Was ist sichere Datenlöschung?

Sichere Datenlöschung (englisch data sanitization, oft auch Datenbereinigung genannt) ist das bewusste, dauerhafte Entfernen von Daten von einem Datenträger, sodass sie sich selbst mit forensischen Mitteln nicht wiederherstellen lassen. Sie ist der Schritt, der es überhaupt erst sicher macht, ein datenträgendes Gerät aus Ihrem Einflussbereich zu entlassen - ob es weiterverkauft, gespendet, recycelt oder im Rahmen der IT Asset Disposition an einen Entsorgungsanbieter übergeben wird.

In dieser Definition steckt ein Wort, das gerne überlesen wird, und es trennt die Profis von den Hoffenden: nachgewiesen. Eine Löschung, die Sie nicht belegen können, auf einem Laufwerk, das Sie nicht benennen können, ist keine sichere Datenlöschung. Sie ist eine Absicht. Die in der Entsorgungsbranche gebräuchliche Arbeitsdefinition lautet: Datenlöschung ist das Entfernen von Daten auf eine Weise, die zugleich unumkehrbar und belegt ist - Verfahren, Datenträger, ausführende Person, Datum, Ergebnis. Alles Weitere auf dieser Seite folgt daraus.

Achten Sie auf die Lücke zwischen echter Löschung und dem, was die meisten stattdessen tun. Den Papierkorb zu leeren, ein Benutzerprofil zu löschen oder ein Laufwerk schnell zu formatieren entfernt nur die Wegweiser zu den Daten, nicht die Daten selbst. Solange die zugrunde liegenden Blöcke nicht überschrieben oder vernichtet sind, holt gewöhnliche Wiederherstellungssoftware die Dateien zurück.

Was Sie hier erfahren

• Löschen, Überschreiben und Vernichten - die Begriffsleiter
• NIST SP 800-88 Rev. 2, IEEE 2883 und DIN 66399
• Die drei Methodenfamilien
• Jeden Datenträgertyp richtig löschen
• Festplatte sicher löschen, Schritt für Schritt
• Die richtige Methode wählen
• Mythen, die weiterhin Zeit und Geld kosten
• Früh verschlüsseln, damit die Löschung Sekunden dauert
• Löschung in der Cloud und in SaaS
• Verifikation und Nachweis
• Was ein Löschkonzept enthalten sollte
• Löschen und wiederverwenden oder vernichten?
• Welche Regeln das tatsächlich verlangen
• Häufige Fehler
• FAQ
• Werkzeuge, die das erleichtern

Löschen, Überschreiben und Vernichten - die Begriffsleiter

Die meisten Streitgespräche zu diesem Thema sind in Wahrheit Streitgespräche über Vokabular. Deshalb lohnt es sich, die Leiter einmal sauber zu bauen:

• Löschen, Papierkorb leeren, schnellformatieren. Entfernt den Verweis, lässt die Daten liegen. Mit kostenloser Software umkehrbar. Keine sichere Löschung.
• Datenlöschung durch Überschreiben, oft „Wiping” genannt. Software überschreibt den adressierbaren Speicher mit neuen Daten. Das ist ein Verfahren, und auf magnetischen Datenträgern ein gutes - zur sicheren Löschung wird es aber erst, wenn es verifiziert ist.
• Kryptografisches Löschen. Die Daten bleiben, wo sie sind, aber der Schlüssel, der sie lesbar macht, wird zerstört. Übrig bleibt Chiffretext, den niemand öffnen kann. Sekunden statt Stunden.
• Physische Vernichtung. Schreddern, Zerkleinern, Verbrennen oder Einschmelzen. Der Datenträger hört auf, ein Datenträger zu sein.
• Aussonderung und Entsorgung. Was danach mit dem Gerät passiert - Wiederverwendung, Verkauf, Rückgabe an den Leasinggeber, Recycling. Siehe Anlagenabgang und Stilllegung von Anlagen für den umgebenden Prozess.

Sichere Datenlöschung ist das übergeordnete Ergebnis, nicht eines der Verfahren. Überschreiben, kryptografisches Löschen, Entmagnetisierung und Vernichtung sind Wege dorthin. Der technische Gegner hat in allen Fällen einen Namen: Datenremanenz, also die Restdarstellung von Daten, die eine nominelle Löschung überlebt. Remanenz ist der Grund, warum eine formatierte Festplatte weiterhin Dateien herausgibt, und warum Flash-Speicher einen anderen Ansatz braucht als rotierende Scheiben.

