Vernichtung von Festplatten: Was Unternehmen wirklich riskieren – und wie man es richtig macht

Jedes dritte Datenleck beginnt mit einem ausrangierten Datenträger

Kein Hacker-Angriff, kein Phishing. Einfach eine alte Festplatte, die jemand nicht richtig vernichtet hat. Klingt banal – ist aber bittere Realität in deutschen Unternehmen. Das Bundesamt für Sicherheit in der Informationstechnik (BSI) dokumentiert seit Jahren, dass physisch ausgemusterte Hardware zu den unterschätzten Einfallstoren für Datenmissbrauch gehört.

Wer glaubt, ein schnelles Format reiche aus, irrt sich gewaltig. Und wer denkt, das sei ein Problem nur für Konzerne, unterschätzt, wie gezielt auch mittelständische Betriebe ins Visier geraten. IT-Manager, die dieses Thema auf die lange Bank schieben, spielen russisches Roulette – mit Unternehmensdaten als Einsatz.

Warum "Löschen" und "Vernichten" zwei völlig verschiedene Dinge sind

Das Missverständnis, das Millionen kostet

Dateien in den Papierkorb werfen und leeren? Festplatte formatieren? Beides hinterlässt wiederherstellbare Daten. Selbst ein mehrfaches Überschreiben mit gängigen Tools ist bei beschädigten Sektoren oder modernen SSDs keine verlässliche Lösung.

Das Problem bei Solid-State-Drives ist spezifisch: SSDs nutzen Wear-Leveling-Algorithmen, die Daten intern verteilen. Selbst wenn ein Software-Tool meldet, die Löschung sei abgeschlossen, bleiben auf remapped Sektoren oft vollständige Datenfragmente zurück – unerreichbar für das Betriebssystem, aber sehr wohl auslesbar mit forensischen Mitteln. Das wissen Angreifer. Das wissen auch Wettbewerber, die gezielt auf dem Gebrauchtmarkt nach ausrangierten Unternehmensgeräten suchen.

Die Vernichtung Festplatten nach BSI-Richtlinien folgt deshalb einem anderen Ansatz: physische Zerstörung oder zertifizierte Degaussierung – beides in Kombination mit lückenloser Dokumentation.

Was die DSGVO konkret verlangt

Artikel 5 der Datenschutzgrundverordnung (DSGVO) schreibt vor, dass personenbezogene Daten nicht länger gespeichert werden dürfen, als es der Verarbeitungszweck erfordert. Das klingt nach einer Selbstverständlichkeit. In der Praxis bedeutet es: Wer eine Festplatte mit Kundendaten, Personaldaten oder Finanzdaten aus dem Betrieb entfernt, ohne den Nachweis einer ordnungsgemäßen Vernichtung zu führen, begeht eine Datenschutzverletzung – auch wenn niemand Böses beabsichtigt.

Die Datenschutzbehörden haben in den letzten Jahren gelernt, genauer hinzuschauen. Bußgelder bis zu 20 Millionen Euro oder vier Prozent des weltweiten Jahresumsatzes sind keine Drohkulisse mehr. Sie sind Realität – von DACH-Unternehmen, die ihre IT-Entsorgung nicht dokumentieren konnten.

Die versteckten Fallen in der Praxis

Greenwashing-Zertifikate ohne Substanz

Viele Anbieter werben mit Umwelt- und Sicherheitszertifikaten, die beim genauen Hinsehen wenig Substanz haben. Ein ISO-14001-Zertifikat bedeutet, dass ein Unternehmen ein Umweltmanagementsystem betreibt – es sagt jedoch nichts darüber aus, ob die Datenvernichtung auch revisionssicher dokumentiert wird. Wer im Audit-Trail dann keine Seriennummern-Tracking-Einträge pro Gerät nachweisen kann, steht bei einer Datenschutzbehörde schnell mit leeren Händen da.

Entscheidend sind Zertifizierungen, die explizit die Datensicherheit adressieren: ISO 27001, die BSI-Richtlinien zu Datenvernichtung sowie die Normen DIN 66399 (für physische Vernichtung) und NIST 800-88 (für softwarebasierte Löschverfahren). Auf diese Kombination kommt es an.

