Informática forense · Empresas

Wie kann ein Unternehmen einen privaten IT-forensischen Bericht so erstellen lassen, dass ein späterer gerichtlicher Sachverständiger ihn prüfen kann?

Ein interner Bericht kann später Gegenstand einer fachlichen oder gerichtlichen Überprüfung werden. Deshalb muss die Herleitung auch für einen außenstehenden Forensiker verständlich bleiben.

Solicitar información sin compromiso

Por qué esta cuestión es importante para una empresa

Interne Untersuchungen können erhebliche wirtschaftliche, personelle und rechtliche Folgen auslösen. Gerade deshalb muss zunächst geklärt werden, welche konkrete technische Tatsache bewiesen oder widerlegt werden soll. Eine möglichst große Datenmenge ist kein Qualitätsmerkmal; entscheidend ist eine sachgerechte, begrenzte und nachvollziehbare Untersuchung.

Enfoque técnico de investigación

Wir dokumentieren Beweisfrage, Datenquellen, Sicherungsmethode, Integritätsinformationen, relevante Artefakte, Zeitbezüge, Validierung und Aussagegrenzen.

Dónde está el límite de la expresión

Ein privat beauftragter Bericht wird nicht dadurch zum gerichtlichen Gutachten. Seine technische Nachvollziehbarkeit kann jedoch eine spätere sachverständige Prüfung wesentlich erleichtern.

¿Por qué LanCologne?

Interne Untersuchungen sind besonders sensibel, weil wirtschaftliche Interessen des Unternehmens, Persönlichkeitsrechte von Beschäftigten, Datenschutz, betriebliche Mitbestimmung und mögliche spätere Rechtsverfahren gleichzeitig berührt sein können.

LanCologne beginnt deshalb nicht mit einer möglichst umfassenden Durchsuchung der IT. Ausgangspunkt ist eine klar formulierte technische Beweisfrage. Daraus werden die erforderlichen Datenquellen, Zeiträume und Untersuchungsschritte abgeleitet. Technische Zugriffsmöglichkeit und rechtliche Zulässigkeit werden bewusst voneinander getrennt.

Die Untersuchung bleibt ergebnisoffen. Ein Verdacht wird nicht bestätigt, weil er plausibel klingt. Belastende, entlastende und widersprechende Spuren werden nach demselben fachlichen Maßstab geprüft. Wo mehrere technische Erklärungen möglich sind, werden diese benannt und soweit möglich gegeneinander getestet.

Automatisierte Reports, EDR-Alarme, DLP-Treffer oder Ausgaben forensischer Software werden nicht ungeprüft als Beweis übernommen. Tragende Aussagen werden soweit möglich an Primärdaten validiert und mit unabhängigen Artefakten korreliert.

Für eine spätere fachliche Prüfung dokumentieren wir nicht nur das Ergebnis, sondern auch dessen Herleitung. Der verständliche Hauptteil richtet sich an Geschäftsführung und Rechtsabteilung; ein technischer Anhang ermöglicht einem qualifizierten externen Forensiker, die wesentlichen Feststellungen nachzuvollziehen.

Nuestra forma de trabajar

Keine Vorverurteilung – auch bei intern bereits gefestigtem Verdacht

Ein Unternehmen kann aus organisatorischen oder rechtlichen Gründen bereits eine klare Verdachtslage sehen. Für die technische Untersuchung bleibt der Ausgang dennoch offen. Wir dokumentieren auch Befunde, die dem Verdacht widersprechen, und benennen ausdrücklich, wenn eine behauptete Handlung anhand der erhaltenen Daten nicht bewiesen werden kann.

Technischer Befund und rechtliche Bewertung bleiben getrennt

Die IT-Forensik kann beispielsweise feststellen, dass ein bestimmter Account eine Datei exportiert hat, dass ein Gerät zu einem bestimmten Zeitpunkt verbunden war oder dass eine Nachricht technisch übertragen wurde. Daraus folgt nicht automatisch, welche natürliche Person gehandelt hat, ob die Handlung erlaubt war oder welche arbeits-, zivil- oder strafrechtliche Konsequenz daraus entsteht.

