IT-Forensik · Unternehmen

Wie kann ein Unternehmen ein dienstliches Smartphone oder Tablet forensisch untersuchen lassen?

Dienstliche Smartphones und Tablets enthalten oft entscheidende Belege: geschäftliche Chats, Anrufprotokolle, Standortdaten, Fotos von Dokumenten. Gleichzeitig sind sie häufig auch privat genutzt – die Untersuchung muss beides sauber trennen.

Unverbindlich anfragen

Warum diese Frage für ein Unternehmen wichtig ist

Bei internen Vorfällen können wirtschaftliche Interessen, Beweiserhalt und Beschäftigtenrechte gleichzeitig betroffen sein. Eine technisch breite Untersuchung ist deshalb nicht automatisch eine gute Untersuchung. Entscheidend ist eine klar definierte Beweisfrage und ein nachvollziehbar begrenzter Untersuchungsumfang.

Technischer Hintergrund

Ein MDM-System kann Gerätezustand und Apps verwalten, liefert aber in der Regel keine forensisch vollständige Sicherung. Die mögliche Sicherungstiefe hängt von Modell, Betriebssystemversion und Sperrstatus ab. Wird ein Gerät per MDM gelöscht oder zurückgesetzt, sind die Daten meist verloren.

Relevante Spuren und Datenquellen

  • Messenger-Datenbanken (z. B. WhatsApp, Teams, Signal – soweit verfügbar)
  • Anruflisten, SMS, Kontakte, Kalender
  • Standortdaten und Fotos mit Metadaten
  • iOS KnowledgeC/Biome bzw. Android UsageStats (Gerätenutzung)
  • MDM-Protokolle (Zuweisung, Wipes, Profile)

Grenzen

  • Gesperrte Geräte ohne Code können nur eingeschränkt gesichert werden.
  • Ende-zu-Ende-verschlüsselte Messenger sind nur auf dem Gerät selbst auswertbar.

Mögliche Ergebnisse

  • Relevante Kommunikation und Aktivitäten im Zeitraum
  • Nachweis von Löschungen oder Zurücksetzungen

Warum LanCologne?

Bei internen Untersuchungen treffen mehrere Interessen unmittelbar aufeinander: Das Unternehmen muss seine Systeme, Daten, Geschäftsgeheimnisse und wirtschaftlichen Interessen schützen können. Gleichzeitig bleiben Beschäftigtendatenschutz, Verhältnismäßigkeit, Mitbestimmung und gegebenenfalls private Datenbereiche zu beachten.

So gehen wir vor

  • Gerät nicht zurücksetzen oder per MDM löschen; Akku und Flugmodus beachten.
  • Festlegung des Umfangs (dienstliche Daten, Zeitraum) mit Rechtsberatung.
  • Sicherung in der technisch möglichen Tiefe und gefilterte Auswertung.

Keine Vorverurteilung von Beschäftigten

Ein interner Verdacht wird nicht zum Untersuchungsergebnis erklärt. Wir prüfen, welche technischen Tatsachen ihn stützen, welche ihm widersprechen und welche alternativen Erklärungen bestehen. Auch ein für das Unternehmen ungünstiges oder entlastendes Ergebnis wird vollständig dokumentiert.

Verständlich für Geschäftsführung und Rechtsabteilung – reproduzierbar für Forensiker

Der Hauptteil erläutert die Kernaussage ohne unnötige Fachsprache. Der technische Teil dokumentiert Datenquellen, Sicherungszustände, Identifikatoren, Integritätsinformationen, Zeitbezüge, Artefaktfundstellen und Validierungsschritte. Dadurch bleibt die Untersuchung für eine spätere fachliche Gegenprüfung nachvollziehbar.

LanCologne als unabhängige technische Unterstützung für Unternehmen

Wenn ein interner Vorfall technisch aufgeklärt werden muss, unterstützt LanCologne mit einer sachlichen, ergebnisoffenen und nachvollziehbaren IT-forensischen Untersuchung. Maßgeblich ist nicht ein gewünschtes Ergebnis, sondern ausschließlich, was sich innerhalb des zulässigen Untersuchungsrahmens anhand der digitalen Spuren tatsächlich belegen lässt.

