Die im Oktober 2012 veröffentlichte DIN 66399 „Büro- und Datentechnik – Vernichten von Datenträgern“ ist eine deutsche Norm, welche die Anforderungen für die sichere Vernichtung von Datenträgern wie Papier, CDs oder Festplatten definiert. Für viele Unternehmen und Dienstleister ist sie der zentrale Anknüpfungspunkt, wenn es um die Festlegung von Sicherheitsstufen und Vorgaben zur Datenvernichtung geht.
Doch wer die Norm über das offizielle deutsche Normenportal „DIN Media“ aufruft, wird feststellen, dass alle drei Teile der DIN 66399 als „zurückgezogen“ gekennzeichnet sind. Zudem wird darauf hingewiesen: „Der Regelsetzer empfiehlt die Anwendung der ISO/IEC 21964-1:2018-08“.
Grund genug, einen genaueren Blick auf die DIN 66399 und die aktuellen Entwicklungen zu werfen.
Warum ist die sichere Vernichtung von Daten wichtig und welche Rolle spielt die DIN 66399?
Zunächst ein allgemeiner Überblick über die gesetzlichen Vorgaben zur Datenlöschung bzw. -vernichtung: Die Datenschutz-Grundverordnung (DSGVO) schreibt in Art. 5 Abs. 1 lit. e den Grundsatz der Speicherbegrenzung vor. Demnach dürfen personenbezogene Daten nur so lange verarbeitet und gespeichert werden, wie es für den Zweck ihrer Erhebung erforderlich ist. Darüber hinaus verpflichtet Art. 17 Abs. 1 DSGVO Verantwortliche unter bestimmten Voraussetzungen zur Löschung personenbezogener Daten.
Dabei bedeutet „Löschung“ nicht einfach das Entfernen oder Unkenntlichmachen von personenbezogenen Daten – vielmehr muss sichergestellt sein, dass eine Wiederherstellung der Daten nicht mehr möglich oder zumindest erheblich erschwert wird.
Hier helfen die Vorgaben der DIN 66399: Sie definiert die Anforderungen an eine sichere Vernichtung von Datenträgern und schafft somit klare Vorgaben und Rechtssicherheit für die verantwortlichen Stellen.
Was regelt die DIN 66399 konkret?
Die DIN 66399 ist in drei Teile gegliedert:
- In Teil 1 werden die Grundlagen und Begriffe der Datenträgervernichtung benannt.
- Teil 2 definiert die Anforderungen an Maschinen zur Vernichtung von Datenträgern, während
- Teil 3 einen sicheren Prozess der Datenträgervernichtung beschreibt.
Wollen Verantwortliche Daten nach der DIN 66399 vernichten, müssen diese wie folgt vorgehen:
- Schutzklassen bestimmen
Die notwendigen Maßnahmen zur Vernichtung von physischen Datenträgern ist abhängig von der Schutzbedürftigkeit der verarbeiteten bzw. gespeicherten Daten. Insofern muss zunächst der Schutzbedarf der Daten ermittelt werden. Hierzu werden die gespeicherten Daten sog. Schutzklassen zugeordnet. Je sensibler die Daten, desto höher die Schutzklasse (von Schutzklasse 1 „Normaler Schutzbedarf“ bis Schutzklasse 3 „sehr hoher Schutzbedarf“). - Zuordnung von Schutzklassen und Sicherheitsstufen
Die festgelegte Schutzklasse muss dann einer sog. Sicherheitsstufe zugeordnet werden, nach welcher die Daten zu vernichten sind. Je höher die Sicherheitsstufe, desto höher ist der Aufwand bei der Vernichtung der Daten. Die DIN 66399 enthält für die Zuordnung eine Tabelle, welche Verantwortliche als Orientierung nutzen können.
Die DIN 66399 sieht sechs Materialklassen und für jedes Material sieben Sicherheitsstufen vor. Abhängig vom jeweiligen verwendeten Datenträger und der Schutzklasse lassen sich somit konkrete Sicherheitsstufen ermitteln (z. B. P1 bis P7 für Papier, H1 bis H7 für Festplatten mit magnetischen Datenträgern). Diese Sicherheitsstufen definieren die Anforderungen an die Datenträgervernichtung. - Grenzwerte für Teilchengröße festlegen
Abhängig von der ermittelten Sicherheitsstufe legt die Norm Grenzwerte für die Größe der verbleibenden Teilchen nach der Vernichtung fest.
Beispiel: Auf einer Festplatte mit magnetischem Datenträger sind personenbezogene Daten, darunter auch Gesundheitsdaten gespeichert. Diese Daten wären nach DIN 66399 mindestens der Schutzklasse 2 zuzuordnen. Für Schutzklasse 2 empfiehlt die Norm die Sicherheitsstufen 3–5. Da es sich um eine Festplatte handelt, wird der Datenträger der Kategorie „H“ (magnetische Datenträger) zugeordnet. Es empfiehlt sich also für die Datenträgervernichtung mindestens die Sicherheitsstufe H4 zu wählen. Die Sicherheitsstufe H4 sieht vor, dass die Festplatte mehrfach zerteilt und verformt werden muss. Die Fläche der einzelnen Materialteilchen darf höchstens 2.000 mm² betragen.
Ist die DIN 66399 nun weiterhin gültig?
Wie bereits einführend erläutert findet sich auf der Website der DIN Media für alle drei Teile der DIN 66399 der Hinweis, dass diese Normen zurückgezogen wurden. Zudem wird die Anwendung der internationalen Norm ISO/IEC 21964 empfohlen.
Die dementsprechende Schlussfolgerung, die DIN 66399 sei nicht mehr anwendbar, ist jedoch nur bedingt zutreffend. Die DIN 66399 wurde im Jahr 2018 aufgrund ihrer internationalen Akzeptanz in die internationale Norm ISO/IEC 21964 überführt. Die Inhalte der DIN 66399 bleiben daher weiterhin relevant, sind jedoch nun in einen international gültigen Standard integriert. Zudem beinhaltet die ISO/IEC 21964 darüber hinaus spezifischere Anforderungen und Methoden für elektronische Medien und deren Zerstörung.
Fazit
Verantwortliche Stellen können sich bei der Vernichtung von physischen Datenträgern weiterhin an den Vorgaben der DIN 66399 orientieren, da diese vollständig in den internationalen Standard ISO/IEC 21964 überführt wurde. Für die Dokumentation der Lösch- und Vernichtungsprozesse empfiehlt es sich jedoch, direkt auf die ISO/IEC 21964 zu verweisen, da diese den aktuellen und international anerkannten Standard darstellt.