Gelöscht ist nicht gleich gelöscht — Daten 2026 wirklich sicher löschen

Inhalt in Kürze

• „Gelöscht” heißt im Betriebssystem nur „als frei markiert” — die Daten liegen weiter in den Speicherzellen, bis sie überschrieben werden. Recovery-Tools stellen solche Dateien in Minuten wieder her.
• SSDs müssen anders behandelt werden als HDDs. Klassisches Überschreiben funktioniert wegen Wear-Leveling nicht zuverlässig — Secure Erase oder Crypto Erase sind Pflicht.
• Die DSGVO verlangt nach Art. 17 ein nachweisbares Löschen. Ein sauberes Löschkonzept nach DIN 66398 mit Fristen und Protokoll gehört seit NIS-2 und DSGVO zur Pflichtausstattung für Unternehmen ab 10 Mitarbeitern.
• Drei Verfahren sind 2026 Stand der Technik: mehrfaches Überschreiben (HDD), Secure Erase (SSD) und physische Zerstörung durch DIN-66399-zertifizierte Dienstleister (hochsensible Daten).
• Auch Cloud-Daten müssen aktiv gelöscht werden — Microsoft 365 hält Dateien bis zu 93 Tage im Hintergrund, bevor sie wirklich verschwinden. Backups, Retention-Policies und Vault-Regeln laufen gegen das Löschen, wenn sie nicht konfiguriert sind.

Sie klicken auf „Löschen”, leeren den Papierkorb — und denken, die Datei ist weg. Ist sie nicht. Sie ist nur unsichtbar. Wer eine kostenlose Recovery-Software installiert, sieht die alten Daten oft noch Monate später. Dasselbe gilt für alte Laptops, die verkauft werden, für ausrangierte Festplatten, für Cloud-Accounts nach der Kündigung.

Das ist kein Theorie-Problem. Der Bundesbeauftragte für den Datenschutz (BfDI) listet „unsachgemäß gelöschte Datenträger” regelmäßig unter den Top-Meldegründen für Datenschutzvorfälle. Wer einen Alt-Laptop mit Kundendaten über Kleinanzeigen verkauft, riskiert ein DSGVO-Bußgeld im fünfstelligen Bereich. Dieser Artikel zeigt, was „löschen” technisch wirklich bedeutet, welche Verfahren 2026 wirklich funktionieren und wie Unternehmen in Hamburg und Norddeutschland das sauber umsetzen.

Warum „gelöscht” nicht gleich „gelöscht” ist

Das Löschen einer Datei über den Papierkorb entfernt die Datei nicht aus dem Speicher — es entfernt nur den Eintrag aus der Dateizuordnungstabelle und markiert die Speicherzellen als „frei”. Die eigentlichen Daten bleiben bit-genau erhalten, bis das Betriebssystem sie zufällig mit etwas anderem überschreibt. Das kann Tage dauern, es kann aber auch Monate dauern — bei großen Platten oft sogar Jahre.

Dahinter steckt eine bewusste Design-Entscheidung. Das physische Überschreiben jeder Speicherzelle bei jeder Löschung wäre langsam und würde die Hardware unnötig abnutzen. Stattdessen arbeitet jedes moderne Dateisystem (NTFS, APFS, ext4, FAT32) mit einer Zuordnungstabelle: „Datei X liegt in Block 47 bis 103.” Wird die Datei gelöscht, steht in der Tabelle nur noch: „Block 47 bis 103 frei.” Die Bits dazwischen? Unverändert.

Genau das machen sich Recovery-Tools zunutze: Sie scannen den Datenträger Block für Block, ignorieren die Zuordnungstabelle und rekonstruieren Dateien anhand ihrer Datei-Header (JPG, DOCX, PDF haben jeweils eindeutige Signaturen). Das Ergebnis: Eine 2019 „gelöschte” Excel-Tabelle taucht 2026 auf einem 2-TB-Laufwerk wieder auf, als wäre nichts gewesen.

Für Unternehmen ist das ein doppeltes Problem: Einerseits müssen Daten nach Art. 17 DSGVO auf Anfrage unwiderruflich gelöscht werden (Recht auf Vergessenwerden). Andererseits wandern Alt-Festplatten, ausgemusterte Laptops und Reservegeräte oft ungelöscht in den Keller, auf eBay oder zum E-Schrott — mit allen Kundendaten, Rechnungen, Personalakten, die je auf ihnen lagen.

