Alte Festplatten und Firmengeräte datenschutzkonform entsorgen: So vermeiden Sie ein Datenleck beim Wegwerfen

Eine ausgemusterte Festplatte ist kein leeres Blatt. Solange sie nicht sauber gelöscht oder vernichtet wurde, enthält sie in der Regel noch alle Firmendaten: E-Mails, Angebote, Personalakten, Kundendaten, gespeicherte Passwörter. Wer alte Rechner, Server und Datenträger einfach wegwirft, verkauft oder an Mitarbeitende verschenkt, produziert damit schnell ein Datenleck. Dieser Beitrag zeigt Ihnen, wie Sie Firmengeräte datenschutzkonform entsorgen und aus einem Hardware-Austausch keinen Datenschutzvorfall machen.

Warum Formatieren und Zurücksetzen nicht genügt

Formatieren oder das Zurücksetzen auf Werkseinstellungen löscht Ihre Daten nicht wirklich. Entfernt wird meist nur das Inhaltsverzeichnis, während die eigentlichen Dateien physisch auf dem Datenträger bleiben. Mit frei verfügbaren Wiederherstellungswerkzeugen lassen sie sich danach oft vollständig rekonstruieren. Für eine datenschutzkonforme Entsorgung reicht das nicht.

Das ist kein theoretisches Problem. Immer wieder tauchen auf Gebrauchtmärkten und in Online-Auktionen Festplatten auf, die noch lesbare Firmen- und Kundendaten enthalten. Der Grund ist fast immer derselbe: Jemand hat das Gerät „gelöscht", meinte damit aber nur Formatieren oder Papierkorb leeren.

Sicheres Löschen bedeutet, dass die Daten so entfernt werden, dass eine Wiederherstellung mit vertretbarem Aufwand nicht mehr möglich ist. Dafür gibt es je nach Datenträger unterschiedliche Verfahren, und genau diese Unterscheidung machen die meisten Betriebe nicht.

Was die DSGVO zur Entsorgung von Datenträgern verlangt

Die DSGVO behandelt das Löschen und Vernichten von Datenträgern als Teil der Datensicherheit. Personenbezogene Daten müssen vertraulich behandelt und vor unbefugtem Zugriff geschützt werden (Art. 5 Abs. 1 lit. f). Sind sie nicht mehr nötig, müssen sie gelöscht werden (Art. 17), und zwar mit technisch angemessenen Maßnahmen (Art. 32). Eine unsichere Entsorgung verletzt gleich mehrere dieser Grundsätze.

Konkret heißt das: Sobald ein Gerät personenbezogene Daten enthielt (und das tun fast alle Bürogeräte), tragen Sie als Verantwortlicher die Pflicht, diese Daten vor der Entsorgung unwiederbringlich zu beseitigen. Gelangt eine Festplatte mit lesbaren Daten in falsche Hände, ist das eine Datenpanne mit Meldepflicht: In der Regel innerhalb von 72 Stunden an die zuständige Aufsichtsbehörde, bei hohem Risiko zusätzlich an die betroffenen Personen. Wie eine solche Meldung abläuft, lesen Sie im Beitrag zu den DSGVO-Pflichten für KMU.

Der finanzielle Rahmen ist erheblich. Verstöße gegen die Grundsätze der Datenverarbeitung können nach Art. 83 DSGVO mit Bußgeldern von bis zu 20 Millionen Euro oder 4 Prozent des weltweiten Jahresumsatzes geahndet werden, je nachdem, welcher Betrag höher ist. Für KMU fallen die Bußgelder in der Praxis deutlich niedriger aus, real bleiben sie aber. Der Hamburgische Datenschutzbeauftragte verhängte etwa ein Bußgeld von 900.000 Euro gegen ein Unternehmen, das personenbezogene Daten trotz abgelaufener Löschfristen jahrelang aufbewahrt hatte. Das zeigt: Behörden nehmen die Löschpflicht ernst.

Quelle: Verordnung (EU) 2016/679 (DSGVO)

Quelle: Haufe: 900.000 Euro Bußgeld, weil Daten nicht gelöscht wurdenBußgeld des Hamburgischen Beauftragten für Datenschutz und Informationsfreiheit (HmbBfDI).

