Datenträger sicher vernichten: Leitfaden für IT-Verantwortliche

Datenträger sicher vernichten: Compliance, Nachweis und Restwert im Griff

Wenn ein Rechenzentrum konsolidiert wird oder ein Leasingvertrag ausläuft, landen innerhalb weniger Tage Hunderte Festplatten, SSDs und Server-Controller im Sammelcontainer. Fehlt dann ein belastbarer Prozess, droht mehr als ein Datenschutzvorfall. Eine professionelle Datenträgervernichtung muss technisch wirksam sein, revisionssicher dokumentiert werden und zum restlichen IT-Lifecycle passen. Dieser Beitrag zeigt IT-Leitern, Einkäufern und Datenschutzbeauftragten, worauf es bei Auswahl, Nachweis und der Entscheidung zwischen Vernichten und Löschen ankommt.

Kurzantwort: So werden Datenträger in Unternehmen sicher vernichtet

Datenträger werden in Unternehmen sicher vernichtet, indem sie nach Schutzklasse und Datenträgerart eingestuft, mit lückenloser Dokumentation abgeholt und nach DIN 66399 mechanisch zerstört werden. Ein Auftragsverarbeitungsvertrag, ein seriennummerngenauer Vernichtungsnachweis und die Zuordnung zum Anlagenverzeichnis machen den Vorgang gegenüber Aufsichtsbehörde und Auditoren belegbar.

Vernichten oder löschen: Die Entscheidung vor dem Prozess

Nicht jeder Datenträger gehört in den Schredder. Defekte Platten, Medien ohne Löschzugriff und Datenträger mit hohem Schutzbedarf werden mechanisch zerstört. Funktionsfähige Server, Notebooks und Enterprise-SSDs lassen sich dagegen zertifiziert löschen, etwa mit Blancco und nach den Verfahren der NIST 800-88. So bleibt der Restwert erhalten.

Hier liegt ein oft übersehener Werttreiber: Pauschale Vernichtung zerstört auch verkaufsfähige Hardware. Sinnvoll ist ein gestuftes Vorgehen. Zuerst die Löschung mit Bericht, mechanische Vernichtung nur als Fallback, wenn die Löschung fehlschlägt. Der Löschbericht zeigt dann pro Gerät, welcher Weg gewählt wurde.

Was DIN 66399 regelt und was nicht

Die DIN 66399 (international ISO/IEC 21964) ordnet Daten drei Schutzklassen zu und kennt sieben Sicherheitsstufen. Datenträger werden nach Kategorien unterschieden, etwa H für Festplatten und E für elektronische Medien wie SSDs und USB-Sticks. Eine gesetzliche Pflicht zur Anwendung enthält die Norm nicht. Sie dient als anerkannter Maßstab für die technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO. Orientierungshilfen von Datenschutzaufsichten ordnen personenbezogene Daten in der Regel Sicherheitsstufe 3 oder höher zu.

Ein Praxispunkt: SSDs sind keine Festplatten. Flash-Chips sind winzig, und eine für HDDs eingestellte Zerkleinerung kann intakte Speicherbausteine übrig lassen. Prüfen Sie deshalb, ob das Zertifikat Kategorie und Sicherheitsstufe nennt. Der Hinweis „geschreddert“ genügt nicht.

Wer extern vernichtet, bleibt verantwortlich

Bei einer externen Datenträgervernichtung bleibt Ihr Unternehmen Verantwortlicher im Sinne der DSGVO. Es braucht einen Auftragsverarbeitungsvertrag nach Art. 28, der Datenarten, Schutzklasse, Verfahren und Vernichtungsort festlegt. Wer die zertifizierte Vernichtung von Festplatten und SSDs auslagert, sollte außerdem Subunternehmer und Standorte kennen.

Kriterium	Vor Ort (mobil)	Im Werk nach Abholung	Löschung mit Remarketing
Geeignet für	Hoher Schutzbedarf, Kontrollwunsch	Große Mengen, Standardschutzbedarf	Funktionsfähige Geräte
Nachweis	Beobachtung, Zertifikat	Zertifikat, Chargen- oder Seriennummernbezug	Löschbericht je Gerät
Hauptrisiko	Logistik, Terminbindung	Lücke zwischen Abholung und Vernichtung	Fehlgeschlagene Löschung
Restwert	Keiner	Keiner	Erhalten

Chain of Custody: Hier reißt der Nachweis

Viele Unternehmen bemerken erst im Audit, dass ihr Zertifikat nur eine Charge belegt. Es sagt dann nicht, dass Ihre Platte mit der Seriennummer X im Container war. Verlangen Sie die Erfassung der Seriennummern beim Verladen, plombierte Behälter mit eindeutiger ID und einen Abgleich mit dem Anlagenverzeichnis.

Ebenso unterschätzt: Datenspeicher abseits klassischer Laufwerke. RAID-Controller mit Cache, Netzwerkdrucker, Switches, Telefonanlagen und Smartphones tauchen selten im Inventar auf, enthalten aber oft Konfigurationen oder Dokumente.

Fünf Fehler, die in der Praxis teuer werden

1. Zertifikat ohne Seriennummernbezug. Es entsteht, weil Pauschalnachweise bequem sind. Im Audit fehlt der Einzelnachweis. Vertraglich Seriennummernlisten verlangen.

2. Funktionsfähige Server ungeprüft vernichten. Der Zeitdruck beim Rückbau lässt keine Restwertprüfung zu. Das Ergebnis ist verschenkter Erlös. Vorab eine Bewertung einplanen.

