Was ist ein Vernichtungszertifikat?

Ein Vernichtungszertifikat ist ein Dokument, das ein Entsorgungs- oder Datenvernichtungsdienstleister ausstellt und bestätigt, dass bestimmte Assets, Datenträger oder Aufzeichnungen vernichtet wurden - was vernichtet wurde, wann, wo, mit welcher Methode und von wem. Manchmal Datenvernichtungsnachweis oder Löschnachweis genannt, ist es für ausgemusterte IT-Geräte der Nachweis, der den Kreis schließt: Das Gerät hat nicht nur das Gebäude verlassen, seine Daten wurden nachweislich unwiederbringlich gemacht, bevor es in den Elektroschrott gelangte.

Was Sie lernen werden

• Was ein Vernichtungszertifikat enthalten sollte
• Wer stellt eines aus, und wann
• Die Vernichtungsmethoden hinter dem Zertifikat
• Warum es für die Compliance wichtig ist
• Wie lange ein Zertifikat aufzubewahren ist
• Häufige Lücken, auf die zu achten ist
• Vernichtungszertifikate in der Praxis

Was ein Vernichtungszertifikat enthalten sollte

Ein Zertifikat, das sich zum Ablegen lohnt, listet:

• Den Dienstleister - rechtlicher Name, Akkreditierungen und Kontaktdaten.
• Ihre Organisation - damit das Dokument Jahre später für sich steht.
• Datum und Ort der Vernichtung, und ob sie bei Ihnen vor Ort oder in der Anlage des Dienstleisters stattfand.
• Die Methode - Schreddern, Entmagnetisierung, sicheres Löschen, Verbrennung. „Vernichtet” ohne Methode ist eine schwache Behauptung.
• Eine aufgeschlüsselte Liste - jedes Gerät oder Laufwerk identifiziert per Seriennummer, Hersteller, Modell und Asset-ID. Das ist der Teil, der das Zertifikat mit Ihrem Register abgleichbar macht.
• Eine eindeutige Zertifikatsnummer und eine autorisierte Unterschrift, dazu ein Verweis auf die Nachweiskette für die Lücke zwischen Abholung und Vernichtung.

Die stärksten Zertifikate nennen zudem die eingehaltene Norm - meist NIST Special Publication 800-88 - und enthalten eine Compliance-Erklärung, die die vom Vorgang erfüllten Vorschriften benennt (DSGVO, HIPAA und Ähnliches). Ein namentlich genannter Techniker oder Zeuge macht aus dem Dokument einen belastbaren Nachweis statt eines Formulars.

Wer stellt eines aus, und wann

IT-Asset-Disposition-Unternehmen (ITAD), Schredderdienste und Elektronik-Recycler stellen die Zertifikate nach durchgeführter Vernichtung aus. Nur ein akkreditierter Dritter kann ein Zertifikat ausstellen, das echtes Gewicht für die Compliance hat, daher lohnt sich die Prüfung, ob der Anbieter eine anerkannte Akkreditierung besitzt - R2 oder e-Stewards für verantwortungsvolles Recycling und Datensicherheit -, bevor Sie etwas übergeben. Manche bieten eine Vor-Ort-Vernichtung an - Datenträger werden in einer mobilen Einheit direkt bei Ihnen geschreddert -, was die Lücke in der Verwahrung ganz beseitigt; andernfalls sollte das Zertifikat die Geräte von der Übergabe bis zur Vernichtung lückenlos abdecken. Der ausführlichere Eintrag zu IT Asset Disposition zeigt, wie das Zertifikat in den größeren Entsorgungsablauf passt.

Die Vernichtungsmethoden hinter dem Zertifikat

Ein Zertifikat ist nur so stark wie die Methode, die es bezeugt, und der Bezugspunkt, an dem sich die meisten Dienstleister orientieren, ist NIST 800-88, das die Datenbereinigung in drei Stufen einteilt:

• Clear - Überschreiben des Mediums mit Standardwerkzeugen, sodass gewöhnliche Software die Daten nicht wiederherstellen kann. Geeignet, wenn das Laufwerk zur Wiederverwendung in der Organisation verbleibt.
• Purge - physische oder logische Techniken wie kryptografisches Löschen oder Entmagnetisieren, die eine Wiederherstellung selbst mit Laborausrüstung undurchführbar machen.
• Destroy - physische Vernichtung (Schreddern, Zerlegen, Verbrennen), die das Medium unbrauchbar macht. Das ist die höchste Sicherheitsstufe und die, die am häufigsten mit einem Zertifikat einhergeht.

