Festplatte sicher löschen oder vernichten: Methoden und Normstufen

Wer einen alten Rechner verkauft, eine Festplatte spendet oder ein defektes Laufwerk zur Reparatur schickt, gibt oft mehr aus der Hand, als ihm bewusst ist: Steuerunterlagen, Fotos, Passwörter, Kontoauszüge und Verträge. Auf einer scheinbar leeren Platte lässt sich vieles mit frei verfügbaren Werkzeugen zurückholen. Dieser Artikel erklärt den Unterschied zwischen Löschen und Vernichten, was bei SSDs anders ist, was das Bundesamt für Sicherheit in der Informationstechnik (BSI) empfiehlt, welche Stufen die Norm DIN 66399 für Festplatten und Flash-Speicher kennt und wann ein Dienstleister sinnvoll ist.

Was ist der Unterschied zwischen Löschen und Vernichten?

Löschen macht Daten dauerhaft unlesbar, Vernichten zerstört den Datenträger selbst. Der Landesdatenschutzbeauftragte Mecklenburg-Vorpommern definiert Löschen als das Unkenntlichmachen gespeicherter Daten, das dauerhaft und irreversibel sein muss. Das Vernichten von Datenträgern gilt dort als technisch-organisatorische Maßnahme zur Datensicherheit. Beide Verfahren verfolgen dasselbe Ziel, unterscheiden sich aber in Aufwand und Wiederverwendbarkeit: Ein sicher gelöschter Datenträger kann weiter genutzt, verkauft oder verschenkt werden, ein vernichteter nicht.

Das übliche Löschen im Betriebssystem leistet beides nicht. Das BSI beschreibt in seinem IT-Grundschutz-Baustein CON.6, dass Anwendungen und Betriebssysteme Dateien standardmäßig nicht sicher löschen. Es werden nur die Verweise aus dem Dateisystem entfernt und die Blöcke als frei markiert, der eigentliche Inhalt bleibt erhalten und lässt sich mit Werkzeugen rekonstruieren. Die folgende Tabelle ordnet die gängigen Methoden ein.

Methode	Was passiert wirklich	Sicher?
Papierkorb leeren	Nur Indexeinträge verschwinden, Daten bleiben oft erhalten (BSI)	nein
Normales Formatieren	Ersetzt nur die Dateisystemstruktur, nicht die Daten (BSI)	nein
Werksreset bei PC und Notebook	Löscht teils nur das Verzeichnis (BSI)	nicht zuverlässig
Werksreset bei Smartphone und Tablet	Bei aktuellen Android- und iOS-Geräten in der Regel ausreichend (BSI)	meist ja
Vollständiges Überschreiben	Die gesamte Platte wird mit Zufalls- oder Festwerten beschrieben	ja, bei intakten Platten meist ausreichend (BSI)
Hersteller-Löschbefehl (Secure Erase)	Das Laufwerk löscht sich selbst, auch in defekten Bereichen	ja, wenn unterstützt
Verschlüsselung plus Schlüssel löschen	Die Daten bleiben, sind ohne Schlüssel aber wertlos	ja, wenn der Schlüssel wirklich entfernt wird
Degaussen	Entmagnetisiert magnetische Datenträger; wirkt nur auf Festplatten und Bänder	ja für Magnetmedien
Physische Zerstörung	Der Datenträger wird zerkleinert	ja, abhängig von der Stufe

Worin unterscheiden sich Festplatte und SSD beim Löschen?

Magnetische Festplatten (HDD) und Flash-Speicher (SSD, USB-Stick, SD-Karte) speichern Daten grundlegend verschieden, und deshalb verhalten sie sich beim Löschen anders. Die HDD beschreibt Plattenoberflächen magnetisch an festen Stellen. Eine SSD verteilt Schreibvorgänge dagegen selbst auf viele Speicherzellen und hält Reserveflächen vor. Das Betriebssystem sieht nur einen Teil dessen, was physisch gespeichert ist. Das hat zwei Folgen, die das BSI beide benennt.

