IT-kriminalteknik · Virksomheder

Hvordan bør en virksomhed gå til værks med en forensisk undersøgelse, når der opstår en første mistanke om en intern IT-hændelse?

Ein erster Verdacht ist noch kein Beweis. Gerade bei möglichen Mitarbeiterhandlungen muss ein Unternehmen technische Aufklärung, Beweiserhalt, Datenschutz und arbeitsrechtliche Grenzen von Beginn an zusammen denken.

Uforpligtende forespørgsel

Hvorfor dette spørgsmål er vigtigt for en virksomhed

Ved interne hændelser kan økonomiske interesser, bevarelse af bevismateriale og medarbejdernes rettigheder alle være berørt på samme tid. En teknisk bred undersøgelse er derfor ikke nødvendigvis en god undersøgelse. Det afgørende er et klart defineret bevisspørgsmål og et gennemsigtigt afgrænset undersøgelsesomfang.

Teknisk undersøgelsesmetode

Wir definieren zunächst die konkrete Beweisfrage, sichern flüchtige und veränderliche Daten soweit erforderlich und grenzen anschließend die Untersuchung auf die tatsächlich relevanten Systeme, Accounts und Zeiträume ein.

Hvor grænsen for udsagn ligger

LanCologne untersucht keine Person ‚auf Verdacht‘. Technische Maßnahmen müssen auf einen zulässigen Zweck, eine geeignete Rechtsgrundlage und einen verhältnismäßigen Untersuchungsumfang gestützt werden.

Hvorfor LanCologne?

I forbindelse med interne undersøgelser står flere interesser i direkte konflikt med hinanden: Virksomheden skal kunne beskytte sine systemer, data, forretningshemmeligheder og økonomiske interesser. Samtidig skal der tages hensyn til beskyttelsen af medarbejdernes personoplysninger, proportionalitetsprincippet, medbestemmelse og i givet fald private dataområder.

LanCologne starter derfor ikke med en så omfattende dataindsamling som muligt. Udgangspunktet er det konkrete tekniske bevisspørgsmål. Først derefter fastlægges det, hvilke enheder, konti, tidsperioder og datatyper der rent faktisk er behov for. På den måde kan en undersøgelse ofte gennemføres langt mere præcist end ved en generel fuldstændig analyse.

Teknisk tilgængelighed og juridisk tilladelighed adskilles bevidst. Det faktum, at en administrator, et MDM-system eller en cloudtenant teknisk set giver adgang til bestemte oplysninger, besvarer ikke spørgsmålet om, hvorvidt disse oplysninger må behandles til det konkrete formål.

Afgørende fund valideres, hvor det er nødvendigt, ud fra primærdata. Automatiserede rapporter og retsmedicinsk software er hjælpemidler; de erstatter ikke den faglige fortolkning af de underliggende artefakter. Alternative tekniske forklaringer undersøges ligeledes.

Lige så vigtigt: En intern undersøgelse skal tage de faktorer, der taler til fordel for den pågældende, lige så alvorligt som de belastende. Hvis analysen viser, at en mistanke ikke kan bekræftes teknisk set, eller at en påfaldende hændelse kan forklares ved en almindelig systemproces, skal netop dette fremgå af konklusionen.

Vores arbejdsmetode

1Definer den konkrete anledning og det tekniske bevisspørgsmål.
2Afklar retsgrundlaget og de interne ansvarsforhold med virksomheden henholdsvis den juridiske rådgiver.
3Begræns de nødvendige systemer, konti, datatyper og tidsperioder.
4Prioriter bevisindsamling og dokumenter variable data.
5Registrer udstyrs- og dataidentitet samt sikkerhedsstatus på en måde, der gør det muligt at spore dem.
6Adskil primærdata fra rapporter og fortolkninger af brugergrænseflader.
7Man skal ikke forveksle tildeling af medarbejdere, enheder, konti og sessioner.
8Undersøg både de normale systemprocesser og alternative forklaringer.
9Dokumentér belastende, aflastende og åbne fund på samme måde.
10Undersøgelsens omfang bør kun udvides, hvis der foreligger nye, væsentlige faktiske omstændigheder, der kan danne grundlag for sagen.
11Udarbejde en teknisk rapport, der er forståelig og kan gentages.
12Konklusioner vedrørende arbejdsret, databeskyttelse, civilret og strafferet overlades til den kompetente juridiske rådgivning.

