Bewährte Verfahren für die mobile IT-Entsorgung (ITAD): So maximieren Sie den Wiederverkaufswert in großem Maßstab

Firmen-Smartphones sind in den meisten Erneuerungszyklen von Unternehmen die Geräte mit dem höchsten Wiederverkaufswert pro Stück. Sie sind zudem am ehesten dazu prädestiniert, unvorbereitet bei einem ITAD-Anbieter einzutreffen.

Wenn die MDM-Sperren aktiv bleiben, die Aktivierungssperre nicht aufgehoben wird und die Datenlöschung sich auf ein manuelles Zurücksetzen auf die Werkseinstellungen beschränkt, geht ein großer Teil des Wiederverkaufswerts verloren.

Der Unterschied zwischen einem ordnungsgemäß bearbeiteten Gerät und einem unsachgemäß bearbeiteten Gerät ist der Unterschied zwischen einem Umsatzposten und einer Abschreibung.

Kurzinfo: So sichern Sie den Wert Ihrer Mobilgeräte und erfüllen gleichzeitig die Compliance-Anforderungen

• Ein Zurücksetzen auf die Werkseinstellungen entspricht nicht den Anforderungen der NIST 800-88-Richtlinie zur Datenlöschung. NIST 800-88 (Rev. 1) definiert drei Stufen der Datenbereinigung: „Clear“, „Purge“ und „Destroy“. Ein vom Benutzer initiiertes Zurücksetzen auf die Werkseinstellungen erfüllt nicht den „Purge“-Standard für Flash-Speicher, der ein kryptografisches Löschen oder herstellerspezifische Befehle zum sicheren Löschen erfordert. Für Geräte, die einer Aufarbeitung oder einem Weiterverkauf unterzogen werden, ist die logische Bereinigung gemäß Anhang B von R2v3 der vorgeschriebene Weg: dokumentiert, softwaregesteuert und gerätespezifisch überprüft.
• Die Abmeldung aus dem MDM ist eine Voraussetzung für die Realisierbarkeit des Wertes. Ein iPhone oder Android-Gerät, das bei Microsoft Intune, Jamf oder VMware Workspace ONE registriert ist, muss vor der Entsorgung ordnungsgemäß abgemeldet werden. Unter iOS führt eine unsachgemäße Abmeldung dazu, dass die Aktivierungssperre nicht aufgehoben wird, sodass das Gerät weiterhin an eine Apple-ID gebunden bleibt, auf die der neue Besitzer keinen Zugriff hat. Unter Android führt der Schutz vor Werksrücksetzung, der mit einem verwalteten Google-Konto verknüpft ist, zum gleichen Ergebnis. In beiden Fällen wird ein Gerät, das eigentlich auf dem Sekundärmarkt wiederverwertet werden sollte, zu Elektroschrott.
• Mobile Geräte weisen einen der höchsten Wiederverkaufswerte pro Stück auf, und dieser Wert ist sehr anfällig. Ein iPhone-Flaggschiffmodell in gutem äußerem Zustand, ordnungsgemäß desinfiziert und netzbetreiberunabhängig, bringt auf dem Sekundärmarkt Hunderte von Dollar ein. Dasselbe Gerät mit einer Aktivierungssperre erzielt nur einen Bruchteil davon. Der Erlös könnte sogar unter den Kosten für die Aufbereitung liegen. Der Unterschied zwischen diesen beiden Ergebnissen liegt ausschließlich im Ablauf: Es kommt darauf an, ob Ihr ITAD-Anbieter weiß, wie das MDM-Offboarding zu handhaben ist, nachdem das Gerät Ihr Gebäude verlassen hat.
• Der Unterschied zwischen guten und schlechten Praktiken bei der ITAD von Mobilgeräten ist nicht nur oberflächlich. Die schlechten Praktiken: nicht dokumentierte Datenbereinigung, nicht überprüfter Gerätestatus und Aufzeichnungen, die einer Prüfung nicht standhalten. Wenn Sie diese Probleme beheben, verfügen Sie über eine wiederherstellbare Einnahmequelle.

