Alter Server, neues Problem: Was die meisten IT-Leiter unterschätzen

Irgendwo in jedem mittelgroßen Rechenzentrum stapeln sich sie: ausgemusterte Notebooks, abgelöste Workstations, Racks voller Server, deren Ablöseprojekte vor zwei Jahren abgeschlossen wurden. Die Hardware steht. Wartet. Und kostet – denn gebundenes Kapital, das in einem Lagerraum verstaubt, arbeitet nicht.

Doch das eigentliche Problem liegt tiefer. Auf diesen Geräten schlafen Daten.

Nicht irgendwelche Daten. Kundenstammdaten. Personalakten. Vertragsunterlagen. Zugangsdaten zu internen Systemen, die längst nicht mehr aktiv, aber noch im Geiste des letzten Administrators auf irgendeiner Festplatte gespeichert sind. Wer diese Geräte leichtfertig entsorgt, riskiert genau das Szenario, vor dem die Datenschutzgrundverordnung (DSGVO) seit 2018 mit empfindlichen Bußgeldern warnt – und das Bundesdatenschutzgesetz schon lange davor.

Die stille Gefahr: Wenn Datenlöschung zur Illusion wird

Kurz zur Realität, wie sie in vielen IT-Abteilungen aussieht: Ein Mitarbeiter führt ein schnelles Format durch. Der Windows-Assistent meldet „Abgeschlossen". Die Festplatte landet beim regionalen Entsorger.

Fertig? Keineswegs.

Ein forensisch ausgestatteter Wiederverkäufer – oder ein Angreifer mit handelsüblicher Recovery-Software – kann diese Daten in vielen Fällen vollständig rekonstruieren. Besonders heikel: Solid-State-Drives (SSDs) reagieren auf klassische Softwarelöschverfahren anders als magnetische HDDs. Wear-Leveling-Algorithmen im Controller sorgen dafür, dass bestimmte Speicherzellen vom Betriebssystem als gelöscht markiert, physisch aber noch lesbar sind. Gerade bei defekten oder teilweise ausgefallenen SSDs versagt Software-Erasure vollständig – hier ist physische Vernichtung nach BSI-Richtlinien Pflicht.

Das ist kein theoretisches Szenario. Der Bundesbeauftragte für Datenschutz und Informationsfreiheit hat wiederholt dokumentiert, wie ausrangierte Unternehmensgeräte auf dem Gebrauchtmarkt auftauchen – inklusive aller darauf befindlichen Unternehmensdaten.

Was IT-Remarketing wirklich bedeutet – und was es nicht ist

Viele verwechseln IT-Remarketing mit dem simplen Weiterverkauf gebrauchter Hardware. Das ist so, als würde man Buchführung mit dem Leeren der Registrierkasse gleichsetzen.

Professionelles IT-Remarketing ist ein strukturierter Prozess, der mehrere Disziplinen verbindet:

• Inventarisierung & Asset-Bewertung: Jedes Gerät wird erfasst, geprüft und bewertet. Seriennummern-Tracking und Audit-Trail sind keine Kür, sondern Pflicht – schon allein, weil Ihr Asset-Register zum Zeitpunkt der Aussonderung stimmen muss.
• Datenlöschung nach zertifizierten Standards: BSI-konforme Verfahren (TR-RESIT), Blancco-Protokolle oder – wo nötig – mechanische Vernichtung (Degaussing, Schreddern) mit anschließendem Datenvernichtungsprotokoll, das DSGVO-konform archiviert wird.
• Refurbishment & Grading: Geräte, die technisch noch verwertbar sind, werden aufbereitet, geprüft und klassifiziert. Hier entsteht echter Restwert.
• Vermarktung & Erlösbeteiligung: Professionelle Partner vermarkten die aufbereitete Hardware auf B2B-Kanälen. Der Erlös fließt zurück – entweder als Gutschrift oder als direkter Kaufpreis.
• Zertifizierte Entsorgung: Was sich nicht mehr vermarkten lässt, geht als Entsorgungsfachbetrieb-konform in die Recyclingkette. Nicht in die graue, nicht in die schwarze – in die nachweislich grüne.

