Datenträgervernichtung: Was Unternehmen wirklich riskieren – und wie man es richtig macht

Jedes Jahr landen in deutschen Unternehmen Tausende ausgemusterte Festplatten, SSDs und Mobilgeräte in Lagern, Kartons oder – schlimmer noch – direkt im Altmetallcontainer. Vermeintlich gelöscht. Vermeintlich sicher. Die Realität sieht anders aus.

Wer glaubt, ein schnelles Format-Kommando oder ein Windows-Reset reiche aus, unterschätzt das Risiko fundamental. Gerade beschädigte SSDs, auf denen Schreiboperationen nur partiell ausgeführt werden, halten Daten in Wear-Leveling-Zellen zurück, die Standard-Löschsoftware schlicht nicht erreicht. Das ist kein theoretisches Problem. Das ist tägliche Praxis in der ITAD-Branche.

Warum „einfach löschen" kein Datenschutz ist

Die Datenschutzgrundverordnung (DSGVO) ist unmissverständlich: Personenbezogene Daten müssen so vernichtet werden, dass eine Wiederherstellung ausgeschlossen ist. Artikel 5 Absatz 1 lit. f fordert Integrität und Vertraulichkeit – nicht als Empfehlung, sondern als Rechtspflicht.

Was das im Klartext bedeutet? Wer seine Altgeräte ohne nachweisbaren, revisionssicheren Prozess entsorgt, haftet. Persönlich. Auch als CTO oder IT-Leiter, wenn nachgewiesen wird, dass angemessene technische Maßnahmen fehlten.

Die Bußgelder der europäischen Datenschutzbehörden sprechen eine deutliche Sprache:

• Verstöße gegen Artikel 5 DSGVO: bis zu 20 Millionen Euro oder 4 % des weltweiten Jahresumsatzes

• Im Wiederholungsfall drohen zusätzlich strafrechtliche Konsequenzen für Verantwortliche

• Reputationsschäden durch Datenpannen – öffentlich bekannt gemacht durch Meldepflichten nach Artikel 33 DSGVO

Und noch etwas, das in vielen Compliance-Diskussionen zu kurz kommt: Industriespionage via Altgeräte ist kein Filmstoff. Gebrauchte Unternehmens-Notebooks tauchen regelmäßig auf Secondhand-Plattformen auf – mit allem, was drauf ist.

Der gefährlichste Irrtum: „Wir haben doch Bitlocker aktiviert"

Verschlüsselung ist gut. Kein Argument dagegen. Aber Verschlüsselung allein ist keine Datenträgervernichtung. Wer den Schlüssel verliert oder wessen Schlüsselverwaltung lückenhaft dokumentiert ist, sitzt auf einem Zeitproblem. Quantencomputing rückt näher. AES-256, heute unbreakbar, ist morgen vielleicht eine andere Geschichte.

Außerdem: In Audits – internen wie externen – reicht „wir hatten Bitlocker" nicht als Nachweis. Auditoren wollen einen Audit-Trail. Seriennummern-Tracking. Ein lückenloses Datenvernichtungsprotokoll für jedes einzelne Gerät. Ohne das gibt es kein grünes Licht vom Prüfer.

Was professionelle Datenträgervernichtung wirklich beinhaltet

Hier trennt sich die Spreu vom Weizen. Es gibt am Markt Anbieter, die einen bunten Zertifikats-Flyer mitliefern – und solche, die tatsächlich DIN 66399 und BSI-Richtlinien anwenden.

Die vier Säulen einer sauberen Vernichtung

1. Klassifizierung nach Schutzklasse Nicht jeder Datenträger ist gleich. DIN 66399 unterscheidet sieben Sicherheitsstufen. Ein Buchhaltungsserver mit steuerrelevanten Daten braucht eine andere Behandlung als der Empfangsrechner im Foyer. Wer pauschal vorgeht, macht Fehler.

2. Physische Vernichtung oder zertifizierte Softwarelöschung Bei funktionsfähigen Datenträgern greift eine zertifizierte Datenlöschung nach BSI-Standards – mit mehrfachem Überschreiben und Verifikation. Bei defekten oder nicht mehr ansprechbaren Medien führt kein Weg an der physischen Destruktion vorbei: Schreddern, Entmagnetisieren (Degaussing), oder beides. Wer Software auf einem Datenträger einsetzt, der Bad Sectors oder physische Schäden aufweist, vernichtet Daten nur auf dem Papier.

