Verdacht, dass ein:e Mitarbeiter:in Daten mitgenommen hat?
Bevor Sie die Person ansprechen oder das Gerät neu vergeben lassen: Die entscheidenden Spuren sind flüchtig und werden bei jedem weiteren Zugriff überschrieben. Eine forensische Erstanalyse zeigt Ihnen sachlich, ob aus dem Verdacht ein belastbarer Fall wird.
Die Ausgangslage
Eine Kündigung, ein Wechsel zum Mitbewerber, auffälliges Verhalten kurz vor dem Austritt – und der Verdacht, dass Kundendaten, Kalkulationen, Konstruktionsunterlagen oder Quellcode das Haus verlassen haben könnten.
Der naheliegende erste Schritt, die Person anzusprechen oder die eigene IT nachsehen zu lassen, vernichtet in der Regel genau die Spuren, auf die es später ankommt – und kann zusätzlich eigene rechtliche Risiken schaffen.
Was sich nachweisen lässt
Digitale Vorgänge hinterlassen Spuren, auch wenn Dateien gelöscht oder Verläufe geleert wurden. Eine forensische Auswertung umfasst unter anderem:
USB-Gerätehistorie – welche externen Datenträger wann mit welchem Rechner verbunden waren.
Cloud-Upload-Spuren – Hinweise auf private Dropbox-, Google-Drive- oder OneDrive-Nutzung, WeTransfer und ähnliche Dienste.
Datei-Zeitstempel – wann welche Dateien zuletzt geöffnet, kopiert, umbenannt oder verschoben wurden.
Exfiltration über private E-Mail – Weiterleitungen, Anhänge an private Adressen, eingerichtete Auto-Weiterleitungen.
Druck- und Löschverläufe – was zuletzt gedruckt wurde, Spuren gelöschter Dateien.
Was rekonstruierbar ist, hängt von den eingesetzten Systemen, der vorhandenen Protokollierung und der verstrichenen Zeit ab. Deshalb steht am Anfang eine abgegrenzte Erstanalyse als erste Entscheidungsgrundlage.
Die forensische Erstanalyse
Bei einem Verdacht beginnen wir mit einem klar umrissenen Schritt:
Was es ist: eine forensische Erstanalyse mit definiertem Umfang – typischerweise ein bis wenige Geräte oder Konten, zeitlich eng eingegrenzt.
Was Sie erhalten: eine mündliche, bei Bedarf schriftliche, nachvollziehbare Einschätzung: Liegen belastbare Indikatoren für einen Datenabfluss vor, und wie tragfähig sind sie?
Was es (noch) nicht ist: keine vollständige Untersuchung und kein gerichtsverwertbares Gutachten. Die Erstanalyse wird jedoch methodisch so durchgeführt, dass die Beweismittelkette intakt bleibt und jederzeit zum Gutachten erweitert werden kann.
Eskalation: Verdichten sich die Indikatoren, führen wir die Erstanalyse nahtlos zur Volluntersuchung weiter. Bei Bedarf kann ein gerichtsverwertbares Gutachten durch einen gerichtlich zertifizierten Sachverständigen auf deren Ergebnissen aufbauen.
Datenschutz und Arbeitsrecht von Beginn an mitgedacht
Die Untersuchung von Dienstgeräten berührt den Datenschutz (DSGVO, DSG), allfällige Betriebsvereinbarungen und das Arbeitsrecht. Das spricht nicht gegen eine Untersuchung – es spricht dafür, sie methodisch sauber durchführen zu lassen.
Bei unsauberem Vorgehen werden die Spuren unbrauchbar, und es entstehen zusätzlich Datenschutz- und Haftungsrisiken. Eine dokumentierte, verhältnismäßige Sicherung, deren Zulässigkeit vorab geklärt wurde, hat dagegen vor Gericht und Behörde Bestand.