Ingen forhåndsdømmelse af medarbejdere

En intern mistanke erklæres ikke for at være undersøgelsens konklusion. Vi undersøger, hvilke tekniske kendsgerninger der understøtter mistanken, hvilke der modsiger den, og hvilke alternative forklaringer der findes. Også et resultat, der er ugunstigt eller frifindende for virksomheden, dokumenteres fuldstændigt.

Forståeligt for ledelsen og den juridiske afdeling – reproducerbart for retsmedicinerne

Hovedafsnittet redegør for det centrale budskab uden unødvendigt fagudtryk. Den tekniske del dokumenterer datakilder, sikkerhedsstatus, identifikatorer, integritetsoplysninger, tidshenvisninger, artefakters placeringer og valideringstrin. Dermed forbliver undersøgelsen gennemsigtig med henblik på en senere faglig kontrol.

LanCologne som uafhængig teknisk support til virksomheder

Når en intern hændelse skal afklares teknisk, yder LanCologne støtte i form af en saglig, resultatafhængig og gennemsigtig IT-forensisk undersøgelse. Det afgørende er ikke et ønsket resultat, men udelukkende det, der faktisk kan bevises inden for de tilladte undersøgelsesrammer på baggrund af de digitale spor.

Retsgrundlag

Hvad angår medarbejderoplysninger, skal man i Tyskland især tage højde for § 26 i BDSG. Personoplysninger om medarbejdere må behandles i forbindelse med ansættelsesforholdet, hvis dette er nødvendigt til de formål, der er angivet deri. § 26, stk. 1, i BDSG indeholder særlige betingelser for afsløring af strafbare handlinger: Der skal foreligge dokumenterbare faktiske indicier, der begrunder mistanke om, at den pågældende person har begået en strafbar handling i forbindelse med ansættelsesforholdet; behandlingen skal være nødvendig for afsløringen, og den ansattes beskyttelsesværdige interesse må ikke veje tungere. Især må arten og omfanget ikke være uforholdsmæssige.

Derudover gælder de generelle principper i GDPR. Artikel 5 i GDPR kræver blandt andet lovlighed, formålsbegrænsning og dataminimering. Artikel 6 i GDPR kræver et holdbart retsgrundlag for behandlingen. En teknisk mulig analyse er derfor ikke automatisk en juridisk tilladt analyse.

Hvad angår tekniske anlæg, kan § 87, stk. 1, nr. 6, i BetrVG desuden være relevant. Ifølge denne bestemmelse har samarbejdsudvalget, i det omfang der ikke findes lovmæssige eller kollektive bestemmelser herom, medbestemmelsesret ved indførelse og anvendelse af tekniske anordninger, der er beregnet til at overvåge medarbejdernes adfærd eller præstationer. Dette kan, afhængigt af udformningen, f.eks. være relevant i forbindelse med MDM-, EDR-, DLP-, lognings- eller andre overvågningssystemer.

§ 26, stk. 6, i BDSG præciserer udtrykkeligt, at medarbejderrepræsentationernes medbestemmelsesrettigheder forbliver uberørte. Den konkrete tilladelighed af en undersøgelsesforanstaltning i henhold til arbejdsretten og virksomhedsforfatningsretten bør derfor, når den vedrører medarbejdere, afklares med den kompetente juridiske rådgivning og eventuelt de relevante instanser i virksomheden, inden den gennemføres.

LanCologne erstatter ikke denne juridiske vurdering. Vores opgave er, efter at den tilladte undersøgelsesramme er fastlagt, at undersøge det tekniske bevisspørgsmål på en gennemsigtig, forholdsmæssig og resultatafhængig måde.

