IT-kriminalteknik · Virksomheder

Hvordan kan en virksomhed få foretaget en retsmedicinsk undersøgelse af en firmamobil eller -tablet?

Smartphones og tablets, der bruges i forbindelse med arbejdet, indeholder ofte afgørende bevismateriale: arbejdsrelaterede chats, opkaldslogger, lokaliseringsdata og fotos af dokumenter. Samtidig bruges de ofte også privat – undersøgelsen skal skelne klart mellem de to anvendelsesformål.

Uforpligtende forespørgsel

Hvorfor dette spørgsmål er vigtigt for en virksomhed

Ved interne hændelser kan økonomiske interesser, bevarelse af bevismateriale og medarbejdernes rettigheder alle være berørt på samme tid. En teknisk bred undersøgelse er derfor ikke nødvendigvis en god undersøgelse. Det afgørende er et klart defineret bevisspørgsmål og et gennemsigtigt afgrænset undersøgelsesomfang.

Teknisk baggrund

Et MDM-system kan administrere enhedens tilstand og apps, men leverer som regel ikke en fuldstændig sikkerhedskopi med henblik på retsmedicinsk undersøgelse. Den mulige sikkerhedskopieringsdybde afhænger af model, operativsystemversion og låsestatus. Hvis en enhed slettes eller nulstilles via MDM, går dataene som regel tabt.

Relevante spor og datakilder

  • Messenger-databaser (f.eks. WhatsApp, Teams, Signal – i det omfang de er tilgængelige)
  • Opkaldslister, SMS'er, kontakter, kalender
  • Placeringsdata og fotos med metadata
  • iOS KnowledgeC/Biome henholdsvis Android UsageStats (enhedsbrug)
  • MDM-logfiler (tildeling, sletning, profiler)

Grænser

  • Låste enheder uden kode kan kun sikres i begrænset omfang.
  • Messenger-tjenester med ende-til-ende-kryptering kan kun afkodes på selve enheden.

Mulige resultater

  • Relevant kommunikation og aktiviteter i perioden
  • Dokumentation for sletninger eller nulstillinger

Hvorfor LanCologne?

I forbindelse med interne undersøgelser står flere interesser i direkte konflikt med hinanden: Virksomheden skal kunne beskytte sine systemer, data, forretningshemmeligheder og økonomiske interesser. Samtidig skal der tages hensyn til beskyttelsen af medarbejdernes personoplysninger, proportionalitetsprincippet, medbestemmelse og i givet fald private dataområder.

Sådan gør vi

  • Enheden må ikke nulstilles eller slettes via MDM; vær opmærksom på batteriet og flytilstanden.
  • Fastlæggelse af omfanget (tjenestemæssige oplysninger, tidsperiode) med juridisk rådgivning.
  • Sikring i den teknisk mulige dybde og filtreret analyse.

Ingen forhåndsdømmelse af medarbejdere

En intern mistanke erklæres ikke for at være undersøgelsens konklusion. Vi undersøger, hvilke tekniske kendsgerninger der understøtter mistanken, hvilke der modsiger den, og hvilke alternative forklaringer der findes. Også et resultat, der er ugunstigt eller frifindende for virksomheden, dokumenteres fuldstændigt.

Forståeligt for ledelsen og den juridiske afdeling – reproducerbart for retsmedicinerne

Hovedafsnittet redegør for det centrale budskab uden unødvendigt fagudtryk. Den tekniske del dokumenterer datakilder, sikkerhedsstatus, identifikatorer, integritetsoplysninger, tidshenvisninger, artefakters placeringer og valideringstrin. Dermed forbliver undersøgelsen gennemsigtig med henblik på en senere faglig kontrol.

LanCologne som uafhængig teknisk support til virksomheder

Når en intern hændelse skal afklares teknisk, yder LanCologne støtte i form af en saglig, resultatafhængig og gennemsigtig IT-forensisk undersøgelse. Det afgørende er ikke et ønsket resultat, men udelukkende det, der faktisk kan bevises inden for de tilladte undersøgelsesrammer på baggrund af de digitale spor.

