Eines der drängendsten Probleme in der Tech-Branche, das am häufigsten in den Mainstream-Medien thematisiert wird, sind Datenlecks – denn Unternehmen versäumen es nach wie vor, angemessen in die Datenvernichtung und -sicherheit zu investieren, und sehen sich daher immer wieder mit Skandalen um Datenlecks konfrontiert. Es gibt viele verschiedene Formen der Datenvernichtung und unterschiedliche Möglichkeiten für Unternehmen, sicherzustellen, dass sie die gesetzlichen Vorschriften einhalten und ethisch einwandfrei handeln. Procurri erläutert hier die Grundlagen.
Was versteht man unter „Datenvernichtung“?
Unter Datenvernichtung versteht man „den Vorgang, bei dem Daten dauerhaft und unwiderruflich von elektronischen Speichermedien entfernt werden, sodass sie unlesbar und nicht wiederherstellbar sind“.
Hierbei handelt es sich um einen speziellen Vorgang, dessen Ziel es ist, alle wiederherstellbaren Daten zu entfernen; dies unterscheidet sich somit deutlich vom einfachen Löschen von Dateien auf einem Gerät. Zu den elektronischen Speichermedien, bei denen eine Datenvernichtung durchgeführt werden kann, gehören Festplatten, SSDs (Solid-State-Laufwerke) und USB-Sticks.
Der Umfang der zu löschenden Daten ist nicht begrenzt, umfasst jedoch in der Regel personenbezogene Daten (häufig Kundendaten), Finanzunterlagen und sensible Unternehmensinformationen.
Warum ist die Datenvernichtung wichtig?
Wenn Daten nicht ordnungsgemäß von Speichermedien gelöscht werden, können Dritte darauf zugreifen. Dabei kann es sich um böswilligen Zugriff oder andere Formen des Zugriffs handeln; für Daten, zu deren Schutz ein Unternehmen gesetzlich verpflichtet ist, kann dies jedoch rechtliche Konsequenzen haben und den Ruf des Unternehmens schädigen.
Die Verhinderung von Datenlecks durch strenge Vorschriften zur Datenvernichtung minimiert das Risiko einer versehentlichen Offenlegung oder eines unbefugten Zugriffs auf Daten, was wiederum:
- Trägt dazu bei, die Einhaltung gesetzlicher Anforderungen und Best-Practice-Vorgaben wie der DSGVO, des Datenschutzgesetzes und des HIPAA sicherzustellen (die alle sichere Verfahren zur Datenvernichtung vorschreiben, um Risiken auf ein Minimum zu beschränken)
- Das Vertrauen der Verbraucher sichern, indem man sein Engagement für die Sicherheit der Kundendaten unter Beweis stellt und Reputationsschäden vermeidet
- Verhindert die rechtlichen Folgen von Datenlecks wie kostspielige Geldstrafen, behördliche Auflagen und Einzelklagen wegen Datenschutzverletzungen.
Die Datenvernichtung zielt darauf ab, die auf einem Gerät gespeicherten Daten so zu vernichten, dass sie nicht wiederhergestellt werden können, und nicht darauf, sie zu sichern. Sollten die Daten vom Unternehmen weiterhin benötigt werden, können sie an einem anderen Ort gespeichert werden, bevor sie von der bald ausgemusterten Hardware entfernt werden.
Unter welchen Umständen greifen Unternehmen auf die Datenvernichtung zurück?
Zwar müssen viele Unternehmen im Rahmen von Datenaktualisierungszyklen regelmäßig Daten löschen, um ihre alten IT-Ressourcen zu erneuern und/oder alte und nicht mehr benötigte Kundendaten aus ihren Systemen zu entfernen, doch gibt es noch eine Reihe weiterer Gründe, warum eine Datenvernichtung erforderlich sein kann. Dazu gehören:
- Hardware, die das Ende ihrer Lebensdauer (EOL – End of Life) erreicht hat – wenn alte Hardware entsorgt werden muss, weil sie nicht mehr genutzt werden kann, nicht mehr funktionsfähig ist oder nicht mehr benötigt wird, müssen alle Daten darauf sicher gelöscht werden
- Beseitigung der Folgen einer Datenpanne – Wenn es zu einer Datenpanne gekommen ist, ergreifen viele Unternehmen Maßnahmen, indem sie alle aktuellen Daten vernichten und diese sicher wiederherstellen, um weitere Risiken zu minimieren.
