IT-kriminalteknik · Virksomheder

Hvordan kan en virksomhed foretage en IT-forensisk undersøgelse af en mistanke om overtrædelse af reglerne uden at foregribe resultatet?

Compliance-Verdachtsfälle – etwa Interessenkonflikte, manipulierte Abrechnungen oder Umgehung von Freigabeprozessen – hinterlassen Spuren in E-Mails, Dokumenten, ERP-Systemen und Zugriffsprotokollen. Die Untersuchung muss diese Spuren finden, ohne mehr Daten als nötig zu verarbeiten.

Uforpligtende forespørgsel

Hvorfor dette spørgsmål er vigtigt for en virksomhed

Interne undersøgelser kan medføre betydelige økonomiske, personalemæssige og juridiske konsekvenser. Netop derfor skal det først afklares, hvilke konkrete tekniske forhold der skal bevises eller modbevises. En så stor datamængde som muligt er ikke et kvalitetskriterium; det afgørende er en saglig, afgrænset og gennemsigtig undersøgelse.

Teknisk baggrund

Verhältnismäßigkeit ist der Kern: Statt alle Postfächer zu durchsuchen, wird mit Zeiträumen, Personen, Stichworten und Metadaten eingegrenzt. Treffer werden im Kontext geprüft. Entlastende Befunde werden genauso dokumentiert wie belastende.

Relevante spor og datakilder

• E-Mail-Metadaten und zielgerichtete Inhalte
• Dokumenten-Metadaten und Versionsstände (SharePoint, Dateiserver)
• ERP- und Buchhaltungsprotokolle (Änderungen, Freigaben)
• Anmelde- und Zugriffsprotokolle

Grænser

• Absichten lassen sich aus Daten nicht ablesen – nur Handlungen und Zusammenhänge.
• Fehlen Protokolle in Fachanwendungen, sind Änderungen ggf. nicht zuordenbar.

Mulige resultater

• Belegte oder widerlegte Einzelvorwürfe
• Zeitlinie relevanter Vorgänge
• Dokumentation des Prüfumfangs

Hvorfor LanCologne?

Interne Untersuchungen sind besonders sensibel, weil wirtschaftliche Interessen des Unternehmens, Persönlichkeitsrechte von Beschäftigten, Datenschutz, betriebliche Mitbestimmung und mögliche spätere Rechtsverfahren gleichzeitig berührt sein können. LanCologne beginnt deshalb nicht mit einer möglichst umfassenden Durchsuchung der IT.

Sådan gør vi

• Festlegung von Fragestellung, Personen, Zeitraum und Suchkriterien mit Compliance und Rechtsberatung.
• Sicherung der relevanten Quellen.
• Gestufte Auswertung: zuerst Metadaten, dann gezielt Inhalte.
• Bericht mit Befunden, Gegenbefunden und Grenzen.

Ingen forhastet dom – heller ikke i tilfælde, hvor mistanken allerede er fastslået internt

En virksomhed kan af organisatoriske eller juridiske årsager allerede have en klar mistanke. Udfaldet af den tekniske undersøgelse forbliver dog uafklaret. Vi dokumenterer også fund, der modsiger mistanken, og angiver udtrykkeligt, hvis en påstået handling ikke kan bevises på baggrund af de indhentede data.

Den tekniske vurdering og den juridiske vurdering holdes adskilt

IT-kriminalteknik kan f.eks. fastslå, at en bestemt konto har eksporteret en fil, at en enhed var forbundet på et bestemt tidspunkt, eller at en besked blev overført teknisk set. Dette betyder dog ikke automatisk, hvilken fysisk person der har handlet, om handlingen var tilladt, eller hvilke konsekvenser der følger heraf i henhold til arbejdsretten, civilretten eller strafferetten.

LanCologne som uafhængig teknisk støtte til juridisk afdeling og ledelsen

LanCologne får ikke til opgave at bekræfte et ønsket resultat teknisk. Vi får til opgave at besvare et konkret bevisspørgsmål objektivt på baggrund af de tilgængelige digitale spor. Undersøgelsen skal forblive gennemsigtig, selv hvis den senere bliver kritisk gennemgået af en modpart, en domstol eller en anden kvalificeret IT-forensiker.