3. SSDs wie HDDs behandeln. Das Verfahren stammt aus alter Gewohnheit. Es bleiben lesbare Chips zurück. Kategorie E ausdrücklich beauftragen.

4. Unkontrollierte Zwischenlager. Ausgebaute Platten liegen monatelang im Schrank. Das Risiko sind Diebstahl und Verlust ohne Protokoll. Feste Übergabefristen und Zugangskontrolle festlegen.

5. Unklarer Auftragsverarbeitungsvertrag. Er wird beim Start nicht geprüft. Folge sind Bußgeldrisiken und offene Subunternehmerketten. Vertrag vor Auftragsvergabe prüfen.

Praktische Checkliste vor der Beauftragung

• Schutzklassen und Datenträgerarten je Standort erfasst
• Inventar inklusive Controller, Drucker und Netzwerkgeräten abgeglichen
• Entscheidung Löschen oder Vernichten je Gerätegruppe dokumentiert
• Auftragsverarbeitungsvertrag und Subunternehmer geprüft
• Abholung mit Seriennummernerfassung und Plombennummern vereinbart
• Sicherheitsstufe und Kategorie im Zertifikat verlangt
• Löschberichte mit Fehlerliste bei Software-Löschung angefordert
• Zertifikate dem Anlagenverzeichnis zugeordnet und archiviert

Mini-Fallstudie: Standortschließung (illustratives Szenario)

Ein mittelständischer Maschinenbauer schließt einen Standort mit 300 Notebooks und 40 Servern. Die IT will alles schreddern lassen. Auf Anraten des Datenschutzbeauftragten wird zuerst nach Schutzklasse sortiert. Funktionsfähige Geräte werden zertifiziert gelöscht und weiterverwertet, defekte Platten und zwei Server mit fehlgeschlagener Löschung mechanisch vernichtet. Beim Audit liegen Seriennummernlisten und Berichte vor. Die Lehre: Wer vor dem Beauftragen sortiert, spart Kosten und besteht Rückfragen leichter.

Drei Expertentipps

Tipp 1: Fordern Sie im Vertrag eine Fehlerliste für jede Löschung. Ohne sie bleibt unklar, welche Geräte nachträglich vernichtet werden müssen.

Tipp 2: Lassen Sie sich Muster-Zertifikate vor der Beauftragung zeigen. Prüfen Sie, ob Seriennummern, Kategorie und Sicherheitsstufe auftauchen.

Tipp 3: Planen Sie Abholtermin und Zwischenlagerung zusammen. Je kürzer die Zeit zwischen Ausbau und Übergabe, desto kleiner die Lücke in der Chain of Custody.

Ihr nächster Schritt

Unkontrollierte Altgeräte sind ein Compliance-Risiko und gleichzeitig ungenutztes Kapital. Wer den Prozess früh prüft, vermeidet Hektik beim Rückbau und stellt sicher, dass Nachweise im Audit tragen. Gehen Sie Ihr aktuelles Verfahren anhand der Checkliste durch. Second IT unterstützt Unternehmen bei zertifizierter Datenlöschung, Hardware-Remarketing, Recycling und der Vernichtung von Datenträgern, mit dokumentierter Chain of Custody.

Fazit

Eine belastbare Datenträgervernichtung beginnt nicht im Schredder, sondern bei Inventar, Schutzklassen und der Frage, was sich löschen und weiterverwerten lässt. Wer Nachweise auf Seriennummernebene verlangt und Zwischenlager kontrolliert, reduziert Risiken und gewinnt Restwert zurück.

Häufige Fragen

Muss ich Datenträger nach DIN 66399 vernichten lassen?

Eine gesetzliche Pflicht zur Anwendung der Norm gibt es nicht. Sie gilt aber als anerkannter Maßstab für angemessene Schutzmaßnahmen nach Art. 32 DSGVO. Wer davon abweicht, sollte die Entscheidung anhand einer Risikoanalyse begründen und dokumentieren können.

Reicht Software-Löschung bei SSDs aus?

Bei funktionsfähigen SSDs kann eine zertifizierte Löschung geeignet sein, etwa nach NIST 800-88. Voraussetzung ist ein Löschbericht je Gerät. Schlägt die Löschung fehl oder ist der Controller defekt, bleibt nur die mechanische Zerstörung.

Wie lange sollte ich Vernichtungsnachweise aufbewahren?

Eine einheitliche gesetzliche Frist speziell für Vernichtungsnachweise gibt es nicht. Üblich ist, sie so lange aufzubewahren, wie das Anlagenverzeichnis und mögliche Prüfungen es erfordern. Klären Sie die Frist mit Ihrem Datenschutzbeauftragten und halten Sie sie intern fest.

Ist Vernichtung vor Ort sicherer als im Werk?

Nicht zwingend. Vor Ort sehen Sie die Zerstörung selbst, das Transportrisiko entfällt. Ein Werk mit dokumentierter Chain of Custody, plombierten Behältern und Seriennummernerfassung kann ebenso belastbar sein. Entscheidend sind Schutzklasse, Menge und die Qualität der Nachweise.

Was sollte ein Vernichtungszertifikat enthalten?

Mindestens Datum, Auftraggeber, Verfahren, Datenträgerkategorie und Sicherheitsstufe sowie einen Bezug zu Seriennummern oder Behälter-IDs. Ohne diese Angaben lässt sich im Audit kaum belegen, dass genau Ihre Geräte vernichtet wurden.