Eine Abgrenzung, weil sie echte Verwirrung stiftet: In der Softwareentwicklung und in der Analytik meint „Datenbereinigung” manchmal das Maskieren oder Anonymisieren von Datensätzen innerhalb eines Datenbestands - echte Kundennamen durch erfundene ersetzen, bevor eine Datenbank an ein Testteam geht, oder Identifikatoren vor einer Auswertung entfernen. Das ist eine legitime Verwendung des Begriffs, aber eine andere Aufgabe: Sie schützt einen Datenbestand im Betrieb, während es auf dieser Seite darum geht, ein Gerät vor dem Verlassen des Hauses zu bereinigen. Wenn Ihnen jemand die Anforderung „die Daten bereinigen” auf den Tisch legt, klären Sie zuerst, welche der beiden Bedeutungen gemeint ist, bevor Sie einen Schredder bestellen.

NIST SP 800-88 Rev. 2, IEEE 2883 und DIN 66399

Die international meistzitierte Referenz ist NIST SP 800-88, Guidelines for Media Sanitization, und sie hat sich 2025 wesentlich verändert. Revision 2 wurde am 26. September 2025 veröffentlicht, und Revision 1 - seit 2014 in Kraft - wurde am selben Tag zurückgezogen. Wenn in einer Richtlinie, einer Ausschreibung oder einem Anbieterdatenblatt vor Ihnen weiterhin nur „NIST 800-88” ohne Revisionsnummer steht, beschreibt es die alte Welt.

Was geblieben ist: die drei Kategorien Clear, Purge und Destroy. Sie sind weiterhin das Rückgrat und das Vokabular, das jeder Entsorgungsanbieter und jeder Sicherheitsfragebogen verwendet.

Was sich geändert hat: NIST schreibt die Verfahren bewusst nicht mehr vor. Rev. 2 gibt die technischen Details an IEEE 2883-2022, Standard for Sanitizing Storage, ab. Dieser Standard definiert die tatsächlichen Befehle auf Schnittstellenebene je Datenträgertyp - SATA, SAS und NVMe - und hält sie aktuell, während sich die Speicherhardware weiterentwickelt. NIST konzentriert sich nun auf das Programm: risikobasierte Entscheidungen darüber, welche Kategorie gilt, ein ausdrücklicher Fokus auf die Verifikation der Löschung und aktualisierte Erwartungen an das Löschzertifikat.

Drei Details, die ein Gespräch mit dem Anbieter abkürzen:

• IEEE 2883 verwendet die Bezeichnungen Clear, Purge und Destruct - fast identisch mit NIST, mit leicht abweichendem drittem Wort, was in Ausschreibungsantworten regelmäßig zu Missverständnissen führt.
• Der Standard erkennt Verbrennen, Einschmelzen und Zerkleinern ausdrücklich als Vernichtungsergebnisse an, nicht nur das Schreddern.
• Er ist deutlich vorsichtiger gegenüber dem klassischen ATA Secure Erase, das eine lange Geschichte herstellerspezifischer Umsetzungen hat, die nicht taten, was der Name versprach. Die neueren Sanitize-Befehle sind vorzuziehen, und auf das alte Secure Erase sollte man sich ohne Herstellerbestätigung nicht verlassen.

In Deutschland kommt eine zweite Normenwelt dazu, und sie ist für die Praxis wichtiger. DIN 66399 („Vernichten von Datenträgern”, Nachfolgerin der DIN 32757) ist die Norm, an der sich Aktenvernichter und Entsorgungsdienstleister ausrichten. Sie ordnet Daten drei Schutzklassen zu - von normalem über hohen bis zu sehr hohem Schutzbedarf - und definiert je Materialart eigene Sicherheitsstufen: H für Festplatten mit magnetischem Datenträger, E für elektronische Datenträger wie SSDs, USB-Sticks, Chipkarten und Smartphones, O für optische Medien, T für magnetische Medien wie Bänder, P für Papier. Je höher die Stufe, desto kleiner die zulässige Restpartikelgröße. Praktisch heißt das: Für personenbezogene Daten wird typischerweise mindestens die Stufe H-4 beziehungsweise E-4 gefordert, für besonders schutzbedürftige Daten eine Stufe darüber. Beachten Sie den Unterschied zwischen H und E - ein einzelner überlebender Flash-Chip trägt Daten, deshalb verlangen die E-Stufen erheblich feinere Partikel als die H-Stufen. Wer eine SSD in einem Schredder vernichten lässt, der nur für Festplatten ausgelegt ist, kauft eine Zahl auf dem Zertifikat, keine Sicherheit.

Ergänzend sind zwei Dokumente nützlich: DIN EN 15713 beschreibt die sichere Vernichtung vertraulicher Unterlagen als Dienstleistung, also die Anforderungen an den Dienstleister und seine Prozesse, und der BSI-IT-Grundschutz-Baustein CON.6 „Löschen und Vernichten” liefert die organisatorische Sicht für deutsche Behörden und alle, die sich am Grundschutz orientieren.

