ITAD (IT Asset Disposition): Ablauf, Regeln und die Nachweise dahinter

Die letzte Lebensphase eines Objekts ist die, in der am ehesten Daten abfließen oder Geld verloren geht – und sie hängt an Aufzeichnungen, die Sie eigentlich die ganze Zeit hätten führen sollen

Der riskanteste Tag eines Laptops ist oft sein letzter in Ihrem Unternehmen. Drei Jahre lang stand er auf einem Schreibtisch, unter Endpoint-Schutz, gepatcht und überwacht. Dann wird er ersetzt und landet in einer Schublade, im Abstellraum oder in einem Karton mit dem Ziel „irgendwohin“. Die Schutzmaßnahmen sind weg, auf der Platte liegen noch Jahre an Daten, und ob das Gerät überhaupt noch auf der Liste steht, weiß niemand so genau. Multiplizieren Sie das mit jedem Gerät, das eine wachsende Organisation ausmustert, und das Lebensende wird still und leise zu einem der größten unverwalteten Risiken in der IT.

IT Asset Disposition ist die Disziplin, die diese Lücke schließt. Sie wird auch gern missverstanden, als „die alten Rechner zum Recycling bringen“ – das ist ein kleiner Teil davon, und nicht der Teil, für den Unternehmen Bußgelder zahlen.

Was ist ITAD (IT Asset Disposition)?

ITAD (IT Asset Disposition) ist der sichere, regelkonforme und dokumentierte Umgang mit IT-Hardware am Ende ihrer Nutzungsdauer: die Daten darauf löschen oder vernichten, Restwert zurückholen, wo es geht, den Rest verantwortungsvoll recyceln und über das Ganze einen lückenlosen Nachweis führen. Im Deutschen hat sich die Abkürzung gehalten; am nächsten kommt ihr die geregelte Aussonderung von IT-Geräten, und so nennt dieser Artikel den Vorgang auch.

ITAD ist die letzte Phase im Lebenszyklus eines IT-Objekts: Ein Objekt wird beschafft, in Betrieb genommen, gewartet und irgendwann ausgemustert. ITAD steuert diese Ausmusterung, damit sie nicht zufällig passiert. Und das englische disposition ist ein bewussteres Wort als disposal. Disposal heißt Entsorgung: das Gerät wegwerfen. Disposition ist die Entscheidung, was mit jedem ausgemusterten Objekt geschieht, und der Beleg, dass es richtig behandelt wurde.

An dieser Unterscheidung hängt die meiste Verwirrung, deshalb lohnt es sich, sie festzunageln.

Entsorgung oder Disposition

Die beiden Wörter werden austauschbar benutzt, auch im Deutschen, wo oft von IT-Entsorgung die Rede ist. Sie bedeuten aber nicht dasselbe, und der Unterschied erklärt, warum ITAD ein Programm ist und keine Fahrt zum Recyclinghof.

Die Entsorgung ist ein Schritt innerhalb der Disposition. Die Disposition fügt die zwei Dinge hinzu, die Sie wirklich schützen: Wertrückgewinnung (ein funktionierender, drei Jahre alter Laptop hat noch einen Wiederverkaufswert) und den Nachweis (Zertifikate, die jede vernichtete Festplatte einem bestimmten Objekt zuordnen). Wer das Lebensende als reine Entsorgung behandelt, lässt Geld liegen und hinterlässt eine Lücke bei der Compliance.

Die vier Säulen von ITAD

Ein vollständiges ITAD-Programm ruht auf vier Säulen. Die meisten Organisationen machen eine oder zwei davon gut und lassen den Rest stillschweigend weg.

1. Datensicherheit und Löschung. Jeder Datenträger wird nach einem zertifizierten Standard gelöscht (etwa NIST 800-88) oder physisch vernichtet, und Datenträger mit hochsensiblen Inhalten werden gleich vernichtet statt gelöscht. Diese Säule macht aus einem ausgemusterten Laptop, der ein Datenleck auf Abruf ist, ein harmloses Stück Hardware, und das Risiko ist nicht theoretisch. Als Blancco und Ontrack gebrauchte Festplatten bei eBay kauften, enthielten 42 % noch Restdaten und 15 % personenbezogene Daten. Bei einer früheren Stichprobe hatte bei den meisten der offenen Laufwerke jemand eine Löschung versucht, die schlicht nicht funktioniert hatte. Schnell formatieren ist keine Datenlöschung.

