IT forenzika · Podniky

Jak může firma nechat provést forenzní vyšetření služebního smartphonu nebo tabletu?

Dienstliche Smartphones und Tablets enthalten oft entscheidende Belege: geschäftliche Chats, Anrufprotokolle, Standortdaten, Fotos von Dokumenten. Gleichzeitig sind sie häufig auch privat genutzt – die Untersuchung muss beides sauber trennen.

Nezávazná poptávka

Proč je tato otázka pro podnik důležitá

V případě interních incidentů mohou být současně dotčeny hospodářské zájmy, zachování důkazů i práva zaměstnanců. Technicky rozsáhlé vyšetřování proto nemusí být automaticky dobrým vyšetřováním. Rozhodující je jasně definovaná důkazní otázka a srozumitelně vymezený rozsah vyšetřování.

Technischer Hintergrund

Ein MDM-System kann Gerätezustand und Apps verwalten, liefert aber in der Regel keine forensisch vollständige Sicherung. Die mögliche Sicherungstiefe hängt von Modell, Betriebssystemversion und Sperrstatus ab. Wird ein Gerät per MDM gelöscht oder zurückgesetzt, sind die Daten meist verloren.

Relevante Spuren und Datenquellen

  • Messenger-Datenbanken (z. B. WhatsApp, Teams, Signal – soweit verfügbar)
  • Anruflisten, SMS, Kontakte, Kalender
  • Standortdaten und Fotos mit Metadaten
  • iOS KnowledgeC/Biome bzw. Android UsageStats (Gerätenutzung)
  • MDM-Protokolle (Zuweisung, Wipes, Profile)

Grenzen

  • Gesperrte Geräte ohne Code können nur eingeschränkt gesichert werden.
  • Ende-zu-Ende-verschlüsselte Messenger sind nur auf dem Gerät selbst auswertbar.

Mögliche Ergebnisse

  • Relevante Kommunikation und Aktivitäten im Zeitraum
  • Nachweis von Löschungen oder Zurücksetzungen

Proč LanCologne?

Při interních vyšetřováních dochází k přímému střetu několika zájmů: společnost musí být schopna chránit své systémy, data, obchodní tajemství a hospodářské zájmy. Zároveň je třeba dbát na ochranu osobních údajů zaměstnanců, zásadu přiměřenosti, právo na spolurozhodování a případně i na soukromou sféru.

So gehen wir vor

  • Gerät nicht zurücksetzen oder per MDM löschen; Akku und Flugmodus beachten.
  • Festlegung des Umfangs (dienstliche Daten, Zeitraum) mit Rechtsberatung.
  • Sicherung in der technisch möglichen Tiefe und gefilterte Auswertung.

Žádné předčasné odsuzování zaměstnanců

Vnitřní podezření se nepovažuje za výsledek vyšetřování. Prověřujeme, které technické skutečnosti ho podporují, které mu odporují a jaká existují alternativní vysvětlení. I výsledek, který je pro společnost nepříznivý nebo ji naopak zbavuje podezření, je důkladně zdokumentován.

Srozumitelné pro vedení společnosti a právní oddělení – reprodukovatelné pro forenzní experty

Hlavní část vysvětluje klíčové sdělení bez zbytečné odborné terminologie. Technická část dokumentuje zdroje dat, stavy záloh, identifikátory, informace o integritě, časové reference, umístění artefaktů a kroky validace. Díky tomu zůstává šetření srozumitelné pro pozdější odbornou kontrolu.

LanCologne jako nezávislá technická podpora pro firmy

Pokud je třeba technicky objasnit interní incident, společnost LanCologne poskytuje podporu v podobě objektivního, nestranného a transparentního IT forenzního vyšetřování. Rozhodující není požadovaný výsledek, ale výhradně to, co lze na základě digitálních stop skutečně prokázat v rámci povoleného rozsahu vyšetřování.