Wie Löschen im Betriebssystem wirklich funktioniert

Der Weg einer Datei vom Existieren ins Nichts verläuft in drei Stufen, und nur die dritte ist wirklich unumkehrbar:

Stufe 1: Papierkorb. Rechtsklick → Löschen. Die Datei bleibt auf dem Laufwerk, nur der Speicherort ändert sich (in Windows: C:\$Recycle.Bin). Wiederherstellung mit zwei Klicks möglich.

Stufe 2: Papierkorb geleert (oder Shift+Entf). Der Dateieintrag verschwindet aus der Zuordnungstabelle. Windows markiert die Speicherzellen als „frei”. Die Daten liegen bit-genau weiter vor. Kostenlose Tools wie Recuva (Windows), TestDisk/PhotoRec (Linux/macOS) oder R-Studio finden diese Dateien mit Trefferquoten nahe 100 %, solange der Speicher nicht anderweitig beschrieben wurde.

Stufe 3: Überschrieben. Erst wenn die Speicherzellen mit neuen Daten (oder gezielt mit Nullen, Einsen, Zufallsbits) überschrieben werden, sind die alten Daten mit handelsüblicher Technik nicht mehr zu rekonstruieren. Genau hier setzen sichere Löschverfahren an.

Bei SSDs wird es noch komplizierter: Wear-Leveling verteilt Schreibvorgänge gleichmäßig über alle Zellen, um die Lebensdauer zu verlängern. Wenn das Betriebssystem „Überschreibe Block 47” sagt, schreibt die SSD das intern vielleicht auf einen ganz anderen Block — die alten Daten bleiben in einer Reservezelle, bis der Garbage Collector sie irgendwann weiträumt. „Irgendwann” ist kein Zustand, auf den sich DSGVO-Compliance verlassen kann.

Sicheres Löschen — die drei Verfahren, die wirklich funktionieren

Für sauberes Datenlöschen sind 2026 drei Methoden etabliert. Welche passt, hängt vom Medium und vom Schutzbedarf ab:

Kombinationen sind üblich: Erst Software-Wipe, dann physische Zerstörung — gerade in Branchen mit gesetzlichen Vorgaben (Anwaltskanzleien, Steuerberater, Arztpraxen, Banken).

Wir sehen es bei fast jedem Neukunden-Audit: ein Raum mit alten Festplatten, Laptops, Server — „die wollten wir mal entsorgen". Auf jeder einzelnen sind noch Kundendaten, Rechnungen, Mitarbeiterverträge. Das ist kein technisches Problem, das ist ein Prozess-Problem. Einmal Löschkonzept aufsetzen, dann läuft das im Hintergrund mit.

Jens HagelGeschäftsführer, hagel IT-Services GmbH

HDD vs. SSD — warum SSDs anders behandelt werden müssen

Wer seit den 2000ern „immer mal mit DBAN die Platte plattgemacht” hat, läuft bei modernen SSDs in ein Problem: DBAN überschreibt Logikblöcke. Die SSD entscheidet intern, welche physischen Zellen sie nutzt — und welche sie versteckt hält, um die Lebensdauer zu verlängern. Das Ergebnis: Nach einem kompletten DBAN-Durchlauf sind auf einer 1-TB-SSD oft noch 50 bis 100 GB Reservezellen mit Originaldaten erhalten.

Für SSDs die richtigen Werkzeuge:

• ATA Secure Erase im BIOS/UEFI — das interne Firmware-Kommando der SSD. Löscht alle Zellen inklusive Reserven. Verfügbar auf nahezu allen SSDs der letzten 10 Jahre.
• Hersteller-Software mit eingebautem Secure Erase: Samsung Magician, Crucial Storage Executive, Intel Memory and Storage Tool, Kingston SSD Manager, WD Dashboard.
• hdparm --security-erase unter Linux — bootet von USB-Stick, triggert das ATA-Kommando. Kostenlos, zuverlässig, dokumentiert im BSI-Grundschutz.
• Crypto Erase bei verschlüsselten SSDs (Self-Encrypting Drives / SED, BitLocker, FileVault, LUKS) — der Schlüssel wird zerstört, die Daten sind damit nicht mehr entschlüsselbar. Dauert Sekunden, wirkt sofort.

Für HDDs (klassische Platten):

• DBAN (Darik’s Boot and Nuke) — Klassiker, läuft von USB-Stick. Überschreibt die komplette Platte. Nicht mehr für moderne SSDs geeignet, für HDDs weiter Standard.
• Parted Magic — kommerzielles Linux-Live-System mit Secure Erase, DBAN und Klonfunktionen in einem. ~11 US-Dollar, die sich lohnen.
• *Cipher /w:C:* — Windows-Bordmittel, überschreibt nur den als frei markierten Speicher. Für einzelne gelöschte Dateien okay, ersetzt aber kein Komplett-Wipe.
• BitLocker To Go + Entschlüsselungskey verwerfen — für verschlüsselte Windows-Platten der schnellste Weg.

