IT-forensisch onderzoek · Bedrijven

Wie kann ein Unternehmen den Verdacht auf Löschung oder Vernichtung geschäftsrelevanter Daten untersuchen?

Gelöschte Dateien oder Datensätze können erhebliche betriebliche oder rechtliche Bedeutung haben. Gleichzeitig entstehen Löschungen auch durch Retention und reguläre Prozesse.

Vrijblijvend informeren

Waarom deze vraag belangrijk is voor een bedrijf

Interne onderzoeken kunnen aanzienlijke economische, personele en juridische gevolgen hebben. Juist daarom moet eerst worden verduidelijkt welk concreet technisch feit moet worden bewezen of weerlegd. Een zo groot mogelijke hoeveelheid gegevens is geen kwaliteitskenmerk; doorslaggevend is een doelmatig, beperkt en traceerbaar onderzoek.

Technische onderzoeksaanpak

Wir prüfen Dateisystem-, Datenbank-, Backup-, Cloud- und Auditspuren und versuchen, Löschzeitpunkt, Umfang und technischen Kontext zu rekonstruieren.

Waar de grens van de uitspraak ligt

Aus dem Fehlen von Daten darf nicht ohne weitere Befunde auf eine absichtliche Beweisvernichtung geschlossen werden.

Waarom LanCologne?

Interne onderzoeken zijn bijzonder gevoelig, omdat ze tegelijkertijd betrekking kunnen hebben op de economische belangen van de onderneming, de persoonlijkheidsrechten van werknemers, gegevensbescherming, medezeggenschap binnen de onderneming en mogelijke latere gerechtelijke procedures.

LanCologne begint daarom niet met een zo uitgebreid mogelijk onderzoek van de IT. Het uitgangspunt is een duidelijk geformuleerde technische bewijsvraag. Daaruit worden de benodigde gegevensbronnen, tijdsperioden en onderzoeksstappen afgeleid. Technische toegankelijkheid en juridische toelaatbaarheid worden bewust van elkaar gescheiden.

Het onderzoek blijft open. Een vermoeden wordt niet bevestigd alleen omdat het aannemelijk klinkt. Belastende, ontlastende en tegenstrijdige sporen worden volgens dezelfde professionele maatstaf onderzocht. Wanneer er meerdere technische verklaringen mogelijk zijn, worden deze genoemd en, voor zover mogelijk, tegen elkaar afgewogen.

Geautomatiseerde rapporten, EDR-waarschuwingen, DLP-treffers of resultaten van forensische software worden niet zonder meer als bewijs aanvaard. Belangrijke bevindingen worden zoveel mogelijk getoetst aan primaire gegevens en gecorreleerd met onafhankelijke artefacten.

Met het oog op een latere vaktechnische controle leggen we niet alleen het resultaat vast, maar ook de manier waarop dit tot stand is gekomen. Het begrijpelijke hoofdgedeelte is bedoeld voor de directie en de juridische afdeling; dankzij een technische bijlage kan een gekwalificeerde externe forensisch deskundige de belangrijkste bevindingen nagaan.

Onze werkwijze

1De aanleiding voor het onderzoek en de concrete bewijskwestie vaststellen.

2De bevoegdheid, de rechtsgrondslag en, indien van toepassing, de inspraakrechten moeten vooraf worden verduidelijkt.

3Beperk het aantal personen, systemen, accounts, tijd en gegevens tot het strikt noodzakelijke.

4Gegevens die vergankelijk zijn of het risico lopen te verdwijnen, tijdig bewaren.

5Houd op organisatorisch en technisch vlak rekening met vertrouwelijkheid en het ‘need-to-know’-principe.

6Scheid de originele gegevens van de geschikte back-ups van de werkkopieën.

7De integriteit, herkomst en het tijdstip van beveiliging op een traceerbare manier documenteren.

8Productwaarschuwingen en tooluitvoer valideren aan de hand van primaire gegevens.

9Toewijzing aan accounts, apparaten, sessies en personen mogen niet over één kam worden geschoren.

10Onderzoek belastende, ontlastende en alternatieve verklaringen op gelijke voet.

11Technische vaststellingen scheiden van juridische conclusies.

12Het hoofdverslag op een begrijpelijke manier opstellen en de technische bijlage op een reproduceerbare manier opstellen.

