Informatyka śledcza · Przedsiębiorstwa

W jaki sposób przedsiębiorstwo powinno zabezpieczyć dowody cyfrowe po otrzymaniu zgłoszenia wewnętrznego?

Nach einem internen Hinweis – etwa auf Betrug, Datenabfluss oder Compliance-Verstöße – entscheidet sich in den ersten Tagen, ob die relevanten Daten später noch vorhanden sind. Automatische Löschfristen, Kontodeaktivierung beim Ausscheiden oder Gerätewechsel können Beweise vernichten, bevor jemand danach sucht.

Wysyłaj zapytanie bez zobowiązań

Dlaczego ta kwestia jest ważna dla przedsiębiorstwa

Wewnętrzne dochodzenia mogą pociągać za sobą poważne konsekwencje ekonomiczne, kadrowe i prawne. Właśnie dlatego należy najpierw ustalić, jaki konkretny fakt techniczny ma zostać udowodniony lub obalony. Jak największa ilość danych nie jest wyznacznikiem jakości; decydujące znaczenie ma przeprowadzenie rzetelnego, ograniczonego i przejrzystego dochodzenia.

Technischer Hintergrund

Viele Systeme löschen selbstständig: Microsoft 365 nach Aufbewahrungsrichtlinien, Protokolle nach Tagen bis Monaten (abhängig von Lizenz und Konfiguration), Mobilgeräte bei Rückgabe per Wipe. Eine frühzeitige Aufbewahrungsanordnung (Legal Hold) und gezielte Sicherung verhindern das, ohne dass sofort ausgewertet wird.

Relevante Spuren und Datenquellen

• Postfächer und OneDrive/SharePoint (Litigation/Retention Hold)
• Microsoft 365 Unified Audit Log, Entra-ID-Anmeldungen
• Dienstliche Endgeräte (Notebook, Smartphone) vor Rückgabe oder Neuinstallation
• Server-, VPN- und Proxy-Logs
• ERP-/Buchhaltungsprotokolle, wenn fachlich relevant

Grenzen

• Bereits gelöschte Daten sind nur teilweise wiederherstellbar.
• Private Geräte und Konten sind ohne Rechtsgrundlage nicht Gegenstand.

Mögliche Ergebnisse

• Gesicherter, dokumentierter Datenbestand
• Übersicht, welche Quellen verfügbar waren und welche fehlten

Dlaczego LanCologne?

Interne Untersuchungen sind besonders sensibel, weil wirtschaftliche Interessen des Unternehmens, Persönlichkeitsrechte von Beschäftigten, Datenschutz, betriebliche Mitbestimmung und mögliche spätere Rechtsverfahren gleichzeitig berührt sein können. LanCologne beginnt deshalb nicht mit einer möglichst umfassenden Durchsuchung der IT.

So gehen wir vor

• Klärung der Rechtsgrundlage und Beteiligung von Datenschutz/Betriebsrat.
• Sofortige Aufbewahrungsmaßnahmen für kurzlebige Quellen.
• Forensische Sicherung mit Hashwerten und Dokumentation, Auswertung erst nach Festlegung der Fragestellung.

Brak przedwczesnego osądu – nawet w przypadku podejrzeń, które zostały już potwierdzone wewnętrznie

Przedsiębiorstwo może już na podstawie względów organizacyjnych lub prawnych uznać, że istnieją wyraźne podstawy do podejrzeń. Wynik badania technicznego pozostaje jednak otwarty. Dokumentujemy również ustalenia, które zaprzeczają tym podejrzeniom, i wyraźnie wskazujemy, gdy na podstawie otrzymanych danych nie można udowodnić zarzucanego czynu.

Wyniki badań technicznych i ocena prawna pozostają odrębne

Kryminalistyka informatyczna może na przykład ustalić, że dane konto wyeksportowało plik, że urządzenie było podłączone w określonym momencie lub że wiadomość została technicznie przesłana. Nie wynika z tego jednak automatycznie, która osoba fizyczna dokonała danego działania, czy działanie to było dozwolone ani jakie konsekwencje wynikają z tego w zakresie prawa pracy, prawa cywilnego lub prawa karnego.