Retsgrundlag

Hvad angår medarbejderoplysninger, skal man i Tyskland især tage højde for § 26 i BDSG. Personoplysninger om medarbejdere må behandles i forbindelse med ansættelsesforholdet, hvis dette er nødvendigt til de formål, der er angivet deri. § 26, stk. 1, i BDSG indeholder særlige betingelser for afsløring af strafbare handlinger: Der skal foreligge dokumenterbare faktiske indicier, der begrunder mistanke om, at den pågældende person har begået en strafbar handling i forbindelse med ansættelsesforholdet; behandlingen skal være nødvendig for afsløringen, og den ansattes beskyttelsesværdige interesse må ikke veje tungere. Især må arten og omfanget ikke være uforholdsmæssige.

Derudover gælder de generelle principper i GDPR. Artikel 5 i GDPR kræver blandt andet lovlighed, formålsbegrænsning og dataminimering. Artikel 6 i GDPR kræver et holdbart retsgrundlag for behandlingen. En teknisk mulig analyse er derfor ikke automatisk en juridisk tilladt analyse.

Hvad angår tekniske anlæg, kan § 87, stk. 1, nr. 6, i BetrVG desuden være relevant. Ifølge denne bestemmelse har samarbejdsudvalget, i det omfang der ikke findes lovmæssige eller kollektive bestemmelser herom, medbestemmelsesret ved indførelse og anvendelse af tekniske anordninger, der er beregnet til at overvåge medarbejdernes adfærd eller præstationer. Dette kan, afhængigt af udformningen, f.eks. være relevant i forbindelse med MDM-, EDR-, DLP-, lognings- eller andre overvågningssystemer.

§ 26, stk. 6, i BDSG præciserer udtrykkeligt, at medarbejderrepræsentationernes medbestemmelsesrettigheder forbliver uberørte. Den konkrete tilladelighed af en undersøgelsesforanstaltning i henhold til arbejdsretten og virksomhedsforfatningsretten bør derfor, når den vedrører medarbejdere, afklares med den kompetente juridiske rådgivning og eventuelt de relevante instanser i virksomheden, inden den gennemføres.

LanCologne erstatter ikke denne juridiske vurdering. Vores opgave er, efter at den tilladte undersøgelsesramme er fastlagt, at undersøge det tekniske bevisspørgsmål på en gennemsigtig, forholdsmæssig og resultatafhængig måde.

Ofte stillede spørgsmål

Må en virksomheds enhed automatisk indsamles i sin helhed, fordi den er virksomhedens ejendom?+
Ikke automatisk. Ejerskabet til udstyret og lovligheden af behandlingen af medarbejdernes personoplysninger er to forskellige spørgsmål. Formålet, retsgrundlaget, nødvendigheden og proportionaliteten skal tages i betragtning.
Kan data fra Mobile Device Management (MDM) anvendes uden begrænsninger i forbindelse med en intern undersøgelse?+
MDM-data kan levere teknisk værdifuld information. Det skal dog i hvert enkelt tilfælde undersøges, hvilke data der rent faktisk foreligger, og om de må anvendes til den konkrete undersøgelse.
Er en intern IT-forensisk undersøgelse specifikt rettet mod at finde belastende beviser mod en bestemt medarbejder?+
Nej. Vi besvarer et konkret teknisk bevis spørgsmål uden at forudindtage en holdning. Både frifindende fund og almindelige tekniske forklaringer dokumenteres efter samme standard.
Hvad sker der, hvis en handling ikke med sikkerhed kan tilskrives en bestemt person?+
I så fald begrænses udsagnet i overensstemel med dette. En brugerkonto, en enhed eller en session må ikke sidestilles med en fysisk person uden tilstrækkelige forbindelsesoplysninger.
Har du brug for adgangskoden?+
Som regel ja. Uden koden er sikkerheden stærkt begrænset.
Hvad med personlige data på enheden?+
De udelades så vidt muligt. Omfanget fastlægger De sammen med Deres juridiske rådgiver.
Er en iCloud-sikkerhedskopi nok?+
Det kan være en hjælp, men er ikke altid fuldstændigt og ikke altid opdateret.

Relaterede emner

LanCologne – IT-kriminalteknik for virksomheder

Har du et spørgsmål vedrørende digital kriminalitet? LanCologne hjælper dig med en objektiv og resultatorienteret IT-forensisk undersøgelse.

Kontakt os nu