Geen voorbarige veroordeling – ook als er intern al een sterk vermoeden bestaat

Een bedrijf kan om organisatorische of juridische redenen al een duidelijk vermoeden hebben. De uitkomst van het technisch onderzoek blijft echter nog onzeker. We documenteren ook bevindingen die het vermoeden tegenspreken en vermelden uitdrukkelijk wanneer een beweerde handeling op basis van de verkregen gegevens niet kan worden bewezen.

De technische bevindingen en de juridische beoordeling blijven gescheiden

IT-forensisch onderzoek kan bijvoorbeeld vaststellen dat een bepaald account een bestand heeft geëxporteerd, dat een apparaat op een bepaald tijdstip was verbonden of dat een bericht technisch gezien is verzonden. Hieruit volgt niet automatisch welke natuurlijke persoon de handeling heeft verricht, of de handeling was toegestaan of welke gevolgen dit heeft op het gebied van het arbeidsrecht, het burgerlijk recht of het strafrecht.

LanCologne als onafhankelijke technische ondersteuning voor de juridische afdeling en de directie

LanCologne krijgt geen opdracht om een gewenst resultaat technisch te bevestigen. Wij krijgen de opdracht om een concrete bewijskwestie op basis van de beschikbare digitale sporen objectief te beantwoorden. Het onderzoek moet ook dan nog begrijpelijk blijven wanneer het later kritisch wordt getoetst door een tegenpartij, een rechtbank of een andere gekwalificeerde IT-forensisch expert.

Wettelijk kader

Daarnaast gelden de beginselen van de AVG, met name rechtmatigheid, doelbinding en gegevensminimalisatie overeenkomstig artikel 5, alsmede de vereiste van een deugdelijke rechtsgrondslag overeenkomstig artikel 6. Bij bijzondere categorieën persoonsgegevens moet bovendien rekening worden gehouden met artikel 9 AVG en, indien van toepassing, § 26, lid 3, BDSG.

Voor technische voorzieningen die bedoeld zijn om het gedrag of de prestaties van werknemers te controleren, voorziet artikel 87, lid 1, punt 6 van de BetrVG in een medebeslissingsrecht van de ondernemingsraad, voor zover er geen wettelijke of cao-bepalingen bestaan. Voor MDM, EDR, DLP, logging en vergelijkbare systemen moet daarom telkens de concrete invulling worden bekeken.

Bij meldingen op grond van de wet ter bescherming van klokkenluiders is met name § 8 HinSchG van belang. Het vertrouwelijkheidsbeginsel beschermt niet alleen de identiteit van de klokkenluider, maar ook personen die het voorwerp van een melding vormen, en andere in de melding genoemde personen. § 9 HinSchG bevat wettelijke uitzonderingen op het vertrouwelijkheidsbeginsel. § 36 HinSchG verbiedt represailles en bevat onder de daar genoemde voorwaarden een regel inzake de bewijslast.

Wat bedrijfsgeheimen betreft, mag een intern onderzoek een melding niet automatisch als een schending van het bedrijfsgeheim behandelen. § 5 van de Duitse wet op bedrijfsgeheimen (GeschGehG) bevat uitzonderingen op de verboden van § 4, onder meer onder bepaalde voorwaarden voor het aan het licht brengen van onrechtmatige handelingen of beroepsmatig of ander wangedrag, alsmede voor noodzakelijke openbaarmakingen aan werknemersvertegenwoordigingen.

Mocht er later een civiele procedure volgen, dan voorziet het ZPO onder meer in bewijs door bezichtiging; § 371, lid 1, ZPO regelt uitdrukkelijk het geval waarin een elektronisch document het voorwerp van het bewijs vormt. Voor bewijs door deskundigen gelden §§ 402 e.v. ZPO. In een strafzaak bepaalt de rechtbank de omvang van de bewijsvoering volgens het Wetboek van Strafvordering (StPO); met name § 244 StPO regelt het onderzoeksbeginsel en bewijsverzoeken. Deze procesrechtelijke voorschriften maken van een particulier in opdracht opgesteld IT-forensisch rapport echter niet automatisch een gerechtelijk rapport.

LanCologne verleent technische deskundigenadviezen en geen juridisch advies. De concrete toelaatbaarheid van een onderzoeksmaatregel, de arbeidsrechtelijke gevolgen, de procesrechtelijke strategie en de strafrechtelijke beoordeling blijven voorbehouden aan de bevoegde juridische adviseurs, de autoriteiten en de rechtbanken.