LanCologne jako niezależne wsparcie techniczne dla działu prawnego i kierownictwa

Firma LanCologne nie otrzymuje zlecenia potwierdzenia technicznego pożądanego wyniku. Zostajemy zatrudnieni w celu udzielenia rzeczowej odpowiedzi na konkretne pytanie dowodowe w oparciu o dostępne ślady cyfrowe. Badanie powinno pozostać zrozumiałe nawet w przypadku późniejszej krytycznej weryfikacji przez stronę przeciwną, sąd lub innego wykwalifikowanego eksperta z zakresu informatyki śledczej.

W odniesieniu do danych pracowników istotnym punktem odniesienia prawnym jest § 26 BDSG. § 26 ust. 1 BDSG zezwala na przetwarzanie danych osobowych pracowników na potrzeby stosunku pracy pod warunkiem spełnienia warunków tam określonych. W celu wykrywania przestępstw przepis ten wymaga w szczególności udokumentowanych faktycznych przesłanek, konieczności i proporcjonalności; interes pracownika zasługujący na ochronę nie może przeważać. § 26 ust. 6 BDSG nie narusza praw do udziału w procesie decyzyjnym przysługujących organizacjom reprezentującym interesy pracowników.

Ponadto obowiązują zasady RODO, w szczególności zasada zgodności z prawem, zasada ograniczenia celu i zasada minimalizacji danych zgodnie z art. 5, a także wymóg posiadania solidnej podstawy prawnej zgodnie z art. 6. W przypadku szczególnych kategorii danych osobowych należy dodatkowo uwzględnić art. 9 RODO oraz, w stosownych przypadkach, § 26 ust. 3 BDSG.

W przypadku urządzeń technicznych przeznaczonych do monitorowania zachowania lub wydajności pracowników § 87 ust. 1 pkt 6 ustawy o współdecydowaniu w przedsiębiorstwie (BetrVG) przewiduje prawo rady zakładowej do współdecydowania, o ile nie istnieją żadne przepisy ustawowe ani postanowienia układu zbiorowego. W przypadku systemów MDM, EDR, DLP, logowania i podobnych należy zatem w każdym przypadku rozpatrywać konkretną konfigurację.

W przypadku zgłoszeń dokonywanych na podstawie ustawy o ochronie sygnalistów istotne znaczenie ma w szczególności § 8 tej ustawy. Zasada poufności chroni nie tylko tożsamość sygnalisty, ale także osoby, których dotyczy zgłoszenie, oraz inne osoby wymienione w zgłoszeniu. § 9 HinSchG zawiera ustawowe wyjątki od zasady poufności. § 36 HinSchG zakazuje represji i zawiera zasadę ciężaru dowodu na warunkach tam określonych.

W przypadku tajemnic handlowych wewnętrzne dochodzenie nie może automatycznie traktować zgłoszenia jako naruszenia tajemnicy. § 5 ustawy o tajemnicach handlowych (GeschGehG) zawiera wyjątki od zakazów określonych w § 4, między innymi w określonych warunkach w celu wykrycia czynów niezgodnych z prawem lub uchybień zawodowych lub innych nadużyć, a także w przypadku konieczności ujawnienia informacji przedstawicielom pracowników.

Jeśli w późniejszym terminie dojdzie do postępowania cywilnego, kodeks postępowania cywilnego (ZPO) przewiduje między innymi dowód oględzinowy; § 371 ust. 1 ZPO wyraźnie reguluje przypadek, w którym przedmiotem dowodu jest dokument elektroniczny. W odniesieniu do dowodu z opinii biegłego zastosowanie mają §§ 402 i nast. ZPO. W postępowaniu karnym sąd określa zakres postępowania dowodowego zgodnie z kodeksem postępowania karnego (StPO); w szczególności § 244 StPO reguluje zasadę dochodzenia oraz wnioski dowodowe. Przepisy procesowe te nie powodują jednak automatycznie, że prywatnie zlecona ekspertyza informatyczno-kryminalistyczna staje się ekspertyzą sądową.

LanCologne świadczy usługi w zakresie ekspertyz technicznych, a nie doradztwa prawnego. Konkretna dopuszczalność danego środka dowodowego, konsekwencje w zakresie prawa pracy, strategia procesowa oraz ocena pod kątem prawa karnego pozostają w gestii właściwych doradców prawnych, organów administracyjnych i sądów.

Najczęściej zadawane pytania

🔗 Powiązane tematy