Interne Entsorgung: teuer und riskant zugleich

Manche Unternehmen versuchen, die Vernichtung von Festplatten intern zu lösen – mit einem Hammer im Keller oder einer billigen Degaussierungsanlage vom Online-Marktplatz. Das Problem: Ohne zertifizierten Entsorgungsfachbetrieb und ohne Datenvernichtungsprotokoll mit Seriennummernerfassung gibt es keinen belastbaren Nachweis. Im Ernstfall – Datenpanne, Behördenprüfung, Betriebsprüfung – hilft die beste interne Überzeugung nichts ohne Papier.

Dazu kommt: Selbst wenn die Hardware mechanisch zerstört wird, müssen die Fragmente gemäß dem Kreislaufwirtschaftsgesetz fachgerecht entsorgt werden. Festplatten enthalten seltene Erden, Neodym-Magnete und Leiterplatten mit Schwermetallen. Einfach wegwerfen ist nicht nur fahrlässig – es ist strafbar.

Wie professionelle Datenträgervernichtung wirklich aussieht

Der Prozess, den Prüfer sehen wollen

Ein seriöser Dienstleister – und Second IT gehört zu denen, die das ernstnehmen – arbeitet mit einem mehrstufigen Verfahren:

• Eingangserfassung: Jede Festplatte wird beim Wareneingang einzeln erfasst. Seriennummer, Modell, Hersteller, Zustand – alles im System, bevor irgend etwas anderes passiert.
• Prüfung des Datenträgertyps: HDD, SSD, NVMe oder eMMC – jeder Typ erfordert ein angepasstes Vernichtungsverfahren. Software-Löschung, die auf einer HDD funktioniert, versagt auf einer defekten SSD mit Bad Blocks.
• Vernichtung nach DIN 66399: Je nach Sicherheitsstufe (H-1 bis H-7) wird physisch geschreddert, degaussiert oder beides kombiniert. Für Behörden, Kliniken und Finanzdienstleister ist Sicherheitsstufe H-4 oder höher Pflicht.
• Datenvernichtungsprotokoll: Nach Abschluss erhält der Auftraggeber ein revisionssicheres Protokoll – pro Gerät, mit Seriennummer, Vernichtungsmethode, Datum und Mitarbeiterverantwortung. Das ist der Audit-Trail, den Ihre Datenschutzbehörde im Zweifel sehen will.
• Verwertung der Materialien: Was nicht mehr als Hardware weiterverwendet werden kann, geht in den zertifizierten Recycling-Prozess – WEEE-konform, dokumentiert, ohne Greenwashing.

Was passiert mit Festplatten, die noch lesbar sind?

Hier liegt ein wirtschaftlich unterschätzter Hebel. Nicht jede ausgemusterte Festplatte muss physisch vernichtet werden. Geräte, die noch funktionsfähig und sicher löschbar sind, können nach einer BSI-konformen Datenlöschung mit Blancco-Zertifizierung in den Remarketing-Prozess eingespeist werden. Second IT prüft jeden Datenträger auf seine Wiederverwendbarkeit – und schafft so einen messbaren Rückfluss in die IT-Budgets der Kunden. Das ist keine Selbstverständlichkeit in der Branche. Viele Anbieter vernichten pauschal, weil es einfacher ist. Einfacher, aber nicht zwingend notwendig und schon gar nicht nachhaltig.

Warum der Zeitpunkt der Vernichtung mehr kostet als die Vernichtung selbst

Verzögerungen bei der Vernichtung Festplatten sind ein unterschätztes Risiko. Festplatten, die zwischen IT-Leiter-Schreibtisch und Lagerraum herumwandern – unbeschriftet, unkatalogisiert, vielleicht im Kofferraum eines Mitarbeiters – sind ein Compliance-Alptraum. Die Zeitspanne zwischen Geräteausmusterung und gesicherter Datenträgervernichtung ist eine offene Flanke.

Second IT schließt genau diese Lücke mit einem hauseigenen Logistikkonzept: Abholung mit eigenem Fuhrpark, lückenlose Transportdokumentation, direkte Übergabe an die zertifizierte Vernichtungsstrecke. Kein Zwischenhandel, kein Lager ohne Zutrittskontrolle, keine Zuständigkeitslücken.

FAQ: Häufige Fragen zur professionellen Festplattenvernichtung

Was ist der Unterschied zwischen Datenlöschung und physischer Vernichtung von Festplatten?

