ISO 27001 A.7.14: Geräte sicher entsorgen oder wiederverwenden

Ein Unternehmen verkauft einen alten Netzwerkdrucker. Das Gerät funktioniert noch, sieht ordentlich aus und findet für erfreulich viel Geld einen neuen Besitzer. Vorher wird es auf Werkseinstellungen zurückgesetzt. Thema erledigt.

Ein paar Tage später stellt der Käufer fest, dass der Drucker eine interne Festplatte besitzt. Darauf liegen alte Scanaufträge. Im Adressbuch stehen Kunden und Mitarbeiter. In der Konfiguration finden sich der Mailserver, Netzwerkdaten und ein technisches Konto, dessen Passwort seit Jahren niemand geändert hat.

Das Gerät war günstig. Die mitgelieferte Unternehmensgeschichte gab es kostenlos dazu.

Genau solche Abschiedsgeschenke soll ISO 27001 Anhang A.7.14 verhindern.

Die kurze Antwort

A.7.14 verlangt, Geräte und Betriebsmittel mit Speichermedien vor ihrer Entsorgung oder Wiederverwendung zu überprüfen. Sensible Daten und lizenzierte Software müssen vorher entfernt oder sicher überschrieben worden sein.

Das betrifft nicht nur Festplatten. Auch Drucker, Router, Firewalls, Smartphones, Telefonanlagen, Zutrittskomponenten, Kameras und industrielle Geräte können Daten, Konfigurationen, Schlüssel oder Zugangsinformationen speichern.

Die praktische Regel lautet:

> Ein Gerät darf das Unternehmen erst verlassen oder intern weitergegeben werden, wenn klar ist, was es gespeichert hat – und dass davon nichts Unerwünschtes mitgeht.

A.7.14 ist kein reines Festplattenthema

Der erste Blick fällt meist auf Serverplatten, SSDs und Notebooks. Das ist richtig, aber zu kurz. Speicher steckt heute fast überall:

• Multifunktionsdrucker speichern Druck- und Scanaufträge, Adressbücher und Mailserverdaten.
• Router, Firewalls und Switches enthalten Konfigurationen, Zertifikate, Schlüssel und technische Konten.
• Smartphones und Tablets speichern lokale Daten, Sitzungen und Zugangstoken.
• Telefonanlagen enthalten Kontakte, Gesprächsdaten, Ansagen und Voicemails.
• Kameras und Zutrittsanlagen speichern Bilder, Ereignisse, Berechtigungen und Protokolle.
• Produktions- und Messgeräte können Rezepte, Kundendaten, Netzwerkkonfigurationen oder Zugangsdaten enthalten.

Wer nur nach ausgebauten Festplatten sucht, übersieht Geräte, die äußerlich ungefähr so informationshaltig wirken wie ein Toaster. Ein ordentliches Asset Management zeigt, welche Geräte und Abhängigkeiten vorhanden sind. Ohne diesen Überblick wird Aussonderung schnell zur Schnitzeljagd.

Entsorgung und Wiederverwendung haben viele Gesichter

A.7.14 greift nicht erst, wenn der Elektroschrott abgeholt wird. Typische Anlässe sind:

• Verkauf gebrauchter Geräte,
• Rückgabe an Leasinggeber oder Vermieter,
• Spende oder Weitergabe,
• Rücksendung defekter Geräte an Hersteller,
• Entsorgung und Recycling,
• Austausch im Rahmen einer Reparatur,
• interne Weitergabe an einen anderen Mitarbeiter oder Bereich,
• Neuinstallation und Wiederverwendung für einen anderen Zweck.

Gerade die interne Wiederverwendung wird gerne übersehen. Das Notebook bleibt schließlich im Haus. Trotzdem darf ein neuer Benutzer nicht die Personalunterlagen, Browserprofile oder gespeicherten Sitzungen seines Vorgängers erben. Unser Beitrag über sichere Laptops und Smartphones zeigt, welche Schutzmechanismen schon während der Nutzung helfen.

Erst prüfen, dann löschen

Ein guter Prozess beginnt nicht mit dem Löschprogramm, sondern mit Fragen:

• Um welches Gerät und welche Seriennummer geht es?
• Welche Speicher enthält es?
• Welche Daten und Konfigurationen könnten darauf liegen?
• Gibt es ausbaubare Datenträger?
• Ist das Gerät noch funktionsfähig?
• Wohin geht es: intern, Leasinggeber, Käufer, Reparatur oder Vernichtung?
• Welcher Schutzbedarf bestand für die gespeicherten Informationen?
• Welche Softwarelizenzen, Schlüssel und Konten sind betroffen?
• Welches Bereinigungsverfahren passt dazu?
• Wie wird das Ergebnis kontrolliert und freigegeben?

