Was eine Verschrottungsbescheinigung tatsächlich enthält und worauf man achten sollte

Eine Vernichtungsbescheinigung, auf der eine falsche Methode angegeben ist, wird trotzdem unterzeichnet, abgelegt und in Vergessenheit geraten. 

Niemand überprüft, ob die Methode mit dem Medientyp übereinstimmt, bevor das Medium in eine Schublade gelegt wird. Das ist der eigentliche Schwachpunkt der meisten Programme zur Datenvernichtung.

Ein Zertifikat ist eine schriftliche Erklärung eines Anbieters zu einem Prozess und kein unabhängiger Nachweis dafür, dass dieser Prozess auf Ihren konkreten Geräten korrekt durchgeführt wurde. Es gibt keine zentrale Zertifizierungsstelle, die das Dokument selbst prüft, was bedeutet, dass der interne Prozess des Anbieters weitaus wichtiger ist als der Briefkopf oder die Unterschrift am Ende des Dokuments.

Kurzinfos: Was Sie über Vernichtungsbescheinigungen wissen müssen

• Eine Vernichtungsbescheinigung ist eine schriftliche Aufzeichnung eines Anbieters über einen Vorgang: welche Methode wann und wo angewendet wurde. Sie belegt nicht automatisch, dass Ihre konkreten Geräte diesen Vorgang ordnungsgemäß durchlaufen haben.
• Es gibt keine zentrale Zertifizierungsstelle für das Zertifikat selbst. Jeder kann ein solches Zertifikat ausstellen, was bedeutet, dass der tatsächliche Prozess des Anbieters wichtiger ist als der Briefkopf des Dokuments.
• Methoden zur physischen Vernichtung wie Entmagnetisierung und Schreddern lassen sich im Nachhinein nicht in gleichem Maße nachweisen.
• Manche Methoden funktionieren bei bestimmten Medientypen überhaupt nicht.
• R2v3 schreibt vor, dass nachgelagerte Anbieter, die eine Datensanierung durchführen, für jeden Fall Nachweise über die erfolgte Sanierung vorlegen müssen. Datenträger.
• Ein Chargenzertifikat, das Tausende von Geräten unter einer Auftragsnummer zusammenfasst, gibt keinen Aufschluss darüber, was mit einem einzelnen Gerät innerhalb dieser Charge geschehen ist.
  

Was ist eine Verschrottungsbescheinigung und was beinhaltet sie? 

Eine Vernichtungsbescheinigung ist ein Dokument, das ein Anbieter ausstellt und in dem bestätigt wird, dass datentragende Medien nach einer angegebenen Methode, an einem angegebenen Datum und in einer angegebenen Einrichtung gelöscht oder physisch vernichtet wurden. Eine vollständige Bescheinigung sollte mindestens folgende Angaben enthalten:

• Gerätekennung. Seriennummern oder Inventarkennzeichnungen für jedes erfasste Gerät, nicht nur die Gesamtstückzahl.
• Verwendete Methode. Die spezifische Desinfektions- oder Vernichtungsmethode, die genau auf die Art des Mediums abgestimmt ist.
• Überprüfung. Bestätigung, dass die Vernichtung nachträglich überprüft wurde und nicht nur eingeleitet wurde.
• Ergebnis pro Gerät. „Bestanden“, „Nicht bestanden“, „Zerstört“ oder „Ausnahme“ – diese Ergebnisse werden einzeln protokolliert und nicht als pauschales Gesamtergebnis für den gesamten Stapel.
• Datum und Anschrift der Einrichtung. Das genaue Datum und der Ort, an dem die Arbeiten stattfanden.
• Anbieteridentifikation. Name und Anschrift des Anbieters sowie alle relevanten Zertifizierungen, wie beispielsweise NAID AAA oder R2v3.

Jeder, der einen Drucker besitzt, kann eine Vernichtungsbescheinigung erstellen. Sie sollten daher genau darauf achten, was in der Bescheinigung steht und ob etwas fehlt. 

So lesen Sie eine Vernichtungsbescheinigung, bevor Sie sie unterzeichnen

Bevor Sie ein Zertifikat ablegen, vergleichen Sie es bitte mit dieser Liste. Falls mehr als ein Punkt fehlt, sollten Sie Ihren Anbieter bitten, Ihnen die Gründe dafür zu erläutern.

Die verschiedenen Vernichtungsmethoden verstehen

Nicht alle Vernichtungsmethoden sind gleich, und die Methode muss auf die Art der IT-Hardware abgestimmt sein.

So führt beispielsweise das Entmagnetisieren zur Zerstörung magnetischer Speichermedien. Auf Solid-State-Laufwerke (SSDs) hat dies jedoch keine Auswirkungen, da SSDs Daten nicht magnetisch speichern. 

