Festplatten-Vernichtung im Unternehmen: Was wirklich auf dem Spiel steht – und wie Sie es richtig machen

Der Moment, in dem eine alte Festplatte zum Albtraum wird

Stellen Sie sich vor: Ein ehemaliger Mitarbeiter Ihres Unternehmens kauft auf einem Flohmarkt einen gebrauchten Laptop. Er steckt die eingebaute SSD in seinen Rechner, startet eine kostenlose Recovery-Software – und findet innerhalb von Minuten Tausende Kundendatensätze, interne Kalkulationen, HR-Akten. Alles lesbar. Alles verwertbar.

Kein hypothetisches Szenario. In Deutschland wurden in den letzten Jahren mehrfach genau solche Vorfälle publik. Unternehmen, die Hardware einfach verkauft, an Mitarbeiter weitergegeben oder in die Elektroschrott-Tonne geworfen haben – ohne dokumentierte Vernichtung von Festplatten. Die Folge: Bußgelder nach Art. 83 DSGVO, Reputationsschaden, Staatsanwaltschaft.

Wer glaubt, ein schnelles Format reiche aus, irrt fundamental.

Warum „Löschen" nicht gleich Vernichten ist

Das ist der Punkt, den viele IT-Verantwortliche unterschätzen – manchmal, weil es ihnen niemand klar erklärt hat.

Ein normales Formatieren überschreibt lediglich die Dateizuordnungstabelle. Die eigentlichen Datenblöcke auf einer HDD bleiben physisch erhalten. Mit forensischen Standardwerkzeugen wie Autopsy oder FTK – frei verfügbar, keine Hacker-Kenntnisse nötig – lassen sich diese Daten in vielen Fällen vollständig wiederherstellen.

Bei SSDs ist die Situation noch tückischer. Flash-Speicher arbeitet mit Wear-Leveling-Algorithmen: Der Controller verteilt Schreibvorgänge über alle Speicherzellen, um deren Lebensdauer zu verlängern. Das bedeutet konkret – selbst mehrfache Software-Löschläufe nach DoD-5220.22-M oder Blancco-Standard erreichen bei defekten oder stark abgenutzten SSDs nicht alle Speicherbereiche. Reservezellen, die der Controller aus dem aktiven Pool genommen hat, bleiben physisch beschreibbar – und lesbar. Software kommt da nicht ran. Physische Zerstörung schon.

Die drei Methoden im Vergleich

Softwarebasierte Datenlöschung Geeignet für funktionsfähige Laufwerke, die weitervermarktet werden sollen. Voraussetzung: vollständige Laufwerksintegrität, lückenloser Audit-Trail mit Seriennummern-Tracking, zertifizierter Löschbericht pro Gerät. Ohne diese Dokumentation ist der Prozess aus DSGVO-Sicht wertlos.

Degaussierung Hochleistungsmagnetfelder zerstören die magnetische Ausrichtung auf HDDs irreversibel. Für SSDs, Smartphones oder Flash-Medien jedoch vollständig wirkungslos – die Physik dahinter ist eine andere. Ein Degausser, der an der falschen Hardware eingesetzt wird, suggeriert Sicherheit, die nicht existiert.

Physische Schredderung Der einzige Weg, der bei jedem Medientyp – HDD, SSD, NVMe, USB-Stick, Magnetband – eine absolute Sicherheit bietet. Nach DIN 66399 gibt es sieben Schutzklassen. Für personenbezogene Daten nach DSGVO empfiehlt das BSI mindestens Klasse H-5, was eine Partikelgröße von unter 30 mm² vorschreibt.

Was das BSI wirklich vorschreibt – und was gerne verschwiegen wird

Die BSI-Technische Richtlinie TR-03161 sowie das BSI-Grundschutzkompendium (Baustein CON.6) geben klare Anforderungen vor. Doch in der Praxis sehen wir bei Second IT immer wieder Unternehmen, die sich auf Zertifikate verlassen, die einer näheren Prüfung nicht standhalten.

Ein Beispiel: Manche Anbieter werben mit „ISO 27001-zertifizierter Datenlöschung". ISO 27001 ist ein Managementsystem-Standard. Er sagt nichts darüber aus, ob die eigentliche Vernichtung von Festplatten technisch korrekt durchgeführt wurde. Der Zertifizierungsrahmen definiert Prozesse, nicht Ergebnisse. Wer das nicht unterscheidet, kauft möglicherweise ein schickes Zertifikat – aber keine echte Sicherheit.

