Wie weist ein Betrieb nach, dass die Daten auf ausgesonderten IT-Geräten gelöscht oder vernichtet wurden?
- DSGVO und BSI-Baustein CON.6 verlangen sicheres Löschen oder Vernichten vor der Entsorgung und die Möglichkeit, das nachzuweisen; das ElektroG regelt nur die Entsorgung.
- NIST SP 800-88 Rev. 2 unterscheidet Clear, Purge und Destroy; bei SSDs reicht Überschreiben nicht, sinnvoll sind Sanitize-Befehle, kryptografisches Löschen oder Vernichtung.
- Ein Löschnachweis nennt je Datenträger Seriennummer, Inventarnummer, Verfahren, Werkzeug, Verifikation sowie Person und Datum.
Zwei Jahre nach der Entsorgung fragt die Datenschutzbeauftragte nach einem bestimmten Notebook aus der Personalabteilung. In der Bestandsliste steht „ausgemustert“, auf dem Lieferschein des Entsorgers „1 Gitterbox IT-Schrott“. Ob die SSD gelöscht, zerstört oder mit dem Gerät weiterverkauft wurde, weiß niemand mehr. Genau diese Lücke schließt ein Löschnachweis je Gerät.
Warum der Nachweis zählt
Die DSGVO schreibt kein bestimmtes Löschverfahren vor. Sie verlangt aber in Art. 5 Abs. 1 lit. f eine angemessene Sicherheit personenbezogener Daten und in Art. 5 Abs. 2, dass der Verantwortliche die Einhaltung nachweisen kann. Art. 32 nennt bei der Risikobewertung ausdrücklich die unbefugte Offenlegung. Ein ausgesondertes Gerät mit lesbaren Daten ist genau dieses Risiko. DSGVO im Amtsblatt der EU
Konkreter wird das BSI im IT-Grundschutz-Baustein CON.6 „Löschen und Vernichten“ (Edition 2023). Die Institution muss das Löschen und Vernichten regeln, schutzbedürftige Datenträger vor der Entsorgung sicher löschen oder vernichten und Sammelstellen gegen unbefugten Zugriff sichern. Werden Dienstleister beauftragt, muss der Prozess ausreichend sicher und nachvollziehbar sein. BSI-Baustein CON.6
Das Elektro- und Elektronikgerätegesetz regelt dagegen die Entsorgung, nicht die Datenlöschung. Altgeräte müssen getrennt vom Restmüll erfasst werden (§ 10 ElektroG), für Geräte aus Unternehmen müssen Hersteller eine zumutbare Rückgabemöglichkeit schaffen (§ 19 ElektroG). Auf die Eigenverantwortung der Endnutzer für das Löschen personenbezogener Daten weist das Gesetz ausdrücklich hin (§ 18 Abs. 1 Nr. 7). Wer das Gerät abholt, löscht also nicht automatisch. ElektroG
Clear, Purge, Destroy nach NIST SP 800-88 Rev. 2
Als Orientierung für die Einteilung der Verfahren dient häufig die US-Richtlinie NIST SP 800-88. Die Revision 2 erschien im September 2025. Sie legt den Schwerpunkt stärker auf ein geregeltes Löschprogramm im Unternehmen und verweist für die einzelnen Techniken auf Normen wie IEEE 2883. Die drei Kategorien sind geblieben. NIST SP 800-88 Rev. 2
| Kategorie | Schutzwirkung | Datenträger danach | Typische Techniken |
|---|---|---|---|
| Clear | Schutz gegen einfache Wiederherstellung über die normale Schnittstelle | weiter nutzbar | Überschreiben aller adressierbaren Bereiche, Zurücksetzen auf Werkszustand |
| Purge | Wiederherstellung auch mit Labormethoden nach Stand der Technik nicht praktikabel | in der Regel weiter nutzbar | Sanitize-Befehle des Laufwerks, Block Erase, kryptografisches Löschen |
| Destroy | wie Purge, zusätzlich ist der Datenträger zerstört | unbrauchbar | Schreddern, Zerlegen in kleinste Teile, Pulverisieren, Schmelzen, Verbrennen |
NIST empfiehlt, Purge statt Clear zu verwenden, wo es möglich ist. Für Geräte, die weiterverkauft, gespendet oder intern neu ausgegeben werden sollen, ist Purge deshalb meist die richtige Wahl. Destroy bleibt für defekte Datenträger und für Daten mit hohem Schutzbedarf. Ein Loch durch die Festplatte oder ein verbogenes Gehäuse reicht dafür nach NIST nicht, weil Teile des Speichers lesbar bleiben können.
