IT-forensisch onderzoek · Bedrijven

Hoe kan een bedrijf een zakelijke smartphone of tablet forensisch laten onderzoeken?

Dienstliche Smartphones und Tablets enthalten oft entscheidende Belege: geschäftliche Chats, Anrufprotokolle, Standortdaten, Fotos von Dokumenten. Gleichzeitig sind sie häufig auch privat genutzt – die Untersuchung muss beides sauber trennen.

Vrijblijvend informeren

Waarom deze vraag belangrijk is voor een bedrijf

Bij interne incidenten kunnen economische belangen, het veiligstellen van bewijsmateriaal en de rechten van werknemers tegelijkertijd in het geding zijn. Een technisch breed onderzoek is daarom niet automatisch een goed onderzoek. Doorslaggevend zijn een duidelijk omschreven bewijsvraag en een begrijpelijk afgebakende reikwijdte van het onderzoek.

Technische achtergrond

Ein MDM-System kann Gerätezustand und Apps verwalten, liefert aber in der Regel keine forensisch vollständige Sicherung. Die mögliche Sicherungstiefe hängt von Modell, Betriebssystemversion und Sperrstatus ab. Wird ein Gerät per MDM gelöscht oder zurückgesetzt, sind die Daten meist verloren.

Relevante Spuren und Datenquellen

  • Messenger-Datenbanken (z. B. WhatsApp, Teams, Signal – soweit verfügbar)
  • Anruflisten, SMS, Kontakte, Kalender
  • Standortdaten und Fotos mit Metadaten
  • iOS KnowledgeC/Biome bzw. Android UsageStats (Gerätenutzung)
  • MDM-Protokolle (Zuweisung, Wipes, Profile)

Grenzen

  • Gesperrte Geräte ohne Code können nur eingeschränkt gesichert werden.
  • Ende-zu-Ende-verschlüsselte Messenger sind nur auf dem Gerät selbst auswertbar.

Mogelijke resultaten

  • Relevante Kommunikation und Aktivitäten im Zeitraum
  • Nachweis von Löschungen oder Zurücksetzungen

Waarom LanCologne?

Bij interne onderzoeken komen verschillende belangen rechtstreeks met elkaar in conflict: de onderneming moet haar systemen, gegevens, bedrijfsgeheimen en economische belangen kunnen beschermen. Tegelijkertijd moet rekening worden gehouden met de bescherming van de persoonsgegevens van werknemers, het evenredigheidsbeginsel, medezeggenschap en, indien van toepassing, de privacy van werknemers.

Zo gaan we te werk

  • Gerät nicht zurücksetzen oder per MDM löschen; Akku und Flugmodus beachten.
  • Festlegung des Umfangs (dienstliche Daten, Zeitraum) mit Rechtsberatung.
  • Sicherung in der technisch möglichen Tiefe und gefilterte Auswertung.

Geen voorbarige veroordeling van werknemers

Een intern vermoeden wordt niet zomaar als onderzoeksresultaat aangemerkt. We gaan na welke technische feiten het vermoeden ondersteunen, welke het tegenspreken en welke alternatieve verklaringen er zijn. Ook een voor het bedrijf ongunstig of ontlastend resultaat wordt volledig gedocumenteerd.

Begrijpelijk voor het management en de juridische afdeling – reproduceerbaar voor forensische deskundigen

In het hoofdgedeelte wordt de kernboodschap uitgelegd zonder onnodig vakjargon. Het technische gedeelte documenteert gegevensbronnen, back-upstatussen, identificatiecodes, integriteitsinformatie, tijdsaanduidingen, vindplaatsen van artefacten en validatiestappen. Hierdoor blijft het onderzoek traceerbaar voor een latere technische controle.

LanCologne als onafhankelijke technische ondersteuning voor bedrijven

Wanneer een intern incident technisch moet worden opgehelderd, biedt LanCologne ondersteuning in de vorm van een objectief, onbevooroordeeld en transparant IT-forensisch onderzoek. Niet een gewenst resultaat is bepalend, maar uitsluitend wat er binnen het toegestane onderzoeksraamwerk daadwerkelijk aan de hand van de digitale sporen kan worden aangetoond.

