IT-Forensik · Unternehmen

Wie kann ein Unternehmen einen Compliance-Verdacht IT-forensisch untersuchen, ohne das Ergebnis vorwegzunehmen?

Compliance-Verdachtsfälle – etwa Interessenkonflikte, manipulierte Abrechnungen oder Umgehung von Freigabeprozessen – hinterlassen Spuren in E-Mails, Dokumenten, ERP-Systemen und Zugriffsprotokollen. Die Untersuchung muss diese Spuren finden, ohne mehr Daten als nötig zu verarbeiten.

Unverbindlich anfragen

Warum diese Frage für ein Unternehmen wichtig ist

Interne Untersuchungen können erhebliche wirtschaftliche, personelle und rechtliche Folgen auslösen. Gerade deshalb muss zunächst geklärt werden, welche konkrete technische Tatsache bewiesen oder widerlegt werden soll. Eine möglichst große Datenmenge ist kein Qualitätsmerkmal; entscheidend ist eine sachgerechte, begrenzte und nachvollziehbare Untersuchung.

Technischer Hintergrund

Verhältnismäßigkeit ist der Kern: Statt alle Postfächer zu durchsuchen, wird mit Zeiträumen, Personen, Stichworten und Metadaten eingegrenzt. Treffer werden im Kontext geprüft. Entlastende Befunde werden genauso dokumentiert wie belastende.

Relevante Spuren und Datenquellen

  • E-Mail-Metadaten und zielgerichtete Inhalte
  • Dokumenten-Metadaten und Versionsstände (SharePoint, Dateiserver)
  • ERP- und Buchhaltungsprotokolle (Änderungen, Freigaben)
  • Anmelde- und Zugriffsprotokolle

Grenzen

  • Absichten lassen sich aus Daten nicht ablesen – nur Handlungen und Zusammenhänge.
  • Fehlen Protokolle in Fachanwendungen, sind Änderungen ggf. nicht zuordenbar.

Mögliche Ergebnisse

  • Belegte oder widerlegte Einzelvorwürfe
  • Zeitlinie relevanter Vorgänge
  • Dokumentation des Prüfumfangs

Warum LanCologne?

Interne Untersuchungen sind besonders sensibel, weil wirtschaftliche Interessen des Unternehmens, Persönlichkeitsrechte von Beschäftigten, Datenschutz, betriebliche Mitbestimmung und mögliche spätere Rechtsverfahren gleichzeitig berührt sein können. LanCologne beginnt deshalb nicht mit einer möglichst umfassenden Durchsuchung der IT.

So gehen wir vor

  • Festlegung von Fragestellung, Personen, Zeitraum und Suchkriterien mit Compliance und Rechtsberatung.
  • Sicherung der relevanten Quellen.
  • Gestufte Auswertung: zuerst Metadaten, dann gezielt Inhalte.
  • Bericht mit Befunden, Gegenbefunden und Grenzen.

Keine Vorverurteilung – auch bei intern bereits gefestigtem Verdacht

Ein Unternehmen kann aus organisatorischen oder rechtlichen Gründen bereits eine klare Verdachtslage sehen. Für die technische Untersuchung bleibt der Ausgang dennoch offen. Wir dokumentieren auch Befunde, die dem Verdacht widersprechen, und benennen ausdrücklich, wenn eine behauptete Handlung anhand der erhaltenen Daten nicht bewiesen werden kann.

Technischer Befund und rechtliche Bewertung bleiben getrennt

Die IT-Forensik kann beispielsweise feststellen, dass ein bestimmter Account eine Datei exportiert hat, dass ein Gerät zu einem bestimmten Zeitpunkt verbunden war oder dass eine Nachricht technisch übertragen wurde. Daraus folgt nicht automatisch, welche natürliche Person gehandelt hat, ob die Handlung erlaubt war oder welche arbeits-, zivil- oder strafrechtliche Konsequenz daraus entsteht.

LanCologne als unabhängige technische Unterstützung für Rechtsabteilung und Geschäftsführung

LanCologne wird nicht beauftragt, ein gewünschtes Ergebnis technisch zu bestätigen. Wir werden beauftragt, eine konkrete Beweisfrage anhand der verfügbaren digitalen Spuren sachlich zu beantworten. Die Untersuchung soll auch dann nachvollziehbar bleiben, wenn sie später von einer Gegenpartei, einem Gericht oder einem weiteren qualifizierten IT-Forensiker kritisch geprüft wird.

