Datenvernichtung rechtliche Lage

[Saki Nikaido]

Servus,

wie sieht die rechtliche Lage bei der Datenvernichtung genau aus?

 

Vom "BSI IT-Grundschutz Kompendium 2018, CON.6 Löschen und Vernichten" bin ich nicht besonders schlau geworden.

Auszug aus CON.6:

"Für das Löschen und Vernichten SOLLTEN geeignete Verfahren ausgewählt werden. So SOLLTE es für verschiedene
Datenträgerarten immer geeignete Geräte und Werkzeuge geben, mit denen der verantwortliche Mitarbeiter die
gespeicherten Informationen löschen oder vernichten kann."

 

Daten sollten also vorher klassifiziert werden und dementsprechend eine geeignete Löschmethode gewählt werden.

Welche Verfahren sind denn "geeignet" bei z.B. einer HDD? Physisch zerstören geht oft, aber was ist geeignet bei z.B. Leasing Geräten die nicht zerstört werden dürfen?

"ATA-Erase", "DoD 5220.22-M three-pass", "DoD 5220.22-M seven-pass", simples "dd if=/dev/urandom of=/dev/sdX", "shred /dev/sdX"

Welche Methoden sollte man für Daten in Schutzklasse 1 (normaler Schutzbedarf für interne Daten), Schutzklasse 2 (hoher Schutzbedarf für vertrauliche Daten) und Schutzklasse 3 (sehr hoher Schutzbedarf für besonders vertrauliche und geheime Daten) wählen?

Wie sieht das in der Praxis aus?

 

[Enno]

Geräte die Daten der Schutzklasse 3 enthalten werden gekauft.

Geräte die Daten der Schutzklasse 2 enthalten sind bei uns geleased, allerdings mit einem Vertrag bei dem das enthaltene Speichermedium am Ende der Laufzeit in den Besitz des Leasingnehmers übergeht und damit vernichtet werden kann. Der Leasinggeber erhält also ein Gerät ohne HDD zurück.

Klasse 1 Daten haben wir nicht.

[ErB777]

Am 24.11.2018 um 14:10 schrieb Saki Nikaido:

Vom "BSI IT-Grundschutz Kompendium 2018, CON.6 Löschen und Vernichten" bin ich nicht besonders schlau geworden.

Auszug aus CON.6:

"Für das Löschen und Vernichten SOLLTEN geeignete Verfahren ausgewählt werden. So SOLLTE es für verschiedene
Datenträgerarten immer geeignete Geräte und Werkzeuge geben, mit denen der verantwortliche Mitarbeiter die
gespeicherten Informationen löschen oder vernichten kann."

 

Wie sieht das in der Praxis aus?

Das Löschen von Daten auf Festplatten, das sollte klar sein, dass ein normales / einfaches formatieren nicht ausreicht. Das sogenannte "Wipe"(n) sollte immer mehrmals durchgeführt werden, sodass die Rekursion der Daten nicht möglich ist. Erst dann beginnt man mit der mechanischen Zerstörung.

Von TÜV SÜD gibt es eine Auflistung der Sicherheitsstufen:

https://www.tuev-sued.de/fokus-themen/it-security/din-66399/din-66399-schutzklassen-und-sicherheitsstufen

 

Auch wenn es als "BSI für Bürger" geschrieben wurde, hilft es ungemein, wie man die Daten von der Festplatte richtig löscht:

https://www.bsi-fuer-buerger.de/BSIFB/DE/Empfehlungen/RichtigLoeschen/richtigloeschen_node.html