BSI-konforme Datenlöschung: Was Unternehmen wirklich riskieren

Jedes Jahr werden in deutschen Unternehmen Millionen von Endgeräten ausgemustert. Laptops. Server. Smartphones. Und mit jedem Gerät, das unzureichend gelöscht den Betrieb verlässt, öffnet sich eine Tür — für Datenpannen, Bußgelder und im schlimmsten Fall für handfeste Industriespionage. Das ist keine Übertreibung. Das ist der Alltag in der ITAD-Branche.

Was erschreckend wenige IT-Verantwortliche wissen: Ein einfaches „Laufwerk formatieren" reicht nicht aus. Nicht nach DSGVO. Nicht nach den BSI-Richtlinien. Und schon gar nicht, wenn ein Auditor auf der Matte steht.

Warum ausrangierte Hardware zur Compliance-Zeitbombe wird

Stellen Sie sich folgendes Szenario vor: Ein Mittelständler aus dem Maschinenbau tauscht 300 Notebooks aus. Die IT-Abteilung löscht die Festplatten intern — mit Windows-Bordmitteln, schnell und ohne Protokoll. Die Hardware geht an einen Händler. Drei Monate später tauchen Kundendaten des Unternehmens im Darknet auf.

Ist das realistisch? Leider ja.

Professionelle Datenrettungstools können auf handelsüblichen HDDs selbst nach einer einfachen Neuformatierung noch Datenfragmente rekonstruieren. Bei SSDs ist die Lage noch tückischer: Wear-Leveling-Algorithmen sorgen dafür, dass bestimmte Speicherbereiche beim Überschreiben schlicht ausgespart werden — die Standard-Löschroutine erreicht diese Sektoren nie. Wer das nicht weiß, löscht in falscher Sicherheit.

Die Datenschutzgrundverordnung (DSGVO) ist da eindeutig: Personenbezogene Daten müssen so gelöscht werden, dass eine Wiederherstellung ausgeschlossen ist. Verstöße werden mit bis zu 4 % des weltweiten Jahresumsatzes geahndet — oder 20 Millionen Euro, je nachdem, was höher ist. Und die Aufsichtsbehörden schauen hin.

Das stille Risiko: Software-Löschung versagt auf beschädigten SSDs

Hier kommt ein Insider-Detail, das in keinem Marketing-Flyer steht.

Software-basierte Löschverfahren — auch zertifizierte — haben eine Achillesferse: Sie funktionieren nur auf einwandfrei lesbaren Datenträgern. Sobald ein Sektor als defekt markiert ist, wird er vom Betriebssystem bei jedem Schreibvorgang gemieden. Das ist gewolltes Verhalten zum Schutz der Hardware. Problem: Genau in diesen remapped sectors können noch vollständige Datenpakete schlummern — unberührt, wiederherstellbar.

Bei einem gut genutzten Unternehmens-Laptop nach vier Jahren Betrieb ist das kein Randfall. Das ist Normalzustand.

Für solche Geräte gibt es nur eine rechtssichere Antwort: physische Datenträgervernichtung nach DIN 66399, kombiniert mit einem lückenlosen Datenvernichtungsprotokoll, das Seriennummern-Tracking und eine vollständige Audit-Trail-Dokumentation umfasst.

Was BSI-konforme Datenlöschung konkret bedeutet

Das Bundesamt für Sicherheit in der Informationstechnik (BSI) hat klare Vorgaben. Die relevante Richtlinie — BSI-Grundschutz Baustein CON.6 — definiert, welche Löschverfahren für welche Schutzbedarfsklassen geeignet sind. Das ist kein Papiertiger.

Drei Kernpunkte, die jeder IT-Verantwortliche kennen muss:

• Schutzbedarfsanalyse zuerst. Nicht jedes Gerät braucht dasselbe Verfahren. Ein Bürodrucker mit zwischengespeicherten Druckaufträgen hat einen anderen Schutzbedarf als ein Entwickler-Notebook mit Source-Code. Die Klassifizierung entscheidet über das Löschverfahren.
• Protokollpflicht ist nicht optional. Ohne revisionssicheres Datenvernichtungsprotokoll — mit Gerätenummer, Datum, Verfahren und Unterschrift — haben Sie im Zweifel nichts in der Hand. Keine Dokumentation, keine Compliance.
• Software-Löschung allein genügt nur unter bestimmten Bedingungen. Bei Normalschutzbedarf und technisch einwandfreien Datenträgern ist sie akzeptabel — aber eben nur dann.

