ISO 21964 – Die Norm für sichere Akten- und Datenträgervernichtung
Welche Sicherheitsstufe nach ISO 21964 brauche ich?
Die passende Sicherheitsstufe nach ISO 21964 richtet sich nach dem Schutzbedarf Ihrer Daten. Während interne Unterlagen häufig mit niedrigeren Sicherheitsstufen vernichtet werden können, erfordern personenbezogene, vertrauliche oder besonders schützenswerte Informationen höhere Sicherheitsstufen und Schutzklassen. Die Einstufung erfolgt durch den Dateninhaber.
Die ISO 21964 in der Aktenvernichtung
Wenn Sie sich zum Thema Sicherheit in der Daten- und Aktenvernichtung informieren, stoßen Sie immer wieder auf den Begriff: ISO 21964.
Vielleicht fragen Sie sich: Was regelt diese internationale Norm und warum ist sie für die sichere Akten- und Datenträgervernichtung so wichtig?
Bis zur Einführung der ISO 21964 galt die DIN 32757 als maßgebliche Norm für die Vernichtung von Datenträgern. Im Laufe der Zeit wurde sie durch die DIN 66399 abgelöst, die Anforderungen an die sichere Vernichtung von Daten und Datenträgern genauer definierte. Später wurde die internationale Norm ISO 21964 eingeführt, die diese Anforderungen weiter vereinheitlichte und konkretisierte.
Was ist die ISO 21964?
Die ISO/IEC 21964 besteht aus drei Teilen. Teil 1 definiert die Grundlagen und Begriffe, Teil 2 legt die Anforderungen an Maschinen zur Vernichtung von Datenträgern fest und Teil 3 beschreibt die Anforderungen an den Prozess der Datenträgervernichtung.
Die drei Teile bilden zusammen die Grundlage für die sichere Vernichtung von Datenträgern. Sie behandeln sowohl die technischen Anforderungen an die eingesetzten Maschinen als auch die organisatorischen und prozessbezogenen Anforderungen an die Durchführung der Vernichtung.
Bei der Definition und Klassifizierung der neuen Norm halfen verschiedene Gruppen mit: So waren z. B. Maschinenhersteller, das Bundesamt für Sicherheit in der Informationstechnik und verschiedene Aktenvernichtungsdienstleister beteiligt.
Was bedeuten Schutzbedarf und Schutzklasse im Rahmen der Aktenvernichtung?
In der Aktenvernichtung werden Daten in verschiedene Schutzklassen eingeteilt, um Schutzbedarf und Fragen der Wirtschaftlichkeit zu berücksichtigen. Der Schutzbedarf richtet sich nach dem Ausmaß, mit dem Daten geschützt werden müssen. Personenbezogene Daten z. B. haben einen höheren Schutzbedarf als Werbeprospekte.
Der Grad der Schutzbedürftigkeit der Daten ist bestimmend für die Auswahl der Schutzklasse und Sicherheitsstufe. Aus dieser Einstufung ergeben sich unterschiedliche technische und organisatorische Maßnahmen, die im Bereich der Aktenvernichtung zu erfüllen sind.
Die Festlegung von Schutzbedarf, Schutzklassen, Sicherheitsstufen und die genauen organisatorischen Maßnahmen legt hierbei immer die „verantwortliche Stelle“ fest. Die verantwortliche Stelle ist der Dateninhaber.
Die verschiedenen Schutzklassen
Schutzklasse 1 – Normaler Schutzbedarf für interne Daten
Diese Schutzklasse gilt für Informationen, die von Anfang an für größere Gruppen von Menschen bestimmt waren. Würde es bei dieser Art von Daten Datenschutzverletzungen geben, hätten diese nur begrenzt negative Auswirkungen auf das Unternehmen. Bei Datenschutzverletzungen könnte der Betroffene in seiner gesellschaftlichen Stellung und in seinen wirtschaftlichen Verhältnissen nur gering beeinträchtigt werden.
Schutzklasse 2 – Hoher Schutzbedarf für vertrauliche Daten
Gilt für Informationen, die von Anfang an nur für einen kleineren Personenkreis bestimmt sind. Datenschutzverletzungen hätten gravierende Auswirkungen auf das Unternehmen und könnten gegen Vertragspflichten oder Gesetze verstoßen. Der Betroffene könnte dadurch in seiner gesellschaftlichen Stellung und in seinen wirtschaftlichen Verhältnissen erheblich beeinträchtigt werden.
Schutzklasse 3 – Sehr hoher Schutzbedarf für streng geheime Daten
Bei der Schutzklasse 3 handelt es sich um Informationen, die von Anfang an für einen sehr kleinen, namentlich bekannten Personenkreis bestimmt waren. Datenschutzverletzungen hätten existenzbedrohende Auswirkungen oder würden gegen Berufsgeheimnisse, Gesetze und Verträge verstoßen.
