IT-forensisch onderzoek · Bedrijven
Hoe kan een bedrijf laten controleren of een vertrekkende medewerker bedrijfsgegevens heeft meegenomen?
Kurz vor dem Ausscheiden werden häufig Kundenlisten, Kalkulationen oder Quellcode kopiert – manchmal versehentlich, manchmal gezielt. Ob und wie Daten mitgenommen wurden, lässt sich oft rekonstruieren, wenn das Gerät nicht vorschnell neu installiert wird.
Waarom deze vraag belangrijk is voor een bedrijf
Bij mogelijke gegevenslekken staan vaak aanzienlijke economische waarden, klantrelaties, ontwikkelingskennis of concurrentievoordelen op het spel. Een degelijk onderzoek moet daarom nauwkeurig vaststellen welke gegevensoverdracht daadwerkelijk heeft plaatsgevonden, zonder op basis van een vermoeden al meteen een inbreuk op de wet te concluderen.
Technische achtergrond
Windows protokolliert angeschlossene USB-Geräte, geöffnete Dateien und Ordner in mehreren unabhängigen Artefakten. Cloud-Uploads, E-Mail-Weiterleitungen an private Adressen und Druckaufträge hinterlassen weitere Spuren. Entscheidend ist der Abgleich mit dem Zeitraum vor dem Ausscheiden.
Relevante Spuren und Datenquellen
- USB-Geräte (Registry USBSTOR, MountedDevices, Setupapi-Log, Ereignisprotokolle)
- Datei- und Ordnerzugriffe (LNK-Dateien, Jump Lists, Shellbags)
- Browser-Uploads und private Cloud-Clients
- E-Mail-Weiterleitungen und Postfachregeln (Microsoft 365 Audit Log)
- Druckprotokolle
Grenzen
- Was auf einem privaten Gerät mit den Daten geschah, ist ohne Zugriff darauf nicht feststellbar.
- Ein Dateizugriff belegt nicht automatisch eine Kopie; eine Kopie belegt nicht automatisch eine Weitergabe.
Mogelijke resultaten
- Kopiervorgänge auf USB oder in die Cloud zeitlich belegt
- Kein Hinweis auf Mitnahme über die geprüften Kanäle
- Liste betroffener Dateien
Waarom LanCologne?
Het vermoeden van het meenemen van gegevens of het verlies van vertrouwelijke bedrijfsinformatie kan aanzienlijke economische en juridische gevolgen hebben. Juist daarom mag het onderzoek niet beginnen met het gewenste resultaat.
Zo gaan we te werk
- Gerät und Konto vor Rückgabe bzw. Löschung sichern (Legal Hold).
- Zeitraum festlegen (typisch: Wochen vor Kündigung bis Ausscheiden).
- Korrelation der Spuren zu einer Zeitlinie; Abgleich mit dienstlicher Notwendigkeit.
Een bedrijfsgeheim is een juridische kwalificatie – gegevensverkeer is een technische bewijskwestie
We kunnen vaststellen of in kaart brengen welke bestanden aanwezig waren, welke technische beveiligingsmaatregelen er waren en welke handelingen op het gebied van toegang, kopiëren of overdracht aantoonbaar zijn. Of de betreffende informatie voldoet aan de voorwaarden voor een bedrijfsgeheim en of een handeling onbevoegd of onrechtmatig was, wordt daarvan losstaand juridisch beoordeeld.
Geen voorbarige oordelen – ook niet bij opvallende transferpatronen
Een ongewoon groot aantal bestandstoegangen, het gebruik van een USB-aansluiting of het inloggen op de cloud kan aanleiding geven tot nader onderzoek, maar leidt nog niet tot een definitieve conclusie. Ook alternatieve werkprocessen worden onderzocht. Wanneer er meerdere verklaringen mogelijk blijven, wordt deze onzekerheid niet vervangen door een veronderstelling.
Waarom LanCologne bij het meenemen van gegevens en bedrijfsgeheimen?
LanCologne voert geen onderzoek uit om een vooraf bestaand vermoeden te bevestigen. Wij geven antwoord op de concrete technische bewijskwestie, documenteren de onderliggende primaire gegevens en geven eveneens duidelijk aan wat niet kan worden bewezen. Hierdoor krijgen het management en de juridische afdeling een feitelijke basis die ook een latere deskundige toetsing kan doorstaan.
