Themen
Tipp des Monats
Machen Sie in nur zehn Minuten den IT-Sicherheitscheck von Deutschland sicher im Netz. Der Test liefert Handlungsempfehlungen, mit denen Sie die eigene IT-Sicherheitslage verbessern können.
Newsletter
Um neue Beiträge regelmäßig zu erhalten, können Sie hier unseren Newsletter abonnieren:
Wie der sorglose Umgang mit Daten auf Datenträgern verhindert werden kann!
Löschen und Vernichten von Daten
Nach der DSGVO müssen personenbezogene Daten nach bestimmten Vorgaben vernichtet bzw. gelöscht werden. Doch nicht nur bei personenbezogenen Daten sollten Sie dies in Erwägung ziehen.
Welche Daten sind zu löschen bzw. zu vernichten?
Jedes Unternehmen arbeitet mit sensiblen Daten. Der vertrauliche Umgang damit ist in vielen Unternehmen klar geregelt und wird entsprechend umgesetzt. Doch wenn die sensiblen Daten nicht mehr benötigt werden, dann endet nicht die Pflicht diese Daten gesetzeskonform zu behandeln.
- Sofern es sich bei den sensiblen Daten um personenbezogene Daten handelt, ist hier die DSGVO maßgeblich. Sie regelt, dass personenbezogene Daten, die nicht mehr benötigt werden, sicher zu löschen bzw. zu vernichten sind.
- Sofern es sich bei den sensiblen Daten nicht um personenbezogene Daten handelt, obliegt die Handhabung solcher Daten dem Unternehmen. Das heißt aber nicht, dass sich ein Unternehmen deshalb darum nicht mehr kümmern muss. Das Vorgehen sollte hier klar vom Schutzbedarf der Daten abhängen. Der Ausdruck einer Website ist sicher anders zu behandeln als die Geschäftsstrategie für die nächsten Jahre.
Wenn Daten unzureichend gelöscht oder vernichtet werden, können schützenswerte Informationen weitergegeben werden und erhebliche Schäden entstehen. Ein Verstoß gegen die DSGVO ist obendrein bußgeldbewährt.
Worauf sollte der Fokus liegen?
Auf den ersten Blick könnte man meinen, dass es einfach ist festzulegen, worauf der Fokus liegt, d.h. wo Daten abgelegt werden können. Die vertrauliche Präsentation auf der Festplatte des Notebooks und als gedruckte Variante auf Papier. Doch weit gefehlt. Die DIN 66399 gibt hier einen umfassenden Überblick, wo Daten abgelegt sein können:
- Daten in Originalgröße (z.B. Papier)
- Optische Datenträger (DVD, Blu-ray)
- Magnetische Datenträger (ID-Karten mit Magnetstreifen)
- Elektronische Datenträger (USB-Sticks, Flash-Speicher)
- Informationen in verkleinerter Form (Film, Folie)
- Festplatten mit magnetischem Datenträger
Für die Vernichtung und Löschung bedeutet dies, dass die verschiedenen Klassen auch innerbetrieblich behandelt werden muss, sofern es relevant ist. Das Auslassen einer Klasse, weil es für das Unternehmen schlichtweg zu aufwändig ist, ist nach der DSGVO schlichtweg nicht gesetzeskonform bzw. ein unkalkulierbares Risiko.
Regeln zur sicheren Löschung bzw. Vernichtung
Um nicht gegen die DSGVO zu verstoßen und um sicherzustellen, dass nicht versehentlich schützenswerte Daten das eigene Unternehmen verlassen, sollte jedes Unternehmen eine Vorgehensweise zum sicheren Löschen und Vernichten umsetzen. Dabei sollte folgendes Vorgehen gewählt werden:
- Regelung der Vorgehensweise für die Löschung und Vernichtung von Daten
Eine zentrale Regel, welche Daten und welche Betriebsmittel unter welchen Voraussetzungen gelöscht und entsorgt werden muss erstellt und umgesetzt sein. - Ordnungsgemäße Entsorgung von schützenswerten Betriebsmitteln und Daten
Damit Daten sicher entsorgt werden, müssen abgesicherte und geeignete Entsorgungseinrichtungen auf dem Gelände des Unternehmens verfügbar sein. - Löschen de Datenträger vor und nach Austausch
Wenn benutzte Datenträger weitergegeben oder zu einem anderen Zweck eingesetzt werden sollen, sind die darauf befindlichen Daten sicher zu löschen. - Auswahl geeigneter Verfahren zur Löschung oder Vernichtung von Datenträgern
Für verschiedene Datenträgerarten müssen immer geeignete Geräte und Werkzeuge vorhanden sein, mit denen der Mitarbeiter die gespeicherten Daten sicher löschen und vernichten kann (z.B. Aktenvernichter nach DIN 66399–2 P4 oder Datenlöschung Tools). - Geregelte Außerbetriebnahme von IT-Systemen und Datenträgern
Vor der Aussonderung von IT-Systemen oder Datenträger müssen alle dort gespeicherten Daten sicher gelöscht sein. - Einweisung aller Mitarbeiter in die Methoden zur Löschung oder Vernichtung von Daten
Alle Mitarbeiter sind in die Methoden und Verfahrensweisen zum Löschen und Vernichten von Daten eingewiesen.
Fazit
Nicht erst seit Einführung der DSGVO ist es wichtig, Daten sicher zu löschen bzw. zu vernichten. Auch aus betrieblichen Gründen sollte dies geregelt sein. Dabei ist es wichtig, ein geregeltes Verfahren zu planen und umzusetzen und dabei alle relevanten Datenträgerarten einzubeziehen. Ein systematisches Vorgehen, die Einbeziehung aller Mitarbeiter und die Bereitstellung von Tools und Werkzeugen sind hierfür Garanten, dass ein Unternehmen diese Hürde sicher meistert.
Seit 2003 bei der DATEV eG tätig. Zuerst als IT-Revisor, beschäftigt er sich nunmehr schwerpunktmäßig mit dem Informationssicherheits- und Notfallmanagement der DATEV eG. Daneben ist er noch als Referent für die ibs Schreiber GmbH zu unterschiedlichen Themen tätig.
Für DATEV sind Datenschutz und Datensicherheit seit Gründung des Unternehmens zentrale Elemente in der Geschäftspolitik. Daher engagiert sich DATEV mit dem Blog für mehr IT-Sicherheit im Mittelstand.
Neueste Kommentare