• Einzelne Dateien lassen sich nicht zuverlässig löschen. Laut CON.6 können Datenträger effektiv nur in ihrer Gesamtheit sicher gelöscht werden; das sichere Löschen einzelner Dateien ist meist nur mit Einschränkungen möglich. Auch die Verbraucherzentrale warnt, dass Löschprogramme wie „Eraser“ keine vollständige Löschung garantieren.
• Reserve- und Schutzbereiche bleiben unerreichbar. Das BSI weist darauf hin, dass reservierte, defekte und geschützte Bereiche (etwa Host Protected Areas) durch normale Software nicht erreichbar sein können. Schlägt ein Löschvorgang unbemerkt fehl, empfiehlt es, anschließend zu versuchen, auf Daten zuzugreifen. Sind sie noch da, wählen Sie ein anderes Verfahren.

Das BSI nennt für intakte HDDs, SSDs, USB-Sticks und SD-Karten das vollständige Überschreiben als in der Regel ausreichend. Es lässt sich von einem startfähigen Medium ausführen und löscht gegebenenfalls auch Wiederherstellungspartitionen des Herstellers, weshalb Sie vorher ein Installationsmedium anlegen sollten. Bei SSDs kommen Befehle wie ATA Enhanced Security Erase in Betracht, die laut BSI auch defekte Bereiche erreichen und Sekunden bis Stunden dauern können. Die eleganteste Methode setzt früher an: Wer eine SSD von Anfang an verschlüsselt betreibt, muss am Ende nur den Schlüssel sicher löschen. Das BSI bestätigt, dass bereits stark verschlüsselte Daten mit gesichertem Schlüssel keine zusätzliche Löschung brauchen.

So löschen Sie eine intakte Festplatte Schritt für Schritt

1. Sichern, was Sie noch brauchen. Legen Sie ein Backup an und prüfen Sie, ob sich die Daten wiederherstellen lassen, bevor Sie etwas löschen. Das empfiehlt das BSI ausdrücklich.
2. Installationsmedium bereithalten. Das Überschreiben kann die Wiederherstellungspartition des Herstellers entfernen. Ein Installationsstick verhindert, dass Sie nur noch ein leeres Gerät haben.
3. Verfahren wählen. Bei HDDs genügt das vollständige Überschreiben mit einem Werkzeug von einem startfähigen Medium. Bei SSDs verwenden Sie den Löschbefehl des Herstellers oder löschen den Schlüssel einer verschlüsselten Platte.
4. Zusatzmedien entfernen. Bei Smartphones und Tablets nehmen Sie SD-Karte und SIM vor dem Werksreset heraus.
5. Ergebnis kontrollieren. Versuchen Sie nach dem Löschen, Daten aufzurufen. Findet sich noch etwas, wiederholen Sie den Vorgang mit einer anderen Methode.
6. Gerät abgeben. Festplatten gehören nicht in den Hausmüll. Die Verbraucherzentrale rät zu Wertstoffhof oder Elektrofachgeschäft, aber erst nach dem Löschen.

Wann sollten Sie Datenträger vernichten statt löschen?

Vernichten Sie Datenträger, die sich nicht sicher löschen lassen, die defekt sind oder besonders sensible Daten enthalten. Das BSI trifft dazu klare Aussagen. Digitale Datenträger, die aufgrund eines Defekts nicht entsprechend den Löschverfahren gelöscht werden können, sollen mindestens nach Sicherheitsstufe 3 der ISO/IEC 21964-2 vernichtet werden (CON.6.A13); diese internationale Norm entspricht inhaltlich der DIN 66399. Integrierte Datenträger in anderen Geräten sollen über die integrierten Funktionen gelöscht werden, und wenn das nicht möglich ist, ausgebaut und entweder von einem separaten System aus gelöscht oder mindestens nach E-3 beziehungsweise H-3 vernichtet werden (CON.6.A12).

Warum defekte Platten ein Risiko sind, zeigt ein Beispiel aus dem Baustein selbst. Eine defekte Festplatte wird als Garantiefall zum Hersteller geschickt, der den Defekt am Controller feststellt, dem Kunden ein neues Modell liefert und die ursprüngliche Platte nur schnell und damit unsicher löscht. Anschließend gelangt sie womöglich wieder in den Handel, mit den Daten des Vorbesitzers. Wer sensible Daten auf der Platte hat, sollte den Austausch deshalb nur gegen Vernichtung oder mit vertraglich vereinbarter sicherer Löschung vornehmen.