2. Wertrückgewinnung. Funktionierende Hardware – Laptops, Server, Netzwerktechnik – wird begutachtet, aufbereitet und weiterverkauft, um die Kosten der Ersatzgeräte abzufedern. Die Wertrückgewinnung ist der Grund, warum sich ein ausgereiftes ITAD-Programm zum Teil selbst trägt, statt ein reiner Kostenposten zu sein.

3. Verantwortungsvolles Recycling. Was keinen Restwert mehr hat, wird zerlegt und über zertifizierte Kanäle (R2 oder e-Stewards) recycelt, damit Schwermetalle und Kunststoffe nicht auf der Deponie landen und nicht in den Nachrichten. Die Größenordnung wird leicht unterschätzt: Laut dem Global E-waste Monitor 2024 der UN hat die Welt 2022 den Rekord von 62 Millionen Tonnen Elektroschrott erzeugt. Nur 22,3 % davon wurden nachweislich offiziell gesammelt und recycelt – eine der Zahlen zum Lebensende, die wir in unseren Statistiken zur Inventarverwaltung zusammengetragen haben. Zertifiziertes Recycling sorgt dafür, dass Ihre ausgemusterte Hardware in diesen 22 % landet und nicht im Rest. Spezialgeräte liegen am äußersten Rand: Bitcoin-Mining-Rechner – Einzweckmaschinen, deren Lebensdauer laut de Vries und Stoll im Schnitt bei 1,29 Jahren liegt – erzeugen allein geschätzt 30.700 Tonnen Elektroschrott im Jahr, vergleichbar mit dem Schrott aus kleinen IT-Geräten eines Landes von der Größe der Niederlande. Die meisten Geräte im Büro altern würdevoller, aber das Muster ist dasselbe: Je schneller Sie erneuern, desto mehr müssen Sie aussondern.

4. Compliance und Nachweise. Eine lückenlose Übergabekette (Chain of Custody), Zertifikate über die Datenvernichtung und Recyclingnachweise, jeweils dem einzelnen Objekt zugeordnet. Für diese Säule interessieren sich Prüfer, und an ihr scheitert ein Ansatz aus Tabelle und gutem Willen fast immer.

Drei der vier Säulen hängen davon ab, genau zu wissen, welche Objekte Sie aussondern und was darauf war. Diese Abhängigkeit ist der Kern der Sache. Und genau hier investieren die meisten Programme zu wenig.

Der ITAD-Ablauf, Schritt für Schritt

Eine Aussonderung, die einer Prüfung standhält, läuft als festgelegte Abfolge ab, nicht als spontane Entrümpelung.

1. Die auszusondernden Objekte bestimmen. Ziehen Sie die Liste der Geräte am Lebensende aus Ihrem IT-Inventar, nach Alter, Leasingende, Austauschzyklus oder Zustand. Was Sie nicht kannten, können Sie nicht sicher aussondern; dieser Schritt ist das ganze Fundament.
2. Die Daten einstufen. Halten Sie für jedes Gerät fest, wie sensibel die Daten darauf waren. Das entscheidet über die Behandlung: Standardlöschung für Geräte mit geringem Risiko, zertifizierte Vernichtung für alles, was mit regulierten oder vertraulichen Daten in Berührung gekommen ist.
3. Die Übergabekette aufsetzen. Verfolgen Sie jedes Gerät auf seinem Weg vom Nutzer zur Sammelstelle und weiter zum Ort der Löschung. Lücken in dieser Kette sind genau das, wonach eine Untersuchung nach einem Datenleck sucht.
4. Die Daten löschen oder vernichten. Wenden Sie das zertifizierte Verfahren an, das die Einstufung verlangt, und sichern Sie das Zertifikat.
5. Wert zurückholen oder recyceln. Prüfen Sie die verbleibende Hardware auf Weiterverkauf, Weiternutzung im Haus oder Spende; der Rest geht ins zertifizierte Recycling.
6. Dokumentieren und den Eintrag schließen. Hängen Sie die Zertifikate über Vernichtung und Recycling an das jeweilige Objekt, setzen Sie es mit Datum auf ausgesondert und nehmen Sie es aus dem aktiven Bestand und aus allem, wofür Sie noch zahlen.

In dieser Reihenfolge passieren die riskanten Schritte (Löschung, Übergabekette), bevor die Hardware Ihre Kontrolle verlässt, und der Nachweis setzt sich unterwegs von selbst zusammen.

