IT-rikostutkinta · Yritykset

Miten yrityksen tulisi varmistaa digitaalisten todisteiden säilyttäminen saatuaan sisäisen ilmoituksen?

Nach einem internen Hinweis – etwa auf Betrug, Datenabfluss oder Compliance-Verstöße – entscheidet sich in den ersten Tagen, ob die relevanten Daten später noch vorhanden sind. Automatische Löschfristen, Kontodeaktivierung beim Ausscheiden oder Gerätewechsel können Beweise vernichten, bevor jemand danach sucht.

Pyydä sitoumukseton tarjous

Miksi tämä kysymys on tärkeä yritykselle

Sisäiset tutkimukset voivat aiheuttaa merkittäviä taloudellisia, henkilöstöön liittyviä ja oikeudellisia seurauksia. Juuri tästä syystä on ensin selvitettävä, mikä konkreettinen tekninen seikka on tarkoitus todistaa tai kumota. Mahdollisimman suuri tietomäärä ei ole laadun merkki; ratkaisevaa on asianmukainen, rajattu ja jäljiteltävä tutkimus.

Technischer Hintergrund

Viele Systeme löschen selbstständig: Microsoft 365 nach Aufbewahrungsrichtlinien, Protokolle nach Tagen bis Monaten (abhängig von Lizenz und Konfiguration), Mobilgeräte bei Rückgabe per Wipe. Eine frühzeitige Aufbewahrungsanordnung (Legal Hold) und gezielte Sicherung verhindern das, ohne dass sofort ausgewertet wird.

Relevante Spuren und Datenquellen

• Postfächer und OneDrive/SharePoint (Litigation/Retention Hold)
• Microsoft 365 Unified Audit Log, Entra-ID-Anmeldungen
• Dienstliche Endgeräte (Notebook, Smartphone) vor Rückgabe oder Neuinstallation
• Server-, VPN- und Proxy-Logs
• ERP-/Buchhaltungsprotokolle, wenn fachlich relevant

Grenzen

• Bereits gelöschte Daten sind nur teilweise wiederherstellbar.
• Private Geräte und Konten sind ohne Rechtsgrundlage nicht Gegenstand.

Mögliche Ergebnisse

• Gesicherter, dokumentierter Datenbestand
• Übersicht, welche Quellen verfügbar waren und welche fehlten

Miksi LanCologne?

Interne Untersuchungen sind besonders sensibel, weil wirtschaftliche Interessen des Unternehmens, Persönlichkeitsrechte von Beschäftigten, Datenschutz, betriebliche Mitbestimmung und mögliche spätere Rechtsverfahren gleichzeitig berührt sein können. LanCologne beginnt deshalb nicht mit einer möglichst umfassenden Durchsuchung der IT.

So gehen wir vor

• Klärung der Rechtsgrundlage und Beteiligung von Datenschutz/Betriebsrat.
• Sofortige Aufbewahrungsmaßnahmen für kurzlebige Quellen.
• Forensische Sicherung mit Hashwerten und Dokumentation, Auswertung erst nach Festlegung der Fragestellung.

Ei ennakkoarviointia – edes silloin, kun epäily on sisäisesti jo vahvistunut

Yritys voi jo organisaation tai lainsäädännön perusteella pitää tilannetta selväksi epäilytapauksena. Tekninen tutkimus jättää kuitenkin lopputuloksen avoimeksi. Dokumentoimme myös havainnot, jotka ovat ristiriidassa epäilyn kanssa, ja mainitsemme nimenomaisesti, jos väitettyä tekoa ei voida todistaa saatujen tietojen perusteella.

Tekninen arvio ja oikeudellinen arvio pysyvät erillään

IT-rikostutkinta voi esimerkiksi todeta, että tietty tili on vienyt tiedoston, että laite oli yhteydessä verkkoon tiettynä ajankohtana tai että viesti on teknisesti lähetetty. Tästä ei kuitenkaan automaattisesti seuraa, kuka luonnollinen henkilö on toiminut, oliko toiminta sallittua tai mitä työ-, siviili- tai rikosoikeudellisia seuraamuksia siitä aiheutuu.

LanCologne tarjoaa riippumatonta teknistä tukea lakiasiainosastolle ja johdolle

LanCologne:tä ei pyydetä vahvistamaan toivottua tulosta teknisesti. Meidän tehtävämme on vastata konkreettiseen todistusaineistoon liittyvään kysymykseen objektiivisesti käytettävissä olevien digitaalisten jälkien perusteella. Tutkimuksen on oltava jäljitettävissä myös silloin, kun vastapuoli, tuomioistuin tai toinen pätevä IT-rikostutkija tarkastaa sen myöhemmin kriittisesti.

