IT Asset Disposition: Worauf Unternehmen bei der Auswahl achten

IT-Hardware sicher ausmustern: Was ein ITAD-Prozess leisten muss

Wer Server, Notebooks und Speichersysteme ausmustert, trifft eine Entscheidung mit Audit-Folgen. Professionelle ITAD services bündeln Abholung, Datenlöschung, Dokumentation, Wiedervermarktung und Recycling in einem nachvollziehbaren Prozess. Das klingt selbstverständlich. In der Praxis scheitert es selten an der Technik, sondern an den Schnittstellen: Wer hat das Gerät wann übernommen? Welcher Datenträger wurde wie gelöscht? Und wer kann das zwei Jahre später belegen?

Dieser Beitrag richtet sich an IT-Leiter, Datenschutzbeauftragte und Einkäufer. Er zeigt, welche Nachweise zählen, wo Restwert verloren geht und welche Fragen Sie vor der Beauftragung stellen sollten.

Was gehört zu einem sicheren ITAD-Prozess?

Ein sicherer ITAD-Prozess umfasst die inventarisierte Abholung der Geräte, eine dokumentierte Chain of Custody, die verifizierte Löschung jedes Datenträgers nach anerkanntem Standard wie NIST 800-88, die Prüfung auf Wiederverwendung, Remarketing oder Recycling sowie einen Abschlussbericht mit Seriennummern, die Sie im Audit vorlegen können.

Leistung, Nachweis, Haftung: Anbieter richtig vergleichen

Die Spannbreite am Markt reicht vom reinen Entsorger bis zum Anbieter mit eigenem Remarketing. Entscheidend ist nicht die Länge der Leistungsliste, sondern ob jeder Schritt einen Nachweis erzeugt. Beim Vergleich von ITAD services sollten Sie deshalb drei Ebenen trennen: was geleistet wird, wie es belegt wird und wer bei Abweichungen haftet.

Ein Anbieter, der „sichere Vernichtung” zusagt, aber keinen Bericht pro Seriennummer liefert, verkauft ein Versprechen. Keinen Beleg.

Datenlöschung: Wo Nachweise Lücken haben

Die DSGVO schreibt kein bestimmtes Löschverfahren vor. Sie verlangt angemessene technische und organisatorische Maßnahmen (Art. 32). Standards wie NIST 800-88 oder DIN 66399 helfen, diese Angemessenheit zu belegen, sind aber nicht per se gesetzlich vorgeschrieben.

Löschung und Vernichtung erfüllen unterschiedliche Zwecke. Software-basierte Löschung, etwa mit Blancco, erhält die Hardware für den Wiedereinsatz. Physische Vernichtung nach DIN 66399 kommt bei defekten Datenträgern oder sehr hohem Schutzbedarf infrage.

Ein Punkt, den viele übersehen: Bei SSDs ist reines Überschreiben wegen Wear-Leveling und Over-Provisioning nicht zuverlässig, weil nicht jede Speicherzelle adressierbar ist. Geeignet sind herstellerspezifische Secure-Erase-Verfahren oder Crypto Erase, jeweils mit Verifikation. Prüfen Sie daher im Löschprotokoll, ob die Methode je Datenträgertyp ausgewiesen ist. Ein pauschales „überschrieben” genügt nicht.

Chain of Custody und Bestandsabgleich

Viele Unternehmen bemerken erst im Audit, dass ihre CMDB nicht dem physischen Bestand entspricht. Besonders kritisch sind Geräte, die selten als Datenträger-Träger gelten: Netzwerkspeicher, Drucker, Switches mit Konfigurationsdaten, Smartphones.

Gleichen Sie deshalb bei der Übergabe Seriennummern gegen Ihr Inventar ab, nicht erst beim Anbieter. Klären Sie außerdem vertraglich, wann Gefahrübergang und Eigentumsübergang stattfinden. Zwischen Verladung und Eingangserfassung entstehen sonst Grauzonen, in denen niemand verantwortlich ist.

