Der Standard für sichere Bereinigung und Entsorgung (SS-036) wurde 2022 veröffentlicht und zuletzt am 26. Juni 2025 aktualisiert. Er beschreibt die technischen Mindestmaßnahmen, die für die Bereinigung und/oder Entsorgung von Medien oder IT-Assets, die innerhalb der Organisation verwendet werden oder zur Verarbeitung der Daten der Organisation dienen, vorgeschrieben sind. Der Standard SS-036 soll die Einheitlichkeit zwischen dem britischen Ministerium für Arbeit und Renten (DWP) und vertraglich gebundenen Drittanbietern bei der Umsetzung und Verwaltung von Sicherheitskontrollen fördern. Der Zweck des Standards für die sichere Löschung und Vernichtung besteht darin, zu verhindern, dass die auf IT-Assets gespeicherten Daten der Organisation kompromittiert werden, wenn die IT-Assets die Organisation oder die übliche Arbeitsumgebung verlassen, um wiederverwendet, repariert, vernichtet oder entsorgt zu werden. Außerdem soll er die Risiken minimieren, die durch häufige Bedrohungen im Zusammenhang mit der Offenlegung von Medien oder IT-Assets außerhalb der Organisationsumgebung entstehen.
Geltungsbereich von SS 036
Der Standard für die sichere Löschung und Vernichtung gilt für alle physischen und virtuellen Medien und IT-Ressourcen, einschließlich Driveen, mobilen Geräten, Speichersystemen, Netzwerkinfrastruktur und virtuellen Maschinen (siehe Anhang B für die vollständige Liste), auf denen DWP-Daten ( ) gespeichert oder verarbeitet werden, unabhängig davon, ob diese vor Ort oder bei Drittanbietern gespeichert sind. Diese Anwendungen und Dienste verarbeiten die Daten des Unternehmens, einschließlich der Sicherungsdaten.
SS 036 wird für technische Ingenieure, Sicherheitsteams und -architekten, Domänen- und Lösungsarchitekten, Projektteams, Betriebsteams und Lieferanten empfohlen, die an der Konzeption, Entwicklung, dem Betrieb und der Implementierung von Systemen, Diensten und Anwendungen beteiligt sind, die die Daten des Unternehmens speichern.
Bei der Bereinigung von IT-Ressourcen, die große Mengen an Unternehmensdaten speichern, müssen sowohl die Sensibilität als auch die Datenmenge sorgfältig bewertet werden, bevor die geeigneten Bereinigungsschritte festgelegt werden.
Mindestanforderungen an technische Sicherheitsmaßnahmen gemäß SS-036
Abschnitt 11 des Standards für sichere Entsorgung und Vernichtung beschreibt die obligatorischen technischen Sicherheitsmaßnahmen, die mindestens umgesetzt werden sollten, um die gewünschten Ergebnisse zu erzielen. Es ist zu beachten, dass es sich hierbei um technische Mindestmaßnahmen handelt und dass Sicherheitsmaßnahmen bei Bedarf übertroffen und verbessert werden sollten, um Bedrohungen und Risiken zu begegnen.
Unterabschnitt 1.1 enthält Informationen zu allgemeinen Überlegungen zur Bereinigung und Vernichtung, die für alle Nicht-Cloud-Umgebungen gelten, wie z. B. lokale Einrichtungen, physische Vermögenswerte und Speichermedien.
- Referenz 11.1.1 – Um zu bestimmen, ob es angemessen ist, ein Gerät für die Wiederverwendung zu reinigen oder zu vernichten, sollten die folgenden Kriterien berücksichtigt werden: erwartete Lebensdauer, Reparaturfähigkeit, Anzeichen für Geräteausfall/Beschädigung, Anzeichen für Manipulation, technologische Eignung, technologische Aktualität, Restwert des Geräts.
- Referenz 11.1.2 – Vor der Wiederverwendung müssen alle Speichermedien und IT-Assets vor Ort oder an einem sicheren externen Standort gereinigt werden.
- Referenz 11.1.3 – Die Bereinigung muss durchgeführt werden, sobald Geräte, die nicht mehr verwendet werden, identifiziert wurden. Bis die Geräte oder Speichermedien ordnungsgemäß bereinigt wurden, müssen sie in einer von der Organisation genehmigten kontrollierten Umgebung verbleiben.
