IT-Hardware ausmustern unter DORA: Was Banken, Sparkassen und Leasinggesellschaften nachweisen müssen

Am 31. Dezember 2026 treten die Bankaufsichtlichen Anforderungen an die IT (BAIT) endgültig außer Kraft. Für Banken, Sparkassen und Genossenschaftsbanken gilt seit dem 17. Januar 2025 ohnehin der Digital Operational Resilience Act, kurz DORA. Zum 1. Januar 2027 kommen weitere Häuser hinzu, darunter Finanzierungsleasing- und Factoringinstitute. Damit ist für praktisch den gesamten beaufsichtigten Finanzsektor dieselbe Frage offen: Hält der Umgang mit ausgemusterter Hardware einer Prüfung nach DORA stand?

Die Frage klingt nach Randthema, ist es aber nicht. Die technischen Regulierungsstandards zu DORA nennen die sichere Löschung von Daten und die sichere Entsorgung von Datenspeichern ausdrücklich als Verfahren, das ein Finanzunternehmen entwickeln, dokumentieren und umsetzen muss. Wer seine Altgeräte bisher einfach „zum Schreddern“ gegeben hat, hat zwar ein Ergebnis, aber noch kein Verfahren. Dieser Beitrag ordnet ein, was gefordert ist, was Prüfer sehen wollen und warum Nachweis und Restwert sich dabei nicht ausschließen. Er ersetzt keine Rechtsberatung im Einzelfall.

Was verlangt DORA konkret, wenn Hardware ausgemustert wird?

Ein dokumentiertes, umgesetztes Verfahren – für die Löschung der Daten und für die Entsorgung oder Außerbetriebnahme der Datenträger. Die Grundlage liegt in zwei Ebenen. DORA selbst verpflichtet in Artikel 8 dazu, IKT-Assets zu identifizieren, zu klassifizieren und zu dokumentieren. Die Delegierte Verordnung (EU) 2024/1774 konkretisiert das: Nach Artikel 4 braucht jedes Finanzunternehmen eine Richtlinie für das Management von IKT-Assets, die den gesamten Lebenszyklus abdeckt – mit eindeutiger Kennung, Standort, Klassifizierung und Eigentümer jedes Assets.

Für das Lebensende wird die Verordnung noch deutlicher. Artikel 11 der Verordnung 2024/1774 verlangt im Rahmen der Daten- und Systemsicherheit unter anderem ein Verfahren zur sicheren Löschung von Daten (Buchstabe g) und ein Verfahren zur sicheren Entsorgung oder Außerbetriebnahme von Datenspeichern, die vertrauliche Informationen enthalten – und zwar ausdrücklich auch für extern aufbewahrte Datenspeicher (Buchstabe h). Für Häuser im vereinfachten Rahmen nach Artikel 16 DORA enthält Artikel 35 derselben Verordnung dieselben beiden Pflichten in den Buchstaben e und f. Der schlanke Rahmen verzichtet also auf vieles, aber nicht auf die sichere Entsorgung.

Der Kern ist das Wort „Verfahren“. Gemeint ist kein einzelner Entsorgungsauftrag, sondern ein wiederholbarer, beschriebener Ablauf mit Zuständigkeiten, Methoden und Belegen. Genau daran wird die Aufsicht die Praxis messen.

Wer ist betroffen – und was ändert sich zum 1. Januar 2027?

Betroffen ist seit Januar 2025 der Kern des Bankensektors: CRR-Kreditinstitute, also auch Sparkassen und Volks- und Raiffeisenbanken, dazu unter anderem Wertpapierinstitute sowie Zahlungs- und E-Geld-Institute. Für die Kreditinstitute sind die BAIT seit dem 17. Januar 2025 nicht mehr anwendbar; maßgeblich ist DORA mit den genannten Regulierungsstandards.

