Datensicherheit nach DIN 66399: Schutz vor Hardware-Spionage im digitalen Büro

Sensible Unternehmensdaten stecken nicht nur in Cloud-Systemen oder E-Mail-Postfächern. Sie befinden sich auf Festplatten, USB-Sticks, Ausdrucken und alten Mobilgeräten, die täglich in Büros genutzt werden. Wer diese Datenträger unzureichend entsorgt, öffnet Angreifern Tür und Tor für Hardware-Spionage. Die Datensicherheit nach DIN 66399 bietet Unternehmen einen klar strukturierten Rahmen, um genau dieses Risiko systematisch zu reduzieren. Die Norm legt fest, nach welchen Stufen und Methoden verschiedene Materialien zu vernichten sind, und sorgt so für Rechtssicherheit sowie nachweisbaren Schutz vertraulicher Informationen. In einer Zeit, in der Wirtschaftsspionage professionell organisiert ist und selbst vermeintlich alte Hardware begehrte Zielobjekte darstellt, ist die Kenntnis dieser Norm kein Luxus, sondern unternehmerische Pflicht. Der folgende Leitfaden zeigt Schritt für Schritt, wie Organisationen die Vorgaben der DIN 66399 im Büroalltag umsetzen können.

Grundlagen verstehen: Was DIN 66399 regelt

Aufbau und Geltungsbereich der Norm

Die DIN 66399 ist in drei Teile gegliedert. Teil 1 definiert Anforderungen an Maschinen zur Vernichtung von Datenträgern, Teil 2 legt die Vernichtungsstufen fest, und Teil 3 befasst sich mit der Dienstleisterqualifikation. Relevant für die meisten Betriebe sind vor allem die Teile 1 und 2, da sie konkrete Vorgaben für Schutzklassen und Vernichtungsstufen enthalten.

Die Norm unterscheidet drei Schutzklassen, die sich am Schutzbedarf der jeweiligen Information orientieren: normale (Schutzklasse 1), erhöhte (Schutzklasse 2) und sehr hohe (Schutzklasse 3) Schutzbedürftigkeit. Je sensibler die Daten, desto feiner muss das Material nach der Vernichtung zerkleinert sein.

Materialklassen und Vernichtungsstufen

Innerhalb jeder Schutzklasse definiert die DIN 66399 sieben Sicherheitsstufen, abgekürzt als P-1 bis P-7 für Papierdokumente. Für andere Materialien gelten analoge Stufensysteme: O-Stufen für optische Datenträger wie CDs und DVDs, T-Stufen für magnetische Datenträger wie Festplatten sowie E-Stufen für elektronische Bauelemente. Wer im Büro sowohl Papierdokumente als auch digitale Datenträger verarbeitet, muss daher für jede Materialklasse gesondert prüfen, welche Stufe erforderlich ist.

Bestand erfassen: Welche Hardware trägt Daten

Inventur aller datenführenden Geräte

Bevor ein Vernichtungskonzept entwickelt werden kann, muss zunächst bekannt sein, welche Geräte und Speichermedien im Unternehmen tatsächlich Daten enthalten. Dazu gehören neben offensichtlichen Kandidaten wie Desktop-PCs und Laptops auch Drucker mit internen Speicherchips, Kopierer, Netzwerkspeicher, alte Smartphones sowie Tablets, die nicht mehr aktiv genutzt werden.

Ein vollständiges Asset-Register schafft die Grundlage für alle weiteren Schritte. Jedes Gerät sollte mit Seriennummer, Kaufdatum, zugeordneter Abteilung und geplantem Aussonderungsdatum erfasst sein.

Sensibilitätsbewertung je Gerät

Nicht jede Festplatte enthält gleich schützenswerte Informationen. Ein Rechner aus der Buchhaltung speichert Finanzdaten und Personalnummern, während ein Gerät aus dem Empfangsbereich möglicherweise nur öffentlich zugängliche Formulare enthält. Die Zuordnung zu einer der drei Schutzklassen der Datensicherheit nach DIN 66399 bestimmt, welche Vernichtungsstufe für das jeweilige Gerät vorgeschrieben ist.

Prozesse aufsetzen: Vernichtung sicher organisieren

Interne Zuständigkeiten und Freigabeprozesse

Ein klarer Vernichtungsprozess beginnt mit definierten Zuständigkeiten. Mindestens eine Person je Abteilung sollte als verantwortliche Kontaktperson benannt sein, die aussonderungsfähige Geräte meldet und freigibt. Die IT-Abteilung oder ein Datenschutzbeauftragter prüft anschließend, ob alle relevanten Daten vor der Übergabe gesichert wurden und welche Vernichtungsstufe erforderlich ist.

Freigabedokumente, in denen die zuständige Person die Aussonderung schriftlich bestätigt, schaffen Nachvollziehbarkeit und sind im Fall einer Datenpanne nachweispflichtig relevant.

Vernichtungsmethoden und Dienstleister

Für magnetische Datenträger, vor allem herkömmliche Festplatten, schreibt DIN 66399 bei Schutzklasse 2 mindestens die Vernichtungsstufe H-4 vor. Das bedeutet, die Partikelgröße der zerkleinerten Teile darf eine festgelegte Fläche nicht überschreiten. Handelsübliche Degausser allein erfüllen diese Anforderungen häufig nicht, da sie zwar magnetische Daten löschen, die physische Substanz des Datenträgers aber intakt lassen.