- Referenz 11.1.4 – Soweit möglich und zutreffend muss die Bereinigung in Übereinstimmung mit dem Assured Sanitisation Assurance Service (CAS-S) des National Cyber Security Centre (NCSC) durchgeführt werden.
- Referenz 11.1.5 – Der Risikobeauftragte sollte die Freigabe aller Geräte offiziell genehmigen, da je nach Speichertechnologie Restdaten auf dem Gerät restlich verbleiben können.
- Referenz 11.1.6 – Wenn eine Wiederverwendung von Speichermedien oder -geräten nicht möglich ist, müssen diese entweder außerhalb des Standorts vernichtet oder vor der Verbringung an einen externen Standort zur Vernichtung vor Ort bereinigt werden.
- Referenz 11.1.7 – Sowohl für die Vernichtung vor Ort als auch außerhalb des Standorts muss ein vom NCSC CAS-S Scheme zugelassener Drittanbieter beauftragt werden.
- Referenz 11.1.8 – Der Risikoverantwortliche muss alle Vernichtungen außerhalb des Standorts durch Risikoakzeptanz genehmigen, wobei Faktoren wie Datenempfindlichkeit, Datenaggregation und -zuordnung zu berücksichtigen sind.
- Referenz 11.1.9 – Über die Bereinigung oder Vernichtung muss ein Protokoll geführt werden. Das Protokoll muss Datum, Uhrzeit, Medientyp (Seriennummer usw.), Methode und Überprüfungsergebnisse in einer Inventarliste enthalten. BitRaser Drive Eraser erstellt automatisch Löschberichte und Vernichtungszertifikate, die alle Details gemäß SS036 enthalten.
- Referenz 11.1.10 – Speichermedien oder -geräte, die nicht bereinigt werden können, müssen dem in Abschnitt 11.3 beschriebenen genehmigten Vernichtungsprozess unterzogen werden.
- Referenz 11.1.11 – Die Einträge in der CMDB-Datenbank müssen aktualisiert werden, um den Status der Bereinigung oder Vernichtung widerzuspiegeln.
- Referenz 11.1.12 – Aufzeichnungen über die Bereinigung und Vernichtung müssen zusätzlich zu den entsprechenden Zertifikaten gemäß den Richtlinien der Organisation aufbewahrt werden.
- Referenz 11.1.13 – Geräte müssen vor der Bereinigung oder Vernichtung nach Möglichkeit auf die Werkseinstellungen zurückgesetzt werden.
- Referenz 11.1.14 – NIST SP 800-88 muss verwendet werden, und, sofern möglich, muss Cryptographic Erase (CE) angewendet werden, um virtuelle „ “ zu bereinigen.
- Referenz 11.1.15 – Wenn gespeicherte Daten verschlüsselt wurden, müssen kryptografische Schlüssel gemäß SS-002 PKI und dem Key Management Security Standard verwaltet und geschützt werden.
- Referenz 11.1.16 – Für das Personal, das an den Bereinigungs- und Vernichtungsmaßnahmen beteiligt ist, müssen regelmäßig Schulungen und Sensibilisierungsmaßnahmen durchgeführt werden, unabhängig davon, ob es sich um interne Mitarbeiter oder externe Lieferanten handelt.
In Abschnitt 1.2 werden die technischen Mindestmaßnahmen für die Sicherheit bei der Bereinigung von Speichermedien und -geräten erläutert.
- Referenz 11.2.1 – Identifizieren Sie den Medien-/Gerätetyp und entscheiden Sie, ob eine Bereinigung oder Vernichtung erforderlich ist.
- Referenz 11.2.2 – Aktualisieren Sie den Eintrag im Bestandsanmelden oder in der Datenbank (CMDB) oder erstellen Sie einen neuen Eintrag.
- Referenz 11.2.3 – Geben Sie an, ob die Bereinigung durch interne Mitarbeiter, den Hersteller oder einen externen ITAD-Anbieter durchgeführt wurde.
