IT-Forensik · Unternehmen
Wie kann geprüft werden, ob Dateien über Messenger oder Kollaborationsplattformen weitergegeben wurden?
Teams, Slack und andere Kollaborationsplattformen können Dateien, Links und Nachrichten enthalten, die für eine konkrete Beweisfrage relevant sind.
Warum diese Frage für ein Unternehmen wichtig ist
Bei möglichen Datenabflüssen stehen häufig erhebliche wirtschaftliche Werte, Kundenbeziehungen, Entwicklungswissen oder Wettbewerbsvorteile auf dem Spiel. Eine belastbare Untersuchung muss deshalb präzise klären, welche Datenbewegung tatsächlich stattgefunden hat, ohne aus einem Verdacht bereits eine Rechtsverletzung abzuleiten.
Technical investigative approach
Wir untersuchen nur rechtmäßig verfügbare Workspace-, Audit-, Endpoint- oder Exportdaten und grenzen die Suche auf relevante Kanäle, Personen, Dateien und Zeiträume ein.
Where the limits of what can be said lie
Kommunikationsinhalte dürfen nicht pauschal durchsucht werden; zudem beweist eine Freigabe nicht zwingend einen späteren Download.
Why LanCologne?
Der Verdacht auf Datenmitnahme oder den Verlust vertraulicher Unternehmensinformationen kann erhebliche wirtschaftliche und rechtliche Folgen haben. Gerade deshalb darf die Untersuchung nicht mit dem gewünschten Ergebnis beginnen.
LanCologne übersetzt den Sachverhalt zunächst in konkrete technische Beweisfragen: Welche Dateien oder Datenbestände sind betroffen? Wurden sie tatsächlich geöffnet, kopiert, exportiert, archiviert oder übertragen? Welcher technische Übertragungsweg ist nachweisbar? Wann geschah dies? Welcher Geräte-, Account- oder Sessionkontext ist belegbar?
Dabei unterscheiden wir strikt zwischen Zugriffsmöglichkeit, tatsächlichem Zugriff, Kopiervorgang und erfolgreichem Transfer. Diese Begriffe werden in der Praxis häufig vermischt, obwohl sie technisch unterschiedliche Tatsachen beschreiben.
Tragende Befunde werden soweit möglich an Primärdaten überprüft und mit unabhängigen Quellen korreliert. Ein automatisierter Alarm, ein Toolreport oder ein einzelner Zeitstempel wird nicht ungeprüft zum Beweis erklärt.
Ebenso werden reguläre Alternativerklärungen untersucht. Übergabeprozesse, Projektarchive, Backups, Synchronisation, Softwareupdates oder erlaubte Cloudnutzung können Spuren erzeugen, die ohne Kontext verdächtig wirken. Erst wenn solche Erklärungen anhand der Daten eingegrenzt wurden, ist eine belastbare technische Bewertung möglich.
Für LanCologne ist auch ein entlastender Befund ein vollständiges Untersuchungsergebnis. Kann eine behauptete Datenmitnahme nicht bestätigt werden, wird dies ebenso dokumentiert wie ein nachweisbarer Transfer.
Unsere Arbeitsweise
Geschäftsgeheimnis ist eine rechtliche Einordnung – Datenbewegung eine technische Beweisfrage
Wir können feststellen beziehungsweise eingrenzen, welche Dateien vorhanden waren, welche technischen Schutzmechanismen bestanden und welche Zugriffs-, Kopier- oder Transferhandlungen nachweisbar sind. Ob die betroffene Information die Voraussetzungen eines Geschäftsgeheimnisses erfüllt und eine Handlung unbefugt oder rechtswidrig war, wird davon getrennt juristisch bewertet.
Keine Vorverurteilung – auch nicht bei auffälligen Transfermustern
Ein ungewöhnlich großer Dateizugriff, ein USB-Anschluss oder ein Cloudlogin kann Anlass für weitere Prüfung sein, ist aber noch keine Schlussfolgerung. Alternative Arbeitsabläufe werden mituntersucht. Wo mehrere Erklärungen möglich bleiben, wird diese Unsicherheit nicht durch eine Vermutung ersetzt.
Warum LanCologne bei Datenmitnahme und Geschäftsgeheimnissen?
LanCologne untersucht nicht, um einen vorgegebenen Verdacht zu bestätigen. Wir beantworten die konkrete technische Beweisfrage, dokumentieren die zugrunde liegenden Primärdaten und benennen ebenso klar, was sich nicht beweisen lässt. Dadurch erhält Geschäftsführung und Rechtsabteilung eine Tatsachengrundlage, die auch einer späteren fachlichen Gegenprüfung standhalten kann.
Legal framework
Bei Mitarbeiterbezug bleibt § 26 BDSG ein wesentlicher Ausgangspunkt. Für die Aufdeckung von Straftaten verlangt § 26 Abs. 1 BDSG unter anderem zu dokumentierende tatsächliche Anhaltspunkte, Erforderlichkeit und Verhältnismäßigkeit; das schutzwürdige Interesse der beschäftigten Person darf nicht überwiegen. Daneben gelten die Grundsätze der DSGVO, insbesondere Rechtmäßigkeit, Zweckbindung und Datenminimierung.
Für Geschäftsgeheimnisse ist das GeschGehG zentral. Nach § 2 Nr. 1 GeschGehG genügt nicht jede vertrauliche Information: Die Information muss unter anderem wirtschaftlichen Wert besitzen, weil sie nicht allgemein bekannt oder ohne Weiteres zugänglich ist, Gegenstand den Umständen nach angemessener Geheimhaltungsmaßnahmen sein und es muss ein berechtigtes Geheimhaltungsinteresse bestehen.
