IT-forensisch onderzoek · Bedrijven

Hoe moet een bedrijf digitaal bewijsmateriaal veiligstellen na ontvangst van een interne melding?

Nach einem internen Hinweis – etwa auf Betrug, Datenabfluss oder Compliance-Verstöße – entscheidet sich in den ersten Tagen, ob die relevanten Daten später noch vorhanden sind. Automatische Löschfristen, Kontodeaktivierung beim Ausscheiden oder Gerätewechsel können Beweise vernichten, bevor jemand danach sucht.

Vrijblijvend informeren

Waarom deze vraag belangrijk is voor een bedrijf

Interne onderzoeken kunnen aanzienlijke economische, personele en juridische gevolgen hebben. Juist daarom moet eerst worden verduidelijkt welk concreet technisch feit moet worden bewezen of weerlegd. Een zo groot mogelijke hoeveelheid gegevens is geen kwaliteitskenmerk; doorslaggevend is een doelmatig, beperkt en traceerbaar onderzoek.

Technische achtergrond

Viele Systeme löschen selbstständig: Microsoft 365 nach Aufbewahrungsrichtlinien, Protokolle nach Tagen bis Monaten (abhängig von Lizenz und Konfiguration), Mobilgeräte bei Rückgabe per Wipe. Eine frühzeitige Aufbewahrungsanordnung (Legal Hold) und gezielte Sicherung verhindern das, ohne dass sofort ausgewertet wird.

Relevante Spuren und Datenquellen

• Postfächer und OneDrive/SharePoint (Litigation/Retention Hold)
• Microsoft 365 Unified Audit Log, Entra-ID-Anmeldungen
• Dienstliche Endgeräte (Notebook, Smartphone) vor Rückgabe oder Neuinstallation
• Server-, VPN- und Proxy-Logs
• ERP-/Buchhaltungsprotokolle, wenn fachlich relevant

Grenzen

• Bereits gelöschte Daten sind nur teilweise wiederherstellbar.
• Private Geräte und Konten sind ohne Rechtsgrundlage nicht Gegenstand.

Mogelijke resultaten

• Gesicherter, dokumentierter Datenbestand
• Übersicht, welche Quellen verfügbar waren und welche fehlten

Waarom LanCologne?

Interne Untersuchungen sind besonders sensibel, weil wirtschaftliche Interessen des Unternehmens, Persönlichkeitsrechte von Beschäftigten, Datenschutz, betriebliche Mitbestimmung und mögliche spätere Rechtsverfahren gleichzeitig berührt sein können. LanCologne beginnt deshalb nicht mit einer möglichst umfassenden Durchsuchung der IT.

Zo gaan we te werk

• Klärung der Rechtsgrundlage und Beteiligung von Datenschutz/Betriebsrat.
• Sofortige Aufbewahrungsmaßnahmen für kurzlebige Quellen.
• Forensische Sicherung mit Hashwerten und Dokumentation, Auswertung erst nach Festlegung der Fragestellung.

Geen voorbarige veroordeling – ook als er intern al een sterk vermoeden bestaat

Een bedrijf kan om organisatorische of juridische redenen al een duidelijk vermoeden hebben. De uitkomst van het technisch onderzoek blijft echter nog onzeker. We documenteren ook bevindingen die het vermoeden tegenspreken en vermelden uitdrukkelijk wanneer een beweerde handeling op basis van de verkregen gegevens niet kan worden bewezen.

De technische bevindingen en de juridische beoordeling blijven gescheiden

IT-forensisch onderzoek kan bijvoorbeeld vaststellen dat een bepaald account een bestand heeft geëxporteerd, dat een apparaat op een bepaald tijdstip was verbonden of dat een bericht technisch gezien is verzonden. Hieruit volgt niet automatisch welke natuurlijke persoon de handeling heeft verricht, of de handeling was toegestaan of welke gevolgen dit heeft op het gebied van het arbeidsrecht, het burgerlijk recht of het strafrecht.