Wettelijk kader

Wat betreft gegevens van werknemers moet in Duitsland met name § 26 BDSG in acht worden genomen. Persoonsgegevens van werknemers mogen worden verwerkt ten behoeve van de arbeidsverhouding, indien dit noodzakelijk is voor de daar genoemde doeleinden. Voor het opsporen van strafbare feiten bevat § 26, lid 1, BDSG bijzondere voorwaarden: Er moeten gedocumenteerde feitelijke aanwijzingen zijn die het vermoeden rechtvaardigen dat de betrokkene in het kader van de arbeidsverhouding een strafbaar feit heeft gepleegd; de verwerking moet noodzakelijk zijn voor de opsporing en het beschermingswaardige belang van de werknemer mag niet zwaarder wegen. Met name mogen de aard en de omvang ervan niet onevenredig zijn.

Daarnaast gelden de algemene beginselen van de AVG. Artikel 5 van de AVG schrijft onder meer rechtmatigheid, doelbinding en gegevensminimalisatie voor. Artikel 6 van de AVG vereist een deugdelijke rechtsgrondslag voor de verwerking. Een technisch mogelijke analyse is daarom niet automatisch een juridisch toegestane analyse.

Wat technische voorzieningen betreft, kan bovendien § 87, lid 1, nr. 6 van de BetrVG van toepassing zijn. Volgens deze bepaling heeft de ondernemingsraad, voor zover er geen wettelijke of cao-bepaling bestaat, medezeggenschap bij de invoering en toepassing van technische voorzieningen die bedoeld zijn om het gedrag of de prestaties van de werknemers te controleren. Afhankelijk van de uitwerking kan dit bijvoorbeeld relevant zijn bij MDM-, EDR-, DLP-, logging- of andere monitoringsystemen.

§ 26, lid 6, van de BDSG stelt uitdrukkelijk dat de inspraakrechten van de werknemersvertegenwoordigingen onaangetast blijven. De concrete toelaatbaarheid van een onderzoeksmaatregel op grond van het arbeidsrecht en het bedrijfsbestuursrecht moet daarom, indien deze betrekking heeft op werknemers, vóór de uitvoering ervan worden afgestemd met de bevoegde juridische adviseurs en, indien van toepassing, met de daarvoor aangewezen bedrijfsinstanties.

LanCologne vormt geen vervanging voor dit juridisch onderzoek. Het is onze taak om, nadat het toegestane onderzoeksbereik is vastgesteld, de technische bewijskwestie op een begrijpelijke, evenredige en onbevooroordeelde manier te onderzoeken.

Veelgestelde vragen

Mag een bedrijfsapparaat automatisch volledig worden geanalyseerd omdat het eigendom is van het bedrijf?+
Niet automatisch. Het eigendom van het apparaat en de toelaatbaarheid van de verwerking van persoonsgegevens van werknemers zijn twee verschillende kwesties. Er moet rekening worden gehouden met het doel, de rechtsgrondslag, de noodzaak en de evenredigheid.
Mogen gegevens uit Mobile Device Management (MDM) zonder beperkingen worden gebruikt voor een intern onderzoek?+
MDM-gegevens kunnen technisch gezien waardevolle informatie opleveren. Welke gegevens daadwerkelijk beschikbaar zijn en of ze voor het betreffende onderzoek mogen worden gebruikt, moet echter telkens opnieuw worden gecontroleerd.
Wordt er bij een intern IT-forensisch onderzoek specifiek gezocht naar belastende bevindingen tegen een bepaalde medewerker?+
Nee. We beantwoorden een concrete technische bewijskwestie zonder vooringenomenheid. Zowel ontlastende bevindingen als gangbare technische verklaringen worden volgens dezelfde maatstaf gedocumenteerd.
Wat gebeurt er als een handeling niet met zekerheid aan een bepaalde persoon kan worden toegeschreven?+
Dan wordt de uitspraak dienovereenkomstig beperkt. Een gebruikersaccount, apparaat of sessie mag niet zonder voldoende aanknopingspunten met een natuurlijke persoon worden gelijkgesteld.
Brauchen Sie den Entsperrcode?+
In der Regel ja. Ohne Code ist die Sicherung stark eingeschränkt.
Was ist mit privaten Daten auf dem Gerät?+
Sie werden, soweit möglich, ausgeklammert. Den Umfang legen Sie mit Ihrer Rechtsberatung fest.
Reicht ein iCloud-Backup?+
Es kann helfen, ist aber nicht immer vollständig und nicht immer aktuell.

Gerelateerde onderwerpen

LanCologne – IT-forensisch onderzoek voor bedrijven

Heeft u een digitale vraag? LanCologne ondersteunt u met een objectief, onbevooroordeeld IT-forensisch onderzoek.

Nu contact opnemen