Risiken bei der unsachgemäßen Entsorgung mobiler Geräte

Der Schwerpunkt der ITAD-Branche liegt im Rechenzentrum. Wenn ein Unternehmen eine Anlage stilllegt Bei einem Rack mit Dell PowerEdge R750-Servern gibt es ein gut dokumentiertes Vorgehensprotokoll: Die Festplatten inventarisieren, die Vernichtungsmethode gemäß NIST 800-88 bestätigen, Zertifikate für jedes einzelne Gerät erstellen und anschließend die Nachverfolgungskette schließen.

Das Thema Mobilgeräte wird wie ein Mengenproblem mit einer einfachen Lösung behandelt: “Löschen und zurückgeben.” Die Geräte sind klein, und es gibt in der Regel sehr viele davon. Man geht davon aus, dass ein Werksreset die Datenlöschung übernimmt und ein Palettenetikett die Logistik regelt.

Diese Annahme ist in dreierlei Hinsicht falsch.

1. Ein Zurücksetzen auf die Werkseinstellungen bei modernen iOS- und Android-Geräten garantiert im forensischen Kontext keine endgültige Unwiederherstellbarkeit der Daten. Um ein Mobilgerät wirklich zu bereinigen, muss der Löschvorgang mit einer Software durchgeführt werden, die ein gerätespezifisches Bereinigungsprotokoll erstellen kann, und es müssen Qualitätskontrollen Bestätigen, dass die Daten erfolgreich gelöscht wurden.
2. Mobile Geräte sind mit dauerhaften Verwaltungsabhängigkeiten verbunden, die nicht verschwinden, wenn das Gerät Ihr Gebäude verlässt. Wenn das Gerät bei einer MDM- oder UEM-Plattform registriert war, ist es möglicherweise noch immer registriert, wenn der ITAD-Anbieter den Löschvorgang einleitet.
3. Der Sekundärmarkt für Mobilgeräte ist äußerst lebhaft und stark von der Gerätezustandsbewertung abhängig. Eine unsachgemäße Abwicklung des Prozesses führt nicht nur zu einem Compliance-Problem, sondern vernichtet auch die Einnahmen, die das Gerät eigentlich hätte generieren sollen.

Warum die Abmeldung des Smartphones entscheidend für den Wiederverkaufswert ist

Alle gängigen MDM- und UEM-Lösungen (Microsoft Intune, Jamf Pro, VMware Workspace ONE usw.) unterstützen die Abmeldung. Ob die IT-Administratoren die Smartphones tatsächlich abmelden, ist jedoch eine ganz andere Frage.

Folgendes passiert, wenn verschiedene Gerätetypen ohne ordnungsgemäße Abmeldung in den Entsorgungsprozess gelangen:

iOS-Geräte, die bei Apple Business Manager (ABM) registriert sind. Die Apple-Aktivierungssperre ist an die Seriennummer des Geräts gebunden, die in ABM registriert ist. Selbst nach einem Zurücksetzen auf die Werkseinstellungen fordert das Gerät die ursprünglichen Apple-ID-Anmeldedaten an, bevor es von einem neuen Benutzer eingerichtet werden kann. Ein Gerät, das aus einem Unternehmens-MDM-System entfernt wird, ohne formell aus ABM gelöscht zu werden, bleibt an die Apple-Anmeldedaten Ihrer Organisation gebunden. Der ITAD-Anbieter kann diese Sperre nicht aus der Ferne aufheben. Das Gerät kann nicht weiterverkauft werden, ohne dass Ihr IT-Team direkt eingreift, um es aus ABM freizugeben.

Android-Geräte mit Registrierung für ein verwaltetes Google-Konto. Das Android-Äquivalent ist die „Factory Reset Protection“ (FRP). Bei einer Zurücksetzung des Geräts ohne ordnungsgemäße Abmeldung werden beim ersten Start die Anmeldedaten des bisherigen Google-Kontos verlangt. Das Ergebnis ist dasselbe: eine Sperre, die den Weiterverkauf verhindert und ein Eingreifen der IT-Abteilung erfordert.