Restwert: Wo Erlöse unbemerkt verloren gehen

Der Reflex „alles zerstören, dann ist es sicher” kostet Geld. Ein Server, der nach verifizierter Löschung weiterverkauft werden könnte, hat als Schrott keinen Wert mehr. Hinzu kommt die Liegezeit: Ausgemusterte Geräte im Keller verlieren am Gebrauchtmarkt laufend an Wert und bleiben ein Zugriffsrisiko.

Fragen Sie nach dem Erlösmodell. Wer legt Zustandsklassen fest? Wird pro Gerät abgerechnet oder pauschal? Pauschalangebote ohne Einzelbewertung lassen sich kaum nachvollziehen.

Fünf typische Fehler

1. Beauftragung ohne Inventarliste. Der Zeitdruck beim Rollout oder Umzug verleitet dazu. Die Folge sind unklare Mengen und nicht auffindbare Geräte. Erstellen Sie vorab eine Liste mit Seriennummern.

2. Löschung ohne Einzelverifikation. Stichproben wirken effizient. Bei einem Vorfall fehlt aber der Beleg für genau das betroffene Gerät. Verlangen Sie Berichte pro Datenträger.

3. Vernichtung als Standard. Sie fühlt sich sicher an. Der Preis ist verschenkter Restwert und ein schlechterer CO₂-Fußabdruck. Vernichten Sie nur, wenn Löschung technisch nicht möglich oder nicht ausreichend ist.

4. Vage Verträge. Ohne Regelung zu Auftragsverarbeitung, Gefahrübergang und Eigentum bleibt die Haftung bei Streitfällen offen. Lassen Sie den Vertrag vom Datenschutzbeauftragten prüfen.

5. Lagerung im Haus. Ausgemusterte Hardware wandert in Abstellräume und verschwindet aus dem Blick. Setzen Sie feste Abholfristen nach Außerbetriebnahme.

Praktische Checkliste vor der Beauftragung

• Inventarliste mit Seriennummern liegt vor und stimmt mit der CMDB überein

• Datenträger in Nebengeräten (Drucker, Storage, Netzwerk) sind erfasst

• Auftragsverarbeitungsvertrag ist geprüft

• Löschmethode je Datenträgertyp ist schriftlich benannt, auch für SSDs

• Löschbericht pro Seriennummer ist zugesagt

• Transport, Siegel und Übergabeprotokolle sind geregelt

• Gefahr- und Eigentumsübergang sind vertraglich festgelegt

• Erlösmodell und Zustandsklassen sind transparent

• Abschlussbericht mit Recycling- und Verwertungsnachweis ist vereinbart

Löschung vor Ort, im Betrieb des Anbieters oder Vernichtung

Kriterium	Löschung vor Ort	Löschung beim Anbieter	Physische Vernichtung
Datenrisiko beim Transport	Gering	Abhängig von Transportsicherung	Abhängig vom Vernichtungsort
Restwert der Hardware	Erhalten	Erhalten	Nicht mehr vorhanden
Nachweis	Bericht pro Datenträger	Bericht pro Datenträger	Vernichtungsprotokoll
Eignung	Hohe Schutzanforderungen	Große Stückzahlen	Defekte Datenträger
Aufwand für Sie	Höher	Niedriger	Niedrig

Mini-Szenario: Standortschließung mit 400 Notebooks

Dieses Beispiel ist ein illustratives Szenario, kein realer Kundenfall.

Situation: Ein Mittelständler schließt einen Standort. Rund 400 Notebooks und mehrere Server müssen innerhalb von drei Wochen weg.

Herausforderung: Die Inventarliste weist 412 Geräte aus, vor Ort stehen 397. Außerdem hat die IT-Abteilung angeordnet, alle Datenträger zu schreddern.

Entscheidung: Der Datenschutzbeauftragte besteht auf Seriennummernabgleich bei der Übergabe. Funktionsfähige Geräte werden verifiziert gelöscht und für das Remarketing freigegeben, nur defekte Datenträger werden vernichtet.

Ergebnis: Die Abweichung lässt sich nachvollziehbar klären, der Prozess ist lückenlos dokumentiert, und ein Teil der Geräte erzielt Erlöse.

