DIN 66399 in der Daten- und Aktenvernichtung

Die DIN 66399-1, der erste Teil der DIN 66399, definiert die Begrifflichkeiten und beschreibt die Grundlagen der Norm.

1. Grundlagen

Die DIN 66399 ist für Personen von Bedeutung, die mit vertraulichen, personenbezogenen Daten arbeiten. Diese Personen sind dazu verpflichtet, eine datenschutzkonforme, sichere Daten- und Aktenvernichtung nach DIN 66399 sicherzustellen.
Das bedeutet: Es darf keine Möglichkeit bestehen, aus den vernichteten Daten (ohne größeren Aufwand) noch Informationen zu ziehen oder sie wiederherzustellen.
Die notwendigen Maßnahmen zur Aktenvernichtung nach DIN 66399 sind davon abhängig, wie sensibel und schutzbedürftig die Daten sind und welche physikalischen Eigenschaften das Speichermedium aufweist.

2. Die wichtigsten Begriffe

• Personenbezogene Daten: Informationen über eine natürliche Person.
• Daten: Informationen, die durch Menschen oder Maschinen ausgewertet werden können
• Informationen: Fakten mit einer Aussagekraft
• Datenverarbeitung im Auftrag: Das Erheben, Verarbeiten, Speichern, Nutzen und Löschen von Daten durch dritte Personen (Dienstleister), die damit beauftragt wurden
• Datenträgervernichtung: Alle Prozesse, welche den Datenträger in einer Weise zerstören, die eine Datenwiederherstellung unmöglich oder nur noch unter besonderem Aufwand möglich macht
• Sicherheitsstufe: Schwierigkeitsgrad, der notwendig wäre, um die Daten nach gesetzeskonformer Vernichtung wiederherzustellen
• Schutzbedarf: Ausmaß, in dem die Daten geschützt werden müssen; der Schutzbedarf kann normal, hoch oder sehr hoch sein
• Schutzklasse: Clustering, das den Schutzbedarf von Informationen betrifft
• Verantwortliche Stelle: Die Person oder Firma, die mit sensiblen Daten arbeitet

3. Festlegung des Schutzbedarfs und der Schutzklasse

Die verantwortliche Stelle ordnet die Daten nach ihrem Schutzbedarf einer entsprechenden Schutzklasse und Sicherheitsstufe zu. Je nach Einstufung unterscheiden sich die laut DIN 66399 vorgeschriebenen Abläufe bei der Daten- und Aktenvernichtung.

4. Die Schutzklassen

• Schutzklasse 1: Durchschnittlicher Schutzbedarf interner Daten
  
  Informationen mit einer großen Zielgruppe
  Eine Verletzung des Datenschutzes hätte begrenzte negative Folgen für das Unternehmen.
  Eine Verletzung des Datenschutzes hätte möglicherweise zur Folge, dass Betroffene in ihren wirtschaftlichen Verhältnissen oder in ihrer gesellschaftlichen Stellung Nachteile erfahren.
   
• Schutzklasse 2: Hoher Schutzbedarf vertraulicher Daten
  
  Informationen mit einer vorab festgelegten kleinen Zielgruppe.
  Eine Verletzung des Datenschutzes hätte massive Auswirkungen auf das Unternehmen, gegebenenfalls einen Verstoß gegen Vertragspflichten oder gegen Gesetze zur Folge.
  Eine Verletzung des Datenschutzes hätte möglicherweise zur Folge, dass Betroffene in ihren wirtschaftlichen Verhältnissen oder in ihrer gesellschaftlichen Stellung erhebliche Nachteile erfahren.
   
• Schutzklasse 3: Sehr hoher Schutzbedarf streng geheimer Daten
  
  Informationen mit einer vorab festgelegten sehr kleinen, namentlich festgelegten Personengruppe.
  Eine Verletzung des Datenschutzes hätte für Betroffene existenzbedrohende Auswirkungen, möglicherweise sogar eine Gefahr für Leib und Leben sowie einen Verstoß gegen Gesetze, Verträge oder Berufsgeheimnisse zur Folge.

5. Sicherheitsstufen

6. Kombination von Sicherheitsstufen und Schutzklassen

Die folgende Tabelle dient Ihnen als Orientierungshilfe, welche Kombinationen aus Sicherheitsstufen und Schutzklassen der DIN-Ausschuss für Ihre Daten empfiehlt. Unter anderem wird ersichtlich, dass beispielsweise eine sehr niedrige Schutzklasse kombiniert mit einer sehr hohen Sicherheitsstufe wenig sinnvoll ist.
Für die korrekte Einstufung ist immer die verantwortliche Stelle zuständig.