ISO 21964 und DSGVO – warum beide zusammengehören
Die DSGVO schreibt keine konkrete Sicherheitsstufe für die Vernichtung von Dokumenten oder Datenträgern vor. Sie verpflichtet Unternehmen jedoch dazu, personenbezogene Daten nach Ablauf der gesetzlichen Aufbewahrungsfristen sicher und datenschutzkonform zu vernichten. Die ISO 21964 liefert hierfür den anerkannten Standard und definiert Schutzklassen, Sicherheitsstufen sowie Anforderungen an den gesamten Vernichtungsprozess.
Die Sicherheitsstufen im Überblick
- Sicherheitsstufe 1: Allgemeine Daten – Wiederherstellung mit einfachem Aufwand
- Sicherheitsstufe 2: Interne Daten – Wiederherstellung mit besonderem Aufwand
- Sicherheitsstufe 3: Sensible Daten – Wiederherstellung mit erheblichem Aufwand
- Sicherheitsstufe 4: Besonders sensible Daten – Wiederherstellung mit außergewöhnlichem Aufwand
- Sicherheitsstufe 5: Geheim zu haltende Daten – Wiederherstellung mit nicht definierbarem Aufwand
- Sicherheitsstufe 6: Geheime Hochsicherheits-Daten – Wiederherstellung aktuell technisch nicht möglich
- Sicherheitsstufe 7: Hochsicherheits-Daten – Wiederherstellung ausgeschlossen
Kombination von Schutzklassen und Sicherheitsstufen
Der nachfolgenden Tabelle können Sie entnehmen, welche Kombinationen aus Schutzklassen und Sicherheitsstufen in der Norm vorgesehen sind. Die geeignete Kombination sollte anhand des Schutzbedarfs und einer individuellen Risikoanalyse festgelegt werden. Die Tabelle macht deutlich, dass die Kombination einer sehr niedrigen Schutzklasse mit einer sehr hohen Sicherheitsstufe aus der Sicht des Ausschusses nicht sinnvoll ist und umgekehrt. Für die korrekte Einstufung ist immer der Datenbesitzer (sog. „verantwortliche Stelle“) verantwortlich.
Die Zuordnung von Schutzklassen und Sicherheitsstufen
Mit der folgenden Tabelle ist es möglich, die Zuordnung der drei Schutzklassen und Sicherheitsstufen vorzunehmen. Die Zuordnung sollte in jedem Fall individuell mithilfe einer Risikoanalyse erfolgen. Können Ihre Daten unterschiedlichen Schutzklassen zugeordnet werden, kann es unter Umständen wirtschaftlicher sein, diese den Sicherheitsstufen und Schutzklassen entsprechend zu trennen. Liegen die Daten in gemischter Form vor, müssen die Datenträger gemäß der entsprechend höchsten Schutzklasse und Sicherheitsstufe vernichtet werden.
| Zuordnung Schutzklassen/Sicherheitsstufen | S1 | S2 | S3 | S4 | S5 | S6 | S7 |
| Schutzklasse 1 | x | x | x | ||||
| Schutzklasse 2 | x | x | x | ||||
| Schutzklasse 3 | x | x | x | x | x |
Erhöhung der Sicherheitsstufen
Das Vernichten von Akten in Großanlagen und die Vermischung und Verpressung großer Mengen unterschiedlicher Daten bietet eine weitere deutliche Sicherheitserhöhung. Die ISO 21964 ermöglicht in solchen Fällen bei gleichbleibender Partikelgröße eine Sicherheitsstufenerhöhung.
Die Erhöhung der Sicherheitsstufe kann bei Informationsdarstellung in Originalgröße jedoch nur um einen Schritt und maximal bis zur Sicherheitsstufe 4 erfolgen. Da wir in unserer modernen Vernichtungsanlage hohen Materialmengen vernichten, erfüllen wir dieses Kriterium.
Prozess der Datenträgervernichtung nach ISO 21964
Die ISO/IEC 21964-3 legt Anforderungen an den Prozess der Datenträgervernichtung fest. Sie richtet sich an die verantwortliche Stelle und an alle weiteren Beteiligten, die in den Vernichtungsprozess eingebunden sind. Dabei werden die Anforderungen an die sichere und nachvollziehbare Durchführung des gesamten Prozesses berücksichtigt.
Die Vernichtung von Datenträgern wird als Gesamtprozess verstanden. In diesem werden die einzelnen Prozessabschnitte untersucht, gesichert und umgesetzt. Bis zum Abschluss der Datenvernichtung bleibt formal der Datenbesitzer, also die verantwortliche Stelle, verantwortlich. Nach Erreichen der vereinbarten Sicherheitsstufe gelten die Daten als gelöscht.
Im Normalfall verläuft der gesamte Prozess arbeitsteilig zwischen den verantwortlichen Stellen und externen Dienstleistern ab. Dabei gilt es vor allem, die Aufgabenabgrenzung zu betrachten und die technischen und organisatorischen Maßnahmen zu definieren.