Wer unsicher ist, welches Medium verbaut ist: Unter Windows den Geräte-Manager öffnen → Laufwerke. Dort steht in der Regel Hersteller und Modell. Eine kurze Google-Suche zeigt SSD oder HDD. Alternative: Taskmanager → Leistung → Datenträger zeigt den Typ an.

Tools für sicheres Löschen 2026

Die Tool-Landschaft ist unübersichtlich. Diese fünf decken 95 % aller Anforderungen in Unternehmen ab:

Für den laufenden Betrieb im Unternehmen sind nur die audit-tauglichen Tools relevant — also die, die ein Löschprotokoll mit Seriennummer, Datum, Methode und Erfolg/Fehler erzeugen. BitRaser und Blancco sind hier Marktstandard; für Einzelgeräte reicht eine manuelle Dokumentation (Formular mit Seriennummer, Methode, Verantwortlicher).

DSGVO und Datenlöschung — was Unternehmen wirklich tun MÜSSEN

Das „Recht auf Vergessenwerden” aus Art. 17 DSGVO ist seit 2018 in Kraft und wird seitdem von Aufsichtsbehörden konsequent durchgesetzt. Konkret bedeutet das für Unternehmen:

• Zweckbindung nach Art. 5: Daten dürfen nur so lange gespeichert werden, wie der Erhebungszweck besteht. Bewerbungsunterlagen nach Absage? 6 Monate, dann Löschung. Kundendaten nach Vertragsende? 10 Jahre Buchhaltung, Rest löschen.
• Löschpflicht auf Antrag nach Art. 17: Jede betroffene Person kann die Löschung ihrer Daten verlangen. „Unverzüglich” heißt binnen eines Monats. Ohne technische Umsetzung (Löschkonzept, Wipe-Verfahren) nicht haltbar.
• Nachweispflicht nach Art. 5 Abs. 2 (Rechenschaftspflicht): Das Unternehmen muss dokumentieren, was wann wie gelöscht wurde. Keine Dokumentation = keine Löschung im Audit.
• Bußgeldrahmen: Bis zu 20 Mio. € oder 4 % des weltweiten Jahresumsatzes, der höhere Wert zählt. Der Hamburgische Beauftragte für Datenschutz hat in den letzten Jahren mehrere hohe Bußgelder wegen unzureichender Löschung verhängt — im aktuellen Tätigkeitsbericht sind mehrere Fälle dokumentiert.

Die BSI-Empfehlung für ein Löschkonzept im Unternehmen ist die DIN 66398 „Löschkonzept — Leitlinie zur Entwicklung eines Löschkonzepts mit Ableitung von Löschfristen für personenbezogene Daten”. Sie strukturiert ein Löschkonzept in Datenarten, Aufbewahrungsfristen, Löschregeln und Verantwortlichkeiten. Für Unternehmen ab 20 Mitarbeitern in regulierten Branchen (Kanzlei, Arztpraxis, Finanzdienstleister) ist ein schriftliches Löschkonzept nach DIN 66398 faktisch Pflicht.

Mehr zu Compliance und DSGVO-Umsetzung finden Sie auf unserer Service-Seite — inklusive Löschkonzept-Templates für typische Branchen.

Cloud-Daten löschen — M365, Google Workspace, Dropbox

Ein häufig übersehener Bereich: Die Cloud. „Ich habe die Datei gelöscht” ist in Microsoft 365, Google Workspace oder Dropbox oft weit entfernt von „die Datei ist weg”. Die Plattformen arbeiten bewusst mit mehrstufiger Wiederherstellung, um Mitarbeiter-Fehler abzufedern — was für DSGVO-Löschung zum Problem wird.

Microsoft 365 — was wirklich passiert beim Löschen:

• SharePoint/OneDrive: 93 Tage Standard-Aufbewahrung im Papierkorb (erst User-, dann Site Collection-Papierkorb). Erst danach wirklich weg — es sei denn, eine Retention-Policy zieht dagegen.
• Exchange Online (E-Mails): 14 Tage im User-Papierkorb, dann 14 weitere Tage in „Recoverable Items”, anschließend bis zu 30 Tage per eDiscovery rekonstruierbar, wenn Litigation Hold aktiv ist — unbegrenzt.
• Microsoft Teams-Nachrichten: Werden je nach Retention-Policy bis zu 10 Jahre aufbewahrt — auch „gelöschte” Chats sind per Compliance-Admin einsehbar.