Zum 1. Januar 2027 schließt sich die Lücke. Nach dem Finanzmarktdigitalisierungsgesetz müssen dann auch Institute ein IKT-Risikomanagement nach Artikel 16 DORA betreiben, die bisher nur Meldepflichten hatten. Die BaFin nennt in ihren DORA-FAQ unter anderem Bürgschaftsbanken, Drittstaatenzweigstellen, Wohnungsunternehmen mit Spareinrichtung und Finanzdienstleistungsinstitute wie Finanzierungsleasing- und Factoringinstitute. Mit Ablauf des 31. Dezember 2026 fallen die BAIT dann vollständig weg.

Für Leasinggesellschaften hat das eine besondere Note: Sie sind nicht nur Betreiber eigener IT, sondern bewegen über Leasingrückläufer laufend fremde Geräte, auf denen Daten der Leasingnehmer liegen können. Wo diese Rückläufer in die eigene Verantwortung übergehen, sollte das Verfahren sie ausdrücklich erfassen, statt sich auf die Löschzusage des Kunden zu verlassen.

Warum „wir lassen schreddern“ als Verfahren nicht reicht

Weil die Prüfung nicht nach dem Ergebnis fragt, sondern nach der Nachvollziehbarkeit. In der Praxis läuft das auf eine Stichprobe hinaus: Aus dem Asset-Register wird ein ausgemustertes Notebook gezogen, und das Haus soll belegen, was mit genau diesem Gerät passiert ist. Wer hat die Ausmusterung freigegeben? Wann hat das Gerät das Haus verlassen, und wer hatte es bis zur Löschung in der Hand? Welche Methode wurde angewandt, und wo ist der Nachweis mit der passenden Seriennummer?

Eine Sammelbescheinigung „500 kg Elektronikschrott vernichtet“ beantwortet keine dieser Fragen. Sie bestätigt eine Menge, kein Gerät. Das Risiko liegt dabei selten in der Vernichtung selbst, sondern in den Übergängen: im Lagerraum, in dem sich Altgeräte über Monate sammeln, in der Gitterbox ohne Liste, im Transport ohne Übergabeprotokoll. Ein belastbares Verfahren beginnt deshalb nicht beim Dienstleister, sondern im IT-Asset-Management des Hauses – und endet erst, wenn der Nachweis dort wieder verbucht ist.

Hinzu kommt ein wirtschaftlicher Punkt, der in Banken oft unter den Tisch fällt: Die pauschale Vernichtung zerstört Werte, die das Haus nicht zerstören müsste. Ein funktionsfähiges Business-Notebook, das nach drei bis fünf Jahren aus der Flotte geht, hat einen Marktwert – vorausgesetzt, die Daten sind nachweislich entfernt.

Welche Löschstandards Prüfer heute erwarten

Anerkannte, aktuelle und zum Datenträger passende. Bei den Normen hat sich in den vergangenen Jahren mehr verschoben, als viele interne Richtlinien abbilden. Die deutsche DIN 66399 für die Vernichtung von Datenträgern ist in die internationale Norm ISO/IEC 21964 übergegangen; Schutzklassen und Sicherheitsstufen sind dabei inhaltlich gleich geblieben. Wer in Richtlinie oder Vertrag noch die DIN zitiert, hat keinen inhaltlichen Mangel, aber einen Dokumentationsmangel – und damit den ersten Punkt im Prüfbericht.

Für die logische Löschung gilt Ähnliches. Das US-amerikanische NIST hat am 26. September 2025 die Revision 2 seiner Richtlinie SP 800-88 veröffentlicht. Sie beschreibt Löschung nicht mehr als Sammlung einzelner Techniken, sondern als Programm mit Zuständigkeiten, Verifikation und Dokumentation – und verweist für die konkreten Verfahren je Speichertyp auf die Norm IEEE 2883-2022. Die Formulierung „gelöscht nach NIST 800-88“ ohne Revisionsangabe ist damit unpräzise. Sauber ist: NIST SP 800-88 Rev. 2 in Verbindung mit IEEE 2883-2022.