Einordnung für Leserinnen und Leser außerhalb des öffentlichen Sektors: Niemand auditiert Ihren Mittelstandsbetrieb gegen NIST. Aber genau diese Dokumente zitieren Ihnen Ihr Entsorgungsanbieter, Ihr Versicherer und die Sicherheitsfragebögen Ihrer Konzernkunden. Zu wissen, welches Dokument was sagt - NIST für Kategorie und Programm, IEEE 2883 für den Befehl, DIN 66399 für die Vernichtungsstufe - beendet die meisten Diskussionen in einem Satz.

Die drei Methodenfamilien

Die Kategorien in aufsteigender Stärke:

• Clear - Überschreiben des adressierbaren Speichers mit neuen Daten über die normalen Schreibbefehle oder ein dokumentierter Reset, der dasselbe erreicht. Schützt vor gewöhnlicher Wiederherstellungssoftware; geeignet für Datenträger, die innerhalb der Organisation weiterverwendet werden.
• Purge - stärkere Verfahren, die auch eine Wiederherstellung im Labor verhindern: der Sanitize-Befehl des Laufwerks selbst (Block Erase, Overwrite oder Crypto Erase, je nach Schnittstelle), das kryptografische Löschen, bei dem der Verschlüsselungsschlüssel zerstört wird, sodass die Daten zu unlesbarem Chiffretext werden, oder die Entmagnetisierung bei magnetischen Datenträgern. Das klassische ATA Secure Erase gehört prinzipiell hierher, aber lassen Sie sich vom Hersteller bestätigen, dass die Umsetzung vertrauenswürdig ist, statt dem Etikett zu glauben.
• Destroy - Schreddern, Zerkleinern, Einschmelzen oder Verbrennen des Datenträgers, sodass er nicht mehr nutzbar ist. Das Ende der Fahnenstange, wenn das Laufwerk defekt ist, die Daten hochsensibel sind oder die Richtlinie es vorschreibt.

Den nächstliegenden Fehler vermeiden: Verfahren hängen vom Datenträger ab. Entmagnetisierung löscht Festplatten und Bänder, bei SSDs bewirkt sie nichts; mehrfaches Überschreiben, konzipiert für magnetische Scheiben, passt schlecht zu Flash-Speicher, wo der Sanitize-Befehl oder das kryptografische Löschen der Firmware die Arbeit korrekt erledigt. Die Entmagnetisierung selbst ist inzwischen eher eine schrumpfende Nische als ein gleichrangiges Verfahren: Sie wirkt nur auf magnetischen Medien, und ein entmagnetisiertes Laufwerk ist danach in der Regel tot - sie konkurriert also mit der Vernichtung, nicht mit dem Überschreiben.

Jeden Datenträgertyp richtig löschen

Die SSD-Zeile verdient einen eigenen Absatz, weil hier gut gemeinte IT-Teams am selbstbewusstesten das Falsche tun. Überschreiben scheitert auf Flash-Speicher aus strukturellen Gründen. Wear-Levelling verteilt Schreibvorgänge über den Chip, um seine Lebensdauer zu verlängern - ein Schreibvorgang, der „denselben Block” treffen soll, landet also oft ganz woanders. Der Flash Translation Layer sorgt dafür, dass die Adressen, die Ihre Software sieht, nicht die physischen Zellen sind. Und überprovisionierte Blöcke, also Reservekapazität, die der Controller zurückhält und die das Betriebssystem gar nicht adressieren kann, können alte Daten enthalten, die Ihr Überschreiben nie erreicht. Ein zehnfaches Überschreiben einer SSD kann wiederherstellbare Daten zurücklassen, ein einsekündiges kryptografisches Löschen nicht. Nutzen Sie den Sanitize-Befehl des Laufwerks oder vernichten Sie es.

Festplatte sicher löschen, Schritt für Schritt

Eine werkzeugunabhängige Abfolge - und die Reihenfolge zählt mehr als die Software, für die Sie sich entscheiden:

1. Laufwerk identifizieren und die Seriennummer erfassen, gegen den Asset-Datensatz. Ein Löschvorgang, der keiner konkreten Seriennummer zugeordnet ist, lässt sich später nicht belegen.
2. Feststellen, was darauf liegt und wie sensibel es ist. Die Datenklassifizierung bestimmt die Kategorie, nicht die Hardware.
3. Prüfen, ob das Laufwerk verschlüsselt ist und ob es sich um eine selbstverschlüsselnde Festplatte handelt. Wenn ja, ist kryptografisches Löschen oder ein PSID Revert vermutlich die schnellste richtige Antwort.
4. Verfahren nach Datenträger und Ziel wählen - interne Wiederverwendung, Verkauf, Rückgabe an den Leasinggeber oder Verschrottung. Wiederverwendung und Verkauf sprechen für ein verifiziertes Purge; nicht verifizierbare Datenträger sprechen für Vernichtung.
5. Laufwerk aus dem Gehäuse ausbauen, wenn das Gerät nicht mehr startet oder wenn Sie den Sanitize-Befehl über einen Controller ausführen müssen, der ihn unterstützt.
6. Verfahren ausführen.
7. Verifizieren. Entweder über den Verifikationsdurchgang des Werkzeugs oder über eine unabhängige Stichprobenlesung des Datenträgers. Dieser Schritt macht aus einem Überschreiben eine sichere Löschung, und genau dieser Schritt wird übersprungen.
8. Nachweis erfassen: Seriennummer, Verfahren, referenzierte Norm, Werkzeug und Version, ausführende Person, Datum und Ergebnis.
9. Gerät in die nächste Stufe geben und den Status im Register aktualisieren, damit der Datensatz „ausgemustert” zeigt und nicht „im Einsatz, irgendwo”.

