IT-forensisch onderzoek · Bedrijven

Hoe kan een bedrijf een vermoeden van non-compliance met behulp van IT-forensisch onderzoek onderzoeken zonder vooruit te lopen op de uitkomst?

Ein Compliance-Hinweis kann eine interne Untersuchung erforderlich machen. Aus einem Hinweis folgt jedoch weder die Richtigkeit des Vorwurfs noch die Verantwortlichkeit einer bestimmten Person.

Vrijblijvend informeren

Waarom deze vraag belangrijk is voor een bedrijf

Interne onderzoeken kunnen aanzienlijke economische, personele en juridische gevolgen hebben. Juist daarom moet eerst worden verduidelijkt welk concreet technisch feit moet worden bewezen of weerlegd. Een zo groot mogelijke hoeveelheid gegevens is geen kwaliteitskenmerk; doorslaggevend is een doelmatig, beperkt en traceerbaar onderzoek.

Technische onderzoeksaanpak

Wir übersetzen den Sachverhalt in überprüfbare technische Teilfragen und untersuchen nur die hierfür erforderlichen Systeme, Accounts, Zeiträume und Datenarten.

Waar de grens van de uitspraak ligt

Die IT-Forensik stellt technische Tatsachen fest. Ob daraus ein arbeits-, zivil- oder strafrechtlicher Verstoß folgt, ist gesondert zu bewerten.

Waarom LanCologne?

Interne onderzoeken zijn bijzonder gevoelig, omdat ze tegelijkertijd betrekking kunnen hebben op de economische belangen van de onderneming, de persoonlijkheidsrechten van werknemers, gegevensbescherming, medezeggenschap binnen de onderneming en mogelijke latere gerechtelijke procedures.

LanCologne begint daarom niet met een zo uitgebreid mogelijk onderzoek van de IT. Het uitgangspunt is een duidelijk geformuleerde technische bewijsvraag. Daaruit worden de benodigde gegevensbronnen, tijdsperioden en onderzoeksstappen afgeleid. Technische toegankelijkheid en juridische toelaatbaarheid worden bewust van elkaar gescheiden.

Het onderzoek blijft open. Een vermoeden wordt niet bevestigd alleen omdat het aannemelijk klinkt. Belastende, ontlastende en tegenstrijdige sporen worden volgens dezelfde professionele maatstaf onderzocht. Wanneer er meerdere technische verklaringen mogelijk zijn, worden deze genoemd en, voor zover mogelijk, tegen elkaar afgewogen.

Geautomatiseerde rapporten, EDR-waarschuwingen, DLP-treffers of resultaten van forensische software worden niet zonder meer als bewijs aanvaard. Belangrijke bevindingen worden zoveel mogelijk getoetst aan primaire gegevens en gecorreleerd met onafhankelijke artefacten.

Met het oog op een latere vaktechnische controle leggen we niet alleen het resultaat vast, maar ook de manier waarop dit tot stand is gekomen. Het begrijpelijke hoofdgedeelte is bedoeld voor de directie en de juridische afdeling; dankzij een technische bijlage kan een gekwalificeerde externe forensisch deskundige de belangrijkste bevindingen nagaan.

Onze werkwijze

1De aanleiding voor het onderzoek en de concrete bewijskwestie vaststellen.

2De bevoegdheid, de rechtsgrondslag en, indien van toepassing, de inspraakrechten moeten vooraf worden verduidelijkt.

3Beperk het aantal personen, systemen, accounts, tijd en gegevens tot het strikt noodzakelijke.

4Gegevens die vergankelijk zijn of het risico lopen te verdwijnen, tijdig bewaren.

5Houd op organisatorisch en technisch vlak rekening met vertrouwelijkheid en het ‘need-to-know’-principe.

6Scheid de originele gegevens van de geschikte back-ups van de werkkopieën.

7De integriteit, herkomst en het tijdstip van beveiliging op een traceerbare manier documenteren.

8Productwaarschuwingen en tooluitvoer valideren aan de hand van primaire gegevens.

9Toewijzing aan accounts, apparaten, sessies en personen mogen niet over één kam worden geschoren.

10Onderzoek belastende, ontlastende en alternatieve verklaringen op gelijke voet.

11Technische vaststellingen scheiden van juridische conclusies.

12Het hoofdverslag op een begrijpelijke manier opstellen en de technische bijlage op een reproduceerbare manier opstellen.

Geen voorbarige veroordeling – ook als er intern al een sterk vermoeden bestaat

Een bedrijf kan om organisatorische of juridische redenen al een duidelijk vermoeden hebben. De uitkomst van het technisch onderzoek blijft echter nog onzeker. We documenteren ook bevindingen die het vermoeden tegenspreken en vermelden uitdrukkelijk wanneer een beweerde handeling op basis van de verkregen gegevens niet kan worden bewezen.

