IT-rikostutkinta · Yritykset

Miten yritys voi tutkia compliance-epäilyä IT-rikostutkinnan keinoin ilman, että se ennakoi tulosta?

Ein Compliance-Hinweis kann eine interne Untersuchung erforderlich machen. Aus einem Hinweis folgt jedoch weder die Richtigkeit des Vorwurfs noch die Verantwortlichkeit einer bestimmten Person.

Pyydä sitoumukseton tarjous

Miksi tämä kysymys on tärkeä yritykselle

Sisäiset tutkimukset voivat aiheuttaa merkittäviä taloudellisia, henkilöstöön liittyviä ja oikeudellisia seurauksia. Juuri tästä syystä on ensin selvitettävä, mikä konkreettinen tekninen seikka on tarkoitus todistaa tai kumota. Mahdollisimman suuri tietomäärä ei ole laadun merkki; ratkaisevaa on asianmukainen, rajattu ja jäljiteltävä tutkimus.

Tekninen tutkimuslähestymistapa

Wir übersetzen den Sachverhalt in überprüfbare technische Teilfragen und untersuchen nur die hierfür erforderlichen Systeme, Accounts, Zeiträume und Datenarten.

Missä todistusraja kulkee

Die IT-Forensik stellt technische Tatsachen fest. Ob daraus ein arbeits-, zivil- oder strafrechtlicher Verstoß folgt, ist gesondert zu bewerten.

Miksi LanCologne?

Sisäiset tutkimukset ovat erityisen arkaluonteisia, koska niissä voi olla samanaikaisesti kyse yrityksen taloudellisista eduista, työntekijöiden henkilökohtaisista oikeuksista, tietosuojasta, työpaikalla käytävästä yhteispäätöksenteosta sekä mahdollisista myöhemmistä oikeudenkäynneistä.

LanCologne ei siksi aloita mahdollisimman kattavalla IT-järjestelmän tutkinnalla. Lähtökohtana on selkeästi muotoiltu tekninen todistekysymys. Siitä johdetaan tarvittavat tietolähteet, ajanjaksot ja tutkintavaiheet. Tekninen pääsy ja oikeudellinen sallittavuus erotetaan toisistaan tarkoituksellisesti.

Tutkimus jätetään avoimeksi. Epäilyä ei vahvisteta pelkästään sen vuoksi, että se kuulostaa uskottavalta. Syyllisyyttä tukevat, syyttömyyttä tukevat ja ristiriitaiset todisteet tarkastellaan samojen ammatillisten kriteerien mukaisesti. Jos on olemassa useita mahdollisia teknisiä selityksiä, ne mainitaan ja niitä verrataan toisiinsa mahdollisuuksien mukaan.

Automatisoituja raportteja, EDR-hälytyksiä, DLP-osumia tai rikosteknisten ohjelmistojen tuloksia ei hyväksytä todisteiksi tarkastamatta. Keskeiset väittämät todennetaan mahdollisuuksien mukaan primaaritietojen perusteella ja niitä verrataan riippumattomiin todisteisiin.

Myöhempää asiantuntijatarkastelua varten dokumentoimme paitsi tuloksen myös sen johtopäätökset. Selkeästi kirjoitettu pääosa on suunnattu johdolle ja lakiosastolle; teknisen liitteen avulla pätevä ulkopuolinen rikostekninen asiantuntija voi seurata keskeisiä havaintoja.

Toimintatapamme

1Määritellään tutkimuksen syy ja konkreettinen todistuskysymys.

2Selvitetään etukäteen toimivalta, oikeusperusta ja tarvittaessa osallistumisoikeudet.

3Rajoita henkilöiden, järjestelmien, tilien, ajan ja tietojen laajuus välttämättömään.

4Säilyttää haihtuvat tai menettämisen vaarassa olevat tiedot varhaisessa vaiheessa.

5Luottamuksellisuus ja ”tarve tietää” -periaate on otettava huomioon sekä organisatorisesti että teknisesti.

6Erottaa alkuperäiset tiedot tai työkopioiden asianmukaiset varmuuskopiot toisistaan.

7Dokumentoidaan jäljitettävästi eheys, alkuperä ja turvaamisajankohta.

8Tuotehälytysten ja työkalujen tulostusten oikeellisuus on tarkistettava primaaritietojen perusteella.

9Tili-, laite-, istunto- ja henkilötiedot eivät ole sama asia.

10Tutkitaan syyllisyyttä tukevia, syyllisyyttä lieventäviä ja vaihtoehtoisia selityksiä tasapuolisesti.

11Erotetaan tekniset havainnot oikeudellisista johtopäätöksistä.

12Laaditaan pääraportti ymmärrettävästi ja tekninen liite toistettavissa olevalla tavalla.

