IT-kriminalteknik · Virksomheder

Hvordan bør en virksomhed sikre digitale beviser, når den modtager en intern anmeldelse?

Nach einem internen Hinweis – etwa auf Betrug, Datenabfluss oder Compliance-Verstöße – entscheidet sich in den ersten Tagen, ob die relevanten Daten später noch vorhanden sind. Automatische Löschfristen, Kontodeaktivierung beim Ausscheiden oder Gerätewechsel können Beweise vernichten, bevor jemand danach sucht.

Uforpligtende forespørgsel

Hvorfor dette spørgsmål er vigtigt for en virksomhed

Interne undersøgelser kan medføre betydelige økonomiske, personalemæssige og juridiske konsekvenser. Netop derfor skal det først afklares, hvilke konkrete tekniske forhold der skal bevises eller modbevises. En så stor datamængde som muligt er ikke et kvalitetskriterium; det afgørende er en saglig, afgrænset og gennemsigtig undersøgelse.

Teknisk baggrund

Viele Systeme löschen selbstständig: Microsoft 365 nach Aufbewahrungsrichtlinien, Protokolle nach Tagen bis Monaten (abhängig von Lizenz und Konfiguration), Mobilgeräte bei Rückgabe per Wipe. Eine frühzeitige Aufbewahrungsanordnung (Legal Hold) und gezielte Sicherung verhindern das, ohne dass sofort ausgewertet wird.

Relevante spor og datakilder

• Postfächer und OneDrive/SharePoint (Litigation/Retention Hold)
• Microsoft 365 Unified Audit Log, Entra-ID-Anmeldungen
• Dienstliche Endgeräte (Notebook, Smartphone) vor Rückgabe oder Neuinstallation
• Server-, VPN- und Proxy-Logs
• ERP-/Buchhaltungsprotokolle, wenn fachlich relevant

Grænser

• Bereits gelöschte Daten sind nur teilweise wiederherstellbar.
• Private Geräte und Konten sind ohne Rechtsgrundlage nicht Gegenstand.

Mulige resultater

• Gesicherter, dokumentierter Datenbestand
• Übersicht, welche Quellen verfügbar waren und welche fehlten

Hvorfor LanCologne?

Interne Untersuchungen sind besonders sensibel, weil wirtschaftliche Interessen des Unternehmens, Persönlichkeitsrechte von Beschäftigten, Datenschutz, betriebliche Mitbestimmung und mögliche spätere Rechtsverfahren gleichzeitig berührt sein können. LanCologne beginnt deshalb nicht mit einer möglichst umfassenden Durchsuchung der IT.

Sådan gør vi

• Klärung der Rechtsgrundlage und Beteiligung von Datenschutz/Betriebsrat.
• Sofortige Aufbewahrungsmaßnahmen für kurzlebige Quellen.
• Forensische Sicherung mit Hashwerten und Dokumentation, Auswertung erst nach Festlegung der Fragestellung.

Ingen forhastet dom – heller ikke i tilfælde, hvor mistanken allerede er fastslået internt

En virksomhed kan af organisatoriske eller juridiske årsager allerede have en klar mistanke. Udfaldet af den tekniske undersøgelse forbliver dog uafklaret. Vi dokumenterer også fund, der modsiger mistanken, og angiver udtrykkeligt, hvis en påstået handling ikke kan bevises på baggrund af de indhentede data.

Den tekniske vurdering og den juridiske vurdering holdes adskilt

IT-kriminalteknik kan f.eks. fastslå, at en bestemt konto har eksporteret en fil, at en enhed var forbundet på et bestemt tidspunkt, eller at en besked blev overført teknisk set. Dette betyder dog ikke automatisk, hvilken fysisk person der har handlet, om handlingen var tilladt, eller hvilke konsekvenser der følger heraf i henhold til arbejdsretten, civilretten eller strafferetten.

