IT-Hardware ausmustern unter DORA: Was Banken und Versicherer je Gerät nachweisen müssen

Kurz gesagtDORA verlangt kein bestimmtes Löschverfahren, aber ein dokumentiertes. Art. 8 DORA fordert ein Inventar aller IKT-Assets, auch an externen Standorten. Art. 11 Abs. 2 der Delegierten Verordnung (EU) 2024/1774 verlangt je ein Verfahren zur sicheren Löschung von Daten und zur sicheren Entsorgung von Datenspeichern. Prüfer wollen je Gerät sehen, wer es freigab und wie es gelöscht wurde.

Seit dem 17. Januar 2025 gilt DORA unmittelbar für Banken, Versicherer, Zahlungsinstitute und viele weitere Finanzunternehmen. Die Verordnung spricht von IKT-Risiken und Resilienz, nicht von Notebooks im Keller. Trotzdem hängt die Ausmusterung alter Hardware an mehreren ihrer Artikel, und die technischen Regulierungsstandards werden konkret: Es braucht ein Verfahren für das Löschen von Daten und eines für das Entsorgen von Datenspeichern. Dieser Beitrag zeigt, welche Vorschriften den Abgang eines Geräts erfassen und welche Belege dabei entstehen müssen.

Für Finanzierungsleasing- und Factoringinstitute, die erst ab dem 1. Januar 2027 unter den vereinfachten Rahmen fallen, gibt es einen eigenen Beitrag: DORA für Leasing und Factoring ab 2027. Hier geht es um alle Häuser, für die der volle Rahmen gilt.

Wer betroffen ist

Art. 2 Abs. 1 DORA zählt die erfassten Unternehmen in den Buchstaben a bis u auf, darunter Kreditinstitute, Zahlungsinstitute, E-Geld-Institute, Wertpapierfirmen, Versicherungs- und Rückversicherungsunternehmen, Versicherungsvermittler, Einrichtungen der betrieblichen Altersversorgung und Verwaltungsgesellschaften. Nach Abs. 2 heißen die Unternehmen der Buchstaben a bis t zusammen Finanzunternehmen. Nach Art. 64 gilt die Verordnung seit dem 17. Januar 2025.

Drei Stellen in DORA, die den Abgang eines Geräts erfassen

DORA selbst nennt die Ausmusterung nicht. Drei Vorschriften greifen trotzdem:

Art. 8, Identifizierung. Nach Abs. 1 ermitteln, klassifizieren und dokumentieren Finanzunternehmen alle Informations- und IKT-Assets, die ihre Geschäftsfunktionen unterstützen, und prüfen mindestens jährlich, ob die Klassifizierung noch stimmt. Abs. 4 verlangt, alle Informations- und IKT-Assets zu ermitteln, ausdrücklich einschließlich derer an externen Standorten und einschließlich Hardware. Abs. 6 verlangt dafür Inventare, die regelmäßig und bei jeder wesentlichen Änderung aktualisiert werden. Ein Gerät, das ausgemustert wird, muss aus diesem Inventar mit Beleg abgehen, sonst stimmt das Inventar nicht mehr.

Art. 8 Abs. 7, Altsysteme. Finanzunternehmen, die keine Kleinstunternehmen sind, bewerten das IKT-Risiko aller IKT-Altsysteme mindestens jährlich. Geräte ohne Herstellerunterstützung brauchen also einen Plan, und der endet mit einem dokumentierten Abgang.

Art. 9 Abs. 4 Buchstabe a, Leitlinie zur Informationssicherheit. Sie legt Regeln zum Schutz der Verfügbarkeit, Authentizität, Integrität und Vertraulichkeit von Daten und IKT-Assets fest. Daten auf einem Notebook, das das Haus verlässt, sind davon nicht ausgenommen.

Was die Delegierte Verordnung (EU) 2024/1774 verlangt

Die Einzelheiten stehen in den technischen Regulierungsstandards. Vier Artikel betreffen den Weg eines Geräts bis zum Abgang:

Dazu kommen zwei Nebenregeln aus Art. 11 Abs. 2: Nach Buchstabe e dürfen nur zugelassene Datenträger, Systeme und Endgeräte für die Speicherung von Daten des Unternehmens verwendet werden. Nach Buchstabe f braucht es für tragbare Endgeräte eine Lösung, mit der sich Daten des Unternehmens per Fernzugriff löschen lassen. Beides hilft bei der Ausmusterung: Was nie zugelassen war, taucht im Register gar nicht auf, und ein Fernlöschbefehl ist ein erster, aber kein ausreichender Schritt.

