Datenträger verlassen regelmäßig den Einflussbereich der IT:
defekte Geräte gehen in den RMA-Prozess, Hardware wird ausgetauscht oder weitergegeben, USB-Sticks und SD-Karten wechseln den Einsatzort.
In vielen Organisationen endet die Behandlung dieser Datenträger bei einem schnellen Format oder einem Zurücksetzen des Systems. Technisch ist das oft unzureichend – organisatorisch fehlt in der Regel der Nachweis, was tatsächlich getan wurde.
Dieser Beitrag beschreibt einen praxisnahen, realistischen Ansatz, wie IT-Abteilungen den Umgang mit Datenträgern strukturieren, dokumentieren und in bestehende Prozesse integrieren können.
Das eigentliche Risiko
Das Risiko entsteht nicht erst durch einen Angriff, sondern durch unkontrollierte Übergänge:
- Datenträger verlassen die Organisation
- Verantwortung ist nicht eindeutig dokumentiert
- Technische Maßnahmen sind nicht nachvollziehbar
- Nachweise fehlen oder liegen verstreut
Spätestens bei Rückfragen aus Datenschutz, Revision oder Audit wird klar:
„Wir haben etwas getan“ reicht nicht – es muss belegbar sein.
Typische Szenarien aus dem IT-Alltag
Ein belastbarer Prozess muss unterschiedliche Situationen abdecken:
- RMA / Defekt
Der Datenträger ist noch ansprechbar, das Gerät wird zurückgeschickt. - Austausch / Weiterverwendung
Hardware wird intern oder extern erneut genutzt. - Wechselmedien
USB-Sticks, SD-Karten oder externe SSDs im Supporteinsatz. - Totalausfall
Der Datenträger ist technisch nicht mehr zugreifbar.
Wichtig:
Nicht jeder Datenträger kann technisch behandelt werden – aber jeder Fall kann dokumentiert werden.
Ein pragmatisches Grundprinzip
Wenn ein Datenträger noch ansprechbar ist, sollte er kontrolliert behandelt werden.
Wenn er es nicht ist, muss der Zustand nachvollziehbar dokumentiert werden.
Beides ist legitim. Entscheidend ist Transparenz.
Warum Verschlüsselung statt klassischer Löschversuche?
Gerade bei modernen Speichermedien (SSD, NVMe, Flash-Speicher) ist klassisches Überschreiben:
- technisch schwer verlässlich (Wear-Leveling),
- zeitaufwendig,
- und oft schlecht nachweisbar.
Eine vollständige Verschlüsselung des Datenträgers bietet einen praktikablen Vorteil:
- Daten sind praktisch nicht mehr zugreifbar
- der Zustand ist eindeutig prüfbar
- der Vorgang ist reproduzierbar
Das Ziel ist nicht absolute Vernichtung, sondern kontrollierte Unzugänglichkeit plus Nachweis.
Einordnung in DSGVO, NIS2 und DORA
Regulatorische Anforderungen wie DSGVO, NIS2 oder DORA schreiben in der Regel keine konkreten Tools vor.
Gefordert werden vielmehr angemessene technische und organisatorische Maßnahmen, klare Verantwortlichkeiten und Nachvollziehbarkeit.
Der folgende Abschnitt zeigt, wie ein möglicher Prozess aussehen kann, der sich in bestehende Governance-Strukturen integrieren lässt.
DSGVO – technische und organisatorische Maßnahmen (TOMs)
Die DSGVO fordert geeignete Maßnahmen zur Risikominimierung sowie deren Dokumentation.
Ein definierter Ablauf zur Behandlung von Datenträgern, die den Einflussbereich verlassen, kann Teil solcher TOMs sein – sofern er organisatorisch verankert ist.
Der hier beschriebene Ansatz stellt keine DSGVO-Konformitätszusage dar, sondern ein Beispiel, wie technische Maßnahmen und Dokumentation zusammenspielen können.
NIS2 – Kontrolle von Prozessen, nicht von Tools
NIS2 legt den Fokus auf:
- kontrollierte IT-Prozesse,
- Verantwortlichkeiten,
- den bewussten Umgang mit Risiken.
Ein klar definierter Ablauf für den Umgang mit Datenträgern außerhalb des eigenen Einflussbereichs ist anschlussfähig an diese Denkweise.
Entscheidend ist nicht das Skript, sondern die Einbettung in bestehende Prozesse wie Ticketing, Rollenmodelle und Dokumentation.
DORA – Nachvollziehbarkeit und Verantwortlichkeit
DORA fordert insbesondere:
- klare Zuständigkeiten,
- nachvollziehbare IT-Vorgänge,
- belastbare Nachweise.
