IT forenzika · Podniky

Jak může společnost ověřit, zda odcházející zaměstnanec odnesl s sebou firemní data?

Při odchodu zaměstnance může vzniknout podezření, že došlo ke kopírování nebo přenosu firemních dat. Samotná časová souvislost však ještě neprokazuje, že došlo k odnesení dat.

Nezávazná poptávka

Proč je tato otázka pro podnik důležitá

V případě možného úniku dat jsou často v sázce značné ekonomické hodnoty, vztahy se zákazníky, znalosti z oblasti vývoje nebo konkurenční výhody. Důkladné šetření proto musí přesně objasnit, k jakému pohybu dat skutečně došlo, aniž by z pouhého podezření vyvozovalo porušení zákona.

Technický přístup k výzkumu

Wir definieren die konkret relevanten Datenbestände und untersuchen geeignete Spuren zu Dateioperationen, externen Datenträgern, Cloud-, E-Mail- oder anderen Übertragungswegen.

Kde leží hranice výpovědi

Eine erhöhte Dateiaktivität kurz vor dem Ausscheiden ist kein automatischer Nachweis einer unbefugten Mitnahme. Übergabe-, Archivierungs- oder Projektarbeiten müssen als Alternativerklärung geprüft werden.

Proč LanCologne?

Podezření z odcizení dat nebo ztráty důvěrných firemních informací může mít závažné ekonomické a právní důsledky. Právě proto nesmí vyšetřování začínat s předem stanoveným výsledkem.

LanCologne nejprve převádí daný stav věcí na konkrétní technické otázky týkající se důkazů: Které soubory nebo datové soubory jsou dotčeny? Byly skutečně otevřeny, zkopírovány, exportovány, archivovány nebo přeneseny? Jaký technický způsob přenosu lze prokázat? Kdy k tomu došlo? Jaký kontext zařízení, účtu nebo relace lze doložit?

Přitom striktně rozlišujeme mezi možností přístupu, skutečným přístupem, procesem kopírování a úspěšným přenosem. Tyto pojmy se v praxi často zaměňují, ačkoli z technického hlediska popisují odlišné skutečnosti.

Klíčové nálezy se v maximální možné míře ověřují na základě primárních dat a porovnávají s nezávislými zdroji. Automatický alarm, zpráva nástroje ani jednotlivý časový údaj nejsou bez ověření považovány za důkaz.

Stejně tak se prověřují běžná alternativní vysvětlení. Procesy předávání, projektové archivy, zálohy, synchronizace, aktualizace softwaru nebo povolené využívání cloudu mohou zanechávat stopy, které bez kontextu působí podezřele. Teprve až budou taková vysvětlení na základě dat vymezena, je možné provést spolehlivé technické posouzení.

Pro LanCologne představuje i negativní nález úplný výsledek vyšetření. Pokud nelze potvrdit tvrzení o odcizení dat, zaznamená se to stejně jako prokazatelný přenos.

Náš způsob práce

1Zaznamenat důvod podezření a konkrétní technickou otázku týkající se důkazů.

2Stanovit právní rámec a kompetence prostřednictvím podniků, resp. právního poradenství.

3Omezte relevantní datové sady, zařízení, účty a časová období.

4Získat včas údaje o změnách v důkazech.

5Zaznamenávat zdroje dat, jejich původ a informace o integritě.

6Technicky oddělit přístup, kopírování, export, archivaci a přenos.

7Cílová média a způsoby přenosu lze přiřadit pouze na základě konkrétních stop.

8Nesmí se zaměňovat přiřazení zařízení, účtu a osoby.

9Zkontrolovat také běžné pracovní postupy a další možné vysvětlení.

10Technicky zdokumentovat ochranná opatření týkající se údajných obchodních tajemství, je-li to relevantní.

11Zobrazení negativních, pozitivních a nejasných nálezů rovnocenným způsobem.

12Technické zjištění a právní posouzení je třeba výslovně oddělit.

