Wenn ein Unternehmen ausgediente Notebooks, Server oder Diensthandys aus dem Verkehr zieht, fällt fast immer derselbe Reflex: schreddern lassen, dann ist Ruhe. Der Gedanke dahinter ist verständlich – zerstörte Datenträger können keine Daten mehr preisgeben. Aber er ist teuer und in vielen Fällen unnötig. Denn die zertifizierte Datenlöschung erreicht dasselbe Schutzniveau, hält die Hardware am Leben und bewahrt so genau den Restwert, den das Schreddern vernichtet.
Dieser Beitrag ordnet beide Wege sachlich ein: Wann reicht softwarebasiertes Löschen, wann ist physische Vernichtung nach Norm angebracht, was gehört in ein belastbares Löschzertifikat – und warum die Entscheidung „Löschen statt Schreddern“ für die meisten Geräteflotten die wirtschaftlich und ökologisch klügere ist. Die folgenden Ausführungen sind eine fachliche Orientierung und ersetzen keine Rechtsberatung im Einzelfall.
Löschen oder schreddern – wo liegt der Unterschied?
Kurz gesagt: Die zertifizierte Datenlöschung entfernt die Daten und erhält den Datenträger, das Schreddern zerstört beides. Bei der softwarebasierten Löschung wird jede adressierbare Speicherzelle mit einem definierten Muster überschrieben oder – bei modernen Laufwerken – kryptografisch unlesbar gemacht, sodass eine Wiederherstellung ausgeschlossen ist. Das Gerät bleibt danach voll funktionsfähig und kann geprüft, aufbereitet und wiedervermarktet werden.
Beim Schreddern wird der Datenträger mechanisch in Partikel zerlegt. Das ist unwiderruflich sicher, macht das Medium aber wertlos – aus einer funktionsfähigen Enterprise-SSD wird Elektroschrott. Für die Datensicherheit sind beide Verfahren geeignet; der entscheidende Unterschied liegt in dem, was danach übrig bleibt. Genau hier trennt sich reine Entsorgung von echter wertorientierter IT-Verwertung.
Ist zertifizierte Datenlöschung wirklich sicher genug?
Ja – bei fachgerechter Durchführung erreicht die softwarebasierte Löschung ein Schutzniveau, das für nahezu alle Unternehmensdaten ausreicht. Anerkannte Bezugsrahmen sind der Leitfaden NIST SP 800-88 „Guidelines for Media Sanitization“ sowie die Vorgaben des Bundesamts für Sicherheit in der Informationstechnik (BSI). Beide unterscheiden im Kern zwischen „Clear“ (Überschreiben), „Purge“ (kryptografisches Löschen bzw. Secure Erase) und „Destroy“ (physische Vernichtung).
Wichtig für die Praxis: Das früher verbreitete mehrfache Überschreiben ist bei aktuellen Datenträgern in der Regel nicht mehr erforderlich. NIST SP 800-88 beschreibt, dass für moderne Medien bereits ein einziger definierter Überschreibdurchlauf als „Clear“ ausreicht; bei SSDs greift man üblicherweise auf die integrierten Secure-Erase- bzw. Crypto-Erase-Funktionen zurück, da klassisches Überschreiben dort durch Wear-Leveling an Grenzen stößt. Entscheidend ist nicht die Zahl der Durchläufe, sondern dass das eingesetzte Verfahren zum Medientyp passt und das Ergebnis überprüft und dokumentiert wird. Diese Nachweiskette ist es, die aus einem technischen Vorgang einen prüfbaren Compliance-Beleg macht.
Wann ist physische Vernichtung nach DIN 66399 angebracht?
Es gibt Fälle, in denen Schreddern die richtige Wahl bleibt: defekte Datenträger, die sich nicht mehr zuverlässig ansprechen und damit auch nicht vollständig überschreiben lassen, sowie besonders schutzbedürftige Daten mit sehr hohem Geheimhaltungsbedarf. Für die physische Vernichtung ist in Deutschland die Norm DIN 66399 maßgeblich, die 2012 die frühere DIN 32757 abgelöst hat.