Für endgültige Löschung im M365-Tenant sind Admin-Rechte nötig: Compliance-Center → Suche → „Purge”. Damit werden Elemente wirklich entfernt. Ohne Admin-Freigabe erreicht der normale User das nicht.

Google Workspace:

• 30 Tage Papierkorb (Drive, Gmail), dann automatische Löschung, sofern Vault-Regeln nicht dagegen stehen.
• Admin-Konsole → Vault → Retention-Rules zeigen, was wie lange aufbewahrt wird. Typischer Fallstrick: Ein „7 Jahre Retention”-Rule aus dem Setup überschreibt jedes User-Delete.

Dropbox Business:

• 180 Tage Papierkorb, dann Löschung. Admin kann „Permanent delete” vor Ablauf triggern.
• Version-History läuft parallel bis zu 10 Jahre — auch hier braucht es gezieltes Entfernen.

Wer Cloud-Daten DSGVO-konform löschen will, braucht ein Cloud-Löschkonzept zusätzlich zum On-Premises-Konzept — die Plattformen sind nicht synchron mit dem Server-Backup im Keller.

Alt-PC oder Smartphone verkaufen — sicher und rechtssicher

Die wohl häufigste Falle im Alltag: Der alte Firmen-Laptop wird an den ausscheidenden Mitarbeiter verkauft oder über Kleinanzeigen veräußert. „Ich hab’ Windows neu aufgesetzt” reicht nicht — eine Neuinstallation überschreibt nur Teile der Platte, der Rest bleibt rekonstruierbar.

Checkliste vor jedem Hardware-Verkauf oder -Entsorgen:

1. Daten sichern, die gebraucht werden: Einmalig prüfen, was auf dem Gerät an eigenen Daten liegt, die ins Backup, ins neue Gerät oder ins Archiv müssen. Danach ist das Gerät tot.
2. Cloud-Accounts abmelden: iCloud, Microsoft-Konto, Google, Dropbox, OneDrive, VPN, 1Password/Bitwarden, Teams, Slack. Pro App einmal ausloggen — sonst hat der Käufer Zugriff auf mehr, als er bezahlt hat.
3. Verschlüsselung prüfen: Ist BitLocker/FileVault/LUKS aktiv? Wenn ja — Key aus dem Firmenpasswort-Safe entfernen, dann reicht ein Crypto Erase. Wenn nein — vor dem Wipe zuerst verschlüsseln (dauert eine Stunde, lohnt sich).
4. Secure Erase laufen lassen: Je nach Medium DBAN (HDD), ATA Secure Erase (SSD), BitLocker Wipe (Windows) oder Crypto Erase (macOS „Festplatte löschen" mit APFS-Verschlüsselung). Dauert 1–8 Stunden.
5. Dokumentieren: Seriennummer, Datum, Methode, Verantwortlicher. Bei Firmen-Geräten pflichtig, bei privaten empfehlenswert — falls später ein Datenschutzvorfall auftaucht, haben Sie den Nachweis.

Bei Smartphones gilt ähnliches: Werksreset reicht heute meistens, wenn das Gerät verschlüsselt war (Standard ab iOS 8 / Android 7). Zusätzlich SIM-Karte und SD-Karte separat entfernen. Bei Firmen-Handys mit sensiblen Daten: Mobile Device Management (Intune, Jamf) kann einen Remote-Wipe auslösen und protokollieren.

Mehr Details und Schritt-für-Schritt-Anleitung für PC-Ausmusterung in unserem Leitfaden Neuen Computer gekauft — was tun mit dem alten PC?.

Häufige Fehler in der Praxis

Aus über 2.000 IT-Audits bei KMU in Hamburg und Norddeutschland sehen wir immer wieder dieselben sieben Muster:

1. „Ich hab’ den Papierkorb geleert.” — Siehe oben: Datei ist nicht weg, nur markiert. Recovery-Tools holen sie in Minuten zurück.
2. Nur Formatieren statt Wipen. — Formatieren löscht die Zuordnungstabelle, nicht die Daten. Bei Quick-Format bleibt >99 % der Originaldaten erhalten.
3. DBAN auf SSDs. — Reservezellen mit Wear-Leveling bleiben unberührt. SSDs brauchen ATA Secure Erase oder Crypto Erase.
4. Alt-Hardware „erstmal in den Keller”. — Ohne Wipe und Dokumentation ein DSGVO-Risiko. Wer den Keller-Bestand nicht kennt, ist nicht audit-fähig.
5. Kein Löschkonzept. — Auf die Frage der Aufsichtsbehörde „Nach welchen Fristen löschen Sie personenbezogene Daten?” kommt bei 8 von 10 KMU keine Antwort. Das allein ist ein Art.-5-Verstoß.
6. Cloud-Daten vergessen. — M365 und Google behalten Daten bis zu 93 Tage. Für Art.-17-Anfragen muss aktiv per Admin gepurged werden.
7. Handy-Werksreset ohne Encryption-Check. — Ältere Geräte (Android ohne Full-Disk-Encryption, iPhones vor iOS 8) sind nach Werksreset trotzdem noch rekonstruierbar. Immer Encryption prüfen.

