IT-forensisch onderzoek · Bedrijven
Hoe kan een bedrijf een vermoeden van non-compliance met behulp van IT-forensisch onderzoek onderzoeken zonder vooruit te lopen op de uitkomst?
Compliance-Verdachtsfälle – etwa Interessenkonflikte, manipulierte Abrechnungen oder Umgehung von Freigabeprozessen – hinterlassen Spuren in E-Mails, Dokumenten, ERP-Systemen und Zugriffsprotokollen. Die Untersuchung muss diese Spuren finden, ohne mehr Daten als nötig zu verarbeiten.
Waarom deze vraag belangrijk is voor een bedrijf
Interne onderzoeken kunnen aanzienlijke economische, personele en juridische gevolgen hebben. Juist daarom moet eerst worden verduidelijkt welk concreet technisch feit moet worden bewezen of weerlegd. Een zo groot mogelijke hoeveelheid gegevens is geen kwaliteitskenmerk; doorslaggevend is een doelmatig, beperkt en traceerbaar onderzoek.
Technische achtergrond
Verhältnismäßigkeit ist der Kern: Statt alle Postfächer zu durchsuchen, wird mit Zeiträumen, Personen, Stichworten und Metadaten eingegrenzt. Treffer werden im Kontext geprüft. Entlastende Befunde werden genauso dokumentiert wie belastende.
Relevante Spuren und Datenquellen
- E-Mail-Metadaten und zielgerichtete Inhalte
- Dokumenten-Metadaten und Versionsstände (SharePoint, Dateiserver)
- ERP- und Buchhaltungsprotokolle (Änderungen, Freigaben)
- Anmelde- und Zugriffsprotokolle
Grenzen
- Absichten lassen sich aus Daten nicht ablesen – nur Handlungen und Zusammenhänge.
- Fehlen Protokolle in Fachanwendungen, sind Änderungen ggf. nicht zuordenbar.
Mogelijke resultaten
- Belegte oder widerlegte Einzelvorwürfe
- Zeitlinie relevanter Vorgänge
- Dokumentation des Prüfumfangs
Waarom LanCologne?
Interne Untersuchungen sind besonders sensibel, weil wirtschaftliche Interessen des Unternehmens, Persönlichkeitsrechte von Beschäftigten, Datenschutz, betriebliche Mitbestimmung und mögliche spätere Rechtsverfahren gleichzeitig berührt sein können. LanCologne beginnt deshalb nicht mit einer möglichst umfassenden Durchsuchung der IT.
Zo gaan we te werk
- Festlegung von Fragestellung, Personen, Zeitraum und Suchkriterien mit Compliance und Rechtsberatung.
- Sicherung der relevanten Quellen.
- Gestufte Auswertung: zuerst Metadaten, dann gezielt Inhalte.
- Bericht mit Befunden, Gegenbefunden und Grenzen.
Geen voorbarige veroordeling – ook als er intern al een sterk vermoeden bestaat
Een bedrijf kan om organisatorische of juridische redenen al een duidelijk vermoeden hebben. De uitkomst van het technisch onderzoek blijft echter nog onzeker. We documenteren ook bevindingen die het vermoeden tegenspreken en vermelden uitdrukkelijk wanneer een beweerde handeling op basis van de verkregen gegevens niet kan worden bewezen.
De technische bevindingen en de juridische beoordeling blijven gescheiden
IT-forensisch onderzoek kan bijvoorbeeld vaststellen dat een bepaald account een bestand heeft geëxporteerd, dat een apparaat op een bepaald tijdstip was verbonden of dat een bericht technisch gezien is verzonden. Hieruit volgt niet automatisch welke natuurlijke persoon de handeling heeft verricht, of de handeling was toegestaan of welke gevolgen dit heeft op het gebied van het arbeidsrecht, het burgerlijk recht of het strafrecht.
LanCologne als onafhankelijke technische ondersteuning voor de juridische afdeling en de directie
LanCologne krijgt geen opdracht om een gewenst resultaat technisch te bevestigen. Wij krijgen de opdracht om een concrete bewijskwestie op basis van de beschikbare digitale sporen objectief te beantwoorden. Het onderzoek moet ook dan nog begrijpelijk blijven wanneer het later kritisch wordt getoetst door een tegenpartij, een rechtbank of een andere gekwalificeerde IT-forensisch expert.