3. Lückenloser Audit-Trail pro Gerät Jede Seriennummer wird erfasst. Jede. Der Eingang, der Prozessschritt, das Ergebnis, der Mitarbeiter – alles dokumentiert, alles revisionssicher. Das ist der Unterschied zwischen einem echten Entsorgungsfachbetrieb und einem Schrotthändler mit Briefkopf.

4. Zertifizierter Entsorgungsnachweis Am Ende des Prozesses liegt dem Auftraggeber ein rechtssicheres Datenvernichtungsprotokoll vor. Kein Stempel, kein PDF mit Wasserzeichen – ein prüfbarer Nachweis, der im Ernstfall vor der Aufsichtsbehörde standhält.

Das stille Problem: Greenwashing-Zertifikate in der ITAD-Branche

Ein offenes Wort aus der Branche: Nicht jedes „Umweltzertifikat" deckt das ab, was draufsteht. Manche Anbieter lassen sich selbst zertifizieren oder nutzen veraltete Normen, die keine aktuelle DSGVO-Konformität garantieren. Das BSI-Grundschutz-Kompendium und die ISO 27001 sind die relevanten Referenzrahmen – nicht ein selbst erstelltes Qualitätssiegel.

Prüfen Sie konkret: Welche Norm? Durch wen zertifiziert? Wann zuletzt auditiert? Wie viele externe Audits pro Jahr? Wer das nicht transparent beantworten kann, hat etwas zu verbergen.

Second IT: Zertifizierte Sicherheit mit vollständigem Lifecycle-Management

Second IT ist kein Entsorger, der am Ende des Gerätelebens auftaucht. Das Unternehmen denkt den IT-Lifecycle ganzheitlich: Von der Beratung über die hauseigene Logistik bis zur zertifizierten Datenträgervernichtung und dem anschließenden Remarketing-Prozess – alles aus einer Hand, alles dokumentiert, alles DSGVO-konform.

Was das in der Praxis bedeutet:

• BSI-konforme Löschverfahren mit Blancco-zertifizierter Software – einer der härtesten Standards, den der Markt kennt

• Physische Destruktion für nicht löschbare oder defekte Datenträger, dokumentiert mit Seriennummern-Tracking für jedes einzelne Medium

• Hauseigene Logistik – keine externen Subunternehmer, keine Kontrollverluste auf dem Transportweg

• Jährliche externe Audits – mindestens drei pro Jahr, nicht einmal

• Kundenportal mit Echtzeit-Tracking des gesamten Prozesses

Das ist nicht Marketing. Das ist der operative Unterschied zwischen einem Anbieter, der Datenschutz wirklich lebt, und einem, der ihn als Verkaufsargument nutzt.

Wer seine ausgemusterte IT-Hardware durch Second IT verarbeiten lässt, bekommt am Ende des Prozesses nicht nur ein sauberes Gewissen – sondern auch den wirtschaftlichen Gegenwert seiner Hardware zurück. Denn was remarketing-fähig ist, wird refurbished und vermarktet. Der Rest wird fachgerecht und umweltgerecht entsorgt. Kein Wert geht verloren.

Fazit: Compliance ist kein Projekt – sie ist ein Prozess

Eine einmalige Entsorgungsaktion löst das Problem nicht dauerhaft. Unternehmen, die Hardware im laufenden Betrieb ersetzen, brauchen einen strukturierten, wiederholbaren Prozess. Einen, der skaliert. Einen, der beim nächsten Audit bestehen kann.

Die gute Nachricht: Dieser Prozess muss intern nicht aufgebaut werden. Er existiert bereits. Second IT hat ihn aufgebaut, zertifiziert, auditiert – und macht ihn verfügbar, für Unternehmen jeder Größe, von 50 Geräten bis zum kompletten Rechenzentrum.

Fordern Sie noch heute ein unverbindliches Angebot an. Der erste Schritt kostet nichts. Der unterlassene erste Schritt kann sehr teuer werden.

Häufig gestellte Fragen zur Datenträgervernichtung

Was ist der Unterschied zwischen Datenlöschung und Datenträgervernichtung?

