IT-forensisch onderzoek · Bedrijven

Wie kann ein Unternehmen prüfen lassen, ob vertrauliche Dokumente massenhaft gedruckt wurden?

Papierausdrucke können bei Datenabflussfällen relevant sein, werden aber in rein dateibasierten Untersuchungen leicht übersehen.

Vrijblijvend informeren

Waarom deze vraag belangrijk is voor een bedrijf

Bei möglichen Datenabflüssen stehen häufig erhebliche wirtschaftliche Werte, Kundenbeziehungen, Entwicklungswissen oder Wettbewerbsvorteile auf dem Spiel. Eine belastbare Untersuchung muss deshalb präzise klären, welche Datenbewegung tatsächlich stattgefunden hat, ohne aus einem Verdacht bereits eine Rechtsverletzung abzuleiten.

Technische onderzoeksaanpak

Wir untersuchen Druckspooler, Printserver, Anwendungs- und Dokumentinformationen sowie Zeit- und Benutzerkontext.

Waar de grens van de uitspraak ligt

Ein Druckereignis beweist nicht automatisch, wer die Ausdrucke entgegengenommen oder wohin sie anschließend gelangt sind.

Waarom LanCologne?

Der Verdacht auf Datenmitnahme oder den Verlust vertraulicher Unternehmensinformationen kann erhebliche wirtschaftliche und rechtliche Folgen haben. Gerade deshalb darf die Untersuchung nicht mit dem gewünschten Ergebnis beginnen.

LanCologne übersetzt den Sachverhalt zunächst in konkrete technische Beweisfragen: Welche Dateien oder Datenbestände sind betroffen? Wurden sie tatsächlich geöffnet, kopiert, exportiert, archiviert oder übertragen? Welcher technische Übertragungsweg ist nachweisbar? Wann geschah dies? Welcher Geräte-, Account- oder Sessionkontext ist belegbar?

Dabei unterscheiden wir strikt zwischen Zugriffsmöglichkeit, tatsächlichem Zugriff, Kopiervorgang und erfolgreichem Transfer. Diese Begriffe werden in der Praxis häufig vermischt, obwohl sie technisch unterschiedliche Tatsachen beschreiben.

Tragende Befunde werden soweit möglich an Primärdaten überprüft und mit unabhängigen Quellen korreliert. Ein automatisierter Alarm, ein Toolreport oder ein einzelner Zeitstempel wird nicht ungeprüft zum Beweis erklärt.

Ebenso werden reguläre Alternativerklärungen untersucht. Übergabeprozesse, Projektarchive, Backups, Synchronisation, Softwareupdates oder erlaubte Cloudnutzung können Spuren erzeugen, die ohne Kontext verdächtig wirken. Erst wenn solche Erklärungen anhand der Daten eingegrenzt wurden, ist eine belastbare technische Bewertung möglich.

Für LanCologne ist auch ein entlastender Befund ein vollständiges Untersuchungsergebnis. Kann eine behauptete Datenmitnahme nicht bestätigt werden, wird dies ebenso dokumentiert wie ein nachweisbarer Transfer.

Onze werkwijze

Geschäftsgeheimnis ist eine rechtliche Einordnung – Datenbewegung eine technische Beweisfrage

Wir können feststellen beziehungsweise eingrenzen, welche Dateien vorhanden waren, welche technischen Schutzmechanismen bestanden und welche Zugriffs-, Kopier- oder Transferhandlungen nachweisbar sind. Ob die betroffene Information die Voraussetzungen eines Geschäftsgeheimnisses erfüllt und eine Handlung unbefugt oder rechtswidrig war, wird davon getrennt juristisch bewertet.

Keine Vorverurteilung – auch nicht bei auffälligen Transfermustern

Ein ungewöhnlich großer Dateizugriff, ein USB-Anschluss oder ein Cloudlogin kann Anlass für weitere Prüfung sein, ist aber noch keine Schlussfolgerung. Alternative Arbeitsabläufe werden mituntersucht. Wo mehrere Erklärungen möglich bleiben, wird diese Unsicherheit nicht durch eine Vermutung ersetzt.

