{"id":391698,"date":"2026-08-09T17:36:07","date_gmt":"2026-08-09T16:36:07","guid":{"rendered":"https:\/\/lancologne.de\/it-forensik\/unternehmen\/beweiserhalt-interne-it-untersuchung\/"},"modified":"2026-08-10T12:34:34","modified_gmt":"2026-08-10T11:34:34","slug":"beweiserhalt-interne-it-untersuchung","status":"publish","type":"page","link":"https:\/\/lancologne.de\/pt\/it-forensik\/unternehmen\/beweiserhalt-interne-it-untersuchung\/","title":{"rendered":"Wie kann ein Unternehmen verhindern, dass eine interne Untersuchung selbst wichtige digitale Spuren ver\u00e4ndert?"},"content":{"rendered":"

[et_pb_section fb_built=“1″ fullwidth=“off“ specialty=“off“ background_color=“#0A0814″ custom_padding=“60px|0|60px|0″]
\n[et_pb_row custom_padding=“0|0|0|0″]
\n[et_pb_column type=“4_4″]
\n[et_pb_text]<\/p>\n

IT-Forensik \u00b7 Unternehmen<\/p>\n

Wie kann ein Unternehmen verhindern, dass eine interne Untersuchung selbst wichtige digitale Spuren ver\u00e4ndert?<\/h1>\n

Normale Systemnutzung, Neustarts, Logins, Softwareinstallation oder \u00fcbereilte Bereinigung k\u00f6nnen fl\u00fcchtige oder historische Spuren ver\u00e4ndern.<\/p>\n

Unverbindlich anfragen<\/a>
\n[\/et_pb_text]
\n[\/et_pb_column]
\n[\/et_pb_row]
\n[\/et_pb_section]
\n[et_pb_section fb_built=“1″ background_color=“#ffffff“ custom_padding=“40px|0|40px|0″]
\n[et_pb_row]
\n[et_pb_column type=“4_4″]
\n[et_pb_text]<\/p>\n

Warum diese Frage f\u00fcr ein Unternehmen wichtig ist<\/h2>\n

Bei internen Vorf\u00e4llen k\u00f6nnen wirtschaftliche Interessen, Beweiserhalt und Besch\u00e4ftigtenrechte gleichzeitig betroffen sein. Eine technisch breite Untersuchung ist deshalb nicht automatisch eine gute Untersuchung. Entscheidend ist eine klar definierte Beweisfrage und ein nachvollziehbar begrenzter Untersuchungsumfang.<\/p>\n

[\/et_pb_text]
\n[\/et_pb_column]
\n[\/et_pb_row]
\n[\/et_pb_section]
\n[et_pb_section fb_built=“1″ background_color=“#F8F7F9″ custom_padding=“40px|0|40px|0″]
\n[et_pb_row]
\n[et_pb_column type=“4_4″]
\n[et_pb_text]<\/p>\n

Technischer Untersuchungsansatz<\/h2>\n

Wir priorisieren den Beweiserhalt anhand der konkreten Situation und dokumentieren unvermeidbare Ver\u00e4nderungen, bevor tiefergehende Analysen auf geeigneten Sicherungen oder kontrollierten Datenst\u00e4nden erfolgen.<\/p>\n

[\/et_pb_text]
\n[\/et_pb_column]
\n[\/et_pb_row]
\n[\/et_pb_section]
\n[et_pb_section fb_built=“1″ background_color=“#ffffff“ custom_padding=“40px|0|40px|0″]
\n[et_pb_row]
\n[et_pb_column type=“4_4″]
\n[et_pb_text]<\/p>\n

Wo die Aussagegrenze liegt<\/h2>\n

Beweiserhalt darf nicht blind betriebliche oder gesetzliche Pflichten verdr\u00e4ngen; bei laufenden Vorf\u00e4llen m\u00fcssen Sicherheit, Betrieb und Forensik abgestimmt werden.<\/p>\n

[\/et_pb_text]
\n[\/et_pb_column]
\n[\/et_pb_row]
\n[\/et_pb_section]
\n[et_pb_section fb_built=“1″ background_color=“#F8F7F9″ custom_padding=“40px|0|40px|0″]
\n[et_pb_row]
\n[et_pb_column type=“4_4″]
\n[et_pb_text]<\/p>\n

