IT Asset Disposition: Sicher, auditfest und wertorientiert

IT Asset Disposition: So steuern Unternehmen Löschung, Nachweis und Wiedervermarktung

Ausgemusterte Server und Notebooks sind selten nur Altgeräte. Auf den Datenträgern liegen oft Personaldaten, Verträge und Zugangsdaten. Wer ITAD als reines Entsorgungsthema behandelt, übersieht drei Dinge: das Datenschutzrisiko, die Rechenschaftspflicht gegenüber Auditoren und den Restwert, der im Lager Monat für Monat schrumpft. Dieser Beitrag hilft Ihnen, den Prozess zu bewerten, auszuschreiben oder nachzuschärfen.

Was umfasst IT Asset Disposition im Unternehmen?

IT Asset Disposition ist der geregelte Umgang mit ausgemusterter IT: Erfassung der Geräte, nachweisbare Datenlöschung oder -vernichtung, gesicherter Transport mit Übergabeprotokoll, Wiedervermarktung funktionsfähiger Hardware sowie fachgerechtes Recycling. Entscheidend sind in der Praxis lückenlose Dokumentation, klare Verantwortlichkeiten und ein Nachweis pro Gerät, der auch einem Audit standhält.

Die Prozesskette: Vom Inventar bis zur Gutschrift

Der Prozess beginnt nicht beim Abholtermin, sondern beim Inventar. Jedes Gerät braucht eine eindeutige Kennung, meist die Seriennummer, und einen Status in Ihrer Asset-Datenbank. Danach folgen Sperrung und Abmeldung, Abholung, Datenlöschung, Testing, Wiedervermarktung oder Recycling und schließlich Abschlussbericht und Abrechnung.

Genau hier entstehen häufig Probleme: Zwischen Inventar und Abschlussbericht bricht die Zuordnung ab. Dann lässt sich nicht mehr belegen, was mit einem bestimmten Gerät passiert ist.

Datenlöschung: Verfahren, Nachweis und SSD-Besonderheiten

Das Verfahren richtet sich nach Medium, Schutzbedarf und Weiterverwendung. Orientierung bieten NIST 800-88 für die Datenträgerbereinigung und DIN 66399 für Schutzklassen und Sicherheitsstufen der Vernichtung.

Verfahren	Geeignet für	Wiederverwendung möglich	Nachweis
Software-Überschreiben	HDD	Ja	Löschbericht pro Seriennummer
Secure Erase / Crypto Erase	SSD, NVMe	Ja, mit Prüfung	Bericht, Verifikation je Gerät
Degaussing	HDD	Nein	Vernichtungsprotokoll
Physische Zerstörung	HDD, SSD, Mobilgeräte	Nein	Protokoll mit Korngröße, Zuordnung

Bei SSDs wird es heikel. Wear-Leveling und Over-Provisioning führen dazu, dass einfaches Überschreiben nicht jeden Speicherbereich erreicht. Setzen Sie hier auf herstellerkonforme Löschbefehle oder Verschlüsselung mit Schlüsselvernichtung und lassen Sie das Ergebnis verifizieren. Zertifizierte Software wie Blancco liefert dafür Berichte, die Sie dem Gerät zuordnen können.

Compliance: DSGVO, BSI und ISO 27001 richtig einordnen

Die DSGVO verlangt angemessene Sicherheit und Rechenschaft (Art. 5 und 32). Kommt ein Dienstleister mit personenbezogenen Daten in Berührung, ist in der Regel ein Auftragsverarbeitungsvertrag nach Art. 28 nötig. DIN 66399, BSI-Empfehlungen und ISO 27001 sind anerkannte Referenzen, aber keine pauschalen Gesetzespflichten. Sie dienen als Maßstab, an dem sich Ihr Nachweis messen lassen muss.

Restwert: Wo Geld verloren geht

Viele Unternehmen bemerken erst später, dass Geräte monatelang in Schränken lagen. Der Marktwert gebrauchter Hardware sinkt stetig. Wer jede Festplatte pauschal schreddert, vernichtet zudem Wert, obwohl eine geprüfte Löschung die Wiedervermarktung erlaubt hätte. Vermarktungsfähige Chargen sollten Sie früh melden, mit Zustand, Ausstattung und Zubehör.

Dienstleister objektiv bewerten

Prüfen Sie Löschprozess, Berichtstiefe und Transportkette. Fragen Sie, wann das Risiko übergeht: bei Abholung, bei Ankunft oder erst nach Löschung. Achten Sie darauf, ob unverschlüsselte Datenträger vor der Löschung transportiert werden. Lassen Sie sich Muster-Reports zeigen und klären Sie, wie Ankauf und Gutschrift abgerechnet werden. Bei ITAD zählt am Ende, was Sie einem Auditor vorlegen können.

