Blancco: Zertifizierte Datenlöschung für Unternehmen

Datenlöschung für Unternehmen: Zertifizierung, Compliance und Praxis

Wenn Server, Notebooks oder Storage-Systeme das Ende ihres Lebenszyklus erreichen, entscheidet sich an einem einzigen Punkt, ob ein Unternehmen ein Sicherheitsrisiko eingeht oder nicht: bei der Datenlöschung. Viele IT-Verantwortliche verlassen sich auf einfache Formatierungen oder pauschale Zusicherungen von Entsorgungsdienstleistern. Genau hier entstehen häufig Probleme, die erst bei einer Prüfung durch den Datenschutzbeauftragten oder im Rahmen eines ISO-27001-Audits sichtbar werden. Blancco hat sich in der Praxis als Lösung für nachvollziehbare Datenlöschung etabliert, weil die Software detaillierte Löschberichte erstellt. Second IT setzt diese Technologie im Rahmen der IT Asset Disposition ein, um Unternehmen diese Nachweisbarkeit zu geben.

Was zertifizierte Datenlöschung leisten muss

Ein professioneller Löschbericht muss mehr enthalten als die Bestätigung „Löschung erfolgreich“. Er dokumentiert beispielsweise Seriennummer, Löschmethode, Zeitstempel und das verwendete Verfahren nach anerkannten Standards. Blancco erzeugt solche Nachweise automatisiert und ermöglicht eine eindeutige Zuordnung zum jeweiligen Gerät.

Unsere Erfahrung zeigt: Unternehmen, die bei einem Audit keine lückenlosen Löschnachweise vorlegen können, geraten schnell in Erklärungsnot – unabhängig davon, ob tatsächlich ein Datenverlust vorliegt. Die reine Behauptung einer sicheren Löschung reicht als Dokumentation nicht aus.

Warum reine Formatierung nicht ausreicht

Eine Formatierung entfernt in der Regel vor allem Dateisysteminformationen, während die zugrunde liegenden Daten unter bestimmten Umständen weiterhin wiederherstellbar sein können. Mit geeigneten Recovery-Verfahren lassen sich Informationen teilweise rekonstruieren. Bei SSDs kommt hinzu, dass Wear-Leveling-Mechanismen dafür sorgen, dass klassische Überschreibverfahren technisch anders funktionieren können.

Dieser Punkt wird oft unterschätzt, besonders bei der Ausmusterung großer Serverflotten. Wer hier auf ungeeignete Standardmethoden setzt, riskiert den Verlust vertraulicher Geschäftsdaten, sobald die Hardware weiterverkauft oder anderweitig weitergegeben wird.

Drei Erkenntnisse, die selten thematisiert werden

Erstens: Ein Löschzertifikat ist nur so viel wert wie seine Nachvollziehbarkeit

Ein Löschzertifikat ist besonders dann wertvoll, wenn der Nachweis eindeutig einem konkreten Gerät zugeordnet werden kann. Dazu gehören beispielsweise Seriennummer, Löschmethode und Zeitpunkt der Durchführung.

Zweitens: Chain of Custody endet nicht bei der Abholung

Viele Unternehmen bemerken erst im Audit, dass die Lücke zwischen Geräteausbau und tatsächlicher Löschung nicht dokumentiert wurde. Eine nachvollziehbare Chain of Custody hilft dabei, Verantwortlichkeiten und Prozessschritte vom Abtransport bis zur Löschung zu dokumentieren.

Drittens: Restwert und Datensicherheit stehen nicht im Widerspruch

Fachgerecht gelöschte Hardware lässt sich unter geeigneten Voraussetzungen weiterverwenden oder remarketen. Wer aus Vorsicht grundsätzlich physisch zerstört, verliert dagegen den möglichen Restwert der Hardware.

Fünf typische Fehler bei der Datenlöschung

1. Löschung ohne dokumentierten Prozess. Passiert, weil interne IT-Teams unter Zeitdruck stehen. Folge: kein belastbarer Nachweis im Ernstfall. Vermeidung: standardisierte, softwaregestützte Löschprozesse mit automatischer Protokollierung.

2. Vertrauen auf mündliche Zusagen von Entsorgern. Ohne schriftliche und gerätespezifische Nachweise bleibt die Dokumentation des Löschprozesses unvollständig.

3. Fehlende Trennung zwischen Löschung und Zerstörung. Nicht jedes Gerät muss zerstört werden. Je nach Gerät und Sicherheitsanforderung kann eine geeignete zertifizierte Löschung ausreichen und gleichzeitig den Restwert erhalten.

4. Keine Erfassung der Asset-Historie. Ohne lückenlose Zuordnung von Gerät zu Löschnachweis wird eine spätere Prüfung deutlich aufwendiger.

5. Unterschätzung mobiler Endgeräte. Smartphones und Tablets enthalten oft ebenso sensible Daten wie Server oder Notebooks und sollten deshalb in die Löschstrategie einbezogen werden.

Praktische Checkliste vor der Auswahl eines Anbieters

• Werden Löschberichte pro Gerät und nicht nur pauschal ausgestellt?
• Ist die eingesetzte Software für den jeweiligen Anwendungsfall geeignet und anerkannte Standards wie NIST 800-88 berücksichtigt?
• Wird eine lückenlose Chain of Custody vom Abtransport bis zur Löschung dokumentiert?
• Erfolgt die Löschung vor Ort oder in einer kontrollierten Umgebung mit nachvollziehbaren Zugriffs- und Prozessprotokollen?
• Sind die Nachweise für interne Audits und relevante Compliance-Prüfungen sinnvoll verwendbar?