Ei ennakkoarviointia – edes silloin, kun epäily on sisäisesti jo vahvistunut

Yritys voi jo organisaation tai lainsäädännön perusteella pitää tilannetta selväksi epäilytapauksena. Tekninen tutkimus jättää kuitenkin lopputuloksen avoimeksi. Dokumentoimme myös havainnot, jotka ovat ristiriidassa epäilyn kanssa, ja mainitsemme nimenomaisesti, jos väitettyä tekoa ei voida todistaa saatujen tietojen perusteella.

Tekninen arvio ja oikeudellinen arvio pysyvät erillään

IT-rikostutkinta voi esimerkiksi todeta, että tietty tili on vienyt tiedoston, että laite oli yhteydessä verkkoon tiettynä ajankohtana tai että viesti on teknisesti lähetetty. Tästä ei kuitenkaan automaattisesti seuraa, kuka luonnollinen henkilö on toiminut, oliko toiminta sallittua tai mitä työ-, siviili- tai rikosoikeudellisia seuraamuksia siitä aiheutuu.

LanCologne tarjoaa riippumatonta teknistä tukea lakiasiainosastolle ja johdolle

LanCologne:tä ei pyydetä vahvistamaan toivottua tulosta teknisesti. Meidän tehtävämme on vastata konkreettiseen todistusaineistoon liittyvään kysymykseen objektiivisesti käytettävissä olevien digitaalisten jälkien perusteella. Tutkimuksen on oltava jäljitettävissä myös silloin, kun vastapuoli, tuomioistuin tai toinen pätevä IT-rikostutkija tarkastaa sen myöhemmin kriittisesti.

Oikeudellinen kehys

Työntekijöiden tietojen osalta BDSG:n 26 § on keskeinen lainsäädännöllinen viitekohta. BDSG:n 26 §:n 1 momentti sallii työntekijöiden henkilötietojen käsittelyn työsuhteen tarkoituksiin siinä mainituin edellytyksin. Rikosten paljastamiseksi säännöksessä edellytetään erityisesti dokumentoitavia tosiseikkoja, käsittelyn välttämättömyyttä ja oikeasuhteisuutta; työntekijän suojeltava etu ei saa olla painavampi. BDSG:n 26 §:n 6 momentti ei vaikuta etujärjestöjen osallistumisoikeuksiin.

Lisäksi sovelletaan GDPR:n periaatteita, erityisesti 5 artiklan mukaisia laillisuuden, käyttötarkoituksen rajoittamisen ja tietojen minimoinnin periaatteita sekä 6 artiklan mukaista vaatimusta vankasta oikeusperustasta. Erityisten henkilötietoryhmien osalta on lisäksi noudatettava GDPR:n 9 artiklaa ja tarvittaessa BDSG:n 26 §:n 3 momenttia.

Teknisten laitteiden osalta, jotka on tarkoitettu työntekijöiden käyttäytymisen tai suorituskyvyn seurantaan, BetrVG:n 87 §:n 1 momentin 6 kohdassa säädetään työpaikkaneuvoston myötäpäätösoikeudesta, ellei asiasta ole säädetty laissa tai työehtosopimuksessa. MDM-, EDR-, DLP-, lokitallennus- ja vastaavien järjestelmien osalta on siksi tarkasteltava kunkin järjestelmän konkreettista toteutusta.

Ilmoitusten osalta, jotka tehdään ilmoittajien suojelusta annetun lain nojalla, erityisesti § 8 HinSchG on merkityksellinen. Luottamuksellisuusvelvoite suojaa paitsi ilmoittajan henkilöllisyyttä myös henkilöitä, jotka ovat ilmoituksen kohteena, sekä muita ilmoituksessa mainittuja henkilöitä. HinSchG:n 9 § sisältää lakisääteisiä poikkeuksia salassapitovelvollisuudesta. HinSchG:n 36 § kieltää kostotoimenpiteet ja sisältää siinä mainituin edellytyksin todistustaakan säännön.

Liikesalaisuuksien osalta sisäisessä tutkinnassa ilmoitusta ei saa automaattisesti käsitellä salaisuuden paljastamisena. Lain 5 § sisältää poikkeuksia 4 §:n kieltoihin, muun muassa tietyin edellytyksin laittomien tekojen tai ammatillisen tai muun väärinkäytöksen paljastamiseksi sekä työntekijöiden edustajille tehtävien välttämättömien ilmoitusten osalta.

Jos myöhemmin käynnistyy siviilioikeudenkäynti, ZPO:ssa tunnustetaan muun muassa silmämääräisen todistuksen käyttö; ZPO:n 371 §:n 1 momentti sääntelee nimenomaisesti tapausta, jossa todisteena on sähköinen asiakirja. Asiantuntijatodistukseen sovelletaan ZPO:n 402 §:ää ja sitä seuraavia pykäliä. Rikosoikeudenkäynnissä tuomioistuin määrittää todisteiden keräämisen laajuuden rikosprosessilain (StPO) mukaisesti; erityisesti rikosprosessilain 244 § säätelee tutkintaperiaatetta ja todistepyyntöjä. Nämä menettelylliset säännökset eivät kuitenkaan tee yksityisesti tilatusta tietoteknisestä rikosteknologisesta raportista automaattisesti oikeudellista asiantuntijalausuntoa.