Dann die unangenehmen Fälle, die jedes IT-Team kennt und die die meisten Leitfäden auslassen:

• Laufwerke, die nicht mehr anlaufen oder auf Befehle reagieren. Auf Hardware, die nicht mit Ihnen spricht, lässt sich keine Löschung verifizieren. Das sind Vernichtungsfälle, und das Zertifikat ist Ihr einziger Nachweis.
• RAID-Mitglieder. Jedes physische Laufwerk einzeln löschen, nachdem der Verbund aufgelöst wurde; das Löschen des logischen Volumes garantiert nicht, dass jedes Mitglied sauber ist.
• Laufwerke mit vergessenem BIOS- oder Opal-Passwort. Eine TCG-Opal-Festplatte lässt sich meist über die PSID auf ihrem physischen Etikett zurücksetzen, was den Schlüssel und alle Daten zerstört. Fehlt das Etikett, fehlt die Option - dann vernichten.

Die richtige Methode wählen

Drei Fragen entscheiden. Wird das Gerät wiederverwendet oder verkauft? Dann löschen, nicht vernichten - ein verifiziertes Löschen erhält den Wiederverkaufswert, funktionierende Laufwerke zu schreddern bedeutet, Geld zu verbrennen. Wie sensibel sind die Daten? Gewöhnliche Geschäftsdaten auf einem funktionierenden Laptop sind ein Fall für Clear oder Purge; regulierte oder besonders schutzbedürftige Daten verschieben die Entscheidung Richtung Purge oder Destroy. Und können Sie das Verfahren überhaupt ausführen? Laufwerke, die nicht mehr ansprechbar sind, sowie Speicher in Kopierern, in medizinischen Geräten und Diagnosegeräten und in Netzwerktechnik lassen sich oft nicht verlässlich löschen - das sind standardmäßig Fälle für die Vernichtung.

Mythen, die weiterhin Zeit und Geld kosten

• „Es braucht ein drei- oder siebenfaches Überschreiben nach DoD.” DoD 5220.22-M ist überholt. Das US-Verteidigungsministerium referenziert es nicht mehr, und beim Übergang des NISPOM in 32 CFR Part 117 im Jahr 2021 wurde es nicht fortgeführt. Auf modernen magnetischen Laufwerken gilt ein verifizierter Durchgang als ausreichend. Weitere Durchgänge kosten Stunden und Laufwerksverschleiß, nicht mehr Sicherheit - und trotzdem steht die Formulierung weiterhin in Ausschreibungsvorlagen, die vor zehn Jahren geschrieben wurden.
• „Mehr Durchgänge helfen bei einer SSD.” Nein. Mehrfaches Überschreiben ist aus den genannten Wear-Levelling-Gründen das falsche Werkzeug für Flash-Speicher, und es verbraucht lediglich Schreibzyklen.
• „Entmagnetisierung wirkt bei allem.” Sie wirkt nur bei magnetischen Datenträgern. Ein Degausser richtet bei einer SSD, einem USB-Stick oder einem Smartphone exakt nichts aus.
• „Ein Loch durch die Festplatte zerstört sie.” Es zerstört die Nutzbarkeit des Laufwerks, nicht zwingend die Daten. Scheibenfragmente und Flash-Bausteine überstehen ein beiläufiges Durchbohren, und ein einzelnes Loch lässt den größten Teil der Oberfläche für ein Labor lesbar.
• „Verschlüsselung ist bereits eine Löschung.” Nur dann, wenn der Schlüssel nachweislich zerstört ist und keine Kopie überlebt - nicht im Schlüsselhinterlegungsdienst, nicht im Wiederherstellungstresor, nicht in der Managementkonsole. Verschlüsselung ohne Schlüsselzerstörung ist Schutz, keine Löschung.

