IT-rikostutkinta · Yritykset

Miten yritys voi teettää työpuhelimen tai -tabletin rikosteknisen tutkimuksen?

Dienstliche Smartphones und Tablets enthalten oft entscheidende Belege: geschäftliche Chats, Anrufprotokolle, Standortdaten, Fotos von Dokumenten. Gleichzeitig sind sie häufig auch privat genutzt – die Untersuchung muss beides sauber trennen.

Pyydä sitoumukseton tarjous

Miksi tämä kysymys on tärkeä yritykselle

Sisäisissä tapauksissa asiaan voivat liittyä samanaikaisesti taloudelliset edut, todisteiden säilyttäminen ja työntekijöiden oikeudet. Siksi teknisesti laaja tutkimus ei ole automaattisesti hyvä tutkimus. Ratkaisevaa on selkeästi määritelty todistuskysymys ja ymmärrettävästi rajattu tutkimuksen laajuus.

Technischer Hintergrund

Ein MDM-System kann Gerätezustand und Apps verwalten, liefert aber in der Regel keine forensisch vollständige Sicherung. Die mögliche Sicherungstiefe hängt von Modell, Betriebssystemversion und Sperrstatus ab. Wird ein Gerät per MDM gelöscht oder zurückgesetzt, sind die Daten meist verloren.

Relevante Spuren und Datenquellen

  • Messenger-Datenbanken (z. B. WhatsApp, Teams, Signal – soweit verfügbar)
  • Anruflisten, SMS, Kontakte, Kalender
  • Standortdaten und Fotos mit Metadaten
  • iOS KnowledgeC/Biome bzw. Android UsageStats (Gerätenutzung)
  • MDM-Protokolle (Zuweisung, Wipes, Profile)

Grenzen

  • Gesperrte Geräte ohne Code können nur eingeschränkt gesichert werden.
  • Ende-zu-Ende-verschlüsselte Messenger sind nur auf dem Gerät selbst auswertbar.

Mögliche Ergebnisse

  • Relevante Kommunikation und Aktivitäten im Zeitraum
  • Nachweis von Löschungen oder Zurücksetzungen

Miksi LanCologne?

Sisäisissä tutkimuksissa useat intressit kohtaavat suoraan: yrityksen on kyettävä suojelemaan järjestelmiään, tietojaan, liikesalaisuuksiaan ja taloudellisia etujaan. Samalla on kuitenkin otettava huomioon työntekijöiden tietosuoja, suhteellisuusperiaate, yhteispäätösvalta ja tarvittaessa yksityiset tietosuojakysymykset.

So gehen wir vor

  • Gerät nicht zurücksetzen oder per MDM löschen; Akku und Flugmodus beachten.
  • Festlegung des Umfangs (dienstliche Daten, Zeitraum) mit Rechtsberatung.
  • Sicherung in der technisch möglichen Tiefe und gefilterte Auswertung.

Työntekijöitä ei saa tuomita etukäteen

Sisäistä epäilyä ei julisteta tutkimuksen tulokseksi. Tarkastelemme, mitkä tekniset seikat tukevat epäilyä, mitkä ovat sen kanssa ristiriidassa ja mitä vaihtoehtoisia selityksiä on olemassa. Myös yritykselle epäedullinen tai syyllisyyttä lieventävä tulos dokumentoidaan kokonaisuudessaan.

Ymmärrettävää johdolle ja lakiosastolle – toistettavissa rikosteknikoille

Pääosassa selitetään keskeinen viesti ilman tarpeetonta ammattikieltä. Teknisessä osassa dokumentoidaan tietolähteet, varmuustilat, tunnisteet, eheystiedot, aikaviittaukset, artefaktien sijainnit ja validointivaiheet. Näin tutkimus pysyy jäljitettävissä myöhempää asiantuntijatarkastusta varten.

LanCologne yrityksille tarjottavana riippumattomana teknisenä tukipalveluna

Jos sisäinen tapaus on selvitettävä teknisesti, LanCologne tarjoaa apua objektiivisella, tuloksesta riippumattomalla ja jäljitettävällä IT-rikostutkinnalla. Ratkaisevaa ei ole toivottu tulos, vaan yksinomaan se, mitä digitaalisten jälkien perusteella voidaan tosiasiallisesti todistaa sallitun tutkintakehyksen puitteissa.

Oikeudellinen kehys

Työntekijöiden tietojen osalta Saksassa on otettava huomioon erityisesti BDSG:n 26 §. Työntekijöiden henkilötietoja saa käsitellä työsuhteen tarkoituksiin, jos se on tarpeen kyseisessä pykälässä mainittujen tarkoitusten saavuttamiseksi. Rikosten paljastamiseksi BDSG:n 26 §:n 1 momentissa asetetaan erityisiä edellytyksiä: On oltava dokumentoitavia tosiseikkoja, jotka antavat aihetta epäillä, että kyseinen henkilö on syyllistynyt rikokseen työsuhteen puitteissa; käsittelyn on oltava välttämätöntä rikoksen paljastamiseksi, eikä työntekijän suojeltavaa etua saa painaa enemmän. Erityisesti käsittelyn luonne ja laajuus eivät saa olla kohtuuttomia.

Lisäksi sovelletaan GDPR:n yleisiä periaatteita. GDPR:n 5 artikla edellyttää muun muassa käsittelyn laillisuutta, käyttötarkoituksen rajoittamista ja tietojen minimointia. GDPR:n 6 artikla edellyttää käsittelylle vankkaa oikeusperustaa. Siksi se, että tietojen analysointi on teknisesti mahdollista, ei automaattisesti tarkoita, että se olisi oikeudellisesti sallittua.

Teknisten laitteiden osalta myös BetrVG:n 87 §:n 1 momentin 6 kohta voi olla merkityksellinen. Sen mukaan työntekijäneuvostolla on, ellei laissa tai työehtosopimuksessa toisin määrätä, oikeus osallistua päätöksentekoon sellaisten teknisten laitteiden käyttöönotosta ja käytöstä, jotka on tarkoitettu työntekijöiden käyttäytymisen tai suorituskyvyn valvontaan. Tämä voi olla merkityksellistä esimerkiksi MDM-, EDR-, DLP-, lokitus- tai muiden seurantajärjestelmien yhteydessä niiden rakenteesta riippuen.

BDSG:n 26 §:n 6 momentissa täsmennetään nimenomaisesti, että työntekijöiden etujärjestöjen osallistumisoikeudet säilyvät ennallaan. Siksi tutkintatoimenpiteen konkreettinen työoikeudellinen ja työpaikkajärjestyslain mukainen sallittavuus tulisi työntekijöitä koskevissa tapauksissa selvittää ennen toimenpiteen toteuttamista asianomaisen oikeudellisen neuvonantajan kanssa ja tarvittaessa yrityksen asianomaisille tahoille.

LanCologne ei korvaa tätä oikeudellista tarkastelua. Tehtävämme on, kun tutkinnan sallittu laajuus on määritelty, tutkia teknistä todistusaineistoa ymmärrettävällä, suhteellisella ja tulokseen sitoutumattomalla tavalla.

Usein kysyttyjä kysymyksiä

Voidaanko yrityksen laite analysoida automaattisesti kokonaisuudessaan, koska se on yrityksen omistuksessa?+
Ei automaattisesti. Laitteen omistusoikeus ja työntekijöiden henkilötietojen käsittelyn sallittavuus ovat eri asioita. Tarkoitus, oikeusperusta, välttämättömyys ja suhteellisuus on otettava huomioon.
Voidaanko mobiililaitteiden hallintajärjestelmän (MDM) tietoja käyttää rajoituksetta sisäisessä tutkinnassa?+
MDM-tiedot voivat tarjota teknisesti arvokasta tietoa. On kuitenkin tarkasteltava tapauskohtaisesti, mitä tietoja tosiasiassa on saatavilla ja voidaanko niitä käyttää kyseisessä tutkimuksessa.
Etsiikö sisäinen IT-rikostutkinta kohdennetusti tiettyä työntekijää vastaan puhuvaa näyttöä?+
Ei. Vastaamme konkreettiseen tekniseen todistusaineistoon liittyvään kysymykseen ilman ennakkokäsityksiä. Sekä syyllisyyttä lieventävät havainnot että tavanomaiset tekniset selitykset dokumentoidaan samojen kriteerien mukaisesti.
Mitä tapahtuu, jos tekoa ei voida varmuudella liittää tiettyyn henkilöön?+
Tällöin lausumaa rajoitetaan vastaavasti. Käyttäjätiliä, laitetta tai istuntoa ei saa rinnastaa luonnolliseen henkilöön ilman riittäviä viitteitä.
Brauchen Sie den Entsperrcode?+
In der Regel ja. Ohne Code ist die Sicherung stark eingeschränkt.
Was ist mit privaten Daten auf dem Gerät?+
Sie werden, soweit möglich, ausgeklammert. Den Umfang legen Sie mit Ihrer Rechtsberatung fest.
Reicht ein iCloud-Backup?+
Es kann helfen, ist aber nicht immer vollständig und nicht immer aktuell.

Weiterführende Themen

LanCologne – Tietotekniikan rikostekninen tutkimus yrityksille

Onko teillä digitaalinen kysymys? LanCologne auttaa teitä asiallisella ja puolueettomalla IT-rikostutkinnalla.

Ota yhteyttä nyt