Ein alter Laptop soll weiterverkauft werden, ein defekter Rechner geht zurück oder mehrere Bürogeräte werden ersetzt. Bevor sie Dein Unternehmen verlassen, brauchst Du eine bewusste Entscheidung über die gespeicherten Informationen. Das Leeren sichtbarer Ordner beantwortet die Frage noch nicht. Mit einem passenden Dienstleisterauftrag kannst Du Weiterverwendung und Datenschutz zusammen betrachten. Hier erfährst Du, welche Angaben für ein Angebot nötig sind, wann Löschung und Vernichtung unterschiedliche Wege darstellen und wie Du einen nachvollziehbaren Abschluss vereinbarst.
Geräte und gespeicherte Informationen gemeinsam erfassen
Beginne mit der Frage, welche Geräte Dein Unternehmen tatsächlich verlassen sollen. Neben Laptops und Rechnern können externe Datenträger, Smartphones oder andere Geräte Speicher enthalten. Dazu kommen möglicherweise Geräte, deren gespeicherte Informationen im Alltag kaum auffallen. Der Anbieter sollte deshalb den vereinbarten Bestand erfassen und die enthaltenen Datenträger betrachten. Eine Stückzahl von Rechnergehäusen ist nicht automatisch dieselbe Grundlage wie die Zahl der zu bearbeitenden Speicher.
Beschreibe den vorgesehenen weiteren Weg. Soll das Gerät intern neu verwendet, verkauft, zurückgegeben oder entsorgt werden? Diese Ziele verändern die Anforderungen an die Leistung. Eine Weiterverwendung setzt voraus, dass das Gerät nach dem geeigneten Verfahren weiter nutzbar bleibt. Bei einer Vernichtung kann der betroffene Datenträger diese Voraussetzung gerade nicht mehr erfüllen. Lass den Anbieter erläutern, welchen Teil des Geräts er bearbeitet und was anschließend noch verwendet werden kann.
Der BSI-Baustein CON.6 weist auf Restinformationen bei gewöhnlichen Löschvorgängen sowie auf Risiken bei defekten Geräten und externen Dienstleistern hin. Er behandelt den Prozess für vollständige Datenträger. Für Deine Kaufentscheidung ergibt sich daraus eine klare Aufgabe: Ein Fachanbieter soll den Speicher, den Schutzbedarf und den vorgesehenen Weitergabeweg gemeinsam beurteilen. Ein pauschales Verfahren für alle beliebigen Geräte wäre ohne diese Prüfung wenig aussagekräftig. BSI: Löschen und Vernichten
Für die erste Angebotsanfrage brauchst Du keine Datei mit vertraulichen Inhalten. Nenne Gerätetypen, bekannten Zustand und die Art der Informationen in angemessener Form. Unbekannte Speicherausstattung kann der Dienstleister erheben. So bekommt er eine brauchbare Grundlage, ohne dass Du bereits für die Vorbereitung die Daten offenlegen musst, die der Auftrag schützen soll.
Benötigte Daten vor der endgültigen Bearbeitung sichern
Bevor ein Datenträger gelöscht oder vernichtet wird, muss Dein Unternehmen klären, welche Informationen weiterhin gebraucht werden. Dazu können Geschäftsunterlagen, laufende Projektdateien oder Einstellungen gehören, die nur auf dem alten Gerät vorhanden sind. Eine technische Dienstleistung kann diese Informationen nicht allein nach ihrer wirtschaftlichen Bedeutung beurteilen. Lass deshalb die Fachverantwortlichen entscheiden, was übernommen werden soll, und beauftrage die IT mit einer geeigneten technischen Unterstützung.
Achte auf den Unterschied zwischen einer vorhandenen Kopie und einer brauchbaren Übernahme. Können zuständige Personen die benötigten Dateien öffnen und weiterverwenden? Sind notwendige Anwendungszugänge verfügbar? Wenn Daten in einer speziellen Software liegen, kann eine ungeprüfte Dateikopie zu wenig sein. Frage nach einem passenden Funktionscheck. Für den Abschluss brauchst Du eine bestätigte Grundlage, dass wichtige Arbeitsinformationen verfügbar bleiben, bevor die endgültige Bearbeitung des alten Datenträgers beginnt.