SSDs, Smartphones und eingebaute Speicher
Bei Festplatten mit Magnetscheiben galt Überschreiben lange als ausreichend. Bei SSDs und anderem Flash-Speicher nicht: Reservezellen und die interne Verteilung der Schreibzugriffe führen dazu, dass sich nicht alle Bereiche über die normale Schnittstelle erreichen lassen. NIST rät bei Laufwerken mit solchen Reservebereichen ausdrücklich von mehrfachem Überschreiben ab. Das Entmagnetisieren wirkt bei SSDs überhaupt nicht.
- SSDs: die Sanitize- oder Secure-Erase-Funktion des Laufwerks nutzen, idealerweise mit einem Werkzeug, das Ergebnis und Seriennummer protokolliert.
- Verschlüsselte Datenträger: kryptografisches Löschen, also das sichere Vernichten des Schlüssels. Das BSI verlangt dafür ein Vorgehen gemäß Kryptokonzept; NIST knüpft es an Voraussetzungen wie ausreichend starke Verschlüsselung und sauber erzeugte Schlüssel.
- Smartphones und Tablets: nach CON.6 verschlüsselt betreiben und auf Werkseinstellungen zurücksetzen, anschließend die Ersteinrichtung starten, um den Löschvorgang abzuschließen.
- Drucker, Multifunktionsgeräte, Router, IoT-Geräte: integrierte Löschfunktion nutzen oder den Speicher ausbauen; bei IoT-Geräten zusätzlich alle dort hinterlegten Zugangsdaten ändern.
- Defekte Datenträger: lassen sich nicht zuverlässig löschen und sollen nach CON.6 mindestens nach Sicherheitsstufe 3 vernichtet werden.
Ein Unterschied zwischen den Regelwerken sollte bekannt sein: Das BSI nennt als Mindestanforderung für unverschlüsselte, wiederbeschreibbare Datenträger das vollständige Überschreiben mit Zufallswerten. Für SSDs mit Reservebereichen ist das nach NIST keine verlässliche Lösung. Prüfen Sie deshalb je Datenträgerart, welches Verfahren Sie tatsächlich einsetzen.
Vernichtung nach DIN 66399 und ISO/IEC 21964
Für die physische Vernichtung ist in Deutschland DIN 66399 bekannt. Die internationale Normenreihe ISO/IEC 21964 baut darauf auf, und das BSI verweist in CON.6 inzwischen auf sie. Das Prinzip ist gleich geblieben: drei Schutzklassen nach Schutzbedarf der Daten, sieben Sicherheitsstufen nach Partikelgröße und Materialklassen je Datenträgerart, etwa H für Festplatten mit Magnetscheiben, E für elektronische Speicher wie SSDs und USB-Sticks, O für optische Medien und P für Papier.
