Informática forense · Empresas
Wie kann geprüft werden, ob Quellcode vor dem Ausscheiden eines Entwicklers kopiert oder exportiert wurde?
Quellcode kann für ein Unternehmen erheblichen wirtschaftlichen Wert besitzen. Zugleich gehören Repository-Zugriffe, Builds und lokale Arbeitskopien zum normalen Entwicklungsprozess.
Por qué esta cuestión es importante para una empresa
Bei möglichen Datenabflüssen stehen häufig erhebliche wirtschaftliche Werte, Kundenbeziehungen, Entwicklungswissen oder Wettbewerbsvorteile auf dem Spiel. Eine belastbare Untersuchung muss deshalb präzise klären, welche Datenbewegung tatsächlich stattgefunden hat, ohne aus einem Verdacht bereits eine Rechtsverletzung abzuleiten.
Enfoque técnico de investigación
Wir prüfen Repository-, Dateisystem-, IDE-, Archivierungs-, Cloud- und Datenträgerspuren und unterscheiden reguläre Entwicklungsarbeit von einem konkreten Transfer.
Dónde está el límite de la expresión
Die technische Feststellung einer Kopie beantwortet noch nicht, ob der Quellcode rechtlich ein Geschäftsgeheimnis ist oder ob die Nutzung unbefugt war.
¿Por qué LanCologne?
Der Verdacht auf Datenmitnahme oder den Verlust vertraulicher Unternehmensinformationen kann erhebliche wirtschaftliche und rechtliche Folgen haben. Gerade deshalb darf die Untersuchung nicht mit dem gewünschten Ergebnis beginnen.
LanCologne übersetzt den Sachverhalt zunächst in konkrete technische Beweisfragen: Welche Dateien oder Datenbestände sind betroffen? Wurden sie tatsächlich geöffnet, kopiert, exportiert, archiviert oder übertragen? Welcher technische Übertragungsweg ist nachweisbar? Wann geschah dies? Welcher Geräte-, Account- oder Sessionkontext ist belegbar?
Dabei unterscheiden wir strikt zwischen Zugriffsmöglichkeit, tatsächlichem Zugriff, Kopiervorgang und erfolgreichem Transfer. Diese Begriffe werden in der Praxis häufig vermischt, obwohl sie technisch unterschiedliche Tatsachen beschreiben.
Tragende Befunde werden soweit möglich an Primärdaten überprüft und mit unabhängigen Quellen korreliert. Ein automatisierter Alarm, ein Toolreport oder ein einzelner Zeitstempel wird nicht ungeprüft zum Beweis erklärt.
Ebenso werden reguläre Alternativerklärungen untersucht. Übergabeprozesse, Projektarchive, Backups, Synchronisation, Softwareupdates oder erlaubte Cloudnutzung können Spuren erzeugen, die ohne Kontext verdächtig wirken. Erst wenn solche Erklärungen anhand der Daten eingegrenzt wurden, ist eine belastbare technische Bewertung möglich.
Für LanCologne ist auch ein entlastender Befund ein vollständiges Untersuchungsergebnis. Kann eine behauptete Datenmitnahme nicht bestätigt werden, wird dies ebenso dokumentiert wie ein nachweisbarer Transfer.
Nuestra forma de trabajar
Geschäftsgeheimnis ist eine rechtliche Einordnung – Datenbewegung eine technische Beweisfrage
Wir können feststellen beziehungsweise eingrenzen, welche Dateien vorhanden waren, welche technischen Schutzmechanismen bestanden und welche Zugriffs-, Kopier- oder Transferhandlungen nachweisbar sind. Ob die betroffene Information die Voraussetzungen eines Geschäftsgeheimnisses erfüllt und eine Handlung unbefugt oder rechtswidrig war, wird davon getrennt juristisch bewertet.
Keine Vorverurteilung – auch nicht bei auffälligen Transfermustern
Ein ungewöhnlich großer Dateizugriff, ein USB-Anschluss oder ein Cloudlogin kann Anlass für weitere Prüfung sein, ist aber noch keine Schlussfolgerung. Alternative Arbeitsabläufe werden mituntersucht. Wo mehrere Erklärungen möglich bleiben, wird diese Unsicherheit nicht durch eine Vermutung ersetzt.
Warum LanCologne bei Datenmitnahme und Geschäftsgeheimnissen?
LanCologne untersucht nicht, um einen vorgegebenen Verdacht zu bestätigen. Wir beantworten die konkrete technische Beweisfrage, dokumentieren die zugrunde liegenden Primärdaten und benennen ebenso klar, was sich nicht beweisen lässt. Dadurch erhält Geschäftsführung und Rechtsabteilung eine Tatsachengrundlage, die auch einer späteren fachlichen Gegenprüfung standhalten kann.
Marco jurídico
Bei Mitarbeiterbezug bleibt § 26 BDSG ein wesentlicher Ausgangspunkt. Für die Aufdeckung von Straftaten verlangt § 26 Abs. 1 BDSG unter anderem zu dokumentierende tatsächliche Anhaltspunkte, Erforderlichkeit und Verhältnismäßigkeit; das schutzwürdige Interesse der beschäftigten Person darf nicht überwiegen. Daneben gelten die Grundsätze der DSGVO, insbesondere Rechtmäßigkeit, Zweckbindung und Datenminimierung.
Für Geschäftsgeheimnisse ist das GeschGehG zentral. Nach § 2 Nr. 1 GeschGehG genügt nicht jede vertrauliche Information: Die Information muss unter anderem wirtschaftlichen Wert besitzen, weil sie nicht allgemein bekannt oder ohne Weiteres zugänglich ist, Gegenstand den Umständen nach angemessener Geheimhaltungsmaßnahmen sein und es muss ein berechtigtes Geheimhaltungsinteresse bestehen.
