Welche Sicherheitsstufe verlangt die DSGVO für Aktenvernichter?

Auf Aktenvernichtern steht heute fast immer „DSGVO konform". Was das bedeutet, steht nirgends — und der Grund ist einfach: Die DSGVO nennt keine Sicherheitsstufe.

Weder die Verordnung noch das Bundesdatenschutzgesetz verweisen auf die DIN 66399 oder ihre Nachfolgerin ISO/IEC 21964. Die Pflicht ergibt sich aus Artikel 32 DSGVO und ist risikobasiert: angemessene technische und organisatorische Maßnahmen, gemessen am Schutzbedarf.

Trotzdem nennen Behörden Zahlen. Nur eben nicht dieselben.

Kein Rechtsrat. Dieser Beitrag gibt wieder, was Behörden und Fachinstitutionen veröffentlicht haben, jeweils mit Fundstelle. Wir sind keine Anwaltskanzlei und beraten nicht zu Einzelfällen. Wer die Frage für den eigenen Betrieb verbindlich beantworten muss, klärt sie mit der eigenen Datenschutzbeauftragten oder der zuständigen Aufsichtsbehörde.

Drei Antworten auf dieselbe Frage

Stelle	Aussage	Charakter
BSI, IT-Grundschutz CON.6.A12	Papier mindestens P-3, optische Datenträger mindestens O-3	Basis-Anforderung, „MUSS"
Datenschutzkonferenz, SDM Baustein 60	Stufe 4 oder höher ist geeignet	Empfehlung der Aufsichtsbehörden
Bayerischer Landesbeauftragter	mindestens Stufe 3, für sensible Daten Stufe 4	behördliche Einordnung
ZENDAS (Hochschul-Datenschutzstelle)	mindestens Stufe 3	institutionelle Empfehlung
Bundesbeauftragter	nennt keine Stufe	—

Die Spanne reicht also von P-3 bis P-4, je nachdem, wen man fragt. Das ist kein Widerspruch im engeren Sinne — die Stellen beantworten leicht verschiedene Fragen und richten sich an verschiedene Adressaten. Es heißt aber, dass eine Zahl allein nichts wert ist, wenn nicht dazusteht, woher sie kommt.

Wer sich orientieren will, hat damit einen brauchbaren Rahmen: P-3 ist die untere Kante, die keine der Quellen unterschreitet. P-4 ist die Stufe, die von zwei der vier Stellen für personenbezogene Daten genannt wird, und die im Handel ohnehin die verbreitetste ist — zwölf der fünfzehn Geräte in unseren Vergleichen sind als P-4 ausgewiesen.

Was die einzelnen Stellen wirklich schreiben

Das BSI formuliert im IT-Grundschutz-Baustein CON.6 die klarste Vorgabe, und zwar als Basis-Anforderung mit „MUSS": Papier ist mindestens nach Sicherheitsstufe P-3 entsprechend der ISO/IEC 21964-2 zu vernichten, optische Datenträger mindestens nach O-3. Für erhöhten Schutzbedarf verweist eine weitere Anforderung darauf, die Stufe „anhand des Schutzbedarf der zu vernichtenden Datenträger" zu bestimmen, also keine feste Zahl, sondern eine Methode.

Wichtig zur Einordnung: Der IT-Grundschutz richtet sich an Behörden und Unternehmen, die ihn anwenden; er ist kein allgemeines Gesetz.

Die Datenschutzkonferenz, also die Runde aller deutschen Datenschutzaufsichtsbehörden, hält im Standard-Datenschutzmodell fest, dass für das Löschen personenbezogener Daten „Maßnahmen der Sicherheitsstufe 4 oder höher dieser Norm geeignet" sind. Bemerkenswert ist der Zusatz im selben Dokument: Die Wirkung werde „auch durch weitere sicherheitstechnische Rahmenbedingungen des Vernichtungsprozesses beeinflusst". Das Gerät ist also nur ein Teil der Antwort.

Der Bayerische Landesbeauftragte ist die einzige Stelle, die den Weg von der Datenart zur Stufe vollständig ausbuchstabiert: Für personenbezogene Daten sei „mindestens Schutzklasse 2 und damit mindestens Sicherheitsstufe 3 anzuwenden"; bei besonderen Kategorien nach Art. 9 DSGVO sowie bei Personal-, Sozial- und Steuerdaten sei „in der Regel Schutzklasse 3 einschlägig und mindestens Sicherheitsstufe 4 vorzusehen".

Der Bundesbeauftragte verweist auf die Norm und beschreibt die Schutzklassen, nennt aber keine Mindeststufe.

Warum „DSGVO konform" nichts aussagt

Der Begriff ist im Verkaufstext nicht geschützt, und keine Stelle vergibt dafür ein Prüfzeichen. In unseren drei Vergleichen tragen mehrere Geräte diese Zeile, und zwar Geräte verschiedener Stufen. Ein P-5-Gerät schreibt „DSGVO konform", ein P-4-Gerät schreibt „Schutz von Daten nach DSGVO", ein drittes wirbt mit demselben Wortlaut bei wieder anderer Ausstattung.

