Ein datenträgendes Gerät ist jedes Asset, das Daten speichert - Laptop, Telefon, Laufwerk oder Kopierer - und bei Entsorgung sicheres Löschen oder Vernichtung braucht.
Ein datenträgendes Gerät ist jedes Gerät, das Daten speichert - Laptop, Telefon, Server, Datenträger oder Bürokopierer - und deshalb vor Verkauf, Spende, Rückgabe oder Recycling sicher gelöscht oder physisch vernichtet werden muss. Die Kategorie gibt es, weil die Entsorgung dort am häufigsten scheitert, wo der Datenschutz versagt: Ein Asset kann das Gebäude als scheinbar harmloser Elektroschrott verlassen, während Kundendaten, Zugangsdaten und Firmendateien darauf noch lesbar sind.
Was als datenträgendes Gerät zählt
Die offensichtlichen Mitglieder sind Laptops, Desktops, Smartphones, Tablets, Server und lose Speicher: Festplatten, SSDs, USB-Sticks, Speicherkarten und Backup-Bänder. Was Organisationen überrascht, ist weniger Offensichtliches:
- Drucker und Kopierer - die meisten Büro-Multifunktionsgeräte haben ein internes Laufwerk, das gescannte und gedruckte Dokumente speichert.
- Netzwerktechnik - Router, Switches und Firewalls speichern Konfigurationen, Zugangsdaten und VPN-Schlüssel.
- Tischtelefone und Technik im Besprechungsraum - Anrufprotokolle, Verzeichnisse und gespeicherte Kontoanmeldungen.
- Smart-Displays und Fernseher - gekoppelte Konten und gespeicherte WLAN-Zugangsdaten, anders als einfache Monitore, die meist nichts speichern.
- Laufwerke in anderer Ausstattung - der klassische Fehler ist ein Desktop, der mit noch eingebautem Laufwerk zum Recycling geht.
Eine nützliche Gewohnheit ist, die Geräteklasse zu kennzeichnen, nicht das Einzelstück: Jeder Laptop ist datenträgend, jedes Kabel nicht, und Grenzfälle werden einmal geklärt, statt bei jeder Entsorgung neu zu diskutieren.
Warum die Kennzeichnung zählt
Ein Asset als datenträgend zu kennzeichnen, ändert seinen Entsorgungsweg. Nicht datenträgende Ausstattung kann unter den normalen Elektroschrott-Regeln direkt zum Recycler. Datenträgende Ausstattung muss zuerst bereinigt werden - und die Organisation muss nachweisen können, dass es geschehen ist. Unter der WEEE-Richtlinie (in Deutschland dem ElektroG) ist die Recyclingpflicht in beiden Fällen dieselbe; die Datenpflicht kommt obendrauf und liegt bei Ihnen, nicht beim Recycler.
Entsorgung: löschen, vernichten und belegen
Drei Ansätze machen Daten unwiederbringlich: das vollständige Überschreiben des Laufwerks per Software, die kryptografische Löschung, sofern das Gerät standardmäßig verschlüsselt, oder die physische Vernichtung des Mediums (Schreddern oder Entmagnetisierung bei magnetischen Laufwerken). Dateien zu löschen oder ein Gerät auf Werkseinstellungen zurückzusetzen ist zuverlässig keines davon.
Welchen Weg Sie auch wählen, protokollieren Sie ihn auf Ebene der Seriennummer und bewahren Sie die Unterlagen auf - einen Vernichtungsnachweis des Anbieters für jedes vernichtete Laufwerk oder Gerät. „Wir haben eine Palette zum Recycler geschickt” ist kein Nachweis; „Seriennummer 5CD123 wurde an diesem Datum von diesem Anbieter geschreddert” ist einer.
Datenträgende Geräte durch den Lebenszyklus verfolgen
Was Sie nicht finden, können Sie nicht löschen - die Arbeit beginnt lange vor der Entsorgung: Jedes datenträgende Gerät kommt beim Kauf ins Register, und eine regelmäßige körperliche Inventur bringt die Schublade voller alter Telefone und den Schrank mit ausgemusterten Laptops ans Licht, bevor sie verschwinden. Am Ende der Nutzungsdauer soll der Asset-Datensatz zeigen, wer das Gerät zuletzt hatte, wann es bereinigt wurde und wo der Vernichtungsnachweis liegt. In AMPthilly heißt das, das Asset mit angehängtem Lösch- oder Vernichtungszertifikat auszumustern, wobei der Audit-Trail die vollständige Nachweiskette dauerhaft festhält.
Verwandte Begriffe
- Vernichtungsnachweis - das Anbieterdokument, das die Vernichtung eines Geräts oder Laufwerks belegt
- Elektroschrott - der Entsorgungsweg, in den bereinigte datenträgende Geräte gehen
- WEEE-Richtlinie - die EU-Regeln zur Entsorgung elektrischer Geräte
- Audit-Trail - die protokollierte Historie, die die Entsorgung jedes Geräts belegt
- Körperliche Inventur - die Prüfung, die vergessene Geräte findet, bevor sie zum Datenleck werden