IT-kriminalteknik · Virksomheder

Hvordan kan en virksomhed foretage en IT-forensisk undersøgelse af en mistanke om overtrædelse af reglerne uden at foregribe resultatet?

Ein Compliance-Hinweis kann eine interne Untersuchung erforderlich machen. Aus einem Hinweis folgt jedoch weder die Richtigkeit des Vorwurfs noch die Verantwortlichkeit einer bestimmten Person.

Uforpligtende forespørgsel

Hvorfor dette spørgsmål er vigtigt for en virksomhed

Interne undersøgelser kan medføre betydelige økonomiske, personalemæssige og juridiske konsekvenser. Netop derfor skal det først afklares, hvilke konkrete tekniske forhold der skal bevises eller modbevises. En så stor datamængde som muligt er ikke et kvalitetskriterium; det afgørende er en saglig, afgrænset og gennemsigtig undersøgelse.

Teknisk undersøgelsesmetode

Wir übersetzen den Sachverhalt in überprüfbare technische Teilfragen und untersuchen nur die hierfür erforderlichen Systeme, Accounts, Zeiträume und Datenarten.

Hvor grænsen for udsagn ligger

Die IT-Forensik stellt technische Tatsachen fest. Ob daraus ein arbeits-, zivil- oder strafrechtlicher Verstoß folgt, ist gesondert zu bewerten.

Hvorfor LanCologne?

Interne undersøgelser er særligt følsomme, da de samtidig kan berøre virksomhedens økonomiske interesser, medarbejdernes personlige rettigheder, databeskyttelse, medbestemmelse i virksomheden og eventuelle senere retssager.

LanCologne starter derfor ikke med en så omfattende gennemsøgning af IT-systemerne som muligt. Udgangspunktet er et klart formuleret teknisk bevisspørgsmål. Herfra udledes de nødvendige datakilder, tidsperioder og undersøgelsestrin. Den tekniske adgangsmulighed og den juridiske tilladelighed adskilles bevidst fra hinanden.

Undersøgelsen forbliver åben for alle mulige udfald. En mistanke bekræftes ikke blot fordi den lyder plausibel. Beviser, der taler for, imod eller modsiger hinanden, vurderes efter de samme faglige kriterier. Når der er flere mulige tekniske forklaringer, angives disse og sammenlignes så vidt muligt med hinanden.

Automatiserede rapporter, EDR-alarmer, DLP-treffere eller resultater fra forensisk software accepteres ikke som bevis uden nærmere undersøgelse. Væsentlige udsagn valideres så vidt muligt ud fra primærdata og sammenholdes med uafhængige artefakter.

Med henblik på en senere faglig gennemgang dokumenterer vi ikke blot resultatet, men også den måde, det er fremkommet på. Den letforståelige hoveddel er rettet mod ledelsen og den juridiske afdeling, mens et teknisk bilag gør det muligt for en kvalificeret ekstern retsmediciner at følge med i de væsentlige konklusioner.

Vores arbejdsmetode

1Fastlæg grundlaget for undersøgelsen og det konkrete bevisspørgsmål.

2Afklar på forhånd, hvem der har kompetence, hvilket retsgrundlag der gælder, og eventuelle medbestemmelsesrettigheder.

3Begræns omfanget af personer, systemer, konti, tid og data til det nødvendige.

4Bevare flygtige data eller data, der risikerer at gå tabt, i god tid.

5Der skal tages højde for fortrolighed og »need-to-know«-princippet både organisatorisk og teknisk.

6Adskil originaldata fra passende sikkerhedskopier af arbejdskopier.

7Integritet, oprindelse og sikkerhedstidspunkt skal dokumenteres på en måde, der gør det muligt at spore dem.

8Valider produktalarmer og værktøjsudskrifter i forhold til primærdata.

9Man skal ikke sætte lighedstegn mellem tilknytning af konti, enheder, sessioner og personer.

10Undersøg belastende, aflastende og alternative forklaringer på lige fod.

11Adskil tekniske konstateringer fra juridiske konklusioner.

12Udarbejd hovedrapporten på en forståelig måde og det tekniske bilag på en måde, der gør det muligt at gentage resultaterne.

Ingen forhastet dom – heller ikke i tilfælde, hvor mistanken allerede er fastslået internt

En virksomhed kan af organisatoriske eller juridiske årsager allerede have en klar mistanke. Udfaldet af den tekniske undersøgelse forbliver dog uafklaret. Vi dokumenterer også fund, der modsiger mistanken, og angiver udtrykkeligt, hvis en påstået handling ikke kan bevises på baggrund af de indhentede data.