Die Norm ordnet Daten drei Schutzklassen zu (von normalem bis höchstem Schutzbedarf) und definiert für Festplatten die Sicherheitsstufen H-1 bis H-7. Für die meisten unternehmerischen Anwendungen wird – abhängig von Schutzklasse und Datensensibilität – mindestens Stufe H-4 empfohlen; höhere Stufen wie H-5 verlangen eine feinere Zerkleinerung mit entsprechend kleinerer maximaler Partikelfläche. Für Sie als Verantwortliche heißt das: Die Vernichtung sollte nach einer definierten Sicherheitsstufe erfolgen und ebenso lückenlos dokumentiert werden wie eine Löschung – ein Vernichtungsnachweis gehört zwingend dazu.
Der pragmatische Weg ist daher kein Entweder-oder, sondern ein zweistufiges Vorgehen: Datenträger, die technisch einwandfrei sind, werden zertifiziert gelöscht und wiedervermarktet; nur nicht mehr sicher löschbare oder besonders sensible Medien wandern in die normgerechte Vernichtung. So bleibt der Restwert dort erhalten, wo es vertretbar ist – und die Sicherheit dort maximal, wo sie es sein muss.
Was kostet Sie pauschales Schreddern wirklich?
Wer ganze Geräteflotten reflexhaft schreddert, zahlt doppelt: einmal für die Vernichtung und ein zweites Mal durch den vernichteten Restwert. Ein drei Jahre alter Business-Laptop, ein Enterprise-Server oder ein Bestand an gebrauchten iPhones hat am Sekundärmarkt einen realen Wert – aber nur, solange die Hardware intakt bleibt. Nach dem Schredder ist dieser Wert unwiederbringlich verloren.
Hinzu kommt die ökologische Rechnung. Der weitaus größte Teil der CO₂-Emissionen eines IT-Geräts entsteht in der Herstellung, nicht im Betrieb. Wird ein funktionsfähiges Gerät zerstört statt weitergenutzt, geht dieser gebundene CO₂-Wert verloren und muss bei der Neuproduktion erneut aufgewendet werden. Verlängerte Nutzung durch Wiedervermarktung ist damit ein direkt messbarer Hebel für die Reduktion von Scope-3-Emissionen und ein belastbarer Beitrag zur unternehmerischen Nachhaltigkeitsbilanz. Genau das ist der Kern unserer Überzeugung: Werterhalt vor Wertvernichtung. Warum Recycling erst am Ende der Kreislaufwirtschaft steht und nicht an ihrem Anfang, vertiefen wir auch in unserem Buch Circularity Unleashed.
Was gehört in ein belastbares Löschzertifikat?
Ein Löschzertifikat ist Ihr Nachweis gegenüber Datenschutzaufsicht, Wirtschaftsprüfung und internem Audit, dass die auf einem Datenträger gespeicherten Daten revisionssicher entfernt wurden. Aus Sicht der DSGVO (u. a. Art. 17 „Recht auf Löschung“) und der Pflicht zur Integrität und Vertraulichkeit der Verarbeitung ist die Dokumentation ebenso wichtig wie die Löschung selbst – ohne Beleg lässt sich die Erfüllung im Zweifel nicht darstellen.
Ein aussagekräftiges Zertifikat sollte pro Datenträger nachvollziehbar machen, was womit und mit welchem Ergebnis geschehen ist. Achten Sie auf diese Angaben:
- eindeutige Identifikation des Datenträgers (Typ, Modell, Seriennummer)
- angewandtes Löschverfahren und zugrunde gelegter Standard (z. B. NIST SP 800-88 Clear/Purge)
- Datum, ausführende Stelle und eingesetzte Software inklusive Version
- Verifikationsergebnis (bestanden/fehlgeschlagen) je Datenträger
- bei physischer Vernichtung: erreichte Sicherheitsstufe nach DIN 66399
Diese Nachweiskette ist der Unterschied zwischen „vermutlich gelöscht“ und „prüfbar gelöscht“. Sie ist auch der Grund, warum die Wahl des Verwertungspartners eine Vertrauensfrage ist – nicht nur eine Preisfrage. Wie Sie einen seriösen Dienstleister erkennen, haben wir im Beitrag zur Auswahl eines vertrauenswürdigen ITAD-Partners ausführlich beschrieben.
