IT-Forensik · Unternehmen

Jak firma powinna postępować z punktu widzenia kryminalistyki informatycznej w przypadku pierwszych podejrzeń o wewnętrzny incydent informatyczny?

Ein erster Verdacht ist noch kein Beweis. Gerade bei möglichen Mitarbeiterhandlungen muss ein Unternehmen technische Aufklärung, Beweiserhalt, Datenschutz und arbeitsrechtliche Grenzen von Beginn an zusammen denken.

Wysyłaj zapytanie bez zobowiązań

Warum diese Frage für ein Unternehmen wichtig ist

Bei internen Vorfällen können wirtschaftliche Interessen, Beweiserhalt und Beschäftigtenrechte gleichzeitig betroffen sein. Eine technisch breite Untersuchung ist deshalb nicht automatisch eine gute Untersuchung. Entscheidend ist eine klar definierte Beweisfrage und ein nachvollziehbar begrenzter Untersuchungsumfang.

Podejście badawcze o charakterze technicznym

Wir definieren zunächst die konkrete Beweisfrage, sichern flüchtige und veränderliche Daten soweit erforderlich und grenzen anschließend die Untersuchung auf die tatsächlich relevanten Systeme, Accounts und Zeiträume ein.

Gdzie leży granica możliwości wypowiedzi

LanCologne untersucht keine Person ‚auf Verdacht‘. Technische Maßnahmen müssen auf einen zulässigen Zweck, eine geeignete Rechtsgrundlage und einen verhältnismäßigen Untersuchungsumfang gestützt werden.

Dlaczego LanCologne?

Bei internen Untersuchungen treffen mehrere Interessen unmittelbar aufeinander: Das Unternehmen muss seine Systeme, Daten, Geschäftsgeheimnisse und wirtschaftlichen Interessen schützen können. Gleichzeitig bleiben Beschäftigtendatenschutz, Verhältnismäßigkeit, Mitbestimmung und gegebenenfalls private Datenbereiche zu beachten.

LanCologne beginnt deshalb nicht mit einer möglichst umfassenden Datensammlung. Ausgangspunkt ist die konkrete technische Beweisfrage. Erst danach wird festgelegt, welche Geräte, Accounts, Zeiträume und Datenarten tatsächlich benötigt werden. Dadurch lässt sich eine Untersuchung häufig wesentlich präziser durchführen als durch eine pauschale Vollauswertung.

Technische Verfügbarkeit und rechtliche Zulässigkeit werden bewusst getrennt. Dass ein Administrator, MDM-System oder Cloudtenant technisch Zugriff auf bestimmte Informationen ermöglicht, beantwortet noch nicht die Frage, ob diese Informationen für den konkreten Zweck verarbeitet werden dürfen.

Entscheidende Befunde werden soweit erforderlich an Primärdaten validiert. Automatisierte Reports und Forensiksoftware sind Hilfsmittel; sie ersetzen nicht die fachliche Interpretation der zugrunde liegenden Artefakte. Alternative technische Erklärungen werden mitgeprüft.

Ebenso wichtig: Eine interne Untersuchung muss entlastende Tatsachen genauso ernst nehmen wie belastende. Ergibt die Analyse, dass ein Verdacht technisch nicht bestätigt werden kann oder ein auffälliges Ereignis durch einen regulären Systemprozess erklärt wird, gehört genau dies in den Befund.

Nasze podejście do pracy

1Konkreten Anlass und technische Beweisfrage definieren.
2Rechtsgrundlage und interne Zuständigkeiten durch Unternehmen beziehungsweise Rechtsberatung klären.
3Erforderliche Systeme, Accounts, Datenarten und Zeiträume begrenzen.
4Beweiserhalt priorisieren und veränderliche Daten dokumentieren.
5Geräte- und Datenidentität sowie Sicherungszustand nachvollziehbar festhalten.
6Primärdaten von Reports und Benutzeroberflächeninterpretationen trennen.
7Mitarbeiter-, Geräte-, Account- und Sessionzuordnung nicht miteinander gleichsetzen.
8Reguläre Systemprozesse und alternative Erklärungen mitprüfen.
9Belastende, entlastende und offene Befunde gleichwertig dokumentieren.
10Untersuchungsumfang nur bei neuen belastbaren Anknüpfungstatsachen erweitern.
11Technischen Bericht verständlich und reproduzierbar erstellen.
12Arbeits-, datenschutz-, zivil- und strafrechtliche Schlussfolgerungen der zuständigen Rechtsberatung überlassen.