- Einhaltung von Compliance-Anforderungen – Um die gesetzlichen Vorschriften zu erfüllen, müssen Unternehmen häufig nachweisen, dass sie in der Lage sind, Daten sicher und gründlich zu vernichten.
Was ist, wenn die Daten wiederhergestellt werden müssen?
Es gibt eine Vielzahl von Techniken zur Datenwiederherstellung, mit denen versucht werden kann, Informationen wiederherzustellen, die ansonsten von einem Speichermedium gelöscht wurden – und tatsächlich werden diese oft von Dritten in böswilliger Absicht eingesetzt, die auf Daten zugreifen wollen, für die sie weder die entsprechenden Rechte noch die Berechtigung besitzen.
Sollte ein Unternehmen nach der ordnungsgemäßen Datenvernichtung erneut auf seine Daten zugreifen müssen, sollte es sicherstellen, dass diese zuvor an einem anderen Ort gesichert oder gespeichert wurden, bevor die Datenvernichtung erfolgt. Im Falle einer gründlichen Datenvernichtung ist ein späterer Zugriff auf die Daten nicht mehr möglich – und bei einem ordnungsgemäß akkreditierten Datenvernichtungsdienstleister wie Procurri wird die Unmöglichkeit der Wiederherstellung für jedes einzelne Hardware-Teil zertifiziert.
Die verschiedenen Arten der Datenvernichtung
Es gibt viele verschiedene Methoden der Datenvernichtung, und welche davon für die jeweilige Hardware, die ein Unternehmen zur Datenentsorgung vorlegt, geeignet ist, kann variieren. Zu den Techniken der Datenvernichtung gehören:
Programme zum Überschreiben/Löschen von Daten
Programme zum Überschreiben bzw. Löschen von Daten sind Softwareanwendungen, die nach einem einfachen Prinzip funktionieren: Sie überschreiben die auf Speichermedien vorhandenen Daten mit zufälligen Daten, wodurch es praktisch unmöglich wird, auf die Originaldaten zuzugreifen oder diese zu entschlüsseln. Womit genau die Daten überschrieben werden, kann variieren – von vollständig zufälligen Zeichenfolgen bis hin zu binären 1en und 0en. In der Regel werden die Daten mehrmals überschrieben, um maximale Sicherheit zu gewährleisten.
Entmagnetisierung
Unter „Entmagnetisierung“ versteht man den Vorgang, bei dem Speicherhardwaregeräte in einer kontrollierten Umgebung starken Magnetfeldern ausgesetzt werden. Dadurch werden die magnetischen Muster, die die Daten auf dem Gerät speichern, unterbrochen, sodass diese nicht mehr wiederherstellbar sind, da sie nicht mehr gelesen werden können.
Physische Zerkleinerung
Bei der physischen Vernichtung von Speichergeräten werden diese tatsächlich zerlegt – wodurch sichergestellt wird, dass Daten nicht wiederhergestellt werden können und das Gerät nicht mehr funktionsfähig ist, da es nicht mehr repariert oder wiederaufbereitet werden kann.
Sonstige physische Zerstörung
Auch Speichergeräte, die sich nicht ohne Weiteres schreddern lassen, können einer physischen Vernichtung unterzogen werden, beispielsweise durch Zerkleinern, Verbrennen oder Pulverisieren. Dadurch werden die Geräte vollständig zerstört, sodass keine Daten wiederhergestellt werden können und das Gerät irreparabel beschädigt ist.
Woher wissen Sie, welche Art der Datenvernichtung für Ihr Unternehmen am besten geeignet ist?
Die sicherste Methode zur Datenvernichtung hängt von der Art des Speichermediums, den darauf gespeicherten Daten und dem Sicherheitsniveau ab, das das Unternehmen bei der Datenentsorgung anstrebt.
Bei hochsensiblen Daten können Unternehmen sich dafür entscheiden, mehrere Methoden zur Datenvernichtung zu kombinieren, beispielsweise das Überschreiben der Daten und die anschließende physische Zerkleinerung oder Vernichtung des Geräts. Zwar erhöht die Kombination mehrerer Vernichtungsmethoden den finanziellen Aufwand, doch ist dies bei weitem die sicherste verfügbare Methode.