Aufbewahrung und Löschung benötigen ebenfalls eine fachliche Einordnung. Welche personenbezogenen Daten gelöscht werden sollen und welche Informationen rechtmäßig weiter gespeichert werden müssen, hängt von der konkreten Verwendung und den einschlägigen Anforderungen ab. Lass die zuständige Datenschutz- oder Rechtsfachperson diesen Umfang klären. Ein Vernichtungsauftrag für einen alten Datenträger ist keine pauschale Entscheidung, sämtliche Kopien eines Geschäftsbestands unabhängig von ihrem Zweck zu entfernen.
Besprich, wer die endgültige Bearbeitung freigibt. Für größere Gerätebestände kann eine gemeinsame Freigabe anhand einer bestätigten Liste sinnvoll sein. Einzelne Ausnahmen müssen darin erkennbar bleiben, etwa ein noch benötigter Datenträger oder ein Gerät mit ungeklärter Eigentumsfrage. Der Anbieter sollte den Bearbeitungsbeginn nicht allein aus der Bereitstellung zur Abholung ableiten. Ein klarer Übergabepunkt schützt vor dem Missverständnis, dass bereits jede abgegebene Hardware zur sofortigen Vernichtung freigegeben sei.
Löschung und Vernichtung nach dem Einzelfall auswählen
Ein geeignetes Löschverfahren kann eine Weiterverwendung ermöglichen. Seine Auswahl hängt unter anderem vom Datenträgertyp, Zustand, bisherigen Schutz und vorgesehenen Ziel ab. Lass einen Fachanbieter diese Voraussetzungen prüfen und das Verfahren begründen. Du musst keine Befehle selbst ausführen oder ein Werkzeug nach einer Werbeaussage auswählen. Entscheidend ist, ob die angebotene Leistung den konkreten Speicher in seinem tatsächlichen Zustand angemessen berücksichtigt und einen prüfbaren Abschluss liefert.
Die physische Vernichtung verfolgt einen anderen Weg: Der betroffene Datenträger wird für die weitere Nutzung unbrauchbar gemacht. Das kann sinnvoll sein, wenn eine angemessene Löschung nicht erreichbar ist oder der Schutzbedarf diesen Weg verlangt. Die Entscheidung sollte trotzdem begründet werden. Ein intaktes Gerät muss nicht automatisch vollständig zerstört werden, nur weil sein Speicher vertrauliche Informationen enthält. Frage, ob eine geeignete Bearbeitung des Datenträgers und eine weitere Nutzung anderer Teile möglich sind.
Defekte Datenträger verdienen besondere Aufmerksamkeit. Ein Gerät, das nicht mehr startet, kann trotzdem Daten enthalten, die mit anderen Mitteln erreichbar wären. Der Anbieter sollte erklären, ob ein geeignetes Löschverfahren überhaupt ausführbar und überprüfbar ist oder ob eine andere Behandlung erforderlich wird. Eine Meldung „Gerät nicht lesbar“ ist keine ausreichende Bestätigung, dass sämtliche Informationen unzugänglich geworden sind. Für diesen Fall brauchst Du einen vereinbarten Umgang und eine nachvollziehbare Entscheidung.
Auch bisherige Verschlüsselung sollte fachlich beurteilt werden. Sie kann für die Auswahl eines Verfahrens relevant sein, ersetzt aber nicht automatisch jede Prüfung. Voraussetzungen wie tatsächlich geschützte Datenbereiche und verwaltete Schlüssel müssen zur konkreten Umgebung passen. Lass den Anbieter dazu die erforderlichen Informationen erheben. Eine pauschale Zusage, das Entfernen irgendeines Passworts genüge immer, wäre für Deinen Auftrag ungeeignet. Die technische Beurteilung gehört in die Leistung, während Du das gewünschte Ergebnis und den vorgesehenen Weitergabeweg bestimmst.
Abholung, Lagerung und Bearbeitung als eine Kette betrachten
Der Schutzbedarf endet nicht, wenn die Geräte abgeholt werden. Vor einer wirksamen Bearbeitung können darauf weiterhin sensible Informationen liegen. Frage deshalb nach dem gesamten Weg von der Bereitstellung bis zum Abschluss. Wo werden die Geräte gesammelt, wer hat Zugang, wie erfolgt der Transport und welche weiteren Beteiligten werden eingesetzt? Du brauchst eine verständliche Beschreibung dieser Kette, nicht lediglich eine Adresse, an die Du einen Karton schicken sollst.