Warum LanCologne?<\/h2>\n

Bei internen Untersuchungen treffen mehrere Interessen unmittelbar aufeinander: Das Unternehmen muss seine Systeme, Daten, Gesch\u00e4ftsgeheimnisse und wirtschaftlichen Interessen sch\u00fctzen k\u00f6nnen. Gleichzeitig bleiben Besch\u00e4ftigtendatenschutz, Verh\u00e4ltnism\u00e4\u00dfigkeit, Mitbestimmung und gegebenenfalls private Datenbereiche zu beachten.<\/p>\n

LanCologne beginnt deshalb nicht mit einer m\u00f6glichst umfassenden Datensammlung. Ausgangspunkt ist die konkrete technische Beweisfrage. Erst danach wird festgelegt, welche Ger\u00e4te, Accounts, Zeitr\u00e4ume und Datenarten tats\u00e4chlich ben\u00f6tigt werden. Dadurch l\u00e4sst sich eine Untersuchung h\u00e4ufig wesentlich pr\u00e4ziser durchf\u00fchren als durch eine pauschale Vollauswertung.<\/p>\n

Technische Verf\u00fcgbarkeit und rechtliche Zul\u00e4ssigkeit werden bewusst getrennt. Dass ein Administrator, MDM-System oder Cloudtenant technisch Zugriff auf bestimmte Informationen erm\u00f6glicht, beantwortet noch nicht die Frage, ob diese Informationen f\u00fcr den konkreten Zweck verarbeitet werden d\u00fcrfen.<\/p>\n

Entscheidende Befunde werden soweit erforderlich an Prim\u00e4rdaten validiert. Automatisierte Reports und Forensiksoftware sind Hilfsmittel; sie ersetzen nicht die fachliche Interpretation der zugrunde liegenden Artefakte. Alternative technische Erkl\u00e4rungen werden mitgepr\u00fcft.<\/p>\n

Ebenso wichtig: Eine interne Untersuchung muss entlastende Tatsachen genauso ernst nehmen wie belastende. Ergibt die Analyse, dass ein Verdacht technisch nicht best\u00e4tigt werden kann oder ein auff\u00e4lliges Ereignis durch einen regul\u00e4ren Systemprozess erkl\u00e4rt wird, geh\u00f6rt genau dies in den Befund.<\/p>\n

[\/et_pb_text]
\n[\/et_pb_column]
\n[\/et_pb_row]
\n[\/et_pb_section]
\n[et_pb_section fb_built=“1″ background_color=“#ffffff“ custom_padding=“40px|0|40px|0″]
\n[et_pb_row]
\n[et_pb_column type=“4_4″]
\n[et_pb_text]<\/p>\n

Unsere Arbeitsweise<\/h2>\n
1<\/span>Konkreten Anlass und technische Beweisfrage definieren.<\/span><\/div>\n
2<\/span>Rechtsgrundlage und interne Zust\u00e4ndigkeiten durch Unternehmen beziehungsweise Rechtsberatung kl\u00e4ren.<\/span><\/div>\n
3<\/span>Erforderliche Systeme, Accounts, Datenarten und Zeitr\u00e4ume begrenzen.<\/span><\/div>\n
4<\/span>Beweiserhalt priorisieren und ver\u00e4nderliche Daten dokumentieren.<\/span><\/div>\n
5<\/span>Ger\u00e4te- und Datenidentit\u00e4t sowie Sicherungszustand nachvollziehbar festhalten.<\/span><\/div>\n
6<\/span>Prim\u00e4rdaten von Reports und Benutzeroberfl\u00e4cheninterpretationen trennen.<\/span><\/div>\n
7<\/span>Mitarbeiter-, Ger\u00e4te-, Account- und Sessionzuordnung nicht miteinander gleichsetzen.<\/span><\/div>\n
8<\/span>Regul\u00e4re Systemprozesse und alternative Erkl\u00e4rungen mitpr\u00fcfen.<\/span><\/div>\n
9<\/span>Belastende, entlastende und offene Befunde gleichwertig dokumentieren.<\/span><\/div>\n
10<\/span>Untersuchungsumfang nur bei neuen belastbaren Ankn\u00fcpfungstatsachen erweitern.<\/span><\/div>\n
11<\/span>Technischen Bericht verst\u00e4ndlich und reproduzierbar erstellen.<\/span><\/div>\n
12<\/span>Arbeits-, datenschutz-, zivil- und strafrechtliche Schlussfolgerungen der zust\u00e4ndigen Rechtsberatung \u00fcberlassen.<\/span><\/div>\n

