IT-kriminalteknik · Företag

Hur kan ett företag kontrollera om en anställd som slutar har tagit med sig företagsdata?

Kurz vor dem Ausscheiden werden häufig Kundenlisten, Kalkulationen oder Quellcode kopiert – manchmal versehentlich, manchmal gezielt. Ob und wie Daten mitgenommen wurden, lässt sich oft rekonstruieren, wenn das Gerät nicht vorschnell neu installiert wird.

Begär en icke-bindande offert

Varför denna fråga är viktig för ett företag

Vid eventuella dataläckor står ofta betydande ekonomiska värden, kundrelationer, utvecklingskunskap eller konkurrensfördelar på spel. En gedigen utredning måste därför noggrant klargöra vilka dataöverföringar som faktiskt har ägt rum, utan att redan utifrån en misstanke dra slutsatsen att en rättsöverträdelse har skett.

Technischer Hintergrund

Windows protokolliert angeschlossene USB-Geräte, geöffnete Dateien und Ordner in mehreren unabhängigen Artefakten. Cloud-Uploads, E-Mail-Weiterleitungen an private Adressen und Druckaufträge hinterlassen weitere Spuren. Entscheidend ist der Abgleich mit dem Zeitraum vor dem Ausscheiden.

Relevante Spuren und Datenquellen

  • USB-Geräte (Registry USBSTOR, MountedDevices, Setupapi-Log, Ereignisprotokolle)
  • Datei- und Ordnerzugriffe (LNK-Dateien, Jump Lists, Shellbags)
  • Browser-Uploads und private Cloud-Clients
  • E-Mail-Weiterleitungen und Postfachregeln (Microsoft 365 Audit Log)
  • Druckprotokolle

Grenzen

  • Was auf einem privaten Gerät mit den Daten geschah, ist ohne Zugriff darauf nicht feststellbar.
  • Ein Dateizugriff belegt nicht automatisch eine Kopie; eine Kopie belegt nicht automatisch eine Weitergabe.

Mögliche Ergebnisse

  • Kopiervorgänge auf USB oder in die Cloud zeitlich belegt
  • Kein Hinweis auf Mitnahme über die geprüften Kanäle
  • Liste betroffener Dateien

Varför LanCologne?

Misstankar om att data har stulits eller att konfidentiell företagsinformation har gått förlorad kan få betydande ekonomiska och rättsliga konsekvenser. Just därför får utredningen inte inledas med det önskade resultatet i åtanke.

So gehen wir vor

  • Gerät und Konto vor Rückgabe bzw. Löschung sichern (Legal Hold).
  • Zeitraum festlegen (typisch: Wochen vor Kündigung bis Ausscheiden).
  • Korrelation der Spuren zu einer Zeitlinie; Abgleich mit dienstlicher Notwendigkeit.

Affärshemlighet är en rättslig klassificering – dataöverföring är en teknisk bevisfråga

Vi kan fastställa respektive avgränsa vilka filer som fanns, vilka tekniska skyddsmekanismer som fanns och vilka åtgärder avseende åtkomst, kopiering eller överföring som kan bevisas. Huruvida den berörda informationen uppfyller kraven för att betraktas som en affärshemlighet och om en handling var obehörig eller olaglig bedöms separat ur juridisk synvinkel.

Inga förhastade slutsatser – inte ens när det gäller iögonfallande övergångsmönster

En ovanligt stor filåtkomst, en USB-anslutning eller en inloggning i molntjänsten kan utgöra anledning till ytterligare granskning, men innebär inte i sig någon slutsats. Alternativa arbetsflöden undersöks också. Om flera förklaringar fortfarande är möjliga ersätts denna osäkerhet inte av en gissning.

Varför LanCologne när det gäller dataöverföring och affärshemligheter?

LanCologne genomför inte utredningar i syfte att bekräfta en förutbestämd misstanke. Vi besvarar den konkreta tekniska bevisfrågan, dokumenterar de underliggande primärdata och anger lika tydligt vad som inte går att bevisa. På så sätt får företagsledningen och den juridiska avdelningen en faktagrund som även kan stå emot en senare fackmässig granskning.