De technische bevindingen en de juridische beoordeling blijven gescheiden

IT-forensisch onderzoek kan bijvoorbeeld vaststellen dat een bepaald account een bestand heeft geëxporteerd, dat een apparaat op een bepaald tijdstip was verbonden of dat een bericht technisch gezien is verzonden. Hieruit volgt niet automatisch welke natuurlijke persoon de handeling heeft verricht, of de handeling was toegestaan of welke gevolgen dit heeft op het gebied van het arbeidsrecht, het burgerlijk recht of het strafrecht.

LanCologne als onafhankelijke technische ondersteuning voor de juridische afdeling en de directie

LanCologne krijgt geen opdracht om een gewenst resultaat technisch te bevestigen. Wij krijgen de opdracht om een concrete bewijskwestie op basis van de beschikbare digitale sporen objectief te beantwoorden. Het onderzoek moet ook dan nog begrijpelijk blijven wanneer het later kritisch wordt getoetst door een tegenpartij, een rechtbank of een andere gekwalificeerde IT-forensisch expert.

Wettelijk kader

Voor gegevens van werknemers vormt § 26 BDSG een essentieel wettelijk uitgangspunt. § 26, lid 1, BDSG staat de verwerking van persoonsgegevens van werknemers toe voor doeleinden die verband houden met de arbeidsverhouding, onder de daar genoemde voorwaarden. Voor het opsporen van strafbare feiten vereist de bepaling met name aantoonbare feitelijke aanwijzingen, noodzaak en evenredigheid; het beschermingswaardige belang van de werknemer mag niet zwaarder wegen. § 26, lid 6, BDSG laat de inspraakrechten van de belangenvertegenwoordigers onverlet.

Daarnaast gelden de beginselen van de AVG, met name rechtmatigheid, doelbinding en gegevensminimalisatie overeenkomstig artikel 5, alsmede de vereiste van een deugdelijke rechtsgrondslag overeenkomstig artikel 6. Bij bijzondere categorieën persoonsgegevens moet bovendien rekening worden gehouden met artikel 9 AVG en, indien van toepassing, § 26, lid 3, BDSG.

Voor technische voorzieningen die bedoeld zijn om het gedrag of de prestaties van werknemers te controleren, voorziet artikel 87, lid 1, punt 6 van de BetrVG in een medebeslissingsrecht van de ondernemingsraad, voor zover er geen wettelijke of cao-bepalingen bestaan. Voor MDM, EDR, DLP, logging en vergelijkbare systemen moet daarom telkens de concrete invulling worden bekeken.

Bij meldingen op grond van de wet ter bescherming van klokkenluiders is met name § 8 HinSchG van belang. Het vertrouwelijkheidsbeginsel beschermt niet alleen de identiteit van de klokkenluider, maar ook personen die het voorwerp van een melding vormen, en andere in de melding genoemde personen. § 9 HinSchG bevat wettelijke uitzonderingen op het vertrouwelijkheidsbeginsel. § 36 HinSchG verbiedt represailles en bevat onder de daar genoemde voorwaarden een regel inzake de bewijslast.

Wat bedrijfsgeheimen betreft, mag een intern onderzoek een melding niet automatisch als een schending van het bedrijfsgeheim behandelen. § 5 van de Duitse wet op bedrijfsgeheimen (GeschGehG) bevat uitzonderingen op de verboden van § 4, onder meer onder bepaalde voorwaarden voor het aan het licht brengen van onrechtmatige handelingen of beroepsmatig of ander wangedrag, alsmede voor noodzakelijke openbaarmakingen aan werknemersvertegenwoordigingen.

Mocht er later een civiele procedure volgen, dan voorziet het ZPO onder meer in bewijs door bezichtiging; § 371, lid 1, ZPO regelt uitdrukkelijk het geval waarin een elektronisch document het voorwerp van het bewijs vormt. Voor bewijs door deskundigen gelden §§ 402 e.v. ZPO. In een strafzaak bepaalt de rechtbank de omvang van de bewijsvoering volgens het Wetboek van Strafvordering (StPO); met name § 244 StPO regelt het onderzoeksbeginsel en bewijsverzoeken. Deze procesrechtelijke voorschriften maken van een particulier in opdracht opgesteld IT-forensisch rapport echter niet automatisch een gerechtelijk rapport.

LanCologne verleent technische deskundigenadviezen en geen juridisch advies. De concrete toelaatbaarheid van een onderzoeksmaatregel, de arbeidsrechtelijke gevolgen, de procesrechtelijke strategie en de strafrechtelijke beoordeling blijven voorbehouden aan de bevoegde juridische adviseurs, de autoriteiten en de rechtbanken.

