Daten bei Geräterückgabe sicher löschen und nachweisen

Daten auf zurückgegebenen Geräten löschst du sicher, wenn du drei Dinge trennst: Konten und Sperren entfernen, den Speicher kryptografisch oder per Spezialsoftware löschen und die Löschung pro Gerät protokollieren.

Ein einfacher Werksreset genügt technisch oft, als Nachweis aber nicht. Ein Device-as-a-Service-Anbieter wie Everphone macht das als festen Bestandteil des Rückgabeprozesses.

Das Problem ist selten die Technik. Es ist die Lücke zwischen „irgendwer hat das Gerät zurückgesetzt“ und „wir können es belegen“. Genau dort scheitern Audits, und genau dort entstehen Datenlecks, wenn Angestellte das Unternehmen verlassen.

Dieser Artikel zeigt, welche Löschverfahren es gibt, in welcher Reihenfolge du vorgehst und was du beim Personalwechsel zusätzlich absichern musst.

Welche Löschverfahren gibt es für Smartphones, Tablets und Laptops?

Es gibt drei Stufen: den Werksreset durch die Angestellten, den Löschbefehl über das MDM und die zertifizierte Löschung durch einen Dienstleister. Nur die letzte liefert von sich aus einen Nachweis. Welche Stufe du brauchst, hängt von der Sensibilität der Daten und davon ab, ob das Gerät weiterverwendet wird.

Das Standardwerk der Branche ist der US-Leitfaden NIST SP 800-88. Seine Revision 2 erschien im September 2025 und unterscheidet Clear, Purge und Destroy. Ein Werksreset gilt bei Smartphones meist als Clear, also als die leichteste Stufe.

Reicht ein Werksreset, um Daten bei der Rückgabe zu löschen?

Bei modernen, verschlüsselten Geräten löscht ein Werksreset die Daten technisch in der Regel zuverlässig. Als einzige Maßnahme reicht er trotzdem nicht, weil er weder ein Protokoll erzeugt noch sicherstellt, dass Konten und Sperren entfernt sind.

Bei iPhones und iPads zerstört „Alle Inhalte und Einstellungen löschen“ die Schlüssel im Effaceable Storage. Danach sind die Nutzerdaten kryptografisch nicht mehr zugänglich. Android-Geräte arbeiten ähnlich, wenn die Verschlüsselung aktiv ist. Das Thüringer Datenschutzamt weist in einer Pressemitteilung von 2025 darauf hin, dass der Reset nicht immer reicht und die Verschlüsselung vorher aktiv sein sollte.

Das ist bei älteren Geräten ohne erzwungene Verschlüsselung relevant. Hast du eine gemischte Flotte, prüfe das Baujahr, bevor du dich auf den Reset verlässt.

Ein Beispiel aus dem Alltag: Die IT-Leiterin bekommt 40 Handys nach einer Standortschließung zurück. Die Angestellten haben sie „irgendwie“ zurückgesetzt. Bei drei Geräten fragt der Startbildschirm nach einer fremden Apple-ID. Die Daten sind weg, die Geräte aber nicht einsetzbar. Das ist die zweite Lücke des Resets.

In welcher Reihenfolge löschst du Daten bei der Geräterückgabe?

Erst Konten und Sperren, dann Speicher löschen, dann prüfen und protokollieren. Wer die Reihenfolge umdreht, hat ein gelöschtes Gerät, das niemand mehr aktivieren kann, oder offene Konten auf einem Gerät, das schon im Paket liegt.

1. Gerät im MDM auf „Rückgabe“ setzen und Zugänge der Angestellten sperren, bevor das Gerät eingesammelt wird.
2. Private Konten entfernen. Bei Apple-Geräten ist das die Apple-ID mit Aktivierungssperre, bei Android das Google-Konto.
3. SIM-Karte und Speicherkarte entnehmen, eSIM-Profile entfernen.
4. Gerät zurücksetzen oder per MDM löschen.
5. Nach Eingang zertifiziert löschen, Zustand prüfen, Protokoll ablegen.
6. Gerät erst danach ins Lager oder in die Wiederaufbereitung geben.