Wie läuft eine sichere, werterhaltende Verwertung mit GCT ab?
Der Ablauf ist so gestaltet, dass Datensicherheit und Werterhalt kein Widerspruch sind, sondern ineinandergreifen. In der Praxis folgt die Verwertung diesen Schritten:
- Erfassung und Abholung: Die Geräte werden dokumentiert und in einer nachvollziehbaren, gesicherten Logistikkette abgeholt.
- Sichtung und Triage: Es wird pro Datenträger entschieden, ob zertifiziert gelöscht oder – bei Defekt oder höchstem Schutzbedarf – normgerecht vernichtet wird.
- Datenlöschung mit Nachweis: Die Löschung erfolgt nach anerkanntem Standard, wird verifiziert und je Datenträger im Löschzertifikat dokumentiert.
- Aufbereitung und Wiedervermarktung: Funktionsfähige Hardware wird geprüft, aufbereitet und in den Markt zurückgeführt – der erzielte Restwert fließt an Sie zurück.
- Transparente Abrechnung: Sie erhalten die vollständige Nachweis- und Wertdokumentation für Ihre Compliance und Ihr ESG-Reporting.
Der Grundsatz dahinter ist einfach: Sicherheit vor Tempo, Vertrauen schlägt Marketing. Nicht jedes Gerät muss geschreddert werden, um Ihre Daten zu schützen – aber jedes Verfahren muss belegbar sein.
Häufige Fragen zur zertifizierten Datenlöschung
Ist zertifizierte Datenlöschung DSGVO-konform?
Eine fachgerecht durchgeführte und dokumentierte Löschung unterstützt die Erfüllung datenschutzrechtlicher Pflichten, weil sie die revisionssichere Entfernung personenbezogener Daten belegbar macht. Maßgeblich ist, dass Verfahren, Verifikation und Nachweis zusammenpassen. Dies ist eine fachliche Einordnung und keine Rechtsberatung.
Muss ich Festplatten immer schreddern, um sicherzugehen?
Nein. Für intakte, ansprechbare Datenträger erreicht die softwarebasierte Löschung nach anerkanntem Standard ein gleichwertiges Schutzniveau und erhält zugleich den Restwert. Schreddern ist vor allem für defekte oder besonders schutzbedürftige Medien sinnvoll.
Kann man Daten auf SSDs sicher löschen?
Ja, allerdings mit den passenden Verfahren. Statt klassischem mehrfachem Überschreiben kommen bei SSDs die integrierten Secure-Erase- bzw. kryptografischen Löschfunktionen zum Einsatz, deren Wirksamkeit anschließend verifiziert wird.
Was ist der Unterschied zwischen Löschzertifikat und Vernichtungsnachweis?
Das Löschzertifikat dokumentiert die softwarebasierte Datenlöschung je Datenträger inklusive Verfahren und Verifikation. Der Vernichtungsnachweis belegt die physische Zerstörung nach einer Sicherheitsstufe der DIN 66399. Beide dienen als prüfbarer Beleg für Audits.
Bekomme ich für gelöschte Hardware einen Gegenwert?
Ja. Genau darin liegt der Vorteil gegenüber dem Schreddern: Funktionsfähige, zertifiziert gelöschte Geräte lassen sich wiedervermarkten, und der erzielte Restwert fließt an Ihr Unternehmen zurück, statt als Elektroschrott verloren zu gehen.
Löschen statt Schreddern – lassen Sie Ihren Restwert nicht liegen
Ob zertifizierte Datenlöschung oder normgerechte Vernichtung die richtige Wahl für Ihre Geräteflotte ist, hängt von Zustand und Schutzbedarf ab. Wir sichten Ihren Bestand, wählen je Datenträger das passende Verfahren, liefern die vollständige Nachweiskette und führen den Restwert an Sie zurück.