Datenlöschung und sichere Entsorgung
Daten sicher zu erzeugen, zu sichern und zu archivieren ist die eine Seite. Die andere – und mindestens genauso wichtige – ist: Daten sicher zu löschen. Wenn ein Server ausgemustert wird, eine Festplatte zur Reparatur geht, ein Mitarbeiter den Laptop zurückgibt oder ein Backup-Tape entsorgt wird – was passiert mit den Daten darauf? Wer das nicht beachtet, riskiert Datendiebstahl, DSGVO-Strafen und Imageschäden.
Diese Lektion erklärt die Grundlagen: warum „Löschen" nicht gleich Löschen ist, welche Methoden tatsächlich sicher sind, was die DIN 66399 definiert, wie SSDs sich von Festplatten unterscheiden, und welche DSGVO-Pflichten zu beachten sind. Pflicht-Wissen für FISI – im Berufsalltag begegnet dir das Thema bei jeder Hardware-Aussonderung.
1) Das Grundproblem: was passiert beim „Löschen"?
Wenn du auf deinem Computer eine Datei in den Papierkorb wirfst und ihn leerst, ist sie weg – glaubst du. Tatsächlich ist sie meistens noch da. Das Betriebssystem markiert den Speicherbereich nur als „frei", löscht aber die Daten selbst nicht. Sie bleiben physisch auf der Festplatte, bis irgendwann etwas anderes drüber geschrieben wird – was Tage, Monate oder nie passieren kann.
Genauso bei Formatieren: ein „Quick Format" löscht nur das Inhaltsverzeichnis (Dateisystem), die Daten selbst bleiben unberührt. Mit kostenlosen Recovery-Tools wie PhotoRec, Recuva oder TestDisk kann jeder unsicher gelöschte Daten in Minuten wiederherstellen.
2) DIN 66399: der deutsche Standard für Datenträgervernichtung
In Deutschland gibt es eine eigene Norm dafür: DIN 66399. Sie ersetzte 2012 die ältere DIN 32757 und definiert sieben Sicherheitsstufen für die Vernichtung von Datenträgern. Je sensibler die Daten, desto höher die geforderte Stufe.
Die Norm unterscheidet außerdem zwischen Schutzklassen (1, 2, 3 – wie viele Personen dürfen die Daten kennen?) und Materialklassen (P für Papier, F für Film, O für optische Medien, T für magnetische Medien, H für Festplatten, E für elektronische Datenträger wie SSDs/USB-Sticks). Für IT relevant sind besonders H und E.
3) Die Methoden im Überblick
Es gibt verschiedene Verfahren zur sicheren Datenlöschung. Jedes hat seine Berechtigung – Wahl hängt vom Medium, der Sicherheitsstufe und der Wiederverwendbarkeit ab:
shred, DBAN, Boot-CDs. Standards: DoD 5220.22-M (3 Passes), BSI VSITR (7 Passes), NIST 800-88 (1 Pass mit Verifikation reicht heute).hdparm ausführbar.4) Überschreiben in der Praxis
Schauen wir uns konkret an, wie das Überschreiben unter Linux funktioniert. Mit dem Tool shred kannst du einzelne Dateien oder ganze Geräte überschreiben:
Für ganze Festplatten ist DBAN (Darik's Boot and Nuke) ein beliebtes Tool – ein bootfähiges Image, das man von USB-Stick startet und das automatisch alle erkannten Platten überschreibt. Achtung: für SSDs nicht empfohlen (siehe nächster Abschnitt). DBAN wird seit Jahren nicht mehr aktiv gepflegt – Alternativen sind ShredOS oder kommerzielle Tools wie Blancco mit Audit-Trail.
5) SSDs: die Besonderheit
SSDs verhalten sich beim Löschen komplett anders als HDDs. Das hat technische Gründe und macht die altbewährten Methoden problematisch:
6) ATA Secure Erase für SSDs
Der Befehl wird über die SATA-Schnittstelle an die SSD geschickt. Mit Linux:
Wichtig: Test immer mit Testdaten bevor du es scharf einsetzt. Manche Drives reagieren komisch auf Secure Erase, im schlimmsten Fall sind sie danach defekt. Hersteller-Tools (Samsung Magician, Crucial Storage Executive, Intel SSD Toolbox) sind oft sicherer.