[\/et_pb_text]
\n[\/et_pb_column]
\n[\/et_pb_row]
\n[\/et_pb_section]
\n[et_pb_section fb_built=“1″ background_color=“#F8F7F9″ custom_padding=“40px|0|40px|0″]
\n[et_pb_row]
\n[et_pb_column type=“4_4″]
\n[et_pb_text]<\/p>\n

Keine Vorverurteilung von Besch\u00e4ftigten<\/h2>\n

Ein interner Verdacht wird nicht zum Untersuchungsergebnis erkl\u00e4rt. Wir pr\u00fcfen, welche technischen Tatsachen ihn st\u00fctzen, welche ihm widersprechen und welche alternativen Erkl\u00e4rungen bestehen. Auch ein f\u00fcr das Unternehmen ung\u00fcnstiges oder entlastendes Ergebnis wird vollst\u00e4ndig dokumentiert.<\/p>\n

[\/et_pb_text]
\n[\/et_pb_column]
\n[\/et_pb_row]
\n[\/et_pb_section]
\n[et_pb_section fb_built=“1″ background_color=“#ffffff“ custom_padding=“40px|0|40px|0″]
\n[et_pb_row]
\n[et_pb_column type=“4_4″]
\n[et_pb_text]<\/p>\n

Verst\u00e4ndlich f\u00fcr Gesch\u00e4ftsf\u00fchrung und Rechtsabteilung – reproduzierbar f\u00fcr Forensiker<\/h2>\n

Der Hauptteil erl\u00e4utert die Kernaussage ohne unn\u00f6tige Fachsprache. Der technische Teil dokumentiert Datenquellen, Sicherungszust\u00e4nde, Identifikatoren, Integrit\u00e4tsinformationen, Zeitbez\u00fcge, Artefaktfundstellen und Validierungsschritte. Dadurch bleibt die Untersuchung f\u00fcr eine sp\u00e4tere fachliche Gegenpr\u00fcfung nachvollziehbar.<\/p>\n

[\/et_pb_text]
\n[\/et_pb_column]
\n[\/et_pb_row]
\n[\/et_pb_section]
\n[et_pb_section fb_built=“1″ background_color=“#F8F7F9″ custom_padding=“40px|0|40px|0″]
\n[et_pb_row]
\n[et_pb_column type=“4_4″]
\n[et_pb_text]<\/p>\n

LanCologne als unabh\u00e4ngige technische Unterst\u00fctzung f\u00fcr Unternehmen<\/h2>\n

Wenn ein interner Vorfall technisch aufgekl\u00e4rt werden muss, unterst\u00fctzt LanCologne mit einer sachlichen, ergebnisoffenen und nachvollziehbaren IT-forensischen Untersuchung. Ma\u00dfgeblich ist nicht ein gew\u00fcnschtes Ergebnis, sondern ausschlie\u00dflich, was sich innerhalb des zul\u00e4ssigen Untersuchungsrahmens anhand der digitalen Spuren tats\u00e4chlich belegen l\u00e4sst.<\/p>\n

[\/et_pb_text]
\n[\/et_pb_column]
\n[\/et_pb_row]
\n[\/et_pb_section]
\n[et_pb_section fb_built=“1″ background_color=“#f0ebf0″ custom_padding=“40px|0|40px|0″]
\n[et_pb_row]
\n[et_pb_column type=“4_4″]
\n[et_pb_text]<\/p>\n