Mit Windows Autopilot registrierte Tablets und Surface-Geräte. Bei der Autopilot-Registrierung wird der Hardware-Hash eines Geräts mit einem Azure AD-Mandanten verknüpft. Wenn ein über Autopilot registriertes Surface Pro auf die Werkseinstellungen zurückgesetzt und an einen neuen Benutzer außerhalb der Organisation übergeben wird, wird es beim ersten Start erneut im vorherigen Mandanten registriert. Das Aufbereitungsteam des ITAD-Anbieters kann dieses Problem nicht beheben. Der Käufer kann es ebenfalls nicht beheben. Nur Ihr IT-Team, das Zugriff auf Microsoft Intune und den Autopilot-Geräteintrag hat, kann den Hardware-Hash entfernen und das Gerät freigeben.

Die korrekte Vorgehensweise für jedes in MDM registrierte Gerät lautet:

1. Abmeldung an Ihrem Standort
2. Gerät löschen – Sekunde
3. Überprüfung und Prüfung

Was steht eigentlich in der Annahmecheckliste Ihres ITAD-Anbieters zum MDM-Status? Wenn es dafür kein Feld gibt, kennen Sie die Antwort bereits.

Desinfektion in großem Maßstab: Was NIST 800-88 tatsächlich für mobile Geräte vorschreibt

Der R2v3-Standard umfasst ausdrücklich Solid-State-Speicher, einschließlich des NAND-Flash-Speichers in Smartphones und Tablets. Darin werden drei konforme Vorgehensweisen definiert: die logische Bereinigung (für die stets Anhang B erforderlich ist), die physische Vernichtung gemäß Kernanforderung 7(c)(2)(B) unter Verwendung von nach NIST 800-88 zugelassenen Methoden oder die Auslagerung an einen qualifizierten nachgelagerten Dienstleister. Eine erweiterte physische Vernichtung mit umfassenden Kontrollen der Nachverfolgbarkeitskette fällt ebenfalls unter Anhang B.

Bei Geräten, die generalüberholt und weiterverkauft werden – was angesichts ihres Wertes auf dem Sekundärmarkt auf die meisten von ihnen zutrifft –, kommt eine physische Vernichtung nicht in Frage. Das bedeutet, dass Anhang B zur Anwendung kommt und den besten Weg zur Werterhaltung der Geräte darstellt. In der Praxis bedeutet dies Folgendes:

Gerätebezogene Nachverfolgung vom Wareneingang bis zur Desinfektion. R2v3 Anhang B Abschnitt 2 schreibt vor, dass Aufzeichnungen über die eindeutige Kennung jedes Datenspeichergeräts geführt werden müssen. Bei Mobilgeräten ist diese Kennung die IMEI oder die Seriennummer, und diese Aufzeichnungen müssen ab dem Zeitpunkt, zu dem der ITAD-Anbieter die Kontrolle übernimmt, bis zum Abschluss der Datenlöschung vorliegen. Ein Sammelzertifikat mit dem Vermerk “400 iPhones am [Datum] gelöscht” erfüllt diese Anforderung nicht. Aufzeichnungen für jedes einzelne Gerät hingegen schon.

Softwaregestützte Desinfektion mit Überprüfung. NIST 800-88 für Flash-Speicher empfiehlt eine kryptografische Löschung (Zerstörung des Verschlüsselungsschlüssels, sodass auf die gespeicherten Daten dauerhaft nicht mehr zugegriffen werden kann) oder eine vollständige Überschreibung. Tools wie Blancco Mobile, BitRaser, NSYS Group und Ziperase oder proprietäre OEM-Tools, die gerätebezogene Löschberichte erstellen, erfüllen diese Anforderung. Ein Techniker, der über die Benutzeroberfläche des Geräts manuell einen Werksreset durchführt, erfüllt sie hingegen nicht.