7) Cloud-Daten und Crypto Erase
In der Cloud ist physisches Schreddern keine Option. Du hast keinen Zugriff auf die Hardware. Cloud-Provider lösen das Problem mit Crypto Erase: alle Daten werden bei der Speicherung verschlüsselt (oft mit kundenspezifischem Key). Beim Löschen wird einfach der Schlüssel verworfen – die Daten sind mathematisch unwiederherstellbar.
Bei AWS heißt das z.B. KMS (Key Management Service). Wenn du einen Schlüssel löschst, sind alle damit verschlüsselten Objekte effektiv weg. Bei Azure entsprechend Azure Key Vault. Wichtig: das funktioniert nur wenn die Verschlüsselung von Anfang an aktiviert war. Eine unverschlüsselte Datei in S3, die du löscht, kann theoretisch in Provider-Backups noch lange existieren.
Für DSGVO-Compliance fragen viele Datenschutzbeauftragte mittlerweile gezielt: „Wie stellen Sie sicher, dass ein Crypto-Erase-Auftrag tatsächlich greift?" – Cloud-Provider haben dazu meist Whitepapers und Audit-Berichte.
8) DSGVO und die Pflicht zur Datenlöschung
Die DSGVO (siehe K05) verschärft die Datenlöschungs-Anforderungen massiv. Drei zentrale Artikel sind hier wichtig:
9) Konflikt: Backups und „Recht auf Vergessenwerden"
Ein praktisches Problem: ein User verlangt die Löschung seiner Daten nach Art. 17 DSGVO. Die Live-Datenbank ist kein Problem – ein DELETE oder ein Anonymisierungs-Skript erledigt das. Aber was ist mit den Backups der letzten 12 Monate? Müssen die alle aufgemacht und der User darin gelöscht werden? Das wäre praktisch unmöglich.
Die Aufsichtsbehörden haben dazu eine pragmatische Linie entwickelt:
- Backups müssen nicht aktiv durchsucht und einzelne User gelöscht werden
- Aber: Backups werden bei Wiederherstellung nicht ungeprüft reproduziert. Nach Restore muss die Löschung erneut vollzogen werden.
- Der Aufbewahrungszeitraum von Backups muss begrenzt sein – „ewig aufheben" geht nicht
- Ein Löschkonzept muss dokumentieren, wie die Löschung in Backups behandelt wird
Typische Lösung: GFS-Rotation mit max. 1 Jahr Backup-Aufbewahrung (außer für gesetzlich vorgeschriebene Archive). Dadurch „verfällt" die Daten-Persistenz natürlich. Kombiniert mit dokumentierten Prozessen für Restore-Fälle.
10) Hardware-Aussonderung: der typische Prozess
Wenn ein Server, Laptop oder eine Festplatte ausgemustert wird, läuft folgender Prozess. Diesen solltest du als FISI im Schlaf können:
11) Typische Fehler bei der Datenentsorgung
Auch hier gibt's klassische Anti-Patterns, die regelmäßig zu Datenpannen führen:
- Festplatten einfach in den Müll werfen: Recycler durchsuchen Container, Daten landen im Internet
- Laptops mit Festplatte verkaufen: gerne bei eBay – mit komplettem User-Profil
- Quick-Format als Löschung verstehen: Recovery-Tools holen alles wieder
- SSDs überschreiben statt Secure Erase: Reserveblöcke nicht erreicht
- Defekte Hardware ohne Vernichtungsnachweis weggeben: kein Zertifikat = im Audit problematisch
- Backup-Tapes wegwerfen: oft mit hochsensiblen Altdaten – Schreddern Pflicht
- USB-Sticks/SD-Karten in der Schublade vergessen: kommen Jahre später irgendwo auf
- Vernichtung ohne Vier-Augen-Prinzip: bei sehr sensiblen Daten besser zu zweit
- Externe Dienstleister ohne Zertifizierung: kein Nachweis, was wirklich passiert ist
- Drucker und Kopierer übersehen: enthalten Festplatten mit Druckhistorie!
Der letzte Punkt überrascht viele: moderne Multifunktionsgeräte haben oft 40-500 GB Festplatten, auf denen Scans und Drucke zwischengespeichert werden. Bei Aussonderung müssen diese genauso behandelt werden wie Server-Festplatten.