Työntekijöiden tietojen osalta BDSG:n 26 § on keskeinen lainsäädännöllinen viitekohta. BDSG:n 26 §:n 1 momentti sallii työntekijöiden henkilötietojen käsittelyn työsuhteen tarkoituksiin siinä mainituin edellytyksin. Rikosten paljastamiseksi säännöksessä edellytetään erityisesti dokumentoitavia tosiseikkoja, käsittelyn välttämättömyyttä ja oikeasuhteisuutta; työntekijän suojeltava etu ei saa olla painavampi. BDSG:n 26 §:n 6 momentti ei vaikuta etujärjestöjen osallistumisoikeuksiin.

Lisäksi sovelletaan GDPR:n periaatteita, erityisesti 5 artiklan mukaisia laillisuuden, käyttötarkoituksen rajoittamisen ja tietojen minimoinnin periaatteita sekä 6 artiklan mukaista vaatimusta vankasta oikeusperustasta. Erityisten henkilötietoryhmien osalta on lisäksi noudatettava GDPR:n 9 artiklaa ja tarvittaessa BDSG:n 26 §:n 3 momenttia.

Teknisten laitteiden osalta, jotka on tarkoitettu työntekijöiden käyttäytymisen tai suorituskyvyn seurantaan, BetrVG:n 87 §:n 1 momentin 6 kohdassa säädetään työpaikkaneuvoston myötäpäätösoikeudesta, ellei asiasta ole säädetty laissa tai työehtosopimuksessa. MDM-, EDR-, DLP-, lokitallennus- ja vastaavien järjestelmien osalta on siksi tarkasteltava kunkin järjestelmän konkreettista toteutusta.

Ilmoitusten osalta, jotka tehdään ilmoittajien suojelusta annetun lain nojalla, erityisesti § 8 HinSchG on merkityksellinen. Luottamuksellisuusvelvoite suojaa paitsi ilmoittajan henkilöllisyyttä myös henkilöitä, jotka ovat ilmoituksen kohteena, sekä muita ilmoituksessa mainittuja henkilöitä. HinSchG:n 9 § sisältää lakisääteisiä poikkeuksia salassapitovelvollisuudesta. HinSchG:n 36 § kieltää kostotoimenpiteet ja sisältää siinä mainituin edellytyksin todistustaakan säännön.

Liikesalaisuuksien osalta sisäisessä tutkinnassa ilmoitusta ei saa automaattisesti käsitellä salaisuuden paljastamisena. Lain 5 § sisältää poikkeuksia 4 §:n kieltoihin, muun muassa tietyin edellytyksin laittomien tekojen tai ammatillisen tai muun väärinkäytöksen paljastamiseksi sekä työntekijöiden edustajille tehtävien välttämättömien ilmoitusten osalta.

Jos myöhemmin käynnistyy siviilioikeudenkäynti, ZPO:ssa tunnustetaan muun muassa silmämääräisen todistuksen käyttö; ZPO:n 371 §:n 1 momentti sääntelee nimenomaisesti tapausta, jossa todisteena on sähköinen asiakirja. Asiantuntijatodistukseen sovelletaan ZPO:n 402 §:ää ja sitä seuraavia pykäliä. Rikosoikeudenkäynnissä tuomioistuin määrittää todisteiden keräämisen laajuuden rikosprosessilain (StPO) mukaisesti; erityisesti rikosprosessilain 244 § säätelee tutkintaperiaatetta ja todistepyyntöjä. Nämä menettelylliset säännökset eivät kuitenkaan tee yksityisesti tilatusta tietoteknisestä rikosteknologisesta raportista automaattisesti oikeudellista asiantuntijalausuntoa.

LanCologne tarjoaa teknistä asiantuntijapalvelua, ei oikeudellista neuvontaa. Tutkintatoimenpiteen konkreettinen sallittavuus, työlainsäädännölliset seuraukset, oikeudenkäyntistrategia ja rikosoikeudellinen arviointi kuuluvat toimivaltaisten oikeudellisten neuvonantajien, viranomaisten ja tuomioistuinten toimivaltaan.

Usein kysyttyjä kysymyksiä

🔗 Aiheeseen liittyvät aiheet