- Referenz 11.2.4 – Verwenden Sie Reinigungssoftware entsprechend der Klassifizierung der Daten.
- Referenz 11.2.5 – Nach der Verarbeitung müssen Speichermedien oder -geräte für die Rücksendung in den Wiederverwendungszyklus zurückgeführt werden.
- Referenz 11.2.6 – Überprüfen Sie die Wirksamkeit der Bereinigung; bewahren Sie Zertifikate gemäß den Richtlinien auf.
- Referenz 11.2.7 – Die folgenden Reinigungsmethoden sind zu befolgen. Für nicht aufgeführte Geräte oder Medientypen muss die Organisation den Rat des DWP oder der Behörde einholen.
- Netzwerkgeräte und Büroausstattung: Führen Sie einen Werksreset durch, um den Router oder Switch auf die Standardeinstellungen des Herstellers zurückzusetzen. Gleiches gilt für Drucker und Faxgeräte.
Hinweis: Weitere Informationen zum Reinigungsverfahren erhalten Sie vom Hersteller.
- Mobile Geräte: Führen Sie eine Werksrücksetzung durch, um das mobile Gerät, einschließlich iPhones, Google Android OS-Geräte, Windows-Telefone, PDAs und Tablets, auf die Werkseinstellungen des Herstellers zurückzusetzen. Löschen Sie das mobile Gerät mit „Alle Inhalte löschen“ oder „Vollständige Rücksetzung“ und verwenden Sie, wo immer möglich, die MDM-Funktion. Berücksichtigen Sie alle auf dem Gerät installierten erweiterbaren Speichermedien.
Hinweis: Wenn Wechseldatenträger vorhanden sind, können Reinigungsverfahren auf das Speichergerät angewendet werden.
- Magnetische Medien: Überschreiben Sie die Daten auf dem Band mit einem zugelassenen Muster unter Verwendung eines Systems mit ähnlichen Funktionen wie das ursprüngliche System. Das gesamte Magnetband muss einmal mit nicht sensiblen Daten überschrieben werden.
Informationen zur Bereinigung von ATA- und SCSI-Festplatten finden Sie in den NIST SP 800-88-Richtlinien zur Medienbereinigung.
- Cloud-Speicher: Verwenden Sie Cryptographic Erase (CE) oder eine andere zugelassene Methode, um Cloud-Daten, einschließlich kryptografischer Schlüssel und Backups, sicher zu löschen oder unzugänglich zu machen. Wenn die automatische Löschung fehlschlägt, muss eine manuelle Löschung durchgeführt werden. Bei gelöschten Daten auf aktiven Geräten müssen die Systembesitzer sicherstellen, dass die Cloud-Anbieter die Anforderungen der Organisation an die Datenbereinigung erfüllen. Am Ende ihrer Nutzungsdauer müssen Cloud-Geräte/Medien gemäß einem zugelassenen Standard wie NIST SP 800-88 sicher außer Betrieb genommen werden.
- Peripher angeschlossene Speicher, Flash-Speichergeräte: Informationen zum Löschen extern angeschlossener Festplatten, einschließlich USB- und Firewire-Festplatten, finden Sie in den NIST SP 800-88-Richtlinien für die Medienbereinigung. Befolgen Sie auch die NIST-Richtlinien für Flash-Speichergeräte.
- Optische Medien: Für CDs, DVDs und BDs gibt es keine Reinigungsmethode. Sie müssen vernichtet werden.
Hinweis: Dies gilt nur für interne Speichermedien/Geräte. Medien/Geräte außerhalb der Organisation sollten vernichtet werden.
- USB-Wechseldatenträger und Speicherkarten: Überschreiben Sie das Medium/Gerät mindestens zweimal, einmal mit einem Muster und dann mit dessen Komplement.
- Eingebetteter Flash-Speicher auf Leiterplatten und Geräten: Führen Sie einen Werksreset durch, um die Werkseinstellungen wiederherzustellen, sofern dies unterstützt wird; andernfalls vernichten Sie das Gerät.
Hinweis: Das Zurücksetzen auf die Werkseinstellungen garantiert keine vollständige Löschung der Daten; es können Restdaten zurückbleiben. Wenn das Gerät wiederverwendet oder weiterverkauft werden soll, muss die Zustimmung des Risikomanagers der Organisation eingeholt werden.
