IT-Forensik und Datenschutz

Verfehlungen im Arbeitsumfeld kommen nicht selten vor: Mal lädt ein Mitarbeiter massenhaft urheberrechtlich geschützte Filme auf den Bürorechner herunter, ein anderer verbringt täglich Stunden mit seinen eBay-Aktivitäten. Mitunter tangiert der Missbrauch von Arbeitszeit- und Mitteln auch den strafrechtlichen Bereich, etwa wenn es um den Handel mit Darstellungen von Kindesmissbrauch geht. Immer gilt: Nachforschungen von Arbeitgebern bei einem Verdacht sind heikel, denn auch hier gilt Datenschutz- und Persönlichkeitsrecht. In Episode 43 der Auslegungssache ergründen Joerg und Holger, wie Arbeitgeber, IT-Administratoren und Datenschutzbeauftragte in solchen Fällen agieren sollten. Fachkundige Hilfe dabei leistet Christoph Wegener, der Unternehmen bei IT-forensischen Aktivitäten freiberuflich unterstützt. Zunächst geht es um die datenschutzrechtlichen Grundlagen, die in Deutschland im Paragrafen 26 BDSG definiert sind, der die "Datenverarbeitung für Zwecke des Beschäftigungsverhältnisses" regelt. Wer diese Bestimmung verletzt, verstößt nicht nur gegen Recht, sondern riskiert auch ein Verwertungsverbot für seine mühevoll gewonnenen Informationen, die dann im Rahmen von straf-, zivil- und arbeitsrechtlichen Auseinandersetzungen nicht oder nur begrenzt verwendet werden können. Wegener erläutert, welche Vorbereitungen man treffen sollte. Es gilt beispielsweise dafür zu sorgen, dass mindestens vier Augen bei der Forensik mitwirken, und am besten alle relevanten Stellen, etwa der interne Datenschutzbeauftragte und der Betriebsrat einbezogen werden. Ein Alleingang von IT-Administratoren ist tabu. Hat man den Verdacht auf eine Straftat, sollte grundsätzlich eine Ermittlungsbehörde übernehmen. Neben den datenschutzrechtlichen Vorüberlegungen spielt die technische Vorgehensweise (Sichern und Auswerten) eine große Rolle. Auch hier hat Wegener einige Tipps parat.