So vernichten Sie Daten und Datenträger richtig

Die diversen Klassen von Daten

Die Informationen werden dabei in einer "Information Classification Policy" in Bezug auf ihre Werte, gesetzlichen Anforderungen sowie Sensibilität und Kritikalität für die Organisation klassifiziert. So lassen sich zur Kennzeichnung der Informationen sowie für den richtigen Umgang in Übereinstimmung mit dem Klassifizierungsschema entsprechende Verfahren entwickeln und umsetzen.

Auch der IT-Grundschutz definiert anhand von Richtlinien die korrekte Vorgehensweise für die Löschung und Vernichtung von Informationen und Datenträgern und gibt einen umfassenden Überblick über entsprechende Verfahren. Hierzu zählen unter anderem die Anschaffung von Geräten zur Entsorgung der Daten sowie die Vernichtung von Datenträgern durch externe Dienstleister und die Einweisung aller Mitarbeiter in diese Methoden. Denn sie hängen vom Datenträger, dessen Speichertechnologie und der Schutzklasse der Informationen ab. Je nach Schutzbedarf der Daten und dem Speichermedium müssen andere Werkzeuge oder Geräte für eine zuverlässige Datenvernichtung verwendet werden.

Die entsprechenden Bausteine im IT-Grundschutz:

• M 2.431 - Regelung der Vorgehensweise für die Löschung oder Vernichtung von Informationen

• M 2.432 - Richtlinie für die Löschung und Vernichtung von Informationen

• M 2.433 - Überblick über Methoden zur Löschung und Vernichtung von Daten

• M 2.434 - Beschaffung geeigneter Geräte zur Löschung oder Vernichtung von Daten

• M 2.436 - Vernichtung von Datenträgern durch externe Dienstleister

• M 2.167 - Auswahl geeigneter Verfahren zur Löschung oder Vernichtung von Daten

• M 3.67 - Einweisung aller Mitarbeiter über Methoden zur Löschung oder Vernichtung von Daten

• M 4.32 - Physikalisches Löschen der Datenträger vor und nach Verwendung

• M 7.15 - Datenschutzgerechte Löschung/Vernichtung

Das BDSG regelt den Umgang mit personenbezogenen Daten, die entweder manuell oder mit Unterstützung von Informations- oder Kommunikationssystemen verarbeitet werden. Dabei erfolgt die Einordnung in ein Datenschutzkonzept. Dieses enthält technische sowie organisatorische Maßnahmen und legt fest, dass Berechtigte zur Benutzung eines Daten¬verabeitungssystems ausschließlich auf die Daten zugreifen können, für die sie eine Zugriffsberechtigung besitzen. Insbesondere gelten diese Vorschriften auch bei der Entsorgung und Vernichtung von Speichermedien. Bei personenbezogenen Daten, die im Auftrag Dritter erhoben oder verarbeitet werden, zeichnet der Auftraggeber für die Einhaltung der Vorschriften zum DatenschutzDatenschutz verantwortlich. Alles zu Datenschutz auf CIO.de