Rechtlicher Rahmen

Für Beschäftigtendaten ist § 26 BDSG ein wesentlicher gesetzlicher Bezugspunkt. § 26 Abs. 1 BDSG erlaubt die Verarbeitung personenbezogener Beschäftigtendaten für Zwecke des Beschäftigungsverhältnisses unter den dort genannten Voraussetzungen. Zur Aufdeckung von Straftaten verlangt die Vorschrift insbesondere zu dokumentierende tatsächliche Anhaltspunkte, Erforderlichkeit und Verhältnismäßigkeit; das schutzwürdige Interesse der beschäftigten Person darf nicht überwiegen. § 26 Abs. 6 BDSG lässt Beteiligungsrechte der Interessenvertretungen unberührt.

Daneben gelten die Grundsätze der DSGVO, insbesondere Rechtmäßigkeit, Zweckbindung und Datenminimierung nach Art. 5 sowie das Erfordernis einer tragfähigen Rechtsgrundlage nach Art. 6. Bei besonderen Kategorien personenbezogener Daten sind zusätzlich Art. 9 DSGVO und gegebenenfalls § 26 Abs. 3 BDSG zu beachten.

Bei technischen Einrichtungen, die dazu bestimmt sind, Verhalten oder Leistung von Arbeitnehmern zu überwachen, sieht § 87 Abs. 1 Nr. 6 BetrVG ein Mitbestimmungsrecht des Betriebsrats vor, soweit keine gesetzliche oder tarifliche Regelung besteht. Für MDM, EDR, DLP, Logging und vergleichbare Systeme muss daher jeweils die konkrete Ausgestaltung betrachtet werden.

Bei Hinweisen nach dem Hinweisgeberschutzgesetz ist insbesondere § 8 HinSchG relevant. Das Vertraulichkeitsgebot schützt nicht nur die Identität der hinweisgebenden Person, sondern auch Personen, die Gegenstand einer Meldung sind, und sonstige in der Meldung genannte Personen. § 9 HinSchG enthält gesetzliche Ausnahmen vom Vertraulichkeitsgebot. § 36 HinSchG verbietet Repressalien und enthält unter den dort genannten Voraussetzungen eine Beweislastregel.

Bei Geschäftsgeheimnissen darf eine interne Untersuchung eine Meldung nicht automatisch als Geheimnisverletzung behandeln. § 5 GeschGehG enthält Ausnahmen von den Verboten des § 4, unter anderem unter bestimmten Voraussetzungen zur Aufdeckung rechtswidriger Handlungen oder beruflichen beziehungsweise sonstigen Fehlverhaltens sowie für erforderliche Offenlegungen gegenüber Arbeitnehmervertretungen.

Kommt es später zu einem Zivilprozess, kennt die ZPO unter anderem den Beweis durch Augenschein; § 371 Abs. 1 ZPO regelt ausdrücklich den Fall, dass ein elektronisches Dokument Gegenstand des Beweises ist. Für Sachverständigenbeweis gelten §§ 402 ff. ZPO. In einem Strafverfahren bestimmt das Gericht den Umfang der Beweisaufnahme nach der StPO; insbesondere § 244 StPO regelt den Untersuchungsgrundsatz und Beweisanträge. Diese prozessualen Vorschriften machen aus einem privat beauftragten IT-forensischen Bericht jedoch nicht automatisch ein gerichtliches Gutachten.

LanCologne erbringt technische Sachverständigenarbeit und keine Rechtsberatung. Die konkrete Zulässigkeit einer Untersuchungsmaßnahme, arbeitsrechtliche Konsequenzen, prozessuale Strategie und strafrechtliche Bewertung bleiben der zuständigen Rechtsberatung, den Behörden und Gerichten vorbehalten.

Häufige Fragen

Wie kann ein Unternehmen einen Compliance-Verdacht IT-forensisch untersuchen, ohne das Ergebnis vorwegzunehmen?+
Interne Untersuchungen können erhebliche wirtschaftliche, personelle und rechtliche Folgen auslösen. Gerade deshalb muss zunächst geklärt werden, welche konkrete technische Tatsache bewiesen oder widerlegt werden soll. Eine möglichst große Datenmenge ist kein Qualitätsmerkmal; entscheidend ist eine sachgerechte, begrenzte und nachvollziehbare Untersuchung.
Muss der Betroffene informiert werden?+
Das hängt vom Einzelfall ab und ist rechtlich zu klären.
Wie wird sichergestellt, dass private E-Mails nicht gelesen werden?+
Durch Filter, Stufenkonzept und Dokumentation; Details werden mit Datenschutz abgestimmt.
Kann das Ergebnis vor Gericht verwendet werden?+
Wenn Sicherung und Auswertung nachvollziehbar dokumentiert sind, ist das die Grundlage dafür. Die Verwertbarkeit beurteilt das Gericht.

Weiterführende Themen

LanCologne – IT-Forensik für Unternehmen

Sie haben eine digitale Frage? LanCologne unterstützt Sie mit einer sachlichen, ergebnisoffenen IT-forensischen Untersuchung.

Jetzt Kontakt aufnehmen