Wettelijk kader
Wat werknemers betreft, blijft § 26 BDSG een belangrijk uitgangspunt. Voor het opsporen van strafbare feiten vereist § 26, lid 1, BDSG onder meer aantoonbare feitelijke aanwijzingen, noodzakelijkheid en evenredigheid; het beschermingswaardige belang van de werknemer mag niet zwaarder wegen. Daarnaast gelden de beginselen van de AVG, in het bijzonder rechtmatigheid, doelbinding en gegevensminimalisatie.
De GeschGehG is van cruciaal belang voor bedrijfsgeheimen. Volgens § 2, nr. 1 van de GeschGehG volstaat niet elke vertrouwelijke informatie: de informatie moet onder andere economische waarde hebben, omdat deze niet algemeen bekend of zonder meer toegankelijk is, onderworpen zijn aan geheimhoudingsmaatregelen die gezien de omstandigheden redelijk zijn, en er moet een gerechtvaardigd belang bij geheimhouding bestaan.
§ 4 van de GeschGehG verbiedt onder bepaalde voorwaarden onder meer de onbevoegde toegang tot, de onbevoegde toe-eigening of het onbevoegd kopiëren van elektronische bestanden die een bedrijfsgeheim bevatten of waaruit dit kan worden afgeleid. Ook het gebruik en de openbaarmaking kunnen verboden zijn. Of een technisch aangetoonde handeling voldoet aan de juridische kenmerken van het strafbare feit, wordt niet bepaald door de IT-forensisch expert.
De wet op de bescherming van klokkenluiders (GeschGehG) bevat bovendien uitzonderingen. § 5 noemt met name bepaalde handelingen ter bescherming van gerechtvaardigde belangen, waaronder – onder bepaalde voorwaarden – het aan het licht brengen van onrechtmatige handelingen of beroepsmatig of ander wangedrag. Daarnaast kan de wet ter bescherming van klokkenluiders van toepassing zijn. § 6 HinSchG regelt onder bepaalde voorwaarden de doorgifte of openbaarmaking van bedrijfsgeheimen in het kader van beschermde meldingen. Een vermoeden van gegevenslek mag daarom niet automatisch worden gelijkgesteld met een onrechtmatige schending van het geheim.
De GeschGehG voorziet bij vastgestelde inbreuken op de wet in mogelijke civielrechtelijke vorderingen, waaronder het staken en ongedaan maken van de inbreuk (§ 6), verdere maatregelen overeenkomstig § 7, bepaalde rechten op informatie overeenkomstig § 8 en schadevergoeding overeenkomstig § 10. Welke vorderingen in een concreet geval bestaan, moet juridisch worden onderzocht. De IT-forensiek levert hiervoor slechts de technische feitelijke basis.
Voor zover er technische voorzieningen worden ingezet voor het toezicht op medewerkers, kunnen bovendien de inspraakrechten van de ondernemingsraad, met name op grond van § 87, lid 1, nr. 6 van de BetrVG, van belang zijn. De concrete toelaatbaarheid wordt vóór het onderzoek door de bevoegde bedrijfs- en juridische instanties vastgesteld.
Veelgestelde vragen
Gerelateerde onderwerpen
- Hoe kan worden gecontroleerd of een medewerker bedrijfsbestanden naar een privé-cloudaccount heeft geüpload?
- Hoe kan een bedrijf bij een vermoeden van gegevenslek een duidelijk onderscheid maken tussen klokkenluiden en het schenden van geheimhouding?
- Hoe moet een bedrijf digitaal bewijsmateriaal veiligstellen na ontvangst van een interne melding?
- IT-forensisch onderzoek voor bedrijven
LanCologne – IT-forensisch onderzoek voor bedrijven
Heeft u een digitale vraag? LanCologne ondersteunt u met een objectief, onbevooroordeeld IT-forensisch onderzoek.
In het kader van dit thema
- Hoe kan worden gecontroleerd of een medewerker bedrijfsbestanden naar een privé-cloudaccount heeft geüpload?
- Hoe kan een bedrijf nagaan of een werknemer na zijn ontslag nog toegang heeft gehad tot de bedrijfssystemen?
- Hoe kan worden nagegaan of een voormalige medewerker bedrijfsgegevens later bij een concurrent heeft gebruikt?
- Hoe kan een onderneming MDM-gegevens correct inpassen in een onderzoek dat relevant is vanuit arbeidsrechtelijk oogpunt?