Wer das intern stemmen will, unterschätzt regelmäßig den Aufwand. Ein vollständiger Remarketing-Prozess für 500 Geräte bindet Personalkapazität, rechtliches Know-how und zertifizierte Infrastruktur – alles Dinge, die im Tagesgeschäft schlicht nicht vorhanden sind.

Der Greenwashing-Fallstrick: Nicht jedes Zertifikat schützt Sie

Ein Wort zu einem Thema, über das zu selten offen gesprochen wird.

Auf dem deutschen Markt gibt es Anbieter, die mit Begriffen wie „klimaneutral", „zero waste" oder „CO₂-kompensiert" werben und dabei auf Zertifikate verweisen, die entweder selbst ausgestellt oder bei fragwürdigen Stellen erworben wurden. Das ist Greenwashing – und es trifft Unternehmen doppelt: einmal beim Imageschaden, wenn es auffliegt, und einmal, wenn im Audit keine belastbaren Nachweise für die ordnungsgemäße Entsorgung vorliegen.

Worauf Sie achten sollten: ISO 14001 (Umweltmanagementsystem), ISO 9001 (Qualitätsmanagement), R2v3 oder e-Stewards für den internationalen Standard, sowie die Zertifizierung als Entsorgungsfachbetrieb nach §56 KrWG. Kein seriöser Anbieter wird Ihnen diese Nachweise verweigern.

Second IT legt sämtliche Zertifikate transparent offen – und das nicht, weil es Pflicht ist, sondern weil Transparenz der einzige belastbare Beweis für gelebte Compliance ist.

Was der Markt zahlt – und warum Timing entscheidend ist

Hardware verliert nicht linear an Wert. Sie verliert exponentiell.

Ein drei Jahre alter Business-Laptop der Enterprise-Klasse bringt auf dem B2B-Gebrauchtmarkt noch zwischen 30 und 50 Prozent des ursprünglichen Anschaffungspreises. Warten Sie zwei weitere Jahre, sind es unter zehn Prozent. Das klingt trivial, ist aber in der Praxis eines der am häufigsten ignorierten Hebel zur IT-Kostensenkung.

Die Ursache ist bekannt: Refresh-Zyklen werden intern oft verzögert, weil die Entsorgungslogistik als Aufwand wahrgenommen wird. Dabei ist genau der Moment des Gerätewechsels der wirtschaftlich günstigste. Wer IT-Remarketing strategisch plant – also den Verwertungsprozess parallel zum Beschaffungsprozess aufgleist –, holt substanziell mehr heraus als der, der im Nachgang reagiert.

Second IT unterstützt Unternehmen dabei, Lifecycle-Planung und Remarketing-Strategie zu verzahnen. Das bedeutet konkret: Wir prüfen gemeinsam mit Ihnen, welche Assets zu welchem Zeitpunkt ausgesondert werden sollten, um maximalen Restwert zu erzielen.

Vom Audit-Trail zur DSGVO-Dokumentation: Was Ihr Datenschutzbeauftragter wirklich braucht

Datenschutzbeauftragte stellen im Zuge von DSGVO-Audits regelmäßig fest, dass die Dokumentation zur Hardware-Entsorgung lückenhaft ist. Konkret: Es gibt keine Nachweise darüber, welches Gerät wann wie gelöscht und wohin verbracht wurde.

Das ist ein Problem. Artikel 5 Abs. 2 DSGVO schreibt explizit die Nachweispflicht vor – die sogenannte Accountability-Pflicht. Fehlen diese Belege, ist das kein Kavaliersdelikt; es ist ein dokumentierter Compliance-Verstoß, der bei Behördenprüfungen unangenehme Fragen aufwirft.

Was ein lückensicherer Audit-Trail enthält:

• Gerätetyp, Modell, Seriennummer
• Datum und Methode der Datenlöschung (mit Softwareprotokoll oder physischem Vernichtungsnachweis)
• Name des ausführenden zertifizierten Betriebs
• Übergabeprotokoll mit Gewichtsnachweisen für materialstromgerechte Entsorgung
• Archivierungsverweis für den Betriebsdatenschutzbeauftragten

Second IT stellt diesen Audit-Trail standardmäßig für jede Transaktion bereit – digital, revisionssicher, exportierbar für Ihr eigenes DMS.