Die Antworten bestimmen die Methode. Ein funktionsfähiges verschlüsseltes Notebook, das intern neu eingesetzt wird, braucht eine andere Behandlung als eine defekte SSD mit streng vertraulichen Kundendaten oder eine Firewall, die an einen Händler verkauft wird.

Nicht nur Daten: Konfigurationen, Schlüssel und Lizenzen

Der Control-Text nennt sensible Daten und lizenzierte Software ausdrücklich. In der Praxis sollten zusätzlich alle Informationen betrachtet werden, mit denen ein Dritter Zugang oder Wissen über die eigene Umgebung erhält:

• lokale Konten und gespeicherte Passwörter,
• API-Schlüssel, Zertifikate und private Schlüssel,
• WLAN-Zugangsdaten und VPN-Konfigurationen,
• Netzwerkpläne, Hostnamen und interne Adressen,
• Cloud-Verbindungen und Sitzungstoken,
• Adressbücher, Druck- und Scanverläufe,
• proprietäre Konfigurationen und Quellcode,
• Aktivierungen, Lizenzdateien und Lizenzschlüssel.

Bei zentral verwalteten Endgeräten kann ein MDM das Zurücksetzen, Sperren und Entfernen von Unternehmensdaten unterstützen. Es ersetzt aber nicht die Freigabe des konkreten Geräts. „Der Löschbefehl wurde gesendet“ ist bei einem Gerät, das seit drei Monaten ausgeschaltet im Schrank liegt, noch kein besonders überzeugender Erfolgsnachweis.

Lizenzierte Software muss nicht nur gelöscht, sondern gegebenenfalls auch beim Hersteller oder Lizenzserver deaktiviert werden. Sonst ist das Gerät zwar sauber, die Lizenz aber weiterhin gebunden oder der Käufer bekommt eine Nutzungsberechtigung mitgeliefert, die ihm niemand geben wollte.

Drei grundsätzliche Wege: Clear, Purge und Destroy

Die aktuelle NIST Special Publication 800-88 Revision 2 beschreibt Media Sanitization als einen Prozess, der den Zugriff auf die Zieldaten für einen bestimmten Aufwand praktisch unmöglich macht. Sie unterscheidet drei grundsätzliche Kategorien:

Clear: mit normalen Schnittstellen bereinigen

Clear-Verfahren nutzen übliche Lese- und Schreibschnittstellen, etwa geeignetes Überschreiben oder logische Rücksetzverfahren. Das kann für eine interne Wiederverwendung oder einen niedrigeren Schutzbedarf passen, sofern das Verfahren tatsächlich alle relevanten Bereiche erfasst.

Purge: stärker gegen fortgeschrittene Wiederherstellung

Purge-Verfahren gehen weiter. Dazu können geeignete geräteseitige Sanitize-Befehle, Block-Erase-Verfahren oder kryptographisches Löschen gehören. Sie sollen die Wiederherstellung auch mit aufwendigeren Labormethoden erheblich erschweren.

Destroy: den Datenträger unbrauchbar machen

Bei Destroy wird das Medium physisch so zerstört, dass es nicht mehr als Datenträger verwendet werden kann. Das ist sinnvoll, wenn das Medium defekt ist, sichere logische Verfahren fehlen oder der Schutzbedarf und das Risiko keine Wiederverwendung rechtfertigen.

Die Begriffe sind keine automatische Entscheidungstabelle. Die passende Methode hängt von Medium, Zustand, Schutzbedarf, vorgesehenem Empfänger und akzeptiertem Restrisiko ab.

HDDs: Überschreiben kann gut funktionieren

Bei klassischen magnetischen Festplatten ist sicheres Überschreiben grundsätzlich gut beherrschbar, wenn die Platte funktionsfähig ist und das Verfahren alle relevanten Bereiche erreicht. Geeignete geräteseitige Löschfunktionen können ebenfalls genutzt werden.

Ein Schnellformat oder das Löschen von Dateien reicht nicht. Dabei verschwinden häufig nur Verweise im Dateisystem; die Daten können weiterhin vorhanden sein. Auch das BSI weist beim Weitergeben gebrauchter Geräte auf die Notwendigkeit geeigneter Löschverfahren hin.

Ist eine HDD defekt und lässt sich nicht mehr vollständig ansprechen, wird ein Nachweis erfolgreichen Überschreibens schwierig. Dann kann physische Vernichtung die robustere Lösung sein.