7. Zuordnung zu den Sicherheitsstufen und Schutzklassen

Die Tabelle kann als Richtlinie für die Zuordnung herangezogen werden, letztendlich ist jedoch immer der Einzelfall entscheidend und bedarf einer individuellen Risikoanalyse.
Fällt für Ihre Daten- und Aktenvernichtung Material verschiedener Schutzklassen an, dürfen Sie die Trennung an der Abfallstelle vornehmen. Sollte dies nicht möglich sein, gelten Ihre Datenträger mit der höchsten Sicherheitsstufe und Schutzklasse als maßgeblich für das gesamte Gemisch.

8. Sicherheitsstufenerhöhung

Wenn Sie Ihre Daten- und Aktenvernichtung in einer Großanlage vornehmen lassen, ist gemäß DIN 66399 bei Papier eine höhere Sicherheitsstufe vorliegend, als es gemäß der Partikelgröße der Fall wäre: Da große Mengen verschiedener Daten miteinander vermischt und verpresst werden, ist die Wiederherstellung erheblich schwieriger als in einer Kleinanlage bei gleicher Partikelgröße.
Die MAMMUT Deutschland betreibt entsprechende Großanlagen.
Die Hochstufung kann um maximal eine Sicherheitsstufe und bis zur Sicherheitsstufe 4 erfolgen.

Der zweite Teil der DIN 66399 (DIN 66399-2) legt die Anforderungen an die Maschinen zur Daten- und Aktenvernichtung fest. 

1. Berücksichtigung verschiedener Materialien

Die DIN 66399 differenziert erstmalig zwischen den verschiedenen Materialarten:

Da sich die Speicherdichten je nach Material unterscheiden, gelten zum Erreichen des notwendigen Sicherheitslevels verschiedene Mindestpartikelgrößen.
Ohne eine Trennung nach Materialarten gilt die kleinste erforderliche Partikelgröße für das gesamte Gemisch. 

2. Die sieben Sicherheitsstufen, auch für Ihre Aktenvernichtung

Material zur Daten- und Aktenvernichtung kann in sieben verschiedene Sicherheitsstufen eingeteilt werden, die unterschiedliche Mindestpartikelgrößen vorschreiben.
Größere Partikel sind nur dann akzeptabel, wenn sie maximal 10 Prozent der Gesamtmasse ausmachen und eine definierte Maximalgröße nicht überschreiten (siehe Tabelle).

Obwohl der dritte Teil der DIN 66399 (DIN 66399-3) noch als “Vor-Norm” (SPEC) gilt, wird er im gewerblichen Umfeld häufig bereits als Norm herangezogen.

1. Prozessabschnitte

Die Daten- und Aktenvernichtung umfasst verschiedene Prozessabschnitte, die bestimmte Sicherheitsanforderungen erfüllen müssen. Diese muss die verantwortliche Stelle überwachen; auch, wenn die Vernichtung durch einen Dienstleister erfolgt.
Nach Erreichen der vereinbarten Sicherheitsstufe gelten die Daten als gelöscht.
In der Regel erfolgt eine Arbeitsteilung zwischen dem externen Dienstleister und der verantwortlichen Stelle. Die Aufgabenabgrenzung sowie die organisatorischen und technischen Maßnahmen müssen genau geplant und vertraglich festgelegt werden.

2. Prozessvarianten

Generell gibt es drei verschiedene Prozessvarianten zur Daten- und Aktenvernichtung nach DIN 66399:

• Variante 1: Die verantwortliche Stelle vernichtet ihre Daten selbstständig.
   
• Variante 2: Ein Dienstleister vernichtet die Daten bei der verantwortlichen Stelle vor Ort.
   
• Variante 3: Die Datenträgervernichtung erfolgt extern durch einen Dienstleister.

3. Festlegung der Risikostruktur

Ehe Sie eine Prozessvariante umsetzen, müssen Sie überprüfen, ob die organisatorischen und technischen Anforderungen tatsächlich erfüllt werden.
Um die Sicherheitsstufe und Schutzklasse zu definieren, müssen Sie sich folgende Fragen stellen:

• Welche Informationen gehören in welche Schutzklassen?
   
• Welche Sicherheitsstufe ist angebracht?
   
• Welche der drei möglichen Varianten ist in Ihrem Fall am besten geeignet?
   
• Welche organisatorischen und technischen Maßnahmen müssen für den Gesamtprozess definiert werden?

4. Prozesskriterien

Der dritte Teil der DIN 66399 zeigt Ihnen die Kriterien für die möglichen Varianten der Datenträgervernichtung auf. Gemäß diesen Kriterien sind unterschiedliche Schutzklassen erforderlich. Die nachfolgende Tabelle beinhaltet die Kriterien der Variante 3.