Für Häuser im vereinfachten Rahmen nach Art. 16 DORA stehen dieselben zwei Verfahren fast wortgleich in Art. 35 Buchstabe e und f derselben Verordnung. Die Entsorgung ist also in beiden Rahmen Pflicht.

Was „Verfahren“ bedeutet

Ein Verfahren ist mehr als ein Entsorgungsauftrag. Es ist ein beschriebener, wiederholbarer Ablauf mit Zuständigkeiten, Methoden und Belegen. Genau daran misst eine Prüfung die Praxis. In der Regel läuft das auf eine Stichprobe hinaus: Aus dem Register wird ein abgegangenes Notebook gezogen, und das Haus soll belegen, was mit genau diesem Gerät passiert ist.

Vier Fragen muss das Haus dann beantworten können:

1. Wer hat die Ausmusterung freigegeben, und wann?
2. Wann hat das Gerät das Haus verlassen, und wer hatte es bis zur Löschung in der Hand?
3. Welche Methode wurde angewandt, und nach welchem Standard?
4. Wo ist der Nachweis mit der passenden Seriennummer?

Eine Sammelbescheinigung über eine Tonne Elektronikschrott beantwortet keine davon. Sie belegt eine Menge, kein Gerät. Ein Löschprotokoll je Gerät mit Seriennummer, Methode, Datum und Ergebnis beantwortet die dritte und vierte Frage. Ein Übergabeschein mit Seriennummernliste beantwortet die zweite. Die erste gehört in Ihr eigenes Register.

Welches Löschverfahren das Haus wählen soll

Art. 11 schreibt kein Verfahren vor. Ihr Löschkonzept muss den Standard deshalb selbst nennen und regeln, was mit Datenträgern geschieht, die sich nicht löschen lassen. Bewährt hat sich die Trennung nach Speichertyp: Für SSDs und Flash-Speicher gehören die im Laufwerk angelegten Löschbefehle oder das kryptografische Löschen zum Stand der Technik, mehrfaches Überschreiben ist dort nicht verlässlich. Defekte oder nicht löschbare Datenträger werden physisch vernichtet, mit Vernichtungsnachweis. Welche Standards dafür infrage kommen, steht unter NIST SP 800-88 und auf der Seite sichere Datenlöschung.

Der Dienstleister nimmt Ihnen die Pflicht nicht ab

Nach Art. 28 Abs. 1 Buchstabe a DORA bleiben Finanzunternehmen, die vertragliche Vereinbarungen über IKT-Dienstleistungen getroffen haben, jederzeit in vollem Umfang für die Einhaltung aller Pflichten verantwortlich. Ob ein Ankäufer alter Hardware als IKT-Drittdienstleister einzustufen ist, hängt von der konkreten Leistung ab und sollte mit Compliance und Informationssicherheit geklärt und schriftlich festgehalten werden. Unabhängig davon bleibt das Verfahren nach Art. 11 Ihres. Der Dienstleister muss so arbeiten, dass Sie es belegen können.

Daraus folgen klare Anforderungen an den Vertrag: Sind personenbezogene Daten auf den Geräten, braucht es einen Auftragsverarbeitungsvertrag. Die Nachweise müssen je Gerät vorliegen, die Methode nennen und zu den Seriennummern in Ihrem Register passen. Und Sie brauchen ein Prüf- und Einsichtsrecht, das Sie auch wahrnehmen können.

Sie dürfen Geräte mit Daten übergeben. Dann gelten Vertrag zur Auftragsverarbeitung, gesicherte Abholung mit Übergabeschein und Löschung beim Dienstleister mit Protokoll, bevor ein Gerät weitergeht. Löschung vor Ort ist eine Option für besonders sensible Bestände, keine Pflicht.

