Wissen
ITAD verstehen: Leitfaden, Löschverfahren, Glossar
Diese Seite ist als Arbeitsgrundlage gedacht — für IT-Leitung, Datenschutz, Einkauf und Revision. Kein Marketingtext, sondern das, was Sie brauchen, um ein Ausmusterungsprojekt sauber vorzubereiten und Angebote vergleichen zu können.
Leitfaden
Ein ITAD-Projekt vorbereiten: zehn Fragen, die Sie intern klären sollten
Die meisten Verzögerungen in Ausmusterungsprojekten entstehen nicht beim Dienstleister, sondern in der internen Abstimmung. Wer diese Punkte vorab klärt, spart Wochen.
1. Wer entscheidet über die Ausmusterung?
Klären Sie, wer die Freigabe erteilt: IT-Leitung, Einkauf, Anlagenbuchhaltung oder Geschäftsführung. Bei aktivierten Anlagegütern hängt daran auch eine buchhalterische Abschreibung.
2. Dürfen Daten das Haus verlassen?
Das ist die wichtigste Frage überhaupt, weil sie das gesamte Prozessdesign bestimmt. Prüfen Sie Ihre Löschrichtlinie und fragen Sie Ihren Datenschutzbeauftragten, statt es später zu klären.
3. Welche Nachweise verlangt Ihre Revision?
Löschzertifikat je Gerät? Zerstörungsnachweis? Entsorgungsnachweis? Fragen Sie vorher — nachträglich lässt sich ein Nachweis nicht erzeugen.
4. Existiert eine belastbare Asset-Liste?
Wenn ja, wird sie zur Grundlage des Abgleichs. Wenn nein, sagen Sie das offen; wir erfassen dann selbst und liefern die Liste als Ergebnis.
5. Sind die Geräte aus Verwaltungssystemen entfernt?
MDM, Autopilot, Apple Business Manager, Domänenmitgliedschaft, Monitoring-Agenten: Was nicht abgemeldet ist, bleibt gesperrt und verliert seinen Wert.
6. Ist Zubehör vorhanden?
Netzteile, Dockingstationen und Stifte erhöhen den Erlös überproportional. Sie in einem eigenen Karton zu sammeln lohnt sich messbar.
7. Wo stehen die Geräte, und wie kommt man hin?
Sammelpunkt, Ladezone, Aufzugsmaße, Zutrittsregelung, Zeitfenster. Diese Details bestimmen die Logistikkosten stärker als die Entfernung.
8. Gibt es Vermarktungsausschlüsse?
Manche Unternehmen wollen nicht, dass Geräte im eigenen Markt oder an bestimmte Branchen gehen. Das ist umsetzbar, muss aber vorher vereinbart werden.
9. Wie soll abgerechnet werden?
Festpreis, Erlösbeteiligung oder Dienstleistung gegen Entgelt — jede Variante hat andere Vorteile. Klären Sie, was Ihre Buchhaltung und Ihr Controlling brauchen.
10. Ist das ein Einmalprojekt oder ein Zyklus?
Wenn regelmäßig Hardware ausläuft, ist ein wiederkehrender Prozess mit Sammelbehältern günstiger und ruhiger als jedes Mal ein Einzelprojekt.
Kurzfassung
Die drei teuersten Fehler
- Zu lange warten. Der Restwert fällt in den ersten Jahren am steilsten. Lagern kostet Geld, das man nicht sieht.
- Nicht abmelden. Gesperrte Geräte sind unverkäuflich und müssen nachbearbeitet werden.
- Nachweise nicht definieren. Ein Audit fragt nach Dokumenten, die im Prozess entstehen müssen — nicht danach.
Grundlagen
Löschen, Purge oder Zerstören — was tatsächlich wirkt
Der Unterschied zwischen den Verfahren ist keine Detailfrage, sondern entscheidet darüber, ob Daten wiederherstellbar bleiben.
Was nicht ausreicht
- Datei löschen: entfernt nur den Verzeichniseintrag, die Daten bleiben vollständig vorhanden.
- Schnellformatierung: legt ein neues Dateisystem an, überschreibt die Nutzdaten nicht.
- Partition löschen: entfernt Strukturinformationen, nicht die Inhalte.
- Zurücksetzen auf Werkseinstellungen: je nach Gerät und Verschlüsselung unterschiedlich wirksam, ohne Verifikation nicht belegbar.
