ISO 27001:2022 · A.8.10 · A.8 Technologische Maßnahmen
Löschung von Informationen
In Informationssystemen, auf Geräten oder anderen Speichermedien gespeicherte Informationen müssen gelöscht werden, wenn sie nicht mehr benötigt werden.
ISO 27001DSGVOTISAXBSINIS2
Was fordert dieses Control?
In Informationssystemen, auf Geräten oder anderen Speichermedien gespeicherte Informationen müssen gelöscht werden, wenn sie nicht mehr benötigt werden.
Warum ist das wichtig?
Nicht mehr benötigte Daten sind ein unnötiges Risiko und können DSGVO-Pflichten verletzen. Geregelte Löschung minimiert Datenbestände und Haftung.
Bezug zu anderen Normen
| Norm | Stelle | Thema | Bezug |
|---|---|---|---|
| DSGVO | Art. 17 | Recht auf Löschung | Direkt |
| TISAX | 5.3.3 | Löschung | Direkt |
| BSI | CON.6 | Löschen und Vernichten | Direkt |
| NIS2 | § 30 Abs. 1 BSIG | Technische Maßnahmen | Direkt |
| NIS2 | § 30 Abs. 2 Nr. 1 BSIG | Risikoanalyse & Sicherheitskonzepte | Indirekt |
Was der Auditor erwartet
- Löschkonzept mit Fristen je Datenart
- Sichere Löschverfahren
- Berücksichtigung von Backups und Cloud-Diensten
Audit-Checkliste
Dokumente
LöschkonzeptLöschfristen und -verfahren je Datenkategorie
Nachweise
LöschnachweiseDurchgeführte Löschungen mit Beleg
Retention-Policy-KonfigurationEingerichtete Aufbewahrungs- und Löschregeln, z.B. in M365
Löschregelung mit DienstleisternVertragliche Löschzusagen inklusive Zeitraum nach Vertragsende
Technisch
LöschverfahrenSicheres Löschen, auch in Backups und Cloud
Praxis-Tipps zur Umsetzung
Löschfristen definierenJe Datenart festlegen, wann gelöscht wird, abgeleitet aus Recht und Zweck.
Backups mitdenkenLöschung auch in Sicherungen und Cloud-Diensten nachvollziehen.
Sicher löschenVerfahren wählen, die Daten tatsächlich unwiederbringlich entfernen.
Häufige Fehler
Daten gehortetAlles wird unbegrenzt aufbewahrt, entgegen DSGVO-Grundsätzen.
Backups vergessenDaten werden produktiv gelöscht, bleiben aber in Backups erhalten.
Häufig gestellte Fragen
Wie geht man mit Löschung in Backups um?
Über definierte Backup-Aufbewahrungszyklen, sodass gelöschte Daten nach Ablauf auch dort verschwinden.
Wie hängt das mit der DSGVO zusammen?
Es setzt die Speicherbegrenzung und das Recht auf Löschung technisch um.
Reicht das einfache Löschen?
Für sensible Daten und Datenträger ist sicheres, unwiederbringliches Löschen erforderlich (siehe A.7.14).
So hilft CompliantDesk bei A.8.10
Hinterlegen Sie Löschfristen und -konzepte, verknüpfen Sie sie mit dem VVT und dokumentieren Sie Löschnachweise revisionssicher.
Bereit für ein ISMS, das nicht bei Excel endet?
Demo buchenKostenlos · unverbindlich · persönliche Einrichtung · 30 Minuten