Ofte stillede spørgsmål

Hvordan bør en virksomhed gå til værks med en forensisk undersøgelse, når der opstår en første mistanke om en intern IT-hændelse?+
Ved interne hændelser kan økonomiske interesser, bevarelse af bevismateriale og medarbejdernes rettigheder alle være berørt på samme tid. En teknisk bred undersøgelse er derfor ikke nødvendigvis en god undersøgelse. Det afgørende er et klart defineret bevisspørgsmål og et gennemsigtigt afgrænset undersøgelsesomfang.
Hvordan foregår en sådan teknisk undersøgelse i praksis?+
Wir definieren zunächst die konkrete Beweisfrage, sichern flüchtige und veränderliche Daten soweit erforderlich und grenzen anschließend die Untersuchung auf die tatsächlich relevanten Systeme, Accounts und Zeiträume ein.
Giver undersøgelsen altid et entydigt resultat, der går imod eller til fordel for en af de involverede personer?+
LanCologne untersucht keine Person ‚auf Verdacht‘. Technische Maßnahmen müssen auf einen zulässigen Zweck, eine geeignete Rechtsgrundlage und einen verhältnismäßigen Untersuchungsumfang gestützt werden.
Er der et retsgrundlag for dette?+
Für Beschäftigtendaten ist in Deutschland insbesondere § 26 BDSG zu beachten. Personenbezogene Daten von Beschäftigten dürfen für Zwecke des Beschäftigungsverhältnisses verarbeitet werden, wenn dies für die dort genannten Zwecke erforderlich ist. Zur Aufdeckung von Straftaten enthält § 26 Abs. 1 BDSG besondere Voraussetzungen: Es müssen zu dokumentierende tatsächliche Anhaltspunkte den Verdacht begründen, dass die betroffene Person im Beschäftigungsverhältnis eine Straftat begangen hat; die Verarbeitung muss zur Aufdeckung erforderlich sein und das schutzwürdige Interesse des Beschäftigten darf nicht überwiegen. Art und Ausmaß dürfen insbesondere nicht unverhältnismäßig sein. Daneben gelten die allgemeinen Grundsätze der DSGVO. Art. 5 DSGVO verlangt unter anderem Rechtmäßigkeit, Zweckbindung und Datenminimierung. Art. 6 DSGVO verlangt eine tragfähige Rechtsgrundlage für die Verarbeitung. Eine technisch mögliche Auswertung ist deshalb nicht automatisch eine rechtlich zulässige Auswertung. Bei technischen Einrichtungen kann außerdem § 87 Abs. 1 Nr. 6 BetrVG relevant sein. Danach hat der Betriebsrat, soweit keine gesetzliche oder tarifliche Regelung besteht, bei Einführung und Anwendung technischer Einrichtungen mitzubestimmen, die dazu bestimmt sind, Verhalten oder Leistung der Arbeitnehmer zu überwachen. Dies kann je nach Ausgestaltung beispielsweise bei MDM-, EDR-, DLP-, Logging- oder anderen Monitoring-Systemen relevant werden. § 26 Abs. 6 BDSG stellt ausdrücklich klar, dass Beteiligungsrechte der Interessenvertretungen der Beschäftigten unberührt bleiben. Die konkrete arbeits- und betriebsverfassungsrechtliche Zulässigkeit einer Untersuchungsmaßnahme sollte deshalb bei Mitarbeiterbezug vor Durchführung mit der zuständigen Rechtsberatung und gegebenenfalls den vorgesehenen betrieblichen Stellen geklärt werden. LanCologne ersetzt diese juristische Prüfung nicht. Unsere Aufgabe ist es, nach Festlegung des zulässigen Untersuchungsrahmens die technische Beweisfrage nachvollziehbar, verhältnismäßig und ergebnisoffen zu untersuchen.

LanCologne – IT-kriminalteknik for virksomheder

Har du et spørgsmål vedrørende digital kriminalitet? LanCologne hjælper dig med en objektiv og resultatorienteret IT-forensisk undersøgelse.

Kontakt os nu