IT-kriminalteknik · Virksomheder

Hvordan kan en virksomhed få undersøgt, om en medarbejder, der forlader virksomheden, har taget virksomhedsdata med sig?

Kurz vor dem Ausscheiden werden häufig Kundenlisten, Kalkulationen oder Quellcode kopiert – manchmal versehentlich, manchmal gezielt. Ob und wie Daten mitgenommen wurden, lässt sich oft rekonstruieren, wenn das Gerät nicht vorschnell neu installiert wird.

Uforpligtende forespørgsel

Hvorfor dette spørgsmål er vigtigt for en virksomhed

I tilfælde af mulige datalækager står der ofte betydelige økonomiske værdier, kundeforhold, udviklingsviden eller konkurrencefordele på spil. En grundig undersøgelse skal derfor præcist afklare, hvilke data der rent faktisk er blevet overført, uden at en mistanke i sig selv betragtes som en overtrædelse af loven.

Teknisk baggrund

Windows protokolliert angeschlossene USB-Geräte, geöffnete Dateien und Ordner in mehreren unabhängigen Artefakten. Cloud-Uploads, E-Mail-Weiterleitungen an private Adressen und Druckaufträge hinterlassen weitere Spuren. Entscheidend ist der Abgleich mit dem Zeitraum vor dem Ausscheiden.

Relevante spor og datakilder

• USB-Geräte (Registry USBSTOR, MountedDevices, Setupapi-Log, Ereignisprotokolle)
• Datei- und Ordnerzugriffe (LNK-Dateien, Jump Lists, Shellbags)
• Browser-Uploads und private Cloud-Clients
• E-Mail-Weiterleitungen und Postfachregeln (Microsoft 365 Audit Log)
• Druckprotokolle

Grænser

• Was auf einem privaten Gerät mit den Daten geschah, ist ohne Zugriff darauf nicht feststellbar.
• Ein Dateizugriff belegt nicht automatisch eine Kopie; eine Kopie belegt nicht automatisch eine Weitergabe.

Mulige resultater

• Kopiervorgänge auf USB oder in die Cloud zeitlich belegt
• Kein Hinweis auf Mitnahme über die geprüften Kanäle
• Liste betroffener Dateien

Hvorfor LanCologne?

Mistanke om, at data er blevet taget med eller at fortrolige virksomhedsoplysninger er gået tabt, kan have betydelige økonomiske og juridiske konsekvenser. Netop derfor må undersøgelsen ikke starte med det ønskede resultat.

Sådan gør vi

• Gerät und Konto vor Rückgabe bzw. Löschung sichern (Legal Hold).
• Zeitraum festlegen (typisch: Wochen vor Kündigung bis Ausscheiden).
• Korrelation der Spuren zu einer Zeitlinie; Abgleich mit dienstlicher Notwendigkeit.

En forretningshemmelighed er en juridisk klassificering – dataoverførsel er et teknisk bevisspørgsmål

Vi kan fastslå henholdsvis afgrænse, hvilke filer der fandtes, hvilke tekniske beskyttelsesmekanismer der var på plads, og hvilke handlinger vedrørende adgang, kopiering eller overførsel der kan påvises. Hvorvidt de pågældende oplysninger opfylder betingelserne for en forretningshemmelighed, og om en handling var uautoriseret eller ulovlig, vurderes juridisk uafhængigt heraf.

Ingen forhastede konklusioner – heller ikke ved iøjnefaldende overgangsmønstre

En usædvanlig stor filadgang, en USB-tilslutning eller en cloud-login kan give anledning til yderligere undersøgelse, men er ikke i sig selv en konklusion. Alternative arbejdsgange undersøges også. Hvor der fortsat er flere mulige forklaringer, erstattes denne usikkerhed ikke af en formodning.

Hvorfor LanCologne i forbindelse med dataoverførsel og forretningshemmeligheder?

