In fast jedem gewachsenen Betrieb gibt es diesen einen Schrank. Darin liegen Notebooks mit abgeklebten Inventaraufklebern, zwei Monitore, ein Diensthandy mit gesprungenem Display und ein Dockingset, dessen Netzteil verschollen ist. Niemand weiß mehr, wer die Geräte zuletzt genutzt hat, niemand traut sich, sie wegzuwerfen, und in der Anlagenbuchhaltung stehen sie oft weiterhin als Bestand.

Der Schrank ist kein Ordnungsproblem, sondern das sichtbare Ergebnis einer Asymmetrie im Verfahren. Für die Beschaffung existiert ein durchgehender Pfad: Bedarfsmeldung, Freigabe, Bestellung, Rechnung, Buchung. Jeder Schritt hat einen Auslöser, eine zuständige Rolle und einen Beleg. Für den Rückweg existiert davon fast nichts. Ein Gerät, das aus dem Betrieb fällt, erzeugt keine Rechnung, keine Freigabe und keinen Buchungssatz — und damit auch keinen Anlass, an den sich ein Prozess hängen ließe.

Was Geräte-Management als Disziplin umfasst

IT-Asset-Management ist kein Sammelbegriff für Inventarlisten, sondern ein normierter Gegenstand. ISO/IEC 19770-1:2017 beschreibt die Anforderungen an ein Managementsystem für IT-Assets und ist als Managementsystemnorm nach derselben Grundstruktur aufgebaut wie ISO/IEC 27001 oder ISO 9001 — sie lässt sich also in ein bestehendes System einhängen. Die Norm verlangt unter anderem, dass eine Organisation den Lebenszyklus ihrer Assets festlegt und die Verantwortlichkeiten je Phase benennt.

Aus der Betriebsseite kommt die zweite Referenz: In der IT Infrastructure Library ist die Verwaltung von Assets über ihren Lebenszyklus hinweg mit der Konfigurationsverwaltung verzahnt. Beide Rahmenwerke trennen sauber zwischen dem physischen Gegenstand, seinem Wert und seiner Rolle im Betrieb. Genau diese Trennung fehlt in den meisten mittelständischen Aufstellungen — dort ist die Excel-Liste zugleich Inventar, Zuordnungsverzeichnis und Support-Datenbank, und sie wird von niemandem verantwortet.

Warum die Rückgabe kein Verfahren hat

Die Beschaffung ist deshalb geregelt, weil sie Geld auslöst. Wo Geld fließt, entsteht ein Beleg, und wo ein Beleg entsteht, entsteht eine Kontrolle. Die Rückgabe löst dagegen nichts aus. Sie kostet Zeit, bringt keinen Umsatz, verhindert keinen Stillstand und fällt in eine Woche, in der ohnehin ein Nachfolger eingearbeitet werden muss. Ein Verfahren, das keinen Auslöser hat und dessen Unterlassen niemand bemerkt, entsteht nicht von selbst.

Wie verbreitet das Ergebnis ist, hat der Digitalverband Bitkom erhoben: In einer repräsentativen Befragung von 753 Unternehmen ab 20 Beschäftigten, durchgeführt von Bitkom Research zwischen Mitte September und Ende Oktober 2020, gaben 35 Prozent an, ungenutzte Altgeräte aufzubewahren. 56 Prozent lassen Geräte fachgerecht entsorgen, 24 Prozent spenden noch funktionsfähige Geräte, 14 Prozent geben sie an Beschäftigte weiter und 7 Prozent verkaufen sie extern. Aufbewahren ist damit keine Ausnahme, sondern die zweithäufigste Umgangsform überhaupt.