Keine Vorverurteilung von Beschäftigten

Ein interner Verdacht wird nicht zum Untersuchungsergebnis erklärt. Wir prüfen, welche technischen Tatsachen ihn stützen, welche ihm widersprechen und welche alternativen Erklärungen bestehen. Auch ein für das Unternehmen ungünstiges oder entlastendes Ergebnis wird vollständig dokumentiert.

Verständlich für Geschäftsführung und Rechtsabteilung – reproduzierbar für Forensiker

Der Hauptteil erläutert die Kernaussage ohne unnötige Fachsprache. Der technische Teil dokumentiert Datenquellen, Sicherungszustände, Identifikatoren, Integritätsinformationen, Zeitbezüge, Artefaktfundstellen und Validierungsschritte. Dadurch bleibt die Untersuchung für eine spätere fachliche Gegenprüfung nachvollziehbar.

LanCologne als unabhängige technische Unterstützung für Unternehmen

Wenn ein interner Vorfall technisch aufgeklärt werden muss, unterstützt LanCologne mit einer sachlichen, ergebnisoffenen und nachvollziehbaren IT-forensischen Untersuchung. Maßgeblich ist nicht ein gewünschtes Ergebnis, sondern ausschließlich, was sich innerhalb des zulässigen Untersuchungsrahmens anhand der digitalen Spuren tatsächlich belegen lässt.

Ramy prawne

Für Beschäftigtendaten ist in Deutschland insbesondere § 26 BDSG zu beachten. Personenbezogene Daten von Beschäftigten dürfen für Zwecke des Beschäftigungsverhältnisses verarbeitet werden, wenn dies für die dort genannten Zwecke erforderlich ist. Zur Aufdeckung von Straftaten enthält § 26 Abs. 1 BDSG besondere Voraussetzungen: Es müssen zu dokumentierende tatsächliche Anhaltspunkte den Verdacht begründen, dass die betroffene Person im Beschäftigungsverhältnis eine Straftat begangen hat; die Verarbeitung muss zur Aufdeckung erforderlich sein und das schutzwürdige Interesse des Beschäftigten darf nicht überwiegen. Art und Ausmaß dürfen insbesondere nicht unverhältnismäßig sein.

Daneben gelten die allgemeinen Grundsätze der DSGVO. Art. 5 DSGVO verlangt unter anderem Rechtmäßigkeit, Zweckbindung und Datenminimierung. Art. 6 DSGVO verlangt eine tragfähige Rechtsgrundlage für die Verarbeitung. Eine technisch mögliche Auswertung ist deshalb nicht automatisch eine rechtlich zulässige Auswertung.

Bei technischen Einrichtungen kann außerdem § 87 Abs. 1 Nr. 6 BetrVG relevant sein. Danach hat der Betriebsrat, soweit keine gesetzliche oder tarifliche Regelung besteht, bei Einführung und Anwendung technischer Einrichtungen mitzubestimmen, die dazu bestimmt sind, Verhalten oder Leistung der Arbeitnehmer zu überwachen. Dies kann je nach Ausgestaltung beispielsweise bei MDM-, EDR-, DLP-, Logging- oder anderen Monitoring-Systemen relevant werden.

§ 26 Abs. 6 BDSG stellt ausdrücklich klar, dass Beteiligungsrechte der Interessenvertretungen der Beschäftigten unberührt bleiben. Die konkrete arbeits- und betriebsverfassungsrechtliche Zulässigkeit einer Untersuchungsmaßnahme sollte deshalb bei Mitarbeiterbezug vor Durchführung mit der zuständigen Rechtsberatung und gegebenenfalls den vorgesehenen betrieblichen Stellen geklärt werden.

LanCologne ersetzt diese juristische Prüfung nicht. Unsere Aufgabe ist es, nach Festlegung des zulässigen Untersuchungsrahmens die technische Beweisfrage nachvollziehbar, verhältnismäßig und ergebnisoffen zu untersuchen.