- Einfaches Überschreiben bei SSDs: erreicht nicht die durch Wear-Leveling reservierten Bereiche.
Was nach NIST SP 800-88 wirkt
- Clear: Überschreiben aller logisch adressierbaren Bereiche. Wirksam gegen Auslesen mit Standardwerkzeugen.
- Purge: laufwerksinterne Sanitize-Kommandos wie Block Erase oder Crypto Erase; erreicht auch nicht adressierbare Bereiche. Standard für Flash-Speicher.
- Destroy: physische Zerstörung. Notwendig bei defekten Datenträgern, die keine Kommandos annehmen.
- Verifikation: der Schritt, der aus einer Behauptung einen Nachweis macht. Ohne Verifikation ist ein Löschzertifikat wenig wert.
Praktische Konsequenz: Verlangen Sie in Angeboten die Angabe des Verfahrens je Medientyp und die Bestätigung der Verifikation. Ein Anbieter, der nur „DSGVO-konforme Löschung“ schreibt, hat nichts zugesagt. Unser Verfahren finden Sie unter Zertifizierte Datenlöschung.
Einkaufshilfe
ITAD-Angebote vergleichbar machen
Angebote in diesem Markt sind schwer vergleichbar, weil unterschiedliche Leistungen unterschiedlich benannt werden. Diese Fragen stellen Vergleichbarkeit her — bei uns wie bei jedem anderen Anbieter.
| Frage an den Anbieter | Worauf Sie in der Antwort achten |
|---|---|
| Nach welcher Norm ist die Löschung zertifiziert, und wer hat geprüft? | Konkrete Nennung von Norm und Prüfstelle. Bei uns: ISO/IEC 15408 (Common Criteria EAL2+) und ADISA. Formulierungen wie „zertifizierte Prozesse“ ohne Norm und Prüfstelle sind kein Nachweis. |
| Welches Löschverfahren wenden Sie je Medientyp an? | Konkrete Nennung (Clear, Purge, Destroy) und Bestätigung eines Verifikationsdurchlaufs. |
| Steht auf dem Löschzertifikat die Seriennummer? | Ja oder Nein. Sammelzertifikate über eine Palette sind im Audit schwach. |
| Wer stellt die Entsorgungsnachweise aus? | Nennung des befugten Betriebs. Wenn niemand genannt wird, fehlt der Nachweis. |
| Wie rechnen Sie Erlöse ab? | Je Gerät oder pauschal. Pauschalen sind zulässig, müssen aber vorher als solche vereinbart sein. |
| Wer haftet für Datenpannen im Transport? | Regelung im Vertrag, nicht im Verkaufsgespräch. Fragen Sie nach Versicherungssumme und Meldeweg. |
| Können wir den Betrieb besichtigen? | Ein Nein an dieser Stelle ist ein Warnsignal. |
| Welche Subunternehmer sind eingebunden? | Vollständige Liste — für DSGVO und NIS2 verpflichtend, nicht optional. |
Rahmen
Normen, Gesetze und Standards im Überblick
DSGVO
Art. 5, 28, 32 und 33: Speicherbegrenzung, Auftragsverarbeitung, Sicherheit der Verarbeitung, Meldepflichten bei Datenschutzverletzungen.
DSG (Österreich)
Nationale Ergänzung zur DSGVO, unter anderem zu Datenverarbeitungen im öffentlichen Bereich.
NIS2
Cybersicherheitsrichtlinie mit Anforderungen an Risikomanagement in der Lieferkette — betrifft die Auswahl und Prüfung von Dienstleistern.
NIST SP 800-88
Guidelines for Media Sanitization: die international genutzte Referenz für Löschverfahren mit den Kategorien Clear, Purge, Destroy.
Common Criteria (ISO/IEC 15408)
Rahmen für die Sicherheitszertifizierung von IT-Produkten mit Evaluierungsstufen EAL1 bis EAL7.
ADISA
Britische Zertifizierungsstelle für Datenlöschprodukte und ITAD-Dienstleister mit forensischer Produktprüfung.
AWG 2002 & EAG-VO
Österreichisches Abfallwirtschaftsrecht: Pflichten von Abfallbesitzern und Behandlern, Sammel- und Nachweispflichten für Elektroaltgeräte.
