IT-rikostutkinta · Yritykset

Miten yrityksen tulisi toimia rikosteknisten menetelmien mukaisesti, kun epäillään ensimmäistä kertaa sisäistä IT-tapausta?

Ein erster Verdacht ist noch kein Beweis. Gerade bei möglichen Mitarbeiterhandlungen muss ein Unternehmen technische Aufklärung, Beweiserhalt, Datenschutz und arbeitsrechtliche Grenzen von Beginn an zusammen denken.

Pyydä sitoumukseton tarjous

Miksi tämä kysymys on tärkeä yritykselle

Sisäisissä tapauksissa asiaan voivat liittyä samanaikaisesti taloudelliset edut, todisteiden säilyttäminen ja työntekijöiden oikeudet. Siksi teknisesti laaja tutkimus ei ole automaattisesti hyvä tutkimus. Ratkaisevaa on selkeästi määritelty todistuskysymys ja ymmärrettävästi rajattu tutkimuksen laajuus.

Tekninen tutkimuslähestymistapa

Wir definieren zunächst die konkrete Beweisfrage, sichern flüchtige und veränderliche Daten soweit erforderlich und grenzen anschließend die Untersuchung auf die tatsächlich relevanten Systeme, Accounts und Zeiträume ein.

Missä todistusraja kulkee

LanCologne untersucht keine Person ‚auf Verdacht‘. Technische Maßnahmen müssen auf einen zulässigen Zweck, eine geeignete Rechtsgrundlage und einen verhältnismäßigen Untersuchungsumfang gestützt werden.

Miksi LanCologne?

Sisäisissä tutkimuksissa useat intressit kohtaavat suoraan: yrityksen on kyettävä suojelemaan järjestelmiään, tietojaan, liikesalaisuuksiaan ja taloudellisia etujaan. Samalla on kuitenkin otettava huomioon työntekijöiden tietosuoja, suhteellisuusperiaate, yhteispäätösvalta ja tarvittaessa yksityiset tietosuojakysymykset.

LanCologne ei siksi aloita mahdollisimman kattavalla tietojen keräämisellä. Lähtökohtana on konkreettinen tekninen todistuskysymys. Vasta sen jälkeen määritetään, mitä laitteita, tilejä, ajanjaksoja ja tietotyyppejä tosiasiassa tarvitaan. Tämän ansiosta tutkimus voidaan usein suorittaa huomattavasti tarkemmin kuin yleisellä kokonaisarvioinnilla.

Tekninen saatavuus ja oikeudellinen sallittavuus erotetaan toisistaan tarkoituksellisesti. Se, että järjestelmänvalvoja, MDM-järjestelmä tai pilvipalvelun käyttäjä mahdollistaa teknisesti pääsyn tiettyihin tietoihin, ei vielä vastaa kysymykseen, voidaanko näitä tietoja käsitellä kyseessä olevaan tarkoitukseen.

Ratkaisevat havainnot validoidaan tarvittaessa primaaritietojen perusteella. Automaattiset raportit ja rikostekninen ohjelmisto ovat apuvälineitä; ne eivät korvaa perustana olevien todisteiden asiantuntijalausuntoa. Myös vaihtoehtoiset tekniset selitykset otetaan huomioon.

Yhtä tärkeää on, että sisäisessä tutkimuksessa syyttömyyttä tukevat seikat on otettava yhtä vakavasti kuin syyllisyyttä tukevat seikat. Jos analyysin perusteella käy ilmi, että epäilyä ei voida teknisesti vahvistaa tai että epäilyttävä tapahtuma selittyy tavanomaisella järjestelmäprosessilla, juuri tämä on mainittava tutkimustuloksissa.

Toimintatapamme

1Määritellään konkreettinen syy ja tekninen todistuskysymys.
2Selvitetään oikeusperusta ja sisäiset toimivaltuudet yrityksen tai lakiasiainosaston kanssa.
3Rajoita tarvittavat järjestelmät, tilit, tietotyypit ja ajanjaksoja.
4Aseta todisteiden säilyttäminen etusijalle ja dokumentoi muuttuvat tiedot.
5Laitteiden ja tietojen tunnistetiedot sekä varmuuskopiointitila on kirjattava jäljitettävällä tavalla.
6Erotetaan raporttien primaaritiedot käyttöliittymän tulkinnoista.
7Henkilöstön, laitteiden, tilien ja istuntojen kohdistamista ei pidä sekoittaa toisiinsa.
8Tarkastele myös tavanomaisia järjestelmäprosesseja ja vaihtoehtoisia selityksiä.
9Kirjaa raskauttavat, vapauttavat ja avoimet löydökset tasavertaisesti.
10Tutkimuksen laajuutta tulisi laajentaa vain, jos esiin tulee uusia merkityksellisiä seikkoja, joihin tutkimus voidaan perustaa.
11Laadi tekninen raportti ymmärrettävästi ja toistettavasti.
12Työoikeudelliset, tietosuojaoikeudelliset, siviilioikeudelliset ja rikosoikeudelliset johtopäätökset jätetään toimivaltaisen oikeudellisen neuvontayksikön tehtäväksi.

