IT-kriminalteknik · Företag

Hur kan ett företag låta genomföra en forensisk undersökning av en tjänstemobil eller surfplatta?

Dienstliche Smartphones und Tablets enthalten oft entscheidende Belege: geschäftliche Chats, Anrufprotokolle, Standortdaten, Fotos von Dokumenten. Gleichzeitig sind sie häufig auch privat genutzt – die Untersuchung muss beides sauber trennen.

Begär en icke-bindande offert

Varför denna fråga är viktig för ett företag

Vid interna incidenter kan ekonomiska intressen, bevarande av bevis och anställdas rättigheter påverkas samtidigt. En tekniskt omfattande utredning är därför inte automatiskt en bra utredning. Det avgörande är en tydligt definierad bevisfråga och en begränsning av utredningens omfattning som går att förstå.

Technischer Hintergrund

Ein MDM-System kann Gerätezustand und Apps verwalten, liefert aber in der Regel keine forensisch vollständige Sicherung. Die mögliche Sicherungstiefe hängt von Modell, Betriebssystemversion und Sperrstatus ab. Wird ein Gerät per MDM gelöscht oder zurückgesetzt, sind die Daten meist verloren.

Relevante Spuren und Datenquellen

  • Messenger-Datenbanken (z. B. WhatsApp, Teams, Signal – soweit verfügbar)
  • Anruflisten, SMS, Kontakte, Kalender
  • Standortdaten und Fotos mit Metadaten
  • iOS KnowledgeC/Biome bzw. Android UsageStats (Gerätenutzung)
  • MDM-Protokolle (Zuweisung, Wipes, Profile)

Grenzen

  • Gesperrte Geräte ohne Code können nur eingeschränkt gesichert werden.
  • Ende-zu-Ende-verschlüsselte Messenger sind nur auf dem Gerät selbst auswertbar.

Mögliche Ergebnisse

  • Relevante Kommunikation und Aktivitäten im Zeitraum
  • Nachweis von Löschungen oder Zurücksetzungen

Varför LanCologne?

Vid interna utredningar står flera intressen i direkt konflikt med varandra: Företaget måste kunna skydda sina system, uppgifter, affärshemligheter och ekonomiska intressen. Samtidigt måste man beakta de anställdas integritet, proportionalitetsprincipen, medbestämmanderätten och, i förekommande fall, privata uppgifter.

So gehen wir vor

  • Gerät nicht zurücksetzen oder per MDM löschen; Akku und Flugmodus beachten.
  • Festlegung des Umfangs (dienstliche Daten, Zeitraum) mit Rechtsberatung.
  • Sicherung in der technisch möglichen Tiefe und gefilterte Auswertung.

Ingen förhandsbedömning av anställda

En intern misstanke betraktas inte som ett utredningsresultat. Vi undersöker vilka tekniska fakta som stöder misstanken, vilka som motsäger den och vilka alternativa förklaringar som finns. Även ett resultat som är ogynnsamt eller förmildrande för företaget dokumenteras fullständigt.

Förståeligt för ledningen och den juridiska avdelningen – reproducerbart för kriminaltekniker

Huvuddelen redogör för det centrala budskapet utan onödigt fackjargong. Den tekniska delen dokumenterar datakällor, säkerhetsstatus, identifierare, integritetsinformation, tidsreferenser, artefakters placering och valideringssteg. På så sätt förblir undersökningen spårbar för en senare fackmässig granskning.

LanCologne som oberoende teknisk support för företag

Om en intern incident måste utredas ur teknisk synvinkel, bistår LanCologne med en saklig, resultatoberoende och transparent IT-forensisk utredning. Det avgörande är inte ett önskat resultat, utan uteslutande vad som faktiskt kan bevisas utifrån de digitala spåren inom den tillåtna utredningsramen.

