Informatica forense · Aziende

In che modo un’azienda può far eseguire un’analisi forense su uno smartphone o un tablet aziendale?

Dienstliche Smartphones und Tablets enthalten oft entscheidende Belege: geschäftliche Chats, Anrufprotokolle, Standortdaten, Fotos von Dokumenten. Gleichzeitig sind sie häufig auch privat genutzt – die Untersuchung muss beides sauber trennen.

Richiesta non vincolante

Perché questa domanda è importante per un’azienda

In caso di incidenti interni, possono essere coinvolti contemporaneamente interessi economici, la conservazione delle prove e i diritti dei dipendenti. Un’indagine di ampia portata dal punto di vista tecnico non è quindi automaticamente un’indagine efficace. È fondamentale che la questione probatoria sia chiaramente definita e che l’ambito dell’indagine sia delimitato in modo comprensibile.

Technischer Hintergrund

Ein MDM-System kann Gerätezustand und Apps verwalten, liefert aber in der Regel keine forensisch vollständige Sicherung. Die mögliche Sicherungstiefe hängt von Modell, Betriebssystemversion und Sperrstatus ab. Wird ein Gerät per MDM gelöscht oder zurückgesetzt, sind die Daten meist verloren.

Relevante Spuren und Datenquellen

  • Messenger-Datenbanken (z. B. WhatsApp, Teams, Signal – soweit verfügbar)
  • Anruflisten, SMS, Kontakte, Kalender
  • Standortdaten und Fotos mit Metadaten
  • iOS KnowledgeC/Biome bzw. Android UsageStats (Gerätenutzung)
  • MDM-Protokolle (Zuweisung, Wipes, Profile)

Grenzen

  • Gesperrte Geräte ohne Code können nur eingeschränkt gesichert werden.
  • Ende-zu-Ende-verschlüsselte Messenger sind nur auf dem Gerät selbst auswertbar.

Mögliche Ergebnisse

  • Relevante Kommunikation und Aktivitäten im Zeitraum
  • Nachweis von Löschungen oder Zurücksetzungen

Perché LanCologne?

Nelle indagini interne si scontrano direttamente diversi interessi: l’azienda deve poter proteggere i propri sistemi, i dati, i segreti commerciali e gli interessi economici. Allo stesso tempo, occorre rispettare la tutela dei dati dei dipendenti, il principio di proporzionalità, il diritto di codecisione e, se del caso, la riservatezza dei dati personali.

So gehen wir vor

  • Gerät nicht zurücksetzen oder per MDM löschen; Akku und Flugmodus beachten.
  • Festlegung des Umfangs (dienstliche Daten, Zeitraum) mit Rechtsberatung.
  • Sicherung in der technisch möglichen Tiefe und gefilterte Auswertung.

Nessun pregiudizio nei confronti dei dipendenti

Un sospetto interno non viene dichiarato come risultato dell'indagine. Verifichiamo quali elementi tecnici lo avvalorino, quali lo contraddicano e quali spiegazioni alternative esistano. Anche un risultato sfavorevole o a discarico dell'azienda viene documentato in modo completo.

Comprensibile per la direzione aziendale e l’ufficio legale – riproducibile per gli esperti forensi

La parte principale illustra il concetto fondamentale senza ricorrere a un linguaggio tecnico superfluo. La parte tecnica documenta le fonti dei dati, gli stati di sicurezza, gli identificatori, le informazioni sull’integrità, i riferimenti temporali, le posizioni degli artefatti e le fasi di convalida. In questo modo, l’analisi rimane comprensibile ai fini di una successiva verifica tecnica.

LanCologne come supporto tecnico indipendente per le aziende

Qualora sia necessario chiarire dal punto di vista tecnico un incidente interno, LanCologne fornisce supporto attraverso un’indagine informatica forense oggettiva, imparziale e trasparente. Ciò che conta non è un risultato auspicato, bensì esclusivamente ciò che è effettivamente dimostrabile, entro i limiti consentiti dall’indagine, sulla base delle tracce digitali.