Työntekijöitä ei saa tuomita etukäteen

Sisäistä epäilyä ei julisteta tutkimuksen tulokseksi. Tarkastelemme, mitkä tekniset seikat tukevat epäilyä, mitkä ovat sen kanssa ristiriidassa ja mitä vaihtoehtoisia selityksiä on olemassa. Myös yritykselle epäedullinen tai syyllisyyttä lieventävä tulos dokumentoidaan kokonaisuudessaan.

Ymmärrettävää johdolle ja lakiosastolle – toistettavissa rikosteknikoille

Pääosassa selitetään keskeinen viesti ilman tarpeetonta ammattikieltä. Teknisessä osassa dokumentoidaan tietolähteet, varmuustilat, tunnisteet, eheystiedot, aikaviittaukset, artefaktien sijainnit ja validointivaiheet. Näin tutkimus pysyy jäljitettävissä myöhempää asiantuntijatarkastusta varten.

LanCologne yrityksille tarjottavana riippumattomana teknisenä tukipalveluna

Jos sisäinen tapaus on selvitettävä teknisesti, LanCologne tarjoaa apua objektiivisella, tuloksesta riippumattomalla ja jäljitettävällä IT-rikostutkinnalla. Ratkaisevaa ei ole toivottu tulos, vaan yksinomaan se, mitä digitaalisten jälkien perusteella voidaan tosiasiallisesti todistaa sallitun tutkintakehyksen puitteissa.

Oikeudellinen kehys

Työntekijöiden tietojen osalta Saksassa on otettava huomioon erityisesti BDSG:n 26 §. Työntekijöiden henkilötietoja saa käsitellä työsuhteen tarkoituksiin, jos se on tarpeen kyseisessä pykälässä mainittujen tarkoitusten saavuttamiseksi. Rikosten paljastamiseksi BDSG:n 26 §:n 1 momentissa asetetaan erityisiä edellytyksiä: On oltava dokumentoitavia tosiseikkoja, jotka antavat aihetta epäillä, että kyseinen henkilö on syyllistynyt rikokseen työsuhteen puitteissa; käsittelyn on oltava välttämätöntä rikoksen paljastamiseksi, eikä työntekijän suojeltavaa etua saa painaa enemmän. Erityisesti käsittelyn luonne ja laajuus eivät saa olla kohtuuttomia.

Lisäksi sovelletaan GDPR:n yleisiä periaatteita. GDPR:n 5 artikla edellyttää muun muassa käsittelyn laillisuutta, käyttötarkoituksen rajoittamista ja tietojen minimointia. GDPR:n 6 artikla edellyttää käsittelylle vankkaa oikeusperustaa. Siksi se, että tietojen analysointi on teknisesti mahdollista, ei automaattisesti tarkoita, että se olisi oikeudellisesti sallittua.

Teknisten laitteiden osalta myös BetrVG:n 87 §:n 1 momentin 6 kohta voi olla merkityksellinen. Sen mukaan työntekijäneuvostolla on, ellei laissa tai työehtosopimuksessa toisin määrätä, oikeus osallistua päätöksentekoon sellaisten teknisten laitteiden käyttöönotosta ja käytöstä, jotka on tarkoitettu työntekijöiden käyttäytymisen tai suorituskyvyn valvontaan. Tämä voi olla merkityksellistä esimerkiksi MDM-, EDR-, DLP-, lokitus- tai muiden seurantajärjestelmien yhteydessä niiden rakenteesta riippuen.

BDSG:n 26 §:n 6 momentissa täsmennetään nimenomaisesti, että työntekijöiden etujärjestöjen osallistumisoikeudet säilyvät ennallaan. Siksi tutkintatoimenpiteen konkreettinen työoikeudellinen ja työpaikkajärjestyslain mukainen sallittavuus tulisi työntekijöitä koskevissa tapauksissa selvittää ennen toimenpiteen toteuttamista asianomaisen oikeudellisen neuvonantajan kanssa ja tarvittaessa yrityksen asianomaisille tahoille.