LanCologne tarjoaa teknistä asiantuntijapalvelua, ei oikeudellista neuvontaa. Tutkintatoimenpiteen konkreettinen sallittavuus, työlainsäädännölliset seuraukset, oikeudenkäyntistrategia ja rikosoikeudellinen arviointi kuuluvat toimivaltaisten oikeudellisten neuvonantajien, viranomaisten ja tuomioistuinten toimivaltaan.

Usein kysyttyjä kysymyksiä

Miten yritys voi tutkia compliance-epäilyä IT-rikostutkinnan keinoin ilman, että se ennakoi tulosta?+

Miten tällainen tekninen tutkimus käytännössä toteutetaan?+

Wir übersetzen den Sachverhalt in überprüfbare technische Teilfragen und untersuchen nur die hierfür erforderlichen Systeme, Accounts, Zeiträume und Datenarten.

Antaako tutkimus aina yksiselitteisen tuloksen, joka on joko osapuolen vahingoksi tai eduksi?+

Die IT-Forensik stellt technische Tatsachen fest. Ob daraus ein arbeits-, zivil- oder strafrechtlicher Verstoß folgt, ist gesondert zu bewerten.

Onko tälle lainsäädännöllistä perustaa?+

Für Beschäftigtendaten ist § 26 BDSG ein wesentlicher gesetzlicher Bezugspunkt. § 26 Abs. 1 BDSG erlaubt die Verarbeitung personenbezogener Beschäftigtendaten für Zwecke des Beschäftigungsverhältnisses unter den dort genannten Voraussetzungen. Zur Aufdeckung von Straftaten verlangt die Vorschrift insbesondere zu dokumentierende tatsächliche Anhaltspunkte, Erforderlichkeit und Verhältnismäßigkeit; das schutzwürdige Interesse der beschäftigten Person darf nicht überwiegen. § 26 Abs. 6 BDSG lässt Beteiligungsrechte der Interessenvertretungen unberührt. Daneben gelten die Grundsätze der DSGVO, insbesondere Rechtmäßigkeit, Zweckbindung und Datenminimierung nach Art. 5 sowie das Erfordernis einer tragfähigen Rechtsgrundlage nach Art. 6. Bei besonderen Kategorien personenbezogener Daten sind zusätzlich Art. 9 DSGVO und gegebenenfalls § 26 Abs. 3 BDSG zu beachten. Bei technischen Einrichtungen, die dazu bestimmt sind, Verhalten oder Leistung von Arbeitnehmern zu überwachen, sieht § 87 Abs. 1 Nr. 6 BetrVG ein Mitbestimmungsrecht des Betriebsrats vor, soweit keine gesetzliche oder tarifliche Regelung besteht. Für MDM, EDR, DLP, Logging und vergleichbare Systeme muss daher jeweils die konkrete Ausgestaltung betrachtet werden. Bei Hinweisen nach dem Hinweisgeberschutzgesetz ist insbesondere § 8 HinSchG relevant. Das Vertraulichkeitsgebot schützt nicht nur die Identität der hinweisgebenden Person, sondern auch Personen, die Gegenstand einer Meldung sind, und sonstige in der Meldung genannte Personen. § 9 HinSchG enthält gesetzliche Ausnahmen vom Vertraulichkeitsgebot. § 36 HinSchG verbietet Repressalien und enthält unter den dort genannten Voraussetzungen eine Beweislastregel. Bei Geschäftsgeheimnissen darf eine interne Untersuchung eine Meldung nicht automatisch als Geheimnisverletzung behandeln. § 5 GeschGehG enthält Ausnahmen von den Verboten des § 4, unter anderem unter bestimmten Voraussetzungen zur Aufdeckung rechtswidriger Handlungen oder beruflichen beziehungsweise sonstigen Fehlverhaltens sowie für erforderliche Offenlegungen gegenüber Arbeitnehmervertretungen. Kommt es später zu einem Zivilprozess, kennt die ZPO unter anderem den Beweis durch Augenschein; § 371 Abs. 1 ZPO regelt ausdrücklich den Fall, dass ein elektronisches Dokument Gegenstand des Beweises ist. Für Sachverständigenbeweis gelten §§ 402 ff. ZPO. In einem Strafverfahren bestimmt das Gericht den Umfang der Beweisaufnahme nach der StPO; insbesondere § 244 StPO regelt den Untersuchungsgrundsatz und Beweisanträge. Diese prozessualen Vorschriften machen aus einem privat beauftragten IT-forensischen Bericht jedoch nicht automatisch ein gerichtliches Gutachten. LanCologne erbringt technische Sachverständigenarbeit und keine Rechtsberatung. Die konkrete Zulässigkeit einer Untersuchungsmaßnahme, arbeitsrechtliche Konsequenzen, prozessuale Strategie und strafrechtliche Bewertung bleiben der zuständigen Rechtsberatung, den Behörden und Gerichten vorbehalten.