§ 4 GeschGehG verbietet unter bestimmten Voraussetzungen unter anderem den unbefugten Zugang zu, die unbefugte Aneignung oder das unbefugte Kopieren von elektronischen Dateien, die ein Geschäftsgeheimnis enthalten oder aus denen es sich ableiten lässt. Nutzung und Offenlegung können ebenfalls verboten sein. Ob ein technisch nachgewiesener Vorgang die rechtlichen Tatbestandsmerkmale erfüllt, entscheidet nicht der IT-Forensiker.
Das GeschGehG enthält außerdem Ausnahmen. § 5 nennt insbesondere bestimmte Handlungen zum Schutz berechtigter Interessen, darunter unter Voraussetzungen die Aufdeckung rechtswidriger Handlungen oder beruflichen beziehungsweise sonstigen Fehlverhaltens. Zusätzlich kann das Hinweisgeberschutzgesetz einschlägig sein. § 6 HinSchG regelt unter bestimmten Voraussetzungen die Weitergabe beziehungsweise Offenlegung von Geschäftsgeheimnissen im Rahmen geschützter Meldungen. Ein Datenabflussverdacht darf daher nicht automatisch mit einer rechtswidrigen Geheimnisverletzung gleichgesetzt werden.
Das GeschGehG sieht bei festgestellten Rechtsverletzungen mögliche zivilrechtliche Ansprüche vor, darunter Beseitigung und Unterlassung (§ 6), weitere Maßnahmen nach § 7, bestimmte Auskunftsansprüche nach § 8 und Schadensersatz nach § 10. Welche Ansprüche im Einzelfall bestehen, ist juristisch zu prüfen. Die IT-Forensik liefert hierfür lediglich die technische Tatsachengrundlage.
Soweit technische Einrichtungen zur Mitarbeiterüberwachung eingesetzt werden, können außerdem Beteiligungsrechte des Betriebsrats, insbesondere nach § 87 Abs. 1 Nr. 6 BetrVG, relevant sein. Die konkrete Zulässigkeit wird vor der Untersuchung durch die zuständigen betrieblichen und rechtlichen Stellen geklärt.
Preguntas frecuentes
Wie kann geprüft werden, ob Quellcode vor dem Ausscheiden eines Entwicklers kopiert oder exportiert wurde?
¿Cómo se lleva a cabo en la práctica una inspección técnica de este tipo?
¿La investigación siempre arroja un resultado inequívoco en contra o a favor de una de las personas implicadas?
¿Existe algún fundamento jurídico para ello?
Für Geschäftsgeheimnisse ist das GeschGehG zentral. Nach § 2 Nr. 1 GeschGehG genügt nicht jede vertrauliche Information: Die Information muss unter anderem wirtschaftlichen Wert besitzen, weil sie nicht allgemein bekannt oder ohne Weiteres zugänglich ist, Gegenstand den Umständen nach angemessener Geheimhaltungsmaßnahmen sein und es muss ein berechtigtes Geheimhaltungsinteresse bestehen.
§ 4 GeschGehG verbietet unter bestimmten Voraussetzungen unter anderem den unbefugten Zugang zu, die unbefugte Aneignung oder das unbefugte Kopieren von elektronischen Dateien, die ein Geschäftsgeheimnis enthalten oder aus denen es sich ableiten lässt. Nutzung und Offenlegung können ebenfalls verboten sein. Ob ein technisch nachgewiesener Vorgang die rechtlichen Tatbestandsmerkmale erfüllt, entscheidet nicht der IT-Forensiker.
Das GeschGehG enthält außerdem Ausnahmen. § 5 nennt insbesondere bestimmte Handlungen zum Schutz berechtigter Interessen, darunter unter Voraussetzungen die Aufdeckung rechtswidriger Handlungen oder beruflichen beziehungsweise sonstigen Fehlverhaltens. Zusätzlich kann das Hinweisgeberschutzgesetz einschlägig sein. § 6 HinSchG regelt unter bestimmten Voraussetzungen die Weitergabe beziehungsweise Offenlegung von Geschäftsgeheimnissen im Rahmen geschützter Meldungen. Ein Datenabflussverdacht darf daher nicht automatisch mit einer rechtswidrigen Geheimnisverletzung gleichgesetzt werden.
Das GeschGehG sieht bei festgestellten Rechtsverletzungen mögliche zivilrechtliche Ansprüche vor, darunter Beseitigung und Unterlassung (§ 6), weitere Maßnahmen nach § 7, bestimmte Auskunftsansprüche nach § 8 und Schadensersatz nach § 10. Welche Ansprüche im Einzelfall bestehen, ist juristisch zu prüfen. Die IT-Forensik liefert hierfür lediglich die technische Tatsachengrundlage.
Soweit technische Einrichtungen zur Mitarbeiterüberwachung eingesetzt werden, können außerdem Beteiligungsrechte des Betriebsrats, insbesondere nach § 87 Abs. 1 Nr. 6 BetrVG, relevant sein. Die konkrete Zulässigkeit wird vor der Untersuchung durch die zuständigen betrieblichen und rechtlichen Stellen geklärt.
🔗 Temas relacionados
LanCologne – Informática forense para empresas
¿Tiene alguna duda relacionada con el ámbito digital? LanCologne le ofrece apoyo mediante una investigación forense informática objetiva y sin prejuicios.