\n<\/svg><\/p>\n

Rechtlicher Rahmen<\/h2>\n<\/div>\n

F\u00fcr Besch\u00e4ftigtendaten ist in Deutschland insbesondere \u00a7 26 BDSG zu beachten. Personenbezogene Daten von Besch\u00e4ftigten d\u00fcrfen f\u00fcr Zwecke des Besch\u00e4ftigungsverh\u00e4ltnisses verarbeitet werden, wenn dies f\u00fcr die dort genannten Zwecke erforderlich ist. Zur Aufdeckung von Straftaten enth\u00e4lt \u00a7 26 Abs. 1 BDSG besondere Voraussetzungen: Es m\u00fcssen zu dokumentierende tats\u00e4chliche Anhaltspunkte den Verdacht begr\u00fcnden, dass die betroffene Person im Besch\u00e4ftigungsverh\u00e4ltnis eine Straftat begangen hat; die Verarbeitung muss zur Aufdeckung erforderlich sein und das schutzw\u00fcrdige Interesse des Besch\u00e4ftigten darf nicht \u00fcberwiegen. Art und Ausma\u00df d\u00fcrfen insbesondere nicht unverh\u00e4ltnism\u00e4\u00dfig sein.<\/p>\n

Daneben gelten die allgemeinen Grunds\u00e4tze der DSGVO. Art. 5 DSGVO verlangt unter anderem Rechtm\u00e4\u00dfigkeit, Zweckbindung und Datenminimierung. Art. 6 DSGVO verlangt eine tragf\u00e4hige Rechtsgrundlage f\u00fcr die Verarbeitung. Eine technisch m\u00f6gliche Auswertung ist deshalb nicht automatisch eine rechtlich zul\u00e4ssige Auswertung.<\/p>\n

Bei technischen Einrichtungen kann au\u00dferdem \u00a7 87 Abs. 1 Nr. 6 BetrVG relevant sein. Danach hat der Betriebsrat, soweit keine gesetzliche oder tarifliche Regelung besteht, bei Einf\u00fchrung und Anwendung technischer Einrichtungen mitzubestimmen, die dazu bestimmt sind, Verhalten oder Leistung der Arbeitnehmer zu \u00fcberwachen. Dies kann je nach Ausgestaltung beispielsweise bei MDM-, EDR-, DLP-, Logging- oder anderen Monitoring-Systemen relevant werden.<\/p>\n

\u00a7 26 Abs. 6 BDSG stellt ausdr\u00fccklich klar, dass Beteiligungsrechte der Interessenvertretungen der Besch\u00e4ftigten unber\u00fchrt bleiben. Die konkrete arbeits- und betriebsverfassungsrechtliche Zul\u00e4ssigkeit einer Untersuchungsma\u00dfnahme sollte deshalb bei Mitarbeiterbezug vor Durchf\u00fchrung mit der zust\u00e4ndigen Rechtsberatung und gegebenenfalls den vorgesehenen betrieblichen Stellen gekl\u00e4rt werden.<\/p>\n

LanCologne ersetzt diese juristische Pr\u00fcfung nicht. Unsere Aufgabe ist es, nach Festlegung des zul\u00e4ssigen Untersuchungsrahmens die technische Beweisfrage nachvollziehbar, verh\u00e4ltnism\u00e4\u00dfig und ergebnisoffen zu untersuchen.<\/p>\n

[\/et_pb_text]
\n[\/et_pb_column]
\n[\/et_pb_row]
\n[\/et_pb_section]
\n[et_pb_section fb_built=“1″ background_color=“#ffffff“ custom_padding=“40px|0|40px|0″]
\n[et_pb_row]
\n[et_pb_column type=“4_4″]
\n[et_pb_text]<\/p>\n

