Informatyka śledcza · Przedsiębiorstwa

W jaki sposób firma może sprawdzić, czy odchodzący pracownik zabrał ze sobą dane firmowe?

Kurz vor dem Ausscheiden werden häufig Kundenlisten, Kalkulationen oder Quellcode kopiert – manchmal versehentlich, manchmal gezielt. Ob und wie Daten mitgenommen wurden, lässt sich oft rekonstruieren, wenn das Gerät nicht vorschnell neu installiert wird.

Wysyłaj zapytanie bez zobowiązań

Dlaczego ta kwestia jest ważna dla przedsiębiorstwa

W przypadku ewentualnego wycieku danych często zagrożone są znaczne wartości ekonomiczne, relacje z klientami, wiedza dotycząca rozwoju lub przewagi konkurencyjne. Rzetelne dochodzenie musi zatem precyzyjnie wyjaśnić, jaki przepływ danych faktycznie miał miejsce, nie wyciągając wniosku o naruszeniu prawa na podstawie samych podejrzeń.

Technischer Hintergrund

Windows protokolliert angeschlossene USB-Geräte, geöffnete Dateien und Ordner in mehreren unabhängigen Artefakten. Cloud-Uploads, E-Mail-Weiterleitungen an private Adressen und Druckaufträge hinterlassen weitere Spuren. Entscheidend ist der Abgleich mit dem Zeitraum vor dem Ausscheiden.

Relevante Spuren und Datenquellen

• USB-Geräte (Registry USBSTOR, MountedDevices, Setupapi-Log, Ereignisprotokolle)
• Datei- und Ordnerzugriffe (LNK-Dateien, Jump Lists, Shellbags)
• Browser-Uploads und private Cloud-Clients
• E-Mail-Weiterleitungen und Postfachregeln (Microsoft 365 Audit Log)
• Druckprotokolle

Grenzen

• Was auf einem privaten Gerät mit den Daten geschah, ist ohne Zugriff darauf nicht feststellbar.
• Ein Dateizugriff belegt nicht automatisch eine Kopie; eine Kopie belegt nicht automatisch eine Weitergabe.

Mögliche Ergebnisse

• Kopiervorgänge auf USB oder in die Cloud zeitlich belegt
• Kein Hinweis auf Mitnahme über die geprüften Kanäle
• Liste betroffener Dateien

Dlaczego LanCologne?

Podejrzenie o wyciek danych lub utratę poufnych informacji firmowych może mieć poważne konsekwencje gospodarcze i prawne. Właśnie dlatego dochodzenie nie może rozpoczynać się od założonego wyniku.

So gehen wir vor

• Gerät und Konto vor Rückgabe bzw. Löschung sichern (Legal Hold).
• Zeitraum festlegen (typisch: Wochen vor Kündigung bis Ausscheiden).
• Korrelation der Spuren zu einer Zeitlinie; Abgleich mit dienstlicher Notwendigkeit.

Tajemnica handlowa to kategoria prawna – przepływ danych to kwestia dowodowa o charakterze technicznym

Możemy ustalić lub zawęzić zakres tego, jakie pliki istniały, jakie mechanizmy ochrony technicznej były stosowane oraz jakie działania związane z dostępem, kopiowaniem lub przekazywaniem można udowodnić. To, czy dana informacja spełnia kryteria tajemnicy handlowej oraz czy dane działanie było nieuprawnione lub niezgodne z prawem, podlega odrębnej ocenie prawnej.

Nie należy wyciągać pochopnych wniosków – nawet w przypadku nietypowych wzorców transferowych

Niezwykle duża liczba operacji na plikach, podłączenie pamięci USB lub logowanie do chmury mogą stanowić powód do dalszej analizy, ale nie są jeszcze podstawą do wyciągnięcia wniosków. Analizowane są również alternatywne procedury pracy. W przypadku, gdy możliwe jest kilka wyjaśnień, tej niepewności nie zastępuje się przypuszczeniem.

Dlaczego stosuje się zasadę LanCologne w przypadku przenoszenia danych i tajemnic handlowych?

LanCologne nie prowadzi badań w celu potwierdzenia z góry przyjętego podejrzenia. Odpowiadamy na konkretne pytania dotyczące dowodów technicznych, dokumentujemy podstawowe dane źródłowe oraz równie jasno wskazujemy, czego nie da się udowodnić. Dzięki temu kierownictwo i dział prawny otrzymują podstawę faktyczną, która wytrzyma również późniejszą fachową weryfikację.