BSI-konforme Datenlöschung umfasst in der Praxis meist eine Kombination: zertifizierte Software-Überschreibung mit mindestens einem Durchlauf nach anerkannten Standards (z. B. NIST 800-88 oder DoD 5220.22-M), gefolgt von einer abschließenden Verifikation. Bei erhöhtem Schutzbedarf kommt die physische Vernichtung hinzu.

Greenwashing im ITAD-Sektor: Ein Wort der Warnung

Nicht jeder Anbieter, der „zertifizierte Datenlöschung" auf seine Website schreibt, hält, was er verspricht. Wir sehen das regelmäßig im Markt.

Vorsicht bei Anbietern, die:

• keine jährlichen externen Audits nachweisen können,
• kein eigenes Seriennummern-Tracking im Wareneingang betreiben,
• Zertifikate zeigen, die sich auf den Betrieb — nicht auf den Löschprozess — beziehen,
• keine eindeutige Zuordnung zwischen Löschprotokoll und Seriennummer liefern.

Ein ordentlicher Audit-Trail beginnt nicht erst beim Löschvorgang. Er beginnt beim Moment der Abholung. Jedes Gerät muss erfasst, etikettiert und physisch nachverfolgt werden — von der Abholung beim Kunden bis zum finalen Zertifikat. Kein Bruch in der Kette. Kein Spielraum.

Der Second IT Ansatz: Lifecycle-Ende ohne Compliance-Risiko

Second IT hat sich auf genau diesen kritischen Punkt spezialisiert: den sicheren, revisionssicheren Übergang vom aktiven IT-Betrieb in den Remarketing-Prozess oder die fachgerechte Entsorgung — als zertifizierter Entsorgungsfachbetrieb mit mehrfach geprüften Prozessen.

Was das in der Praxis bedeutet:

Abholung mit Lückenlosigkeit. Die hauseigene Logistik von Second IT übernimmt den Transport. Jedes Gerät wird beim Wareneingang per Seriennummern-Tracking erfasst und einem Auftrag zugeordnet. Keine Geräte gehen verloren. Kein Gerät verlässt die Kontrolle.

Zertifizierte Softwarelöschung mit Blancco. Second IT setzt auf Blancco — eine der führenden Löschsoftware-Lösungen mit BSI-anerkanntem Verfahren. Nach der Löschung wird automatisch ein maschinenlesbares Zertifikat generiert, das Seriennummer, Datum, Methode und Ergebnis dokumentiert. Das ist Ihre Grundlage für den Audit-Trail.

Physische Datenträgervernichtung für erhöhten Schutzbedarf. Für Geräte, bei denen BSI-konforme Datenlöschung per Software nicht ausreicht — defekte Datenträger, verschlüsselte SSDs mit unklarer Vergangenheit, besonders schutzwürdige Daten — übernimmt Second IT die zertifizierte Vernichtung nach DIN 66399.

Vollständiger Audit-Bericht. Am Ende erhält der Auftraggeber einen lückenlosen Bericht: welches Gerät, welche Seriennummer, welches Löschverfahren, welches Ergebnis. Revisionssicher. DSGVO-konform. Belastbar vor jeder Datenschutzbehörde.

Was mit der Hardware nach der Löschung passiert

Das ist der Punkt, an dem ITAD aufhört, nur Pflichtübung zu sein — und wirtschaftlich interessant wird.

Geräte, die den Remarketing-Prozess durchlaufen können, werden von Second IT aufbereitet, geprüft und über eigene Vertriebskanäle vermarktet. Der Erlös fließt zurück an den Auftraggeber. CashBack statt Entsorgungskosten. Das rechnet sich, gerade bei größeren Hardwareflotten.

Geräte, die nicht mehr remarketing-fähig sind, werden als Entsorgungsfachbetrieb umweltgerecht und normkonform verwertet — mit entsprechendem Entsorgungsnachweis.

Fazit: Compliance ist keine Frage des Aufwands

IT-Sicherheit endet nicht mit dem letzten Patch. Sie endet mit dem letzten Bit, das unwiderruflich vernichtet wurde.

Wer BSI-konforme Datenlöschung intern abbilden möchte, braucht zertifizierte Software, geschultes Personal, lückenlose Dokumentation, ein Seriennummern-System und ein revisionssicheres Protokollwesen. Das ist machbar — aber teuer und fehleranfällig.

Oder man beauftragt einen spezialisierten Partner wie Second IT, der diesen Prozess täglich betreibt, mehrfach jährlich extern auditiert wird und den gesamten Lifecycle von der Abholung bis zum Zertifikat aus einer Hand liefert. Ohne Lücken. Ohne Ausreden. Ohne Bußgeldrisiko.