Obchodní tajemství je právní pojem – pohyb dat je technická důkazní otázka

Můžeme zjistit, respektive vymezit, jaké soubory existovaly, jaké technické ochranné mechanismy byly zavedeny a jaké úkony týkající se přístupu, kopírování nebo přenosu lze prokázat. To, zda daná informace splňuje podmínky obchodního tajemství a zda byl určitý úkon neoprávněný či protiprávní, se posuzuje samostatně z právního hlediska.

Žádné předčasné soudy – ani v případě nápadných vzorců přestupů

Neobvykle častý přístup k souborům, připojení přes USB nebo přihlášení do cloudu mohou být důvodem k dalšímu prošetření, ale samy o sobě ještě neznamenají žádný závěr. Současně se prověřují i alternativní pracovní postupy. Pokud existuje více možných vysvětlení, tato nejistota se nenahrazuje pouhým odhadem.

Proč se v souvislosti s přenosem dat a obchodním tajemstvím hovoří o principu LanCologne?

LanCologne neprovádí šetření za účelem potvrzení předem daného podezření. Odpovídáme na konkrétní technickou otázku týkající se důkazů, dokumentujeme podkladové primární údaje a stejně jasně uvádíme, co nelze prokázat. Tímto způsobem poskytujeme vedení společnosti a právnímu oddělení faktický podklad, který obstojí i při pozdější odborné kontrole.

Právní rámec

V souvislosti se zaměstnanci zůstává § 26 BDSG zásadním východiskem. Pro odhalení trestných činů vyžaduje § 26 odst. 1 BDSG mimo jiné zdokumentované konkrétní indice, nezbytnost a přiměřenost; zájmy zaměstnance, které si zasluhují ochranu, nesmí převažovat. Kromě toho platí zásady GDPR, zejména zákonnost, účelová vázanost a minimalizace údajů.

Zákon o ochraně obchodního tajemství (GeschGehG) má pro obchodní tajemství zásadní význam. Podle § 2 č. 1 zákona o ochraně obchodního tajemství (GeschGehG) nestačí jakákoli důvěrná informace: informace musí mimo jiné mít ekonomickou hodnotu, protože není obecně známá ani snadno přístupná, musí být předmětem opatření k zachování tajemství přiměřených daným okolnostem a musí existovat oprávněný zájem na zachování tajemství.

§ 4 zákona o obchodním tajemství (GeschGehG) zakazuje za určitých podmínek mimo jiné neoprávněný přístup k elektronickým souborům, které obsahují obchodní tajemství nebo z nichž lze obchodní tajemství odvodit, jakož i jejich neoprávněné přivlastnění nebo neoprávněné kopírování. Zakázáno může být rovněž jejich použití a zveřejnění. O tom, zda technicky prokázaný úkon splňuje právní znaky trestného činu, nerozhoduje IT forenzní expert.

Zákon o ochraně oznamovatelů (GeschGehG) obsahuje navíc výjimky. § 5 uvádí zejména určité úkony na ochranu oprávněných zájmů, mezi nimiž je za určitých podmínek i odhalení protiprávních jednání nebo profesního či jiného pochybení. Kromě toho může být relevantní také zákon o ochraně oznamovatelů (HinSchG). § 6 HinSchG upravuje za určitých podmínek předávání či zveřejňování obchodních tajemství v rámci chráněných oznámení. Podezření na únik dat proto nelze automaticky ztotožňovat s protiprávním porušením tajemství.

Zákon o elektronickém obchodu (GeschGehG) stanoví v případě zjištěných porušení práva možné občanskoprávní nároky, mezi něž patří náprava a zanechání protiprávního jednání (§ 6), další opatření podle § 7, určité nároky na poskytnutí informací podle § 8 a náhrada škody podle § 10. Jaké nároky v konkrétním případě existují, je třeba posoudit z právního hlediska. IT forenzika k tomu poskytuje pouze technický podklad.