Die Stolperfallen sitzen in Schritt 2. Auf Apple-Geräten bleibt die Aktivierungssperre auch nach einem Löschbefehl bestehen, solange eine private Apple-ID verknüpft ist. Bei Android verhält sich die Factory Reset Protection anders. Ein Reset aus den Einstellungen löst sie auf voll verwalteten Geräten nicht aus, ein Reset über das Recovery-Menü dagegen meist schon, wenn ein Google-Konto auf dem Gerät liegt. Lege deshalb vorab fest, welche Konten bei einem Reset freigeschaltet sein dürfen. Das lässt sich nur vorher konfigurieren, nicht danach.

Ein Löschbefehl über das MDM klappt außerdem nur, wenn das Gerät erreichbar ist. Ein gesperrtes oder ausgeschaltetes Gerät nimmt ihn nicht an. Bei BYOD-Konten, die per User Enrollment eingebunden sind, kannst du das Gerät ohnehin nicht komplett löschen, sondern nur die dienstlichen Daten entfernen.

Wie verhinderst du Datenlecks beim Personalwechsel?

Ein Datenleck beim Austritt entsteht selten auf dem Gerät. Es entsteht in den Konten, die noch aktiv sind, wenn das Gerät schon zurück ist: Cloud-Speicher, E-Mail, Messenger, Kalender, Passwortmanager. Das Gerät zu löschen ist nur die halbe Maßnahme.

Gehe vier Punkte pro Austritt durch:

• Zugänge am letzten Arbeitstag sperren, nicht erst, wenn das Paket ankommt. Die Zeit dazwischen ist das Risiko.
• Geschäftliche Daten in Cloud und Mailbox einem Nachfolger zuordnen, bevor das Konto gelöscht wird.
• Dienstliche Authenticator-Apps und Zertifikate widerrufen. Sie liegen auf dem Gerät, gelten aber weiter.
• Private Daten auf dem Gerät klären. Haben Angestellte das Handy auch privat genutzt, brauchen sie eine Frist zum Sichern, bevor gelöscht wird.

Die Trennung von dienstlich und privat wird in der Praxis oft unterschätzt. Hilfreich ist eine Nutzungsvereinbarung, die den Ablauf beim Austritt festhält. Wie du das Thema Rückgabe insgesamt organisierst, steht in unserem Beitrag zur Geräterückgabe im Offboarding.

Was muss ein Löschnachweis enthalten?

Ein brauchbarer Löschnachweis nennt pro Gerät die Seriennummer, das Datum, das Verfahren und das Ergebnis. Sammelbestätigungen wie „alle Geräte wurden gelöscht“ helfen bei einer Prüfung wenig, weil sie sich keinem Gerät zuordnen lassen.

Der rechtliche Hintergrund ist die Rechenschaftspflicht. Nach Art. 5 Abs. 2 DSGVO musst du nachweisen können, dass du die Grundsätze der Verarbeitung einhältst, darunter die Speicherbegrenzung. Und wenn ein Dienstleister Daten für dich verarbeitet, muss er sie nach Vertragsende nach deiner Wahl löschen oder zurückgeben (Art. 28 Abs. 3 lit. g). Beides gilt für Geräte genauso wie für Portaldaten.

Das Protokoll gehört ins Inventar, neben Kaufdatum, Nutzer*in und Rückgabedatum. Wie du daraus eine prüffeste Gerätehistorie machst, beschreiben wir im Beitrag Audit-Trail für Unternehmensgeräte. Die vertragliche Seite bei Mietgeräten steht in Ist Device-as-a-Service DSGVO-konform?.