Ein Ticket-basierter Ablauf mit zugeordnetem Audit-Artefakt (z. B. Report + Hash) passt gut zu diesem Ansatz.
Ob und wie ein solcher Prozess regulatorisch ausreichend ist, liegt stets in der Verantwortung der jeweiligen Organisation.
Beispiel: So könnte ein kompletter Prozess aussehen
Der folgende Ablauf beschreibt einen möglichen Weg, wie IT-Abteilungen Datenträgerbehandlung strukturiert organisieren können.
1. Ticket eröffnen
Vor der technischen Maßnahme wird ein Ticket angelegt, z. B.:
- Anlass (RMA, Defekt, Weiterverwendung)
- Asset / Datenträger (soweit identifizierbar)
- verantwortliche Person
Das Ticket dient als Single Source of Truth.
2. Technische Maßnahme durchführen
- definierter, geführter Ablauf
- keine Ad-hoc-Aktionen
- Operator ist namentlich bekannt
3. Audit-Artefakte erzeugen
Am Ende der Maßnahme entstehen:
- ein menschenlesbarer Report
- ein maschinenlesbares Protokoll
- ein Integritätsnachweis (Hash)
4. Artefakte im Ticket hinterlegen
Die erzeugte ZIP-Datei wird dem Ticket hinzugefügt.
Damit sind technischer Vorgang, Verantwortlichkeit und Nachweis eindeutig verknüpft.
5. Ticket abschließen
- Status „erledigt“
- Aufbewahrung gemäß interner Richtlinie (Retention)
Umgang mit nicht mehr funktionsfähigen Datenträgern
Ist ein Datenträger technisch nicht mehr zugreifbar, kann keine Verschlüsselung durchgeführt werden.
Auch hier gilt:
- Zustand dokumentieren
- Vorgang im Ticket festhalten
- weitere Behandlung organisatorisch regeln (z. B. Rückgabe, physische Entsorgung)
Transparenz ist auch hier wichtiger als technische Perfektion.
Praxisbeispiel: DiskSeal
Für diesen Ablauf haben wir intern ein Tool entwickelt, das:
- die Auswahl des Datenträgers führt,
- kritische Schritte absichert,
- die Verschlüsselung ausführt,
- und automatisch Audit-Artefakte erzeugt.
Das Tool ist kein Produkt, sondern eine Referenzimplementierung, die den beschriebenen Prozess technisch unterstützt – unter anderem auch für USB-Sticks und SD-Karten.
Eine vereinfachte Referenzimplementierung dieses Ablaufs stellen wir öffentlich zur Verfügung:
https://github.com/elbcloud-automation/diskseal
Hinweis: Das Repository stellt eine Referenzimplementierung dar und ist kein Produkt, keine Empfehlung für einen bestimmten Einsatz und kein Support- oder Haftungsversprechen.
Einordnung zu bestehenden Werkzeugen
In vielen Organisationen kommen für ähnliche Zwecke spezialisierte, teilweise kostenpflichtige Werkzeuge zum Einsatz.
Solche Lösungen können sinnvoll sein, insbesondere wenn sie in umfassendere Asset- oder Lifecycle-Prozesse eingebettet sind.
Gleichzeitig zeigt der hier beschriebene Ansatz, dass sich bestimmte Anwendungsfälle auch mit Bordmitteln und klaren Prozessen abdecken lassen, sofern die organisatorischen Rahmenbedingungen stimmen.
Entscheidend ist dabei nicht das Werkzeug selbst, sondern:
- ein definierter Ablauf,
- klare Verantwortlichkeiten,
- und eine nachvollziehbare Dokumentation.
Wichtiger Hinweis
Der beschriebene Ablauf stellt keine verbindliche Empfehlung dar und erhebt keinen Anspruch auf Vollständigkeit oder regulatorische Angemessenheit.
Er dient als Beispiel, wie technische Maßnahmen, Dokumentation und Verantwortlichkeiten zusammenspielen können.
Die Bewertung und Umsetzung liegt ausschließlich bei der jeweiligen Organisation.
Fazit
Datenträgerbehandlung ist kein Spezialthema, sondern alltägliche IT-Praxis.
Ein strukturierter, dokumentierter Prozess reduziert Risiken – ohne den Betrieb unnötig zu verkomplizieren.
Oder anders gesagt:
Nicht perfekt, aber kontrolliert.
Nicht laut, aber belastbar.
Weiterführende Ressource (Referenzimplementierung):
https://github.com/elbcloud-automation/diskseal
Geschrieben von:
