IT-Forensik · Unternehmen

Wie kann ein Unternehmen prüfen lassen, ob ein ausscheidender Mitarbeiter Unternehmensdaten mitgenommen hat?

Kurz vor dem Ausscheiden werden häufig Kundenlisten, Kalkulationen oder Quellcode kopiert – manchmal versehentlich, manchmal gezielt. Ob und wie Daten mitgenommen wurden, lässt sich oft rekonstruieren, wenn das Gerät nicht vorschnell neu installiert wird.

Unverbindlich anfragen

Warum diese Frage für ein Unternehmen wichtig ist

Bei möglichen Datenabflüssen stehen häufig erhebliche wirtschaftliche Werte, Kundenbeziehungen, Entwicklungswissen oder Wettbewerbsvorteile auf dem Spiel. Eine belastbare Untersuchung muss deshalb präzise klären, welche Datenbewegung tatsächlich stattgefunden hat, ohne aus einem Verdacht bereits eine Rechtsverletzung abzuleiten.

Technischer Hintergrund

Windows protokolliert angeschlossene USB-Geräte, geöffnete Dateien und Ordner in mehreren unabhängigen Artefakten. Cloud-Uploads, E-Mail-Weiterleitungen an private Adressen und Druckaufträge hinterlassen weitere Spuren. Entscheidend ist der Abgleich mit dem Zeitraum vor dem Ausscheiden.

Relevante Spuren und Datenquellen

  • USB-Geräte (Registry USBSTOR, MountedDevices, Setupapi-Log, Ereignisprotokolle)
  • Datei- und Ordnerzugriffe (LNK-Dateien, Jump Lists, Shellbags)
  • Browser-Uploads und private Cloud-Clients
  • E-Mail-Weiterleitungen und Postfachregeln (Microsoft 365 Audit Log)
  • Druckprotokolle

Grenzen

  • Was auf einem privaten Gerät mit den Daten geschah, ist ohne Zugriff darauf nicht feststellbar.
  • Ein Dateizugriff belegt nicht automatisch eine Kopie; eine Kopie belegt nicht automatisch eine Weitergabe.

Mögliche Ergebnisse

  • Kopiervorgänge auf USB oder in die Cloud zeitlich belegt
  • Kein Hinweis auf Mitnahme über die geprüften Kanäle
  • Liste betroffener Dateien

Warum LanCologne?

Der Verdacht auf Datenmitnahme oder den Verlust vertraulicher Unternehmensinformationen kann erhebliche wirtschaftliche und rechtliche Folgen haben. Gerade deshalb darf die Untersuchung nicht mit dem gewünschten Ergebnis beginnen.

So gehen wir vor

  • Gerät und Konto vor Rückgabe bzw. Löschung sichern (Legal Hold).
  • Zeitraum festlegen (typisch: Wochen vor Kündigung bis Ausscheiden).
  • Korrelation der Spuren zu einer Zeitlinie; Abgleich mit dienstlicher Notwendigkeit.

Geschäftsgeheimnis ist eine rechtliche Einordnung – Datenbewegung eine technische Beweisfrage

Wir können feststellen beziehungsweise eingrenzen, welche Dateien vorhanden waren, welche technischen Schutzmechanismen bestanden und welche Zugriffs-, Kopier- oder Transferhandlungen nachweisbar sind. Ob die betroffene Information die Voraussetzungen eines Geschäftsgeheimnisses erfüllt und eine Handlung unbefugt oder rechtswidrig war, wird davon getrennt juristisch bewertet.

Keine Vorverurteilung – auch nicht bei auffälligen Transfermustern

Ein ungewöhnlich großer Dateizugriff, ein USB-Anschluss oder ein Cloudlogin kann Anlass für weitere Prüfung sein, ist aber noch keine Schlussfolgerung. Alternative Arbeitsabläufe werden mituntersucht. Wo mehrere Erklärungen möglich bleiben, wird diese Unsicherheit nicht durch eine Vermutung ersetzt.

Warum LanCologne bei Datenmitnahme und Geschäftsgeheimnissen?

LanCologne untersucht nicht, um einen vorgegebenen Verdacht zu bestätigen. Wir beantworten die konkrete technische Beweisfrage, dokumentieren die zugrunde liegenden Primärdaten und benennen ebenso klar, was sich nicht beweisen lässt. Dadurch erhält Geschäftsführung und Rechtsabteilung eine Tatsachengrundlage, die auch einer späteren fachlichen Gegenprüfung standhalten kann.