SSDs und Flash: einfaches Überschreiben kann täuschen

SSDs, USB-Sticks und Speicherkarten verteilen Schreibvorgänge über ihre Speicherzellen. Wear Leveling, Reservebereiche und nicht direkt adressierbare Speicherbereiche können dazu führen, dass normales Überschreiben nicht sämtliche alten Daten zuverlässig erreicht.

Deshalb sind geeignete geräteseitige Sanitize-, Secure-Erase- oder Crypto-Erase-Funktionen häufig sinnvoller. Welche Funktion wirklich unterstützt und korrekt umgesetzt wird, muss für das konkrete Gerät geprüft werden. Ein Programmknopf mit der Aufschrift „Military Grade Wipe“ ist keine technische Begründung, sondern zunächst einmal Marketing mit Tarnfarbe.

Wenn ein Flash-Medium defekt ist, das Verfahren nicht verifiziert werden kann oder der Schutzbedarf hoch ist, bleibt die fachgerechte physische Vernichtung eine klare Option.

Kryptographisches Löschen: stark, aber nicht magisch

War ein Datenträger vollständig und wirksam verschlüsselt, kann das sichere Unbrauchbarmachen der relevanten Schlüssel die alten Daten praktisch unzugänglich machen. Das ist schnell und ermöglicht unter Umständen die Wiederverwendung des Mediums.

Es funktioniert aber nur, wenn:

• die Verschlüsselung tatsächlich alle relevanten Datenbereiche erfasst hat,
• das Verfahren und die Schlüssellänge angemessen waren,
• keine unverschlüsselten Altbestände vorhanden sind,
• alle notwendigen Schlüsselkopien und Recovery-Möglichkeiten berücksichtigt werden,
• die Schlüsselvernichtung zuverlässig ausgeführt und geprüft wird.

Ein gelöschtes Passwort ist nicht automatisch ein gelöschter Schlüssel. Recovery Keys in einem Administrationsportal, Sicherungskopien oder alte Schlüsselstände können die schöne Theorie ruinieren.

Der Prozess um das Löschwerkzeug herum

Selbst das beste technische Verfahren hilft wenig, wenn Geräte vorher aus dem Prozess verschwinden. Praktisch braucht es eine kontrollierte Kette:

1. Das Gerät wird eindeutig identifiziert und aus dem Betrieb genommen.
2. Daten, Konfigurationen, Lizenzen und Ziel der Weitergabe werden bewertet.
3. Ein passendes Verfahren wird ausgewählt und freigegeben.
4. Das Gerät wird bis zur Bearbeitung gegen unbefugten Zugriff geschützt gesammelt.
5. Löschung, Ausbau oder Vernichtung werden durchgeführt.
6. Das Ergebnis wird geprüft und dokumentiert.
7. Erst danach erfolgt Übergabe, Verkauf, Rückgabe oder interne Wiederverwendung.

Die Nachweise sollten so gelenkt werden, dass sie später auffindbar und dem richtigen Gerät zugeordnet sind. Wie das geht, erklärt unser Artikel zur Dokumentenlenkung nach Abschnitt 7.5.

Wenn ein Entsorgungsdienstleister beteiligt ist

Ein Dienstleister kann Geräte abholen, Datenträger löschen, schreddern und Vernichtungsnachweise liefern. Die Verantwortung für die Auswahl und Steuerung verschwindet dadurch nicht.

Zu klären sind unter anderem:

• Übergabe und lückenlose Zuordnung der Geräte,
• Schutz beim Transport und bei Zwischenlagerung,
• eingesetzte Lösch- oder Vernichtungsverfahren,
• Umgang mit fehlerhaften oder nicht bearbeitbaren Medien,
• Form und Inhalt der Nachweise,
• Unterauftragnehmer und weitere Empfänger,
• Rückmeldung bei Verlust oder Abweichungen,
• Stichproben und Kontrollen.

Ein Zertifikat mit der Aussage „Heute wurden 37 Kilogramm IT vernichtet“ kann stimmen und trotzdem wenig darüber sagen, ob genau Ihre zwölf Datenträger dabei waren. Die Anforderungen an externe Unternehmen vertieft unser Beitrag über sichere Lieferanten und ihre Risiken.

Nicht-elektronische Datenträger bleiben ein eigenes Thema

A.7.14 spricht von Geräten und Betriebsmitteln mit Speichermedien. Papierakten, Ausdrucke und andere nicht-elektronische Informationsträger müssen ebenfalls sicher entsorgt werden, brauchen aber andere Methoden. Dafür gibt es unseren eigenen Artikel über die sichere Entsorgung nicht-elektronischer Datenträger.

Der Aktenvernichter braucht keine NVMe-Sanitize-Funktion. Und die SSD sollte man besser nicht in den Papiercontainer werfen. Spezialisierung hat gelegentlich etwas Beruhigendes.