Vergleich der gängigen Löschmethoden

Methode	Nachweisbarkeit	Hardware bleibt nutzbar	Eignung für Enterprise-Audits
Blancco-zertifizierte Löschung	Sehr hoch	Ja	Sehr hoch
Physische Zerstörung	Mittel	Nein	Mittel
Degaussing	Mittel	Nein	Niedrig bis mittel
Formatierung / Werksreset	Niedrig	Ja	Niedrig

Mini-Fallbeispiel aus der Praxis

Ein mittelständischer Maschinenbauer in Baden-Württemberg tauschte im Rahmen eines Infrastruktur-Refresh rund 80 Server aus. Die interne IT ging davon aus, dass eine RAID-Neukonfiguration als Löschung ausreicht. Beim internen Audit fiel auf, dass keine gerätespezifischen Nachweise existierten – nur eine allgemeine Freigabeliste.

Die Geschäftsführung entschied sich daraufhin, den gesamten Prozess über einen ITAD-Partner mit zertifizierter Löschsoftware abzuwickeln. Ergebnis: lückenlose Berichte pro Serial Number, zusätzlicher Erlös durch Remarketing der noch funktionsfähigen Hardware und eine bessere Dokumentation für den weiteren Audit-Prozess.

Die Lehre daraus: Dokumentation ist kein administrativer Zusatzaufwand, sondern ein wichtiges Sicherheitsmerkmal.

Drei Experten-Tipps

Tipp 1: Verlangen Sie Musterberichte

Verlangen Sie Musterberichte, bevor Sie einen Vertrag unterschreiben. Ein seriöser Anbieter sollte Ihnen anonymisierte Beispiele zeigen können. So können Sie prüfen, ob die enthaltenen Informationen zu Ihren Anforderungen passen.

Tipp 2: Integration ins Asset Management prüfen

Prüfen Sie, ob die Blancco-Berichte in Ihr eigenes Asset-Management-System importierbar sind. Das kann bei internen Audits doppelte Dokumentationsarbeit reduzieren.

Tipp 3: Stichprobenkontrollen einbauen

Auch bei zertifizierter Software lohnt es sich, gelegentlich einzelne Geräte gegen die Löschprotokolle zu verifizieren.

Was Unternehmen jetzt tun sollten

Wer aktuell keinen dokumentierten Löschprozess mit nachvollziehbarer Nachweisführung hat, sollte die eigenen Abläufe überprüfen. Ein klar definierter Prozess verbindet Verantwortlichkeiten, Gerätezuordnung, Löschverfahren und Dokumentation.

Wer frühzeitig auf revisionssichere Löschzertifikate setzt, kann seine IT-Ausmusterung nachvollziehbarer dokumentieren und gleichzeitig die Voraussetzungen für ein mögliches Remarketing geeigneter Hardware erhalten.

Second IT übernimmt diesen Prozess für Unternehmen, die ihre IT-Ausmusterung sauber, nachvollziehbar und mit klarer Verantwortungskette abwickeln möchten – von der Abholung bis zum finalen Löschnachweis.

Fazit

Datenlöschung ist kein Nebenschauplatz der IT-Entsorgung, sondern ein zentraler Bestandteil eines kontrollierten IT-Asset-Prozesses. Zertifizierte Verfahren wie Blancco können die Nachweisbarkeit unterstützen und gleichzeitig den wirtschaftlichen Wert geeigneter Hardware erhalten.

Unternehmen, die diesen Prozess sauber dokumentieren, schaffen eine bessere Grundlage für interne Kontrollen, Audits und die nachvollziehbare Weiterverwendung ihrer IT-Hardware.

FAQ

FAQ 1: Reicht eine einfache Formatierung für die DSGVO-konforme Löschung aus?

Eine einfache Formatierung sollte nicht pauschal mit einer sicheren und nachvollziehbar dokumentierten Datenlöschung gleichgesetzt werden. Unternehmen sollten ein für den jeweiligen Speichertyp geeignetes Löschverfahren einsetzen und die Durchführung entsprechend dokumentieren.

FAQ 2: Wie lange sollten Löschzertifikate aufbewahrt werden?

Eine allgemeingültige gesetzliche Aufbewahrungsfrist für sämtliche Löschzertifikate lässt sich nicht pauschal festlegen. Unternehmen sollten ihre individuellen gesetzlichen, vertraglichen und internen Compliance-Anforderungen berücksichtigen. Wichtig ist insbesondere, dass die Berichte einem konkreten Gerät zugeordnet werden können.

FAQ 3: Können SSDs genauso sicher gelöscht werden wie klassische Festplatten?

Ja, sofern ein für Flash-Speicher geeignetes Löschverfahren verwendet wird. Aufgrund von Wear-Leveling und der internen Speicherverwaltung können herkömmliche Überschreibverfahren bei SSDs anders funktionieren als bei klassischen Festplatten. Deshalb ist die Wahl des passenden Verfahrens entscheidend.

FAQ 4: Lohnt sich zertifizierte Löschung finanziell gegenüber physischer Zerstörung?

Das hängt vom jeweiligen Gerät, Zustand, Marktwert und Sicherheitsbedarf ab. Ein wesentlicher wirtschaftlicher Vorteil kann darin liegen, dass funktionsfähige Hardware nach geeigneter Datenlöschung weiterhin wiederverwendet oder remarketet werden kann.

FAQ 5: Was passiert, wenn ein Auditor die Löschnachweise anzweifelt?

Dann ist eine nachvollziehbare Dokumentation besonders wichtig. Ein gerätespezifischer Bericht mit Informationen wie Seriennummer, Zeitpunkt und angewandtem Verfahren ermöglicht eine deutlich bessere Prüfung als eine pauschale Bestätigung ohne Gerätezuordnung.