Ein prüffähiger Ablauf in fünf Schritten

Jeder Schritt erzeugt einen Beleg, und jeder Beleg baut auf dem vorherigen auf:

1. Inventar abgleichen. Die auszumusternden Geräte werden im Register markiert, mit Seriennummer, Standort und Klassifizierung. Grundlage ist Art. 4 Abs. 2 Buchstabe b der RTS.
2. Freigabe dokumentieren. Eine benannte Person gibt die Ausmusterung frei und legt fest, welche Geräte gelöscht und welche Datenträger vernichtet werden.
3. Gesichert übergeben. Die Geräte gehen mit Übergabeschein und Seriennummernliste an den Dienstleister. Das ist der erste Abschnitt der Nachweiskette.
4. Löschen und nachweisen. Löschung nach dem Standard aus Ihrem Löschkonzept, Vernichtung für nicht löschbare Datenträger, jeweils mit Nachweis je Seriennummer.
5. Zurückbuchen. Die Nachweise werden dem Register zugeordnet, das Asset wird geschlossen, der Erlös gebucht.

Der fünfte Schritt wird am häufigsten vergessen. Erst wenn der Nachweis im Register liegt, kann das Haus bei einer Stichprobe in Minuten antworten statt in Tagen. Welche Unterlagen am Ende vorliegen sollten, zeigt der Beitrag Belege für die Prüfung.

Nachweis und Erlös schließen sich nicht aus

Eine pauschale Vernichtung erfüllt das Verfahren nach Art. 11 nicht besser als eine dokumentierte Löschung. Sie erzeugt nur weniger Belege je Gerät. Gleichzeitig vernichtet sie Werte: Bankflotten mit einheitlichen Business-Modellen und planbaren Austauschzyklen sind für den Zweitmarkt gut verwertbar. Wer Daten nachweislich löscht statt Geräte pauschal zu schreddern, erhält diesen Wert. Physisch vernichtet werden nur Datenträger, die sich nicht nachweislich löschen lassen oder deren Schutzbedarf das verlangt. Die Reihenfolge bleibt trotzdem fest: erst der Nachweis, dann der Erlös.

Was Sie jetzt tun sollten

1. Register prüfen. Enthält Ihr Inventar nach Art. 4 Abs. 2 Buchstabe b der RTS je Gerät Kennung, Standort, Klassifizierung und Eigentümer, auch für Geräte im Außenlager?
2. Beide Verfahren aufschreiben. Löschen (Buchstabe g) und Entsorgen (Buchstabe h) getrennt: Standard, Zuständigkeit, Umgang mit defekten Datenträgern, Form des Nachweises, Prüfung der Aufbewahrungsfristen. Die Checkliste zur IT-Ausmusterung hilft beim Gliedern.
3. Stichprobe selbst ziehen. Nehmen Sie ein Gerät aus dem letzten Abgang und beantworten Sie die vier Prüferfragen. Wo eine Antwort fehlt, fehlt ein Beleg.
4. Dienstleister vertraglich binden. Auftragsverarbeitungsvertrag, Löschstandard, Nachweis je Seriennummer, Einsichtsrecht. Fordern Sie vorher ein Muster des Löschprotokolls an; unsere Muster zeigen, wie eines aussieht.
5. Altbestände abbauen. Geräte, die schon im Lager liegen, sollten nach dem neuen Verfahren gelöscht und belegt werden, bevor die nächste Prüfung kommt.

Wir kaufen ausgemusterte IT an, vom einzelnen Gerät bis zum ganzen Lager. Vor jeder Abholung von Geräten mit Daten schließen wir einen Auftragsverarbeitungsvertrag. Gelöscht wird in Deutschland mit Securaze nach NIST SP 800-88 Purge, mit Löschprotokoll je Gerät und Seriennummer. Nicht löschbare Datenträger werden bei zertifizierten deutschen Recycling-Partnern physisch vernichtet, mit Zertifikat. Mehr zu den Anforderungen im Finanzsektor steht unter Banken und Versicherungen. Ihre Liste nehmen wir über das Anfrageformular entgegen; Sie bekommen noch am selben Werktag eine Antwort.

Dieser Beitrag ersetzt keine Rechtsberatung.

Keine Rechtsberatung. Stand der Angaben: 6. November 2026.