Was Sie jetzt vermeiden sollten:
Die betreffende Person nicht vorab konfrontieren – das kann Vertuschungshandlungen auslösen.
Das Gerät nicht weiterverwenden, zurücksetzen oder neu vergeben.
Die eigene IT nicht nachsehen lassen – jeder Zugriff überschreibt Spuren und unterbricht die Beweismittelkette.
Nicht mehr Personen als notwendig einweihen.
Forensische Erstanalyse nach Stand der Technik
Die Analyse führt ein spezialisiertes IT-Forensik-Team durch – nach denselben Verfahren, die auch einer gerichtlichen Begutachtung zugrunde liegen.
Für Sie bedeutet das: Was in der Erstanalyse gesichert wird, bleibt auch dann verwertbar, wenn der Fall später vor Gericht geht. Wir arbeiten dabei nach dem Sorgfaltsmaßstab, der für Sachverständige gilt.
So läuft es ab
Vertrauliche Erstschilderung – vereinbaren Sie über das Formular einen Termin oder einen Rückruf. Sie schildern die Situation, wir prüfen, ob und wie wir helfen können.
Erstberatung und Angebotslegung – in der Erstberatung grenzen wir den Umfang klar ab und legen ein Angebot mit Kostenvoranschlag, bevor etwas passiert.
Forensische Sicherung – der relevanten Geräte und Konten, dokumentiert und unverändert.
Forensische Analyse – Auswertung der gesicherten Daten nach den oben genannten Spuren.
Ergebnisbesprechung oder schriftlicher Befund – mit einer klaren, verständlichen Empfehlung: tragfähig oder nicht, und welche nächsten Schritte sinnvoll sind.
Bei Bedarf: Eskalation – nahtlos zum gerichtsverwertbaren Gutachten.
Häufige Fragen
Was kostet das?
Der Aufwand unterscheidet sich je nach Datenträger und Umfang erheblich. Sobald Geräteart und Umfang feststehen – oft schon in der Erstberatung – nennen wir Ihnen einen Kostenvoranschlag.
Wie schnell müssen wir handeln?
Je früher, desto besser: Spuren altern und werden durch laufende Nutzung überschrieben. Eine kurzfristige Sicherung ist möglich; die Auswertung folgt danach.
Können wir die Person danach kündigen oder klagen?
Wir liefern die forensische Tatsachengrundlage. Über arbeits- und zivilrechtliche Schritte entscheiden Sie mit Ihrer Rechtsvertretung. Wir sind keine Rechtsberatung, arbeiten aber regelmäßig mit entsprechend spezialisierten Kanzleien zusammen und empfehlen gerne passende Kontakte.
Was, wenn nichts gefunden wird?
Auch das ist ein belastbares Ergebnis: eine dokumentierte Entlastung anstelle eines vagen Verdachts. Das schützt vor Fehlentscheidungen und unbegründeten Vorwürfen.
Dürfen wir das Gerät der betreffenden Person überhaupt untersuchen?
Das hängt vom Eigentum am Gerät, der Nutzungsvereinbarung und einer allfälligen Betriebsvereinbarung ab. Die Zulässigkeit klären wir in der Erstberatung gemeinsam mit Ihrem Legal-Team – bevor analysiert wird.
Im Verdachtsfall zählt der Zeitfaktor
Schildern Sie uns die Situation vertraulich – wir melden uns mit einer ersten Einschätzung und einem konkreten nächsten Schritt.
Dieser Themenblock richtet sich an Unternehmen und Behörden.
Für Unternehmen und Behörden
Sie klären Ihren Fall im direkten Gespräch mit einem Sachverständigen, wir übermitteln Ihnen in Folge ein schriftliches Angebot. Je nach Situation erfolgen Angebotslegung, Leistungserbringung und Rechnungslegung über Kooperationspartner. Behörden können einen unserer Sachverständigen direkt über eine gerichtliche Bestellung heranziehen.