Rechtlicher Rahmen

Bei Mitarbeiterbezug bleibt § 26 BDSG ein wesentlicher Ausgangspunkt. Für die Aufdeckung von Straftaten verlangt § 26 Abs. 1 BDSG unter anderem zu dokumentierende tatsächliche Anhaltspunkte, Erforderlichkeit und Verhältnismäßigkeit; das schutzwürdige Interesse der beschäftigten Person darf nicht überwiegen. Daneben gelten die Grundsätze der DSGVO, insbesondere Rechtmäßigkeit, Zweckbindung und Datenminimierung.

Für Geschäftsgeheimnisse ist das GeschGehG zentral. Nach § 2 Nr. 1 GeschGehG genügt nicht jede vertrauliche Information: Die Information muss unter anderem wirtschaftlichen Wert besitzen, weil sie nicht allgemein bekannt oder ohne Weiteres zugänglich ist, Gegenstand den Umständen nach angemessener Geheimhaltungsmaßnahmen sein und es muss ein berechtigtes Geheimhaltungsinteresse bestehen.

§ 4 GeschGehG verbietet unter bestimmten Voraussetzungen unter anderem den unbefugten Zugang zu, die unbefugte Aneignung oder das unbefugte Kopieren von elektronischen Dateien, die ein Geschäftsgeheimnis enthalten oder aus denen es sich ableiten lässt. Nutzung und Offenlegung können ebenfalls verboten sein. Ob ein technisch nachgewiesener Vorgang die rechtlichen Tatbestandsmerkmale erfüllt, entscheidet nicht der IT-Forensiker.

Das GeschGehG enthält außerdem Ausnahmen. § 5 nennt insbesondere bestimmte Handlungen zum Schutz berechtigter Interessen, darunter unter Voraussetzungen die Aufdeckung rechtswidriger Handlungen oder beruflichen beziehungsweise sonstigen Fehlverhaltens. Zusätzlich kann das Hinweisgeberschutzgesetz einschlägig sein. § 6 HinSchG regelt unter bestimmten Voraussetzungen die Weitergabe beziehungsweise Offenlegung von Geschäftsgeheimnissen im Rahmen geschützter Meldungen. Ein Datenabflussverdacht darf daher nicht automatisch mit einer rechtswidrigen Geheimnisverletzung gleichgesetzt werden.

Das GeschGehG sieht bei festgestellten Rechtsverletzungen mögliche zivilrechtliche Ansprüche vor, darunter Beseitigung und Unterlassung (§ 6), weitere Maßnahmen nach § 7, bestimmte Auskunftsansprüche nach § 8 und Schadensersatz nach § 10. Welche Ansprüche im Einzelfall bestehen, ist juristisch zu prüfen. Die IT-Forensik liefert hierfür lediglich die technische Tatsachengrundlage.

Soweit technische Einrichtungen zur Mitarbeiterüberwachung eingesetzt werden, können außerdem Beteiligungsrechte des Betriebsrats, insbesondere nach § 87 Abs. 1 Nr. 6 BetrVG, relevant sein. Die konkrete Zulässigkeit wird vor der Untersuchung durch die zuständigen betrieblichen und rechtlichen Stellen geklärt.

Häufige Fragen

Wie kann ein Unternehmen prüfen lassen, ob ein ausscheidender Mitarbeiter Unternehmensdaten mitgenommen hat?+
Bei möglichen Datenabflüssen stehen häufig erhebliche wirtschaftliche Werte, Kundenbeziehungen, Entwicklungswissen oder Wettbewerbsvorteile auf dem Spiel. Eine belastbare Untersuchung muss deshalb präzise klären, welche Datenbewegung tatsächlich stattgefunden hat, ohne aus einem Verdacht bereits eine Rechtsverletzung abzuleiten.
Das Notebook ist schon neu aufgesetzt – ist alles verloren?+
Viele Spuren ja. Cloud- und Server-Protokolle können trotzdem Hinweise liefern.
Darf der Arbeitgeber das dienstliche Gerät untersuchen?+
Grundsätzlich unter bestimmten Voraussetzungen; private Nutzung und Mitbestimmung sind zu berücksichtigen. Bitte rechtlich klären.
Wie schnell sollten wir handeln?+
Vor Rückgabe bzw. Neuinstallation des Geräts und bevor Konten gelöscht werden.

Weiterführende Themen

LanCologne – IT-Forensik für Unternehmen

Sie haben eine digitale Frage? LanCologne unterstützt Sie mit einer sachlichen, ergebnisoffenen IT-forensischen Untersuchung.

Jetzt Kontakt aufnehmen