Entscheidungsregeln

• Wenn die Platte intakt ist und Sie sie weitergeben möchten, dann überschreiben oder per Secure Erase löschen und das Ergebnis kontrollieren.
• Wenn die Platte verschlüsselt war, dann Schlüssel sicher entfernen und zusätzlich einmal überschreiben.
• Wenn die Platte defekt ist und nicht ansprechbar, dann vernichten, mindestens nach Stufe 3.
• Wenn Gesundheitsdaten, Daten aus Berufsgeheimnissen oder Geschäftsgeheimnisse darauf liegen, dann vernichten und die Stufe nach der Schutzklasse wählen.
• Wenn es nur um eine SD-Karte, einen USB-Stick oder ein Smartphone geht, dann genügen meist Überschreiben oder Werksreset, bei sensiblen Daten die Zerstörung nach Klasse E.

Welche Stufen kennt DIN 66399 für Festplatten und Flash-Speicher?

Die Norm DIN 66399 trennt Datenträger nach Materialklassen und legt für jede sieben Sicherheitsstufen fest. Für Festplatten ist die Materialklasse H zuständig (magnetische Datenträger mit hoher Datendichte), für elektronische Speicher wie USB-Sticks, Mobiltelefone und Chipkarten die Materialklasse E. Die Stufen 1 bis 3 beschreiben lediglich ein Unbrauchbarmachen, erst danach zählen Partikelgrößen.

Stufe	Klasse H (Festplatten)	Klasse E (SSD, USB, Chipkarten)
1	funktionsuntüchtig machen, etwa Teile verbiegen	funktionsuntüchtig machen, etwa Anschlüsse beschädigen
2	beschädigen, etwa Steckverbindung abreißen	zerteilen
3	verformen, etwa Magnetträger zerbrechen	zerkleinern auf höchstens 160 mm²
4	zerkleinern auf höchstens 2.000 mm²	zerkleinern auf höchstens 30 mm²
5	zerkleinern auf höchstens 320 mm²	zerkleinern auf höchstens 10 mm²
6	zerkleinern auf höchstens 10 mm²	zerkleinern auf höchstens 1 mm²
7	zerkleinern auf höchstens 5 mm²	zerkleinern auf höchstens 0,5 mm²

Zwei Beobachtungen helfen bei der Einordnung. Erstens: Die Zahlen für H-6 (10 mm²) und H-7 (5 mm²) entsprechen den Partikelflächen der Papierstufen P-6 und P-7. Festplatten in Hochsicherheitsstufe sind also so fein zerkleinert wie Hochsicherheitspapier. Zweitens: Für Flash-Speicher ist die Messlatte noch strenger, denn bei Klasse E schrumpft die zulässige Fläche bereits ab Stufe 3 auf 160 mm² und erreicht in Stufe 7 nur noch 0,5 mm². Ein Grund dürfte sein, dass auf kleinstem Raum sehr viele Daten liegen: Ein Speicherchip, der heil bleibt, kann unter Umständen noch lesbare Daten enthalten.

Die Zuordnung zu den Schutzklassen folgt dem allgemeinen Schema der Norm. Schutzklasse 1 (normaler Schutzbedarf) umfasst die Stufen 1 bis 3, Schutzklasse 2 (hoher Schutzbedarf, vertrauliche und personenbezogene Daten) die Stufen 4 und 5, Schutzklasse 3 (sehr hoher Schutzbedarf, geheime Daten) die Stufen 6 und 7. Der Landesdatenschutzbeauftragte Mecklenburg-Vorpommern empfiehlt Schutzklasse 3 insbesondere bei möglicher Strafbarkeit nach § 203 StGB, also bei Berufsgeheimnissen. Zur Einordnung der Begriffe lesen Sie im Glossar die Einträge zu Schutzklasse und Datenträgervernichtung.