FAQ: Häufig gestellte Fragen zur BSI-konformen Datenlöschung

Was genau versteht man unter BSI-konformer Datenlöschung, und welche gesetzlichen Grundlagen gelten in Deutschland?

BSI-konforme Datenlöschung bezeichnet Verfahren zur unwiederbringlichen Entfernung personenbezogener und vertraulicher Daten von Datenträgern, die den Vorgaben des Bundesamts für Sicherheit in der Informationstechnik entsprechen — insbesondere dem BSI-Grundschutz-Baustein CON.6. Rechtliche Grundlage ist die Datenschutzgrundverordnung (DSGVO), konkret Art. 5 Abs. 1 lit. e (Speicherbegrenzung) und Art. 25 (Datenschutz durch Technikgestaltung). Ergänzend gelten für bestimmte Branchen die Anforderungen des BDSG sowie sektorspezifische Vorgaben wie die BSI-KritisV für Betreiber kritischer Infrastrukturen. Ein fehlendes oder unvollständiges Löschkonzept gilt als Datenschutzverstoß.

Warum reicht einfaches Formatieren oder Löschen in Windows nicht für eine DSGVO-konforme Datenlöschung aus?

Ein einfaches Formatieren löscht lediglich die Verzeichnisstruktur — die eigentlichen Daten verbleiben auf dem Datenträger und sind mit handelsüblichen Recovery-Tools wiederherstellbar. Bei SSDs kommen zusätzlich Wear-Leveling-Mechanismen ins Spiel: Bestimmte Speicherzellen werden beim Überschreiben systematisch ausgespart, weil sie vom Controller als remapped sectors verwaltet werden. Diese Bereiche enthalten häufig vollständige Datenpakete, die eine einfache Löschroutine nie erreicht. Eine DSGVO-konforme Löschung erfordert zertifizierte Überschreibverfahren oder physische Vernichtung — plus lückenlose Protokollierung.

Wie läuft eine professionelle, zertifizierte Datenlöschung bei einem ITAD-Dienstleister wie Second IT konkret ab?

Der Prozess beginnt mit der gesicherten Abholung durch eigene Logistik, gefolgt von der Wareneingangserfassung mit Seriennummern-Tracking. Jedes Gerät wird individuell einem Auftrag zugeordnet. Die Löschung erfolgt mit zertifizierter Software — bei Second IT Blancco — nach einem BSI-anerkannten Verfahren. Nach erfolgreichem Abschluss wird automatisch ein digitales Löschzertifikat generiert, das Gerät, Methode, Datum und Ergebnis dokumentiert. Geräte, bei denen die Software-Löschung technisch nicht sicher möglich ist, werden physisch nach DIN 66399 vernichtet. Der Auftraggeber erhält einen vollständigen Audit-Bericht.

Wann ist physische Datenträgervernichtung der software-basierten Löschung vorzuziehen?

Physische Vernichtung ist immer dann die richtige Wahl, wenn: (1) der Datenträger defekte Sektoren aufweist, die von der Löschsoftware nicht erreicht werden; (2) es sich um Geräte mit erhöhtem oder hohem Schutzbedarf handelt, z. B. aus dem Bereich Personalwesen, F&E oder Gesundheit; (3) die Hardware so stark beschädigt ist, dass keine verlässliche Löschverifikation möglich ist; oder (4) interne Compliance-Richtlinien eine lückenlose physische Vernichtung vorschreiben. Nach DIN 66399 gibt es sieben Sicherheitsstufen — welche davon greift, hängt von der Schutzbedarfsklasse der gespeicherten Daten ab.

Wie kann mein Unternehmen sicherstellen, dass ein externer ITAD-Dienstleister wirklich BSI-konform arbeitet und nicht nur zertifiziert auf dem Papier ist?

Achten Sie auf drei Punkte: Erstens, externe Audits — ein seriöser Anbieter lässt seinen Löschprozess mindestens einmal jährlich durch eine unabhängige Stelle prüfen und kann aktuelle Zertifikate vorweisen, die sich explizit auf den Datenlöschprozess beziehen. Zweitens, Seriennummern-Tracking vom ersten Moment an — jedes Gerät muss ab Wareneingang lückenlos nachverfolgbar sein. Drittens, maschinenlesbare Einzelzertifikate pro Gerät — nicht nur ein pauschales Sammelprotokoll. Fragen Sie explizit nach dem Format des Audit-Trail-Berichts und danach, wie die Zuordnung zwischen Seriennummer und Löschzertifikat sichergestellt wird.