Wettelijk kader
Voor gegevens van werknemers vormt § 26 BDSG een essentieel wettelijk uitgangspunt. § 26, lid 1, BDSG staat de verwerking van persoonsgegevens van werknemers toe voor doeleinden die verband houden met de arbeidsverhouding, onder de daar genoemde voorwaarden. Voor het opsporen van strafbare feiten vereist de bepaling met name aantoonbare feitelijke aanwijzingen, noodzaak en evenredigheid; het beschermingswaardige belang van de werknemer mag niet zwaarder wegen. § 26, lid 6, BDSG laat de inspraakrechten van de belangenvertegenwoordigers onverlet.
Daarnaast gelden de beginselen van de AVG, met name rechtmatigheid, doelbinding en gegevensminimalisatie overeenkomstig artikel 5, alsmede de vereiste van een deugdelijke rechtsgrondslag overeenkomstig artikel 6. Bij bijzondere categorieën persoonsgegevens moet bovendien rekening worden gehouden met artikel 9 AVG en, indien van toepassing, § 26, lid 3, BDSG.
Voor technische voorzieningen die bedoeld zijn om het gedrag of de prestaties van werknemers te controleren, voorziet artikel 87, lid 1, punt 6 van de BetrVG in een medebeslissingsrecht van de ondernemingsraad, voor zover er geen wettelijke of cao-bepalingen bestaan. Voor MDM, EDR, DLP, logging en vergelijkbare systemen moet daarom telkens de concrete invulling worden bekeken.
Bij meldingen op grond van de wet ter bescherming van klokkenluiders is met name § 8 HinSchG van belang. Het vertrouwelijkheidsbeginsel beschermt niet alleen de identiteit van de klokkenluider, maar ook personen die het voorwerp van een melding vormen, en andere in de melding genoemde personen. § 9 HinSchG bevat wettelijke uitzonderingen op het vertrouwelijkheidsbeginsel. § 36 HinSchG verbiedt represailles en bevat onder de daar genoemde voorwaarden een regel inzake de bewijslast.
Wat bedrijfsgeheimen betreft, mag een intern onderzoek een melding niet automatisch als een schending van het bedrijfsgeheim behandelen. § 5 van de Duitse wet op bedrijfsgeheimen (GeschGehG) bevat uitzonderingen op de verboden van § 4, onder meer onder bepaalde voorwaarden voor het aan het licht brengen van onrechtmatige handelingen of beroepsmatig of ander wangedrag, alsmede voor noodzakelijke openbaarmakingen aan werknemersvertegenwoordigingen.
Mocht er later een civiele procedure volgen, dan voorziet het ZPO onder meer in bewijs door bezichtiging; § 371, lid 1, ZPO regelt uitdrukkelijk het geval waarin een elektronisch document het voorwerp van het bewijs vormt. Voor bewijs door deskundigen gelden §§ 402 e.v. ZPO. In een strafzaak bepaalt de rechtbank de omvang van de bewijsvoering volgens het Wetboek van Strafvordering (StPO); met name § 244 StPO regelt het onderzoeksbeginsel en bewijsverzoeken. Deze procesrechtelijke voorschriften maken van een particulier in opdracht opgesteld IT-forensisch rapport echter niet automatisch een gerechtelijk rapport.
LanCologne verleent technische deskundigenadviezen en geen juridisch advies. De concrete toelaatbaarheid van een onderzoeksmaatregel, de arbeidsrechtelijke gevolgen, de procesrechtelijke strategie en de strafrechtelijke beoordeling blijven voorbehouden aan de bevoegde juridische adviseurs, de autoriteiten en de rechtbanken.
Veelgestelde vragen
Gerelateerde onderwerpen
- Hoe kan een intern IT-forensisch onderzoek op een onbevooroordeelde manier worden uitgevoerd?
- Hoe kan een intern onderzoek de vertrouwelijkheid van een klokkenluider technisch waarborgen?
- Hoe moet een bedrijf digitaal bewijsmateriaal veiligstellen na ontvangst van een interne melding?
- IT-forensisch onderzoek voor bedrijven
LanCologne – IT-forensisch onderzoek voor bedrijven
Heeft u een digitale vraag? LanCologne ondersteunt u met een objectief, onbevooroordeeld IT-forensisch onderzoek.
In het kader van dit thema
- Hoe kan een intern onderzoek de vertrouwelijkheid van een klokkenluider technisch waarborgen?
- Hoe kan een bedrijf voorkomen dat een IT-forensisch onderzoek zelf uitmondt in represailles tegen een klokkenluider?
- Hoe kan een onderneming een mogelijk onjuiste interne melding onderzoeken zonder de bescherming van de klokkenluider overhaast terzijde te schuiven?
- Hoe kan een bedrijf bij interne onderzoeken de identiteit van verdachten en andere genoemde personen beschermen?