Ein Unternehmen spendet 50 alte Laptops an eine Schule. Die IT hat die Geräte „gelöscht” — Windows neu installiert. Drei Monate später meldet sich die Schule: Ein Schüler hat mit einem Wiederherstellungstool Kundendaten, E-Mails und Passwort-Hashes gefunden. Der Vorfall muss als Datenschutzverletzung gemeldet werden. A.7.14 fordert, dass vor jeder Entsorgung oder Wiederverwendung sämtliche sensiblen Daten nachweislich und unwiederbringlich entfernt werden.
Diese Kontrolle markiert das Ende des Geräte-Lebenszyklus. Sie greift bei jeder Form der Abgabe: Entsorgung, Spende, Verkauf, Rückgabe an den Leasinggeber, Weitergabe an andere Abteilungen. In jedem Fall müssen Daten, Software-Lizenzen und identifizierende Markierungen entfernt werden.
Was verlangt die Norm?
- Sensible Daten sicher entfernen. Vor der Entsorgung oder Wiederverwendung werden alle sensiblen Informationen und lizenzierten Softwareprodukte unwiederbringlich gelöscht oder überschrieben.
- Physische Vernichtung als Alternative. Wenn eine sichere softwarebasierte Löschung nicht möglich ist (defektes Gerät, Flash-Speicher), werden die Speichermedien physisch vernichtet.
- Identifizierende Markierungen entfernen. Asset-Tags, Inventaraufkleber und Netzwerkkennzeichnungen werden vor der Weitergabe entfernt.
- Sicherheitssysteme beim Standortwechsel demontieren. Beim Verlassen einer Einrichtung werden alle organisationseigenen Sicherheitssysteme (Zutrittskontrolle, Kameras, Alarmanlagen) abgebaut.
- Nachweisbar dokumentieren. Jede Entsorgung oder Aufbereitung wird protokolliert: was wurde entsorgt, wann, durch wen, mit welchem Verfahren, mit welchem Ergebnis.
In der Praxis
Entsorgungsprozess definieren. Beschreibe den Prozess Schritt für Schritt: Freigabe durch die verantwortliche Person, Datensicherung (falls nötig), sichere Löschung, Verifikation der Löschung, Entfernung von Markierungen, Protokollierung, Aktualisierung des Inventars. Jeder Schritt wird quittiert.
Löschverfahren nach Gerätetyp festlegen. Magnetische Festplatten: softwarebasiertes Überschreiben (z. B. Blancco, DBAN) oder Degaussing. SSDs und Flash-Speicher: ATA Secure Erase oder physische Vernichtung (Shredder). Mobilgeräte: Werksreset plus Verifikation oder physische Vernichtung. Optische Medien: Shredder. Papier: Aktenvernichter nach DIN 66399.
Zertifizierten Entsorgungspartner beauftragen. Wenn die Vernichtung extern erfolgt, beauftragst du einen nach DIN 66399 zertifizierten Dienstleister. Der Vertrag regelt: Sicherheitsstufe, Transportweg, Vernichtungsverfahren, Vernichtungszertifikat. Stichprobenartige Kontrollen vor Ort sind empfehlenswert.
Leasing-Rückgabe als Sonderfall behandeln. Leasinggeräte gehen an den Leasinggeber zurück — mit allen Daten darauf. Die sichere Löschung muss vor der Rückgabe erfolgen und dokumentiert werden. Prüfe den Leasingvertrag: Manche Leasinggeber erlauben den Ausbau und die Vernichtung der Festplatte.
Typische Audit-Nachweise
Auditoren erwarten bei A.7.14 typischerweise diese Nachweise:
- Entsorgungsrichtlinie — dokumentierter Prozess für die sichere Entsorgung (→ Physische Sicherheitsrichtlinie im Starter Kit)
- Löschprotokolle — Einzelnachweis pro Gerät mit Seriennummer, Verfahren und Ergebnis
- Vernichtungszertifikate — bei externer physischer Vernichtung
- Inventaraktualisierung — Nachweis, dass entsorgte Geräte aus dem Bestandsverzeichnis entfernt wurden
- Dienstleistervertrag — Vereinbarung mit zertifiziertem Entsorgungspartner
KPI
Anteil der außer Betrieb genommenen Geräte mit nachgewiesener sicherer Datenlöschung
Gemessen als Prozentsatz: Für wie viele der in den letzten 12 Monaten außer Betrieb genommenen Geräte existiert ein Löschprotokoll oder Vernichtungszertifikat? Ziel: 100%. Typische Lücke: Geräte, die „auf Vorrat” in Schränken gelagert werden — weder aktiv noch entsorgt.
Ergänzende KPIs:
- Anzahl der Geräte im Status „außer Betrieb, noch nicht entsorgt”
- Mittlere Dauer zwischen Außerbetriebnahme und sicherer Löschung/Vernichtung
- Anteil der Leasing-Rückgaben mit dokumentierter Vorab-Löschung
BSI IT-Grundschutz
A.7.14 mappt direkt auf BSI CON.6 und verwandte Bausteine:
- CON.6 (Löschen und Vernichten) — Kernbaustein: Prozess, Verfahren und Sicherheitsstufen für die Löschung und Vernichtung von Datenträgern nach DIN 66399.
- CON.6.A2 — Auswahl geeigneter Verfahren zur Löschung und Vernichtung.
- CON.6.A13 — Beauftragung und Kontrolle externer Entsorgungsdienstleister.
- SYS.1.1.A25 — Sichere Außerbetriebnahme von Servern.
- SYS.2.1.A27 — Sichere Entsorgung von Arbeitsplatzrechnern.
- SYS.1.8.A16, SYS.1.8.A25 — Sichere Löschung von Speichersystemen (SAN, NAS).
- NET.4.1.A11, NET.4.2.A12 — Sichere Entsorgung von TK-Anlagen und Netzwerkgeräten.
Verwandte Kontrollen
- A.7.10 — Speichermedien: Regelt den gesamten Lebenszyklus von Speichermedien — A.7.14 behandelt den letzten Schritt auf Geräteebene.
- A.7.13 — Ausrüstungswartung: Die Entsorgung ist der letzte Schritt nach der letzten Wartung im Geräte-Lebenszyklus.
- A.5.10 — Akzeptable Nutzung von Informationen: Definiert die Nutzungsregeln, die auch die Rückgabe und Entsorgung umfassen.
Quellen
- ISO/IEC 27001:2022 Annex A, Control A.7.14 — Sichere Entsorgung oder Wiederverwendung von Geräten
- ISO/IEC 27002:2022 Abschnitt 7.14 — Umsetzungshinweise zur sicheren Entsorgung
- BSI IT-Grundschutz, CON.6 — Löschen und Vernichten