Datensicherheit und Recycling Datenträger sicher entsorgen

Der Austausch bzw. die Entsorgung von Datenträgern bringt für Unternehmen, Vereine und andere Körperschaften, die mit der Verarbeitung personenbezogener Informationen betraut sind, die Herausforderung mit sich, große Datenmengen vor dem Zugriff Unbefugter zu schützen und unwiederbringlich zu löschen. Dazu verpflichten das Bundesdatenschutzgesetz (BDSG) sowie die europäische Datenschutzgrundverordnung (DSGVO). Die DSGVO hat mit ihren Vorschriften jedoch stets rechtlichen Vorrang vor dem BDSG. Durch die datenschutzkonforme Vernichtung von Datenträgern mit personenbezogenen oder vertraulichen Daten muss eine Reproduktion der gespeicherten Informationen erschwert bzw. ausgeschlossen werden.

Daneben sind die Anforderungen des Kreislaufwirtschaftsgesetzes (KrWG) an die Datenträgerentsorgung zu beachten: Rohstoffe sollen möglichst wiederverwendet bzw. recycelt werden. Das gilt für das Papier aus analogen Aktenordnern ebenso wie für wertvolle und teils seltene Rohstoffe, die in Speichersticks, Festplatten und Mobiltelefonen enthalten sind.

DIN 66399 regelt sichere Datenträgervernichtung

Gesetzlich geregelt ist die sichere Vernichtung von „Datenträgern aus der Büro- und Datentechnik“ in der DIN-Norm 66399. Sie wurde in Kooperation des Deutschen Instituts für Normierung (DIN) und des Bundesbeauftragten für den Datenschutz und die Informationsfreiheit, dem Bundesamt für Sicherheit in der Informationstechnik (BSI) erarbeitet und gilt seit 2012. Die DIN 66399 unterscheidet sechs Arten von Datenträgern, die entsprechend der auf ihnen möglichen Größe der Informationsdarstellung klassifiziert werden. Jeder Datenträgerart ist ein spezifisches Kürzel zugeordnet, das sich aus den Materialien bzw. Eigenschaften der Datenträger ergibt:

• P – Datenträger in Originalgröße (Papier, Print, Röntgenfilme)
• F – Datenträger mit verkleinerter Informationsdarstellung (Film, Mikrofilm)
• O – optische Datenträger (CDs, DVDs, Blu-rays)
• T – Datenträger mit Magnetband (Disketten, Kassetten, Bänder, Karten mit Magnetstreifen)
• H – magnetische Datenträger mit höherer Speicherkapazität (Festplatten)
• E – elektronische Datenträger (USB-Sticks, Chipkarten, Speicherkarten, Mobiltelefone)

Schutzklassen

Darüber hinaus definiert die DIN 66399 drei Schutzklassen, denen die Datenträger zugeordnet werden. Ausschlaggebend ist dabei die Schutzbedürftigkeit der auf ihnen enthaltenen Daten.

• Schutzklasse 1: „Normaler Schutzbedarf für interne Daten“ bezieht sich auf (personenbezogene) Daten, deren Missbrauch oder Veröffentlichung zu persönlichem oder wirtschaftlichem Schaden des Betroffenen führen könnte.
• Schutzklasse 2: „Hoher Schutzbedarf für vertrauliche Daten“ findet Anwendung bei vertraulichen Daten, deren Veröffentlichung oder Missbrauch zu erheblichem persönlichem oder wirtschaftlichem Schaden des Betroffenen führen könnte (bspw. Krankenakten).
• Schutzklasse 3: „Sehr hoher Schutzbedarf für besonders vertrauliche und geheime Daten“ ist anzuwenden auf persönliche Daten, deren Veröffentlichung oder Missbrauch zur Gefahr für Leib und Leben werden könnte bzw. die persönliche Freiheit des Betroffenen einschränkt.

Sicherheitsstufen

Aus den drei Schutzklassen ergeben sich insgesamt sieben Sicherheitsstufen. Sie definieren die zulässigen maximalen Schnittformate der unterschiedlichen Datenträger bei der Vernichtung, die sogenannte Partikelgröße. Dabei gilt: Je höher die Sicherheitsstufe, desto kleiner die Partikelgröße und umso sicherer die Vernichtung der auf dem Datenträger enthaltenen Information.

Im Einzelnen gelten folgende Sicherheitsstufen sowie die zugehörigen Anforderungen an die Reproduzierbarkeit der gespeicherten Daten:

• 1 – allgemeine Daten (z. B. Kataloge, Prospekte) – Datenwiederherstellung mit einfachem Aufwand möglich
• 2 – interne Daten (z. B. Formulare, interne Arbeitsanweisungen) – Datenwiederherstellung mit besonderem Aufwand möglich
• 3 – sensible und vertrauliche Daten (z. B. Angebote, Bestellungen mit personenbezogenen Daten) – Datenwiederherstellung mit erheblichem Aufwand möglich
• 4 – besonders sensible und vertrauliche Daten (z. B. Personaldaten, Bilanzen) – Datenwiederherstellung mit außergewöhnlichem Aufwand möglich
• 5 – geheim zu haltende Daten (z. B. Konstruktionspläne, medizinische Berichte) – Datenwiederherstellung mit zweifelhaften Methoden möglich
• 6 – geheim zu haltende Hochsicherheitsdaten (z. B. Unterlagen aus Entwicklung und Forschung) – Datenwiederherstellung technisch nicht möglich
• 7 – streng geheim zu haltende Hochsicherheitsdaten (z. B. geheimdienstliche oder militärische Daten) – Wiederherstellung ausgeschlossen

Datenträger der Schutzklasse 1 („normaler Schutzbedarf“) können den Sicherheitsstufen 1 bis 3 zugeordnet werden. Datenträger der Schutzklasse 2 („hoher Schutzbedarf“) fallen unter die Sicherheitsstufen 3 bis 5. Schutzklasse-3-Datenträger („sehr hoher Schutzbedarf“) müssen entsprechend der Sicherheitsstufen 4 bis 7 in besonders kleine Partikel zerteilt bzw. zerschreddert werden.