- RAM, ROM und dynamischer Direktzugriffsspeicher (DRAM): Schalten Sie das Gerät aus, trennen Sie es von der Stromquelle und entfernen Sie den Akku, wenn es batteriebetrieben ist. ODER Entfernen Sie den DRAM aus dem Gerät. Er muss 24 Stunden lang aus dem Gerät entfernt restlich bleiben.
- EAPROM und EEPROM: Keine der in den Standards der Organisation vorgesehenen Reinigungsmethoden ist für diese Speichertypen wirksam; daher sollten sie zerstört werden.
- Internet-of-Things-Geräte (IoT-Geräte): Diese Geräte müssen vor der Entsorgung gereinigt oder zerstört werden. Es ist davon auszugehen, dass das IoT-Gerät Daten enthält. Es ist sicherzustellen, dass die Geräte auf die Werkseinstellungen zurückgesetzt werden und die Daten nicht wiederherstellbar sind.
In Unterabschnitt 1.3 werden die Sicherheitsmaßnahmen erläutert, die bei der Vernichtung von Speichermedien und -geräten zu beachten sind.
- Referenz 11.3.1 – Der Medientyp/Gerätetyp muss identifiziert und eine Entscheidung getroffen werden, ob:das Medium/Gerät vor der Vernichtung gereinigt werden sollte.
- Die Vernichtung der Medien/Geräte sollte unverzüglich erfolgen.
- Medien oder Geräte, die nicht effektiv gereinigt werden können, sollten physisch zerstört werden. Sie sollten auf eine Partikelgröße von maximal 6 mm zerkleinert werden, was nach der Vernichtung überprüft werden sollte. Das Vernichtungszertifikat muss Angaben zur erreichten Partikelgröße enthalten.
- Referenz 11.3.2 – Es muss entweder ein neuer Datensatz angelegt oder der Status der Vernichtungsmaßnahme im Anlageninventar oder in der CMDB aktualisiert werden.
- Referenz 11.3.3 – Der Datensatz muss Angaben darüber enthalten, ob die Vernichtung durch interne Mitarbeiter, den Hersteller oder einen externen Dienstleister wie z. B. einen ITAD durchgeführt wurde.
- Referenz 11.3.4 – Es muss eine geeignete Vernichtungsmethode festgelegt und entsprechend der Sicherheitsklassifizierung der Daten angewendet werden.
- Referenz 11.3.5 – Aufzeichnungen über die Vernichtung durch Bereinigung müssen zusätzlich zu den entsprechenden Zertifikaten gemäß den Anforderungen der Informationsmanagementrichtlinie der Organisation aufbewahrt werden.
- Referenz 11.3.6 – Das Anlageninventar oder die CMDB muss aktualisiert werden, um den Status der Medien oder Geräte widerzuspiegeln.
- Referenz 11.3.7 – Die folgenden Methoden stellen die Mindestanforderungen für die Vernichtung dar:
Hinweis: Zur Vernichtung der Medien oder Geräte der Organisation darf nur die NCSC (CAS-S)-Methode verwendet werden. Für Geräte oder Medien, die nicht unten aufgeführt sind, muss die Organisation Rat einholen.
- Netzwerkgeräte: Router, Switches usw. müssen durch Verbrennen in einer Verbrennungsanlage geschreddert, zerlegt, verbrannt oder pulverisiert werden.
- Mobile Geräte: Zerkleinern, zerlegen, verbrennen oder pulverisieren Sie Smartphones, einschließlich iPhones, Google Android OS-Geräte, Windows-Telefone, PDAs und Tablets, indem Sie sie in einer Verbrennungsanlage verbrennen.
- Bürogeräte: Zerkleinern, zerlegen, verbrennen oder pulverisieren Sie Drucker, Faxgeräte und Multifunktionsgeräte, indem Sie sie in einer Verbrennungsanlage verbrennen.