Wie teuer eine nachlässige Ausmusterung im großen Maßstab wird, zeigt ein internationaler Fall: Die US-Bankenaufsicht OCC verhängte 2020 gegen Morgan Stanley ein Bußgeld von 60 Millionen US-Dollar, die Börsenaufsicht SEC 2022 weitere 35 Millionen US-Dollar. Die Bank hatte beim Rückbau zweier Rechenzentren tausende Festplatten und Server an einen Dienstleister ohne Erfahrung in Datenvernichtung gegeben und dessen Arbeit nicht kontrolliert. Ein Teil der Geräte wurde weiterverkauft und online versteigert, mit teils unverschlüsselten Daten von rund 15 Millionen Kundinnen und Kunden. Die Größenordnung ist für ein KMU nicht übertragbar, das Muster aber schon: Nicht der Angriff, sondern die eigene Entsorgung war das Leck.

Quelle: Infosecurity Magazine: Morgan Stanley Fined $60m Over Data DisposalStand: 2026-08-10. Fine der OCC (2020) und SEC (2022) wegen unsachgemäßer Datenträgerentsorgung.

HDD, SSD oder verschlüsselt: das richtige Löschverfahren

Nicht jeder Datenträger wird gleich gelöscht. Bei klassischen Festplatten (HDD) hilft mehrfaches Überschreiben, bei SSDs ist das unzuverlässig und Sie brauchen den herstellerseitigen Secure Erase. Am einfachsten ist es, wenn der Datenträger von Anfang an verschlüsselt war: Dann genügt das sichere Löschen des Schlüssels. Das BSI beschreibt diese Verfahren als anerkannte Wege zum sicheren Löschen.

Klassische Festplatte (HDD): Hier liegen die Daten magnetisch auf drehenden Scheiben. Werden alle Speicherbereiche mit einer speziellen Software überschrieben (mit Zufallszahlen oder festen Zeichen), sind sie praktisch nicht mehr rekonstruierbar. Das BSI weist darauf hin, dass ein Überschreiben in den meisten Fällen ausreicht. Solche Löschprogramme werden typischerweise von einem bootfähigen Stick gestartet und bereinigen den gesamten Datenträger.

SSD und Flash-Speicher: Bei SSDs entscheidet der Controller des Laufwerks selbst, welche Speicherzellen beschrieben werden. Klassisches Überschreiben erreicht deshalb nicht zuverlässig alle Bereiche. Nutzen Sie stattdessen den herstellerseitigen Secure-Erase-Befehl (ATA Secure Erase beziehungsweise Enhanced Security Erase), der die gesamte Festplatte inklusive Reservebereichen löscht.

Verschlüsselte Datenträger: War der Datenträger durchgängig verschlüsselt (BitLocker unter Windows, FileVault unter macOS), reicht es, den Schlüssel sicher zu vernichten. Ohne Schlüssel sind die Daten faktisch unlesbar. Das ist ein starkes Argument, alle mobilen Geräte konsequent zu verschlüsseln, bevor überhaupt Firmendaten darauf landen. Mehr dazu im Beitrag zu MFA und Verschlüsselung im Unternehmen.

Quelle: BSI: Daten endgültig löschenEmpfehlungen zum Überschreiben, Secure Erase und zur physischen Zerstörung.

DIN 66399 und ISO/IEC 21964: Schutzklassen und Sicherheitsstufen

Für die physische Vernichtung von Datenträgern gibt es einen anerkannten Standard: die DIN 66399, die seit 2026 vollständig durch die internationale Norm ISO/IEC 21964 abgelöst wurde. Sie ordnet Datenträger drei Schutzklassen (nach Schutzbedarf) und sieben Sicherheitsstufen (nach Feinheit der Zerkleinerung) zu. Je höher die Stufe, desto kleiner die Restpartikel, desto unmöglicher die Wiederherstellung.

Die drei Schutzklassen richten sich nach der Sensibilität der Daten:

• Schutzklasse 1: normaler Schutzbedarf, interne Daten
• Schutzklasse 2: hoher Schutzbedarf, vertrauliche Daten
• Schutzklasse 3: sehr hoher Schutzbedarf, geheime und besonders sensible Daten

Für die meisten personenbezogenen Unternehmensdaten (Kunden-, Personal-, Buchhaltungsdaten) ist Schutzklasse 2 der richtige Rahmen. Ihr sind die Sicherheitsstufen 3 bis 5 zugeordnet. Für Festplatten (die Norm kennzeichnet magnetische Datenträger mit dem Kürzel „H") bedeutet das in der Praxis meist mindestens die Stufe H4 oder H5.

Bei der Stufe H4 muss die Festplatte mehrfach zerteilt und verformt werden, sodass die Fläche der einzelnen Materialpartikel 2.000 mm² nicht überschreitet. Höhere Stufen verlangen eine noch feinere Zerkleinerung. Für besonders sensible Datenbestände wählen Sie eine höhere Stufe. Ein seriöser Vernichtungsdienstleister berät Sie hier und dokumentiert die eingesetzte Sicherheitsstufe im Nachweis.