H\u00e4ufige Fragen<\/h2>\n
\nWie kann ein Unternehmen verhindern, dass eine interne Untersuchung selbst wichtige digitale Spuren ver\u00e4ndert?<\/summary>\n
Bei internen Vorf\u00e4llen k\u00f6nnen wirtschaftliche Interessen, Beweiserhalt und Besch\u00e4ftigtenrechte gleichzeitig betroffen sein. Eine technisch breite Untersuchung ist deshalb nicht automatisch eine gute Untersuchung. Entscheidend ist eine klar definierte Beweisfrage und ein nachvollziehbar begrenzter Untersuchungsumfang.<\/div>\n<\/details>\n
\nWie geht eine solche technische Untersuchung in der Praxis vor?<\/summary>\n
Wir priorisieren den Beweiserhalt anhand der konkreten Situation und dokumentieren unvermeidbare Ver\u00e4nderungen, bevor tiefergehende Analysen auf geeigneten Sicherungen oder kontrollierten Datenst\u00e4nden erfolgen.<\/div>\n<\/details>\n
\nLiefert die Untersuchung immer ein eindeutiges Ergebnis zulasten oder zugunsten einer beteiligten Person?<\/summary>\n
Beweiserhalt darf nicht blind betriebliche oder gesetzliche Pflichten verdr\u00e4ngen; bei laufenden Vorf\u00e4llen m\u00fcssen Sicherheit, Betrieb und Forensik abgestimmt werden.<\/div>\n<\/details>\n
\nGibt es daf\u00fcr eine gesetzliche Grundlage?<\/summary>\n
F\u00fcr Besch\u00e4ftigtendaten ist in Deutschland insbesondere \u00a7 26 BDSG zu beachten. Personenbezogene Daten von Besch\u00e4ftigten d\u00fcrfen f\u00fcr Zwecke des Besch\u00e4ftigungsverh\u00e4ltnisses verarbeitet werden, wenn dies f\u00fcr die dort genannten Zwecke erforderlich ist. Zur Aufdeckung von Straftaten enth\u00e4lt \u00a7 26 Abs. 1 BDSG besondere Voraussetzungen: Es m\u00fcssen zu dokumentierende tats\u00e4chliche Anhaltspunkte den Verdacht begr\u00fcnden, dass die betroffene Person im Besch\u00e4ftigungsverh\u00e4ltnis eine Straftat begangen hat; die Verarbeitung muss zur Aufdeckung erforderlich sein und das schutzw\u00fcrdige Interesse des Besch\u00e4ftigten darf nicht \u00fcberwiegen. Art und Ausma\u00df d\u00fcrfen insbesondere nicht unverh\u00e4ltnism\u00e4\u00dfig sein.
\nDaneben gelten die allgemeinen Grunds\u00e4tze der DSGVO. Art. 5 DSGVO verlangt unter anderem Rechtm\u00e4\u00dfigkeit, Zweckbindung und Datenminimierung. Art. 6 DSGVO verlangt eine tragf\u00e4hige Rechtsgrundlage f\u00fcr die Verarbeitung. Eine technisch m\u00f6gliche Auswertung ist deshalb nicht automatisch eine rechtlich zul\u00e4ssige Auswertung.
\nBei technischen Einrichtungen kann au\u00dferdem \u00a7 87 Abs. 1 Nr. 6 BetrVG relevant sein. Danach hat der Betriebsrat, soweit keine gesetzliche oder tarifliche Regelung besteht, bei Einf\u00fchrung und Anwendung technischer Einrichtungen mitzubestimmen, die dazu bestimmt sind, Verhalten oder Leistung der Arbeitnehmer zu \u00fcberwachen. Dies kann je nach Ausgestaltung beispielsweise bei MDM-, EDR-, DLP-, Logging- oder anderen Monitoring-Systemen relevant werden.
\n\u00a7 26 Abs. 6 BDSG stellt ausdr\u00fccklich klar, dass Beteiligungsrechte der Interessenvertretungen der Besch\u00e4ftigten unber\u00fchrt bleiben. Die konkrete arbeits- und betriebsverfassungsrechtliche Zul\u00e4ssigkeit einer Untersuchungsma\u00dfnahme sollte deshalb bei Mitarbeiterbezug vor Durchf\u00fchrung mit der zust\u00e4ndigen Rechtsberatung und gegebenenfalls den vorgesehenen betrieblichen Stellen gekl\u00e4rt werden.
\nLanCologne ersetzt diese juristische Pr\u00fcfung nicht. Unsere Aufgabe ist es, nach Festlegung des zul\u00e4ssigen Untersuchungsrahmens die technische Beweisfrage nachvollziehbar, verh\u00e4ltnism\u00e4\u00dfig und ergebnisoffen zu untersuchen.<\/div>\n<\/details>\n