Für Unternehmen ohne eigene zertifizierte Schredderanlagen empfiehlt sich die Beauftragung eines spezialisierten Dienstleisters. Wer seine Massenspeicher fachgerecht und normkonform vernichten lassen möchte, kann auf eine professionelle Festplattenvernichtung zurückgreifen, die Vernichtungsnachweise gemäß DIN 66399 ausstellt.

Dokumentation sicherstellen: Nachweise richtig führen

Vernichtungsprotokolle und Zertifikate

Die Datensicherheit nach DIN 66399 stellt klare Anforderungen an die Nachweisführung. Unternehmen müssen dokumentieren können, wann welche Datenträger nach welcher Stufe vernichtet wurden. Vernichtungszertifikate von beauftragten Dienstleistern sind dabei ebenso aufzubewahren wie interne Freigabeprotokolle.

Diese Dokumentation ist nicht nur für interne Audits relevant. Im Kontext der DSGVO können Aufsichtsbehörden entsprechende Nachweise anfordern, wenn ein Datenschutzvorfall untersucht wird.

Aufbewahrungsfristen für Vernichtungsdokumente

Die Aufbewahrungsdauer von Vernichtungsnachweisen richtet sich nach den allgemeinen handels- und steuerrechtlichen Fristen sowie nach dem internen Compliance-Rahmen. Üblicherweise werden Vernichtungsprotokolle mindestens drei bis fünf Jahre aufbewahrt. Bei besonders sensiblen Datenkategorien, etwa im Gesundheitswesen oder bei Behörden, können längere Fristen gelten.

Mitarbeitende schulen: Bewusstsein für Hardware-Spionage schärfen

Sensibilisierung als Dauerprozess

Technische Maßnahmen wirken nur dann vollständig, wenn Mitarbeitende die Hintergründe verstehen. Hardware-Spionage geschieht häufig im Verborgenen: Altgeräte landen im Müll, USB-Sticks werden vergessen, ausrangierte Drucker werden ohne Speicherbereinigung veräußert. Regelmäßige Schulungen helfen, solche Verhaltensweisen zu korrigieren.

Schulungsinhalte sollten die Grundprinzipien der DIN 66399, die internen Vernichtungsprozesse sowie konkrete Handlungsanweisungen für den Umgang mit mobilen Speichermedien umfassen.

Klare Kommunikation von Ausnahmeregelungen

Manche Geräte unterliegen besonderen Ausleihanforderungen oder werden an externe Dienstleister weitergegeben. In diesen Fällen muss klar geregelt sein, ob und wie eine Datenlöschung vor der Weitergabe durchzuführen ist und wer die Verantwortung trägt. Schriftliche Verfahrensanweisungen, die für alle Abteilungen zugänglich sind, reduzieren Missverständnisse erheblich.

Typische Fehler, die Unternehmen vermeiden sollten

Die folgenden Fehler treten bei der Umsetzung der Datensicherheit nach DIN 66399 besonders häufig auf:

• Formatierung als Datenlöschung missverstehen: Ein einfaches Formatieren einer Festplatte macht Daten mit forensischen Mitteln wiederherstellbar und erfüllt keine Vernichtungsstufe der DIN 66399.
• Schutzklassen falsch einordnen: Wer alle Datenträger pauschal in Schutzklasse 1 einordnet, unterschätzt das Risiko bei sensiblen Personal- oder Finanzdaten.
• Vernichtungsnachweise nicht aufbewahren: Ohne Dokumentation fehlt im Ernstfall der Nachweis normkonformen Handelns gegenüber Behörden oder Versicherungen.
• Vergessene Datenträger in Peripheriegeräten: Drucker, Faxgeräte und Kopierer speichern Druckjobs intern und werden bei Aussonderungen häufig übersehen.
• Dienstleister ohne Zertifizierung beauftragen: Nicht jeder Entsorgungsbetrieb verfügt über die nötigen Maschinen und Zertifizierungen, um DIN-66399-konforme Vernichtungsstufen nachzuweisen.

Praktische Checkliste: Datensicherheit nach DIN 66399 im Büro umsetzen

1. Asset-Register anlegen und alle datenführenden Geräte erfassen, inklusive Peripheriegeräte mit internem Speicher.
2. Schutzklasse je Gerät oder Gerätegruppe festlegen, basierend auf der Sensibilität der gespeicherten Informationen.
3. Materialklasse bestimmen: Papier (P), optisch (O), magnetisch (T/H) oder elektronisch (E), um die korrekte Vernichtungsstufe zu ermitteln.
4. Interne Zuständigkeiten regeln: Wer meldet, wer freigibt, wer transportiert und wer dokumentiert.
5. Dienstleister prüfen und nur zertifizierte Anbieter beauftragen, die normkonforme Vernichtungszertifikate ausstellen.
6. Vernichtungsnachweise archivieren und mindestens entsprechend der geltenden Aufbewahrungsfristen sicher aufbewahren.
7. Schulungen regelmäßig durchführen und neue Mitarbeitende bei Eintritt über die internen Prozesse informieren.
8. Prozesse jährlich überprüfen und bei Änderungen im Gerätebestand oder bei neuen Datenschutzvorgaben anpassen.