IT-kriminalteknik · Företag

Hur kan ett företag ta reda på om en anställd har haft åtkomst till företagets system efter uppsägningen?

Konton som inte har inaktiverats, aktiva sessioner, VPN-åtkomster eller molntoken kan fortsätta att existera efter att användaren har lämnat organisationen.

Begär en icke-bindande offert

Varför denna fråga är viktig för ett företag

Vid eventuella dataläckor står ofta betydande ekonomiska värden, kundrelationer, utvecklingskunskap eller konkurrensfördelar på spel. En gedigen utredning måste därför noggrant klargöra vilka dataöverföringar som faktiskt har ägt rum, utan att redan utifrån en misstanke dra slutsatsen att en rättsöverträdelse har skett.

Teknisk undersökningsmetod

Vi granskar händelser relaterade till autentisering, sessioner, VPN, molntjänster och enheter och fastställer vilka åtkomsthändelser som tekniskt sett kan verifieras efter den aktuella tidpunkten.

Var gränsen för uttalanden går

Åtkomst till ett konto kan inte automatiskt hänföras till en viss fysisk person; man måste ta hänsyn till komprometterade inloggningsuppgifter och automatiserade sessioner.

Varför LanCologne?

Misstankar om att data har stulits eller att konfidentiell företagsinformation har gått förlorad kan få betydande ekonomiska och rättsliga konsekvenser. Just därför får utredningen inte inledas med det önskade resultatet i åtanke.

LanCologne omformulerar först fakta till konkreta tekniska bevisfrågor: Vilka filer eller datamängder berörs? Har de faktiskt öppnats, kopierats, exporterats, arkiverats eller överförts? Vilken teknisk överföringsväg kan bevisas? När skedde detta? Vilken enhets-, konto- eller sessionskontext kan beläggas?

Vi gör en strikt åtskillnad mellan åtkomstmöjlighet, faktisk åtkomst, kopieringsprocess och lyckad överföring. Dessa begrepp blandas ofta ihop i praktiken, trots att de tekniskt sett beskriver olika förhållanden.

Viktiga fynd kontrolleras i möjligaste mån mot primärdata och jämförs med oberoende källor. Ett automatiskt larm, en verktygsrapport eller en enskild tidsstämpel betraktas inte som bevis utan att först ha granskats.

Man undersöker även vanliga alternativa förklaringar. Överlämningsprocesser, projektarkiv, säkerhetskopior, synkronisering, programuppdateringar eller tillåten molnanvändning kan lämna spår som utan sammanhang kan verka misstänkta. Först när sådana förklaringar har avgränsats utifrån uppgifterna är det möjligt att göra en tillförlitlig teknisk bedömning.

För LanCologne räknas även ett negativt resultat som ett fullständigt undersökningsresultat. Om en påstådd dataöverföring inte kan bekräftas dokumenteras detta på samma sätt som en bevisbar överföring.

Vår arbetsmetod

Affärshemlighet är en rättslig klassificering – dataöverföring är en teknisk bevisfråga

Vi kan fastställa respektive avgränsa vilka filer som fanns, vilka tekniska skyddsmekanismer som fanns och vilka åtgärder avseende åtkomst, kopiering eller överföring som kan bevisas. Huruvida den berörda informationen uppfyller kraven för att betraktas som en affärshemlighet och om en handling var obehörig eller olaglig bedöms separat ur juridisk synvinkel.

Inga förhastade slutsatser – inte ens när det gäller iögonfallande övergångsmönster

En ovanligt stor filåtkomst, en USB-anslutning eller en inloggning i molntjänsten kan utgöra anledning till ytterligare granskning, men innebär inte i sig någon slutsats. Alternativa arbetsflöden undersöks också. Om flera förklaringar fortfarande är möjliga ersätts denna osäkerhet inte av en gissning.

Varför LanCologne när det gäller dataöverföring och affärshemligheter?

LanCologne genomför inte utredningar i syfte att bekräfta en förutbestämd misstanke. Vi besvarar den konkreta tekniska bevisfrågan, dokumenterar de underliggande primärdata och anger lika tydligt vad som inte går att bevisa. På så sätt får företagsledningen och den juridiska avdelningen en faktagrund som även kan stå emot en senare fackmässig granskning.

När det gäller uppgifter om anställda utgör § 26 i BDSG en viktig utgångspunkt. För att avslöja brott kräver § 26.1 i BDSG bland annat dokumenterade faktiska indicier, nödvändighet och proportionalitet; den anställdes skyddsvärda intresse får inte överväga. Dessutom gäller principerna i GDPR, särskilt laglighet, ändamålsbegränsning och dataminimering.

När det gäller affärshemligheter är lagen om skydd av affärshemligheter (GeschGehG) av central betydelse. Enligt § 2 nr 1 i GeschGehG räcker det inte med vilken konfidentiell information som helst: Informationen måste bland annat ha ett ekonomiskt värde, eftersom den inte är allmänt känd eller lättillgänglig, vara föremål för sekretessåtgärder som är rimliga med hänsyn till omständigheterna och det måste föreligga ett berättigat intresse av sekretess.

§ 4 i GeschGehG förbjuder under vissa förutsättningar bland annat obehörig åtkomst till, obehörig tillägnelse eller obehörig kopiering av elektroniska filer som innehåller en affärshemlighet eller ur vilka en sådan kan härledas. Användning och offentliggörande kan också vara förbjudna. Det är inte IT-forensikern som avgör om en tekniskt bevisad händelse uppfyller de rättsliga kriterierna.

Lagen om skydd av visselblåsare innehåller dessutom undantag. I § 5 nämns särskilt vissa handlingar som syftar till att skydda berättigade intressen, däribland – under vissa förutsättningar – avslöjande av olagliga handlingar eller yrkesmässigt eller annat felaktigt beteende. Dessutom kan lagen om skydd för visselblåsare (HinSchG) vara tillämplig. § 6 i HinSchG reglerar under vissa förutsättningar vidarebefordran eller offentliggörande av affärshemligheter inom ramen för skyddade anmälningar. En misstanke om dataläckage får därför inte automatiskt likställas med ett olagligt brott mot sekretess.

GesGehG föreskriver möjliga civilrättsliga anspråk vid konstaterade rättsöverträdelser, däribland åtgärdande och förbud (§ 6), ytterligare åtgärder enligt § 7, vissa rätt till information enligt § 8 samt skadestånd enligt § 10. Vilka anspråk som föreligger i det enskilda fallet måste prövas juridiskt. IT-forensiken tillhandahåller i detta sammanhang endast den tekniska faktaunderlaget.

I den mån tekniska anordningar används för övervakning av personalen kan dessutom arbetsrådets medbestämmanderätt, särskilt enligt § 87 stycke 1 nr 6 i BetrVG, vara relevant. Den konkreta tillåtligheten klargörs av de behöriga instanserna inom företaget och de rättsliga instanserna innan undersökningen inleds.

Vanliga frågor

🔗 Relaterade ämnen