Rättslig ram

När det gäller uppgifter om anställda ska man i Tyskland särskilt beakta § 26 i BDSG. Personuppgifter om anställda får behandlas för ändamål som rör anställningsförhållandet, om detta är nödvändigt för de ändamål som anges där. För att upptäcka brott innehåller § 26 stycke 1 i BDSG särskilda villkor: Det måste finnas dokumenterade faktiska indicier som ger anledning att misstänka att den berörda personen har begått ett brott inom ramen för anställningsförhållandet; behandlingen måste vara nödvändig för att upptäcka brottet och den anställdes skyddsvärda intresse får inte överväga. I synnerhet får typen och omfattningen av behandlingen inte vara oproportionerlig.

Dessutom gäller de allmänna principerna i GDPR. Artikel 5 i GDPR kräver bland annat laglighet, ändamålsbegränsning och dataminimering. Artikel 6 i GDPR kräver en hållbar rättslig grund för behandlingen. En tekniskt möjlig utvärdering är därför inte automatiskt en rättsligt tillåten utvärdering.

När det gäller tekniska anordningar kan dessutom § 87 stycke 1 nr 6 i BetrVG vara relevant. Enligt denna bestämmelse har företagsrådet, i avsaknad av lagstadgade eller kollektivavtalsenliga regler, medbestämmanderätt vid införande och användning av tekniska anordningar som är avsedda att övervaka arbetstagarnas beteende eller prestationer. Beroende på utformningen kan detta till exempel bli relevant vid MDM-, EDR-, DLP-, loggnings- eller andra övervakningssystem.

I § 26 stycke 6 i BDSG klargörs uttryckligen att de anställdas intressegruppers medbestämmanderätt förblir oförändrad. Den konkreta tillåtligheten av en utredningsåtgärd enligt arbetsrätt och företagsordningsrätt bör därför, när den avser anställda, klargöras med behörig juridisk rådgivning och, i förekommande fall, med de avsedda instanserna inom företaget innan åtgärden genomförs.

LanCologne ersätter inte denna rättsliga prövning. Vår uppgift är att, efter att den tillåtna utredningsramen har fastställts, undersöka den tekniska bevisfrågan på ett begripligt, proportionerligt och resultatoöppet sätt.

Vanliga frågor

Får en företagsenhet automatiskt utvärderas i sin helhet eftersom den ägs av företaget?+
Inte automatiskt. Äganderätten till enheten och tillåtligheten av behandlingen av personuppgifter om anställda är två olika frågor. Syfte, rättslig grund, nödvändighet och proportionalitet måste beaktas.
Kan data från Mobile Device Management (MDM) användas utan begränsningar i en intern utredning?+
MDM-data kan ge tekniskt värdefull information. Vilka data som faktiskt finns tillgängliga och om de får användas i den konkreta undersökningen måste dock prövas från fall till fall.
Syftar en intern IT-forensisk utredning specifikt på att hitta bevis som belastar en viss medarbetare?+
Nej. Vi besvarar en konkret teknisk bevisfråga utan att förutbestämma resultatet. Både bevis som talar till förmån för den anklagade och vanliga tekniska förklaringar dokumenteras enligt samma måttstock.
Vad händer om en handling inte med säkerhet kan hänföras till en viss person?+
Då begränsas uttalandet i enlighet därmed. Ett användarkonto, en enhet eller en session får inte likställas med en fysisk person utan tillräckliga kopplingar till denne.
Brauchen Sie den Entsperrcode?+
In der Regel ja. Ohne Code ist die Sicherung stark eingeschränkt.
Was ist mit privaten Daten auf dem Gerät?+
Sie werden, soweit möglich, ausgeklammert. Den Umfang legen Sie mit Ihrer Rechtsberatung fest.
Reicht ein iCloud-Backup?+
Es kann helfen, ist aber nicht immer vollständig und nicht immer aktuell.

Weiterführende Themen

LanCologne – IT-forensik för företag

Har du en fråga som rör digital teknik? LanCologne hjälper dig med en saklig och opartisk IT-forensisk utredning.

Kontakta oss nu