\ud83d\udd17 Verwandte Themen<\/h3>\n
<\/svg>IT-Forensik f\u00fcr Unternehmen<\/a><\/svg>Interne Untersuchungen<\/a><\/svg>Digitale Beweissicherung<\/a><\/svg>Microsoft-365-Forensik<\/a><\/svg>Datenabfluss untersuchen<\/a><\/svg>Windows-Forensik<\/a><\/div>\n<\/div>\n

[\/et_pb_text]
\n[\/et_pb_column]
\n[\/et_pb_row]
\n[\/et_pb_section]
\n[et_pb_section fb_built=“1″ background_color=“#9B2242″ custom_padding=“50px|0|50px|0″]
\n[et_pb_row]
\n[et_pb_column type=“4_4″]
\n[et_pb_text]<\/p>\n

LanCologne \u2013 IT-Forensik f\u00fcr Unternehmen<\/h2>\n

Sie haben eine digitale Frage? LanCologne unterst\u00fctzt Sie mit einer sachlichen, ergebnisoffenen IT-forensischen Untersuchung.<\/p>\n

Jetzt Kontakt aufnehmen<\/a>
\n[\/et_pb_text]
\n[\/et_pb_column]
\n[\/et_pb_row]
\n[\/et_pb_section]<\/p>\n","protected":false},"excerpt":{"rendered":"

\n\t\t\t\t\n\t\t\t\t\n\t\t\t\t\n\t\t\t\t\n\t\t\t\t\n\t\t\t<\/div> IT-Forensik \u00b7 Unternehmen Wie kann ein Unternehmen verhindern, dass eine interne Untersuchung selbst wichtige digitale Spuren ver\u00e4ndert? Normale Systemnutzung, Neustarts, Logins, Softwareinstallation oder \u00fcbereilte Bereinigung k\u00f6nnen fl\u00fcchtige oder historische Spuren ver\u00e4ndern. Unverbindlich anfragen
\n\t\t\t\t\n\t\t\t\t\n\t\t\t\t\n\t\t\t\t\n\t\t\t\t\n\t\t\t<\/div>
\n\t\t\t\t\n\t\t\t\t\n\t\t\t\t\n\t\t\t\t\n\t\t\t\t\n\t\t\t<\/div> Warum diese Frage f\u00fcr ein Unternehmen wichtig ist Bei internen Vorf\u00e4llen k\u00f6nnen wirtschaftliche Interessen, Beweiserhalt und Besch\u00e4ftigtenrechte gleichzeitig betroffen […]<\/p>\n","protected":false},"author":1,"featured_media":0,"parent":391675,"menu_order":0,"comment_status":"closed","ping_status":"closed","template":"","meta":{"_et_pb_use_builder":"on","_et_pb_old_content":"","_et_gb_content_width":"","footnotes":""},"class_list":["post-391698","page","type-page","status-publish","hentry"],"_links":{"self":[{"href":"https:\/\/lancologne.de\/pt\/wp-json\/wp\/v2\/pages\/391698","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/lancologne.de\/pt\/wp-json\/wp\/v2\/pages"}],"about":[{"href":"https:\/\/lancologne.de\/pt\/wp-json\/wp\/v2\/types\/page"}],"author":[{"embeddable":true,"href":"https:\/\/lancologne.de\/pt\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/lancologne.de\/pt\/wp-json\/wp\/v2\/comments?post=391698"}],"version-history":[{"count":2,"href":"https:\/\/lancologne.de\/pt\/wp-json\/wp\/v2\/pages\/391698\/revisions"}],"predecessor-version":[{"id":394533,"href":"https:\/\/lancologne.de\/pt\/wp-json\/wp\/v2\/pages\/391698\/revisions\/394533"}],"up":[{"embeddable":true,"href":"https:\/\/lancologne.de\/pt\/wp-json\/wp\/v2\/pages\/391675"}],"wp:attachment":[{"href":"https:\/\/lancologne.de\/pt\/wp-json\/wp\/v2\/media?parent=391698"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}