Das Standard-Löschverfahren ist ein gängiger Ansatz für Speicherlaufwerke, kann jedoch Partikelfragmente hinterlassen, die groß genug für eine forensische Wiederherstellung sind. Neuere Leitfaden wie beispielsweise IEEE 2883, das davon abweicht, die physische Zerstörung allein als Standardnachweis für sichere Datenbereinigung. Stattdessen werden mehrere validierte Bereinigungsverfahren (Clear, Purge und Destruct) definiert und der Einsatz geeigneter, überprüfbarer Techniken für die jeweilige Speichertechnologie betont.

Um sicherzustellen, dass geschredderte Datenträger tatsächlich nicht wiederherstellbar sind, muss die resultierende Partikelgröße bekannt sein – es reicht nicht aus, nur zu wissen, dass ein Schredder zum Einsatz kam.

Die logische Bereinigung, also das softwaregestützte Löschen, folgt einem anderen Überprüfungsweg. Anhang B der R2v3 schreibt vor, dass Mindestens 5% logisch bereinigter Datenträger müssen unabhängig voneinander einer Stichprobenprüfung unterzogen werden, um sicherzustellen, dass die Daten nicht wiederhergestellt werden können; bei Auftreten von Problemen ist die Stichprobenzahl zu erhöhen. Ein Zertifikat, in dem lediglich ein Löschtool genannt wird, ohne dass auf Stichproben oder Überprüfungen eingegangen wird, reicht einfach nicht aus.

Die „Method“-Zeile auf einem Zertifikat ist der wichtigste Punkt, den Sie überprüfen sollten, bevor Sie es akzeptieren, denn genau hier kann ein Anbieter am leichtesten Fehler machen, ohne dass es jemand bemerkt.

Zertifikate für ganze Chargen im Vergleich zur Überprüfung einzelner Vermögenswerte

Chargenzertifikate geben Aufschluss darüber, was mit einer Lkw-Lieferung geschehen ist. Nur eine Überprüfung auf Einzelgeräteebene liefert Informationen darüber, was auf Geräteebene genau passiert ist. 

Das Chargenzertifikat ist zwar leichter zu beschaffen, reicht aber in den meisten Fällen nicht aus. Stellen Sie sich vor, im Rahmen eines Auftrags werden 4.000 Laufwerke versandt. Wenn drei davon fehlgeleitet, verspätet oder vor der Bearbeitung aussortiert werden, wird der gesamte Auftrag im Chargenzertifikat dennoch als abgeschlossen ausgewiesen. Aus betrieblicher Sicht des Anbieters wurde die Lieferung abgewickelt. 

Sollte eines dieser drei Geräte später wieder auftauchen, gibt es auf dem Zertifikat keine Seriennummer, anhand derer man dies überprüfen könnte, keinen gerätespezifischen Zeitstempel und keine Möglichkeit, festzustellen, welche Geräte tatsächlich vernichtet wurden und welche lediglich als vernichtet galten, weil sie Teil der Lieferung waren.

Ein Zertifikat, das auf einer Überprüfung jedes einzelnen Geräts basiert und jede Seriennummer mit dem jeweiligen Zeitstempel sowie der Art der Vernichtung protokolliert, schließt diese Lücke. Die Erstellung ist mit höheren Kosten verbunden. Es ist zudem die einzige Variante, die Ihnen Anhaltspunkte für weitere Untersuchungen liefert, falls ein Gerät jemals an einem Ort auftaucht, an dem es nicht sein sollte.

Fragen Sie Ihren Lieferanten, ob er für ein bestimmtes Gerät, das vor achtzehn Monaten ausgeliefert wurde, einen Vernichtungsprotokoll nach Seriennummer vorlegen kann. Falls er diesen nicht für Sie finden kann, sollten Sie nachfragen, warum das so ist. 

Überprüfen Sie die Qualität Ihrer Verschrottungsbescheinigung

Eine Vernichtungsbescheinigung ist nur so gut wie der dahinterstehende Prozess, und die meisten Unternehmen bekommen diesen Prozess nie zu sehen. Sie sehen lediglich ein Dokument.

Die Lösung ist ein Anbieter, der auf Anfrage für jedes Gerät einen Vernichtungsprotokoll nach Seriennummer erstellen kann – auch Monate oder Jahre nach Abschluss des Auftrags. 

Bevor Ihr nächster Erneuerungszyklus anläuft, bitten Sie Ihren ITAD-Anbieter um ein Musterzertifikat, aus dem die Seriennummernverfolgung pro Gerät sowie die jeweils angewandte Vernichtungsmethode hervorgehen.