Das billigste Datenleck, das wir je in einem polnischen KMU gesehen haben, hat die Firma null Zloty gekostet. Jemand hat drei alte Notebooks „zum Schrott" an einen Bekannten weitergegeben, der sich mit Elektronik beschäftigt. Einen Monat später landeten die Finanzdaten der Firma auf dem Tisch eines Wettbewerbers. Die Hardware war nicht versichert, kein Backup hat geholfen, und die DSGVO akzeptiert kein „mein Bekannter hat versprochen, er formatiert das" als Verteidigung.
Die Entsorgung von IT-Hardware ist kein Thema für die Wochenbesprechung. Bis es knallt. Dann stellt sich heraus, dass niemand wirklich weiß, wo die vor drei Jahren aus dem Server ausgebauten Festplatten liegen, wer die alten Drucker weggebracht hat und warum das Telefon des Chefs, das zur Reparatur ging, nie zurückkam.
Was mit der Hardware wirklich aus dem Unternehmen geht
IT-Hardware ist kein Metallkasten. Sie ist ein Datenträger. Und auf diesem Datenträger liegen mehrere Datenschichten, an die sich die meisten KMU-Inhaber gar nicht mehr erinnern.
- Mitarbeiter-Notebook — Browser-Cache mit gespeicherten Passwörtern, lokale OneDrive-Kopie, Outlook-Mailhistorie, API-Schlüssel zu externen Systemen, VPN-Client-Zertifikate.
- Aus einem Server ausgebaute Festplatte — ganze ERP-Datenbanken, Backups, Snapshots der letzten Monate, Konfigurationsdateien mit Klartextpasswörtern.
- Firmentelefon — der komplette WhatsApp-Verlauf mit Kunden, schnelle Fotos von Dokumenten, Ausweisscans, Bankanwendungen.
- Multifunktionsdrucker — eine interne Festplatte mit einem Puffer der letzten paar tausend gescannten Dokumente. Kaum jemand weiß, dass diese Festplatte überhaupt drin ist.
- Router oder Firewall — Konfiguration mit VPN-Zugangsdaten, Site-to-Site-VPN-Schlüsseln, Zugängen für externe Dienstleister.
Ohne Verfahren weitergegebene Hardware ist der Firmenkatalog, den du einem Fremden auf einem Tablett servierst.
Ein reales Beispiel: eine Anwaltskanzlei, 14 Personen, 8 Festplatten
Bei einem unserer Kunden — einer 14-köpfigen Anwaltskanzlei — musste nach zwei Jahren Nutzung ein Dateiserver ersetzt werden. Der vorherige IT-Dienstleister hat 8 Festplatten „zur ökologischen Entsorgung" gegeben. Die Kanzlei bekam sogar ein hübsches Blatt mit einem Stempel. Ein Jahr später haben wir einen Audit gemacht: die Kanzlei kaufte identische Festplatten, schickte sie an ein unabhängiges Labor und bat um einen Wiederherstellungsversuch. Drei von acht Festplatten waren zu 100% lesbar — vollständige Mandantenakten, Gerichtskorrespondenz, Vertragsentwürfe mitten in Verhandlungen. Das Blatt sagte „vernichtet nach Methode X". Die Realität sagte etwas anderes.
Kosten des „Entsorgungsservices" — etwa 40 Zloty pro Platte. Kosten einer möglichen DSGVO-Strafe plus Verlust eines Firmenkunden, wenn die Daten abgeflossen wären — mehrere hunderttausend Zloty. Die Rechnung ist eindeutig, sobald man sie tatsächlich macht. Das Problem: fast niemand macht sie vor dem Vorfall, sondern erst danach.
Drei Löschmethoden — und welche wirklich funktioniert
Nicht jedes „Festplatte-Löschen" ist gleich. Es gibt drei Methoden, die in KMU gebräuchlich sind, und ihre Wirksamkeit ist sehr unterschiedlich.
Schnellformat oder „Datei löschen". Das ist kein Löschen. Das ist ein Austrag aus dem Index, aber die Dateien liegen physisch weiter auf der Platte und lassen sich in Minuten mit kostenloser Software wiederherstellen. Diese Methode bietet null Schutz.
Überschreiben der Daten (Data Wipe). Software schreibt in jeden Sektor der Platte zufällige Nullen und Einsen, typischerweise in mehreren Durchgängen. Für eine klassische HDD reicht das. Für eine SSD nicht unbedingt — SSDs haben eine Flash-Translation-Layer (FTL), die Zellen schont und nicht immer physisch überschreibt, was das Betriebssystem sieht.
Krypto-Löschung (Crypto-Erase) plus physische Zerstörung für sensible Hardware. Die Festplatte war von Anfang an verschlüsselt (BitLocker, FileVault, Self-Encrypting Drives), also wird der Schlüssel zerstört — der gesamte Inhalt wird in einer Bewegung zu Rauschen. Für Datenträger mit sensiblen Daten (Kanzlei, Buchhaltung, medizinisch) kommt physische Zerstörung dazu: ein industrieller Schredder oder das Durchbohren der Platte. Ein Dokument mit den Seriennummern der Platten, die tatsächlich im Schredder gesehen wurden.