Zum Vergleich: Bei Everphone gehören zertifizierte Löschung und Refurbishment nach der Rückgabe zum Service, ohne Extrakosten. Die Speicher werden mit der Spezialsoftware eines Partners überschrieben.

Was passiert mit Geräten, die sich nicht löschen lassen?

Ein Gerät, das nicht mehr startet, lässt sich nicht per Software löschen. Dann bleibt nur, den Speicher physisch zu vernichten und das zu dokumentieren. Nach NIST ist das Destroy, die letzte Stufe, wenn Clear und Purge nicht möglich sind.

Das betrifft vor allem Geräte mit Wasserschaden oder defektem Mainboard. Lege in deinem Prozess fest, wer solche Geräte erfasst und wohin sie gehen. Ein defektes Gerät im Schrank ist ein ungelöstes Datenschutzproblem. Bei Everphone werden defekte Rückläufer, die sich nicht löschen lassen (z. B. per Blancco), von einem externen Partner physisch zerstört.

Die Vernichtung wird pro Gerät mit einem Vernichtungszertifikat dokumentiert und ist im Backoffice und im Kundenportal abrufbar. Das Zertifikat enthält Vernichtungsdatum, Partner-ID, Projekt-Referenz, IMEI bzw. Seriennummer (sofern lesbar) und den Status „zerstört E-4“.

Wann lohnt sich ein Dienstleister für die Löschung?

Sobald mehr als eine Handvoll Geräte pro Jahr zurückkommen oder sie weiterverwendet werden sollen, lohnt sich eine feste Lösung. Bei einzelnen Geräten reicht ein sauberer Werksreset mit Checkliste und Foto vom Startbildschirm. Bei Flotten braucht es Protokolle, die ohne Handarbeit entstehen.

Ein Dienstleister lohnt sich besonders, wenn:

1. die Geräte nach der Rückgabe refurbisht und wieder ausgegeben werden,
2. du Audits oder Zertifizierungen bestehen musst,
3. niemand in der IT Zeit hat, Rückläufer einzeln zu prüfen.

Er lohnt sich nicht, wenn du Geräte ohnehin nach der Nutzung physisch vernichtest und das sauber dokumentierst. Das ist aber die teurere und weniger nachhaltige Variante. Mehr zum Umgang mit Altgeräten steht in Handy sicher entsorgen.

Häufige Fragen

Wie werden Daten bei der Geräterückgabe gelöscht?

Zuerst werden Konten, Sperren und SIM-Karten entfernt. Danach wird der Speicher per Werksreset, MDM-Befehl oder Spezialsoftware gelöscht. Zum Schluss wird die Löschung pro Gerät protokolliert.

Ist ein Werksreset als Datenlöschung ausreichend?

Technisch löscht er bei verschlüsselten Geräten die Schlüssel und macht die Daten unlesbar. Als Nachweis genügt er nicht, weil er kein Protokoll erzeugt. Bei Geräten ohne aktive Verschlüsselung reicht er auch technisch nicht.

Wie verhinderst du Datenlecks, wenn Angestellte das Unternehmen verlassen?

Sperre die Zugänge am letzten Arbeitstag, nicht bei Eingang des Geräts. Ordne Cloud- und Mail-Daten einem Nachfolger zu und widerrufe Authenticator-Apps und Zertifikate. Lösche das Gerät erst danach.

Warum lässt sich ein zurückgegebenes iPhone nicht einrichten?

Meist ist die Aktivierungssperre noch an die private Apple-ID gebunden. Ein Löschbefehl entfernt sie nicht. Verwaltest du die Geräte per MDM, kannst du die Sperre vorab verwalten, bei nicht verwalteten Geräten muss der*die Angestellte sie selbst aufheben.

Was kostet eine zertifizierte Datenlöschung?

Eine allgemeine Zahl gibt es nicht, die Preise hängen vom Anbieter und von der Stückzahl ab. Bei Device-as-a-Service ist die Löschung nach der Rückgabe im Service enthalten.