IT-forensisch onderzoek · Bedrijven

Hoe kan een bedrijf laten controleren of er gegevens via privé-e-mailadressen zijn verzonden?

Bedrijfsbestanden kunnen als bijlage of via deelbare links naar privéadressen zijn verzonden.

Vrijblijvend informeren

Waarom deze vraag belangrijk is voor een bedrijf

Bij mogelijke gegevenslekken staan vaak aanzienlijke economische waarden, klantrelaties, ontwikkelingskennis of concurrentievoordelen op het spel. Een degelijk onderzoek moet daarom nauwkeurig vaststellen welke gegevensoverdracht daadwerkelijk heeft plaatsgevonden, zonder op basis van een vermoeden al meteen een inbreuk op de wet te concluderen.

Technische onderzoeksaanpak

We onderzoeken op gerichte wijze de rechtmatig beschikbare bedrijfsmail-, endpoint-, proxy-, browser- en bestandsgegevens in het licht van de concrete bewijskwestie.

Waar de grens van de uitspraak ligt

Privé-communicatie is bijzonder gevoelig. Het onderzoek moet beperkt blijven tot de noodzakelijke gegevens en een solide juridisch kader.

Waarom LanCologne?

Het vermoeden van het meenemen van gegevens of het verlies van vertrouwelijke bedrijfsinformatie kan aanzienlijke economische en juridische gevolgen hebben. Juist daarom mag het onderzoek niet beginnen met het gewenste resultaat.

LanCologne vertaalt de feiten eerst naar concrete technische bewijskwesties: om welke bestanden of gegevensbestanden gaat het? Zijn deze daadwerkelijk geopend, gekopieerd, geëxporteerd, gearchiveerd of overgedragen? Welk technisch overdrachtspad is aantoonbaar? Wanneer vond dit plaats? Welke apparaat-, account- of sessiecontext is aantoonbaar?

Daarbij maken we een strikt onderscheid tussen toegangsmogelijkheid, daadwerkelijke toegang, het kopiëren en een geslaagde overdracht. Deze begrippen worden in de praktijk vaak door elkaar gehaald, hoewel ze technisch gezien verschillende situaties beschrijven.

Belangrijke bevindingen worden zoveel mogelijk getoetst aan primaire gegevens en vergeleken met onafhankelijke bronnen. Een geautomatiseerd alarm, een toolrapport of een enkel tijdstempel wordt niet zonder meer als bewijs aangenomen.

Ook worden gangbare alternatieve verklaringen onderzocht. Overdrachtsprocessen, projectarchieven, back-ups, synchronisatie, software-updates of toegestaan cloudgebruik kunnen sporen achterlaten die zonder context verdacht overkomen. Pas wanneer dergelijke verklaringen aan de hand van de gegevens zijn uitgesloten, is een betrouwbare technische beoordeling mogelijk.

Voor LanCologne geldt ook dat een negatieve bevinding een volledig onderzoeksresultaat is. Als een beweerde gegevensoverdracht niet kan worden bevestigd, wordt dit net zo goed gedocumenteerd als een aantoonbare overdracht.

Onze werkwijze

Een bedrijfsgeheim is een juridische kwalificatie – gegevensverkeer is een technische bewijskwestie

We kunnen vaststellen of in kaart brengen welke bestanden aanwezig waren, welke technische beveiligingsmaatregelen er waren en welke handelingen op het gebied van toegang, kopiëren of overdracht aantoonbaar zijn. Of de betreffende informatie voldoet aan de voorwaarden voor een bedrijfsgeheim en of een handeling onbevoegd of onrechtmatig was, wordt daarvan losstaand juridisch beoordeeld.

Geen voorbarige oordelen – ook niet bij opvallende transferpatronen

Een ongewoon groot aantal bestandstoegangen, het gebruik van een USB-aansluiting of het inloggen op de cloud kan aanleiding geven tot nader onderzoek, maar leidt nog niet tot een definitieve conclusie. Ook alternatieve werkprocessen worden onderzocht. Wanneer er meerdere verklaringen mogelijk blijven, wordt deze onzekerheid niet vervangen door een veronderstelling.

