IT-kriminalteknik · Virksomheder

Wie kann ein Unternehmen prüfen lassen, ob ein ausscheidender Mitarbeiter Unternehmensdaten mitgenommen hat?

Beim Ausscheiden eines Mitarbeiters kann der Verdacht entstehen, dass Unternehmensdaten kopiert oder übertragen wurden. Der zeitliche Zusammenhang allein beweist jedoch keine Datenmitnahme.

Uforpligtende forespørgsel

Hvorfor dette spørgsmål er vigtigt for en virksomhed

I tilfælde af mulige datalækager står der ofte betydelige økonomiske værdier, kundeforhold, udviklingsviden eller konkurrencefordele på spil. En grundig undersøgelse skal derfor præcist afklare, hvilke data der rent faktisk er blevet overført, uden at en mistanke i sig selv betragtes som en overtrædelse af loven.

Teknisk undersøgelsesmetode

Wir definieren die konkret relevanten Datenbestände und untersuchen geeignete Spuren zu Dateioperationen, externen Datenträgern, Cloud-, E-Mail- oder anderen Übertragungswegen.

Hvor grænsen for udsagn ligger

Eine erhöhte Dateiaktivität kurz vor dem Ausscheiden ist kein automatischer Nachweis einer unbefugten Mitnahme. Übergabe-, Archivierungs- oder Projektarbeiten müssen als Alternativerklärung geprüft werden.

Hvorfor LanCologne?

Mistanke om, at data er blevet taget med eller at fortrolige virksomhedsoplysninger er gået tabt, kan have betydelige økonomiske og juridiske konsekvenser. Netop derfor må undersøgelsen ikke starte med det ønskede resultat.

LanCologne omsætter først sagens faktiske omstændigheder til konkrete tekniske bevisspørgsmål: Hvilke filer eller datasæt er berørt? Er de rent faktisk blevet åbnet, kopieret, eksporteret, arkiveret eller overført? Hvilken teknisk overførselsvej kan påvises? Hvornår skete dette? Hvilken enheds-, konto- eller sessionskontekst kan dokumenteres?

I den forbindelse skelner vi strengt mellem adgangsmulighed, faktisk adgang, kopiering og vellykket overførsel. Disse begreber blandes ofte sammen i praksis, selvom de teknisk set beskriver forskellige forhold.

Væsentlige fund kontrolleres så vidt muligt op mod primærdata og sammenholdes med uafhængige kilder. En automatisk alarm, en værktøjsrapport eller et enkelt tidsstempel betragtes ikke som bevis uden nærmere kontrol.

Der undersøges ligeledes almindelige alternative forklaringer. Overførselsprocesser, projektarkiver, sikkerhedskopier, synkronisering, softwareopdateringer eller tilladt brug af cloud-tjenester kan efterlade spor, der uden sammenhæng kan virke mistænkelige. Først når sådanne forklaringer er blevet indsnævret på baggrund af dataene, er det muligt at foretage en pålidelig teknisk vurdering.

For LanCologne udgør også et negativt fund et fuldstændigt undersøgelsesresultat. Hvis en påstået dataoverførsel ikke kan bekræftes, dokumenteres dette på samme måde som en påviselig overførsel.

Vores arbejdsmetode

1Dokumentér grundlaget for mistanken og det konkrete tekniske bevisspørgsmål.
2Fastlægge de retlige rammer og ansvarsfordelingen gennem virksomhederne eller juridisk rådgivning.
3Begræns relevante datasæt, enheder, konti og tidsperioder.
4Indhent variable bevisdata i god tid.
5Dokumentere datakilder, oprindelse og oplysninger om integritet.
6Adgang, kopiering, eksport, arkivering og overførsel skal adskilles teknisk fra hinanden.
7Målmedier og overførselsveje skal kun identificeres på baggrund af konkrete spor.
8Man skal ikke sætte lighedstegn mellem tildeling af enheder, konti og personer.
9Undersøg også de normale arbejdsgange og andre mulige forklaringer.
10Teknisk dokumentation af beskyttelsesforanstaltninger for påståede forretningshemmeligheder, i det omfang det er relevant.
11Fremstille belastende, aflastende og åbne fund på lige fod.
12Der skal udtrykkeligt skelnes mellem den tekniske konstatering og den juridiske vurdering.