Právní rámec

V případě údajů o zaměstnancích je v Německu třeba dbát zejména na § 26 BDSG. Osobní údaje zaměstnanců smí být zpracovávány pro účely pracovního poměru, pokud je to nezbytné pro účely tam uvedené. Pro odhalování trestných činů stanoví § 26 odst. 1 BDSG zvláštní podmínky: Musí existovat zdokumentované skutečné indicie, které zakládají podezření, že dotčená osoba spáchala v rámci pracovního poměru trestný čin; zpracování musí být nezbytné pro odhalení trestného činu a nesmíte převážit oprávněný zájem zaměstnance. Zejména nesmí být nepřiměřený způsob ani rozsah zpracování.

Kromě toho platí obecné zásady GDPR. Článek 5 GDPR vyžaduje mimo jiné zákonnost, účelovost a minimalizaci údajů. Článek 6 GDPR vyžaduje opodstatněný právní základ pro zpracování. Technicky proveditelné vyhodnocení proto není automaticky vyhodnocením právně přípustným.

V případě technických zařízení může být relevantní také § 87 odst. 1 bod 6 zákona o podnikových radách (BetrVG). Podle něj má podniková rada, pokud neexistuje žádné zákonné nebo kolektivní ujednání, právo na spolurozhodování při zavádění a používání technických zařízení, která jsou určena ke sledování chování nebo výkonu zaměstnanců. To může být relevantní například v případě systémů MDM, EDR, DLP, logování nebo jiných monitorovacích systémů, v závislosti na jejich konkrétním provedení.

§ 26 odst. 6 BDSG výslovně upřesňuje, že práva na účast zástupců zájmů zaměstnanců zůstávají nedotčena. Konkrétní přípustnost vyšetřovacího opatření z hlediska pracovního práva a práva na organizaci v podniku by proto měla být v případě, že se týká zaměstnanců, před jeho provedením vyjasněna s příslušným právním poradcem a případně s příslušnými podnikovými orgány.

LanCologne tuto právní prověrku nenahrazuje. Naším úkolem je po stanovení přípustného rámce šetření prošetřit technickou důkazní otázku srozumitelným, přiměřeným a nestranným způsobem.

Často kladené otázky

Je možné automaticky provést úplnou analýzu firemního zařízení pouze proto, že je ve vlastnictví společnosti?+
Ne automaticky. Vlastnictví zařízení a přípustnost zpracování osobních údajů zaměstnanců jsou dvě odlišné otázky. Je třeba zohlednit účel, právní základ, nezbytnost a přiměřenost.
Lze data ze systému správy mobilních zařízení (MDM) bez omezení využít pro interní vyšetřování?+
Údaje z MDM mohou poskytovat technicky cenné informace. Je však třeba v každém jednotlivém případě ověřit, jaké údaje jsou skutečně k dispozici a zda je lze pro konkrétní vyšetření použít.
Je cílem interního IT forenzního vyšetřování cílené hledání usvědčujících důkazů proti konkrétnímu zaměstnanci?+
Ne. Odpovídáme na konkrétní technickou otázku týkající se důkazů, aniž bychom předjímali výsledek. Zjištění hovořící ve prospěch obžalovaného i běžná technická vysvětlení jsou dokumentována podle stejných měřítek.
Co se stane, když nelze určitý čin s jistotou přiřadit konkrétní osobě?+
V takovém případě se rozsah tohoto tvrzení odpovídajícím způsobem omezí. Uživatelský účet, zařízení nebo relace nesmí být považovány za totožné s fyzickou osobou bez dostatečných spojovacích skutečností.
Brauchen Sie den Entsperrcode?+
In der Regel ja. Ohne Code ist die Sicherung stark eingeschränkt.
Was ist mit privaten Daten auf dem Gerät?+
Sie werden, soweit möglich, ausgeklammert. Den Umfang legen Sie mit Ihrer Rechtsberatung fest.
Reicht ein iCloud-Backup?+
Es kann helfen, ist aber nicht immer vollständig und nicht immer aktuell.

Weiterführende Themen

LanCologne – IT forenzika pro firmy

Máte dotaz týkající se digitální oblasti? Společnost LanCologne vám pomůže s objektivním a nestranným IT forenzním vyšetřováním.

Kontaktujte nás hned teď