Logo

Whitepaper zu Sicherheit und Datenschutz (Übersicht)Kapitel 6

Kapitel 6 Datenlebenszyklus und Löschung

Dieses Kapitel definiert den Lebenszyklus verschlüsselter Daten (Chiffretext-Chunks und Manifeste): Erstellung, Aufbewahrung, Ablauf und Löschung. Ziel ist ein vorhersehbares Verhalten für Nutzer und Prüfer unter Wahrung der Zero-Knowledge-Grenzen.

6.1 Datenkategorien

  • Chiffretext-Chunks: verschlüsselte Dateiteile, die im Objektspeicher abgelegt sind.
  • Manifest: öffentliche Parameter, die für Download/Zusammenführung benötigt werden (kein CEK).
  • Status: Autorisierung, Fortschritt, TTL, Widerrufs-Flags und minimale Zustellnachweise.

6.2 Semantik der Löschung

  • Eine vom Absender ausgelöste Löschung/ein Widerruf MUSS dazu führen, dass jeder weitere Zugriff fehlschlägt (Tokens werden ungültig / der Status verweigert den Zugriff).
  • Eine Löschung SOLLTE, wo machbar, die Bereinigung zugehöriger Objekte (Chunks/Manifest) auslösen.
  • Das Systemverhalten MUSS für Empfänger konsistent sein: Widerrufene/abgelaufene Transfers sollten einen klaren Grund anzeigen.

6.3 Ablaufrichtlinie & automatische Bereinigung

6.3.1 Auslöser für den Ablauf

  • Transfers SOLLTEN eine expiresAt-Richtlinie haben (planbasierte Aufbewahrung oder vom Nutzer gewählte TTL).
  • Nach dem Ablauf MUSS der Zugriff verweigert werden, auch wenn der Chiffretext vorübergehend noch vorhanden ist.

6.3.2 Automatische Bereinigung

  • Die Bereinigung im Hintergrund SOLLTE abgelaufene Chunks/Manifeste innerhalb eines angemessenen Zeitfensters löschen.
  • Die Bereinigung sollte robust gegenüber Wiederholungsversuchen und Teilausfällen sein (idempotentes Löschen).

6.3.3 UX-Vorgaben nach dem Ablauf

  • Empfänger MÜSSEN einen eindeutigen Status „Abgelaufen“ und den nächsten Schritt (Absender kontaktieren) sehen.
  • Absender SOLLTEN in der Verwaltungsoberfläche zwischen „abgelaufen“ und „widerrufen“ unterscheiden können.

6.4 Für Nutzer sichtbare Garantien

  • Löschung/Widerruf MUSS für die Zugriffskontrolle sofort wirksam werden (Fail-Closed).
  • Die physische Löschung aus dem Speicher DARF zeitversetzt erfolgen; der Zugriff muss jedoch verweigert bleiben, ohne dass er wieder freigeschaltet wird.
  • Logs und Nachweise müssen minimal bleiben und dürfen keine Geheimnisse (Fragmente/CEK) enthalten.

6.5 Zugehörige Claim-IDs