BSI-Richtlinie TL-03420

In Ausschreibungen von Behörden steht oft die Anforderung, Datenträger „nach BSI TL-03420“ zu löschen oder zu vernichten. Gemeint ist eine Technische Leitlinie des Bundesamts für Sicherheit in der Informationstechnik (BSI). Hier erfahren Sie, was die Leitlinie regelt, für wen sie gilt und wie sie sich von anderen Löschstandards abgrenzt.

Was regelt die TL-03420?

Technische Leitlinien (TL) gibt das BSI für den Geheimschutz heraus. Sie konkretisieren, wie Vorgaben der Verschlusssachenanweisung (VSA) technisch umgesetzt werden. Die TL-03420 trägt den Titel „Richtlinien für das Löschen und Vernichten von schutzbedürftigen Informationen auf analogen und digitalen Datenträgern“. Sie erfasst Papier und Mikrofilm ebenso wie elektronische, magnetische und optische Datenträger.

Die Leitlinie unterscheidet zwei Sicherheitsniveaus:

Sicherheitsniveau	Typische Informationen
Mittlere Sicherheit	Verschlusssachen bis einschließlich VS-NUR FÜR DEN DIENSTGEBRAUCH (VS-NfD) und vergleichbare Einstufungen, personenbezogene Daten
Hohe Sicherheit	Verschlusssachen ab VS-VERTRAULICH und vergleichbare Einstufungen, besondere Kategorien personenbezogener Daten

Je nach Niveau stellt die Leitlinie unterschiedliche Anforderungen an Löschverfahren, an Vernichtungsgeräte und an den organisatorischen Ablauf. Für höhere Einstufungen kommen in der Regel nur vom BSI zugelassene Produkte infrage. Die aktuelle Fassung stellt das BSI über einen internen Bereich bereit, zu dem berechtigte Stellen auf Antrag Zugang erhalten.

Für wen ist die Leitlinie relevant?

• Bundes- und Landesbehörden, die IT mit Verschlusssachen aussondern.
• Unternehmen im Geheimschutz, die im staatlichen Auftrag mit VS arbeiten, etwa in der Rüstungs- oder Sicherheitsbranche.
• Organisationen mit hohem Schutzbedarf, die sich freiwillig an einem behördlichen Maßstab orientieren.

Für die meisten Unternehmen ohne Verschlusssachen sind andere Regelwerke maßgeblich, etwa DIN 66399 für die Vernichtung und der Baustein CON.6 „Löschen und Vernichten“ im IT-Grundschutz des BSI.

Abgrenzung zu anderen Standards

Die TL-03420 ist kein Zertifikat für Dienstleister, sondern eine Vorgabe für Verfahren und Produkte. Die US-Richtlinie NIST SP 800-88 verfolgt ein ähnliches Ziel, ist aber für US-Bundesbehörden geschrieben und öffentlich zugänglich. Die DIN 66399 beschreibt Schutzklassen und Partikelgrößen für die physische Vernichtung und ist für die Wirtschaft der gängige Maßstab. Häufig verlangen Ausschreibungen eine Kombination: Löschen nach anerkanntem Verfahren, Vernichten nach DIN 66399 und Vorgehen für VS nach den Vorgaben des BSI.

Wie Behörden VS-NfD-Hardware in der Praxis aussondern, zeigt unser Ratgeber VS-NfD-Hardware aussondern. Welche Löschverfahren für HDDs und SSDs geeignet sind, steht im Ratgeber Festplatten und SSDs sicher löschen.

Bezug zu Second IT

Second IT verarbeitet Datenträger VS-NfD-konform und löscht HDDs, SSDs und Mobilgeräte mit Blancco, inklusive digital signiertem Löschzertifikat je Gerät. Nicht löschbare Datenträger werden im eigenen Haus nach DIN 66399 vernichtet, zertifiziert für Sicherheitsstufe H-5. Mehr zur certified data deletion.

Häufige Fragen zur BSI TL-03420

Ist die TL-03420 öffentlich verfügbar?

Die aktuelle Fassung stellt das BSI über einen internen Bereich für berechtigte Stellen bereit. Zugang erhalten in der Regel Behörden und Unternehmen im Geheimschutz auf Antrag.

Gilt die TL-03420 auch für Unternehmen?

Verbindlich ist sie vor allem für Stellen, die mit Verschlusssachen arbeiten, und für Unternehmen, die im staatlichen Auftrag VS verarbeiten. Andere Unternehmen können sich freiwillig an ihr orientieren. Für sie sind meist die DSGVO, DIN 66399 und der IT-Grundschutz maßgeblich.

Was ist der Unterschied zwischen TL-03420 und DIN 66399?

Die DIN 66399 ist eine allgemeine Norm für die physische Vernichtung von Datenträgern mit Schutzklassen und Sicherheitsstufen. Die TL-03420 ist eine Vorgabe des BSI für das Löschen und Vernichten schutzbedürftiger Informationen, vor allem von Verschlusssachen, und umfasst auch Löschverfahren.