Warum LanCologne bei Datenmitnahme und Geschäftsgeheimnissen?

LanCologne untersucht nicht, um einen vorgegebenen Verdacht zu bestätigen. Wir beantworten die konkrete technische Beweisfrage, dokumentieren die zugrunde liegenden Primärdaten und benennen ebenso klar, was sich nicht beweisen lässt. Dadurch erhält Geschäftsführung und Rechtsabteilung eine Tatsachengrundlage, die auch einer späteren fachlichen Gegenprüfung standhalten kann.

Bei Mitarbeiterbezug bleibt § 26 BDSG ein wesentlicher Ausgangspunkt. Für die Aufdeckung von Straftaten verlangt § 26 Abs. 1 BDSG unter anderem zu dokumentierende tatsächliche Anhaltspunkte, Erforderlichkeit und Verhältnismäßigkeit; das schutzwürdige Interesse der beschäftigten Person darf nicht überwiegen. Daneben gelten die Grundsätze der DSGVO, insbesondere Rechtmäßigkeit, Zweckbindung und Datenminimierung.

Für Geschäftsgeheimnisse ist das GeschGehG zentral. Nach § 2 Nr. 1 GeschGehG genügt nicht jede vertrauliche Information: Die Information muss unter anderem wirtschaftlichen Wert besitzen, weil sie nicht allgemein bekannt oder ohne Weiteres zugänglich ist, Gegenstand den Umständen nach angemessener Geheimhaltungsmaßnahmen sein und es muss ein berechtigtes Geheimhaltungsinteresse bestehen.

§ 4 GeschGehG verbietet unter bestimmten Voraussetzungen unter anderem den unbefugten Zugang zu, die unbefugte Aneignung oder das unbefugte Kopieren von elektronischen Dateien, die ein Geschäftsgeheimnis enthalten oder aus denen es sich ableiten lässt. Nutzung und Offenlegung können ebenfalls verboten sein. Ob ein technisch nachgewiesener Vorgang die rechtlichen Tatbestandsmerkmale erfüllt, entscheidet nicht der IT-Forensiker.

Das GeschGehG enthält außerdem Ausnahmen. § 5 nennt insbesondere bestimmte Handlungen zum Schutz berechtigter Interessen, darunter unter Voraussetzungen die Aufdeckung rechtswidriger Handlungen oder beruflichen beziehungsweise sonstigen Fehlverhaltens. Zusätzlich kann das Hinweisgeberschutzgesetz einschlägig sein. § 6 HinSchG regelt unter bestimmten Voraussetzungen die Weitergabe beziehungsweise Offenlegung von Geschäftsgeheimnissen im Rahmen geschützter Meldungen. Ein Datenabflussverdacht darf daher nicht automatisch mit einer rechtswidrigen Geheimnisverletzung gleichgesetzt werden.

Das GeschGehG sieht bei festgestellten Rechtsverletzungen mögliche zivilrechtliche Ansprüche vor, darunter Beseitigung und Unterlassung (§ 6), weitere Maßnahmen nach § 7, bestimmte Auskunftsansprüche nach § 8 und Schadensersatz nach § 10. Welche Ansprüche im Einzelfall bestehen, ist juristisch zu prüfen. Die IT-Forensik liefert hierfür lediglich die technische Tatsachengrundlage.

Soweit technische Einrichtungen zur Mitarbeiterüberwachung eingesetzt werden, können außerdem Beteiligungsrechte des Betriebsrats, insbesondere nach § 87 Abs. 1 Nr. 6 BetrVG, relevant sein. Die konkrete Zulässigkeit wird vor der Untersuchung durch die zuständigen betrieblichen und rechtlichen Stellen geklärt.

Veelgestelde vragen

🔗 Gerelateerde onderwerpen