Seminar NitroPad Re-Ownership, Factory Reset und Schlüsselwechsel

Re-Ownership baut das Vertrauen in ein NitroPad nach Übergabe, Schlüsselverlust, Neuinstallation oder Sicherheitsvorfall neu auf. Je nach Ausgangslage reicht ein PIN- und Schlüsselwechsel nicht aus; auch LUKS-Recovery-Key, Datenträger-Neuverschlüsselung, TPM und GPG-Anwendung können betroffen sein.

Das Seminar trennt die möglichen Maßnahmen, führt einen kontrollierten Factory-Reset-Prozess durch und prüft den neuen Zustand bis zur Boot- und Datenfreigabe.

Inhaltsübersicht

1. Einordnung und Zielsetzung
2. Zielgruppe und Voraussetzungen
3. Lernziele
4. Seminarinhalte
5. Praxisübungen
6. Methodik

Einordnung und Zielsetzung

Re-Ownership baut das Vertrauen in ein NitroPad nach Übergabe, Schlüsselverlust, Neuinstallation oder Sicherheitsvorfall neu auf. Je nach Ausgangslage reicht ein PIN- und Schlüsselwechsel nicht aus; auch LUKS-Recovery-Key, Datenträger-Neuverschlüsselung, TPM und GPG-Anwendung können betroffen sein. Das Seminar trennt die möglichen Maßnahmen, führt einen kontrollierten Factory-Reset-Prozess durch und prüft den neuen Zustand bis zur Boot- und Datenfreigabe.

Zielgruppe und Voraussetzungen

Zielgruppe: Linux-Administration, IT-Sicherheitsbetrieb, Geräteübergabe, Incident Response und sichere Wiederbereitstellung.

Voraussetzungen: Erfahrung mit Heads, Nitrokey, LUKS und vollständiger Datensicherung; sichere Linux-Grundkenntnisse.

Lernziele

• Anlass und Reichweite einer Re-Ownership bestimmen.
• Daten und Recovery-Zugänge vor dem Reset sichern.
• LUKS-Schlüsselwechsel oder Neuverschlüsselung korrekt auswählen.
• TPM und Nitrokey/GPG neu bereitstellen.
• Bootdateien signieren und neue Baseline erzeugen.

Seminarinhalte

1. Anlass und Entscheidung

Die Maßnahme wird aus dem verbleibenden Vertrauen abgeleitet.

1. Schritt 1: Geräteübergabe, Nitrokey-Verlust, Neuinstallation und Manipulationsverdacht unterscheiden.
2. Schritt 2: Schutzbedarf der vorhandenen Daten und mögliche Kenntnis alter Passphrasen bewerten.
3. Schritt 3: Einfachen Factory Reset, Schlüsselwechsel, Neuverschlüsselung oder Neuinstallation auswählen.
4. Schritt 4: Freigaben, Wartungsfenster und Rückfallplan dokumentieren.

2. Sicherung und Vorbereitung

Vor irreversiblen Schritten werden Daten und Wiederzugänge geprüft.

1. Schritt 1: Vollständiges Backup erstellen und Stichprobe zurücklesen.
2. Schritt 2: Recovery-Medium, Netzteil und Ersatz-Nitrokey bereitstellen.
3. Schritt 3: Aktuellen Firmwarestand und Bootbaseline dokumentieren.
4. Schritt 4: Alte Konten, Zertifikate und Tokenregistrierungen für spätere Sperrung erfassen.

3. LUKS und Datenträgervertrauen

Passphrasewechsel und Neuverschlüsselung werden bewusst getrennt.

1. Schritt 1: Vorhandene LUKS-Schlüsselplätze und Recovery-Zugänge prüfen.
2. Schritt 2: Recovery-Key-Passphrase nach Richtlinie ändern.
3. Schritt 3: Bei höherem Risiko Datenträger neu verschlüsseln oder System neu installieren.
4. Schritt 4: Alte LUKS-Headerbackups als mögliches Restrisiko berücksichtigen.

4. Factory Reset und Bereitstellung

TPM, GPG-Anwendung und Heads-Zustand werden neu aufgebaut.

1. Schritt 1: Nitrokey verbinden und OEM-Factory-Reset beziehungsweise Re-Ownership starten.
2. Schritt 2: Benutzer-, Admin- und TPM-Zugangsdaten nach Richtlinie setzen.
3. Schritt 3: TPM zurücksetzen und GPG-Anwendung neu initialisieren.
4. Schritt 4: OTP-/TOTP-Vertrauenssignal modell- und firmwareabhängig neu erzeugen.
5. Schritt 5: Bootdateien prüfen und signieren.

5. Abschluss und Entzug alter Zugänge

Der neue Zustand wird technisch und organisatorisch abgeschlossen.

1. Schritt 1: Standard-Boot setzen und mehrere Startzyklen prüfen.
2. Schritt 2: Neue Firmware-, Boot-, TPM- und Nitrokey-Baseline dokumentieren.
3. Schritt 3: Alte FIDO2-, SSH-, OpenPGP- oder Dienstregistrierungen sperren.
4. Schritt 4: Gerät erst nach Daten-, Funktions- und Vertrauensprüfung freigeben.

Praxisübungen

• Entscheidungsmatrix für vier Re-Ownership-Szenarien.
• Factory Reset auf einem vorbereiteten Laborgerät.
• LUKS-Schlüsselwechsel, Bootsignierung und neue Baseline.

Methodik

Der Prozess arbeitet mit vollständigen Backups und klaren Abbruchpunkten. Jede Reset- oder Neuverschlüsselungsentscheidung wird vor Ausführung gegen das dokumentierte Risiko geprüft.