En forretningshemmelighed er en juridisk klassificering – dataoverførsel er et teknisk bevisspørgsmål

Vi kan fastslå henholdsvis afgrænse, hvilke filer der fandtes, hvilke tekniske beskyttelsesmekanismer der var på plads, og hvilke handlinger vedrørende adgang, kopiering eller overførsel der kan påvises. Hvorvidt de pågældende oplysninger opfylder betingelserne for en forretningshemmelighed, og om en handling var uautoriseret eller ulovlig, vurderes juridisk uafhængigt heraf.

Ingen forhastede konklusioner – heller ikke ved iøjnefaldende overgangsmønstre

En usædvanlig stor filadgang, en USB-tilslutning eller en cloud-login kan give anledning til yderligere undersøgelse, men er ikke i sig selv en konklusion. Alternative arbejdsgange undersøges også. Hvor der fortsat er flere mulige forklaringer, erstattes denne usikkerhed ikke af en formodning.

Hvorfor LanCologne i forbindelse med dataoverførsel og forretningshemmeligheder?

LanCologne foretager ikke undersøgelser med det formål at bekræfte en forudgående mistanke. Vi besvarer det konkrete tekniske bevisspørgsmål, dokumenterer de underliggende primærdata og angiver ligeledes klart, hvad der ikke kan bevises. Dermed får ledelsen og juridisk afdeling et faktuelt grundlag, der også kan modstå en senere faglig kontrol.

Retsgrundlag

Når det drejer sig om medarbejdere, udgør § 26 i BDSG et væsentligt udgangspunkt. Med henblik på afsløring af strafbare handlinger kræver § 26, stk. 1, i BDSG blandt andet, at der foreligger dokumenterbare faktiske indicier, samt at foranstaltningen er nødvendig og forholdsmæssig; den ansattes beskyttelsesværdige interesse må ikke veje tungere. Derudover gælder principperne i GDPR, især lovlighed, formålsbegrænsning og dataminimering.

Loven om forretningshemmeligheder (GeschGehG) spiller en central rolle for forretningshemmeligheder. I henhold til § 2, nr. 1, i GeschGehG er det ikke nok, at en oplysning er fortrolig: Oplysningen skal blandt andet have økonomisk værdi, fordi den ikke er alment kendt eller let tilgængelig, den skal være genstand for fortrolighedsforanstaltninger, der er rimelige i forhold til omstændighederne, og der skal foreligge en berettiget interesse i at bevare fortroligheden.

§ 4 i GeschGehG forbyder under visse forudsætninger blandt andet uberettiget adgang til, uberettiget tilegnelse eller uberettiget kopiering af elektroniske filer, der indeholder en forretningshemmelighed, eller hvorfra en sådan kan udledes. Brug og offentliggørelse kan ligeledes være forbudt. Det er ikke IT-forensikeren, der afgør, om en teknisk påvist handling opfylder de juridiske kriterier for en lovovertrædelse.

Loven om beskyttelse af whistleblowere indeholder desuden undtagelser. § 5 nævner især visse handlinger til beskyttelse af berettigede interesser, herunder – på visse betingelser – afsløring af ulovlige handlinger eller faglig eller anden form for uredelighed. Derudover kan loven om beskyttelse af whistleblowere (HinSchG) være relevant. § 6 i HinSchG regulerer under visse betingelser videregivelse eller offentliggørelse af forretningshemmeligheder i forbindelse med beskyttede indberetninger. En mistanke om datalækage må derfor ikke automatisk sidestilles med en ulovlig krænkelse af forretningshemmeligheder.

GeschGehG fastsætter mulige civilretlige krav i tilfælde af konstaterede krænkelser, herunder fjernelse og forbud (§ 6), yderligere foranstaltninger i henhold til § 7, bestemte krav om oplysninger i henhold til § 8 og erstatning i henhold til § 10. Hvilke krav der foreligger i det enkelte tilfælde, skal undersøges juridisk. IT-forensikken leverer her til kun det tekniske faktagrundlag.

I det omfang der anvendes tekniske anordninger til overvågning af medarbejderne, kan arbejdsrådets medbestemmelsesrettigheder, navnlig i henhold til § 87, stk. 1, nr. 6, i BetrVG, desuden være relevante. Den konkrete tilladelighed afklares inden undersøgelsen af de kompetente instanser i virksomheden og de relevante juridiske instanser.