Bewährte Regeln für die Aussonderung

Was ein ITAD-Programm, das Sie verteidigen können, von einem Abstellraum voller Haftungsrisiken unterscheidet, sind eine Handvoll Gewohnheiten.

• Beginnen Sie bei einem vollständigen Inventar. Der größte einzelne Fehler bei ITAD ist, Objekte auszusondern, die nie genau erfasst waren. Stimmt der Eintrag nicht, erbt jeder folgende Schritt den Fehler, und das Gerät, über dessen Verbleib Sie nichts sagen können, ist genau das, das bei einer Datenpanne wieder auftaucht.
• Stufen Sie die Daten ein, bevor sich irgendetwas bewegt. Ob gelöscht oder vernichtet wird, entscheiden Sie am Schreibtisch, nicht an der Laderampe. Es ist eine Entscheidung pro Objekt, und alles Weitere folgt aus ihr.
• Unterbrechen Sie die Übergabekette nie. Von dem Moment, in dem ein Gerät zur Aussonderung markiert wird, bis zu dem Moment, in dem seine Festplatte nachweislich gelöscht ist, sollte jemand oder etwas für seinen Standort verantwortlich sein. Eine protokollierte Spur aus Ausgabe und Rücknahme leistet das ohne Heldentaten.
• Ziehen Sie die Weiternutzung der Vernichtung vor, wo das Risiko es zulässt. Weiternutzen oder Weiterverkaufen holt Wert zurück und verringert den Elektroschrott. Vernichtung ist für das Datenrisiko da, nicht für Hardware, die noch ein zweites Leben vor sich hat.
• Ordnen Sie jedes Zertifikat einem bestimmten Objekt zu. „Wir haben eine Charge Festplatten geschreddert“ ist kein Nachweis. „Objekt LT-0442, Seriennummer ####, gelöscht nach NIST 800-88, Zertifikat angehängt, ausgesondert am 10.07.2026“ ist einer. Die Dokumentation je Gerät macht aus Compliance ein Nachschlagen statt einer hektischen Suche.

Jede dieser Regeln stützt sich auf dasselbe: einen genauen, aktuellen Eintrag zu jedem Objekt, seinen Daten, seinem Besitzer und seinen Bewegungen. Deshalb ist ITAD weniger ein eigenes Projekt als der Ertrag eines guten IT-Asset-Managements, das von Anfang an gelaufen ist.

Wo ITAD hingehört – und woher die Nachweise kommen

Viele Texte über ITAD übertreiben an dieser Stelle, deshalb sage ich es lieber direkt. Die physische Arbeit am Ende – zertifiziertes Löschen, Schreddern, Recycling mit R2-Zertifikat, sichere Logistik – ist Arbeit für Spezialisten. Bei nennenswerten Mengen oder bei regulierten Daten holen sich die meisten Organisationen dafür einen ITAD-Dienstleister, und das sollten sie auch.

Was Ihnen kein Dienstleister liefern kann, ist der Eintrag. Die Liste der auszusondernden Geräte, die Seriennummern, die Dateneinstufung je Gerät, die Übergabekette vom Schreibtisch bis zur Laderampe und hinterher der Status „ausgesondert, mit Zertifikat“ – das alles lebt in Ihrem System, und es ist der Teil, der die ganze Aussonderung belegbar macht. Der Dienstleister vernichtet die Festplatte; Ihre Aufzeichnungen belegen, welche Festplatte es war, was darauf lag und dass sie weg ist.

Das ist der Unterschied zwischen den beiden Enden einer Aussonderung. Geben Sie einem Dienstleister eine saubere, eingestufte Liste mit lückenloser Übergabekette, und Sie bekommen ein prüfbares Programm. Geben Sie ihm einen rätselhaften Haufen aus dem Abstellraum, und Sie bekommen eine Rechnung und eine offene Frage, was Sie da eigentlich gerade aus der Hand gegeben haben.

Ein IT-Asset-Management in der Cloud ist der Ort, an dem dieser Eintrag lebt. Dazu gehören ein vollständiges Verzeichnis mit Seriennummern und zugewiesenen Personen, ein Lebenszyklus, der Geräte kurz vor dem Lebensende markiert, eine Historie aus Ausgabe und Rücknahme für die Übergabekette und ein Status „ausgesondert“ mit dem Zertifikat am jeweiligen Objekt. Es löscht keine einzige Festplatte. Was es tut: Es hält die Aussonderung verteidigungsfähig, und das ist die Hälfte, die Ihnen kein Dienstleister abnehmen kann. Wenn Sie heute mit Tabellen arbeiten, ist selbst eine strukturierte Vorlage für das IT-Inventar besser als ein Abstellraum und ein Gedächtnis.