A.7.10 und A.7.14: Wo liegt der Unterschied?

A.7.10 betrachtet Speichermedien über ihren gesamten Lebenszyklus: Erwerb, Nutzung, Transport und Entsorgung. A.7.14 konzentriert sich auf den Moment, in dem Geräte und Betriebsmittel entsorgt oder wiederverwendet werden sollen. Dann muss geprüft werden, ob sensible Daten und lizenzierte Software entfernt oder sicher überschrieben wurden.

Die Controls überschneiden sich bewusst. A.7.10 organisiert den Umgang mit Medien. A.7.14 setzt vor der Freigabe eines Geräts einen konkreten letzten Kontrollpunkt.

Typischer typischen Unsinn bei A.7.14

Werkseinstellungen werden mit sicherem Löschen verwechselt

Ein Reset kann Konfigurationen entfernen. Ob Nutzdaten, Reservebereiche oder interne Festplatten vollständig bereinigt wurden, ist damit noch nicht bewiesen.

Nur das offensichtliche Laufwerk wird betrachtet

Die Notebook-SSD ist gelöscht, aber SIM, Speicherkarte, TPM-Schlüssel, Managementregistrierung und Cloudbindung bleiben unbeachtet.

Defekt wird mit datenfrei verwechselt

Das Gerät startet nicht mehr, also soll es direkt in den Schrott. Gerade dann kann das Unternehmen sein Löschverfahren möglicherweise nicht mehr ausführen, während ein Spezialist noch Daten auslesen könnte.

Der Dienstleister gilt als magische Verantwortungssenke

Die Geräte werden abgeholt und ein Zertifikat kommt zurück. Ob Mengen, Seriennummern und Verfahren zusammenpassen, prüft niemand.

Wiederverwendung wird nicht freigegeben

Ein Kollege nimmt das alte Notebook aus dem Schrank, installiert ein paar Programme und gibt es dem Praktikanten. Schnell, nachhaltig und mit dem Browserprofil des ehemaligen Vertriebsleiters.

Was will der Auditor sehen?

Ein Auditor wird nicht nur nach einer Richtlinie fragen, sondern sich abgeschlossene Aussonderungen zeigen lassen:

• Welche Geräte wurden verkauft, zurückgegeben, intern weitergegeben oder vernichtet?
• Wie wurden Datenträger und sonstige Speicher erkannt?
• Welches Verfahren wurde warum gewählt?
• Wie wurden Daten, Konfigurationen, Schlüssel und Lizenzen behandelt?
• Wer hat das Ergebnis geprüft und freigegeben?
• Stimmen Geräte, Seriennummern und Nachweise überein?

Geeignete Nachweise sind Aussonderungstickets, Freigaben, Löschprotokolle, Vernichtungsnachweise, Übergabebelege, Seriennummernlisten, Dienstleisterberichte und Stichprobenkontrollen.

Eine besonders schöne Frage lautet: „Zeigen Sie mir bitte das zuletzt an einen Leasinggeber zurückgegebene Gerät – vom Aussonderungsbeschluss bis zur bestätigten Übergabe.“ Dann sieht man schnell, ob ein Prozess existiert oder nur ein sehr überzeugtes „Das macht die IT“.

Der praktische Prüfblock

Bei Entsorgung und Wiederverwendung zählt nicht das Gehäuse, sondern die Information, die zurückbleiben kann. Datenträger stecken auch in Druckern, Netzwerkgeräten, Telefonen und unscheinbaren Steuerungen.

• Welche Geräte enthalten internen, austauschbaren oder fest verlöteten Speicher?
• Welche Lösch- oder Vernichtungsmethode passt zu Medium und Schutzbedarf?
• Wie wird mit defekten Geräten umgegangen, die sich nicht mehr normal löschen lassen?
• Welche Nachweise liefert ein Entsorgungsdienstleister?

Was im Audit belastbar sein sollte

Der vorhandene Artikel war bereits modern. Hier werden nur Stil, Verlinkung und die praktische Anschlussfähigkeit geprüft; das bestehende 21:9-Bild bleibt erhalten.

Im Rahmen eines Managementsystems nach ISO 27001 hängt das Thema außerdem mit Informationslöschung, nicht-elektronische Datenträger, Rückgabe von Assets, Asset Management und MDM zusammen. Diese Verbindungen verhindern, dass eine einzelne Richtlinie oder ein einzelnes Werkzeug als isolierte Wunderwaffe behandelt wird.

Interesse geweckt?

Sie möchten das Thema in Ihrem Unternehmen sauber und pragmatisch angehen? Sprechen Sie mit uns.