Quelle: Dr. Datenschutz: Die Norm DIN 66399 zur DatenträgervernichtungSchutzklassen, Sicherheitsstufen und die Zuordnung zu Datenträger-Typen.

So entsorgen Sie Firmengeräte rechtssicher: der Ablauf

Ein sauberer Entsorgungsprozess besteht aus wenigen, klaren Schritten: Geräte erfassen, Datenträger löschen oder vernichten, alles dokumentieren und erst dann die Hardware physisch entsorgen. Wichtig ist, dass kein Gerät den Betrieb verlässt, ohne dass der Speicher nachweislich bereinigt wurde. Genau an dieser Lücke entstehen die meisten Datenlecks.

1. 1
   Geräte und Datenträger erfassen
   Legen Sie eine Liste aller auszumusternden Geräte mit Seriennummer an. Notieren Sie, welche Datenträger enthalten sind, auch versteckte wie die Festplatte im Kopierer oder im NAS. Nichts entsorgen, was nicht auf der Liste steht.
2. 2
   Passendes Löschverfahren wählen
   HDDs sicher überschreiben, SSDs per Secure Erase löschen, verschlüsselte Datenträger über die Schlüssellöschung. Defekte oder besonders sensible Datenträger für die physische Vernichtung vormerken.
3. 3
   Löschung durchführen oder beauftragen
   Führen Sie die Löschung mit geeigneter Software durch oder übergeben Sie die Datenträger einem zertifizierten Dienstleister. Trennen Sie zu vernichtende Datenträger sicher verwahrt von noch nutzbaren Geräten.
4. 4
   Nachweis einholen und dokumentieren
   Lassen Sie sich einen Lösch- oder Vernichtungsnachweis mit Datum, Datenträgern und Sicherheitsstufe ausstellen. Bewahren Sie ihn zusammen mit Ihrer Geräteliste auf.
5. 5
   Hardware fachgerecht entsorgen
   Geben Sie die entkernte oder gelöschte Hardware über eine nach ElektroG zugelassene Erstbehandlungsanlage oder Ihren Entsorger in das Elektroschrott-Recycling. Erst löschen, dann wegwerfen, nie umgekehrt.

Dieser Ablauf lässt sich gut in Ihre bestehende Hardware-Planung einbauen. Wenn Sie ohnehin einen geregelten Austauschzyklus für PCs und Server pflegen, ist die datenschutzkonforme Entsorgung nur der letzte Schritt darin. Details zum sinnvollen Austauschzeitpunkt finden Sie im Beitrag zum Hardware-Lifecycle im Unternehmen.

Auftragsverarbeitungsvertrag, Löschnachweis und ElektroG

Wenn ein externer Dienstleister Ihre Datenträger löscht oder vernichtet, verarbeitet er personenbezogene Daten in Ihrem Auftrag. Deshalb brauchen Sie mit ihm einen Auftragsverarbeitungsvertrag nach Art. 28 DSGVO, und Sie sollten einen Vernichtungsnachweis erhalten. Für die eigentliche Elektroschrott-Entsorgung ist zusätzlich eine nach ElektroG zugelassene Anlage nötig.

Der Auftragsverarbeitungsvertrag (AVV) ist keine Formalie: Er regelt, wie der Dienstleister mit den Daten umgeht, dass er sie nicht für eigene Zwecke nutzt und welche Sicherheitsmaßnahmen er einhält. Ohne AVV geben Sie personenbezogene Daten unkontrolliert aus der Hand. Seriöse Entsorger legen den Vertrag von sich aus vor. Wie ein AVV aufgebaut ist und worauf Sie achten sollten, lesen Sie im Beitrag zum Auftragsverarbeitungsvertrag für KMU.

Der Lösch- oder Vernichtungsnachweis ist Ihr Beleg gegenüber der Aufsichtsbehörde. Er sollte enthalten: Datum, Liste der Datenträger (idealerweise mit Seriennummern), das eingesetzte Verfahren und die Sicherheitsstufe nach DIN 66399 beziehungsweise ISO/IEC 21964. Bewahren Sie ihn zusammen mit Ihrer Geräteliste auf. Kommt es später zu Rückfragen, können Sie so lückenlos zeigen, was mit welchem Datenträger passiert ist.

Und schließlich die reine Elektroschrott-Seite: Alte IT-Geräte gehören nicht in den Restmüll. Das Elektro- und Elektronikgerätegesetz (ElektroG) verlangt, dass Altgeräte über zugelassene Erstbehandlungsanlagen verwertet werden. Ein guter Entsorgungsdienstleister deckt beides ab: die datenschutzkonforme Vernichtung nach Norm und die umweltgerechte Verwertung nach ElektroG.