12) Aufbewahrungspflichten beachten
Bevor du Daten löschst, prüfe: gibt es gesetzliche Aufbewahrungspflichten, die das verhindern? Wichtige Fristen in Deutschland:
| Datenkategorie | Aufbewahrungsfrist | Grundlage |
|---|---|---|
| Buchhaltungsbelege (GoBD) | 10 Jahre | AO § 147, HGB § 257 |
| Geschäftsbriefe | 6 Jahre | HGB § 257 |
| Lohnabrechnungen | 6 Jahre | EStG, SGB |
| Medizinische Aufzeichnungen | 30 Jahre nach letztem Kontakt | BGB § 630f |
| Bewerbungsunterlagen (abgelehnt) | Max. 6 Monate | AGG, DSGVO |
| E-Mail-Korrespondenz | Je nach Inhalt (oft 6-10 Jahre) | HGB, AO |
| Bauunterlagen | 5-10 Jahre | Landesbauordnungen |
Der Konflikt zwischen DSGVO („nicht länger als nötig") und Aufbewahrungspflichten („mindestens 10 Jahre") wird meist so gelöst: Daten werden aus dem Live-System entfernt, aber in einem Archiv mit beschränkten Zugriffsrechten und Lösch-Trigger nach Ablauf der Frist gespeichert.
13) Spezialfall: Cloud und Container
In modernen Setups gibt's noch weitere Aspekte zu beachten:
- Cloud-Snapshots: bei AWS EBS, Azure Disks etc. werden Snapshots nicht automatisch mit dem Volume gelöscht. Aufräumen!
- Container-Images: ein Docker-Image kann sensible Daten enthalten (Logs, Konfigurationen). Aus Registries explizit löschen.
- S3-Versioning: bei versionierten Buckets reicht ein „Delete" nicht – die alte Version bleibt. „Lifecycle Policy" oder explizit alle Versionen löschen.
- Git-Repositories: einmal gepushte Secrets sind in der History für immer.
git filter-branchoder BFG Repo-Cleaner nötig, plus alle Klone informieren. - Backup-Repositories: nach Lösch-Anfrage muss der Lebenszyklus der Backups dokumentiert sein
14) Checkliste für sichere Datenlöschung
Zum Abschluss eine Mini-Checkliste, die du bei jeder Hardware-Aussonderung durchgehen kannst:
- Wer ist Verantwortlich für die Löschung? (Asset-Owner, IT, Datenschutz)
- Welche Datenkategorien sind auf dem Medium? (Klassifizierung nach Sensibilität)
- Welche DIN-66399-Stufe ist nötig?
- Funktioniert die Hardware noch oder ist sie defekt?
- Wiederverwendung geplant oder Entsorgung?
- HDD, SSD, Tape, optisches Medium? (verschiedene Methoden!)
- Methode gewählt: Wiping, Crypto Erase, Degaussen, Schreddern?
- Tool/Dienstleister verfügbar und zertifiziert?
- Vernichtungsprotokoll erstellt und archiviert?
- Asset-System aktualisiert?
- Aufbewahrungspflichten beachtet? (nicht zu früh löschen)
- DSGVO-Lösch-Konzept befolgt? (nicht zu spät löschen)
Zusammenfassung
„Löschen" ≠ Löschen: Papierkorb leeren und Quick Format hinterlassen Daten lesbar. Recovery-Tools wie PhotoRec/Recuva holen sie zurück. DIN 66399 definiert 7 Sicherheitsstufen für Datenträgervernichtung – typischerweise Stufe 3-4 für Unternehmen, Stufe 5+ für streng vertraulich. Methoden: Überschreiben/Wiping (shred, DBAN, DoD/BSI-Standards – nur HDD), Degaussen (magnetisches Löschen, HDDs/Tapes), Schreddern (mechanisch, alle Medien, höchste Sicherheit), Crypto Erase (Schlüssel löschen, schnell, für SSDs/Cloud), ATA Secure Erase (Firmware-Befehl, Goldstandard für SSDs). SSDs brauchen Secure Erase wegen Wear-Leveling – Überschreiben unzuverlässig. DSGVO: Art. 17 Recht auf Löschung (Frist 1 Monat), Art. 5 Speicherbegrenzung, Art. 32 angemessene Sicherheit. Strafen bis 20 Mio € / 4% Jahresumsatz. Backup-Konflikt: Backups müssen nicht aktiv durchsucht werden, aber Aufbewahrung begrenzen + dokumentieren. Hardware-Aussonderung: Inventarisierung → Klassifizierung → Methode → Löschung → Protokoll → Recycling → Inventar abschließen. Aufbewahrungspflichten: 10 Jahre Buchhaltung (GoBD), 6 Jahre Geschäftsbriefe, 30 Jahre medizinisch. Achtung bei Druckern (haben Festplatten!), Cloud-Snapshots, Container-Images, Git-History.