Ofte stillede spørgsmål

Wie kann ein Unternehmen prüfen lassen, ob ein ausscheidender Mitarbeiter Unternehmensdaten mitgenommen hat?+
I tilfælde af mulige datalækager står der ofte betydelige økonomiske værdier, kundeforhold, udviklingsviden eller konkurrencefordele på spil. En grundig undersøgelse skal derfor præcist afklare, hvilke data der rent faktisk er blevet overført, uden at en mistanke i sig selv betragtes som en overtrædelse af loven.
Hvordan foregår en sådan teknisk undersøgelse i praksis?+
Wir definieren die konkret relevanten Datenbestände und untersuchen geeignete Spuren zu Dateioperationen, externen Datenträgern, Cloud-, E-Mail- oder anderen Übertragungswegen.
Giver undersøgelsen altid et entydigt resultat, der går imod eller til fordel for en af de involverede personer?+
Eine erhöhte Dateiaktivität kurz vor dem Ausscheiden ist kein automatischer Nachweis einer unbefugten Mitnahme. Übergabe-, Archivierungs- oder Projektarbeiten müssen als Alternativerklärung geprüft werden.
Er der et retsgrundlag for dette?+
Bei Mitarbeiterbezug bleibt § 26 BDSG ein wesentlicher Ausgangspunkt. Für die Aufdeckung von Straftaten verlangt § 26 Abs. 1 BDSG unter anderem zu dokumentierende tatsächliche Anhaltspunkte, Erforderlichkeit und Verhältnismäßigkeit; das schutzwürdige Interesse der beschäftigten Person darf nicht überwiegen. Daneben gelten die Grundsätze der DSGVO, insbesondere Rechtmäßigkeit, Zweckbindung und Datenminimierung. Für Geschäftsgeheimnisse ist das GeschGehG zentral. Nach § 2 Nr. 1 GeschGehG genügt nicht jede vertrauliche Information: Die Information muss unter anderem wirtschaftlichen Wert besitzen, weil sie nicht allgemein bekannt oder ohne Weiteres zugänglich ist, Gegenstand den Umständen nach angemessener Geheimhaltungsmaßnahmen sein und es muss ein berechtigtes Geheimhaltungsinteresse bestehen. § 4 GeschGehG verbietet unter bestimmten Voraussetzungen unter anderem den unbefugten Zugang zu, die unbefugte Aneignung oder das unbefugte Kopieren von elektronischen Dateien, die ein Geschäftsgeheimnis enthalten oder aus denen es sich ableiten lässt. Nutzung und Offenlegung können ebenfalls verboten sein. Ob ein technisch nachgewiesener Vorgang die rechtlichen Tatbestandsmerkmale erfüllt, entscheidet nicht der IT-Forensiker. Das GeschGehG enthält außerdem Ausnahmen. § 5 nennt insbesondere bestimmte Handlungen zum Schutz berechtigter Interessen, darunter unter Voraussetzungen die Aufdeckung rechtswidriger Handlungen oder beruflichen beziehungsweise sonstigen Fehlverhaltens. Zusätzlich kann das Hinweisgeberschutzgesetz einschlägig sein. § 6 HinSchG regelt unter bestimmten Voraussetzungen die Weitergabe beziehungsweise Offenlegung von Geschäftsgeheimnissen im Rahmen geschützter Meldungen. Ein Datenabflussverdacht darf daher nicht automatisch mit einer rechtswidrigen Geheimnisverletzung gleichgesetzt werden. Das GeschGehG sieht bei festgestellten Rechtsverletzungen mögliche zivilrechtliche Ansprüche vor, darunter Beseitigung und Unterlassung (§ 6), weitere Maßnahmen nach § 7, bestimmte Auskunftsansprüche nach § 8 und Schadensersatz nach § 10. Welche Ansprüche im Einzelfall bestehen, ist juristisch zu prüfen. Die IT-Forensik liefert hierfür lediglich die technische Tatsachengrundlage. Soweit technische Einrichtungen zur Mitarbeiterüberwachung eingesetzt werden, können außerdem Beteiligungsrechte des Betriebsrats, insbesondere nach § 87 Abs. 1 Nr. 6 BetrVG, relevant sein. Die konkrete Zulässigkeit wird vor der Untersuchung durch die zuständigen betrieblichen und rechtlichen Stellen geklärt.

LanCologne – IT-kriminalteknik for virksomheder

Har du et spørgsmål vedrørende digital kriminalitet? LanCologne hjælper dig med en objektiv og resultatorienteret IT-forensisk undersøgelse.

Kontakt os nu