Die alte Festplatte des Geschäftsführers wird bei eBay verkauft — mit allen E-Mails, Verträgen und Passwort-Dateien. Der Cloud-Speicher des gekündigten Mitarbeiters wird „deaktiviert”, die Daten bleiben aber monatelang im Backup. Altdaten aus einem abgeschlossenen Projekt liegen seit vier Jahren auf dem Dateiserver, ohne dass jemand die Aufbewahrungsfrist kennt. A.8.10 verlangt, dass Informationen systematisch und nachweisbar gelöscht werden, wenn sie nicht mehr benötigt werden.
Die Kontrolle schützt vor zwei Risiken gleichzeitig: der unnötigen Offenlegung sensibler Informationen und der Nichteinhaltung gesetzlicher Löschpflichten.
Was verlangt die Norm?
- Löschmethoden definieren. Für jede Art von Speichermedium (SSD, HDD, Cloud, Papier) geeignete Löschmethoden festlegen — Überschreiben, kryptografische Löschung oder physische Vernichtung.
- Löschung dokumentieren. Jeder Löschvorgang wird protokolliert: Was wurde gelöscht? Wann? Mit welcher Methode? Durch wen?
- Aufbewahrungsfristen einhalten. Daten werden weder zu früh (Verstoß gegen Aufbewahrungspflichten) noch zu spät (Verstoß gegen Löschpflichten) gelöscht.
- Cloud-Dienste einbeziehen. Bei Cloud-Anbietern prüfen, wie Daten gelöscht werden und ob die Löschung auch Backups und Replikate umfasst.
- Entsorgung von Geräten absichern. Vor Weitergabe, Verkauf oder Entsorgung werden alle Daten sicher entfernt oder das Medium physisch zerstört.
In der Praxis
Löschkonzept erstellen. Das Löschkonzept definiert für jede Datenkategorie: Aufbewahrungsfrist, Löschmethode, verantwortliche Person, Auslöser der Löschung. Dieses Dokument ist die zentrale Referenz für alle Löschvorgänge.
Automatisierte Löschmechanismen einrichten. Für strukturierte Daten (Datenbanken, E-Mail-Systeme) lassen sich Aufbewahrungsrichtlinien technisch durchsetzen. E-Mails älter als 3 Jahre werden automatisch gelöscht, temporäre Dateien nach 90 Tagen — sofern keine gesetzliche Aufbewahrungspflicht besteht.
Geräteentsorgung als Prozess definieren. Jedes Gerät, das die Organisation verlässt, durchläuft einen definierten Entsorgungsprozess: Datenlöschung (oder physische Zerstörung), Dokumentation und Abmeldung aus dem Asset-Register. Beauftragst du einen externen Dienstleister, verlange ein Löschzertifikat.
Löschprotokoll führen. Das Protokoll dokumentiert jeden Löschvorgang und ist ein zentraler Audit-Nachweis. Besonders wichtig bei personenbezogenen Daten, wo die DSGVO den Nachweis der Löschung verlangt.
Typische Audit-Nachweise
Auditoren erwarten bei A.8.10 typischerweise diese Nachweise:
- Löschkonzept — dokumentierte Löschmethoden und Aufbewahrungsfristen pro Datenkategorie (→ Datenlöschung und DLP im Starter Kit)
- Löschprotokoll — Nachweis durchgeführter Löschvorgänge (→ Löschprotokoll im Starter Kit)
- Löschzertifikate — Nachweise externer Entsorgungsdienstleister
- Retention-Policy-Konfiguration — Nachweis automatisierter Aufbewahrungsrichtlinien in E-Mail, Datenbank, Cloud
- Geräteentsorgungsprotokoll — dokumentierte Datenlöschung vor Weitergabe oder Entsorgung
KPI
Anteil der Daten, die nach Ablauf der Aufbewahrungsfrist richtliniengemäß gelöscht wurden
Gemessen als Prozentsatz: Wie viele deiner Datenkategorien werden nach Fristablauf tatsächlich gelöscht? Ziel: 100%. In der Praxis ist der erste Schritt, überhaupt zu wissen, welche Aufbewahrungsfristen gelten.
Ergänzende KPIs:
- Anteil der Geräte mit dokumentierter Datenlöschung vor Entsorgung (Ziel: 100%)
- Anzahl der Datenkategorien ohne definierte Aufbewahrungsfrist (Ziel: 0)
- Anteil der Cloud-Dienste mit geprüftem Löschmechanismus
BSI IT-Grundschutz
A.8.10 mappt auf den BSI-Baustein für Datenlöschung und Entsorgung:
- CON.6 (Löschen und Vernichten) — der Kernbaustein. Verlangt definierte Löschmethoden je nach Schutzklasse, Dokumentation aller Löschvorgänge und zertifizierte Vernichtung bei hohem Schutzbedarf.
- CON.1 (Kryptokonzept) — kryptografische Löschung als Teil des Kryptokonzepts.
Verwandte Kontrollen
- A.8.11 — Datenmaskierung: Maskierung schützt Daten während der Nutzung; Löschung entfernt sie nach der Nutzung.
- A.8.12 — Datenverlustprävention: DLP verhindert den unbeabsichtigten Abfluss; A.8.10 die unnötige Aufbewahrung.
- A.5.13 — Informationsklassifizierung: Die Klassifizierung bestimmt die erforderliche Löschmethode.
Quellen
- ISO/IEC 27001:2022 Annex A, Control A.8.10 — Informationslöschung
- ISO/IEC 27002:2022 Abschnitt 8.10 — Umsetzungshinweise zur Informationslöschung
- BSI IT-Grundschutz, CON.6 — Löschen und Vernichten