Die acht Stationen eines Geräts

1. Bedarf und Freigabe Wer meldet den Bedarf, wer entscheidet über die Ausstattungsklasse, welches Budget trägt das Gerät. Diese Station ist fast überall besetzt.
2. Beschaffung Bestellung, Lieferung, Rechnung. Hier entsteht der einzige Beleg, den der gesamte Zyklus zuverlässig erzeugt.
3. Inventarisierung Aufnahme in das Bestandsverzeichnis mit Seriennummer, Anschaffungsdatum und Wert — Voraussetzung für die spätere Inventur.
4. Zuordnung Das Gerät bekommt eine Person, einen Standort und ein Übergabedatum. Ohne diesen Schritt lässt sich später niemand fragen.
5. Betrieb Updates, Reparaturen, Gerätetausch, Verlustmeldungen. Änderungen müssen zurück in den Bestand, sonst driftet die Liste ab.
6. Rücknahme Auslöser ist ein Ereignis in der Personalabteilung oder im Betrieb, nicht eine Erinnerung in der IT. Übergabe wird protokolliert.
7. Datenlöschung Nachweisbare Löschung oder Vernichtung des Datenträgers, dokumentiert mit Verfahren, Datum und Zertifikat.
8. Verwertung und Abgang Weiterverkauf, Spende oder Entsorgung über einen zertifizierten Betrieb — und die Ausbuchung im Anlagenverzeichnis.

Vier Uhren, die für dasselbe Gerät verschieden laufen

Ein wesentlicher Teil der Verwirrung entsteht daraus, dass „Lebensdauer“ vier unterschiedliche Dinge bedeuten kann. Steuerlich ist die Frage seit dem BMF-Schreiben vom 22. Februar 2022 entschärft: Für Computerhardware und die zugehörige Betriebs- und Anwendersoftware kann eine betriebsgewöhnliche Nutzungsdauer von einem Jahr zugrunde gelegt werden. Das Schreiben stellt zugleich klar, dass dies weder eine Sofortabschreibung noch eine neue Abschreibungsmethode ist. Bis dahin galt Nummer 6.14.3.2 der AfA-Tabelle für allgemein verwendbare Anlagegüter mit drei Jahren; diese Regelung ist letztmals für Wirtschaftsjahre anzuwenden, die vor dem 1. Januar 2021 enden.

Entscheidend für den Schrank ist eine Passage, die in der Berichterstattung meist untergeht: Auch bei einjähriger Nutzungsdauer sind die Wirtschaftsgüter in das nach R 5.4 EStR 2012 zu führende Bestandsverzeichnis aufzunehmen. Vollständig abgeschrieben heißt also nicht: aus den Büchern verschwunden. Ein Notebook mit Restbuchwert null bleibt ein Vermögensgegenstand, bis es tatsächlich abgeht.

Was beim Aussondern datenschutzrechtlich zu tun ist

Das Löschen oder Vernichten personenbezogener Daten ist nach Artikel 4 der Datenschutz-Grundverordnung selbst eine Verarbeitung — es unterliegt damit denselben Anforderungen wie jede andere. Der Bundesbeauftragte für den Datenschutz und die Informationsfreiheit leitet daraus zwei Konsequenzen ab: Löschen und Vernichten sind technisch-organisatorische Maßnahmen im Sinne von Artikel 32 DSGVO und müssen ein dem Risiko angemessenes Schutzniveau erreichen. Und wer Datenträger an einen spezialisierten Betrieb übergibt, schließt damit eine Auftragsverarbeitung nach Artikel 28 DSGVO — mit Vertrag, nicht per Zuruf.

An dieser Stelle lohnt ein Blick auf den Rechtsstand. Die vielzitierte DIN 66399 wurde im August 2018 inhaltlich in die internationale Norm ISO/IEC 21964 überführt und 2023 vom DIN zurückgezogen; sie wird nicht mehr fortgeschrieben. Das Konzept dahinter gilt weiter: drei Schutzklassen nach dem Schutzbedarf der Daten und sieben Sicherheitsstufen nach der Wirksamkeit der Vernichtung, gestaffelt nach Medienart. Wer einen Dienstleister beauftragt, sollte auf eine Zertifizierung nach der aktuell gültigen Norm achten. Nach der Vernichtung ist der Vorgang zu dokumentieren: Datenträgertyp, Datum, Verfahren und möglichst ein Vernichtungszertifikat. Der IT-Grundschutz-Baustein CON.6 „Löschen und Vernichten“ des BSI liefert dazu die betriebliche Umsetzung.