Vereinbare eine nachvollziehbare Zuordnung der übergebenen Geräte und Datenträger. Dafür können Inventarkennungen oder Seriennummern geeignet sein. Der Anbieter sollte erläutern, welche Kennungen im Auftrag, bei der Übergabe und im Abschlussnachweis verwendet werden. Entscheidend ist, dass Du später erkennen kannst, ob die vereinbarte Leistung tatsächlich für die richtigen Datenträger dokumentiert wurde. Eine allgemeine Bestätigung über irgendeine Gerätezahl beantwortet diese Frage nicht ausreichend.
Lass klären, wie Zwischenfälle behandelt werden. Was geschieht bei einer Abweichung zwischen Übergabeliste und tatsächlichem Bestand? Wer wird informiert, wenn ein Gerät fehlt oder ein Speicher nicht wie vereinbart bearbeitet werden kann? Solche Fragen gehören vorab in den Auftrag. Dein Unternehmen sollte über wesentliche Abweichungen entscheiden können, bevor der Anbieter eigenständig auf ein anderes Verfahren oder einen weiteren Empfänger ausweicht.
Wenn personenbezogene Daten im Auftrag verarbeitet werden, braucht die Zusammenarbeit eine passende datenschutzrechtliche Einordnung. Die konkrete Leistung und der tatsächliche Datenzugriff sind dabei maßgeblich. Lass qualifizierte Datenschutzfachpersonen die Vereinbarungen prüfen. Der technische Anbieter sollte die nötigen Informationen zu seinen Arbeitswegen und Beteiligten bereitstellen können. So passen vertragliche Beschreibung und praktische Bearbeitung zusammen, statt sich auf eine allgemeine Vertraulichkeitszusage zu beschränken, deren tatsächliche Reichweite unklar bleibt.
Den Abschluss mit einem aussagekräftigen Nachweis prüfen
Ein Lösch- oder Vernichtungsnachweis sollte zum vereinbarten Auftrag gehören. Frage, welche Informationen er enthält und wie er den einzelnen Datenträgern zugeordnet wird. Interessant sind das angewendete Verfahren, Zeitpunkt, Ergebnis und eventuelle Ausnahmen. Der Anbieter sollte verständlich erklären, was genau bestätigt wird. Ein hübsch gestaltetes Zertifikat ist allein noch kein Nachweis für jeden unbekannten Datenträger, der irgendwann im selben Karton lag.
Bei einer Löschung ist die Prüfung des Ergebnisses Teil der fachlichen Frage. Lass erläutern, wie der Anbieter den Abschluss kontrolliert und was bei fehlgeschlagenen oder unvollständigen Vorgängen passiert. Die bloße Ausführung eines Werkzeugs ersetzt diese Prüfung nicht automatisch. Du musst die technische Kontrolle nicht selbst übernehmen, solltest aber den vorgesehenen Nachweis und seine Grenze verstehen. Ein konkreter Fehler darf nicht hinter einer allgemeinen Meldung verschwinden, der gesamte Auftrag sei erledigt.
Für Vernichtung brauchst Du ebenfalls eine nachvollziehbare Bestätigung der vereinbarten Behandlung. Frage nach dem bearbeiteten Umfang und dem Umgang mit verbleibenden Geräteteilen. Wenn Du funktionsfähige Teile zurückerhalten oder weitergeben möchtest, muss dies vorab vereinbart werden. Die Abnahme sollte den tatsächlichen Zustand berücksichtigen. So kannst Du Wiederverwendung und Schutz Deiner Informationen gezielt zusammenführen, statt erst nach Abschluss zu erfahren, dass andere Teile mit vernichtet wurden.
Vergiss die Zugänge und Verwaltungszuordnungen des alten Geräts nicht. Lokale Datenbearbeitung beendet nicht automatisch jeden Unternehmenszugang oder eine bestehende Gerätezuordnung. Frage Deinen IT-Dienstleister, welche weiteren Schritte für die eingesetzte Umgebung erforderlich sind. Dieser Teil kann von der physischen Bearbeitung getrennt erbracht werden, muss aber einem Zuständigen gehören. Ein nachvollziehbarer Abschluss umfasst damit sowohl den Datenträgerauftrag als auch die vereinbarte technische Ausmusterung des Geräts.