Datenlöschung ist ein softwarebasierter Prozess, bei dem die auf einem Datenträger gespeicherten Informationen durch gezieltes Überschreiben unleserlich gemacht werden. Sie eignet sich für funktionsfähige Geräte, die danach wiederverwendet oder weiterverkauft werden sollen. Physische Vernichtung hingegen zerstört den Datenträger mechanisch – durch Schreddern oder Degaussierung – und ist für Geräte zwingend, die defekt sind, nicht mehr ausgelesen werden können oder bei denen ein besonders hohes Schutzniveau gefordert ist (z. B. nach DIN 66399 Sicherheitsstufe H-4 und höher). Beide Verfahren erfordern ein revisionssicheres Datenvernichtungsprotokoll mit Seriennummernerfassung, um die DSGVO-Konformität nachzuweisen.

Reicht es, eine Festplatte zu formatieren, bevor ich sie entsorge?

Nein – definitiv nicht. Ein einfaches Formatieren entfernt lediglich die Dateitabelle, lässt aber die eigentlichen Datenblöcke weitgehend intakt. Mit forensischen Tools, die frei verfügbar sind, lassen sich formatierte Datenträger in vielen Fällen vollständig oder teilweise wiederherstellen. Das gilt noch verstärkt für SSDs mit Wear-Leveling-Technik, bei der Daten intern auf verschiedene Speicherzellen verteilt werden. Wer DSGVO-konform vorgeht, benötigt entweder eine zertifizierte Mehrfach-Überschreibung nach NIST 800-88 oder BSI-Richtlinien – oder eine physische Vernichtung mit entsprechendem Protokoll.

Welche Zertifizierungen sollte ein Dienstleister für die Festplattenvernichtung vorweisen?

Mindestens drei Nachweise sollten Sie einfordern: eine ISO-27001-Zertifizierung für das Informationssicherheits-Managementsystem, die Anerkennung als Entsorgungsfachbetrieb gemäß deutschem Kreislaufwirtschaftsgesetz sowie die Fähigkeit zur Vernichtung nach DIN 66399. Darüber hinaus ist eine WEEE-Registrierung (Elektroschrottentsorgung) erforderlich. Wenn der Dienstleister zudem mit Blancco oder einem vergleichbaren, BSI-anerkannten Software-Tool arbeitet, haben Sie für softwarebasierte Löschungen einen weiteren belastbaren Audit-Trail. Verlangen Sie immer ein gerätespezifisches Zertifikat – nicht nur ein allgemeines Unternehmens-Zertifikat.

Wie lange dauert eine professionelle Festplattenvernichtung bei größeren Gerätemengen?

Das hängt vom Verfahren und der Gerätezahl ab, aber grob gilt: Für mittelgroße Chargen zwischen 50 und 500 Geräten arbeiten erfahrene ITAD-Dienstleister wie Second IT in der Regel mit einer Bearbeitungszeit von 48 bis 72 Stunden nach Wareneingang – inklusive Eingangserfassung, Vernichtung und Protokollierung. Für größere Chargen aus Rechenzentrums-Ausmusterungen oder konzernweiten IT-Refresh-Projekten empfiehlt sich eine frühzeitige Projektplanung mit dem Dienstleister, da auch Transportlogistik, Sicherheitsbegleitung und Berichtswesen koordiniert werden müssen. Wichtig: Finger weg von Angeboten, die eine sofortige Massenvernichtung ohne Eingangserfassung versprechen – das ist kein Qualitätsmerkmal.

Was kostet die professionelle Vernichtung von Festplatten, und lohnt sich das wirtschaftlich?

Die Kosten variieren je nach Verfahren, Menge und geforderter Sicherheitsstufe. Als grobe Orientierung: Physische Schredderung einzelner Festplatten beginnt ab wenigen Euro pro Stück bei größeren Chargen. Software-Löschung mit Zertifikat liegt oft ähnlich oder darunter. Entscheidend ist jedoch der wirtschaftliche Gesamtrahmen: Wer seinen ITAD-Prozess intelligent aufstellt, refinanziert die Vernichtungskosten teilweise durch den Restwert der Geräte, die noch für den Remarketing-Prozess geeignet sind. Second IT prüft genau das – welche Geräte vernichtet werden müssen und welche nach einer zertifizierten Datenlöschung noch einen Marktwert haben. In vielen Projekten übersteigt der Rückkauferlös die Vernichtungskosten deutlich.