LanCologne ei korvaa tätä oikeudellista tarkastelua. Tehtävämme on, kun tutkinnan sallittu laajuus on määritelty, tutkia teknistä todistusaineistoa ymmärrettävällä, suhteellisella ja tulokseen sitoutumattomalla tavalla.

Usein kysyttyjä kysymyksiä

Miten yrityksen tulisi toimia rikosteknisten menetelmien mukaisesti, kun epäillään ensimmäistä kertaa sisäistä IT-tapausta?+
Sisäisissä tapauksissa asiaan voivat liittyä samanaikaisesti taloudelliset edut, todisteiden säilyttäminen ja työntekijöiden oikeudet. Siksi teknisesti laaja tutkimus ei ole automaattisesti hyvä tutkimus. Ratkaisevaa on selkeästi määritelty todistuskysymys ja ymmärrettävästi rajattu tutkimuksen laajuus.
Miten tällainen tekninen tutkimus käytännössä toteutetaan?+
Wir definieren zunächst die konkrete Beweisfrage, sichern flüchtige und veränderliche Daten soweit erforderlich und grenzen anschließend die Untersuchung auf die tatsächlich relevanten Systeme, Accounts und Zeiträume ein.
Antaako tutkimus aina yksiselitteisen tuloksen, joka on joko osapuolen vahingoksi tai eduksi?+
LanCologne untersucht keine Person ‚auf Verdacht‘. Technische Maßnahmen müssen auf einen zulässigen Zweck, eine geeignete Rechtsgrundlage und einen verhältnismäßigen Untersuchungsumfang gestützt werden.
Onko tälle lainsäädännöllistä perustaa?+
Für Beschäftigtendaten ist in Deutschland insbesondere § 26 BDSG zu beachten. Personenbezogene Daten von Beschäftigten dürfen für Zwecke des Beschäftigungsverhältnisses verarbeitet werden, wenn dies für die dort genannten Zwecke erforderlich ist. Zur Aufdeckung von Straftaten enthält § 26 Abs. 1 BDSG besondere Voraussetzungen: Es müssen zu dokumentierende tatsächliche Anhaltspunkte den Verdacht begründen, dass die betroffene Person im Beschäftigungsverhältnis eine Straftat begangen hat; die Verarbeitung muss zur Aufdeckung erforderlich sein und das schutzwürdige Interesse des Beschäftigten darf nicht überwiegen. Art und Ausmaß dürfen insbesondere nicht unverhältnismäßig sein. Daneben gelten die allgemeinen Grundsätze der DSGVO. Art. 5 DSGVO verlangt unter anderem Rechtmäßigkeit, Zweckbindung und Datenminimierung. Art. 6 DSGVO verlangt eine tragfähige Rechtsgrundlage für die Verarbeitung. Eine technisch mögliche Auswertung ist deshalb nicht automatisch eine rechtlich zulässige Auswertung. Bei technischen Einrichtungen kann außerdem § 87 Abs. 1 Nr. 6 BetrVG relevant sein. Danach hat der Betriebsrat, soweit keine gesetzliche oder tarifliche Regelung besteht, bei Einführung und Anwendung technischer Einrichtungen mitzubestimmen, die dazu bestimmt sind, Verhalten oder Leistung der Arbeitnehmer zu überwachen. Dies kann je nach Ausgestaltung beispielsweise bei MDM-, EDR-, DLP-, Logging- oder anderen Monitoring-Systemen relevant werden. § 26 Abs. 6 BDSG stellt ausdrücklich klar, dass Beteiligungsrechte der Interessenvertretungen der Beschäftigten unberührt bleiben. Die konkrete arbeits- und betriebsverfassungsrechtliche Zulässigkeit einer Untersuchungsmaßnahme sollte deshalb bei Mitarbeiterbezug vor Durchführung mit der zuständigen Rechtsberatung und gegebenenfalls den vorgesehenen betrieblichen Stellen geklärt werden. LanCologne ersetzt diese juristische Prüfung nicht. Unsere Aufgabe ist es, nach Festlegung des zulässigen Untersuchungsrahmens die technische Beweisfrage nachvollziehbar, verhältnismäßig und ergebnisoffen zu untersuchen.

LanCologne – Tietotekniikan rikostekninen tutkimus yrityksille

Onko teillä digitaalinen kysymys? LanCologne auttaa teitä asiallisella ja puolueettomalla IT-rikostutkinnalla.

Ota yhteyttä nyt