Was das ElektroG regelt — und was nicht

Für gewerblich genutzte Geräte gilt eine eigene Systematik. Nach § 19 Absatz 1 ElektroG muss jeder Hersteller für Altgeräte anderer Nutzer als privater Haushalte eine zumutbare Möglichkeit zur Rückgabe schaffen. Seit dem 1. Juli 2022 ist dafür zusätzlich ein Rücknahmekonzept nach § 7a ElektroG bei der zuständigen Behörde zu hinterlegen, das je Geräteart die eingerichteten Rückgabemöglichkeiten benennt. Der Satz, der im Betrieb häufig übersehen wird, steht direkt daneben: Eine Verpflichtung der Endnutzer, die Altgeräte an den Hersteller zu überlassen, besteht nicht.

Es gibt also einen Rückgabeweg, aber keinen Zwang, ihn zu nutzen — und damit erneut keinen Auslöser. Was für den Endnutzer verpflichtend bleibt, ist die getrennte Erfassung nach § 10 Absatz 1 ElektroG: Altgeräte dürfen nicht im unsortierten Siedlungsabfall landen. Bei den Kosten ist zu unterscheiden: Grundsätzlich trägt sie der Hersteller, bei historischen Altgeräten — im Kern solchen, die vor dem 13. August 2005 in Verkehr gebracht wurden — jedoch der gewerbliche Endnutzer. Genau diese Geräte liegen im Zweifel im Schrank.

Was der Schrank in der Bilanz anrichtet

§ 240 Absatz 1 HGB verpflichtet jeden Kaufmann, seine Vermögensgegenstände nach Art, Menge und Wert genau zu verzeichnen und zu bewerten; Absatz 2 verlangt dieses Inventar zum Schluss jedes Geschäftsjahrs. Ein Gerät, das körperlich vorhanden, aber niemandem zugeordnet ist, verletzt diese Pflicht nicht automatisch — es macht ihre Erfüllung nur teuer. Bei der körperlichen Bestandsaufnahme muss jemand Seriennummern abgleichen, Differenzen klären und die Abgänge nachträglich belegen, für die es keinen Beleg mehr gibt.

Die zweite Wirkung ist stiller. Solange ein Gerät im Anlagenverzeichnis steht, gilt es als vorhanden: für die Versicherungssumme, für die Lizenzzuordnung, für die Planung des nächsten Beschaffungszyklus. Fehlt der Abgangsbeleg, wird ein längst entsorgtes Notebook mitversichert und mitgezählt. Ein Schrankbestand kostet damit nicht nur den Wiederbeschaffungswert der Geräte, die man nicht wiederfindet, sondern verzerrt auch die Zahlen, auf deren Grundlage neu gekauft wird.

Eigentum oder Nutzung: was die Beschaffungsform ändert

Zwischen Kauf, Miete und Gerät-als-Service verschiebt sich vor allem, wer den Rückweg organisiert. Beim Kauf bleibt jede Station beim Betrieb, einschließlich Datenlöschung und Verwertung. Bei Miet- und Servicemodellen ist die Rückgabe vertraglich terminiert — es gibt einen Termin, an dem jemand das Gerät zurückerwartet, und damit den fehlenden Auslöser. Der Preis dafür ist eine Bindung an Laufzeiten und ein Verlust an Freiheit bei der Gerätewahl.

Wer das Geräte-Management im Mittelstand nicht vollständig selbst aufbauen will, findet es als Bestandteil von Portalen, die Geräte über den ganzen Lebenszyklus verwalten und die Zuordnung zu Person und Standort an das On- und Offboarding koppeln. kjello etwa ist ein solches Self-Service-Portal, betrieben vom Hamburger Systemhaus hagel IT (seit 2004); der Basistarif liegt bei 29 Euro je Nutzer und Monat netto. Zugeschnitten ist der Ansatz auf Betriebe mit 20 bis 250 Beschäftigten — ausdrücklich nicht auf Konzerne mit eigener großer IT-Organisation.

Wie sich der Rückweg nachrüsten lässt

Der Aufbau beginnt nicht mit einem Werkzeug, sondern mit einem Auslöser. In den meisten Betrieben ist das einzige Ereignis, das zuverlässig und terminiert gemeldet wird, der Austritt einer Person — er liegt in der Personalabteilung und ist mit einem Datum versehen. Wird an dieses Datum eine Rückgabeaufgabe geknüpft, entsteht der fehlende Anlass, ohne dass jemand ein neues Verfahren erfinden muss. Zweiter Auslöser ist der Gerätetausch: Ein neues Gerät wird nur ausgegeben, wenn das alte zurückkommt oder als Abgang erfasst ist.