LanCologne foretager ikke undersøgelser med det formål at bekræfte en forudgående mistanke. Vi besvarer det konkrete tekniske bevisspørgsmål, dokumenterer de underliggende primærdata og angiver ligeledes klart, hvad der ikke kan bevises. Dermed får ledelsen og juridisk afdeling et faktuelt grundlag, der også kan modstå en senere faglig kontrol.

Når det drejer sig om medarbejdere, udgør § 26 i BDSG et væsentligt udgangspunkt. Med henblik på afsløring af strafbare handlinger kræver § 26, stk. 1, i BDSG blandt andet, at der foreligger dokumenterbare faktiske indicier, samt at foranstaltningen er nødvendig og forholdsmæssig; den ansattes beskyttelsesværdige interesse må ikke veje tungere. Derudover gælder principperne i GDPR, især lovlighed, formålsbegrænsning og dataminimering.

Loven om forretningshemmeligheder (GeschGehG) spiller en central rolle for forretningshemmeligheder. I henhold til § 2, nr. 1, i GeschGehG er det ikke nok, at en oplysning er fortrolig: Oplysningen skal blandt andet have økonomisk værdi, fordi den ikke er alment kendt eller let tilgængelig, den skal være genstand for fortrolighedsforanstaltninger, der er rimelige i forhold til omstændighederne, og der skal foreligge en berettiget interesse i at bevare fortroligheden.

§ 4 i GeschGehG forbyder under visse forudsætninger blandt andet uberettiget adgang til, uberettiget tilegnelse eller uberettiget kopiering af elektroniske filer, der indeholder en forretningshemmelighed, eller hvorfra en sådan kan udledes. Brug og offentliggørelse kan ligeledes være forbudt. Det er ikke IT-forensikeren, der afgør, om en teknisk påvist handling opfylder de juridiske kriterier for en lovovertrædelse.

Loven om beskyttelse af whistleblowere indeholder desuden undtagelser. § 5 nævner især visse handlinger til beskyttelse af berettigede interesser, herunder – på visse betingelser – afsløring af ulovlige handlinger eller faglig eller anden form for uredelighed. Derudover kan loven om beskyttelse af whistleblowere (HinSchG) være relevant. § 6 i HinSchG regulerer under visse betingelser videregivelse eller offentliggørelse af forretningshemmeligheder i forbindelse med beskyttede indberetninger. En mistanke om datalækage må derfor ikke automatisk sidestilles med en ulovlig krænkelse af forretningshemmeligheder.

GeschGehG fastsætter mulige civilretlige krav i tilfælde af konstaterede krænkelser, herunder fjernelse og forbud (§ 6), yderligere foranstaltninger i henhold til § 7, bestemte krav om oplysninger i henhold til § 8 og erstatning i henhold til § 10. Hvilke krav der foreligger i det enkelte tilfælde, skal undersøges juridisk. IT-forensikken leverer her til kun det tekniske faktagrundlag.

I det omfang der anvendes tekniske anordninger til overvågning af medarbejderne, kan arbejdsrådets medbestemmelsesrettigheder, navnlig i henhold til § 87, stk. 1, nr. 6, i BetrVG, desuden være relevante. Den konkrete tilladelighed afklares inden undersøgelsen af de kompetente instanser i virksomheden og de relevante juridiske instanser.

Ofte stillede spørgsmål

Relaterede emner

• Hvordan kan man kontrollere, om en medarbejder har uploadet virksomhedsfiler til en privat cloud-konto?
• Hvordan kan en virksomhed, når der er mistanke om datalækage, skelne klart mellem whistleblowing og hemmelighedsbrud?
• Hvordan bør en virksomhed sikre digitale beviser, når den modtager en intern anmeldelse?
• IT-kriminalteknik for virksomheder

LanCologne – IT-kriminalteknik for virksomheder

Har du et spørgsmål vedrørende digital kriminalitet? LanCologne hjælper dig med en objektiv og resultatorienteret IT-forensisk undersøgelse.

Kontakt os nu