Alle drei Aussagen können zutreffen oder auch nicht — sie hängen nämlich nicht am Gerät, sondern an den Daten, die man hineinsteckt. Ein Aktenvernichter kann gar nicht „DSGVO konform" sein. Konform ist eine Verarbeitung, nicht eine Maschine.

Was am Gerät belastbar ist, ist die Sicherheitsstufe. Und die lässt sich aus der Schnittgröße nachrechnen, wie im Ratgeber zu den Sicherheitsstufen beschrieben.

Vom Schutzbedarf zur Stufe: der praktische Weg

Der gemeinsame Nenner aller Quellen ist nicht eine Zahl, sondern ein Vorgehen. In der Reihenfolge, in der die Behördenpapiere es beschreiben:

1. Die Unterlagen einordnen. Nicht das Gerät ist der Ausgangspunkt, sondern die Frage, welchen Schaden die Offenlegung anrichten würde. Der Bundesbeauftragte beschreibt die drei Schutzklassen genau darüber — bei Klasse 3 bis hin zur Gefahr für „Leib und Leben oder die persönliche Freiheit des Betroffenen".

2. Die Klasse in Stufen übersetzen. Hier ist die Kreuztabelle der Aufsichtsbehörde maßgeblich, nicht die im Handel verbreitete Aufteilung. Nach ihr deckt Schutzklasse 2 die Stufen 3 bis 5 ab und Schutzklasse 3 die Stufen 4 bis 7 — mit Überlappungen. Das ist wichtiger, als es klingt: Ein P-5-Gerät erfüllt danach bereits Schutzklasse 3.

3. Die Materialarten einzeln prüfen. Papier ist P, CDs sind O, Karten mit Magnetstreifen T, Chipkarten und Sticks E. Das BSI nennt für optische Datenträger ausdrücklich eine eigene Mindeststufe. Ein Gerät, das nur „P-4" angibt, hat zu CDs keine Aussage gemacht — auch wenn der Werbetext sagt, es zerkleinere sie.

4. Den Prozess mitdenken. Das Standard-Datenschutzmodell weist ausdrücklich darauf hin, dass die Rahmenbedingungen der Vernichtung mitwirken. Praktisch heißt das: Ein P-4-Gerät nützt wenig, wenn die zu vernichtenden Unterlagen vorher tagelang offen in einer Ablage liegen.

Was mit dem Schnittgut passiert

Zwei Punkte, die im Alltag mehr Ärger machen als die Stufenwahl.

Sortenreinheit. Geschreddertes Papier ist Altpapier, solange es Papier ist. Sobald Karten, Folien, CDs oder Klarsichthüllen mitgeschreddert wurden, ist das Gemisch kein Altpapier mehr und gehört in den Restmüll. Geräte mit separatem Auffangbehälter für Datenträger lösen das an der Quelle; in unseren Vergleichen haben zwei Geräte einen solchen Behälter.

Der Weg bis zur Tonne. Ein Sack voll P-4-Schnitzel im offenen Flur ist kein Sicherheitsgewinn gegenüber dem ungeschredderten Ordner im selben Flur. Das ist genau der Punkt, den das Standard-Datenschutzmodell mit den „sicherheitstechnischen Rahmenbedingungen des Vernichtungsprozesses" meint.

Wann ein Dienstleister die bessere Antwort ist

Für einzelne Maschinen gibt es keine unabhängige Prüfung der Sicherheitsstufe — der Hersteller erklärt sie, und dabei bleibt es. Für den Prozess gibt es sie sehr wohl.

Ein Zertifikat nach Teil 3 der Norm, ausgestellt etwa von einer Zertifizierungsstelle wie der DEKRA, weist einen geprüften Vernichtungsprozess aus: mit Gültigkeitszeitraum, mit Stufen für alle Materialarten und mit der ausstellenden Stelle. Der Bayerische Landesbeauftragte empfiehlt ausdrücklich, bei Dienstleistern „entsprechende Zertifikate zu den verwendeten Geräten und Prozessen" zu verlangen.

Sinnvoll wird das in drei Fällen: wenn einmalig große Mengen anfallen — ein Archiv, eine Auflösung, ein Umzug; wenn ein Nachweis gebraucht wird, den ein eigenes Gerät nicht erzeugt; oder wenn die nötige Stufe so hoch liegt, dass ein Bürogerät sie nicht erreicht.

Für den laufenden Betrieb mit ein paar Ordnern im Monat ist das eigene Gerät die naheliegende Lösung — vorausgesetzt, seine Stufe passt zu den Unterlagen. Welche Geräte welche Stufe halten, steht in unseren drei Vergleichen für Homeoffice, Büro und Autofeed.