§ 26 i BDSG udgør et væsentligt lovmæssigt referencepunkt for medarbejderoplysninger. § 26, stk. 1, i BDSG tillader behandling af personoplysninger om medarbejdere til formål, der vedrører ansættelsesforholdet, under de der angivne betingelser. Med henblik på afsløring af strafbare handlinger kræver bestemmelsen især, at der foreligger dokumenterbare faktiske indicier, samt at behandlingen er nødvendig og forholdsmæssig; den ansattes beskyttelsesværdige interesse må ikke veje tungere. § 26, stk. 6, i BDSG berører ikke interessegruppernes medbestemmelsesrettigheder.

Derudover gælder principperne i GDPR, navnlig lovlighed, formålsbegrænsning og dataminimering i henhold til artikel 5 samt kravet om et holdbart retsgrundlag i henhold til artikel 6. Ved særlige kategorier af personoplysninger skal der desuden tages hensyn til artikel 9 i GDPR og, hvor det er relevant, § 26, stk. 3, i BDSG.

For så vidt angår tekniske anordninger, der er beregnet til at overvåge medarbejdernes adfærd eller præstationer, fastsætter § 87, stk. 1, nr. 6, i BetrVG, at samarbejdsudvalget har medbestemmelsesret, i det omfang der ikke findes nogen lovbestemmelse eller overenskomstbestemmelse herom. For MDM, EDR, DLP, logning og lignende systemer skal man derfor i hvert enkelt tilfælde se på den konkrete udformning.

I forbindelse med indberetninger i henhold til loven om beskyttelse af whistleblowere er især § 8 i HinSchG relevant. Fortrolighedsbestemmelsen beskytter ikke kun den indberettende persons identitet, men også personer, der er genstand for en indberetning, samt andre personer, der nævnes i indberetningen. § 9 i HinSchG indeholder lovmæssige undtagelser fra fortrolighedsbestemmelsen. § 36 i HinSchG forbyder repressalier og indeholder en regel om bevisbyrde under de der nævnte forudsætninger.

Når det drejer sig om forretningshemmeligheder, må en intern undersøgelse ikke automatisk betragte en anmeldelse som et brud på hemmeligholdelsen. § 5 i GeschGehG indeholder undtagelser fra forbuddene i § 4, blandt andet under visse betingelser med henblik på afsløring af ulovlige handlinger eller faglig eller anden form for uredelig adfærd samt i forbindelse med nødvendige oplysninger til medarbejderrepræsentanter.

Hvis der senere indledes en civilretssag, indeholder retsplejeloven (ZPO) blandt andet bestemmelser om bevisførelse ved besigtigelse; § 371, stk. 1, i ZPO regulerer udtrykkeligt det tilfælde, hvor et elektronisk dokument udgør genstand for bevisførelsen. For sagkyndigbevis gælder §§ 402 ff. i ZPO. I en straffesag fastlægger retten omfanget af bevisoptagelsen i henhold til straffeprocesloven (StPO); især § 244 i StPO regulerer undersøgelsesprincippet og begæringer om bevisoptagelse. Disse procesretlige bestemmelser gør imidlertid ikke automatisk en privat bestilt IT-forensisk rapport til en retslig ekspertudtalelse.

LanCologne yder teknisk ekspertbistand og ikke juridisk rådgivning. Den konkrete lovlighed af en efterforskningsforanstaltning, arbejdsretlige konsekvenser, procesmæssig strategi og strafferetlig vurdering henhører under den kompetente juridiske rådgivning, myndighederne og domstolene.

Ofte stillede spørgsmål

Relaterede emner

• Hvordan kan en intern IT-forensisk undersøgelse gennemføres på en måde, der ikke forudbestemmer resultatet?
• Hvordan kan en intern undersøgelse teknisk set beskytte en whistleblowers fortrolighed?
• Hvordan bør en virksomhed sikre digitale beviser, når den modtager en intern anmeldelse?
• IT-kriminalteknik for virksomheder

LanCologne – IT-kriminalteknik for virksomheder

Har du et spørgsmål vedrørende digital kriminalitet? LanCologne hjælper dig med en objektiv og resultatorienteret IT-forensisk undersøgelse.

Kontakt os nu