Worauf muss bei der Datenvernichtung geachtet werden?

Akten beinhalten oft vertrauliche Informationen, die mit besonderer Sorgfalt behandelt werden müssen. Das hat vor Kurzem der amerikanische Präsident Joe Biden festgestellt, als in seinem früheren Büro geheime Akten entdeckt wurden. Diese hätte er dem US-Nationalarchiv übergeben müssen.
Solche Sicherheitsvorkehrungen gelten zwar nicht für deutsche Firmen und Behörden, trotzdem gibt es auch in diesem Fall genaue Vorschriften über den Umgang mit Akten. Der folgende Artikel informiert Unternehmer, wie Sie Ihre Daten nach den Datenschutzrichtlinien vernichten.

Die Datenschutz-Grundverordnung regelt die Vernichtung der Daten

Seit dem 25. Mai 2018 gilt die Datenschutz-Grundverordnung (DSGVO). Diese regelt detailliert, wie Daten zu vernichten sind. Dadurch soll verhindert werden, dass diese von Dritten rekonstruiert und von unbefugten Personen eingesehen werden können. Der Datenschutzbeauftragte muss sämtliche Maßnahmen, die er zur Vernichtung der Daten angewendet hat, dokumentieren.
Obwohl Unternehmen und Behörden Informationen immer häufiger elektronisch speichern, finden sich noch viele Unterlagen in Aktenordnern und Hängeregistern wieder. Die Vernichtung der Daten ist durch DIN 66399 detailliert geregelt.

Die Aktenvernichtung nach den Vorgaben der Industrienorm

Die DIN 663399 legt genau fest, wie die Aktenvernichtung erfolgen soll. Die Norm teilt die Daten in drei Schutzklassen und sieben Sicherheitsstufen ein. Diese Einteilung erfolgt durch den Unternehmer, denn dieser kennt seine Daten und weiß, welche Sicherheitsanforderungen er an die Daten stellt.
Zur Schutzklasse 1 gehören interne Daten wie Produktlisten, Telefonlisten und Adressdaten. Die Schutzklasse 2 beinhaltet vertrauliche Daten. Dazu zählen betriebswirtschaftliche Auswertungen, interne Reportings und Finanzbuchhaltungsunterlagen. Zur Schutzklasse 3 gehören geheime Daten wie Zeugenschutzprogramme oder sensible Ergebnisse aus Entwicklung und Forschung.
Hilfreich bei der Aktenvernichtung durch Unternehmer und Behörden sind außerdem sieben Sicherheitsstufen, da diese eine genauere Einteilung ermöglichen.
– Sicherheitsstufe 1: Allgemeine Daten, die sich mit einfachem Aufwand rekonstruieren lassen.
– Sicherheitsstufe 2: Interne Daten, deren Rekonstruktion einen besonderen Aufwand erfordern.
– Sicherheitsstufe 3: Sensible Daten, die sich nur durch einen erheblichen Aufwand wiederherstellen lassen.
– Sicherheitsstufe 4: Das sind Daten, die besonders sensibel sind. Diese lassen sich nur durch einen sehr hohen Aufwand rekonstruieren.
– Sicherheitsstufe 5: Geheime Daten, die sich nur mit zweifelhaften Methoden wiederherstellen lassen.
– Sicherheitsstufe 6: Geheime Hochsicherheitsdaten, deren Rekonstruktion technisch nicht möglich ist.
– Sicherheitsstufe 7: Bei diesen Daten handelt es sich um Top-Secret Hochsicherheitsdaten, wobei die Wiederherstellung ausgeschlossen sein muss.

Bei der Aktenvernichtung wird jeder Sicherheitsstufe einer bestimmten Partikelgröße zugeordnet. Die Vernichtung der Akten kann durch eine Firma oder mit Hilfe eines geeigneten Shredders erfolgen, wobei darauf zu achten ist, dass letzterer den DIN-Anforderungen entspricht und die entsprechende Partikelgröße erreicht wird.

Daten auf Disketten und Festplatten vernichten

Disketten spielen schon seit mehreren Jahren keine Rolle mehr. Trotzdem finden sich immer noch viele Daten auf diesen Speichermedien. Um die Informationen vollständig zu löschen, könnte man diesen einem starken Magnetfeld aussetzen oder sie mehrmals überschreiben. Es gibt im Handel Programme, mit denen sich Daten DSGVO-Konform löschen lassen. Allerdings lohnt sich der Aufwand kaum, denn diese Datenträger sind nicht mehr in Verwendung.
Verantwortliche für den Datenschutz, die eine Diskette vollständig zerstören wollen, nehmen einen Nagel und schlagen ihn mit einem Hammer durch den Datenträger. Eine andere Möglichkeit ist shreddern, allerdings sind handelsübliche Geräte meist dafür nicht geeignet.
Sollen besonders sensible Daten auf einer Festplatte vernichtet werden, muss diese ebenfalls geschreddert werden. Dazu ein Gerät verwenden, das für Festplatten geeignet ist. Einfaches Zerstören mit einem Hammer reicht nicht aus, denn Fachleute können diese Daten wiederherstellen. Löschen oder das mehrfache Überschreiben von Disketten ist selbst mit einer entsprechenden Software keine sichere Methode zur Datenvernichtung.

Fazit

Der korrekte Umgang und gegebenenfalls die Vernichtung von Daten gehören zu den wichtigsten Aufgaben jedes Unternehmens. Die Datenschutz-Grundverordnung stellt zusammen mit der DIN 66399 eine wichtige Grundlage und Orientierungshilfe dar. Wer sich daran hält, braucht weder Ärger mit den Behörden noch mit seinen Kunden zu fürchten.