Früh verschlüsseln, damit die Löschung Sekunden dauert

Die günstigste Löschentscheidung Ihres Lebens fällt Jahre vor der Aussonderung: die Festplattenverschlüsselung an dem Tag einschalten, an dem der Laptop ausgegeben wird. Tun Sie das konsequent, schrumpft die Löschung am Lebensende von einem stundenlangen Überschreiben je Gerät auf die Zerstörung eines Schlüssels - eine Aufgabe von Sekunden, in Serie, auf Hardware, die danach noch einen Wiederverkaufswert hat. Sie deckt außerdem das Gerät ab, das nie bei der Aussonderung ankommt, weil es aus dem Auto gestohlen wurde oder im Zug liegen blieb.

Drei Einschränkungen halten das ehrlich:

• Der Schlüssel muss wirklich weg sein. Ein Wiederherstellungsschlüssel in Ihrer MDM-Konsole oder in einer Schlüsselhinterlegung bedeutet, dass die Daten weiterhin erreichbar sind. Kryptografisches Löschen ist erst dann ein Purge, wenn auch die hinterlegte Kopie vernichtet ist.
• Die Verschlüsselung muss ab dem ersten Schreibvorgang aktiv gewesen sein. Wer sie später einschaltet, verschlüsselt den aktuellen Bestand; früher geschriebene Blöcke können weiterhin Klartextreste enthalten.
• Sie müssen belegen können, dass das Laufwerk verschlüsselt war. Das ist ein Feld im Asset-Datensatz, keine Erinnerung. „Wir verschlüsseln alles” ist eine Richtlinienaussage; ein Kennzeichen je Gerät im Inventarverzeichnis ist ein Beleg.

Genau hier verdient sich ein Entsorgungsleitfaden seinen Platz neben dem Register statt neben einem Anbieterblog: Was die Aussonderung billig macht, ist eine Datenqualitätsentscheidung, die bei der Beschaffung getroffen wurde.

Löschung in der Cloud und in SaaS

Sie können keine Festplatte schreddern, die Ihnen nicht gehört. Löschung in der Cloud ist deshalb eher eine Frage der geteilten Verantwortung als eine technische Frage.

Bei IaaS kontrollieren Sie die Volumes: Sie können verschlüsselte Volumes samt ihrer Schlüssel zerstören oder überschreiben, wo der Anbieter das unterstützt, und Sie können die Handlung aus Ihren eigenen Konsolenprotokollen belegen. Bei SaaS kontrollieren Sie den Löschknopf in der Anwendung und nichts darunter. Was dort zählt, ist vertraglich: der Auftragsverarbeitungsvertrag nach Artikel 28 DSGVO, die zugesagten Löschfristen des Anbieters, ob Backups abgedeckt sind und in welchem Rhythmus, und ob der Anbieter die Löschung auf Nachfrage schriftlich bestätigt.

Die Branche hat sich deutlich in Richtung kryptografisches Löschen als Standardmechanismus in der Cloud bewegt, aus dem naheliegenden Grund, dass es das einzige Verfahren ist, das über geteilten, replizierten Speicher hinweg skaliert.

Praktisch bedeutet das einen Wechsel der Nachweisart. Für Cloud-Daten ist Ihr Beleg prozessual und vertraglich, kein Löschprotokoll. Halten Sie also fest, welche Systeme welche Datenklassen enthielten, und bewahren Sie die Löschzusagen des Anbieters dort auf, wo eine prüfende Person sie findet - in der Praxis also neben den Aufbewahrungsfristen, die das meiste davon längst hätten löschen lassen sollen, bevor überhaupt jemand fragt.

Verifikation und Nachweis

Eine Löschung, die keinen Nachweis hinterlässt, hat praktisch nicht stattgefunden, weil niemand später belegen kann, dass sie stattfand. Der praxistaugliche Standard ist ein Nachweis je Gerät: welches Laufwerk (über die Seriennummer), welches Verfahren und welche Norm es referenziert, welches Werkzeug in welcher Version, wer es ausgeführt hat, wann, und mit welchem Verifikationsergebnis - dazu ein Vernichtungsnachweis oder Löschzertifikat, wenn ein Dritter die Arbeit übernimmt.

Ein brauchbares Löschzertifikat nennt die ausführende Organisation, Hersteller, Modell und Seriennummer des Geräts, das Verfahren und die Norm, auf die es abgebildet ist, Werkzeug und Version, das Datum, die ausführende Person, das Verifikationsergebnis und den endgültigen Verbleib des Geräts. Ein Zertifikat, auf dem nur „10 Laptops sicher vernichtet, Juni” steht, ist eine Quittung, kein Nachweis.

Bewahren Sie diesen Nachweis am Asset auf, nicht in einem losen Ordner. In AMPthilly lassen sich Löschprotokolle und Zertifikate als Dokumente am Asset-Datensatz anhängen, neben dem Feld für die Seriennummer, und die Audit-Historie protokolliert sowohl das angehängte Dokument als auch den Statuswechsel auf „ausgemustert” - Beleg und Zeitleiste liegen damit an derselben Stelle.