- Magnetische Datenträger: Zerkleinern Sie Magnetbänder in Rollen- und Kassettenform oder verbrennen Sie sie in einer zugelassenen Verbrennungsanlage. Zerkleinern, zerlegen, verbrennen oder pulverisieren Sie ATA-FestplattenDrivee (HDDs)1und SCSI-FestplattenDrivee (HDDs)(2), indem Sie sie in einer Verbrennungsanlage verbrennen.
1 umfasst PATA, SATA, eSATA usw.
2 Einschließlich Parallel SCSI, Serial Attached SCSI (SAS), Fibre Channel, USB Attached Storage (UAS) und SCSI Express
-
- Peripheral Attached Storage: Zerkleinern, zerlegen, verbrennen oder pulverisieren Sie extern angeschlossene Festplatten, einschließlich USB, Firewire usw., indem Sie sie in einer Verbrennungsanlage verbrennen.
- Optische Medien: Vernichten Sie CDs, DVDs und BDs in der folgenden Reihenfolge:
-
-
- Verwenden Sie einen handelsüblichen Optikplatten-Shredder, um Daten von CDs zu entfernen.
- Verwenden Sie optische Disc-Shredder oder -Zerkleinerer, um optische Disc-Medien in Partikel mit einer Größe von 0,5 mm und einer Oberfläche von 0,25 mm² oder weniger zu zerkleinern.
-
- Flash-Speichergeräte (einschließlich IoT-Geräte): Zerkleinern, pulverisieren oder verbrennen Sie die folgenden Geräte in einer Verbrennungsanlage.
In Unterabschnitt 1.4 werden die Sicherheitsanforderungen für Medien oder Geräte vor ihrer Bereinigung oder Vernichtung näher erläutert.
- Referenz 11.4.1 – Speichermedien oder -geräte müssen gemäß der Sicherheitsklassifizierung der gespeicherten Daten, der Sicherheitsklassifizierungsrichtlinie der Organisation und der physischen Sicherheitsrichtlinie sicher aufbewahrt werden.
- Referenz 11.4.2 – Wenn ein Transport an einen externen Standort erforderlich ist, sollten detaillierte Aufzeichnungen über Speichermedien, Hersteller, Seriennummern usw. geführt werden.
- Referenz 11.4.3 – Die Organisation muss alle beauftragten Dritten genehmigen.
- Referenz 11.4.4 – Bei der Verlagerung von Speichermedien oder -geräten muss die Genehmigung der Organisation eingeholt werden. Dies sollte ebenfalls dokumentiert werden.
- Referenz 11.4.5 – Medien oder Geräte, die Restdaten enthalten, sollten nicht langfristig gelagert werden. Falls erforderlich, sollte ein Risiko gemeldet und von einem geeigneten Senior Risk Owner (SRO) genehmigt werden. Die Organisation muss von den Lieferanten informiert werden, wenn dies erforderlich ist.
Abschnitt 1.5 beschreibt die Aktivitäten, die Drittanbieter für die Entsorgung von IT-Assets (ITAD) sicherstellen müssen.
- Referenz 11.5.1 – Vor Inanspruchnahme der Dienstleistung muss sichergestellt werden, dass die ITAD-Anbieter zertifizierte Dienstleister gemäß dem NCSC CAS-S-Schema sind und von der Organisation zugelassen wurden.
- Referenz 11.5.2 – Organisationen müssen sicher sein, dass ITADs einen sicheren Transport für die sichere Abholung und Anlieferung mit einem Mechanismus zur Nachverfolgung der Vermögenswerte gewährleisten können. Sie müssen für jeden gelöschten oder zerstörten Vermögenswert ein Löschungszertifikat vorlegen, unabhängig davon, ob dies vor Ort oder außerhalb des Standorts erfolgt ist. Qualitätssicherungen oder Akkreditierungen durch Dritte, wie z. B. ISO 27001, sollten ebenfalls überprüft werden.
In Unterabschnitt 1.6 werden die Verantwortlichkeiten externer ITAD-Anbieter erläutert.
- Referenz 11.6.1 – Externe ITAD-Anbieter müssen sichere Abhol- und Transportdienste gemäß der Sicherheitsklassifizierung und den physischen Sicherheitsrichtlinien der Organisation bereitstellen.
- Referenz 11.6.2 – Externe ITAD-Anbieter müssen Speichermedien und -geräte vor der Bereinigung und Vernichtung gemäß den Unternehmensrichtlinien sicher lagern.
