IT-kriminalteknik · Företag

Hur bör ett företag säkra digitala bevis efter att ha mottagit en intern anmälan?

Nach einem internen Hinweis – etwa auf Betrug, Datenabfluss oder Compliance-Verstöße – entscheidet sich in den ersten Tagen, ob die relevanten Daten später noch vorhanden sind. Automatische Löschfristen, Kontodeaktivierung beim Ausscheiden oder Gerätewechsel können Beweise vernichten, bevor jemand danach sucht.

Begär en icke-bindande offert

Varför denna fråga är viktig för ett företag

Interna utredningar kan få betydande ekonomiska, personalmässiga och rättsliga konsekvenser. Just därför måste man först klargöra vilken konkret teknisk omständighet som ska bevisas eller motbevisas. En så stor datamängd som möjligt är inte ett kvalitetskriterium; det avgörande är en saklig, avgränsad och spårbar utredning.

Technischer Hintergrund

Viele Systeme löschen selbstständig: Microsoft 365 nach Aufbewahrungsrichtlinien, Protokolle nach Tagen bis Monaten (abhängig von Lizenz und Konfiguration), Mobilgeräte bei Rückgabe per Wipe. Eine frühzeitige Aufbewahrungsanordnung (Legal Hold) und gezielte Sicherung verhindern das, ohne dass sofort ausgewertet wird.

Relevante Spuren und Datenquellen

• Postfächer und OneDrive/SharePoint (Litigation/Retention Hold)
• Microsoft 365 Unified Audit Log, Entra-ID-Anmeldungen
• Dienstliche Endgeräte (Notebook, Smartphone) vor Rückgabe oder Neuinstallation
• Server-, VPN- und Proxy-Logs
• ERP-/Buchhaltungsprotokolle, wenn fachlich relevant

Grenzen

• Bereits gelöschte Daten sind nur teilweise wiederherstellbar.
• Private Geräte und Konten sind ohne Rechtsgrundlage nicht Gegenstand.

Mögliche Ergebnisse

• Gesicherter, dokumentierter Datenbestand
• Übersicht, welche Quellen verfügbar waren und welche fehlten

Varför LanCologne?

Interne Untersuchungen sind besonders sensibel, weil wirtschaftliche Interessen des Unternehmens, Persönlichkeitsrechte von Beschäftigten, Datenschutz, betriebliche Mitbestimmung und mögliche spätere Rechtsverfahren gleichzeitig berührt sein können. LanCologne beginnt deshalb nicht mit einer möglichst umfassenden Durchsuchung der IT.

So gehen wir vor

• Klärung der Rechtsgrundlage und Beteiligung von Datenschutz/Betriebsrat.
• Sofortige Aufbewahrungsmaßnahmen für kurzlebige Quellen.
• Forensische Sicherung mit Hashwerten und Dokumentation, Auswertung erst nach Festlegung der Fragestellung.

Ingen förhandsbedömning – inte heller när misstanken redan är fastställd internt

Ett företag kan av organisatoriska eller rättsliga skäl redan anse att det föreligger en tydlig misstanke. Utgången av den tekniska undersökningen är dock fortfarande öppen. Vi dokumenterar även fynd som motsäger misstanken och anger uttryckligen när en påstådd handling inte kan bevisas utifrån de insamlade uppgifterna.

Tekniska konstateranden och rättslig bedömning förblir åtskilda

IT-forensik kan till exempel fastställa att ett visst konto har exporterat en fil, att en enhet var ansluten vid en viss tidpunkt eller att ett meddelande tekniskt sett har överförts. Detta innebär inte automatiskt vilken fysisk person som har agerat, om handlingen var tillåten eller vilka konsekvenser detta får enligt arbetsrätt, civilrätt eller straffrätt.

LanCologne som oberoende tekniskt stöd för juridikavdelningen och ledningen

LanCologne har inte i uppdrag att tekniskt bekräfta ett önskat resultat. Vi anlitas för att objektivt besvara en konkret bevisfråga utifrån de tillgängliga digitala spåren. Utredningen ska förbli begriplig även om den senare granskas kritiskt av en motpart, en domstol eller en annan kvalificerad IT-forensiker.

När det gäller uppgifter om anställda utgör § 26 i BDSG en viktig rättslig utgångspunkt. § 26 stycke 1 i BDSG tillåter behandling av personuppgifter om anställda för ändamål som rör anställningsförhållandet under de villkor som anges där. För att upptäcka brott kräver bestämmelsen särskilt att det finns dokumenterade faktiska indicier samt att behandlingen är nödvändig och proportionerlig; den anställdes skyddsvärda intresse får inte överväga. § 26 stycke 6 i BDSG påverkar inte intressegruppernas rätt till medverkan.

Dessutom gäller principerna i GDPR, särskilt laglighet, ändamålsbegränsning och dataminimering enligt artikel 5 samt kravet på en hållbar rättslig grund enligt artikel 6. När det gäller särskilda kategorier av personuppgifter ska dessutom artikel 9 i GDPR och, i förekommande fall, § 26 stycke 3 i BDSG beaktas.

När det gäller tekniska anordningar som är avsedda att övervaka arbetstagarnas beteende eller prestationer föreskriver § 87 stycke 1 nr 6 i BetrVG att företagsrådet har medbestämmanderätt, i den mån det inte finns någon lagstadgad eller kollektivavtalsenlig bestämmelse. För MDM, EDR, DLP, loggning och liknande system måste därför den konkreta utformningen i varje enskilt fall beaktas.

När det gäller anmälningar enligt lagen om skydd för visselblåsare är särskilt § 8 i HinSchG relevant. Sekretesskravet skyddar inte bara den anmälande personens identitet, utan även personer som är föremål för anmälan samt övriga personer som nämns i anmälan. § 9 i HinSchG innehåller lagstadgade undantag från sekretesskravet. § 36 i HinSchG förbjuder repressalier och innehåller en regel om bevisbörda under de villkor som anges där.

När det gäller affärshemligheter får en intern utredning inte automatiskt betrakta en anmälan som ett brott mot sekretessen. § 5 i GeschGehG innehåller undantag från förbuden i § 4, bland annat under vissa förutsättningar för att avslöja olagliga handlingar eller yrkesmässigt eller annat felaktigt beteende samt för nödvändiga upplysningar till arbetstagarrepresentanter.

Om det senare blir fråga om en civilrättslig rättegång föreskriver ZPO bland annat bevisning genom besiktning; § 371 stycke 1 i ZPO reglerar uttryckligen det fall då ett elektroniskt dokument utgör föremål för bevisningen. För sakkunnigutlåtanden gäller §§ 402 ff. i ZPO. I ett brottmål fastställer domstolen omfattningen av bevisupptagningen enligt straffprocesslagen (StPO); i synnerhet § 244 StPO reglerar utredningsprincipen och bevisyrkanden. Dessa processuella bestämmelser innebär dock inte automatiskt att en privat beställd IT-forensisk rapport blir ett rättsligt utlåtande.

LanCologne tillhandahåller teknisk expertis och ingen juridisk rådgivning. Bedömningen av om en utredningsåtgärd är tillåten i det konkreta fallet, konsekvenserna enligt arbetsrätten, processstrategin och den straffrättsliga bedömningen är förbehållen behörig juridisk rådgivning, myndigheter och domstolar.

Vanliga frågor

🔗 Relaterade ämnen