Quadro giuridico

Per quanto riguarda i dati dei dipendenti, in Germania occorre tenere conto in particolare dell’articolo 26 della BDSG. I dati personali dei dipendenti possono essere trattati ai fini del rapporto di lavoro, qualora ciò sia necessario per le finalità ivi indicate. Ai fini dell’accertamento di reati, l’articolo 26, comma 1, della BDSG prevede requisiti specifici: devono sussistere indizi concreti, da documentare, che giustifichino il sospetto che la persona interessata abbia commesso un reato nell’ambito del rapporto di lavoro; il trattamento deve essere necessario ai fini dell’accertamento e l’interesse meritevole di tutela del lavoratore non deve prevalere. In particolare, la natura e la portata del trattamento non devono essere sproporzionate.

Si applicano inoltre i principi generali del GDPR. L’articolo 5 del GDPR richiede, tra l’altro, la liceità, la limitazione delle finalità e la minimizzazione dei dati. L’articolo 6 del GDPR richiede una base giuridica valida per il trattamento. Un’analisi tecnicamente possibile non è quindi automaticamente un’analisi giuridicamente ammissibile.

Per quanto riguarda i dispositivi tecnici, può essere rilevante anche l’articolo 87, paragrafo 1, punto 6, della BetrVG. In base a tale disposizione, in assenza di norme di legge o di contratti collettivi, il comitato aziendale ha diritto di codecisione in merito all’introduzione e all’utilizzo di dispositivi tecnici destinati a monitorare il comportamento o le prestazioni dei lavoratori. Ciò può risultare rilevante, a seconda della configurazione, ad esempio nel caso di sistemi MDM, EDR, DLP, di logging o di altri sistemi di monitoraggio.

Il § 26, comma 6, della BDSG chiarisce espressamente che i diritti di partecipazione degli organi di rappresentanza dei lavoratori rimangono inalterati. L’ammissibilità concreta di un provvedimento investigativo, alla luce del diritto del lavoro e del diritto aziendale, dovrebbe pertanto essere chiarita, qualora riguardi i dipendenti, prima della sua esecuzione con la consulenza legale competente e, se del caso, con gli organi aziendali previsti.

LanCologne non sostituisce tale valutazione giuridica. Il nostro compito consiste nell’esaminare, una volta definito l’ambito ammissibile dell’indagine, la questione probatoria tecnica in modo comprensibile, proporzionato e senza pregiudizi sul risultato.

Domande frequenti

È possibile analizzare automaticamente e integralmente un dispositivo aziendale solo perché è di proprietà dell’azienda?+
Non automaticamente. La proprietà del dispositivo e la liceità del trattamento dei dati personali dei dipendenti sono questioni distinte. Occorre tenere conto della finalità, della base giuridica, della necessità e della proporzionalità.
I dati relativi alla gestione dei dispositivi mobili (MDM) possono essere utilizzati senza restrizioni ai fini di un’indagine interna?+
I dati MDM possono fornire informazioni di grande valore dal punto di vista tecnico. Tuttavia, occorre verificare caso per caso quali dati siano effettivamente disponibili e se possano essere utilizzati per la specifica indagine.
Un’indagine forense informatica interna è volta specificatamente a individuare prove a carico di un determinato dipendente?+
No. Rispondiamo a una questione tecnica concreta senza pregiudicare il risultato. I risultati a discarico e le spiegazioni tecniche regolari vengono documentati secondo lo stesso criterio.
Cosa succede se un'azione non può essere attribuita con certezza a una determinata persona?+
In tal caso, l’affermazione viene opportunamente limitata. Un account utente, un dispositivo o una sessione non possono essere equiparati a una persona fisica in assenza di elementi di collegamento sufficienti.
Brauchen Sie den Entsperrcode?+
In der Regel ja. Ohne Code ist die Sicherung stark eingeschränkt.
Was ist mit privaten Daten auf dem Gerät?+
Sie werden, soweit möglich, ausgeklammert. Den Umfang legen Sie mit Ihrer Rechtsberatung fest.
Reicht ein iCloud-Backup?+
Es kann helfen, ist aber nicht immer vollständig und nicht immer aktuell.

Weiterführende Themen

LanCologne – Informatica forense per le aziende

Avete una questione di natura digitale? LanCologne vi assiste con un’indagine informatica forense obiettiva e imparziale.

Contattaci subito