Den tekniske vurdering og den juridiske vurdering holdes adskilt

IT-kriminalteknik kan f.eks. fastslå, at en bestemt konto har eksporteret en fil, at en enhed var forbundet på et bestemt tidspunkt, eller at en besked blev overført teknisk set. Dette betyder dog ikke automatisk, hvilken fysisk person der har handlet, om handlingen var tilladt, eller hvilke konsekvenser der følger heraf i henhold til arbejdsretten, civilretten eller strafferetten.

LanCologne som uafhængig teknisk støtte til juridisk afdeling og ledelsen

LanCologne får ikke til opgave at bekræfte et ønsket resultat teknisk. Vi får til opgave at besvare et konkret bevisspørgsmål objektivt på baggrund af de tilgængelige digitale spor. Undersøgelsen skal forblive gennemsigtig, selv hvis den senere bliver kritisk gennemgået af en modpart, en domstol eller en anden kvalificeret IT-forensiker.

Retsgrundlag

§ 26 i BDSG udgør et væsentligt lovmæssigt referencepunkt for medarbejderoplysninger. § 26, stk. 1, i BDSG tillader behandling af personoplysninger om medarbejdere til formål, der vedrører ansættelsesforholdet, under de der angivne betingelser. Med henblik på afsløring af strafbare handlinger kræver bestemmelsen især, at der foreligger dokumenterbare faktiske indicier, samt at behandlingen er nødvendig og forholdsmæssig; den ansattes beskyttelsesværdige interesse må ikke veje tungere. § 26, stk. 6, i BDSG berører ikke interessegruppernes medbestemmelsesrettigheder.

Derudover gælder principperne i GDPR, navnlig lovlighed, formålsbegrænsning og dataminimering i henhold til artikel 5 samt kravet om et holdbart retsgrundlag i henhold til artikel 6. Ved særlige kategorier af personoplysninger skal der desuden tages hensyn til artikel 9 i GDPR og, hvor det er relevant, § 26, stk. 3, i BDSG.

For så vidt angår tekniske anordninger, der er beregnet til at overvåge medarbejdernes adfærd eller præstationer, fastsætter § 87, stk. 1, nr. 6, i BetrVG, at samarbejdsudvalget har medbestemmelsesret, i det omfang der ikke findes nogen lovbestemmelse eller overenskomstbestemmelse herom. For MDM, EDR, DLP, logning og lignende systemer skal man derfor i hvert enkelt tilfælde se på den konkrete udformning.

I forbindelse med indberetninger i henhold til loven om beskyttelse af whistleblowere er især § 8 i HinSchG relevant. Fortrolighedsbestemmelsen beskytter ikke kun den indberettende persons identitet, men også personer, der er genstand for en indberetning, samt andre personer, der nævnes i indberetningen. § 9 i HinSchG indeholder lovmæssige undtagelser fra fortrolighedsbestemmelsen. § 36 i HinSchG forbyder repressalier og indeholder en regel om bevisbyrde under de der nævnte forudsætninger.

Når det drejer sig om forretningshemmeligheder, må en intern undersøgelse ikke automatisk betragte en anmeldelse som et brud på hemmeligholdelsen. § 5 i GeschGehG indeholder undtagelser fra forbuddene i § 4, blandt andet under visse betingelser med henblik på afsløring af ulovlige handlinger eller faglig eller anden form for uredelig adfærd samt i forbindelse med nødvendige oplysninger til medarbejderrepræsentanter.

Hvis der senere indledes en civilretssag, indeholder retsplejeloven (ZPO) blandt andet bestemmelser om bevisførelse ved besigtigelse; § 371, stk. 1, i ZPO regulerer udtrykkeligt det tilfælde, hvor et elektronisk dokument udgør genstand for bevisførelsen. For sagkyndigbevis gælder §§ 402 ff. i ZPO. I en straffesag fastlægger retten omfanget af bevisoptagelsen i henhold til straffeprocesloven (StPO); især § 244 i StPO regulerer undersøgelsesprincippet og begæringer om bevisoptagelse. Disse procesretlige bestemmelser gør imidlertid ikke automatisk en privat bestilt IT-forensisk rapport til en retslig ekspertudtalelse.

LanCologne yder teknisk ekspertbistand og ikke juridisk rådgivning. Den konkrete lovlighed af en efterforskningsforanstaltning, arbejdsretlige konsekvenser, procesmæssig strategi og strafferetlig vurdering henhører under den kompetente juridiske rådgivning, myndighederne og domstolene.