Dokumentation, die einer Prüfung standhält. Ein prüfungsfähiges Protokoll zur Datensicherung sollte die Gerätekennung, die verwendete Methode zur Datensicherung, das Datum sowie das Ergebnis (”bestanden“ oder „nicht bestanden“) dokumentieren. R2v3 stellt Ihnen kein Formular zur Verfügung. Stattdessen verlangt es einen dokumentierten Datenlöschplan, eine Rückverfolgbarkeit jedes einzelnen Geräts von der Annahme bis zum Abschluss sowie softwaregenerierte Protokolle für jedes logisch gelöschte Gerät. Zusammengenommen bedeuten diese Anforderungen, dass Ihre Dokumentation für jedes Gerät diese vier Fragen beantworten muss. Ist dies nicht der Fall, wird sie einer Prüfung durch den Auditor nicht standhalten.“

Das Problem kann sich bei großen Stückzahlen ergeben. Wenn ein ITAD-Anbieter täglich 500 Smartphones verarbeitet, ist er unter Zeitdruck. Eine ordnungsgemäße Datenlöschung pro Gerät mit NIST-konformen Tools dauert länger als ein Werksreset.

Aufbau eines zuverlässigen ITAD-Prozesses für Mobilgeräte

Die Schwachstellen bei der mobilen Disposition sind vorhersehbar. Die Lösung für jede einzelne davon ist verfahrenstechnischer, nicht technischer Natur.

Bevor Geräte Ihr Gebäude verlassen: Überprüfen Sie den Status der MDM-Abmeldung für jedes Gerät der Charge. Bei iOS bedeutet dies, die Entfernung aus dem Apple Business Manager zu überprüfen. Bei Android müssen Sie die Abmeldung von Workspace ONE oder Intune sowie die Aufhebung der FRP-Sperre bestätigen. Bei Windows-Tablets, die bei Autopilot registriert sind, müssen Sie den Hardware-Hash vor dem Versand des Geräts aus Ihrem Azure AD-Mandanten entfernen.

Bei der Annahme: Ihr ITAD-Anbieter sollte die IMEI-Nummer oder Seriennummer jedes einzelnen Geräts erfassen. Wenn die Erfassung stapelweise erfolgt, werden die Anforderungen gemäß Anhang B von R2v3 nicht erfüllt, und es können keine gerätebezogenen Nachweise zur Rückverfolgbarkeit vorgelegt werden, die Sie benötigen.

Während der Verarbeitung: Logische Datenlöschung gemäß NIST 800-88 unter Verwendung von Tools, die für jedes Gerät einen Löschbericht erstellen.

Bei der Benotung: Funktionsprüfung des Produkts und optische Begutachtung anhand einer festgelegten Bewertungsskala, wobei jeder Seriennummer vor dem Eintritt des Geräts in den Sekundärmarkt entsprechende Qualitätsprotokolle auf Geräteebene beigefügt werden.

Bei Börsenschluss: Gerätebezogene Desinfektionsbescheinigungen mit IMEI, Desinfektionsmethode, Datum und Überprüfungsergebnis. Keine Sammelbescheinigung. Pro Gerät.

Dieser Prozess nimmt pro Einheit mehr Zeit in Anspruch als das „Pile-and-Wipe“-Verfahren. Außerdem lassen sich dadurch pro Einheit höhere Erlöse erzielen und es entstehen aussagekräftige Unterlagen zum Nachweis der Einhaltung der Vorschriften. Die Rechnung ist nicht kompliziert.

Ein ordnungsgemäß aufbereitetes iPhone 15 Pro Max in optischem Zustand der Klasse A (kein gesprungener Bildschirm, keine nennenswerten optischen Mängel, MDM-frei, iCloud-entsperrt) und voll funktionsfähiges Gerät bringt regelmäßig Hunderte von Dollar ein. Das gleiche Gerät mit gesprungenem Bildschirm und einer nicht aufgehobenen Aktivierungssperre bringt nichts ein.

Es liegt an Ihnen zu beurteilen, ob Ihr ITAD-Anbieter seinen Prozess für mobile Geräte ausreichend auf Ihre Compliance-Anforderungen und Ihren Wiederverwertungswert abgestimmt hat.

exIT Technologies kümmert sich um die Entsorgung mobiler Endgeräte in Unternehmen sowie um die Stilllegung von Servern und Rechenzentren, einschließlich der Dokumentation der Datenlöschung pro Gerät und der Verwertung auf dem Sekundärmarkt. Erfahren Sie, wie wir bei der Entsorgung von Endgeräten vorgehen.