LanCologne som uafhængig teknisk støtte til juridisk afdeling og ledelsen

LanCologne får ikke til opgave at bekræfte et ønsket resultat teknisk. Vi får til opgave at besvare et konkret bevisspørgsmål objektivt på baggrund af de tilgængelige digitale spor. Undersøgelsen skal forblive gennemsigtig, selv hvis den senere bliver kritisk gennemgået af en modpart, en domstol eller en anden kvalificeret IT-forensiker.

§ 26 i BDSG udgør et væsentligt lovmæssigt referencepunkt for medarbejderoplysninger. § 26, stk. 1, i BDSG tillader behandling af personoplysninger om medarbejdere til formål, der vedrører ansættelsesforholdet, under de der angivne betingelser. Med henblik på afsløring af strafbare handlinger kræver bestemmelsen især, at der foreligger dokumenterbare faktiske indicier, samt at behandlingen er nødvendig og forholdsmæssig; den ansattes beskyttelsesværdige interesse må ikke veje tungere. § 26, stk. 6, i BDSG berører ikke interessegruppernes medbestemmelsesrettigheder.

Derudover gælder principperne i GDPR, navnlig lovlighed, formålsbegrænsning og dataminimering i henhold til artikel 5 samt kravet om et holdbart retsgrundlag i henhold til artikel 6. Ved særlige kategorier af personoplysninger skal der desuden tages hensyn til artikel 9 i GDPR og, hvor det er relevant, § 26, stk. 3, i BDSG.

For så vidt angår tekniske anordninger, der er beregnet til at overvåge medarbejdernes adfærd eller præstationer, fastsætter § 87, stk. 1, nr. 6, i BetrVG, at samarbejdsudvalget har medbestemmelsesret, i det omfang der ikke findes nogen lovbestemmelse eller overenskomstbestemmelse herom. For MDM, EDR, DLP, logning og lignende systemer skal man derfor i hvert enkelt tilfælde se på den konkrete udformning.

I forbindelse med indberetninger i henhold til loven om beskyttelse af whistleblowere er især § 8 i HinSchG relevant. Fortrolighedsbestemmelsen beskytter ikke kun den indberettende persons identitet, men også personer, der er genstand for en indberetning, samt andre personer, der nævnes i indberetningen. § 9 i HinSchG indeholder lovmæssige undtagelser fra fortrolighedsbestemmelsen. § 36 i HinSchG forbyder repressalier og indeholder en regel om bevisbyrde under de der nævnte forudsætninger.

Når det drejer sig om forretningshemmeligheder, må en intern undersøgelse ikke automatisk betragte en anmeldelse som et brud på hemmeligholdelsen. § 5 i GeschGehG indeholder undtagelser fra forbuddene i § 4, blandt andet under visse betingelser med henblik på afsløring af ulovlige handlinger eller faglig eller anden form for uredelig adfærd samt i forbindelse med nødvendige oplysninger til medarbejderrepræsentanter.

Hvis der senere indledes en civilretssag, indeholder retsplejeloven (ZPO) blandt andet bestemmelser om bevisførelse ved besigtigelse; § 371, stk. 1, i ZPO regulerer udtrykkeligt det tilfælde, hvor et elektronisk dokument udgør genstand for bevisførelsen. For sagkyndigbevis gælder §§ 402 ff. i ZPO. I en straffesag fastlægger retten omfanget af bevisoptagelsen i henhold til straffeprocesloven (StPO); især § 244 i StPO regulerer undersøgelsesprincippet og begæringer om bevisoptagelse. Disse procesretlige bestemmelser gør imidlertid ikke automatisk en privat bestilt IT-forensisk rapport til en retslig ekspertudtalelse.

LanCologne yder teknisk ekspertbistand og ikke juridisk rådgivning. Den konkrete lovlighed af en efterforskningsforanstaltning, arbejdsretlige konsekvenser, procesmæssig strategi og strafferetlig vurdering henhører under den kompetente juridiske rådgivning, myndighederne og domstolene.

Ofte stillede spørgsmål

🔗 Relaterede emner