LanCologne als onafhankelijke technische ondersteuning voor de juridische afdeling en de directie

LanCologne krijgt geen opdracht om een gewenst resultaat technisch te bevestigen. Wij krijgen de opdracht om een concrete bewijskwestie op basis van de beschikbare digitale sporen objectief te beantwoorden. Het onderzoek moet ook dan nog begrijpelijk blijven wanneer het later kritisch wordt getoetst door een tegenpartij, een rechtbank of een andere gekwalificeerde IT-forensisch expert.

Voor gegevens van werknemers vormt § 26 BDSG een essentieel wettelijk uitgangspunt. § 26, lid 1, BDSG staat de verwerking van persoonsgegevens van werknemers toe voor doeleinden die verband houden met de arbeidsverhouding, onder de daar genoemde voorwaarden. Voor het opsporen van strafbare feiten vereist de bepaling met name aantoonbare feitelijke aanwijzingen, noodzaak en evenredigheid; het beschermingswaardige belang van de werknemer mag niet zwaarder wegen. § 26, lid 6, BDSG laat de inspraakrechten van de belangenvertegenwoordigers onverlet.

Daarnaast gelden de beginselen van de AVG, met name rechtmatigheid, doelbinding en gegevensminimalisatie overeenkomstig artikel 5, alsmede de vereiste van een deugdelijke rechtsgrondslag overeenkomstig artikel 6. Bij bijzondere categorieën persoonsgegevens moet bovendien rekening worden gehouden met artikel 9 AVG en, indien van toepassing, § 26, lid 3, BDSG.

Voor technische voorzieningen die bedoeld zijn om het gedrag of de prestaties van werknemers te controleren, voorziet artikel 87, lid 1, punt 6 van de BetrVG in een medebeslissingsrecht van de ondernemingsraad, voor zover er geen wettelijke of cao-bepalingen bestaan. Voor MDM, EDR, DLP, logging en vergelijkbare systemen moet daarom telkens de concrete invulling worden bekeken.

Bij meldingen op grond van de wet ter bescherming van klokkenluiders is met name § 8 HinSchG van belang. Het vertrouwelijkheidsbeginsel beschermt niet alleen de identiteit van de klokkenluider, maar ook personen die het voorwerp van een melding vormen, en andere in de melding genoemde personen. § 9 HinSchG bevat wettelijke uitzonderingen op het vertrouwelijkheidsbeginsel. § 36 HinSchG verbiedt represailles en bevat onder de daar genoemde voorwaarden een regel inzake de bewijslast.

Wat bedrijfsgeheimen betreft, mag een intern onderzoek een melding niet automatisch als een schending van het bedrijfsgeheim behandelen. § 5 van de Duitse wet op bedrijfsgeheimen (GeschGehG) bevat uitzonderingen op de verboden van § 4, onder meer onder bepaalde voorwaarden voor het aan het licht brengen van onrechtmatige handelingen of beroepsmatig of ander wangedrag, alsmede voor noodzakelijke openbaarmakingen aan werknemersvertegenwoordigingen.

Mocht er later een civiele procedure volgen, dan voorziet het ZPO onder meer in bewijs door bezichtiging; § 371, lid 1, ZPO regelt uitdrukkelijk het geval waarin een elektronisch document het voorwerp van het bewijs vormt. Voor bewijs door deskundigen gelden §§ 402 e.v. ZPO. In een strafzaak bepaalt de rechtbank de omvang van de bewijsvoering volgens het Wetboek van Strafvordering (StPO); met name § 244 StPO regelt het onderzoeksbeginsel en bewijsverzoeken. Deze procesrechtelijke voorschriften maken van een particulier in opdracht opgesteld IT-forensisch rapport echter niet automatisch een gerechtelijk rapport.

LanCologne verleent technische deskundigenadviezen en geen juridisch advies. De concrete toelaatbaarheid van een onderzoeksmaatregel, de arbeidsrechtelijke gevolgen, de procesrechtelijke strategie en de strafrechtelijke beoordeling blijven voorbehouden aan de bevoegde juridische adviseurs, de autoriteiten en de rechtbanken.

Veelgestelde vragen

🔗 Gerelateerde onderwerpen