Gute Aussonderung ist die letzte Dividende davon, Objekte vom ersten Tag an gut zu verfolgen. Es ist dieselbe Idee wie bei ihrem Verwandten aus der Buchhaltung, dem Anlagenabgang: das Objekt sauber ausmustern, es festhalten und den Kreis schließen, damit es Ihr Risikoregister und Ihre Bücher im selben Moment verlässt wie das Gebäude.

Häufige Fragen

Was ist zu beachten, wenn ausgemusterte Laptops an Mitarbeiter verkauft werden?

Der Verkauf an die eigenen Leute ist einer der Wege, auf denen ITAD Wert zurückholt, neben Weiterverkauf und Spende. An der Reihenfolge ändert das nichts. Erst zertifiziert löschen, dann das Löschzertifikat an das Objekt hängen, dann übergeben, wie bei jedem anderen Gerät. Im Verzeichnis endet der Laptop nicht als „weg“, sondern als „an Mitarbeiterin übergeben, gelöscht am …, Zertifikat angehängt“. Ein Gerät, das vor der Löschung schon einmal „mit nach Hause“ geht, verlässt Ihre Kontrolle mit allen Daten darauf.

Was passiert mit Leasinggeräten am Ende der Laufzeit?

Das Leasingende ist einer der Auslöser, nach denen Sie die Liste der auszusondernden Geräte ziehen, neben Alter, Austauschzyklus und Zustand. Ab da gilt derselbe Ablauf wie bei jedem anderen Gerät: Daten einstufen, Übergabekette aufsetzen, löschen oder vernichten und das Zertifikat am Objekt ablegen, bevor die Hardware Ihre Kontrolle verlässt. Den Eintrag nimmt Ihnen der Leasinggeber so wenig ab wie ein ITAD-Dienstleister: welches Gerät es war, was darauf lag und dass es gelöscht ist, belegen Ihre eigenen Aufzeichnungen.

Gehören defekte Geräte und tote Festplatten auch in den ITAD-Prozess?

Ja. Zu ITAD gehört alles, was Daten gespeichert hat oder wiederherstellbare Daten tragen könnte, ob es noch läuft oder nicht. Lässt sich ein Datenträger nicht zertifiziert löschen, bleibt die physische Vernichtung, mit Zertifikat wie bei jedem anderen Objekt. Ein schnelles Formatieren oder ein gescheiterter Löschversuch zählt nicht: In einer früheren Stichprobe hatte bei den meisten offenen Laufwerken jemand eine Löschung versucht, die nicht funktioniert hatte. Defekte Geräte fallen bei der Wertrückgewinnung heraus, nicht bei der Datensicherheit, und gehen ins zertifizierte Recycling.

Was tun mit Geräten, die bei der Aussonderung nicht auffindbar sind?

Nicht als ausgesondert buchen: Ausgesondert mit Datum wird ein Objekt erst, wenn das Zertifikat daran hängt. Ein Gerät, das niemand findet, ist ein offener Fall, und genau das Gerät, über dessen Verbleib Sie nichts sagen können, taucht bei einer Datenpanne wieder auf. Wer es zuletzt hatte und wo es zuletzt war, sagt Ihnen dann nur noch Ihr Eintrag: die protokollierte Spur aus Ausgabe und Rücknahme.

Wie läuft die Übergabekette, wenn die Geräte im Homeoffice stehen?

Sie beginnt am Küchentisch statt am Schreibtisch im Büro. Markieren Sie das Gerät zur Aussonderung, bevor es verschickt wird, und halten Sie den Versand als Rücknahme fest: wer es abgeschickt hat, wann und wer es angenommen hat. Lassen Sie Beschäftigte ein Firmengerät nie selbst entsorgen oder zum Wertstoffhof bringen, auch nicht „nur das alte Handy“. Jede Station ohne Eintrag ist genau die Lücke, nach der eine Untersuchung nach einem Datenleck sucht.

Wie groß ist der Markt für ITAD?