Der einmalige Aufwand liegt in der Bereinigung des Altbestands: körperliche Aufnahme, Abgleich mit dem Anlagenverzeichnis, Entscheidung je Gerät zwischen Wiedereinsatz, Verkauf, Spende und Entsorgung, danach Löschnachweis und Abgangsbeleg. Sinnvollerweise fällt dieser Durchgang mit der ohnehin fälligen Inventur zusammen — dann ist der Aufwand für die körperliche Aufnahme bereits eingeplant.

Was ein Verzeichnis nicht leistet

Ein gepflegter Gerätebestand ersetzt keine Entscheidung. Er sagt nicht, ob ein vier Jahre altes Notebook noch produktiv ist, und er verhindert nicht, dass Geräte verschwinden — er macht nur sichtbar, dass sie es getan haben. Auch die datenschutzrechtliche Verantwortung wandert nicht mit: Wer die Vernichtung auslagert, bleibt Verantwortlicher im Sinne der DSGVO und muss die Auftragsverarbeitung entsprechend gestalten und dokumentieren. Der Nutzen eines Verzeichnisses liegt darin, dass Abweichungen auffallen, solange sie noch klein sind. Der Schrank entsteht nicht in einem Jahr, sondern über zehn.

Häufige Fragen

Was gehört zum Geräte-Management im Mittelstand?

Der vollständige Lebenszyklus eines IT-Geräts: Bedarfsmeldung, Beschaffung, Inventarisierung, Zuordnung zu einer Person, Betrieb mit Reparaturen und Tausch, Rücknahme, nachweisbare Datenlöschung, Verwertung und Ausbuchung aus dem Anlagenverzeichnis. ISO/IEC 19770-1:2017 beschreibt die Anforderungen an ein Managementsystem für IT-Assets und verlangt, dass die Verantwortlichkeit je Phase benannt ist.

Muss ein vollständig abgeschriebenes Notebook noch im Bestand geführt werden?

Ja. Das BMF-Schreiben vom 22. Februar 2022 stellt ausdrücklich klar, dass die betroffenen Wirtschaftsgüter auch bei einer angenommenen Nutzungsdauer von einem Jahr in das nach R 5.4 EStR 2012 zu führende Bestandsverzeichnis aufzunehmen sind. Ein Restbuchwert von null beendet die Erfassungspflicht nicht — erst der tatsächliche Abgang tut das.

Wer muss die Daten löschen, bevor ein Firmengerät entsorgt wird?

Verantwortlich bleibt das Unternehmen als Verantwortlicher im Sinne der DSGVO. Löschen und Vernichten sind nach Artikel 4 DSGVO selbst eine Verarbeitung und nach Artikel 32 DSGVO eine technisch-organisatorische Maßnahme, die ein risikoangemessenes Schutzniveau erreichen muss. Wird ein Vernichtungsdienstleister beauftragt, liegt eine Auftragsverarbeitung nach Artikel 28 DSGVO vor, die vertraglich zu regeln ist.

Muss der Hersteller gewerblich genutzte Altgeräte zurücknehmen?

Er muss nach § 19 Absatz 1 ElektroG eine zumutbare Rückgabemöglichkeit schaffen und seit dem 1. Juli 2022 ein Rücknahmekonzept nach § 7a ElektroG vorlegen. Eine Pflicht des gewerblichen Endnutzers, die Geräte tatsächlich dem Hersteller zu überlassen, besteht jedoch nicht. Die Entsorgungskosten trägt grundsätzlich der Hersteller — bei historischen Altgeräten dagegen der gewerbliche Endnutzer.

Gilt für die Datenträgervernichtung noch die DIN 66399?

Ihre Inhalte wurden im August 2018 in die internationale Norm ISO/IEC 21964 übernommen; die nationale Norm DIN 66399 hat das DIN im Jahr 2023 zurückgezogen und schreibt sie nicht mehr fort. Das Konzept aus drei Schutzklassen und sieben Sicherheitsstufen gilt inhaltlich weiter. Bei der Auswahl eines Dienstleisters ist auf eine Zertifizierung nach der aktuell gültigen Norm zu achten.