Ein ausgemusterter Router, Drucker oder Server kann noch lange nach seinem letzten Einsatz vertrauliche Informationen enthalten. Dazu gehören nicht nur Dateien auf Festplatten und SSDs, sondern auch WLAN-Schlüssel, VPN-Zertifikate, Administratorenkonten, Cloud-Verknüpfungen, Protokolle und individuelle Gerätekonfigurationen. Selbst Firmware und Managementsysteme können sicherheitsrelevante Informationen bereitstellen oder den Zugang zu weiteren Systemen ermöglichen. Wer IT-Altgeräte deshalb lediglich aus dem Netzwerk entfernt und anschließend dem Recycling zuführt, schließt die Sicherheitslücke nicht automatisch. Eine sichere Geräteentsorgung muss den gesamten digitalen Zustand eines Geräts berücksichtigen. Entscheidend sind ein vollständiges Geräteinventar, kontrollierte Zugriffsmaßnahmen, geeignete Lösch- oder Vernichtungsverfahren und eine lückenlose Dokumentation.
Der digitale Rest bleibt im Gerät
Festplatten und SSDs stehen bei der Datenlöschung traditionell im Mittelpunkt. Das ist richtig, greift bei moderner IT jedoch zu kurz. Netzwerkkomponenten, Multifunktionsdrucker, Firewalls, Storage-Systeme, Server, Access Points, Kassensysteme und mobile Geräte speichern ebenfalls Informationen. Betroffen sein können lokale Benutzerkonten, IP-Adressen, Routingtabellen, Proxy-Einstellungen, WLAN-Zugangsdaten, VPN-Konfigurationen, Zertifikate, API-Schlüssel, Token oder Verbindungsdaten zu Cloud-Diensten. Bei Servern und Appliances kommen häufig BMC- oder Managementcontroller hinzu, etwa für die Fernwartung. Diese Komponenten besitzen eigene Speicherbereiche und eigene Zugangsmöglichkeiten.Firmware ist dabei nicht automatisch mit einem klassischen Datenträger gleichzusetzen. Sie enthält in der Regel die Software, die für den Betrieb des Geräts erforderlich ist. Sicherheitsrelevant wird sie dennoch, wenn individuelle Einstellungen, Schlüssel, Zertifikate, Protokolle oder Zugangsinformationen in der Gerätekonfiguration oder in angeschlossenen Speichern abgelegt sind. Auch ein Gerät ohne sichtbare Festplatte kann daher ein Sicherheitsrisiko darstellen. Ein ausgemusterter Switch mit hinterlegten Administratorkonten oder ein Drucker mit gespeicherten Scan-Zielen kann einem Unbefugten wertvolle Informationen über die interne Infrastruktur liefern.Ein Zurücksetzen auf Werkseinstellungen ist ein sinnvoller Schritt, aber kein pauschaler Nachweis für eine sichere Datenlöschung. Je nach Hersteller und Gerät werden dabei lediglich bestimmte Einstellungen entfernt. Angeschlossene Speichermedien, Wartungsprotokolle, Benutzerprofile, Sicherungskopien oder Daten in Cloud-Konten können bestehen bleiben. Vor der Aussonderung sollte die IT-Abteilung deshalb klären, welche Speicher im Gerät vorhanden sind, welche Konten verwendet wurden und ob das Gerät mit externen Diensten verbunden ist. Dazu gehören auch die Aufhebung von Gerätebindungen, der Widerruf von Zertifikaten und Tokens sowie die Deaktivierung von Fernzugängen.In der Praxis bewährt sich ein mehrstufiger Prozess. Zuerst wird jedes Gerät inventarisiert und einem Verantwortlichen zugeordnet. Danach erfolgt die technische Trennung vom Netzwerk. Noch vor dem Abtransport sollten aktive Zugangsdaten geändert oder widerrufen werden. Anschließend wird entschieden, ob das Gerät zur Wiederverwendung vorbereitet, sicher gelöscht oder vollständig zerstört wird. Bei geeigneten Datenträgern können anerkannte Löschverfahren eingesetzt werden. Bestehen Zweifel über Speicherbereiche, proprietäre Komponenten oder die Wirksamkeit eines Zurücksetzens, kann die physische Vernichtung des relevanten Datenträgers die sicherere Lösung sein. Das BSI weist ebenfalls darauf hin, dass ein bloßes Zurücksetzen auf Werkseinstellungen nicht in jedem Fall genügt.Für personenbezogene Daten verlangt die Datenschutz-Grundverordnung angemessene technische und organisatorische Maßnahmen, die sich am Risiko orientieren. Eine formale Pflicht, jedes ausgemusterte Gerät stets physisch zu zerstören, lässt sich daraus nicht ableiten. Erforderlich ist jedoch ein Verfahren, das unbefugten Zugriff zuverlässig verhindert und zur Schutzbedürftigkeit der Daten passt. Bei besonders sensiblen Systemen können deshalb strengere Vorgaben gelten als bei einfach ausgestatteten Bürogeräten.Auch die Entsorgung selbst gehört in den Prozess. Elektroaltgeräte werden in Deutschland im Rahmen des Elektro- und Elektronikgerätegesetzes und der damit verbundenen Regelungen behandelt. Eine sichere Datenbehandlung ersetzt dabei nicht die ordnungsgemäße Verwertung. Batterien und Akkumulatoren müssen entsprechend ihrer Eigenschaften berücksichtigt und getrennt beziehungsweise fachgerecht behandelt werden. Bei grenzüberschreitenden Transporten können zusätzlich Vorgaben zur Abfallverbringung greifen. Für Unternehmen ist deshalb wichtig, Entsorgung, Datenschutz und Logistik nicht getrennt voneinander zu betrachten.Der Cyber Resilience Act unterstreicht die wachsende Bedeutung digitaler Produktkomponenten. Die Verordnung gilt grundsätzlich ab dem 11. Dezember 2027; einzelne Regelungen gelten bereits seit dem 11. Juni 2026 beziehungsweise dem 11. September 2026. Sie betrifft Produkte mit digitalen Elementen und stärkt Anforderungen an deren Cybersicherheit und Schwachstellenmanagement. Für die Aussonderung alter Geräte ersetzt sie zwar keine interne Löschrichtlinie, bestätigt aber die grundsätzliche Entwicklung: Hardware, Software und ihre Konfiguration müssen gemeinsam betrachtet werden.Für Unternehmen bedeutet das: Eine belastbare Entsorgung endet nicht mit dem Abholen der Geräte. Sie umfasst die Identifikation aller relevanten Speicher, die Sperrung von Zugängen, dokumentierte Lösch- oder Vernichtungsverfahren, kontrollierte Transporte und nachvollziehbare Nachweise. Corebo unterstützt solche Abläufe unter anderem mit Abholung, Sicherheitstransporten, sicherer Datenlöschung, Datenträgervernichtung nach DIN 66399, IT-Rückbau, Entsorgungs- und Vernichtungsnachweisen sowie der anschließenden fachgerechten Verwertung. So wird aus der Aussonderung kein blinder Austausch von Hardware, sondern ein kontrollierter Abschluss des gesamten Geräte-Lebenszyklus.