IT-kriminalteknik · Företag

Hur kan ett företag genomföra en IT-forensisk utredning av misstänkt regelbrott utan att föregripa resultatet?

Compliance-Verdachtsfälle – etwa Interessenkonflikte, manipulierte Abrechnungen oder Umgehung von Freigabeprozessen – hinterlassen Spuren in E-Mails, Dokumenten, ERP-Systemen und Zugriffsprotokollen. Die Untersuchung muss diese Spuren finden, ohne mehr Daten als nötig zu verarbeiten.

Begär en icke-bindande offert

Varför denna fråga är viktig för ett företag

Interna utredningar kan få betydande ekonomiska, personalmässiga och rättsliga konsekvenser. Just därför måste man först klargöra vilken konkret teknisk omständighet som ska bevisas eller motbevisas. En så stor datamängd som möjligt är inte ett kvalitetskriterium; det avgörande är en saklig, avgränsad och spårbar utredning.

Technischer Hintergrund

Verhältnismäßigkeit ist der Kern: Statt alle Postfächer zu durchsuchen, wird mit Zeiträumen, Personen, Stichworten und Metadaten eingegrenzt. Treffer werden im Kontext geprüft. Entlastende Befunde werden genauso dokumentiert wie belastende.

Relevante Spuren und Datenquellen

• E-Mail-Metadaten und zielgerichtete Inhalte
• Dokumenten-Metadaten und Versionsstände (SharePoint, Dateiserver)
• ERP- und Buchhaltungsprotokolle (Änderungen, Freigaben)
• Anmelde- und Zugriffsprotokolle

Grenzen

• Absichten lassen sich aus Daten nicht ablesen – nur Handlungen und Zusammenhänge.
• Fehlen Protokolle in Fachanwendungen, sind Änderungen ggf. nicht zuordenbar.

Mögliche Ergebnisse

• Belegte oder widerlegte Einzelvorwürfe
• Zeitlinie relevanter Vorgänge
• Dokumentation des Prüfumfangs

Varför LanCologne?

Interne Untersuchungen sind besonders sensibel, weil wirtschaftliche Interessen des Unternehmens, Persönlichkeitsrechte von Beschäftigten, Datenschutz, betriebliche Mitbestimmung und mögliche spätere Rechtsverfahren gleichzeitig berührt sein können. LanCologne beginnt deshalb nicht mit einer möglichst umfassenden Durchsuchung der IT.

So gehen wir vor

• Festlegung von Fragestellung, Personen, Zeitraum und Suchkriterien mit Compliance und Rechtsberatung.
• Sicherung der relevanten Quellen.
• Gestufte Auswertung: zuerst Metadaten, dann gezielt Inhalte.
• Bericht mit Befunden, Gegenbefunden und Grenzen.

Ingen förhandsbedömning – inte heller när misstanken redan är fastställd internt

Ett företag kan av organisatoriska eller rättsliga skäl redan anse att det föreligger en tydlig misstanke. Utgången av den tekniska undersökningen är dock fortfarande öppen. Vi dokumenterar även fynd som motsäger misstanken och anger uttryckligen när en påstådd handling inte kan bevisas utifrån de insamlade uppgifterna.

Tekniska konstateranden och rättslig bedömning förblir åtskilda

IT-forensik kan till exempel fastställa att ett visst konto har exporterat en fil, att en enhet var ansluten vid en viss tidpunkt eller att ett meddelande tekniskt sett har överförts. Detta innebär inte automatiskt vilken fysisk person som har agerat, om handlingen var tillåten eller vilka konsekvenser detta får enligt arbetsrätt, civilrätt eller straffrätt.

LanCologne som oberoende tekniskt stöd för juridikavdelningen och ledningen

LanCologne har inte i uppdrag att tekniskt bekräfta ett önskat resultat. Vi anlitas för att objektivt besvara en konkret bevisfråga utifrån de tillgängliga digitala spåren. Utredningen ska förbli begriplig även om den senare granskas kritiskt av en motpart, en domstol eller en annan kvalificerad IT-forensiker.