Dabei gibt 3 mögliche Prozessvarianten:
- Variante 1: Datenträgervernichtung durch die verantwortliche Stelle selbst
- Variante 2: Datenträgervernichtung durch einen Dienstleister vor Ort
- Variante 3: Datenträgervernichtung durch einen externen Dienstleister
Ermittlung der Risikostruktur
Nach Ermittlung einer Prozessvariante ist es nötig, im Vorfeld zu überprüfen, ob die technischen und organisatorischen Anforderungen der entsprechenden Schutzklasse und Sicherheitsstufe erfüllt werden. Möchte man die Schutzklasse und Sicherheitsstufe definieren, sollte die verantwortliche Stelle folgende Fragen beantworten:
- Welche Informationen sind in welche Schutzklassen zu klassifizieren?
- Welche Sicherheitsstufe soll angesetzt werden?
- Welche der 3 Varianten soll und kann man wählen?
- Welche technischen und organisatorischen Maßnahmen sind für den Gesamtprozess zu definieren?
Zertifizierung nach ISO 21964
Die ISO/IEC 21964 legt Anforderungen für die sichere Vernichtung von Datenträgern fest. Dazu gehören unter anderem Anforderungen an die eingesetzten Maschinen und an den Vernichtungsprozess. Prüfzeugnisse und Zertifikate können bestätigen, dass die jeweils geprüften Maschinen, Verfahren oder Prozesse die entsprechenden Anforderungen erfüllen.
Unsere Prozesse erfüllen die Anforderungen der ISO 21964. Darüber hinaus arbeiten wir nach zertifizierten Qualitätsprozessen gemäß DIN EN ISO 9001:2015. Dadurch stellen wir sicher, dass sämtliche Abläufe dokumentiert, nachvollziehbar und regelmäßig überprüft werden.
Hier finden Sie dieses und weitere Zertifikate: Haberling Zertifikate
Weiterführende Informationen
Wenn Sie vertrauliche Dokumente oder Datenträger sicher und datenschutzkonform vernichten möchten, finden Sie auf unseren Leistungsseiten weiterführende Informationen zu unseren Leistungen und dem gesamten Vernichtungsprozess:
- Aktenvernichtung in Berlin und Brandenburg – sichere Vernichtung vertraulicher Papierdokumente nach ISO 21964
- Datenträgervernichtung – professionelle Vernichtung digitaler Datenträger wie USB-Sticks, CDs, DVDs oder Speicherkarten
- Festplattenvernichtung – physische Zerstörung von Festplatten und SSDs für maximalen Datenschutz
- Aktenvernichtung für Privathaushalte – datenschutzkonforme Vernichtung privater Unterlagen und personenbezogener Dokumente
FAQ - Häufig gestellte Fragen
Muss jedes Unternehmen die ISO 21964 beachten?
Unternehmen, die personenbezogene oder vertrauliche Daten verarbeiten, sollten bei der Vernichtung ihrer Unterlagen einen anerkannten Sicherheitsstandard anwenden. Die ISO 21964 bietet hierfür eine klare Orientierung und unterstützt bei der datenschutzkonformen Umsetzung der Anforderungen.
Reicht ein Büro-Aktenvernichter für vertrauliche Dokumente aus?
Für kleinere Mengen kann ein Aktenvernichter ausreichend sein, sofern die erforderliche Sicherheitsstufe erreicht wird. Bei größeren Aktenmengen oder besonders sensiblen Daten entscheiden sich viele Unternehmen für einen zertifizierten Dienstleister, um den gesamten Vernichtungsprozess sicher und nachvollziehbar zu gestalten.
Wie kann ich nachweisen, dass meine Unterlagen ordnungsgemäß vernichtet wurden?
Professionelle Dienstleister stellen nach der Vernichtung ein Vernichtungszertifikat aus. Dieses dokumentiert die datenschutzkonforme Durchführung der Vernichtung und dient als Nachweis gegenüber Kunden, Behörden oder im Rahmen interner Compliance-Anforderungen.
Welche Unterlagen sollten nach ISO 21964 vernichtet werden?
Neben Personalakten und Vertragsunterlagen sollten auch Rechnungen, Buchhaltungsunterlagen, Kundendaten, medizinische Dokumente sowie Datenträger mit vertraulichen Informationen datenschutzkonform vernichtet werden, sobald die gesetzlichen Aufbewahrungsfristen abgelaufen sind.
Was passiert mit den Unterlagen nach der Vernichtung?
Nach der datenschutzkonformen Vernichtung werden die entstandenen Materialien in der Regel dem Recycling oder einer geeigneten Verwertung zugeführt. Dadurch lassen sich Datenschutz und Ressourcenschonung miteinander verbinden.
Kann ich Papierakten und digitale Datenträger gemeinsam vernichten lassen?
Ja. Viele zertifizierte Dienstleister übernehmen sowohl die Vernichtung von Papierdokumenten als auch von Festplatten, SSDs, USB-Sticks, CDs oder anderen Datenträgern. Je nach Material kommen unterschiedliche, auf die ISO 21964 abgestimmte Vernichtungsverfahren zum Einsatz.