Ofte stillede spørgsmål

Hvordan kan en virksomhed foretage en IT-forensisk undersøgelse af en mistanke om overtrædelse af reglerne uden at foregribe resultatet?+

Hvordan foregår en sådan teknisk undersøgelse i praksis?+

Wir übersetzen den Sachverhalt in überprüfbare technische Teilfragen und untersuchen nur die hierfür erforderlichen Systeme, Accounts, Zeiträume und Datenarten.

Giver undersøgelsen altid et entydigt resultat, der går imod eller til fordel for en af de involverede personer?+

Die IT-Forensik stellt technische Tatsachen fest. Ob daraus ein arbeits-, zivil- oder strafrechtlicher Verstoß folgt, ist gesondert zu bewerten.

Er der et retsgrundlag for dette?+

Für Beschäftigtendaten ist § 26 BDSG ein wesentlicher gesetzlicher Bezugspunkt. § 26 Abs. 1 BDSG erlaubt die Verarbeitung personenbezogener Beschäftigtendaten für Zwecke des Beschäftigungsverhältnisses unter den dort genannten Voraussetzungen. Zur Aufdeckung von Straftaten verlangt die Vorschrift insbesondere zu dokumentierende tatsächliche Anhaltspunkte, Erforderlichkeit und Verhältnismäßigkeit; das schutzwürdige Interesse der beschäftigten Person darf nicht überwiegen. § 26 Abs. 6 BDSG lässt Beteiligungsrechte der Interessenvertretungen unberührt. Daneben gelten die Grundsätze der DSGVO, insbesondere Rechtmäßigkeit, Zweckbindung und Datenminimierung nach Art. 5 sowie das Erfordernis einer tragfähigen Rechtsgrundlage nach Art. 6. Bei besonderen Kategorien personenbezogener Daten sind zusätzlich Art. 9 DSGVO und gegebenenfalls § 26 Abs. 3 BDSG zu beachten. Bei technischen Einrichtungen, die dazu bestimmt sind, Verhalten oder Leistung von Arbeitnehmern zu überwachen, sieht § 87 Abs. 1 Nr. 6 BetrVG ein Mitbestimmungsrecht des Betriebsrats vor, soweit keine gesetzliche oder tarifliche Regelung besteht. Für MDM, EDR, DLP, Logging und vergleichbare Systeme muss daher jeweils die konkrete Ausgestaltung betrachtet werden. Bei Hinweisen nach dem Hinweisgeberschutzgesetz ist insbesondere § 8 HinSchG relevant. Das Vertraulichkeitsgebot schützt nicht nur die Identität der hinweisgebenden Person, sondern auch Personen, die Gegenstand einer Meldung sind, und sonstige in der Meldung genannte Personen. § 9 HinSchG enthält gesetzliche Ausnahmen vom Vertraulichkeitsgebot. § 36 HinSchG verbietet Repressalien und enthält unter den dort genannten Voraussetzungen eine Beweislastregel. Bei Geschäftsgeheimnissen darf eine interne Untersuchung eine Meldung nicht automatisch als Geheimnisverletzung behandeln. § 5 GeschGehG enthält Ausnahmen von den Verboten des § 4, unter anderem unter bestimmten Voraussetzungen zur Aufdeckung rechtswidriger Handlungen oder beruflichen beziehungsweise sonstigen Fehlverhaltens sowie für erforderliche Offenlegungen gegenüber Arbeitnehmervertretungen. Kommt es später zu einem Zivilprozess, kennt die ZPO unter anderem den Beweis durch Augenschein; § 371 Abs. 1 ZPO regelt ausdrücklich den Fall, dass ein elektronisches Dokument Gegenstand des Beweises ist. Für Sachverständigenbeweis gelten §§ 402 ff. ZPO. In einem Strafverfahren bestimmt das Gericht den Umfang der Beweisaufnahme nach der StPO; insbesondere § 244 StPO regelt den Untersuchungsgrundsatz und Beweisanträge. Diese prozessualen Vorschriften machen aus einem privat beauftragten IT-forensischen Bericht jedoch nicht automatisch ein gerichtliches Gutachten. LanCologne erbringt technische Sachverständigenarbeit und keine Rechtsberatung. Die konkrete Zulässigkeit einer Untersuchungsmaßnahme, arbeitsrechtliche Konsequenzen, prozessuale Strategie und strafrechtliche Bewertung bleiben der zuständigen Rechtsberatung, den Behörden und Gerichten vorbehalten.