Typischer Fall	Schutzklasse	Empfehlung für Festplatte (H)	Empfehlung für SSD und USB (E)
Privater Rechner mit Fotos und Dokumenten	1 bis 2	Löschen, bei Defekt mindestens H-3	Löschen, bei Defekt mindestens E-3
Rechner mit Steuerdaten, Kontoauszügen, Gesundheitsdaten	2	H-4 bis H-5	E-4 bis E-5
Praxis, Kanzlei, Berufsgeheimnisträger	3	H-6 bis H-7	E-6 bis E-7

Beachten Sie: Die Zuordnung nach Schutzklassen bezeichnet die Orientierung der Norm. Für Privatleute fehlt eine rechtliche Vorgabe zur Stufe, bei Unternehmen verlangt die DSGVO angemessene technisch-organisatorische Maßnahmen, ohne eine Stufe zu nennen. Papierunterlagen sind eine verwandte Aufgabe, die ein Aktenvernichter übernimmt. Dazu passt unser Beitrag über Kontoauszüge, die oft auch als PDF auf der Festplatte liegen und dann beim Löschen mitgedacht werden müssen.

Dienstleister oder selbst vernichten?

Für Privatleute genügt in der Regel das sichere Löschen, für Unternehmen und bei Hochsicherheit lohnt sich ein zertifizierter Dienstleister. Zu Hause lassen sich Platten zwar mit Hammer und Bohrer unbrauchbar machen, aber ohne Nachweis und ohne Garantie für eine Normstufe. Das BSI rät, in diesem Fall maximalen Schaden zu verursachen, Schutzkleidung zu tragen und keinesfalls die Mikrowelle zu nutzen, weil Brand- und Giftgefahr bestehen. Normgerechte Zerkleinerung nach H-4 und höher leisten Festplattenvernichter, wie sie im Glossar unter Festplattenvernichter beschrieben sind. Für den Haushalt sind sie selten wirtschaftlich.

Kriterium	Selbst löschen oder zerstören	Dienstleister
Kosten	gering	je Datenträger, abhängig vom Anbieter
Nachweis	keiner, höchstens eigene Notiz	Löschprotokoll je Datenträger, Zertifikat, Übergabeprotokolle
Stufe	nicht belegbar	nach DIN 66399 dokumentiert
Eignung	Privathaushalt, Weitergabe von Geräten	Firmen, Berufsgeheimnisträger, defekte Massenspeicher

Wie ein seriöser Anbieter arbeitet, zeigt das Beispiel eines IT-Dienstleisters der öffentlichen Hand, der Datenträger entweder entmagnetisiert (Degaussen) oder schreddert und dazu Anlieferungs- und Übergabeprotokolle, ein Löschprotokoll pro Datenträger und ein Vernichtungszertifikat ausstellt. Nach dem BSI muss der Prozess bei externen Dienstleistern ausreichend sicher und nachvollziehbar sein, die Verfahren müssen mindestens die eigenen Anforderungen erfüllen, und die beauftragten Unternehmen sollen regelmäßig überprüft werden (CON.6.A11). Der Landesdatenschutzbeauftragte Mecklenburg-Vorpommern ergänzt, dass die Gesamtverantwortung auch bei einer Auftragsverarbeitung bei der verantwortlichen Stelle bleibt und ergänzende Sicherheitsmaßnahmen dokumentiert und vertraglich festgeschrieben werden sollten. Für Betriebe empfiehlt sich außerdem ein Vernichtungsprotokoll. Welche Anforderungen an eine rechtskonforme Vernichtung gelten, erklärt das Glossar unter DSGVO-konforme Vernichtung.

Checkliste: Datenträger sicher aus der Hand geben

• Backup erstellt und Wiederherstellung geprüft?
• Verschlüsselung vorhanden und Schlüssel gesichert oder bewusst entfernt?
• Löschverfahren passend zum Datenträger (HDD überschreiben, SSD Secure Erase oder Schlüssel löschen)?
• Löschergebnis kontrolliert?
• Defekte Medien nicht zur Garantie eingeschickt, ohne Vernichtung zu vereinbaren?
• Bei sensiblen Daten Stufe nach Schutzklasse gewählt und Nachweis angefordert?
• Datenträger über Wertstoffhof oder Elektrofachgeschäft entsorgt, nicht über den Hausmüll?
• Auch Smartphone, Tablet, SD-Karten, USB-Sticks und Zweitplatten bedacht?

Wer diese Schritte durchgeht, verhindert, dass aus einem alten Laufwerk ein Fall von Identitätsdiebstahl wird. Weitere Beiträge zu Datenschutz und Ordnung finden Sie im Magazin.