Veelgestelde vragen

Hoe kan een bedrijf een vermoeden van non-compliance met behulp van IT-forensisch onderzoek onderzoeken zonder vooruit te lopen op de uitkomst?+

Hoe verloopt zo’n technisch onderzoek in de praktijk?+

Wir übersetzen den Sachverhalt in überprüfbare technische Teilfragen und untersuchen nur die hierfür erforderlichen Systeme, Accounts, Zeiträume und Datenarten.

Levert het onderzoek altijd een eenduidig resultaat op ten nadele of ten gunste van een betrokken persoon?+

Die IT-Forensik stellt technische Tatsachen fest. Ob daraus ein arbeits-, zivil- oder strafrechtlicher Verstoß folgt, ist gesondert zu bewerten.

Is daar een wettelijke grondslag voor?+

Für Beschäftigtendaten ist § 26 BDSG ein wesentlicher gesetzlicher Bezugspunkt. § 26 Abs. 1 BDSG erlaubt die Verarbeitung personenbezogener Beschäftigtendaten für Zwecke des Beschäftigungsverhältnisses unter den dort genannten Voraussetzungen. Zur Aufdeckung von Straftaten verlangt die Vorschrift insbesondere zu dokumentierende tatsächliche Anhaltspunkte, Erforderlichkeit und Verhältnismäßigkeit; das schutzwürdige Interesse der beschäftigten Person darf nicht überwiegen. § 26 Abs. 6 BDSG lässt Beteiligungsrechte der Interessenvertretungen unberührt. Daneben gelten die Grundsätze der DSGVO, insbesondere Rechtmäßigkeit, Zweckbindung und Datenminimierung nach Art. 5 sowie das Erfordernis einer tragfähigen Rechtsgrundlage nach Art. 6. Bei besonderen Kategorien personenbezogener Daten sind zusätzlich Art. 9 DSGVO und gegebenenfalls § 26 Abs. 3 BDSG zu beachten. Bei technischen Einrichtungen, die dazu bestimmt sind, Verhalten oder Leistung von Arbeitnehmern zu überwachen, sieht § 87 Abs. 1 Nr. 6 BetrVG ein Mitbestimmungsrecht des Betriebsrats vor, soweit keine gesetzliche oder tarifliche Regelung besteht. Für MDM, EDR, DLP, Logging und vergleichbare Systeme muss daher jeweils die konkrete Ausgestaltung betrachtet werden. Bei Hinweisen nach dem Hinweisgeberschutzgesetz ist insbesondere § 8 HinSchG relevant. Das Vertraulichkeitsgebot schützt nicht nur die Identität der hinweisgebenden Person, sondern auch Personen, die Gegenstand einer Meldung sind, und sonstige in der Meldung genannte Personen. § 9 HinSchG enthält gesetzliche Ausnahmen vom Vertraulichkeitsgebot. § 36 HinSchG verbietet Repressalien und enthält unter den dort genannten Voraussetzungen eine Beweislastregel. Bei Geschäftsgeheimnissen darf eine interne Untersuchung eine Meldung nicht automatisch als Geheimnisverletzung behandeln. § 5 GeschGehG enthält Ausnahmen von den Verboten des § 4, unter anderem unter bestimmten Voraussetzungen zur Aufdeckung rechtswidriger Handlungen oder beruflichen beziehungsweise sonstigen Fehlverhaltens sowie für erforderliche Offenlegungen gegenüber Arbeitnehmervertretungen. Kommt es später zu einem Zivilprozess, kennt die ZPO unter anderem den Beweis durch Augenschein; § 371 Abs. 1 ZPO regelt ausdrücklich den Fall, dass ein elektronisches Dokument Gegenstand des Beweises ist. Für Sachverständigenbeweis gelten §§ 402 ff. ZPO. In einem Strafverfahren bestimmt das Gericht den Umfang der Beweisaufnahme nach der StPO; insbesondere § 244 StPO regelt den Untersuchungsgrundsatz und Beweisanträge. Diese prozessualen Vorschriften machen aus einem privat beauftragten IT-forensischen Bericht jedoch nicht automatisch ein gerichtliches Gutachten. LanCologne erbringt technische Sachverständigenarbeit und keine Rechtsberatung. Die konkrete Zulässigkeit einer Untersuchungsmaßnahme, arbeitsrechtliche Konsequenzen, prozessuale Strategie und strafrechtliche Bewertung bleiben der zuständigen Rechtsberatung, den Behörden und Gerichten vorbehalten.