Zertifizierte Datenträgervernichtung

Ein handelsüblicher Büro-Aktenvernichter reicht für die DIN-gemäße Entsorgung von Datenträgern nicht aus. Denn für die Vernichtung ausgedienter Datenträger aus nicht privater Herkunft besteht gemäß Artikel 28 der DSGVO eine Nachweispflicht. Diese wird mittels Vorlage eines gültigen Zertifikats durch ein mit der Datenträgervernichtung beauftragtes Entsorgungsunternehmen erfüllt. Mithilfe der Zertifizierung wird sichergestellt, dass sowohl die verwendete Technik als auch alle Arbeitsabläufe reibungslos und ohne Sicherheitslücken funktionieren. Darüber hinaus sind Mitarbeiter zertifizierter Entsorgungsbetriebe zur Geheimhaltung nach § 203 StGB verpflichtet.

Für die sichere Aktenvernichtung stellen Entsorger abschließbare Behälter oder Container zur Verfügung, die regelmäßig abgeholt werden. Einige Unternehmen lassen zudem ihre Transportfahrzeuge per GPS überwachen, um eine noch größere Transparenz und Sicherheit für den Kunden zu bieten. Auf Wunsch können Unternehmen ihre Akten und andere Datenträger aber auch selbst zum Entsorger transportieren.

Daten löschen, Rohstoffe recyceln

Die sichere Vernichtung aller Datenträgertypen erfolgt mehrheitlich durch das sogenannte Schreddern, also deren möglichst feine maschinelle Zerkleinerung. Eine energetische Verwertung ist im Sinne des KrWG als nachrangig zu betrachten. Abhängig von Material und Zusammensetzung der Datenträger lassen sich deren geschredderte Reste unterschiedlich gut recyceln. Zerkleinerte Papierunterlagen etwa werden weitgehend verlustfrei für die Herstellung neuer Papierprodukte verwendet. Datenträger aus der elektronischen Datenverarbeitung bestehen aus einer Reihe unterschiedlicher und teils miteinander kombinierter Materialien, die nach dem Zerkleinerungsvorgang getrennt und für eine weitere Nutzung aufbereitet werden können.

Besonders bei der Entsorgung von Datenträgern aus privaten Haushalten bzw. wenn diese nicht durch einen zertifizierten Dienstleister durchgeführt wird, ist auf korrekte Abfallbeseitigung zu achten. Denn elektronische und optische Datenträger sind im Sinne des Gesetzgebers unterschiedlich zu behandeln.

Elektronische Datenträger: Entsorgung als Elektroschrott

Ausgediente elektronische Datenträger wie Festplatten, USB-Sticks, alte PCs, Laptops und Mobiltelefone enthalten wertvolle Metalle wie Eisen, Stahl, Kupfer, Aluminium und Edelmetalle, die sich auch aus Schredderresten leicht zurückgewinnen lassen. Gemäß dem Elektro- und Elektronikgerätegesetz (ElektroG) gelten diese Datenträger als Elektroschrott. Sie dürfen deshalb auf keinen Fall über den Restmüll entsorgt werden, sondern sind den kommunalen Wertstoffhöfen zu überlassen. Dadurch wird zudem das Austreten von in vielen elektr(on)ischen Komponenten enthaltenen Giftstoffen verhindert, die die Umwelt massiv belasten können. Vor der Abgabe der zu entsorgenden elektronischen Datenträger sollten Privatpersonen sicherstellen, dass alle auf ihnen enthaltenen Informationen sicher entfernt wurden. Mögliche Methoden sind das Überschreiben der Daten mittels spezieller Software sowie die physische Zerstörung.

Optische Datenträger hochwertig recyceln

Optische Datenträger wie CDs, DVDs und Blu-ray-Discs bestehen überwiegend aus dem verhältnismäßig teueren Kunststoff Polycarbonat. Zudem enthalten die Scheiben eine meist aus Aluminium bestehende dünne Metallschicht. Hinzu kommen mehrere Lack- und Schutzschichten. Die Materialien können größtenteils hochwertig recycelt werden, weshalb optische Datenträger zwingend getrennt vom Restmüll zu entsorgen sind. Private Haushalte können CDs und DVDs bei kommunalen Wertstoffhöfen abgeben, wo sie separat gesammelt werden, oder über speziell dafür vorgesehene Rücknahmesysteme entsorgen. CD- bzw. DVD-Aufbewahrungshüllen aus Kunststoff, Pappe oder Papier können über die Gelbe Tonne bzw. den Gelben Sack sowie über die Altpapiertonne entsorgt werden. Die sichere Löschung von auf optischen Datenträgern enthaltenen Informationen kann durch die mechanische Zerstörung der lesbaren Seite oder das Zerkleinern in einem geeigneten Aktenvernichter erfolgen.

Ihre Meinung ist gefragt! Sonderabfallwissen will noch besser werden

Zur Leserumfrage (5 Minuten)