Januar 4, 2026

Anhang A 8.10 Löschung von Informationen

(nach ISO/IEC 27001:2022 und ISO/IEC 27002:2022)

Informationen müssen gelöscht werden, wenn sie nicht mehr benötigt werden oder gesetzliche, vertragliche oder organisatorische Vorgaben dies verlangen. Unzureichende oder unsachgemäße Löschung kann dazu führen, dass Informationen unbefugt wiederhergestellt oder offengelegt werden. Dieses Control stellt sicher, dass Informationen systematisch, sicher und nachvollziehbar gelöscht werden.

Zweck des Controls

A 8.10 soll gewährleisten, dass Informationen vollständig und sicher gelöscht werden, wenn sie nicht mehr erforderlich sind. Ziel ist es, die Vertraulichkeit von Informationen zu schützen, Risiken durch Datenreste zu minimieren und rechtliche sowie organisatorische Anforderungen zu erfüllen.

Anforderungen und Maßnahmen

1. Festlegung von Löschanforderungen

Organisationen müssen Anforderungen für die Löschung von Informationen definieren, insbesondere:

  • Kriterien für den Löschzeitpunkt
  • gesetzliche und vertragliche Aufbewahrungsfristen
  • Schutzbedarf der Informationen
  • betroffene Systeme und Speichermedien

Die Anforderungen müssen dokumentiert sein.

2. Klassifizierung und Identifikation zu löschender Informationen

Zu löschende Informationen müssen identifiziert werden:

  • Berücksichtigung der Informationsklassifizierung
  • Identifikation in Systemen, Anwendungen und Backups
  • Trennung von zu löschenden und aufzubewahrenden Daten
  • Nachvollziehbare Kennzeichnung

Dies bildet die Grundlage für eine sichere Löschung.

3. Einsatz geeigneter Löschverfahren

Geeignete Löschverfahren müssen angewendet werden:

  • vollständige und irreversible Löschung
  • Einsatz technischer Löschmechanismen
  • Berücksichtigung unterschiedlicher Speichermedien
  • Vermeidung von Wiederherstellbarkeit

So wird ein Datenabfluss verhindert.

4. Löschung in produktiven Systemen und Backups

Löschung muss ganzheitlich betrachtet werden:

  • Löschung in Primärsystemen
  • Berücksichtigung von Sicherungskopien
  • definierte Verfahren für Backups
  • Dokumentation von Ausnahmen

Dies stellt Konsistenz sicher.

5. Kontrolle und Überprüfung der Löschung

Die Wirksamkeit der Löschung muss überprüft werden:

  • technische Prüfungen
  • Stichprobenkontrollen
  • Bestätigung der erfolgreichen Löschung
  • Dokumentation der Ergebnisse

So wird Sicherheit nachgewiesen.

6. Rollen und Verantwortlichkeiten

Zuständigkeiten für Löschung müssen klar geregelt sein:

  • Verantwortliche für Freigabe und Durchführung
  • Trennung von Aufgaben
  • Kontrolle der Löschprozesse
  • Eskalation bei Problemen

Dies erhöht Transparenz und Sicherheit.

7. Umgang mit Ausnahmen und Sonderfällen

Ausnahmen von der Löschung müssen geregelt sein:

  • rechtliche oder organisatorische Gründe
  • dokumentierte Freigaben
  • zusätzliche Schutzmaßnahmen
  • regelmäßige Neubewertung

So werden Restrisiken kontrolliert.

8. Dokumentation und Integration ins ISMS

Löschprozesse müssen dokumentiert sein:

  • Richtlinien und Verfahren
  • Nachweise über Löschvorgänge
  • Verantwortlichkeiten
  • Integration in Risiko- und Sicherheitsprozesse

Die Dokumentation unterstützt Audits und Compliance.

Zusammenfassung

A 8.10 fordert, dass Organisationen Informationen systematisch und sicher löschen, wenn sie nicht mehr benötigt werden. Durch klare Löschanforderungen, geeignete Löschverfahren, Berücksichtigung von Backups, klare Verantwortlichkeiten sowie Überprüfung und Dokumentation wird sichergestellt, dass Informationen nicht unbefugt wiederhergestellt oder offengelegt werden können. Das Control ist ein zentraler Bestandteil der technischen Sicherheitsmaßnahmen im Informationssicherheitsmanagementsystem.

Auditor prüft die Nachweis-Checkliste im ISO-27001-Audit
A 8.10 · in der Praxis

Was der Auditor hier sehen will

Vier Fragen, die im Zertifizierungsaudit zu A 8.10 tatsächlich gestellt werden – und woran sie sich entscheiden.

„Wann löschen Sie Informationen – und woher kommt die Frist?“
Das Control ist 2022 neu. Ohne Löschkonzept aus Recht und Vertrag bleibt alles unbegrenzt liegen.
„Wie löschen Sie in Cloud-Diensten?“
Die technische Umsetzbarkeit ist dort oft eingeschränkt. Genau darauf zielt die Nachfrage.
„Was ist mit Backups und Archiven?“
Gelöscht in der Anwendung heißt nicht gelöscht im Backup. Diese Lücke wird regelmäßig gefunden.
„Wie belegen Sie eine erfolgte Löschung?“
Ohne Protokoll ist die Löschung nicht nachweisbar – gegenüber Auditor und Betroffenem.
Das Dokument dazu

A 8.10-1 Richtlinie zur Löschung von Informationen

Löschkonzept mit Fristen und Herleitung · technische Umsetzung in Anwendungen, Cloud und Backups · Nachweis der Löschung. In der ISMS-Plattform entsteht das Dokument aus Ihren Angaben und ist mit dem Control und seinen Nachweisen verknüpft.

Sie arbeiten die Norm gerade durch? Alle Klauseln und Controls im Überblick