Quelle: Verordnung (EU) 2016/679 (DSGVO)

Was viele vergessen: Speicher steckt in mehr als nur PCs

Nicht nur Festplatten und Server speichern Daten. Smartphones, Tablets, USB-Sticks, externe Festplatten, Backup-Bänder, NAS-Systeme, Router, Firewalls und selbst Multifunktionsdrucker und Kopierer mit interner Festplatte enthalten oft personenbezogene oder vertrauliche Informationen. Wer nur an den offensichtlichen Bürorechner denkt, übersieht regelmäßig die riskantesten Geräte.

Besonders unterschätzt werden zwei Kategorien:

Multifunktionsdrucker und Kopierer: Viele Geräte haben eine interne Festplatte, die jedes gescannte, gedruckte oder kopierte Dokument zwischenspeichert. Ein ausgemustertes oder zurückgegebenes Leasinggerät kann so tausende Seiten sensibler Dokumente enthalten. Klären Sie beim Rückgabe- oder Entsorgungsprozess, wie diese Festplatte gelöscht wird.

Netzwerk- und Speichergeräte: Router und Firewalls speichern Konfigurationen und Zugangsdaten, NAS-Systeme oft den kompletten Dateibestand eines Betriebs, alte Backup-Bänder ganze Datensicherungen über Jahre. Diese Geräte gehören genauso in den Löschprozess wie ein Arbeitsplatz-PC. Zum Zusammenspiel mit Ihrer Sicherungsstrategie hilft der Beitrag zu Backup-Strategien für Unternehmen.

Ein Sonderfall ist die Cloud: Wenn Sie Daten aus Microsoft 365 oder anderen Cloud-Diensten „entsorgen", geht es nicht um Hardware, sondern um Löschkonzepte und Aufbewahrungsrichtlinien beim Anbieter. Das ist ein eigenes Thema, gehört aber in dieselbe Überlegung: Wo überall liegen Firmendaten, und wie werden sie am Ende ihres Lebenszyklus sicher entfernt?

Der Zusammenhang mit NIS2 und dem Stand der Technik

Für viele Unternehmen ist eine geregelte Datenträgerentsorgung nicht nur DSGVO-Pflicht, sondern Teil der Anforderungen aus dem NIS2-Umsetzungsgesetz. Wer davon betroffen ist, muss ein angemessenes Sicherheitsniveau nach dem Stand der Technik nachweisen, und dazu gehört der sichere Umgang mit Datenträgern über den gesamten Lebenszyklus, von der Anschaffung bis zur Entsorgung.

Das NIS2-Umsetzungsgesetz erfasst in Deutschland deutlich mehr Betriebe als nur klassische Kritische Infrastruktur. Ob Ihr Unternehmen konkret darunterfällt, hängt von Sektor und Größe ab und sollte einzeln geprüft werden. Unabhängig davon ist ein sauberer Entsorgungsprozess für jeden Betrieb sinnvoll, weil er gleich mehrere Anforderungen auf einmal erfüllt: Datensicherheit nach DSGVO, Dokumentationspflicht und ein belastbarer Nachweis im Prüfungsfall. Was NIS2 für kleine und mittlere Betriebe bedeutet, lesen Sie im Beitrag zu den NIS2-Pflichten für KMU.

Quelle: BSI: NIS-2-regulierte Unternehmen

So unterstützt ITCC

Wenn bei Ihnen ein Hardware-Austausch ansteht oder ein Stapel alter Geräte im Lager auf die Entsorgung wartet, klären wir gemeinsam, was damit passieren muss. ITCC ist Ihre externe IT-Abteilung für kleine und mittlere Unternehmen in der Pfalz, im Rhein-Neckar-Raum und im Rhein-Main-Gebiet. Wir erfassen Ihre auszumusternden Geräte, löschen Datenträger nach anerkannten Verfahren, organisieren die zertifizierte Vernichtung nicht mehr nutzbarer Datenträger inklusive Löschnachweis und sorgen dafür, dass am Ende auch die ElektroG-konforme Entsorgung stimmt.

Das läuft bei uns als Teil Ihrer planbaren IT-Betreuung: Wir führen ohnehin eine Geräteliste und wissen, welche Hardware wann in den Austausch geht. Die datenschutzkonforme Entsorgung ist dann der geregelte letzte Schritt, kein hektischer Einzelvorgang. Sprechen Sie uns an, wenn Sie sicher sein wollen, dass beim Wegwerfen keine Daten übrig bleiben.

Beratungsgespräch vereinbaren