Inhaltlich ist die wichtigste Unterscheidung die zwischen Speichertypen. Bei SSDs und Flash-Speichern ist mehrfaches Überschreiben keine verlässliche Methode, weil der Controller Daten intern umverteilt; hier gehören die in der Hardware angelegten Löschbefehle oder eine kryptografische Löschung mit Verifikation zum Stand der Technik. Entmagnetisieren taugt für diese Datenträger grundsätzlich nicht. Datenträger, die sich nicht nachweislich löschen lassen, etwa weil sie defekt sind, werden physisch vernichtet – mit einer Sicherheitsstufe nach ISO/IEC 21964, die zur Schutzklasse der Daten passt. Mehr zur Abwägung zwischen beiden Wegen lesen Sie in unserem Beitrag Zertifizierte Datenlöschung vs. Schreddern.

Was bedeutet das für die Auswahl des Verwertungsdienstleisters?

Dass Sie Ihre Pflichten nicht mit dem Auftrag abgeben. Ob ein Verwertungsdienstleister im Einzelfall als IKT-Drittdienstleister im Sinne von DORA einzustufen ist, hängt von der konkreten Leistung ab und sollte mit Compliance und Informationssicherheit geklärt werden. Unabhängig davon gilt: Das Verfahren nach Artikel 11 beziehungsweise 35 bleibt Pflicht des Finanzunternehmens. Der Dienstleister muss so arbeiten, dass das Haus diese Pflicht belegen kann.

Daraus folgen einige harte Anforderungen. Sind personenbezogene Daten auf den Geräten, braucht es einen Auftragsverarbeitungsvertrag nach Artikel 28 DSGVO einschließlich der eingesetzten Subunternehmer. Die Nachweise müssen gerätegenau sein, die angewandte Methode benennen und mit den Seriennummern aus Ihrem Register übereinstimmen. Und das Haus braucht ein Prüf- und Einsichtsrecht, das auch tatsächlich wahrgenommen werden kann. Worauf Sie bei der Auswahl sonst achten sollten, haben wir in IT-Verwertungspartner auswählen zusammengefasst.

Gerade hier zeigt sich ein Unterschied, den Standardprozesse großer Anbieter selten abbilden: Eine Sparkasse mit zwölf Filialen hat andere Anforderungen als ein Konzern mit zentralem Lager. Entscheidend ist, dass ein Ansprechpartner die Einzelheiten Ihres Hauses kennt – von der Abholung pro Filiale bis zur Frage, ob besonders sensible Bestände vor Ort gelöscht werden, bevor sie das Gebäude verlassen.

Wie sieht ein prüffähiger Ablauf in der Praxis aus?

In fünf Schritten, die jeweils einen Beleg erzeugen. Die Reihenfolge ist wichtiger als die Werkzeuge, denn jeder Schritt baut auf dem Nachweis des vorherigen auf.

1. Inventar abgleichen: Die auszumusternden Geräte werden im Asset-Register markiert – mit Seriennummer, Standort und Klassifizierung der gespeicherten Daten.
2. Freigabe dokumentieren: Eine benannte Person gibt die Ausmusterung frei und legt fest, welche Geräte gelöscht und welche vernichtet werden.
3. Gesichert übergeben: Geräte gehen in verschlossenen Behältnissen mit Übergabeprotokoll und Seriennummernliste an den Dienstleister – siehe IT-Abholung im Unternehmen.
4. Löschen und nachweisen: Löschung nach NIST SP 800-88 Rev. 2 in Verbindung mit IEEE 2883-2022, Vernichtung nach ISO/IEC 21964 – mit einem Nachweis je Seriennummer.
5. Zurückbuchen: Die Nachweise werden dem Register zugeordnet, das Asset wird geschlossen, der Verwertungserlös sauber gebucht.

Der fünfte Schritt wird am häufigsten vergessen. Erst wenn der Nachweis im Register liegt, kann das Haus bei einer Stichprobe in Minuten antworten statt in Tagen.

Kostet ein DORA-konformer Ablauf mehr, als er einbringt?

