Neues Elektronikgerätegesetz: Erst Daten löschen, dann Recycling

Die Berater von Sopra Steria Consulting warnen: Bevor ein gebrauchtes Gerät wie etwa ein Mobiltelefon zurück an den Handel geht, müssen alle sensiblen Daten vollständig entfernt werden. Einfaches Löschen reicht dafür nicht aus.

Altes Nokia-Handy 6310: Spezielle Maßnahmen zur Datenzerstörung gefordert
(Foto: Nokia/Microsoft Mobile)

Die kürzlich von der Bundesregierung beschlossene Änderung des Elektronikgerätegesetzes verpflichtet den Handel zur Rücknahme von Altgeräten beim Neukauf. Das Gesetz soll einerseits verhindern, dass Elektroschrott im Hausmüll landet, andererseits sollen die wertvollen und knappen Rohstoffe in den Geräten besser recycelt werden.

Zu Elektrogeräten gehören insbesondere auch Smartphones, Tablets, Notebooks, sowie weitere Hardware, die sensible Informationen enthalten kann. »Bei der Rückgabe müssen deshalb alle schützenswerten Daten von den Geräten sicher gelöscht sein«, sagt Christoph Taszus, Informationssicherheits-Experte bei der Management- und IT-Beratung Sopra Steria Consulting. Dabei sind neben Festplatten von PCs und Notebooks auch sämtliche Anwender-Geräte wie Tablets oder USB-Sticks zu berücksichtigen.

Insbesondere Unternehmen müssen sensible Daten vollständig aus Altsystemen entfernen, denn eine Reihe von rechtlichen und branchenüblichen Vorgaben fordern dies. Zum Beispiel regelt das Bundesdatenschutzgesetz den Umgang mit personenbezogenen Daten. Normen wie ISO/IEC 27001 spezifizieren Anforderungen an ein dokumentiertes Managementsystem für Informationssicherheit unter Berücksichtigung der IT-Risiken.

Zum Entfernen der Daten reiche ein einfaches Löschen nicht aus. Vielmehr sind spezielle Maßnahmen, Anwendungen und Gerätschaften einzusetzen, die zuverlässig zu einer unwiederbringlichen Zerstörung der Daten führen. »Wenn Unternehmen dabei auf Dritte zurückgreifen, müssen sie darauf achten, dass diese auch wirkliche Ende-zu-Ende-Sicherheit bieten«, gibt Taszus zu bedenken. Diese reicht von der Konzeption und Etablierung von Prozessen über deren Bearbeitung und Weitergabe bis zum vollständigen Entfernen der Daten am Ende des Lebenszyklus.