Der Punkt ist, die Methode an die Sensibilität der Daten anzupassen: Ein öffentliches Datenblatt braucht nicht dieselbe Behandlung wie ein Laufwerk mit persönlichen oder regulierten Daten. Ein gutes Zertifikat nennt, welche dieser Stufen angewandt wurde, sodass das Maß an Sicherheit dokumentiert und nicht bloß angenommen wird.

Warum es für die Compliance wichtig ist

Das Datenschutzrecht baut auf Rechenschaftspflicht: Nach der DSGVO genügt es nicht, personenbezogene Daten ordnungsgemäß entsorgt zu haben - Sie müssen es nachweisen können. Ein Vernichtungszertifikat ist genau dieser Nachweis für Hardware. Dieselbe Logik zieht sich durch Branchenregeln - HIPAA verlangt, dass elektronische Gesundheitsdaten am Ende ihres Lebenszyklus unlesbar und unwiederbringlich gemacht werden, und ein Zertifikat ist der Beleg dafür. Es ist auch das, wonach ein Prüfer fragt, wenn Ihr Register Geräte als entsorgt ausweist, was ein Versicherer nach einer Räumung verlangen kann - und der Unterschied zwischen „wir glauben, der Recycler hat das erledigt” und einem echten Beleg.

Wie lange ein Zertifikat aufzubewahren ist

Bewahren Sie ein Vernichtungszertifikat so lange auf, wie Sie die Einhaltung nachweisen müssen. Viele Organisationen behalten sie mindestens sieben Jahre, im Einklang mit ihrer Datenaufbewahrungsrichtlinie und den jeweils geltenden Branchenvorgaben; manche regulierten Umgebungen verlangen länger. Die Aufbewahrungsfrist hilft nur, wenn das Dokument auffindbar ist, also legen Sie jedes Zertifikat beim zugehörigen Asset ab statt in einem geteilten Postfach oder einem Ordner, an den sich niemand erinnert - das Ziel ist, es in Sekunden vorzulegen, nicht während eines Audits zu suchen.

Häufige Lücken, auf die zu achten ist

• Keine Seriennummern - ein Zertifikat über „1 Palette, ca. 200 kg” kann keinen bestimmten Datenträger als vernichtet belegen.
• Keine Methode genannt - „vernichtet” ohne Angabe von Schreddern, Entmagnetisierung oder der angewandten NIST-Stufe ist eine Zusicherung, für die Sie nicht einstehen können.
• Zertifikat und Register stimmen nicht überein - die Seriennummern auf dem Zertifikat sollten gegen die übergebenen Assets abgehakt werden; nicht zuzuordnende Stücke müssen nachverfolgt werden, was einem kleinen Asset-Abgleich gleichkommt.
• In jemandes Postfach versickert - ein Zertifikat, das zum Audit-Zeitpunkt nicht auffindbar ist, existiert praktisch nicht.
• Abgeholt, aber nie bestätigt - ein Abholnachweis ist keine Vernichtung; nachfassen, bis das Zertifikat tatsächlich eintrifft.

Vernichtungszertifikate in der Praxis

Die Gewohnheit, die hält: Wenn Smartphones, Laptops oder Laufwerke ausgemustert werden, wird die Charge per Seriennummer gelistet, an den Dienstleister übergeben, und jeder Asset-Datensatz wird erst geschlossen, wenn seine Seriennummer auf dem zurückgegebenen Zertifikat erscheint. In AMPthilly kann das Zertifikat als Dokument an jedem ausgemusterten Asset angehängt werden, sodass der Audit-Trail die vollständige Geschichte zeigt - letzter Inhaber, Ausmusterungsdatum und Vernichtungsnachweis - auf einem Datensatz. Fragt eine Behörde, ein Prüfer oder ein Versicherer, was mit einem bestimmten Gerät geschehen ist, ist die Antwort eine Suche entfernt statt eine Suche im Postfach.

Verwandte Begriffe

• Elektroschrott - der Entsorgungsweg, in den vernichtete Geräte gelangen
• WEEE-Richtlinie - die EU-Regeln zum Recycling elektrischer Geräte (in Deutschland das ElektroG)
• Datenbereinigung - die Methoden, die ein Zertifikat bezeugt
• Nachweiskette - die lückenlose Übergabekette, die ein Zertifikat schließt
• Audit-Trail - die protokollierte Historie, in die ein Zertifikat passt
• Asset-Abgleich - die Seriennummern des Zertifikats mit den Register-Datensätzen abgleichen
• Körperliche Inventur - die Prüfung, die Geräte findet, die auf ihre Entsorgung warten