Datenlöschung und Nachweis
Drei Sätze,
die ich halte.
1
Löschung vor der Neuinstallation
Jeder Datenträger wird vor der Neuinstallation nach NIST SP 800-88 Rev. 2 gelöscht und verifiziert: HP Secure Erase im BIOS, zusätzlich NVMe Sanitize oder ATA Secure Erase ab Boot-Stick ohne Netz, danach eine Lesestichprobe. Das vorhandene Betriebssystem starte ich nie.
2
Nachweis pro Seriennummer
Sie erhalten die Löschbestätigung pro Seriennummer und ein Sammelblatt pro Los unaufgefordert, sobald die Löschung abgeschlossen ist, spätestens mit der Zahlung. Mein Archiv führe ich zehn Jahre an zwei Orten.
3
Nicht verifizierbar heisst vernichtet, in der Schweiz
Datenträger, deren Löschung ich nicht verifizieren kann, werden ausgebaut, verschlossen gelagert und über einen Vernichtungsbetrieb nach ISO/IEC 21964 vernichtet, mit Auftragsnummer im Nachweis. Kein Datenträger verlässt meinen Betrieb ungelöscht; eine Vernichtung durch einen Betrieb geschieht nur mit Ihrer Zustimmung und nur in der Schweiz.
Variante 1 oder 2: Entweder löscht Ihre IT vor der Übergabe mit HP Secure Erase und protokolliert das auf meiner Vorlage (Variante 1, empfohlen; dann ist der Ankauf ein reiner Kaufvertrag und meine Löschung eine Zweitlöschung), oder die Geräte kommen ungelöscht und ich lösche als beauftragter Dritter (Variante 2, mit Abschnitt Auftragsbearbeitung im Kaufvertrag). Bei verlöteten Speichern nur Variante 1.
Was Sie erhalten
Die Löschbestätigung pro Seriennummer nennt diese Felder:
Gerät
Datenträger
Methode
Werkzeug
Verifikation
Datum
Unterschrift
SHA-256-Prüfsumme
Dazu das Sammelblatt pro Los mit allen Seriennummern und Protokollnummern für Ihr Vernichtungsprotokoll oder Ihre Anlagebuchhaltung. Beides ohne Aufpreis.
Muster-Löschbestätigung (PDF) →
Details zu Fristen, Varianten und Vernichtung: Ankaufsbedingungen (PDF)
Offen gesagt: ein Nachweis ohne Drittprüfung
Meine Löschbestätigung stammt aus meinem eigenen Protokoll und ist von derselben Person unterschrieben, die die Geräte danach verkauft; auf den älteren Generationen gibt es kein Herstellerdokument dazu. Eine Prüfstelle, die das gegenzeichnet, habe ich nicht.
Als Ausgleich erhalten Sie Einsicht in mein Journal und die Löschprotokolle, und Sie können der Löschung nach Absprache in Burgdorf beiwohnen. In Variante 1 haben Sie zusätzlich Ihr eigenes Protokoll, und meine Bestätigung ist die zweite Unterschrift.
- NIST SP 800-88 Rev. 2
- Die Richtlinie des US-Normungsinstituts NIST für das Löschen von Datenträgern. Sie beschreibt, mit welchen Methoden ein Datenträger so gelöscht wird, dass sich die Daten nicht wiederherstellen lassen.
- Secure Erase, Sanitize
- Löschbefehle, die die SSD oder Festplatte selbst ausführt. Sie löschen alle Speicherzellen einschliesslich der Reservebereiche, nicht nur die sichtbaren Dateien wie beim Formatieren.
- Boot-Stick
- Ein USB-Stick mit eigenem Betriebssystem. Das Gerät startet davon; das installierte Windows bleibt aus, und das Netzwerk bleibt getrennt.
- Verifikation, Lesestichprobe
- Nach der Löschung lese ich Bereiche des Datenträgers zurück und prüfe, dass nur noch leere Werte kommen. Das Ergebnis steht im Protokoll.
- SHA-256-Prüfsumme
- Ein Fingerabdruck des Protokolls. Ändert jemand nachträglich ein einziges Zeichen, stimmt der Fingerabdruck nicht mehr.
- ISO/IEC 21964
- Die Norm für die Vernichtung von Datenträgern; sie stuft ein, wie fein ein Datenträger zerkleinert wird. Ich verlange mindestens Stufe E-4 für SSDs und H-4 für Festplatten.
- Variante 1 und 2
- Variante 1: Ihre IT hat vor der Übergabe gelöscht und protokolliert. Variante 2: Ich lösche in Ihrem Auftrag. Im Übergabeprotokoll heissen sie Spur A (Variante 1) und Spur B (Variante 2); ohne Angabe gilt Spur B, also Variante 2.
- Sammelblatt
- Eine Seite pro Los mit allen Seriennummern, Löschmethoden und Protokollnummern, damit Sie den Abgang in einem Dokument ablegen können.