§ 4 GeschGehG verbietet unter bestimmten Voraussetzungen unter anderem den unbefugten Zugang zu, die unbefugte Aneignung oder das unbefugte Kopieren von elektronischen Dateien, die ein Geschäftsgeheimnis enthalten oder aus denen es sich ableiten lässt. Nutzung und Offenlegung können ebenfalls verboten sein. Ob ein technisch nachgewiesener Vorgang die rechtlichen Tatbestandsmerkmale erfüllt, entscheidet nicht der IT-Forensiker.
Das GeschGehG enthält außerdem Ausnahmen. § 5 nennt insbesondere bestimmte Handlungen zum Schutz berechtigter Interessen, darunter unter Voraussetzungen die Aufdeckung rechtswidriger Handlungen oder beruflichen beziehungsweise sonstigen Fehlverhaltens. Zusätzlich kann das Hinweisgeberschutzgesetz einschlägig sein. § 6 HinSchG regelt unter bestimmten Voraussetzungen die Weitergabe beziehungsweise Offenlegung von Geschäftsgeheimnissen im Rahmen geschützter Meldungen. Ein Datenabflussverdacht darf daher nicht automatisch mit einer rechtswidrigen Geheimnisverletzung gleichgesetzt werden.
Das GeschGehG sieht bei festgestellten Rechtsverletzungen mögliche zivilrechtliche Ansprüche vor, darunter Beseitigung und Unterlassung (§ 6), weitere Maßnahmen nach § 7, bestimmte Auskunftsansprüche nach § 8 und Schadensersatz nach § 10. Welche Ansprüche im Einzelfall bestehen, ist juristisch zu prüfen. Die IT-Forensik liefert hierfür lediglich die technische Tatsachengrundlage.
Soweit technische Einrichtungen zur Mitarbeiterüberwachung eingesetzt werden, können außerdem Beteiligungsrechte des Betriebsrats, insbesondere nach § 87 Abs. 1 Nr. 6 BetrVG, relevant sein. Die konkrete Zulässigkeit wird vor der Untersuchung durch die zuständigen betrieblichen und rechtlichen Stellen geklärt.
Frequently Asked Questions
Wie kann geprüft werden, ob Dateien über Messenger oder Kollaborationsplattformen weitergegeben wurden?
Wie geht eine solche technische Untersuchung in der Praxis vor?
Liefert die Untersuchung immer ein eindeutiges Ergebnis zulasten oder zugunsten einer beteiligten Person?
Gibt es dafür eine gesetzliche Grundlage?
Für Geschäftsgeheimnisse ist das GeschGehG zentral. Nach § 2 Nr. 1 GeschGehG genügt nicht jede vertrauliche Information: Die Information muss unter anderem wirtschaftlichen Wert besitzen, weil sie nicht allgemein bekannt oder ohne Weiteres zugänglich ist, Gegenstand den Umständen nach angemessener Geheimhaltungsmaßnahmen sein und es muss ein berechtigtes Geheimhaltungsinteresse bestehen.
§ 4 GeschGehG verbietet unter bestimmten Voraussetzungen unter anderem den unbefugten Zugang zu, die unbefugte Aneignung oder das unbefugte Kopieren von elektronischen Dateien, die ein Geschäftsgeheimnis enthalten oder aus denen es sich ableiten lässt. Nutzung und Offenlegung können ebenfalls verboten sein. Ob ein technisch nachgewiesener Vorgang die rechtlichen Tatbestandsmerkmale erfüllt, entscheidet nicht der IT-Forensiker.
Das GeschGehG enthält außerdem Ausnahmen. § 5 nennt insbesondere bestimmte Handlungen zum Schutz berechtigter Interessen, darunter unter Voraussetzungen die Aufdeckung rechtswidriger Handlungen oder beruflichen beziehungsweise sonstigen Fehlverhaltens. Zusätzlich kann das Hinweisgeberschutzgesetz einschlägig sein. § 6 HinSchG regelt unter bestimmten Voraussetzungen die Weitergabe beziehungsweise Offenlegung von Geschäftsgeheimnissen im Rahmen geschützter Meldungen. Ein Datenabflussverdacht darf daher nicht automatisch mit einer rechtswidrigen Geheimnisverletzung gleichgesetzt werden.
Das GeschGehG sieht bei festgestellten Rechtsverletzungen mögliche zivilrechtliche Ansprüche vor, darunter Beseitigung und Unterlassung (§ 6), weitere Maßnahmen nach § 7, bestimmte Auskunftsansprüche nach § 8 und Schadensersatz nach § 10. Welche Ansprüche im Einzelfall bestehen, ist juristisch zu prüfen. Die IT-Forensik liefert hierfür lediglich die technische Tatsachengrundlage.
Soweit technische Einrichtungen zur Mitarbeiterüberwachung eingesetzt werden, können außerdem Beteiligungsrechte des Betriebsrats, insbesondere nach § 87 Abs. 1 Nr. 6 BetrVG, relevant sein. Die konkrete Zulässigkeit wird vor der Untersuchung durch die zuständigen betrieblichen und rechtlichen Stellen geklärt.
🔗 Related topics
LanCologne – IT-Forensik für Unternehmen
Do you have a digital enquiry? LanCologne can assist you with an objective, unbiased IT forensic investigation.