In aller Regel nicht. Bankflotten sind für den Zweitmarkt attraktiv: einheitliche Business-Modelle, gepflegte Geräte, planbare Austauschzyklen. Werden die Daten zertifiziert gelöscht statt die Geräte pauschal vernichtet, bleibt dieser Wert erhalten. Der Erlös deckt die Abwicklung häufig vollständig und kann bei größeren Beständen deutlich darüber hinausgehen. Nur Datenträger, die sich nicht nachweislich löschen lassen, werden zerstört.

Für ein Haus unter DORA ist die Reihenfolge trotzdem klar: erst der Nachweis, dann der Erlös. Sicherheit vor Tempo, Werterhalt vor Wertvernichtung – und Vertrauen, das sich belegen lässt, statt nur versprochen zu werden. Wenn Sie Ihr Ausmusterungsverfahren vor dem Jahreswechsel prüfen oder aufsetzen wollen, sprechen Sie uns an. Sie bekommen eine schnelle, verbindliche Einschätzung für Ihren konkreten Bestand – und einen Ansprechpartner, der sie auch einhält.

Passend dazu

• Auftragsverarbeitungsvertrag bei der IT-Verwertung: Wann Sie einen AVV brauchen
• Zertifizierte Datenlöschung vs. Schreddern: Datensicherheit ohne Wertverlust
• Leasingrückläufer-IT verwerten: So sichern Sie den Restwert Ihrer Hardware
• IT-Hardware ausmustern: Datensicherheit, DSGVO-Compliance und Wertrückgewinnung
• NIS2 und ausgemusterte IT-Hardware: Was Geschäftsleitungen jetzt nachweisen müssen

Häufige Fragen zur IT-Ausmusterung unter DORA

Gilt die Pflicht zur sicheren Entsorgung auch für kleine Institute im vereinfachten DORA-Rahmen?

Ja. Artikel 35 der Delegierten Verordnung (EU) 2024/1774 verlangt auch im vereinfachten IKT-Risikomanagementrahmen ein Verfahren zur sicheren Löschung von Daten und ein Verfahren zur sicheren Entsorgung oder Außerbetriebnahme von Datenspeichern mit vertraulichen Informationen. Der vereinfachte Rahmen verschlankt viele Anforderungen, diese beiden aber nicht.

Ab wann müssen Leasing- und Factoringinstitute DORA anwenden?

Nach dem Finanzmarktdigitalisierungsgesetz müssen Finanzierungsleasing- und Factoringinstitute ab dem 1. Januar 2027 ein IKT-Risikomanagement nach Artikel 16 DORA betreiben. Bis dahin gelten für sie die BAIT, die mit Ablauf des 31. Dezember 2026 endgültig außer Kraft treten. Meldepflichten nach DORA gelten für sie bereits seit Januar 2025.

Reicht ein Vernichtungszertifikat über das Gesamtgewicht als Nachweis?

In der Regel nicht. Ein prüffähiger Nachweis ist gerätegenau: Er nennt Seriennummer, Methode, Datum und Verantwortlichen und lässt sich dem Eintrag im Asset-Register zuordnen. Eine Mengenbescheinigung belegt nur, dass Material vernichtet wurde, nicht, was mit einem bestimmten Gerät geschehen ist.

Welche Norm sollte in Richtlinie und Löschnachweis stehen?

Für die physische Vernichtung ISO/IEC 21964, die Nachfolgerin der DIN 66399, mit der passenden Sicherheitsstufe. Für die logische Löschung NIST SP 800-88 Rev. 2 in Verbindung mit IEEE 2883-2022. Die Angabe „NIST 800-88“ ohne Revision ist seit September 2025 unpräzise und sollte in internen Dokumenten nachgezogen werden.

Müssen ausgemusterte Bankgeräte zwingend vernichtet werden?

Nein. DORA verlangt ein sicheres, dokumentiertes Verfahren, keine bestimmte Vernichtungsart. Geräte, deren Datenträger nach anerkanntem Standard nachweislich gelöscht wurden, können wiederverwendet oder verkauft werden. Physisch vernichtet werden nur Datenträger, die sich nicht nachweislich löschen lassen oder deren Schutzbedarf das im Einzelfall verlangt.