Was ein Löschkonzept enthalten sollte

Ein funktionierendes Löschkonzept ist kurz und konkret. Als Struktur dafür hat sich in Deutschland die DIN 66398 etabliert, die Leitlinie zur Entwicklung eines Löschkonzepts mit abgeleiteten Löschfristen für personenbezogene Daten. Für die Hardwareseite sollte das Konzept benennen:

• Welche Datenklassifizierung welche Kategorie auslöst - Clear, Purge oder Destroy. Das ist die Entscheidung, die aufhört, bei jedem Gerät neu ausdiskutiert zu werden.
• Wer berechtigt ist, eine Löschung durchzuführen, und wer sie freigibt.
• Zugelassene Verfahren und Werkzeuge je Datenträgertyp, mit der Norm, auf die sie jeweils abgebildet sind - bei Vernichtung also inklusive der geforderten Sicherheitsstufe nach DIN 66399.
• Eigenleistung oder Entsorgungsdienstleister, und was der Dienstleister genau zurückliefern muss: eine Meldung je Seriennummer, keine Sammelzeile. Bei personenbezogenen Daten gehört ein Auftragsverarbeitungsvertrag dazu.
• Anforderungen an die lückenlose Nachweiskette von der Abholung bis zum endgültigen Verbleib. Siehe lückenlose Nachweiskette für das, was ein ununterbrochener Nachweis leisten muss.
• Der Nachweissatz je Gerät und wie lange er aufbewahrt wird - der die Hardware in der Regel um Jahre überleben muss, weil die Fragen erst kommen, wenn das Gerät längst weg ist.

Ergänzen Sie die Funktionstrennung: Wer die Löschung ausführt, sollte nicht die einzige Person sein, die sie abzeichnet. Und binden Sie das Konzept an Ihre Aufbewahrungsfristen zurück, die entscheiden, was längst gelöscht sein sollte, bevor die Hardware ausgemustert wird - der größte Teil des Entsorgungsrisikos ist in Wahrheit verspätet eintreffende Aufbewahrungsschuld.

Löschen und wiederverwenden oder vernichten?

Pauschale Vernichtungsrichtlinien sind meist geerbte Gewohnheit und keine Risikoentscheidung. Einen funktionierenden drei Jahre alten Laptop zu schreddern vernichtet Restwert und erzeugt vermeidbaren Abfall - für ein Risiko, das ein verifiziertes Purge bereits abdeckt - und nimmt das Gerät aus dem Pool, der die nächste Einstellung hätte ausstatten können.

Vernichten, wenn der Datenträger nicht verifiziert werden kann: defekte oder nicht ansprechbare Laufwerke, eingebetteter Speicher ohne Löschpfad und Fälle, in denen ein Vertrag, eine Kundin oder eine Klassifizierung die Vernichtung vorschreibt. Verifiziertes Löschen mit dokumentiertem Nachweis ist überall sonst günstiger und ressourcenschonender.

Die kaufmännische Seite sei klar benannt: Dokumentierte, normreferenzierte Löschung ist überhaupt erst das, was refurbishte Ware verkäuflich macht. Aufbereiter kaufen das Zertifikat genauso wie die Hardware. Das verbindet diese Seite direkt mit Elektroschrott und der WEEE-Richtlinie, in Deutschland umgesetzt im ElektroG - das umweltfreundlichste Gerät ist das, das ein zweites Leben bekommt statt eines Schredders.

Welche Regeln das tatsächlich verlangen

Niemand löscht Hardware zum Vergnügen. Die Pflichten, die es antreiben:

• DSGVO. Das Recht auf Löschung nach Artikel 17 und der Grundsatz der Speicherbegrenzung enden nicht an der Datenbank. Personenbezogene Daten auf einem ausgemusterten Laptop im Abstellraum sind weiterhin personenbezogene Daten und weiterhin Ihre. Artikel 32 verlangt angemessene technische Maßnahmen, Artikel 5 Absatz 2 verlangt, dass Sie das belegen können.
• ISO 27001:2022. Anhang A 7.14 behandelt die sichere Entsorgung oder Wiederverwendung von Geräten, A 8.10 die Löschung von Informationen allgemein. Beides taucht regelmäßig in Fragebögen auf, und beides wird auf Geräteebene belegt. Siehe ISO 27001 Assetmanagement.
• Gesundheits- und Zahlungsdaten. Regelwerke für Patientendaten und PCI DSS für Karteninhaberdaten erwarten beide eine belastbare Entsorgung der Datenträger, die sie enthielten.
• Branchen- und Kundenverträge, die häufig Verfahren und Zertifikat ausdrücklich vorgeben und oft strenger sind als die Regulierung selbst.

Der rote Faden: Jede dieser Anforderungen erwartet Nachweise, keine Zusicherungen. Genau deshalb zählt der Abschnitt zur Verifikation mehr als der Abschnitt zu den Verfahren.