Fünf häufige Fehler

1. Inventar und Realität weichen ab. Geräte in Schränken oder bei Mitarbeitenden fehlen im Bestand. Risiko: Datenträger verschwinden unbemerkt. Abhilfe: Inventur vor jedem Projekt.
2. Löschbericht ohne Seriennummer. Sammelzertifikate belegen nichts im Einzelfall. Abhilfe: Bericht pro Gerät verlangen.
3. SSDs wie HDDs behandelt. Überschreiben allein reicht nicht zuverlässig. Abhilfe: geeignete Verfahren und Verifikation.
4. Unklarer Eigentums- und Gefahrenübergang. Bei Verlust ist die Haftung offen. Abhilfe: vertraglich festlegen.
5. Wertvolle Geräte zu lange gelagert. Der Restwert verfällt. Abhilfe: feste Aussonderungszyklen.

Praktische Checkliste

• Bestand mit Seriennummern abgleichen, inklusive Homeoffice-Geräten
• Firmware-, BIOS- und MDM-Sperren aufheben
• Verschlüsselungsstatus der Datenträger dokumentieren
• Löschverfahren je Medium und Schutzbedarf festlegen
• Auftragsverarbeitungsvertrag prüfen
• Abholung, Siegelung und Übergabeprotokoll regeln
• Löschbericht je Seriennummer gegen Inventar abgleichen
• Gutschrift und Recyclingnachweis ablegen

Mini-Fallstudie (realistisches Szenario)

Ein mittelständischer Maschinenbauer mustert nach einem Standortumzug 400 Notebooks und mehrere Server aus. Die Geräte lagern vier Monate in einem Kellerraum. Beim Abgleich fehlen elf Notebooks im Inventar. Das Unternehmen entscheidet sich für Löschung mit Einzelnachweis, bucht eine Vor-Ort-Abholung und meldet vermarktungsfähige Geräte gesondert. Am Ende stimmen Inventar und Berichte überein. Die Lehre: Der Abgleich vor dem Projekt ist der eigentliche Schutz, nicht das Zertifikat danach.

Drei Expertentipps

1. Verlangen Sie vor der Beauftragung einen anonymisierten Muster-Report und prüfen Sie, ob Seriennummer, Verfahren, Zeitstempel und Verifikation enthalten sind.
2. Trennen Sie Chargen nach Schutzbedarf. Das senkt Aufwand, und vermarktbare Geräte bleiben erhalten.
3. Legen Sie intern fest, wer den Abschlussbericht gegen das Inventar abgleicht. Ohne feste Zuständigkeit passiert es nicht.

Nächster Schritt

Unklare Bestände, fehlende Einzelnachweise und liegengebliebene Hardware sind Risiken, die sich leise aufbauen. Wer den Prozess jetzt prüft, entscheidet in Ruhe und nicht unter Audit-Druck. Vergleichen Sie Ihr Vorgehen mit der Checkliste oben. Second IT unterstützt Unternehmen bei zertifizierter Datenlöschung und Wiedervermarktung von Servern, Notebooks, Monitoren und Smartphones, einschließlich Logistik und dokumentierter Übergabe.

Fazit

Ein belastbarer Prozess verbindet Inventar, Löschnachweis, Transport und Vermarktung zu einer durchgehenden Kette. ITAD schützt damit Daten, Compliance und Wert zugleich. Wer die Kette je Gerät belegen kann, besteht auch kritische Audits.

FAQ

Wie lange dauert ein typisches Projekt?

Das hängt von Menge, Standorten und Löschverfahren ab. Kleine Chargen lassen sich oft in wenigen Wochen abschließen. Bei Rechenzentrumsauflösungen sollten Sie mehrere Wochen Vorlauf für Inventur, Logistik und Abstimmung einplanen. Fragen Sie vorab nach realistischen Zeitplänen und Zwischenberichten.

Reicht ein Löschzertifikat als Nachweis?

Nur, wenn es pro Gerät ausgestellt ist. Es sollte Seriennummer, Verfahren, Datum und Ergebnis enthalten. Sammelbescheinigungen ohne Gerätebezug helfen im Audit wenig, weil sie sich nicht dem Inventar zuordnen lassen.

Ist Datenlöschung oder Vernichtung besser?

Beides ist zulässig, wenn der Schutzbedarf erfüllt wird. Löschung erhält den Wiederverkaufswert, Vernichtung eignet sich bei defekten Medien oder sehr hohem Schutzbedarf. Entscheiden Sie nach Datenklasse und Wirtschaftlichkeit.

Brauche ich einen Auftragsverarbeitungsvertrag?

In der Regel ja, sobald der Dienstleister Zugriff auf personenbezogene Daten haben kann, etwa auf nicht gelöschten Datenträgern. Lassen Sie die Einordnung von Ihrem Datenschutzbeauftragten prüfen.

Was passiert mit nicht verkaufbarer Hardware?

Sie geht ins Recycling. Wertstoffe werden getrennt und verwertet, Schadstoffe fachgerecht behandelt. Bestehen Sie auf einem Verwertungsnachweis, damit die Entsorgungskette dokumentiert ist.