V případě, že se k monitorování zaměstnanců využívají technická zařízení, mohou být relevantní také práva na účast podnikové rady, zejména podle § 87 odst. 1 bodu 6 zákona o podnikových radách (BetrVG). Konkrétní přípustnost této praxe bude před zahájením šetření vyjasněna příslušnými podnikovými a právními orgány.

Často kladené otázky

Jak může společnost ověřit, zda odcházející zaměstnanec odnesl s sebou firemní data?+

Jak taková technická prohlídka probíhá v praxi?+

Wir definieren die konkret relevanten Datenbestände und untersuchen geeignete Spuren zu Dateioperationen, externen Datenträgern, Cloud-, E-Mail- oder anderen Übertragungswegen.

Přináší vyšetřování vždy jednoznačný výsledek v neprospěch nebo ve prospěch dotčené osoby?+

Existuje pro to právní základ?+

Bei Mitarbeiterbezug bleibt § 26 BDSG ein wesentlicher Ausgangspunkt. Für die Aufdeckung von Straftaten verlangt § 26 Abs. 1 BDSG unter anderem zu dokumentierende tatsächliche Anhaltspunkte, Erforderlichkeit und Verhältnismäßigkeit; das schutzwürdige Interesse der beschäftigten Person darf nicht überwiegen. Daneben gelten die Grundsätze der DSGVO, insbesondere Rechtmäßigkeit, Zweckbindung und Datenminimierung. Für Geschäftsgeheimnisse ist das GeschGehG zentral. Nach § 2 Nr. 1 GeschGehG genügt nicht jede vertrauliche Information: Die Information muss unter anderem wirtschaftlichen Wert besitzen, weil sie nicht allgemein bekannt oder ohne Weiteres zugänglich ist, Gegenstand den Umständen nach angemessener Geheimhaltungsmaßnahmen sein und es muss ein berechtigtes Geheimhaltungsinteresse bestehen. § 4 GeschGehG verbietet unter bestimmten Voraussetzungen unter anderem den unbefugten Zugang zu, die unbefugte Aneignung oder das unbefugte Kopieren von elektronischen Dateien, die ein Geschäftsgeheimnis enthalten oder aus denen es sich ableiten lässt. Nutzung und Offenlegung können ebenfalls verboten sein. Ob ein technisch nachgewiesener Vorgang die rechtlichen Tatbestandsmerkmale erfüllt, entscheidet nicht der IT-Forensiker. Das GeschGehG enthält außerdem Ausnahmen. § 5 nennt insbesondere bestimmte Handlungen zum Schutz berechtigter Interessen, darunter unter Voraussetzungen die Aufdeckung rechtswidriger Handlungen oder beruflichen beziehungsweise sonstigen Fehlverhaltens. Zusätzlich kann das Hinweisgeberschutzgesetz einschlägig sein. § 6 HinSchG regelt unter bestimmten Voraussetzungen die Weitergabe beziehungsweise Offenlegung von Geschäftsgeheimnissen im Rahmen geschützter Meldungen. Ein Datenabflussverdacht darf daher nicht automatisch mit einer rechtswidrigen Geheimnisverletzung gleichgesetzt werden. Das GeschGehG sieht bei festgestellten Rechtsverletzungen mögliche zivilrechtliche Ansprüche vor, darunter Beseitigung und Unterlassung (§ 6), weitere Maßnahmen nach § 7, bestimmte Auskunftsansprüche nach § 8 und Schadensersatz nach § 10. Welche Ansprüche im Einzelfall bestehen, ist juristisch zu prüfen. Die IT-Forensik liefert hierfür lediglich die technische Tatsachengrundlage. Soweit technische Einrichtungen zur Mitarbeiterüberwachung eingesetzt werden, können außerdem Beteiligungsrechte des Betriebsrats, insbesondere nach § 87 Abs. 1 Nr. 6 BetrVG, relevant sein. Die konkrete Zulässigkeit wird vor der Untersuchung durch die zuständigen betrieblichen und rechtlichen Stellen geklärt.