Rechtlicher Rahmen

Für Beschäftigtendaten ist in Deutschland insbesondere § 26 BDSG zu beachten. Personenbezogene Daten von Beschäftigten dürfen für Zwecke des Beschäftigungsverhältnisses verarbeitet werden, wenn dies für die dort genannten Zwecke erforderlich ist. Zur Aufdeckung von Straftaten enthält § 26 Abs. 1 BDSG besondere Voraussetzungen: Es müssen zu dokumentierende tatsächliche Anhaltspunkte den Verdacht begründen, dass die betroffene Person im Beschäftigungsverhältnis eine Straftat begangen hat; die Verarbeitung muss zur Aufdeckung erforderlich sein und das schutzwürdige Interesse des Beschäftigten darf nicht überwiegen. Art und Ausmaß dürfen insbesondere nicht unverhältnismäßig sein.

Daneben gelten die allgemeinen Grundsätze der DSGVO. Art. 5 DSGVO verlangt unter anderem Rechtmäßigkeit, Zweckbindung und Datenminimierung. Art. 6 DSGVO verlangt eine tragfähige Rechtsgrundlage für die Verarbeitung. Eine technisch mögliche Auswertung ist deshalb nicht automatisch eine rechtlich zulässige Auswertung.

Bei technischen Einrichtungen kann außerdem § 87 Abs. 1 Nr. 6 BetrVG relevant sein. Danach hat der Betriebsrat, soweit keine gesetzliche oder tarifliche Regelung besteht, bei Einführung und Anwendung technischer Einrichtungen mitzubestimmen, die dazu bestimmt sind, Verhalten oder Leistung der Arbeitnehmer zu überwachen. Dies kann je nach Ausgestaltung beispielsweise bei MDM-, EDR-, DLP-, Logging- oder anderen Monitoring-Systemen relevant werden.

§ 26 Abs. 6 BDSG stellt ausdrücklich klar, dass Beteiligungsrechte der Interessenvertretungen der Beschäftigten unberührt bleiben. Die konkrete arbeits- und betriebsverfassungsrechtliche Zulässigkeit einer Untersuchungsmaßnahme sollte deshalb bei Mitarbeiterbezug vor Durchführung mit der zuständigen Rechtsberatung und gegebenenfalls den vorgesehenen betrieblichen Stellen geklärt werden.

LanCologne ersetzt diese juristische Prüfung nicht. Unsere Aufgabe ist es, nach Festlegung des zulässigen Untersuchungsrahmens die technische Beweisfrage nachvollziehbar, verhältnismäßig und ergebnisoffen zu untersuchen.

Häufige Fragen

Darf ein Firmengerät automatisch vollständig ausgewertet werden, weil es im Eigentum des Unternehmens steht?+
Nicht automatisch. Eigentum am Gerät und Zulässigkeit der Verarbeitung personenbezogener Beschäftigtendaten sind unterschiedliche Fragen. Zweck, Rechtsgrundlage, Erforderlichkeit und Verhältnismäßigkeit müssen berücksichtigt werden.
Können Mobile-Device-Management (MDM)-Daten uneingeschränkt für eine interne Untersuchung genutzt werden?+
MDM-Daten können technisch wertvolle Informationen liefern. Welche Daten tatsächlich vorhanden sind und ob sie für die konkrete Untersuchung verwendet werden dürfen, muss aber jeweils geprüft werden.
Sucht eine interne IT-forensische Untersuchung gezielt nach belastenden Befunden gegen einen bestimmten Mitarbeiter?+
Nein. Wir beantworten eine konkrete technische Beweisfrage ergebnisoffen. Entlastende Befunde und reguläre technische Erklärungen werden nach demselben Maßstab dokumentiert.
Was passiert, wenn sich eine Handlung nicht sicher einer bestimmten Person zuordnen lässt?+
Dann wird die Aussage entsprechend begrenzt. Ein Benutzerkonto, Gerät oder eine Session darf nicht ohne ausreichende Anknüpfungstatsachen mit einer natürlichen Person gleichgesetzt werden.
Brauchen Sie den Entsperrcode?+
In der Regel ja. Ohne Code ist die Sicherung stark eingeschränkt.
Was ist mit privaten Daten auf dem Gerät?+
Sie werden, soweit möglich, ausgeklammert. Den Umfang legen Sie mit Ihrer Rechtsberatung fest.
Reicht ein iCloud-Backup?+
Es kann helfen, ist aber nicht immer vollständig und nicht immer aktuell.

Weiterführende Themen

LanCologne – IT-Forensik für Unternehmen

Sie haben eine digitale Frage? LanCologne unterstützt Sie mit einer sachlichen, ergebnisoffenen IT-forensischen Untersuchung.

Jetzt Kontakt aufnehmen