Checkliste: 10 Punkte zur sicheren Datenlöschung

Prüfen Sie Ihr Unternehmen gegen diese zehn Punkte — wer bei mehr als drei nicht sauber antworten kann, hat ein DSGVO-Thema auf dem Tisch:

• Löschkonzept schriftlich. Datenarten, Aufbewahrungsfristen, Löschverfahren nach DIN 66398 dokumentiert?
• Verantwortlichkeit geklärt. Wer ist für die Umsetzung zuständig? IT, Datenschutzbeauftragter, HR?
• Software-Wipe für HDD und SSD definiert. Welches Tool, welcher Standard (BSI-GSE, DoD 5220.22-M, NIST 800-88)?
• Physische Zerstörung über Dienstleister. DIN-66399-zertifiziert, schriftliches Vernichtungsprotokoll pro Seriennummer?
• Cloud-Löschregeln aktiv. M365 Retention-Policies, Google Vault, Dropbox Admin-Regeln konfiguriert und dokumentiert?
• Mobile Geräte im MDM. Firmen-Laptops und -Handys mit Intune, Jamf oder MobileIron remote wipebar?
• Ausmusterungsprozess. Checkliste pro Gerät mit Seriennummer, Datum, Methode, Verantwortlichem?
• Alt-Bestand bereinigt. Der Keller mit den alten Laptops und Platten — einmal systematisch aufgearbeitet?
• Art.-17-Prozess. Kann Ihr Team eine DSGVO-Löschanfrage binnen 4 Wochen vollständig umsetzen?
• Audit-Dokumentation. Löschprotokolle zentral ablegen (3 Jahre Mindestaufbewahrung)?

Was Sie heute tun können

Drei konkrete Schritte, die jede Geschäftsführung diese Woche anstoßen kann:

1. Keller-Check: Eine Stunde mit der IT durch die Lager-Räume, Rollcontainer und „da liegt noch was”-Ecken. Alle Datenträger (Laptops, Festplatten, USB-Sticks, alte Handys, Backup-Bänder) mit Seriennummer erfassen. Einmal zählen, dann wissen Sie, was auf Sie zukommt.
2. Löschkonzept-Entwurf: Eine Tabelle mit den 10 wichtigsten Datenarten in Ihrem Unternehmen (Kundendaten, Rechnungen, Personalakten, Bewerbungen, Protokolle), den gesetzlichen Fristen und der Löschmethode. Kein perfektes Werk — der Entwurf ist 80 % des Ziels.
3. Cloud-Audit: Admin-Konsolen in M365 und Google checken — welche Retention-Policies laufen? Sind Purge-Rechte delegiert? Gibt es einen definierten Prozess für Art.-17-Anfragen?

Wenn Sie unsicher sind, wo Ihr Unternehmen gerade steht, prüfen wir das in 15 Minuten gemeinsam mit Ihnen. Wir betreuen über 150 Unternehmen in Hamburg und Norddeutschland — vom Handwerksbetrieb in Altona bis zur Anwaltskanzlei in Rotherbaum. Datenlöschung und DSGVO-Löschkonzepte sind Teil unseres Cybersecurity-Services und greifen sauber mit Datensicherheit und Datenschutzprozessen ineinander.

Fazit

Das Löschen einer Datei ist bis zur dritten Stufe — dem aktiven Überschreiben — reversibel. Wer Daten wirklich loswerden will, braucht die richtige Methode je Medium: Überschreiben bei HDD, Secure Erase bei SSD, physische Zerstörung bei hochsensiblen Daten. Dazu ein schriftliches Löschkonzept, eine saubere Protokollierung und klare Zuständigkeit. Das ist kein Hexenwerk, aber es ist ein Prozess — der erst einmal aufgesetzt werden muss.

Ihr nächster Schritt

Weiterführende Quellen:

• BSI: Löschen und Vernichten — Maßnahmen und Standards
• Hamburgischer Beauftragter für Datenschutz — Tätigkeitsberichte
• BfDI: Recht auf Löschung nach Art. 17 DSGVO
• DIN 66398:2016 — Leitlinie zur Entwicklung eines Löschkonzepts