Achten Sie stattdessen auf:

• DEKRA- oder TÜV-geprüfte Vernichtungsprozesse mit Videonachweis
• DIN-66399-konforme Schredderung mit Partikelgrößennachweis
• Zertifikat als Entsorgungsfachbetrieb nach § 56 KrWG
• Individuelle Datenvernichtungsprotokolle pro Seriennummer – nicht pauschal pro Charge

Letzteres ist entscheidend. Beim nächsten Datenschutz-Audit oder einer Anfrage der Aufsichtsbehörde müssen Sie nachweisen, welches spezifische Gerät wann und wie vernichtet wurde. „Wir haben das an einen Dienstleister gegeben" reicht nicht.

Der versteckte Kostenfaktor: Was eine fehlende Dokumentation wirklich kostet

Bußgelder nach DSGVO können bis zu 4 % des weltweiten Jahresumsatzes betragen. Das ist bekannt. Weniger diskutiert wird der operative Schaden.

Ein Datenleck durch eine falsch entsorgten Festplatte löst in der Regel folgende Kaskade aus: Meldepflicht an die zuständige Datenschutzbehörde innerhalb von 72 Stunden (Art. 33 DSGVO), Information betroffener Personen, forensische Untersuchung durch externe Spezialisten, Anwaltskosten, eventuelle Schadensersatzansprüche Dritter. Selbst wenn kein Bußgeld fällt – der Aufwand kostet schnell sechsstellig.

Hinzu kommt das Reputationsrisiko. In der DACH-Region sind B2B-Beziehungen stark vertrauensbasiert. Ein Datenleck, das durch nachlässige Hardware-Entsorgung entsteht, ist in Branchenmedien innerhalb von Stunden bekannt. Das lässt sich nicht wegkommunizieren.

Wie Second IT den Prozess strukturiert – von der Abholung bis zum Zertifikat

Second IT arbeitet als zertifizierter Entsorgungsfachbetrieb und hat den gesamten ITAD-Prozess so aufgebaut, dass IT-Verantwortliche keine einzige Lücke im Audit-Trail haben.

Schritt 1: Abholung mit lückenlosem Seriennummern-Tracking

Jedes Gerät wird bei der Abholung einzeln erfasst, fotografiert und per Seriennummer registriert. Kein Gerät verschwindet in einer Sammelkiste ohne Dokumentation. Das schützt Sie – und uns.

Schritt 2: Klassifizierung und Methodenentscheidung

Nicht jede Festplatte braucht denselben Vernichtungsweg. Funktionierende HDDs aus internen Netzwerken können – wenn gewünscht – nach NIST-800-88-Standard softwarebasiert gelöscht und im Remarketing-Prozess weitervermarktet werden. Der Erlös fließt direkt an den Kunden zurück. Defekte oder sicherheitskritische Laufwerke gehen direkt in die physische Schredderung.

Schritt 3: Zertifizierte Vernichtung mit Videoprotokoll

Die Vernichtung von Festplatten erfolgt in gesicherten Räumlichkeiten, kameraüberwacht, mit DIN-66399-konformen Schredderanlagen. Jeder Vorgang wird protokolliert. Das Ergebnis ist ein individuelles Datenvernichtungsprotokoll pro Seriennummer – kein pauschales Batch-Zertifikat.

Schritt 4: Nachweis und Audit-Trail für Ihre Compliance-Abteilung

Sie erhalten ein vollständiges Dokumentenpaket: Vernichtungsnachweis, Entsorgungsbeleg, Verwertungsnachweis nach ElektroG – alles revisionssicher und aufsichtsbehördentauglich.

Was Greenwashing-Zertifikate im ITAD-Markt verschleiern

Ein kurzer Einblick hinter die Kulissen: Der ITAD-Markt in Deutschland ist nicht homogen reguliert. Es gibt Anbieter, die mit Begriffen wie „CO₂-neutral", „klimafreundlich" oder „ökologisch zertifiziert" werben – aber keine einzige Angabe machen, wie die eigentliche Datensicherheit gewährleistet wird.