Es lohnt sich immer, fachkundigen Rat einzuholen, welche regulatorischen, Compliance- und rechtlichen Faktoren je nach Standort des Unternehmens und dessen Datenverantwortung eine Rolle spielen. Die Zusammenarbeit mit einem spezialisierten Anbieter für Datenvernichtung wie Procurri trägt dazu bei, sicherzustellen, dass Ihr Unternehmen alle Vorschriften einhält und nicht nur die gesetzlichen Anforderungen, sondern auch die Best-Practice-Standards der Branche befolgt.
Wie viel kostet die Datenvernichtung?
Die genauen Kosten für die Datenvernichtung auf Speichermedien hängen von mehreren Faktoren ab, darunter:
- Der erforderliche sichere Transport der Hardware vom Standort zur Einrichtung für die sichere Datenvernichtung
- Die Art der Hardware, von der Daten gelöscht wurden
- Die verwendete Methode zur Datenvernichtung.
Procurri ist sich bewusst, dass kein Unternehmen dem anderen gleicht – und genau aus diesem Grund bieten wir für solche Dienstleistungen keine Pauschalangebote an. Teilen Sie uns stattdessen Ihre Anforderungen mit, damit unsere Experten Ihnen die verfügbaren Optionen erläutern und Ihnen die für Ihre Bedürfnisse am besten geeigneten Lösungen vorschlagen können.
Wie kann ich sicher sein, dass die Datenvernichtung erfolgreich war?
Procurri stellt für jedes Speichermedium oder jedes Hardwaregerät, an dem wir unsere Datenvernichtungsdienste durchführen, ein Datenvernichtungszertifikat aus – unabhängig davon, welche Methode dabei zum Einsatz kommt. Nachdem wir die Hardware strengen Tests unterzogen haben, stellen wir ein individuelles Zertifikat aus, das die vollständige Datenlöschung und die Unmöglichkeit einer Datenwiederherstellung bestätigt.
So wählen Sie den richtigen Anbieter für die Datenvernichtung für Ihr Unternehmen aus
Es gibt eine Vielzahl von Anbietern, die Dienstleistungen zur Datenvernichtung anbieten, doch für Unternehmen ist es wichtig, folgende Punkte zu beachten:
- Verfügt das Unternehmen über nachweisbare Erfolge im Bereich der Datenvernichtung?
- Stellt das Unternehmen Bescheinigungen über die Datensanierung aus?
- Ist das Unternehmen von den zuständigen Aufsichtsbehörden zugelassen?
- Welche Kommunikationsprotokolle hat das Unternehmen für die Hardware während des Datenvernichtungsprozesses eingerichtet?
- Bietet das Unternehmen nur eine Methode zur Datenvernichtung an oder mehrere?
- Bietet das Unternehmen die Datenvernichtung in einer eigenen, gesicherten Einrichtung oder vor Ort an, oder wird dies an einen externen Dienstleister ausgelagert?
- Handelt das Unternehmen bei seinen ITAD-Verfahren umweltbewusst?
- Bietet das Unternehmen nach Abschluss der Datenvernichtung die Möglichkeit zur Aufarbeitung oder zum Weiterverkauf der Hardware an?
Die gute Nachricht ist, dass Procurri all diese Dienstleistungen und noch vieles mehr anbietet. Die Datenvernichtung erfolgt in unseren speziellen, gesicherten Einrichtungen (wobei die Geräte in sicher versiegelten Fahrzeugen dorthin transportiert werden!), und wir arbeiten nach dem Prinzip „Zero-to-Landfill“ – das heißt, wir schaffen die Möglichkeit, aus unerwünschter oder ausgedienter Hardware durch Weiterverkauf und Wiederverwendung, wo immer möglich, einen Mehrwert zu generieren. Wir sind sogar als klimaneutrales Unternehmen zertifiziert!
Wenn Sie weitere Informationen darüber wünschen, welche Dienstleistungen wir im Bereich der Datenvernichtung anbieten, welche Sicherheitsstufen die einzelnen Verfahren bieten und wie wir unsere Dienstleistungen auf Ihre Anforderungen bei der Datenentsorgung zuschneiden können, wenden Sie sich noch heute an das Procurri-Team.