Die Schätzungen gehen je nach Analysehaus auseinander, aber der weltweite ITAD-Markt wurde für 2024 auf rund 18 bis 26 Milliarden US-Dollar beziffert, und er soll bis Anfang der 2030er-Jahre weiter wachsen, mit einer jährlichen Rate im hohen einstelligen bis niedrigen zweistelligen Prozentbereich. So sehen es Häuser wie Grand View Research und MarketsandMarkets. Die Treiber nennen alle Quellen gleich: strengere Regeln für Datenschutz und Elektroschrott, ESG- und Nachhaltigkeitsziele der Unternehmen und kürzere Austauschzyklen, die jedes Jahr mehr Geräte ans Lebensende schieben.

Was zählt in einem ITAD-Programm als IT-Objekt?

Alles, was Daten gespeichert oder verarbeitet hat oder wiederherstellbare Daten oder einen Restwert tragen könnte. Die offensichtlichen sind Laptops, Desktop-Rechner, Monitore, Server und Netzwerktechnik. Das Risiko steckt in den oft vergessenen: Handys und Tablets, externe Festplatten und USB-Sticks, Drucker und Kopierer mit eingebautem Speicher, Kassensysteme, IoT- und Gebäudetechnik und ausgemusterte Ausrüstung aus dem Rechenzentrum. Auch Softwarelizenzen und Cloud-Abos gehören zur Aussonderung: zurückholen oder kündigen, statt weiter zu zahlen.

Brauchen wir einen ITAD-Dienstleister, oder geht das im eigenen Haus?

Kleine Teams können die Aussonderung von Geräten mit wenig sensiblen Daten selbst übernehmen, mit einem zertifizierten Löschwerkzeug und einem zertifizierten Recycler für Elektroschrott. Sobald es um Mengen geht oder um regulierte Daten, holen sich die meisten Organisationen einen spezialisierten ITAD-Dienstleister für sichere Logistik, zertifizierte Vernichtung und die Papiere. Der Grenzfall ist eine gemischte Charge, etwa Laptops aus der Buchhaltung neben Geräten mit wenig sensiblen Daten: Eingestuft wird je Gerät, also teilen Sie die Charge danach auf, nicht nach dem Gerätetyp.

Der letzte Schritt, nicht der Ort für Überraschungen

ITAD sorgt dafür, dass das Lebensende eines Objekts nicht zum Beginn eines Datenlecks oder eines Prüfungsbefunds wird. Es läuft auf vier Säulen hinaus: sichere Datenlöschung, Wertrückgewinnung, verantwortungsvolles Recycling und dokumentierte Compliance. Betreiben Sie sie als festgelegten Ablauf, nicht als gelegentliche Entrümpelung des Abstellraums.

Die physische Vernichtung ist Arbeit für Spezialisten, die Sie oft auslagern. Der Teil, der das Ganze verteidigungsfähig macht, bleibt bei Ihnen: ein vollständiger, eingestufter Eintrag mit lückenloser Übergabekette für jedes Objekt, vom Tag seiner Ankunft bis zu dem Tag, an dem seine Festplatte nachweislich gelöscht ist. Machen Sie das Lebensende richtig, und ITAD ist nur der letzte, saubere Schritt einer guten Inventarverwaltung. Lassen Sie den Eintrag weg, und es ist der Schritt, an dem das Risiko, das Sie nie verfolgt haben, endlich auftaucht.

Der Eintrag, der ITAD belegbar macht, kostenlos

Jeder Schritt eines verteidigungsfähigen ITAD-Programms stützt sich auf eines: einen genauen Eintrag zu jedem Objekt. Genau diese Ebene deckt UNIO24 ab: ein vollständiges IT-Bestandsverzeichnis mit Seriennummern und zugewiesenen Personen, ein Lebenszyklus, der Geräte kurz vor dem Lebensende markiert, eine Historie aus Ausgabe und Rücknahme für die Übergabekette und ein Status „ausgesondert“ mit dem Zertifikat am jeweiligen Objekt. Den Schredder fasst es nicht an. Es ist der Eintrag, auf dem jedes ITAD-Programm aufsetzt.

UNIO24 ist kostenlos für bis zu 50 Objekte, ohne ablaufende Testphase. Das reicht, um Ihren Gerätebestand jetzt zu erfassen, damit der nächste Austauschzyklus sauber aussondert statt in den Abstellraum.

Ein Hardwaretausch steht an, und ein Stapel ausgedienter Geräte wartet? Starten Sie kostenlos mit UNIO24 und bringen Sie Ihren Gerätebestand in ein Verzeichnis, mit dem Sie beruhigt aussondern können.