Angebote nach Umfang und Weiterverwendung vergleichen
Gib allen Anbietern dieselbe Grundlage: Gerätetypen, bekannte Datenträger, Zustand, Schutzbedarf und gewünschter weiterer Weg. Wenn die Speicherausstattung unbekannt ist, lass die Erhebung gesondert nennen. Vergleiche anschließend, welche Bearbeitung angeboten wird und welche Prüfungen enthalten sind. Ein Angebot für Abholung und reine Entsorgung löst eine andere Aufgabe als ein Auftrag mit geeignetem Löschverfahren, Ergebnisprüfung und zugeordneten Nachweisen.
Frage nach Kostenbestandteilen, die vom tatsächlichen Bestand abhängen. Zusätzliche Datenträger, defekte Geräte, Abholung, geschützte Lagerung oder gesonderte Bearbeitung können unterschiedlich vereinbart sein. Entscheidend ist, dass Du diese Voraussetzungen kennst. Lass erläutern, wann ein Anbieter Rücksprache hält, bevor zusätzliche Leistungen entstehen. Ein Preis pro Gerät ist nur dann gut vergleichbar, wenn die Definition des Geräts und der enthaltenen Bearbeitung bei den Angeboten zusammenpassen.
Prüfe die Nutzbarkeit des vorgesehenen Ergebnisses. Wenn Hardware verkauft werden soll, frage nach dem Zustand nach der Bearbeitung und nach Aufgaben, die anschließend noch anfallen. Eine erfolgreiche Datenlöschung bedeutet nicht automatisch, dass ein Gerät bereits mit einem nutzbaren Betriebssystem, freigegebenen Lizenzen oder ohne administrative Sperren bereitsteht. Diese Leistungen müssen passend beschrieben werden. Für einen reinen Vernichtungsauftrag sind dagegen andere Abschlusskriterien relevant.
Ein überzeugender Anbieter erklärt Dir die Auswahl des Verfahrens und die Übergabekette, ohne eine pauschale Erfolgsgarantie für unbekannte Geräte abzugeben. Er behandelt Ausnahmen offen und liefert die vereinbarten Nachweise. Damit kannst Du Deine Kaufentscheidung anhand des tatsächlichen Schutzbedarfs treffen. Du bezahlst für eine fachlich passende Bearbeitung mit nachvollziehbarem Ergebnis. Das ist eine bessere Grundlage als der Vergleich einzelner Werbewörter wie „sicher“, „zertifiziert“ oder „nach Standard“, deren konkreter Bezug zum Auftrag ungeklärt bleibt.
Für größere Bestände kann zunächst eine begrenzte, bestätigte Gerätegruppe bearbeitet werden. Wähle dafür die wichtigen Typen und Zustände, etwa einen funktionsfähigen Rechner und einen defekten Datenträger. Der Anbieter erklärt vorab den Ablauf und liefert anschließend die vereinbarten Nachweise. Daraus lässt sich beurteilen, ob Kennungen, Freigaben und Rückmeldungen im tatsächlichen Übergabeweg zusammenpassen. Es handelt sich um die Prüfung des beauftragten Verfahrens, nicht um eine technische Löschanleitung für Dein Team.
Eine solche Vorbereitung hilft auch bei unbekannten Speichern. Wenn ein Anbieter zusätzliche Datenträger findet, sollte er sie zunächst zuordnen und den weiteren Umfang mit Dir klären. Du kannst dann entscheiden, ob die vorhandene Freigabe diese Bearbeitung umfasst. Unbekannte Geräte dürfen nicht stillschweigend aus dem Auftrag verschwinden oder ohne fachliche Entscheidung an einen anderen Empfänger weitergegeben werden.
Halte den Abschlussbestand mit den zugehörigen Nachweisen an einer geschützten Stelle verfügbar. So können zuständige Personen später erkennen, welche Geräte abgegeben und wie deren Speicher behandelt wurden. Offene Ausnahmen bleiben getrennt bearbeitbar. Der Auftrag endet dadurch mit einer verständlichen Zuordnung, statt mit einer allgemeinen Quittung, deren Bezug zu Deinem Inventar niemand mehr sicher erklären kann.
Unterstützung für die sichere Ausmusterung anfragen
Über die Startseite von IT-Sicherheit Angebote kannst Du Unterstützung kostenfrei und unverbindlich anfragen. Wähle das Anliegen und die IT-Umgebung, die Deinem Bedarf am nächsten kommen. Die Ausmusterung, den vorgesehenen Weitergabeweg und gewünschte Lösch- oder Vernichtungsleistungen klärst Du bei der Rückmeldung. Die Anfrage bestätigt noch keine spezielle Entsorgungsleistung oder deren Verfügbarkeit bei einem Anbieter.