Praktische Regel für KMU: verschlüssle jede Firmenfestplatte vom ersten Tag an. Dann wird das Ausmustern von Hardware trivial statt zum Notfall.
Ein Playbook, das du an einem Tag einführst
Du brauchst keine 40-seitige Prozedur. Du brauchst ein paar Handgriffe, die jedes Mal ausgeführt werden, wenn Hardware das Unternehmen verlässt.
- Inventarisierung vor der Trennung. Seriennummer, Typ, wer sie genutzt hat, welche Daten auf dem Gerät waren. Ein Eintrag in einem Register, auch in einer einfachen Tabelle.
- Aus den Systemen entkoppeln. Konto aus Active Directory / Entra ID entfernen, Zertifikate widerrufen, Tokens ungültig machen, VPN-Zugang schließen. Bevor die Hardware das Büro physisch verlässt.
- Daten mit der zum Datenträger passenden Methode löschen. HDD — Überschreiben. SSD und NVMe — Crypto-Erase oder Firmware Secure Erase. Telefon — Werksreset plus Abmeldung aus dem MDM. Drucker — internes Laufwerk zurücksetzen (Herstelleranleitung, meist eine Serviceprozedur).
- Dokumentiere es. Wer, wann, welche Seriennummer, mit welcher Methode. Das Dokument bleibt mindestens fünf Jahre im Unternehmen.
- Erst jetzt gib die Hardware weiter. Zum Verkauf, zum Schrott, an eine Stiftung, an einen Mitarbeiter. Nie umgekehrt.
Schritt zwei ist der entscheidende und wird am häufigsten übersprungen. Wenn ein Mitarbeiter ein Notebook zurückgibt und du drei Wochen lang sein VPN-Konto nicht abschaltest — dann funktioniert dieses Konto genau so, als hätte er das Notebook noch. Die Hardware geht raus, die Zugänge bleiben.
Wenn die Hardware nicht mehr zum Weiterverkauf taugt
Es gibt zwei Szenarien, in denen sich weder Verkauf noch Weitergabe lohnen. Hardware, die besonders sensible Daten verarbeitet hat (medizinische, juristische, biometrische, personenbezogene Daten von Kunden aus regulierten Branchen). Und Hardware, deren Datenträger sich nicht zuverlässig löschen lässt (eine beschädigte Platte, die Software nicht vollständig sieht; eine ältere SSD ohne Firmware Secure Erase; ein Controller, der nicht mehr reagiert).
Dann gibt es einen Weg: physische Zerstörung bei einem zertifizierten Dienstleister, mit einem Protokoll, das Seriennummern, Fotos des Ergebnisses und die Unterschrift des Technikers enthält. Kosten — einige zig Zloty pro Platte. Deutlich billiger als die Nachricht „wir haben Ihre Daten, zahlen Sie für unser Schweigen".
Das Dokument, das wirklich absichert
Ein einseitiges „Entsorgungszertifikat" mit einem Dienstleisterstempel ist kein Dokument. Ein Dokument, das gegen eine DSGVO-Prüfung und ein Audit eines Firmenkunden standhält, hat mehrere konkrete Elemente:
- Eine Liste der Seriennummern jedes zerstörten oder gelöschten Datenträgers.
- Die eingesetzte Methode pro Datenträger (Überschreiben, Crypto-Erase, Degauss, Shredding).
- Datum, Ort, Name und Unterschrift des Technikers, der es durchgeführt hat.
- Fotos (bei physischer Zerstörung) oder das Log der Löschsoftware (bei Wipes).
- Verknüpfung mit deinem eigenen Anlagenregister — damit ein Prüfer den Weg von der Inventarnummer zum Vernichtungsbeleg gehen kann.
Wenn ein Dienstleister sich weigert, ein solches Dokument auszustellen, sagt er dir, dass er sich selbst nicht traut. Such einen anderen.
Was du diese Woche tun solltest
Wenn in deinem Unternehmen niemand in fünf Minuten sagen kann, wo die im letzten Jahr aus dem Server ausgebaute Festplatte gerade ist und wie ihr Löschverfahren aussah — dann ist das das Signal, mit einem einfachen Schritt anzufangen: Inventarisierung der außer Betrieb gestellten Hardware. Alles, was im Schrank liegt, im Archiv, beim Dienstleister im Lager. Seriennummern, Status, nächster Schritt.
Der Rest ordnet sich, sobald du weißt, was du hast. Wenn du nicht weißt, an welchem Ende du anfangen sollst, helfen wir KMU dabei regelmäßig. Das erste Gespräch ist kostenlos und dauert eine halbe Stunde.
Hardware, die das Unternehmen ohne dokumentierte Datenträgerlöschung verlassen hat, arbeitet weiter — nur für jemand anderen.