Waarom LanCologne bij het meenemen van gegevens en bedrijfsgeheimen?

LanCologne voert geen onderzoek uit om een vooraf bestaand vermoeden te bevestigen. Wij geven antwoord op de concrete technische bewijskwestie, documenteren de onderliggende primaire gegevens en geven eveneens duidelijk aan wat niet kan worden bewezen. Hierdoor krijgen het management en de juridische afdeling een feitelijke basis die ook een latere deskundige toetsing kan doorstaan.

Wat werknemers betreft, blijft § 26 BDSG een belangrijk uitgangspunt. Voor het opsporen van strafbare feiten vereist § 26, lid 1, BDSG onder meer aantoonbare feitelijke aanwijzingen, noodzakelijkheid en evenredigheid; het beschermingswaardige belang van de werknemer mag niet zwaarder wegen. Daarnaast gelden de beginselen van de AVG, in het bijzonder rechtmatigheid, doelbinding en gegevensminimalisatie.

De GeschGehG is van cruciaal belang voor bedrijfsgeheimen. Volgens § 2, nr. 1 van de GeschGehG volstaat niet elke vertrouwelijke informatie: de informatie moet onder andere economische waarde hebben, omdat deze niet algemeen bekend of zonder meer toegankelijk is, onderworpen zijn aan geheimhoudingsmaatregelen die gezien de omstandigheden redelijk zijn, en er moet een gerechtvaardigd belang bij geheimhouding bestaan.

§ 4 van de GeschGehG verbiedt onder bepaalde voorwaarden onder meer de onbevoegde toegang tot, de onbevoegde toe-eigening of het onbevoegd kopiëren van elektronische bestanden die een bedrijfsgeheim bevatten of waaruit dit kan worden afgeleid. Ook het gebruik en de openbaarmaking kunnen verboden zijn. Of een technisch aangetoonde handeling voldoet aan de juridische kenmerken van het strafbare feit, wordt niet bepaald door de IT-forensisch expert.

De wet op de bescherming van klokkenluiders (GeschGehG) bevat bovendien uitzonderingen. § 5 noemt met name bepaalde handelingen ter bescherming van gerechtvaardigde belangen, waaronder – onder bepaalde voorwaarden – het aan het licht brengen van onrechtmatige handelingen of beroepsmatig of ander wangedrag. Daarnaast kan de wet ter bescherming van klokkenluiders van toepassing zijn. § 6 HinSchG regelt onder bepaalde voorwaarden de doorgifte of openbaarmaking van bedrijfsgeheimen in het kader van beschermde meldingen. Een vermoeden van gegevenslek mag daarom niet automatisch worden gelijkgesteld met een onrechtmatige schending van het geheim.

De GeschGehG voorziet bij vastgestelde inbreuken op de wet in mogelijke civielrechtelijke vorderingen, waaronder het staken en ongedaan maken van de inbreuk (§ 6), verdere maatregelen overeenkomstig § 7, bepaalde rechten op informatie overeenkomstig § 8 en schadevergoeding overeenkomstig § 10. Welke vorderingen in een concreet geval bestaan, moet juridisch worden onderzocht. De IT-forensiek levert hiervoor slechts de technische feitelijke basis.

Voor zover er technische voorzieningen worden ingezet voor het toezicht op medewerkers, kunnen bovendien de inspraakrechten van de ondernemingsraad, met name op grond van § 87, lid 1, nr. 6 van de BetrVG, van belang zijn. De concrete toelaatbaarheid wordt vóór het onderzoek door de bevoegde bedrijfs- en juridische instanties vastgesteld.

Veelgestelde vragen

🔗 Gerelateerde onderwerpen