- Referenz 11.6.3 – Externe ITAD-Anbieter müssen ein Protokoll über die Prozesse im Zusammenhang mit Speichermedien führen.
- Referenz 11.6.4 – Externe ITAD-Anbieter müssen der Organisation eine Bescheinigung über die Bereinigung vorlegen.
- Referenz 11.6.5 – Externe Anbieter müssen akkreditierte Prüfer mit der Durchführung von Audits der Bereinigung und/oder Vernichtung beauftragen.
- Referenz 11.6.6 – Externe ITAD-Dienstleister müssen der Organisation versichern, dass die für die Bereinigung und/oder Vernichtung verwendeten Geräte regelmäßig überprüft und gewartet werden.
- Referenz 11.6.7 – In Übereinstimmung mit den Sicherheitsüberprüfungsrichtlinien der Behörde müssen Drittanbieter sicherstellen, dass für die Handhabung, den Transport und die Reinigung oder Vernichtung nur sicherheitsüberprüftes Personal eingesetzt wird.
Abschnitt 12 enthält die Anhänge A bis H. Nur die ersten drei sind für diesen Artikel relevant. Anhang A erläutert die Sicherheitsergebnisse, die durch die Anwendung von Mindestsicherheitsstandards erzielt werden. Anhang B listet die Mediengeräte auf, die in den Anwendungsbereich fallen. Anhang C listet die Kriterien für Reinigungs- und Vernichtungszertifikate auf.
Das Freigabebescheinigung sollte folgende Informationen enthalten:
- Geräte-/Medienhersteller/Hardwaremodell/Typ
- Seriennummer
- Herkunft des Datenträgers
- Art und Methode der Bereinigung – Löschung, Bereinigung (SE, CE, Überschreiben) und Vernichtung (Entmagnetisierung)
- Verwendetes Löschprogramm mit Versionsangabe
- Verifizierungsmethode
Für die Reinigung und Validierung:
- Name des Mitarbeiters, der die Tätigkeit durchgeführt hat
- Auftrag, Ort
- Datum und Uhrzeit des Abschlusses des Prozesses
- Kontaktdaten
Unterschriftsfeld für den Mitarbeiter, der die Tätigkeit durchgeführt hat:
- Bitte bestätigen Sie, ob eine elektronische Unterschrift verwendet wird, und stellen Sie sicher, dass ein geeignetes Verfahren für elektronische Unterschriften vorhanden ist.
- Bitte bestätigen Sie, ob eine handschriftliche Unterschrift erforderlich ist.
Wenn eine Fernlöschung durchgeführt wird, beachten Sie bitte Folgendes:
- Standort des Geräts
- Standort des Löschwerkzeugs/der Löschsoftware
- Standort des Löschoperators
Einhaltung der Anforderungen der Norm für die sichere Löschung und Vernichtung von Daten
Unternehmen können die Norm SS-036 einhalten, indem sie:
- Identifizieren Sie Geräte/IT-Assets, die nicht mehr verwendet werden, und entsorgen Sie diese so schnell wie möglich – vor Ort, außerhalb des Standorts oder mit Unterstützung eines ITAD-Dienstleisters.
- Sicherstellen, dass Datenträgergeräte bereinigt werden, bevor sie aus einer kontrollierten Umgebung entfernt werden.
- Löschen Sie Speichermedien mit Methoden, die für ihren Medientyp geeignet sind und den geltenden Standards und Richtlinien für das Löschen von Medien entsprechen.
- Wahren Sie eine sichere Kontrollkette und bewahren Sie Bereinigungsberichte auf.
- Schulung interner und externer Mitarbeiter zum Thema Bereinigung, um ihnen das notwendige Wissen zum Schutz von Daten vor und während der Bereinigung zu vermitteln
SS 036 schlägt auch einige Methoden zur Überprüfung der Einhaltung vor, darunter unabhängige externe Audits und Kontrolltests, die von Sicherheitsteams durchgeführt werden. Die Testergebnisse werden den Risiko- und Systemmanagern der Organisation mitgeteilt.
+1-844-775-0101