Lerneffekt: Der Bestandsabgleich vor der Abholung ist die wichtigste Kontrolle.

Drei Experten-Tipps

1. Fordern Sie vorab einen Musterbericht an. Ein anonymisiertes Löschprotokoll zeigt, ob Seriennummer, Methode, Zeitstempel und Verifikationsstatus je Datenträger ausgewiesen werden.

2. Trennen Sie die Außerbetriebnahme vom Rollout-Projekt. ITAD wird oft im Projektstress mitgeschleppt. Ein eigener Prozess mit Verantwortlichem verhindert Verzögerungen.

3. Legen Sie die Aufbewahrungsdauer der Nachweise fest. Eine einheitliche gesetzliche Frist gibt es nicht. Verankern Sie sie im Löschkonzept, orientiert an Revisions- und Verjährungsfristen.

Nächster Schritt: den eigenen Prozess prüfen

Fehlende Nachweise, unklare Zuständigkeiten und verschenkter Restwert sind kein theoretisches Risiko, sondern zeigen sich regelmäßig im Audit. Je früher Sie den Ablauf prüfen, desto geringer ist der Aufwand, Lücken zu schließen. Nehmen Sie sich dazu das letzte Ausmusterungsprojekt vor und fragen Sie: Können wir jedes Gerät belegen?

Second IT unterstützt Unternehmen bei Datenlöschung, Remarketing, Ankauf von Servern, Notebooks, Monitoren und Smartphones sowie beim zertifizierten Recycling. Die ITAD-Leistungen lassen sich als Prüfstein für Ihre Anforderungen nutzen, bevor Sie sich festlegen.

Fazit

Ein belastbarer ITAD-Prozess entscheidet sich an drei Stellen: verifizierte Löschung, lückenlose Chain of Custody und transparente Restwertverwertung. Wer diese Punkte beim Anbietervergleich konsequent abfragt, reduziert Auditrisiken und holt mehr aus der Hardware heraus. Bei der Bewertung von ITAD services zählen deshalb Nachweise mehr als Leistungsversprechen.

Häufige Fragen

Reicht ein Löschzertifikat für das Audit?

Nur, wenn es Einzelnachweise enthält. Ein Sammelzertifikat bestätigt nicht, dass jeder Datenträger gelöscht wurde. Prüfer erwarten in der Regel Seriennummer, Methode, Zeitpunkt und Verifikationsstatus je Gerät. Verlangen Sie diese Angaben vertraglich, bevor die Hardware das Haus verlässt.

Müssen SSDs immer physisch zerstört werden?

Nein. Funktionsfähige SSDs lassen sich mit geeigneten Verfahren wie Secure Erase oder Crypto Erase verifiziert löschen. Reines Überschreiben ist dagegen unzuverlässig. Defekte SSDs, bei denen Löschbefehle nicht mehr funktionieren, werden in der Regel vernichtet, etwa nach DIN 66399.

Wann lohnt sich Remarketing statt Recycling?

Wenn Geräte funktionsfähig, noch marktgängig und vollständig gelöscht sind. Business-Notebooks und Server jüngerer Generationen erzielen am Gebrauchtmarkt eher Erlöse als Altgeräte. Entscheidend ist die Zustandsbewertung pro Gerät. Wartezeiten mindern den Wert.

Brauche ich einen Auftragsverarbeitungsvertrag?

In der Regel ja, sobald der Anbieter Geräte mit personenbezogenen Daten übernimmt und verarbeitet. Das gilt auch, wenn er sie nur transportiert oder löscht. Lassen Sie die Konstellation vom Datenschutzbeauftragten prüfen, weil es auf den Einzelfall ankommt.

Wie lange sollte ich Löschnachweise aufbewahren?

Eine einheitliche gesetzliche Frist gibt es nicht. Legen Sie die Dauer im Löschkonzept fest und orientieren Sie sich an Revisions- und Verjährungsfristen. Üblich sind mehrere Jahre. Wichtig ist, dass Nachweise den Geräten eindeutig zugeordnet bleiben.