LanCologne als unabhängige technische Unterstützung für Rechtsabteilung und Geschäftsführung

LanCologne wird nicht beauftragt, ein gewünschtes Ergebnis technisch zu bestätigen. Wir werden beauftragt, eine konkrete Beweisfrage anhand der verfügbaren digitalen Spuren sachlich zu beantworten. Die Untersuchung soll auch dann nachvollziehbar bleiben, wenn sie später von einer Gegenpartei, einem Gericht oder einem weiteren qualifizierten IT-Forensiker kritisch geprüft wird.

Für Beschäftigtendaten ist § 26 BDSG ein wesentlicher gesetzlicher Bezugspunkt. § 26 Abs. 1 BDSG erlaubt die Verarbeitung personenbezogener Beschäftigtendaten für Zwecke des Beschäftigungsverhältnisses unter den dort genannten Voraussetzungen. Zur Aufdeckung von Straftaten verlangt die Vorschrift insbesondere zu dokumentierende tatsächliche Anhaltspunkte, Erforderlichkeit und Verhältnismäßigkeit; das schutzwürdige Interesse der beschäftigten Person darf nicht überwiegen. § 26 Abs. 6 BDSG lässt Beteiligungsrechte der Interessenvertretungen unberührt.

Daneben gelten die Grundsätze der DSGVO, insbesondere Rechtmäßigkeit, Zweckbindung und Datenminimierung nach Art. 5 sowie das Erfordernis einer tragfähigen Rechtsgrundlage nach Art. 6. Bei besonderen Kategorien personenbezogener Daten sind zusätzlich Art. 9 DSGVO und gegebenenfalls § 26 Abs. 3 BDSG zu beachten.

Bei technischen Einrichtungen, die dazu bestimmt sind, Verhalten oder Leistung von Arbeitnehmern zu überwachen, sieht § 87 Abs. 1 Nr. 6 BetrVG ein Mitbestimmungsrecht des Betriebsrats vor, soweit keine gesetzliche oder tarifliche Regelung besteht. Für MDM, EDR, DLP, Logging und vergleichbare Systeme muss daher jeweils die konkrete Ausgestaltung betrachtet werden.

Bei Hinweisen nach dem Hinweisgeberschutzgesetz ist insbesondere § 8 HinSchG relevant. Das Vertraulichkeitsgebot schützt nicht nur die Identität der hinweisgebenden Person, sondern auch Personen, die Gegenstand einer Meldung sind, und sonstige in der Meldung genannte Personen. § 9 HinSchG enthält gesetzliche Ausnahmen vom Vertraulichkeitsgebot. § 36 HinSchG verbietet Repressalien und enthält unter den dort genannten Voraussetzungen eine Beweislastregel.

Bei Geschäftsgeheimnissen darf eine interne Untersuchung eine Meldung nicht automatisch als Geheimnisverletzung behandeln. § 5 GeschGehG enthält Ausnahmen von den Verboten des § 4, unter anderem unter bestimmten Voraussetzungen zur Aufdeckung rechtswidriger Handlungen oder beruflichen beziehungsweise sonstigen Fehlverhaltens sowie für erforderliche Offenlegungen gegenüber Arbeitnehmervertretungen.

Kommt es später zu einem Zivilprozess, kennt die ZPO unter anderem den Beweis durch Augenschein; § 371 Abs. 1 ZPO regelt ausdrücklich den Fall, dass ein elektronisches Dokument Gegenstand des Beweises ist. Für Sachverständigenbeweis gelten §§ 402 ff. ZPO. In einem Strafverfahren bestimmt das Gericht den Umfang der Beweisaufnahme nach der StPO; insbesondere § 244 StPO regelt den Untersuchungsgrundsatz und Beweisanträge. Diese prozessualen Vorschriften machen aus einem privat beauftragten IT-forensischen Bericht jedoch nicht automatisch ein gerichtliches Gutachten.

LanCologne erbringt technische Sachverständigenarbeit und keine Rechtsberatung. Die konkrete Zulässigkeit einer Untersuchungsmaßnahme, arbeitsrechtliche Konsequenzen, prozessuale Strategie und strafrechtliche Bewertung bleiben der zuständigen Rechtsberatung, den Behörden und Gerichten vorbehalten.

Preguntas frecuentes

🔗 Temas relacionados