WEEE / ElektroG
Europäischer Rahmen für Elektro- und Elektronik-Altgeräte und seine deutsche Umsetzung.
CSRD
EU-Berichtspflicht zur Nachhaltigkeit — der Grund, warum Reuse-Quoten und Emissionsdaten heute prüffähig sein müssen.
Glossar
ITAD-Begriffe, kurz erklärt
Die Begriffe, die in Angeboten und Verträgen vorkommen — in der Bedeutung, die sie in der Praxis haben.
ITAD (IT Asset Disposition)
Der strukturierte Prozess, mit dem Unternehmen IT-Geräte außer Betrieb nehmen: Erfassung, Datenlöschung, Wiederverwendung, Wiedervermarktung und Verwertung, jeweils dokumentiert.
Chain of Custody
Die lückenlose, dokumentierte Kette der Verantwortung für ein Gerät von der Übernahme bis zum Endzustand. Jede Übergabe wird protokolliert, sodass jederzeit belegbar ist, wer das Gerät wann in Besitz hatte.
Clear, Purge, Destroy
Die drei Kategorien der Datenlöschung nach NIST SP 800-88: Überschreiben adressierbarer Bereiche, laufwerksinterne Löschung inklusive nicht adressierbarer Bereiche, physische Zerstörung.
Crypto Erase
Löschung durch Vernichtung des Schlüssels bei selbstverschlüsselnden Laufwerken. Sehr schnell und wirksam, sofern das Laufwerk die Funktion korrekt implementiert — deshalb immer mit Verifikation.
Grading
Einstufung eines Gebrauchtgeräts nach optischem und technischem Zustand, üblicherweise in Grade A bis C. Grundlage für Preisbildung und Vermarktungsweg.
Refurbishing
Aufarbeitung eines Gebrauchtgeräts: Reinigung, Tausch verbrauchter Komponenten wie Akku oder Tastatur, Funktionsprüfung, Neuinstallation. Ergebnis ist ein einsatzfähiges Gerät mit Gewährleistung.
Remarketing
Die Wiedervermarktung gebrauchter Hardware im Zweitmarkt, meist B2B an Händler und Refurbisher oder direkt an Endnutzer.
Reuse-Quote
Anteil der Geräte eines Projekts, die als Ganzgerät in eine weitere Nutzung gehen. Die zentrale Kennzahl für Kreislauffähigkeit — deutlich aussagekräftiger als eine Recyclingquote.
Löschzertifikat
Dokument, das die durchgeführte Löschung eines konkreten Datenträgers belegt: Seriennummer, Verfahren, Zeitpunkt, Verifikationsergebnis, ausführende Stelle. Ohne Seriennummernbezug im Audit nur eingeschränkt brauchbar.
Sachbezug
Steuerlicher Begriff für einen Vorteil, den Mitarbeitende von ihrem Arbeitgeber erhalten. Relevant beim Mitarbeiterverkauf, wenn Geräte deutlich unter dem Verkehrswert abgegeben werden. Details unter Mitarbeiterverkauf.
Elektroaltgerät (EAG)
Ein Elektro- oder Elektronikgerät, das zu Abfall geworden ist. Sobald ein Gerät diese Einstufung hat, gelten abfallrechtliche Pflichten — unter anderem darf es nur an befugte Betriebe übergeben werden.
Wear-Leveling
Verfahren in Flash-Speichern, das Schreibvorgänge gleichmäßig über die Speicherzellen verteilt. Führt dazu, dass Datenkopien in Bereichen liegen können, die über die normale Adressierung nicht erreichbar sind — der Grund, warum Purge-Verfahren nötig sind.
Restwert
Der am Zweitmarkt erzielbare Wert eines Geräts zum Zeitpunkt der Ausmusterung. Abhängig von Alter, Konfiguration, Zustand, Vollständigkeit und Menge.
Buy-back
Ankauf von Altgeräten durch den Dienstleister, häufig verrechnet gegen eine Neubeschaffung. Macht die Netto-Kosten eines Hardwarewechsels sichtbar.
Auftragsverarbeitungsvertrag (AVV)
Vertrag nach Art. 28 DSGVO zwischen Verantwortlichem und Auftragsverarbeiter. Regelt Weisungen, Sicherheitsmaßnahmen, Unterauftragnehmer und Nachweispflichten. Bei ITAD-Projekten zwingend.