Häufige Fehler

• Sich auf Löschen oder einen Werksreset verlassen. Resets unterscheiden sich je nach Gerät und Generation; manche lassen Nutzerdaten wiederherstellbar. Verifizieren, nicht annehmen.
• Versteckten Speicher vergessen. Kopierer, Drucker, Smartphones, Smart-TVs in Besprechungsräumen, Netzwerktechnik, externe Festplatten, Laufwerksrahmen in ausgemusterten Servern und eingebetteter Speicher in Diagnose- und Medizingeräten tragen alle Daten, an die niemand denkt.
• Das Gerät löschen, die Kopien nicht. Ein perfekt gelöschter Laptop nützt wenig, wenn dieselben Dateien in einem nicht verwalteten Backup oder im Cloud-Sync einer ausgeschiedenen Person weiterleben - ein Grund, warum Offboarding und Aussonderung in denselben Prozess gehören. Siehe Offboarding und Rückgabe von Hardware.
• Annehmen, der Dienstleister trage die Haftung. Nach DSGVO bleibt die verantwortliche Stelle verantwortlich, unabhängig davon, wer den Schraubendreher gehalten hat. Wählen Sie den ITAD-Anbieter entsprechend und behalten Sie seine Meldungen je Seriennummer.
• Keine Anbindung an das Inventarverzeichnis. „Wir löschen vor der Entsorgung alles” ist eine Behauptung; ein Register, in dem jedes ausgemusterte Gerät seinen Löschnachweis trägt, ist ein Beleg.

FAQ

Ist Dateilöschen oder Formatieren dasselbe wie sichere Datenlöschung?

Nein. Löschen und Schnellformatierung entfernen die Indexeinträge zu den Daten, nicht die Daten selbst - Wiederherstellungssoftware stellt solche Dateien routinemäßig wieder her. Eine sichere Datenlöschung macht die Daten selbst unwiederbringlich, durch Überschreiben, kryptografisches Löschen, Zerstörung des Magnetfelds oder Vernichtung des Datenträgers. Der Test ist einfach: Könnte eine entschlossene Person mit forensischen Mitteln die Daten zurückholen, war es keine sichere Löschung.

Funktioniert Entmagnetisierung bei SSDs?

Nein. Entmagnetisierung zerstört Daten durch den Kollaps eines Magnetfelds, was bei klassischen Festplatten und Bändern funktioniert, bei Flash-Speicher aber nichts bewirkt - eine SSD speichert elektrisch, nicht magnetisch. Bei SSDs bleiben als Optionen das Secure-Erase oder das kryptografische Löschen des Herstellers oder die physische Vernichtung, idealerweise durch Schreddern, da Flash-Chips ein bloßes Durchbohren überstehen können.

Wann sollte ein Laufwerk vernichtet statt gelöscht werden?

Vernichten, wenn das Laufwerk nicht verlässlich gelöscht werden kann oder keinen Wiederverwendungswert hat: defekte oder nicht ansprechbare Laufwerke, Datenträger aus Kopierern und eingebetteten Systemen, auf denen keine Löschwerkzeuge laufen, und alles, wo Richtlinie oder Kundenvertrag eine Vernichtung vorschreiben. Löschen, wenn das Gerät weiterverkauft, gespendet oder neu eingesetzt wird - ein verifiziertes Löschen erhält den Wert des Assets, die Vernichtung beendet ihn.

Was hat sich in NIST SP 800-88 Revision 2 geändert?

Revision 2 wurde am 26. September 2025 veröffentlicht, Revision 1 aus dem Jahr 2014 wurde am selben Tag zurückgezogen. Die drei Kategorien Clear, Purge und Destroy bleiben, aber NIST schreibt die Verfahren bewusst nicht mehr selbst vor und verweist für die freigegebenen Befehle auf Schnittstellenebene bei SATA, SAS und NVMe auf IEEE 2883-2022. Die Revision betont die Verifikation stärker, versteht Datenlöschung als risikobasiertes Programm statt als Rezeptbuch je Gerät und aktualisiert, was ein Löschzertifikat festhalten sollte. In der Praxis heißt das: Ein Verfahren als „NIST-Verfahren” zu zitieren ist heute meist falsch - das Verfahren kommt aus IEEE 2883, die Kategorie und die Programmanforderungen kommen von NIST.

Reicht ein Überschreibdurchgang, oder braucht es ein dreifaches Überschreiben?

Bei modernen magnetischen Festplatten gilt ein einzelner verifizierter Überschreibdurchgang als ausreichend; weitere Durchgänge kosten Zeit und Laufwerksverschleiß, nicht mehr Sicherheit. Die viel zitierten drei- und siebenfachen Muster stammen aus DoD 5220.22-M, das das US-Verteidigungsministerium nicht mehr referenziert und das 2021 beim Übergang des NISPOM in 32 CFR Part 117 nicht fortgeführt wurde. Es überlebt vor allem in Ausschreibungsvorlagen. Bei einer SSD ist mehrfaches Überschreiben nicht nur überflüssig, sondern das falsche Werkzeug - dort gehört die Sanitize- oder Crypto-Erase-Funktion des Laufwerks eingesetzt. Entscheidend ist in beiden Fällen der Verifikationsdurchgang, nicht die Anzahl der Durchgänge.