Fünf häufige Fragen zu IT-Remarketing (FAQ)

Wie läuft der Remarketing-Prozess bei größeren Gerätemengen ab, und was muss ich vorbereiten?

Der Prozess beginnt mit einer Bestandsaufnahme: Sie übermitteln – idealerweise als Export aus Ihrem Asset-Management-Tool – eine Liste der auszusondernden Geräte mit Seriennummern, Gerätetypen und, soweit bekannt, dem jeweiligen Zustand. Second IT bewertet daraufhin den Restwert und erstellt ein unverbindliches Angebot. Nach Auftragserteilung organisieren wir die Abholung, führen die zertifizierte Datenlöschung durch und stellen anschließend die vollständige DSGVO-konforme Dokumentation bereit. Für Mengen ab ca. 50 Geräten empfehlen wir ein kurzes Erstgespräch, um Logistik und Zeitplan abzustimmen.

Ist eine zertifizierte Datenlöschung wirklich nötig, wenn wir die Geräte intern schon formatiert haben?

Kurze Antwort: Ja. Ein handelsübliches Format überschreibt keine physischen Datensektoren zuverlässig – insbesondere nicht bei SSDs mit Wear-Leveling-Mechanismen. Die BSI-Richtlinien und die Anforderungen der DSGVO verlangen nachweisbare Löschung nach einem anerkannten Standard. Interne Formatierungen ohne Softwareprotokoll und ohne Zertifikat gelten im Auditfall nicht as Beleg. Beschädigte Datenträger, die sich nicht softwareseitig löschen lassen, müssen physisch vernichtet werden – mit entsprechendem Vernichtungsnachweis.

Welchen Restwert kann ich für ältere Unternehmensgeräte realistisch erwarten?

Das hängt stark von Alter, Hersteller, Zustand und Marktnachfrage ab. Business-Laptops renommierter Hersteller (Lenovo ThinkPad, Dell Latitude, HP EliteBook) im Alter von 3–4 Jahren erzielen auf dem B2B-Markt typischerweise noch 20–40 Prozent des Neupreises. Server-Hardware aus Enterprise-Umgebungen kann je nach Modell und Konfiguration deutlich höhere Restwerte haben. Tablets und Smartphones aus Unternehmensfuhrparks sind ebenfalls stark nachgefragt. Eine Bewertung ohne verbindliche Zahlen ist schwierig – Second IT erstellt deshalb auf Basis Ihrer Geräteliste eine fundierte Schätzung.

Wie wird sichergestellt, dass meine Daten wirklich sicher gelöscht sind und ich nicht haftet?

Second IT arbeitet ausschließlich mit zertifizierten Löschverfahren und stellt für jedes Gerät ein individuelles Datenvernichtungsprotokoll aus. Dieses Protokoll enthält Seriennummer, Löschmethode, eingesetzte Software (z. B. Blancco) oder den Nachweis physischer Vernichtung sowie die Zertifizierungsnummer des ausführenden Technikers. Damit erfüllen Sie die Dokumentationspflicht nach Artikel 5 Abs. 2 DSGVO und können gegenüber Behörden oder Ihrem Datenschutzbeauftragten lückenlos nachweisen, dass alle Geräte ordnungsgemäß behandelt wurden.

Was passiert mit Geräten, die sich nicht mehr vermarkten lassen, weil sie zu alt oder defekt sind?

Geräte, für die kein wirtschaftlicher Restwert mehr erzielt werden kann, werden als Entsorgungsfachbetrieb nach §56 KrWG fachgerecht demontiert und dem Rohstoffkreislauf zugeführt. Edelmetalle, Platinen, Kunststoffe und Glas werden getrennt und entsprechend weiterverarbeitet. Für diesen Prozess erhalten Sie ebenfalls eine Entsorgungsnachweis-Dokumentation – inklusive Gewichtsbelegen und Materialfraktionen. Das ist kein freundliches Versprechen, sondern nachweisbare, zertifizierte Praxis.