Wenn der alte Firmenlaptop zum Datenleck wird: Warum die Entsorgung von IT zur Datenschutzfrage wird
Dienstleister werben verstärkt mit „zertifizierter Festplattenvernichtung nach DIN 66399" – gerade für Betriebe mit Homeoffice und verteilten Teams. Hinter dem Angebot steht eine Pflicht, die viele Unternehmen unterschätzen: Wer ausgemusterte Technik unsachgemäß entsorgt, riskiert nicht nur Datenverlust, sondern auch empfindliche Bußgelder.
Ein ausgedienter Laptop, ein defekter Server, eine Kiste alter Diensthandys im Lagerraum: In fast jedem Betrieb sammelt sich Technik an, die niemand mehr braucht. Mit der Verbreitung von Homeoffice und verteilten Teams ist daraus ein logistisches Problem geworden – Geräte stehen in Wohnungen, in Außenbüros, bei ausgeschiedenen Mitarbeitern. Anbieter für IT-Entsorgung greifen dieses Thema derzeit gezielt auf und werben mit zertifizierter Vernichtung nach der Norm DIN 66399. Der Marketing-Aufhänger trifft einen realen Kern: Die Frage, was mit Altgeräten passiert, ist längst eine Datenschutzfrage.
Das Problem beginnt mit dem ausgemusterten Gerät
Der verbreitete Irrtum lautet: Wer Dateien in den Papierkorb schiebt oder eine Festplatte formatiert, hat die Daten gelöscht. Tatsächlich bleiben die Informationen in aller Regel physisch erhalten und lassen sich mit frei verfügbarer Software oft wiederherstellen. Auf ausgemusterten Datenträgern schlummern so Kundendaten, Personalakten, Verträge oder Zugangsdaten weiter – auch dann, wenn das Gerät äußerlich als „leer" gilt. Besonders heikel wird es, wenn Hardware über Kleinanzeigen weiterverkauft, verschenkt oder achtlos im Elektroschrott entsorgt wird.
Was die Norm DIN 66399 regelt
Die DIN 66399 hat 2012 die ältere DIN 32757 abgelöst und gilt heute als Branchenmaßstab für die datenschutzgerechte Vernichtung von Datenträgern. Sie unterscheidet drei Schutzklassen – je nach Sensibilität der Daten – und sieben Sicherheitsstufen, die beschreiben, wie klein das Material am Ende zerkleinert sein muss und wie schwer sich Informationen daraus rekonstruieren lassen. Hinzu kommen Materialklassen für unterschiedliche Träger: Papier, optische Medien, Magnetbänder oder eben Festplatten, die mit dem Kürzel „H" geführt werden. Für Festplatten reichen die Stufen von H-1, bei der das Laufwerk lediglich mechanisch unbrauchbar gemacht wird, bis H-7, bei der es in Partikel von wenigen Quadratmillimetern zerlegt wird. Sobald personenbezogene Daten im Spiel sind, gilt nach gängiger Auslegung mindestens die Stufe H-3 als angemessen.
Warum die DSGVO mitredet
Die Vernichtung von Datenträgern ist datenschutzrechtlich kein Nebenschauplatz, sondern selbst eine Form der Datenverarbeitung. Wer personenbezogene Daten verarbeitet, ist verpflichtet, sie am Ende ihres Lebenszyklus sicher zu löschen und die Datenträger angemessen zu schützen. Verstöße können teuer werden: Der Bußgeldrahmen der Datenschutz-Grundverordnung reicht bis zu zehn Millionen Euro oder zwei Prozent des weltweiten Jahresumsatzes – je nachdem, welcher Betrag höher ist. In der Praxis geht es selten um solche Extremwerte, wohl aber um die Nachweisbarkeit: Ein Vernichtungszertifikat dokumentiert, dass ein Datenträger ordnungsgemäß beseitigt wurde. Wer die Entsorgung an einen Dienstleister auslagert, bewegt sich zudem im Rahmen einer Auftragsverarbeitung, die vertraglich geregelt sein muss.
Löschen, schreddern – oder beides?
Ob ein Datenträger physisch geschreddert oder softwarebasiert überschrieben werden sollte, hängt von der Technik ab. Bei klassischen Magnetfestplatten gilt mehrfaches Überschreiben als vergleichsweise zuverlässig. Bei modernen SSD-Speichern ist die Sache komplizierter, weil interne Verwaltungsmechanismen dafür sorgen können, dass nicht jeder Speicherbereich tatsächlich überschrieben wird – hier greifen Fachleute häufiger zur physischen Zerstörung. Genau an dieser Stelle entsteht ein Spannungsfeld: Wird jedes Gerät zerhäckselt, ist das aus Datenschutzsicht sicher, widerspricht aber dem Gedanken der Wiederverwendung. Zertifizierte Löschverfahren, die den Nachweis der vollständigen Datenvernichtung erbringen, können ein Gerät hingegen für ein zweites Leben freigeben – ein Argument, das im Zeichen von Nachhaltigkeit und knappen Rohstoffen an Gewicht gewinnt.
Für kleine Betriebe die eigentliche Frage
Am Ende läuft es für Praxen, Kanzleien, Handwerksbetriebe und kleine Firmen auf eine unspektakuläre, aber folgenreiche Organisationsfrage hinaus: Wer im Unternehmen ist eigentlich dafür zuständig, dass ausgemusterte Hardware nicht einfach im Keller verschwindet oder privat weiterwandert? Ein klarer Prozess – von der Erfassung der Altgeräte über die Wahl eines geeigneten Verfahrens bis zur Dokumentation – ist weniger aufwändig, als viele befürchten. Und er schließt genau jene Lücke, an der aus einem alten Firmenlaptop ein vermeidbares Datenleck wird.
Dieser Beitrag ist eine redaktionelle Einordnung eines Branchentrends und ersetzt keine Rechts- oder Datenschutzberatung. Für die konkrete Ausgestaltung von Lösch- und Entsorgungsprozessen im Einzelfall sollten fachkundige Stellen hinzugezogen werden.