NIST SP 800-88 Rev. 2. Für vernetzte Geräte kommen Kontokopplung und Ausnahmen hinzu.

Ein Eintrag „auf Werkseinstellungen zurückgesetzt“ enthält davon genau eine Zeile.

Wenn Sie Retouren oder Servicegeräte mit eigenem Speicher an einen Dienstleister geben, lohnt es sich, diese Tabelle vor dem ersten Auftrag gemeinsam durchzugehen. Über Löschumfang und Nachweise für Ihre Gerätegruppen sprechen wir gern mit Ihnen, am einfachsten über unsere Kontaktseite. Welche Aufgaben PST im Rückwärtsprozess übernimmt, steht auf der Seite Retourenmanagement.