Rättslig ram

När det gäller uppgifter om anställda utgör § 26 i BDSG en viktig utgångspunkt. För att avslöja brott kräver § 26.1 i BDSG bland annat dokumenterade faktiska indicier, nödvändighet och proportionalitet; den anställdes skyddsvärda intresse får inte överväga. Dessutom gäller principerna i GDPR, särskilt laglighet, ändamålsbegränsning och dataminimering.

När det gäller affärshemligheter är lagen om skydd av affärshemligheter (GeschGehG) av central betydelse. Enligt § 2 nr 1 i GeschGehG räcker det inte med vilken konfidentiell information som helst: Informationen måste bland annat ha ett ekonomiskt värde, eftersom den inte är allmänt känd eller lättillgänglig, vara föremål för sekretessåtgärder som är rimliga med hänsyn till omständigheterna och det måste föreligga ett berättigat intresse av sekretess.

§ 4 i GeschGehG förbjuder under vissa förutsättningar bland annat obehörig åtkomst till, obehörig tillägnelse eller obehörig kopiering av elektroniska filer som innehåller en affärshemlighet eller ur vilka en sådan kan härledas. Användning och offentliggörande kan också vara förbjudna. Det är inte IT-forensikern som avgör om en tekniskt bevisad händelse uppfyller de rättsliga kriterierna.

Lagen om skydd av visselblåsare innehåller dessutom undantag. I § 5 nämns särskilt vissa handlingar som syftar till att skydda berättigade intressen, däribland – under vissa förutsättningar – avslöjande av olagliga handlingar eller yrkesmässigt eller annat felaktigt beteende. Dessutom kan lagen om skydd för visselblåsare (HinSchG) vara tillämplig. § 6 i HinSchG reglerar under vissa förutsättningar vidarebefordran eller offentliggörande av affärshemligheter inom ramen för skyddade anmälningar. En misstanke om dataläckage får därför inte automatiskt likställas med ett olagligt brott mot sekretess.

GesGehG föreskriver möjliga civilrättsliga anspråk vid konstaterade rättsöverträdelser, däribland åtgärdande och förbud (§ 6), ytterligare åtgärder enligt § 7, vissa rätt till information enligt § 8 samt skadestånd enligt § 10. Vilka anspråk som föreligger i det enskilda fallet måste prövas juridiskt. IT-forensiken tillhandahåller i detta sammanhang endast den tekniska faktaunderlaget.

I den mån tekniska anordningar används för övervakning av personalen kan dessutom arbetsrådets medbestämmanderätt, särskilt enligt § 87 stycke 1 nr 6 i BetrVG, vara relevant. Den konkreta tillåtligheten klargörs av de behöriga instanserna inom företaget och de rättsliga instanserna innan undersökningen inleds.

Vanliga frågor

Hur kan ett företag kontrollera om en anställd som slutar har tagit med sig företagsdata?+
Vid eventuella dataläckor står ofta betydande ekonomiska värden, kundrelationer, utvecklingskunskap eller konkurrensfördelar på spel. En gedigen utredning måste därför noggrant klargöra vilka dataöverföringar som faktiskt har ägt rum, utan att redan utifrån en misstanke dra slutsatsen att en rättsöverträdelse har skett.
Das Notebook ist schon neu aufgesetzt – ist alles verloren?+
Viele Spuren ja. Cloud- und Server-Protokolle können trotzdem Hinweise liefern.
Darf der Arbeitgeber das dienstliche Gerät untersuchen?+
Grundsätzlich unter bestimmten Voraussetzungen; private Nutzung und Mitbestimmung sind zu berücksichtigen. Bitte rechtlich klären.
Wie schnell sollten wir handeln?+
Vor Rückgabe bzw. Neuinstallation des Geräts und bevor Konten gelöscht werden.

Weiterführende Themen

LanCologne – IT-forensik för företag

Har du en fråga som rör digital teknik? LanCologne hjälper dig med en saklig och opartisk IT-forensisk utredning.

Kontakta oss nu