Datenlöschung bezeichnet das softwarebasierte Überschreiben von Daten auf einem noch funktionsfähigen Datenträger – der Datenträger selbst bleibt danach nutzbar und kann in den Remarketing-Prozess überführt werden. Datenträgervernichtung hingegen meint die physische Zerstörung des Mediums selbst: Das Schreddern, Entmagnetisieren oder anderweitige irreversible Unbrauchbarmachen des Trägers. Die richtige Methode hängt von der Schutzklasse der gespeicherten Daten, dem Zustand des Geräts und den geltenden BSI-Richtlinien ab. Defekte SSDs etwa lassen sich oft nicht vollständig softwarebasiert löschen – hier ist physische Vernichtung Pflicht.

Welche gesetzlichen Anforderungen gelten in Deutschland für die Datenträgervernichtung?

Unternehmen in Deutschland sind durch die Datenschutzgrundverordnung (DSGVO) verpflichtet, personenbezogene Daten so zu vernichten, dass eine Wiederherstellung ausgeschlossen ist. Ergänzend definiert die DIN 66399 sieben Sicherheitsstufen für verschiedene Datenträgerkategorien und Schutzbedarfe. Für besonders schützenswerte Bereiche – etwa Gesundheits-, Finanz- oder Personaldaten – gelten die höheren Stufen H-4 bis H-7. Ein zertifizierter Entsorgungsfachbetrieb arbeitet nach diesen Normen und stellt einen revisionssicheren Entsorgungsnachweis aus, der im Fall einer Prüfung durch eine Datenschutzbehörde vorgelegt werden kann.

Wie erkenne ich einen seriösen Anbieter für professionelle Datenträgervernichtung?

Ein seriöser Anbieter kann auf Nachfrage konkrete Zertifizierungen benennen – ISO 27001, DIN 66399, BSI-Grundschutz-Konformität – und belegen, durch welche unabhängige Stelle diese ausgestellt wurden. Entscheidend ist außerdem: Wie viele externe Audits finden pro Jahr statt? Gibt es ein lückenloses Seriennummern-Tracking für jedes einzelne Gerät? Wie sieht das Datenvernichtungsprotokoll konkret aus? Wer diese Fragen ausweicht oder pauschal beantwortet, verdient das Vertrauen eines IT-Managers nicht. Transparenz ist das Merkmal, das seriöse ITAD-Dienstleister von Schrotthändlern mit Zertifizierungsfolien unterscheidet.

Kann ich als Unternehmen die Haftung für Datenverluste durch Altgeräte an einen Dienstleister auslagern?

Teilweise. Die datenschutzrechtliche Verantwortung liegt nach DSGVO immer beim Verantwortlichen – also dem Unternehmen. Jedoch schließen Sie durch den Einsatz eines zertifizierten Entsorgungsfachbetriebs einen Auftragsverarbeitungsvertrag (AVV) gemäß Artikel 28 DSGVO, der klare Pflichten und Haftungsregelungen enthält. Wenn der Dienstleister nachweislich nach vereinbarten Standards gehandelt hat, verlagert sich das Haftungsrisiko erheblich. Ohne diesen Vertrag und ohne dokumentierten Prozess bleiben Sie als Unternehmen vollständig in der Haftung – auch wenn ein externer Dienstleister die Entsorgung übernommen hat.

Was kostet professionelle Datenträgervernichtung, und lohnt sich das im Vergleich zu internen Lösungen?

Die Kosten variieren nach Volumen, Datenträgerart und Sicherheitsstufe. Was oft übersehen wird: Interne Lösungen sind selten so günstig wie gedacht. Zertifizierte Löschsoftware, Hardware für physische Vernichtung, geschultes Personal, Auditierungsaufwand und Dokumentationskosten summieren sich schnell. Hinzu kommt: Bei der internen Lösung fehlt der unabhängige Nachweis, der im Audit zählt. Ein externer Dienstleister wie Second IT übernimmt den gesamten Prozess, stellt den rechtssicheren Nachweis aus – und liefert über den Remarketing-Prozess zusätzlich Erlöse für verwertbare Hardware, die die Gesamtkosten der Maßnahme teilweise oder vollständig kompensieren.