W odniesieniu do pracowników istotnym punktem wyjścia pozostaje § 26 BDSG. W celu wykrycia przestępstw § 26 ust. 1 BDSG wymaga między innymi udokumentowanych faktycznych przesłanek, konieczności i proporcjonalności; interes pracownika zasługujący na ochronę nie może przeważać. Ponadto obowiązują zasady RODO, w szczególności legalność, ograniczenie celu i minimalizacja danych.

Ustawa o tajemnicy handlowej (GeschGehG) ma kluczowe znaczenie w odniesieniu do tajemnic handlowych. Zgodnie z § 2 nr 1 ustawy GeschGehG nie każda poufna informacja spełnia te wymogi: informacja musi między innymi mieć wartość ekonomiczną, ponieważ nie jest powszechnie znana ani łatwo dostępna, musi być przedmiotem środków zachowania poufności odpowiednich do okoliczności oraz musi istnieć uzasadniony interes w zachowaniu jej poufności.

§ 4 ustawy o tajemnicy handlowej (GeschGehG) zabrania, pod pewnymi warunkami, między innymi nieuprawnionego dostępu do plików elektronicznych zawierających tajemnicę handlową lub z których można ją wywnioskować, a także ich nieuprawnionego przywłaszczenia lub kopiowania. Wykorzystanie i ujawnienie takich plików również mogą być zabronione. To nie ekspert ds. informatyki sądowej decyduje, czy zdarzenie potwierdzone technicznie spełnia znamiona czynu zabronionego.

Ustawa o ochronie osób zgłaszających nieprawidłowości (GeschGehG) zawiera ponadto wyjątki. § 5 wymienia w szczególności określone działania mające na celu ochronę uzasadnionych interesów, w tym – pod pewnymi warunkami – ujawnianie czynów niezgodnych z prawem lub uchybień zawodowych lub innych. Ponadto zastosowanie może mieć ustawa o ochronie sygnalistów (HinSchG). § 6 HinSchG reguluje, pod pewnymi warunkami, przekazywanie lub ujawnianie tajemnic handlowych w ramach chronionych zgłoszeń. Podejrzenie wycieku danych nie może zatem być automatycznie utożsamiane z bezprawnym naruszeniem tajemnicy.

Ustawa o ochronie danych osobowych (GeschGehG) przewiduje w przypadku stwierdzonych naruszeń prawa możliwe roszczenia cywilnoprawne, w tym usunięcie naruszenia i zaniechanie (§ 6), dalsze środki zgodnie z § 7, określone roszczenia o udzielenie informacji zgodnie z § 8 oraz odszkodowanie zgodnie z § 10. To, jakie roszczenia przysługują w konkretnym przypadku, należy zbadać pod kątem prawnym. Kryminalistyka informatyczna dostarcza w tym zakresie jedynie techniczną podstawę faktyczną.

W przypadku stosowania urządzeń technicznych do monitorowania pracowników istotne mogą być ponadto prawa rady zakładowej do udziału w procesie decyzyjnym, w szczególności zgodnie z § 87 ust. 1 pkt 6 ustawy BetrVG. Konkretna dopuszczalność takich działań zostanie wyjaśniona przed rozpoczęciem kontroli przez właściwe organy zakładowe i prawne.

Najczęściej zadawane pytania

Weiterführende Themen

• Jak można sprawdzić, czy pracownik przesłał pliki firmowe na prywatne konto w chmurze?
• W jaki sposób przedsiębiorstwo może w przypadku podejrzenia wycieku danych wyraźnie odróżnić zgłoszenie nieprawidłowości od ujawnienia tajemnicy?
• W jaki sposób przedsiębiorstwo powinno zabezpieczyć dowody cyfrowe po otrzymaniu zgłoszenia wewnętrznego?
• Kryminalistyka informatyczna dla przedsiębiorstw

LanCologne – informatyka śledcza dla przedsiębiorstw

Mają Państwo pytania dotyczące technologii cyfrowych? Firma LanCologne zapewni Państwu pomoc w postaci obiektywnego, bezstronnego dochodzenia informatyczno-kryminalistycznego.

Skontaktuj się z nami już teraz