Veelgestelde vragen

Wie kann ein Unternehmen den Verdacht auf Löschung oder Vernichtung geschäftsrelevanter Daten untersuchen?

Hoe verloopt zo’n technisch onderzoek in de praktijk?

Wir prüfen Dateisystem-, Datenbank-, Backup-, Cloud- und Auditspuren und versuchen, Löschzeitpunkt, Umfang und technischen Kontext zu rekonstruieren.

Levert het onderzoek altijd een eenduidig resultaat op ten nadele of ten gunste van een betrokken persoon?

Aus dem Fehlen von Daten darf nicht ohne weitere Befunde auf eine absichtliche Beweisvernichtung geschlossen werden.

Is daar een wettelijke grondslag voor?

Voor gegevens van werknemers vormt § 26 BDSG een essentieel wettelijk uitgangspunt. § 26, lid 1, BDSG staat de verwerking van persoonsgegevens van werknemers toe voor doeleinden die verband houden met de arbeidsverhouding, onder de daar genoemde voorwaarden. Voor het opsporen van strafbare feiten vereist de bepaling met name aantoonbare feitelijke aanwijzingen, noodzaak en evenredigheid; het beschermingswaardige belang van de werknemer mag niet zwaarder wegen. § 26, lid 6, BDSG laat de inspraakrechten van de belangenvertegenwoordigers onverlet.
Daarnaast gelden de beginselen van de AVG, met name rechtmatigheid, doelbinding en gegevensminimalisatie overeenkomstig artikel 5, alsmede de vereiste van een deugdelijke rechtsgrondslag overeenkomstig artikel 6. Bij bijzondere categorieën persoonsgegevens moet bovendien rekening worden gehouden met artikel 9 AVG en, indien van toepassing, § 26, lid 3, BDSG.
Voor technische voorzieningen die bedoeld zijn om het gedrag of de prestaties van werknemers te controleren, voorziet artikel 87, lid 1, punt 6 van de BetrVG in een medebeslissingsrecht van de ondernemingsraad, voor zover er geen wettelijke of cao-bepalingen bestaan. Voor MDM, EDR, DLP, logging en vergelijkbare systemen moet daarom telkens de concrete invulling worden bekeken.
Bij meldingen op grond van de wet ter bescherming van klokkenluiders is met name § 8 HinSchG van belang. Het vertrouwelijkheidsbeginsel beschermt niet alleen de identiteit van de klokkenluider, maar ook personen die het voorwerp van een melding vormen, en andere in de melding genoemde personen. § 9 HinSchG bevat wettelijke uitzonderingen op het vertrouwelijkheidsbeginsel. § 36 HinSchG verbiedt represailles en bevat onder de daar genoemde voorwaarden een regel inzake de bewijslast.
Wat bedrijfsgeheimen betreft, mag een intern onderzoek een melding niet automatisch als een schending van het bedrijfsgeheim behandelen. § 5 van de Duitse wet op bedrijfsgeheimen (GeschGehG) bevat uitzonderingen op de verboden van § 4, onder meer onder bepaalde voorwaarden voor het aan het licht brengen van onrechtmatige handelingen of beroepsmatig of ander wangedrag, alsmede voor noodzakelijke openbaarmakingen aan werknemersvertegenwoordigingen.
Mocht er later een civiele procedure volgen, dan voorziet het ZPO onder meer in bewijs door bezichtiging; § 371, lid 1, ZPO regelt uitdrukkelijk het geval waarin een elektronisch document het voorwerp van het bewijs vormt. Voor bewijs door deskundigen gelden §§ 402 e.v. ZPO. In een strafzaak bepaalt de rechtbank de omvang van de bewijsvoering volgens het Wetboek van Strafvordering (StPO); met name § 244 StPO regelt het onderzoeksbeginsel en bewijsverzoeken. Deze procesrechtelijke voorschriften maken van een particulier in opdracht opgesteld IT-forensisch rapport echter niet automatisch een gerechtelijk rapport.
LanCologne verleent technische deskundigenadviezen en geen juridisch advies. De concrete toelaatbaarheid van een onderzoeksmaatregel, de arbeidsrechtelijke gevolgen, de procesrechtelijke strategie en de strafrechtelijke beoordeling blijven voorbehouden aan de bevoegde juridische adviseurs, de autoriteiten en de rechtbanken.