CON.6 verlangt für Datenträger in sonstigen Geräten, die sich nicht löschen lassen, mindestens die Stufe E-3 oder H-3. Bei Dienstleistern sollten die Verfahren mindestens die internen Anforderungen erfüllen und regelmäßig überprüft werden. Die BfDI empfiehlt, zertifizierte Fachbetriebe zu beauftragen und den Vorgang anschließend zu dokumentieren. Ob mit dem Dienstleister ein Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO nötig ist, klären Sie mit Ihrem Datenschutzbeauftragten. BfDI zur Datenträgervernichtung
Was ein Löschprotokoll oder Vernichtungszertifikat enthalten sollte
NIST SP 800-88 Rev. 2 enthält ein Musterformular für ein „Certificate of Sanitization“. Daraus lässt sich eine Liste ableiten, die auch für Betriebe ohne US-Bezug passt:
| Angabe | Warum |
|---|---|
| Hersteller, Modell, Seriennummer | Nur die Seriennummer ordnet den Datenträger eindeutig zu |
| Inventarnummer | Verbindet den Nachweis mit dem Asset und seiner Historie |
| Datenträgerart und Herkunft | Zum Beispiel NVMe-SSD aus Notebook, eingebauter Speicher eines Druckers |
| Kategorie und Technik | Clear, Purge oder Destroy sowie das konkrete Verfahren |
| Werkzeug mit Version | Macht nachvollziehbar, womit gelöscht wurde |
| Verifikation | Wie das Ergebnis geprüft wurde, etwa durch Stichprobe oder Werkzeugbericht |
| Person, Datum, Ort, Unterschrift | Wer die Löschung bestätigt, bei Dienstleistern auch deren Ansprechpartner |
Bei externer Vernichtung ist die Übergabe die kritische Stelle. Eine Abholliste mit Seriennummern, die der Dienstleister gegenzeichnet, und ein Zertifikat, das auf genau diese Seriennummern und die Sicherheitsstufe verweist, sind deutlich mehr wert als ein Sammelbeleg über eine Anzahl Kilogramm.
Ablauf von der Rücknahme bis zur Entsorgung
- Gerät zurücknehmen und offene Zuweisungen, Lizenzen und Wartungen beenden. Beim Austritt hilft der Ablauf aus dem Beitrag „Offboarding: Hardware und Zugänge vollständig zurückholen“.
- Gerät in einer verschlossenen Sammelstelle lagern, nicht im offenen Regal.
- Über den Verbleib entscheiden: Wiederverwendung, Verkauf, Spende, Rückgabe an den Lieferanten oder Vernichtung.
- Passend dazu löschen und das Ergebnis prüfen oder den Datenträger mit Abholliste an den Dienstleister übergeben.
- Nachweis dem Asset zuordnen und die Aussonderung mit Datum abschließen.
- Das Gerät erst danach als ausgesondert führen, nicht schon beim Einlagern.
Ausgemusterte Geräte ohne abgeschlossene Löschung sind ein typischer Befund bei der Prüfung eines IT-Bestandsverzeichnisses. Wie ein solches Verzeichnis insgesamt aufgebaut wird, zeigt der Beitrag „IT-Asset-Verzeichnis nach BSI“.
Aussonderung in Inventonia dokumentieren
In Inventonia ist die Aussonderung ein geschützter Schritt. Erfasst werden der Verbleib (an den Lieferanten zurück, Recycling, verkauft, gespendet, vernichtet, verloren oder sonstiges), der Grund, das Datum, ein Prüfvermerk und optional eine Nachweisdatei, etwa das Löschprotokoll oder das Vernichtungszertifikat. Der Löschstatus folgt den Kategorien von NIST SP 800-88 Rev. 2: nicht zutreffend, ausstehend, Clear, Purge, Destroy oder nicht möglich.
Solange einem Asset noch Zuweisungen, Reservierungen, Wartungen oder Lizenzplätze zugeordnet sind, lässt sich die Aussonderung nicht abschließen. Das verhindert, dass ein Gerät verschwindet, das noch jemand in der Hand hat.
Wichtig ist die Grenze: Inventonia löscht selbst keine Daten und stellt keine Zertifikate aus. Die Löschung erfolgt mit Ihrem Werkzeug oder beim Dienstleister, Inventonia dokumentiert den Nachweis am Asset.
Dieser Beitrag ordnet ein und ersetzt keine rechtliche Prüfung. Für den eigenen Fall gehören die Verantwortlichen für Datenschutz und Informationssicherheit früh eingebunden.