Najczęściej zadawane pytania

Jak firma powinna postępować z punktu widzenia kryminalistyki informatycznej w przypadku pierwszych podejrzeń o wewnętrzny incydent informatyczny?+
Bei internen Vorfällen können wirtschaftliche Interessen, Beweiserhalt und Beschäftigtenrechte gleichzeitig betroffen sein. Eine technisch breite Untersuchung ist deshalb nicht automatisch eine gute Untersuchung. Entscheidend ist eine klar definierte Beweisfrage und ein nachvollziehbar begrenzter Untersuchungsumfang.
Wie geht eine solche technische Untersuchung in der Praxis vor?+
Wir definieren zunächst die konkrete Beweisfrage, sichern flüchtige und veränderliche Daten soweit erforderlich und grenzen anschließend die Untersuchung auf die tatsächlich relevanten Systeme, Accounts und Zeiträume ein.
Liefert die Untersuchung immer ein eindeutiges Ergebnis zulasten oder zugunsten einer beteiligten Person?+
LanCologne untersucht keine Person ‚auf Verdacht‘. Technische Maßnahmen müssen auf einen zulässigen Zweck, eine geeignete Rechtsgrundlage und einen verhältnismäßigen Untersuchungsumfang gestützt werden.
Gibt es dafür eine gesetzliche Grundlage?+
Für Beschäftigtendaten ist in Deutschland insbesondere § 26 BDSG zu beachten. Personenbezogene Daten von Beschäftigten dürfen für Zwecke des Beschäftigungsverhältnisses verarbeitet werden, wenn dies für die dort genannten Zwecke erforderlich ist. Zur Aufdeckung von Straftaten enthält § 26 Abs. 1 BDSG besondere Voraussetzungen: Es müssen zu dokumentierende tatsächliche Anhaltspunkte den Verdacht begründen, dass die betroffene Person im Beschäftigungsverhältnis eine Straftat begangen hat; die Verarbeitung muss zur Aufdeckung erforderlich sein und das schutzwürdige Interesse des Beschäftigten darf nicht überwiegen. Art und Ausmaß dürfen insbesondere nicht unverhältnismäßig sein. Daneben gelten die allgemeinen Grundsätze der DSGVO. Art. 5 DSGVO verlangt unter anderem Rechtmäßigkeit, Zweckbindung und Datenminimierung. Art. 6 DSGVO verlangt eine tragfähige Rechtsgrundlage für die Verarbeitung. Eine technisch mögliche Auswertung ist deshalb nicht automatisch eine rechtlich zulässige Auswertung. Bei technischen Einrichtungen kann außerdem § 87 Abs. 1 Nr. 6 BetrVG relevant sein. Danach hat der Betriebsrat, soweit keine gesetzliche oder tarifliche Regelung besteht, bei Einführung und Anwendung technischer Einrichtungen mitzubestimmen, die dazu bestimmt sind, Verhalten oder Leistung der Arbeitnehmer zu überwachen. Dies kann je nach Ausgestaltung beispielsweise bei MDM-, EDR-, DLP-, Logging- oder anderen Monitoring-Systemen relevant werden. § 26 Abs. 6 BDSG stellt ausdrücklich klar, dass Beteiligungsrechte der Interessenvertretungen der Beschäftigten unberührt bleiben. Die konkrete arbeits- und betriebsverfassungsrechtliche Zulässigkeit einer Untersuchungsmaßnahme sollte deshalb bei Mitarbeiterbezug vor Durchführung mit der zuständigen Rechtsberatung und gegebenenfalls den vorgesehenen betrieblichen Stellen geklärt werden. LanCologne ersetzt diese juristische Prüfung nicht. Unsere Aufgabe ist es, nach Festlegung des zulässigen Untersuchungsrahmens die technische Beweisfrage nachvollziehbar, verhältnismäßig und ergebnisoffen zu untersuchen.

LanCologne – IT-Forensik für Unternehmen

Mają Państwo pytania dotyczące technologii cyfrowych? Firma LanCologne zapewni Państwu pomoc w postaci obiektywnego, bezstronnego dochodzenia informatyczno-kryminalistycznego.

Skontaktuj się z nami już teraz