Die Norm DIN 66399 (mittlerweile international auch als ISO/IEC 21964 geführt) ist der verbindliche Standard für die datenschutzkonforme Vernichtung von Datenträgern (wie Papier, Akten, Festplatten, USB-Sticks oder Chipkarten).

Die folgende kompakte Umsetzungshilfe kann unverbindlich dabei helfen, die Anforderungen der DIN 66399 im operativen Alltag (z. B. im Büro, in der Kanzlei oder im Beratungsunternehmen) rechtssicher zu integrieren:

Umsetzungshilfe zur DIN 66399 / ISO 21964 (Datenträgervernichtung)

Phase 1: Schutzbedarf ermitteln (Schutzklassen)

Daten klassifizieren: Zuordnung der im Betrieb verarbeiteten Informationen in eine der drei Schutzklassen der Norm:

• Schutzklasse 1: Normaler Schutzbedarf für interne Daten (z. B. allgemeine Rundschreiben, Kataloge).
• Schutzklasse 2: Hoher Schutzbedarf für vertrauliche Daten und personenbezogene Daten (z. B. Bewerbungen, Angebote, Steuerunterlagen).
• Schutzklasse 3: Sehr hoher Schutzbedarf für streng vertrauliche und geheime Daten (z. B. Geschäftsgeheimnisse, medizinische Unterlagen, F&E-Daten).

Phase 2: Datenträger & Medien definieren (Kategorien)

Medien-Inventar erfassen: Feststellen, welche Arten von Datenträgern im Unternehmen anfallen. Die Norm unterscheidet 6 Kategorien:

• Kategorie P: Papier / Originalgröße (Schriftverkehr, Akten).
• Kategorie F: Information in verkleinerter Form (Microfiche, Filme).
• Kategorie O: Optische Datenträger (CD, DVD, Blu-ray).
• Kategorie T: Magnetische Datenträger (Disketten, ID-Karten mit Magnetstreifen).
• Kategorie E: Elektronische Datenträger (USB-Sticks, SSDs, Speicherkarten, Smartphones).
• Kategorie H: Festplatten mit magnetischen Datenträgern (HDD).

Phase 3: Passende Sicherheitsstufe wählen (P-Stufen für Papier als Beispiel)

Geräte oder Dienstleister auswählen: Festlegung der erforderlichen Zerkleinerungsgröße (Sicherheitsstufen P-1 bis P-7).

• Sicherheitsstufen für digitale Medien prüfen: Entsprechende H-Stufen (H-1 bis H-7) für die physische Zerstörung von Festplatten und Speichermedien festlegen.

Übersicht der empfohlenen Mindest-Sicherheitsstufen nach DIN 66399 (ISO/IEC 21964) für die typischen Materialien, die in einer Beratungs- und Dienstleistungspraxis für Datenschutz und IT-Sicherheit anfallen:

1. Kategorie P: Papier / Originalgröße

• Empfohlene Sicherheitsstufe: P-4 (bei sensiblen Kundendaten, Verträgen, Audits oder Personalunterlagen) bzw. P-3 für normale interne Notizen.
• Erklärung (P-4): Partikelschnitt. Die Partikelfläche darf maximal 160 mm² betragen (z. B. Streifenbreite max. 4 mm, Partikellänge max. 40 mm). Dies ist der Standard für die DSGVO-konforme Vernichtung von geschäftlichen Unterlagen und personenbezogenen Daten.

2. Kategorie E: Elektronische Datenträger (USB-Sticks, SSDs, Speicherkarten, alte Smartphones)

• Empfohlene Sicherheitsstufe: E-3 bis E-4 (Physische Zerstörung, bei der der Chip in kleinste Fragmente zerlegt wird).
• Erklärung: Da moderne SSDs und USB-Sticks nicht einfach "überschrieben" werden können (wegen des Flash-Speichers und Wear Levelings), ist eine physische Schredderung der Chips nach E-3/E-4 zwingend erforderlich, um Datenleaks zu verhindern.

3. Kategorie H: Festplatten mit magnetischen Datenträgern (traditionelle HDDs)

• Empfohlene Sicherheitsstufe: H-4 bis H-5 (Mechanische Verformung, Schreddern oder Entmagnetisieren / Degaussing kombiniert mit Zerstörung).
• Erklärung: Klassische Festplatten aus PCs oder Servern müssen so zerstört werden, dass die Magnetscheiben komplett verbogen oder zerkleinert werden und eine Wiederherstellung ausgeschlossen ist.

4. Kategorie O: Optische Datenträger (CD, DVD, Blu-ray)

• Empfohlene Sicherheitsstufe: O-3 (Zerkleinerung in Streifen oder Partikel mit einer maximalen Partikelfläche von 160 mm²).
• Erklärung: Falls alte Backups, Software-Images oder digitale Kundenunterlagen auf optischen Medien gebrannt wurden, sorgt O-3 dafür, dass die Datenschicht unleserlich gemacht wird.

5. Kategorie T: Magnetische Datenträger (ID-Karten, Magnetstreifenkarten)

• Empfohlene Sicherheitsstufe: T-3 bis T-4 (Zerkleinerung des Magnetstreifens oder der RFID-Chipkarte).
• Erklärung: Relevant z. B. für alte Mitarbeiter-Zutrittskarten, Besucherausweise oder Kundenkarten mit sensiblen Kennungen.

Phase 4: Prozesssicherheit & Entsorgung regeln

• Sichere Sammelbehälter aufstellen: Bereitstellung abschließbarer Sicherheitsbehälter (z. B. Konsolen oder Rolltonnen von zertifizierten Aktenvernichtungsunternehmen) in den Büroräumen.
• Zugriff regeln: Sicherstellen, dass während der Sammlung unbefugte Dritte (oder Kunden) keinen Zugriff auf die gefüllten Behälter haben („Clean Desk Policy“ / geschlossene Prozesskette).
• Zertifizierten Dienstleister beauftragen (falls extern): Bei externer Vernichtung darauf achten, dass der Dienstleister nach DIN 66399 zertifiziert ist und ein offizielles Vernichtungszertifikat ausstellt (wichtig als Nachweis für das ISMS/DSGVO).
• Interne Aktenvernichter prüfen: Falls im Büro selbst geschreddert wird: Prüfen, ob das Gerät die geforderte Sicherheitsstufe (z. B. P-4 für DSGVO-relevantes Papier) tatsächlich erreicht.