Löscht ein Werksreset ein Smartphone, einen Laptop oder einen Drucker sicher?

Das hängt von der Geräteklasse ab und davon, ob das Gerät von Anfang an verschlüsselt war. Bei einem modernen, standardmäßig verschlüsselten Smartphone oder Tablet zerstört der Werksreset den Schlüssel und kommt einem kryptografischen Löschen nahe, was ihn deutlich aussagekräftiger macht als früher - Generation und Betriebssystemversion entscheiden das aber, also prüfen statt annehmen. Bei Laptops lässt ein Reset oder eine Neuinstallation die alten Partitionsdaten häufig wiederherstellbar. Bei Kopierern, Multifunktionsdruckern, Netzwerktechnik und Diagnosegeräten rührt das Reset-Menü die interne Festplatte oft überhaupt nicht an. Behandeln Sie einen Werksreset nur dort als sichere Löschung, wo der Hersteller ihn so dokumentiert und Sie die Verschlüsselung belegen können.

Werkzeuge, die das erleichtern

Die Löschung selbst passiert auf dem Laufwerk; was eine Prüfung nicht besteht, passiert im Datensatz. AMPthilly führt ein Register für physische Ausrüstung, digitale Datensätze und Verbrauchsmaterial, mit einem Feld für die Seriennummer an jedem Asset und einem Status, der „ausgemustert” einschließt - ein gelöschtes und entsorgtes Gerät sieht damit nicht länger aus wie ein Gerät im Einsatz. Löschprotokolle, Löschberichte und Zertifikate hängen als Dokumente direkt am Asset-Datensatz, neben Rechnung und Garantiekarte, und die Audit-Historie protokolliert sowohl das angehängte Dokument als auch den Statuswechsel in einer filterbaren Zeitleiste, die sich als CSV exportieren lässt, wenn eine prüfende Person nach der Entsorgungscharge fragt. Vier Rollen - Admin, Manager, Mitarbeitende und Kunde - regeln, wer was sehen und ändern darf, und Genehmigungsprozesse halten fest, wer freigegeben hat, womit die Funktionstrennung aufhört, ein bloßer Satz in der Richtlinie zu sein. Druckbare QR-Etiketten, gescannt mit einer normalen Handykamera, öffnen das Asset-Profil im Browser ohne installierte App, sodass sich die Seriennummer bei der Abholung bestätigen lässt statt hinterher in einer Tabelle. Der kostenlose Plan umfasst 3 Nutzer, 25 Assets und 75 MB ohne Kreditkarte und enthält SSO, MFA und die vollständige Audit-Historie. In der EU entwickelt und DSGVO-konform.

Fazit

Sichere Datenlöschung ist das dauerhafte, nachgewiesene Entfernen von Daten von einem Gerät - und das Wort „nachgewiesen” ist der ganze Unterschied zwischen einer sicheren Löschung und einem hoffnungsvollen Überschreiben. Wählen Sie die Kategorie nach Datensensibilität und Ziel (Clear, Purge, Destroy), das Verfahren nach Datenträgertyp, und überschreiben Sie nie eine SSD, wenn deren eigener Sanitize- oder Crypto-Erase-Befehl zur Verfügung steht. Seit September 2025 setzt NIST SP 800-88 Rev. 2 den Programmrahmen und IEEE 2883-2022 liefert die Befehle, während DIN 66399 die Vernichtungsstufe festlegt - zitieren Sie also das richtige Dokument gegenüber dem richtigen Publikum. Verschlüsseln Sie bei der Ausgabe, dann wird die Aussonderung zur Schlüsselzerstörung statt zur Nachtschicht. Und halten Sie unabhängig vom Verfahren Seriennummer, Methode, Werkzeug, ausführende Person, Datum und Ergebnis am Asset-Datensatz fest - denn in jedem Regelwerk, das danach fragt, lautet die gewünschte Antwort: Nachweis, nicht Zusicherung.

Verwandte Begriffe

• Datenträgendes Gerät - jedes Asset, das gelöscht werden muss, bevor es Ihren Einflussbereich verlässt
• Vernichtungsnachweis - der Nachweis eines Dritten, dass Datenträger vernichtet wurden
• Audit-Trail - der Nachweis, der Löschbelege an die Asset-Historie bindet
• Elektroschrott - wohin vernichtete Datenträger nach der Vernichtung gehen
• WEEE-Richtlinie - die EU-Regeln für den Umgang mit Elektroschrott