Das ist kein Zufall. Greenwashing-Zertifikate lenken vom Kernthema ab. Für einen CTO oder IT-Manager ist aber nicht primär relevant, ob ein Laufwerk umweltfreundlich entsorgt wird – sondern ob die darauf befindlichen Daten nachweislich und unwiderruflich vernichtet wurden. Beides schließt sich nicht aus, aber die Priorität ist klar.

Fragen Sie jeden potenziellen Dienstleister direkt: „Können Sie mir für jede einzelne Seriennummer ein individuelles Vernichtungsprotokoll ausstellen?" Wenn die Antwort zögert oder ausweicht – wissen Sie Bescheid.

FAQ: Vernichtung von Festplatten – Was IT-Manager wirklich wissen wollen

Wie lange dauert es, bis ich nach der Abholung mein Datenvernichtungsprotokoll erhalte?

Bei Second IT erhalten Kunden ihr vollständiges Datenvernichtungsprotokoll in der Regel innerhalb von fünf bis zehn Werktagen nach Abschluss des Vernichtungsprozesses. Das Dokument enthält für jede einzelne Seriennummer den Vernichtungsnachweis, das verwendete Verfahren und den Zeitstempel. Für Unternehmen mit laufenden Datenschutz-Audits bieten wir auf Anfrage auch eine beschleunigte Bereitstellung an. Wichtig: Ein pauschales Sammelzertifikat genügt für die meisten DSGVO-Audits nicht – bestehen Sie auf seriennummerngenauen Nachweisen.

Ist eine softwarebasierte Datenlöschung nach NIST 800-88 wirklich DSGVO-konform?

Ja – aber nur unter bestimmten Voraussetzungen. Das Laufwerk muss vollständig funktionsfähig sein, alle Speichersektoren müssen erreichbar sein, und der Prozess muss mit einem individuellen, zertifizierten Löschprotokoll dokumentiert werden. Bei SSDs mit Wear-Leveling-Schäden, bei NVMe-Laufwerken mit Controller-Fehler oder bei Geräten mit S.M.A.R.T.-Warnungen ist eine softwarebasierte Löschung nicht verlässlich. In diesen Fällen ist physische Schredderung nach DIN 66399 H-5 die einzige rechtssichere Option.

Was passiert mit den Festplatten nach der Vernichtung – wie wird die Hardware entsorgt?

Nach der physischen Schredderung werden die Materialfraktionen (Aluminium, Stahl, Platinen, Seltenerdmetalle) sortenrein getrennt und an zertifizierte Recyclingunternehmen weitergeleitet. Second IT stellt dabei sicher, dass die gesamte Entsorgungskette den Anforderungen des Elektro- und Elektronikgerätegesetzes (ElektroG) entspricht. Sie erhalten einen Verwertungsnachweis, der auch für Ihre ESG-Berichterstattung nutzbar ist. Hardware, die für den Remarketing-Prozess geeignet ist, wird aufbereitet und datenschutzkonform weitervermarktet – der Erlös fließt an Ihren Betrieb zurück.

Können wir die Festplattenvernichtung direkt in unserem Rechenzentrum durchführen lassen?

Ja. Second IT bietet On-Site-Vernichtung direkt in Ihrem Rechenzentrum oder Ihren Büroräumen an. Mobile Schredderanlagen ermöglichen die physische Zerstörung vor Ort, kameraüberwacht und mit sofortiger Protokollierung. Das ist besonders relevant für Unternehmen, bei denen interne Compliance-Vorgaben oder Vertragsklauseln den Transport von Datenträgern außer Haus untersagen – zum Beispiel im Banken- und Versicherungssektor oder bei Behörden.

Wie unterscheidet sich die Vernichtung nach Schutzklasse H-4 und H-5 – und welche brauche ich?

DIN 66399 definiert Schutzklassen anhand der Datensensitivität. Klasse H-4 erlaubt Partikelgrößen bis 160 mm² – ausreichend für normal-vertrauliche interne Dokumente. Klasse H-5 (max. 30 mm²) ist die BSI-Empfehlung für personenbezogene Daten, Gesundheitsdaten, Zahlungsinformationen und alle Daten, die unter die DSGVO-Schutzkategorien nach Art. 9 fallen. Für die meisten Unternehmenskunden im B2B-Bereich ist H-5 der Standardfall. Bei Behörden mit Verschlusssachen-Einstufung kann H-6 oder H-7 erforderlich sein. Second IT berät individuell und dokumentiert die verwendete Schutzklasse im Vernichtungsprotokoll.