När det gäller uppgifter om anställda utgör § 26 i BDSG en viktig rättslig utgångspunkt. § 26 stycke 1 i BDSG tillåter behandling av personuppgifter om anställda för ändamål som rör anställningsförhållandet under de villkor som anges där. För att upptäcka brott kräver bestämmelsen särskilt att det finns dokumenterade faktiska indicier samt att behandlingen är nödvändig och proportionerlig; den anställdes skyddsvärda intresse får inte överväga. § 26 stycke 6 i BDSG påverkar inte intressegruppernas rätt till medverkan.

Dessutom gäller principerna i GDPR, särskilt laglighet, ändamålsbegränsning och dataminimering enligt artikel 5 samt kravet på en hållbar rättslig grund enligt artikel 6. När det gäller särskilda kategorier av personuppgifter ska dessutom artikel 9 i GDPR och, i förekommande fall, § 26 stycke 3 i BDSG beaktas.

När det gäller tekniska anordningar som är avsedda att övervaka arbetstagarnas beteende eller prestationer föreskriver § 87 stycke 1 nr 6 i BetrVG att företagsrådet har medbestämmanderätt, i den mån det inte finns någon lagstadgad eller kollektivavtalsenlig bestämmelse. För MDM, EDR, DLP, loggning och liknande system måste därför den konkreta utformningen i varje enskilt fall beaktas.

När det gäller anmälningar enligt lagen om skydd för visselblåsare är särskilt § 8 i HinSchG relevant. Sekretesskravet skyddar inte bara den anmälande personens identitet, utan även personer som är föremål för anmälan samt övriga personer som nämns i anmälan. § 9 i HinSchG innehåller lagstadgade undantag från sekretesskravet. § 36 i HinSchG förbjuder repressalier och innehåller en regel om bevisbörda under de villkor som anges där.

När det gäller affärshemligheter får en intern utredning inte automatiskt betrakta en anmälan som ett brott mot sekretessen. § 5 i GeschGehG innehåller undantag från förbuden i § 4, bland annat under vissa förutsättningar för att avslöja olagliga handlingar eller yrkesmässigt eller annat felaktigt beteende samt för nödvändiga upplysningar till arbetstagarrepresentanter.

Om det senare blir fråga om en civilrättslig rättegång föreskriver ZPO bland annat bevisning genom besiktning; § 371 stycke 1 i ZPO reglerar uttryckligen det fall då ett elektroniskt dokument utgör föremål för bevisningen. För sakkunnigutlåtanden gäller §§ 402 ff. i ZPO. I ett brottmål fastställer domstolen omfattningen av bevisupptagningen enligt straffprocesslagen (StPO); i synnerhet § 244 StPO reglerar utredningsprincipen och bevisyrkanden. Dessa processuella bestämmelser innebär dock inte automatiskt att en privat beställd IT-forensisk rapport blir ett rättsligt utlåtande.

LanCologne tillhandahåller teknisk expertis och ingen juridisk rådgivning. Bedömningen av om en utredningsåtgärd är tillåten i det konkreta fallet, konsekvenserna enligt arbetsrätten, processstrategin och den straffrättsliga bedömningen är förbehållen behörig juridisk rådgivning, myndigheter och domstolar.

Vanliga frågor

Weiterführende Themen

• Hur kan en intern IT-forensisk utredning genomföras utan förutbestämda slutsatser?
• Hur kan en intern utredning på ett tekniskt sätt skydda en visselblåsares integritet?
• Hur bör ett företag säkra digitala bevis efter att ha mottagit en intern anmälan?
• IT-forensik för företag

LanCologne – IT-forensik för företag

Har du en fråga som rör digital teknik? LanCologne hjälper dig med en saklig och opartisk IT-forensisk utredning.

Kontakta oss nu